Hallo Trojaner-Board User,

wie dem Titel zu entnehmen ist, habe ich hier einen Windows PC bei dem erst alle Daten verschlüsselt wurden und dann scheinbar 50 Euro UCash zu bezahlen waren.
Eingefangen wurder der Virus wohl doch eine Fake-Email, die geöffnet wurde.
Ich haber hier ein bisschen gelesen und hoffe ich habe alles richtig gemacht.

Ich habe OTLPE laufen lassen und unter Custom Scan/Fixes folgendes eingetragen. (Ich weiß leider nicht, wie man hier so eine Box erstellt.)

activex
netsvcs
msconfig
%SYSTEMDRIVE%\*.
%PROGRAMFILES%\*.exe
%LOCALAPPDATA%\*.exe
%systemroot%\*. /mp /s
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%USERPROFILE%\*.*
%USERPROFILE%\Local Settings\Temp\*.exe
%USERPROFILE%\Local Settings\Temp\*.dll
%USERPROFILE%\Application Data\*.exe


Die OTL.txt ist im Anhang.

Schonmal Danke für eure Hilfe.

Max


P.S. Die Datei war zu groß. Ich habe sie daher einfach in zwei Hälften geteilt. Ich hoffe das ist kein Problem.

Hallo und Herzlich Willkommen!

► Welche Art und Weise wurden die Daten (Eigene Dateien wie Bilder, Dokumente, Musik etc) bereits verschlüsselt? Kannst Du ein Beispiel nennen? Dateiändung wurden zugefügt (z.B "locked- .wxyz"), oder nach einem Zufallsprinzip besteht ein Dateiname aus Groß und Kleinbuchstaben (wie z.B QsEEUTODXNVqyssQ) andere?
Nämlich manche Varianten lassen sich entschlüsseln, andere wieder leider nicht..

gruß
kira

Hi und Danke erstmal.

Es wurden Dateiendungen zugefügt. Also wie in deinem ersten Beispiel. Die Original Dateiendung ist auch noch da.

Hab ich die richtigen Logfiles hochgeladen, oder brauchst du noch weitere Informationen?

Danke

Max

Zitat von GehZu

Es wurden Dateiendungen zugefügt. Also wie in deinem ersten Beispiel. Die Original Dateiendung ist auch noch da.

dann vermutlich Du hast Glück im Unglück gehabt :

1.
zur Info: Vorgehen beim Verschlüsselungs-Trojaner :-> http://www.trojaner-board.de/114783-...ubersicht.html
-> DecryptHelper von Matthias vom TrojanerBoard

2.
damit das nochmal nicht passiert, wie vermeide ich Datenverlust:
► Da sieht man wieder einmal wie wichtig ist, um die regelmäßige Sicherung (wichtigen Daten) zu kümmern
Denk daran: dein Hauptsystem ist doch kein Lagerhalle!
Wichtige Daten Regelmäßig sichern, am besten 2x an verschiedenen Orten!
- Externe Geräte (Festplatte USB-Stick etc) nicht ständig am PC anschließen, sondern nur kurzfristig während Du etwas sichern möchtest
E-Mail-Anhang - Öffne keine E-Mail-Anhänge (Attachments), wenn du den Absender nicht kennst!
-> Mails besonders mit Anhang, nicht anklicken, sondern als Text oder in Druckversion anzeigen lassen. Mailprogramm grundsätzlich so einstellen

3.
► wenn alle deine Daten separat gesichert hast, das System sollte neu aufgesetzt werden!

Tipps & Rat:

➊
Datensicherung:
► NUR Daten sichern, die nicht ausführbaren Dateien enthalten - Dateiendungen - Dies ist eine Liste von Dateiendungen, die Dateien mit ausführbarem Code bezeichnen können.
- Vorsicht mit den schon vorhandenen Dateien auf die extern gespeicherten Daten und auch jetzt mit dem Virus infizierte Dateien eine Datensicherung anzufertigen
- Am besten alles was dir sehr wichtig, separat (extern) sichern - nicht mischen eventuell früher geschicherten Daten, also vor dem Befall!
- Eventuell gecrackte Software nicht sichern und dann auf neu aufgesetztem System wieder drauf installieren!

