Verschlüsselungs-Trojaner "Der Computer ist für die Verletzung der Gesetze der BRD wurde blockiert"

Alemannialex · 29.08.2012, 20:50

Hallo kira,

bevor ich loslege erstmal vielen Dank fuer Diene Hilfe!!!
Den Einfuehrungstext habe ich soweit gelesen, verstanden und ich werde versuche alles so zu befolgen...
Vorab noch die folgenden Infos:
ich arbeite unter Windows XP, SP3, also kein Win 7, und habe meine Daten bislang nicht verschluesselt, zumindest nicht wissentlich.
Noch ein Punkt, der mir noch eingefallen ist, ich weiss nicht, ob er relevant ist: vor ca. 3-4 Wochen habe ich Windows neu installiert, weil der Rechner nicht mehr hochgefahren ist. Hat es da vielleicht schon einen Schaedlingsbefall gegeben?
Wie auch immer, ich starte jetzt einmal mit den Anweisungen und melde mich spaeter wieder.
Gruss und Dank

Alex

Hallo kira,

habe zweimal den OTL Scan durchgefuehrt, der dauerte nur Sekunden und hat auch keine Text-Datei generiert. Ich versuche nun trotzdem die anderen Schritte im normal Modus.
Bis spaeter

Hier nun das log file von Malewarebytes:

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Trial) 1.62.0.1300
www.malwarebytes.org

Database version: v2012.08.29.09

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Home :: LAPTOP [administrator]

Protection: Enabled

29/08/2012 11:27:53 PM
mbam-log-2012-08-29 (23-27-53).txt

Scan type: Full scan (C:\|D:\|E:\|F:\|H:\|I:\|)
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 523743
Time elapsed: 2 hour(s), 35 minute(s), 58 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 3
H:\System Volume Information\_restore{07739E99-7F3D-4B6C-9763-5B01E9E2094E}\RP58\A0009340.exe (Adware.Hotbar) -> Quarantined and deleted successfully.
H:\System Volume Information\_restore{07739E99-7F3D-4B6C-9763-5B01E9E2094E}\RP58\A0009341.exe (PUP.OfferBundler.ST) -> Quarantined and deleted successfully.
H:\System Volume Information\_restore{07739E99-7F3D-4B6C-9763-5B01E9E2094E}\RP58\A0009342.exe (Adware.Hotbar) -> Quarantined and deleted successfully.

(end)

Rest kommt spaeter...

Hier nun auch noch das Ergebnis von CCleaner:

Code:

ATTFilter

Agere Systems HDA Modem				
Intel(R) Graphics Media Accelerator Driver		18/05/2007		
HP 3D DriveGuard		10/01/2011		1.00 A4
Synaptics Pointing Device Driver	Synaptics	10/01/2011		9.1.11.0
HP Imaging Device Functions 12.0	HP	12/01/2011		12.0
HP Customer Participation Program 12.0	HP	12/01/2011		12.0
HP Document Manager 2.0	HP	12/01/2011		2.0
HP Solution