- Vor zurückspielen - bevor du mit deinem PC direkt ins Netz gehst...:
- die Autoplay-Funktion für alle Laufwerke deaktivieren/ausschalten -> Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten

Die auf eine externe Festplatte gesicherten Daten, gründlich zu scannen von einem suaberen System aus, am besten mit mehreren Scannern-> Kostenlose Online Scanner - Anleitung
Absolut empfehlenswerter Scanner:

Eset Online Scanner (NOD32)
Panda-Aktivscan
Symantec Security Check

Die Online-Scanner sind alle reine On-Demand-Scanner. Sie durchsuchen einzelne Dateien oder Verzeichnisse, wahlweise die gesamte Festplatte, haben keinen Hintergrundwächter oder andere residente Prozesse. Dadurch verbrauchen sie ausser Festplattenspeicher keine Resourcen und man kann beliebig viele gleichzeitig installieren. Die Online-Scanner sind gut geeignet um sich eine zweite Meinung einzuholen.

➋
-> Anleitung: Neuaufsetzen des Systems + Absicherung
-> Anleitung zum Neuaufsetzen - Windows XP, Vista und Win7

➌
Ich würde Dir vorsichtshalber raten, dein Passwort zu ändern
z.B. Login-, Mail- oder Website-Passwörter
Tipps:
Die sichere Passwort-Wahl - (sollte man eigentlich regelmäßigen Abständen ca. alle 3-5 Monate ändern)
auch noch hier unter: Sicheres Kennwort (Password)

Hallo,

ich bin etwas verwirrt. Im Moment ist mein Problem doch, dass ich beim starten nur eine Meldung bekomme 50 Euro zu bezahlen.
Ich hab das nicht explizit so geschrieben. Das tut mir leid. Ich dachte wohl, dass das immer so wäre (hatte diverse andere Threads gelesen).

Also die OTLPE Logfiles habe ich erstellt, indem ich von einer CD gebootet habe. Mit dem System welches hier auch empfohlen wird.

Muss ich jetzt nicht irgendeinen FIX anwenden, damit ich Windows überhaupt wieder starten kann? Ich glaube auf diesem CD-Boot System kann ich nicht wirklich was installieren, oder?

Danke für die Hilfe

Max

Poste bitte das OTLPE-Logfiles, dann sehen wir weiter

Sind das nicht die, die ich gepostet habe? Im Erstellungspost.

1.

Achtung wichtig!:
Falls Du selber im Logfile Änderungen vorgenommen hast, musst Du durch die Originalbezeichnung ersetzen und so in Script einfügen! sonst funktioniert nicht!
(Benutzerordner, dein Name oder sonstige Änderungen durch X, Stern oder andere Namen ersetzt)

Fixen mit OTLPE

• Starte die OTLPE
• Kopiere folgendes Skript (unverändert inkl. :OTL, also - nach dem "Code", alles was in der Codebox steht - - (also beginnend mit :OTL und am Ende [emptytemp] ohne "code"!)
  :

:OTL
O4 - HKLM..\Run: []  File not found
O4 - HKU\Administrator_ON_D..\Run: []  File not found
O4 - HKU\Administrator_ON_D..\Run: [E854D2DD] D:\WINDOWS\system32\5C340198E854D2DDE750.exe (Tastiera penna)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\5C340198E854D2DDE750.exe) - D:\WINDOWS\system32\5C340198E854D2DDE750.exe (Tastiera penna)
O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found
O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2011/02/18 19:00:00 | 000,000,043 | ---- | M] () - E:\autorun.inf -- [ NTFS ]
O33 - MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\Shell - "" = AutoRun
O33 - MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\Shell\AutoRun\command - "" = F:\LaunchU3.exe -a
O33 - MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\Shell - "" = AutoRun
O33 - MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\Shell\AutoRun\command - "" = G:\LaunchU3.exe -a
O33 - MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\Shell - "" = AutoRun
O33 - MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\Shell\AutoRun\command - "" = G:\unlock.exe autoplay=true
O33 - MountPoints2\{fbc61dd0-766b-11e1-a0ee-001b9e784938}\Shell\AutoRun\command - "" = G:\CD_Start.exe
[2012/04/26 10:08:34 | 000,061,440 | -H-- | C] (Tastiera penna) -- D:\WINDOWS\System32\5C340198E854D2DDE750.exe

:Files
D:\WINDOWS\system32\5C340198E854D2DDE750.exe
D:\WINDOWS\System32\winsh323
D:\WINDOWS\System32\winsh322
D:\WINDOWS\System32\winsh321
D:\WINDOWS\System32\winsh320
D:\WINDOWS\System32\winsh325
D:\WINDOWS\System32\winsh324

ipconfig /flushdns /c

:Commands
[purity]
[emptytemp]
         

• und füge es hier ein:
• Schließe alle Programme.
• Klicke auf den Run Fix Button.
• Klick auf .
• OTL verlangt einen Neustart. Bitte zulassen, oder manuell starten!
• Nach dem Neustart findest Du ein Textdokument.
  Kopiere den Inhalt hier in Code-Tags in Deinen Thread.

Achtung Mitleser!:
Jedes einzelne OTL-Script wird individuell auf den Benutzer abgestimmt! Diese Anleitung gilt nur auf dem hier betroffenen Rechner. Anwendung bei anderen Maschinen oder Nutzung von "selbst erstellte Scriptkombination" kann zu ernsthaften Schäden führen!

geht das jetzt? kannst dein System starten ohne OTLPE-CD?

Danke für die Hilfe!

Hier das Logfile:

========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_USERS\Administrator_ON_D\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_USERS\Administrator_ON_D\Software\Microsoft\Windows\CurrentVersion\Run\\E854D2DD deleted successfully.
D:\WINDOWS\system32\5C340198E854D2DDE750.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\5C340198E854D2DDE750.exe deleted successfully.
File D:\WINDOWS\system32\5C340198E854D2DDE750.exe not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
File E:\autorun.inf not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{b441f668-c53c-11de-9e06-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{b441f668-c53c-11de-9e06-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b441f668-c53c-11de-9e06-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{b441f668-c53c-11de-9e06-001b9e784938}\ not found.
File F:\LaunchU3.exe -a not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c07eff6c-e3f0-11dd-9d28-001b9e784938}\ not found.
File G:\LaunchU3.exe -a not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{d98c5d9b-653b-11e1-a0da-001b9e784938}\ not found.
File G:\unlock.exe autoplay=true not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{fbc61dd0-766b-11e1-a0ee-001b9e784938}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{fbc61dd0-766b-11e1-a0ee-001b9e784938}\ not found.
File G:\CD_Start.exe not found.
File D:\WINDOWS\System32\5C340198E854D2DDE750.exe not found.
========== FILES ==========
File\Folder D:\WINDOWS\system32\5C340198E854D2DDE750.exe not found.
D:\WINDOWS\System32\winsh323 moved successfully.
D:\WINDOWS\System32\winsh322 moved successfully.
D:\WINDOWS\System32\winsh321 moved successfully.
D:\WINDOWS\System32\winsh320 moved successfully.
D:\WINDOWS\System32\winsh325 moved successfully.
D:\WINDOWS\System32\winsh324 moved successfully.
< ipconfig /flushdns /c >
Windows IP Configuration
D:\cmd.bat deleted successfully.
D:\cmd.txt deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 134845596 bytes
->Temporary Internet Files folder emptied: 312963638 bytes
->FireFox cache emptied: 73188506 bytes
->Google Chrome cache emptied: 243450994 bytes
->Flash cache emptied: 2016217 bytes
 
User: All Users
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 1790940 bytes
%systemroot%\System32 .tmp files removed: 4182407 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 50074445 bytes
 
Total Files Cleaned = 785.00 mb
 
 
OTLPE by OldTimer - Version 3.1.48.0 log created on 08042012_123525
         

Ich kann Windows wieder normal starten. Die Verschlüsselung scheint auch kein Problem zu sein, da ich wieder auf alle Dateien vollen Zugriff habe.

Ich habe Panda Global Protection installiert. Muss ich noch andere Maßnahmen ergreifen?

Danke

wie gehabt:
1. Daten sichern: am besten 2x an verschiedenen Orten!
- auf Externe Geräte (Festplatte USB-Stick, CD/DVD etc)

2. Um alle Malware-Spuren zu vernichten: Festplatte formatieren und Windows neu einrichten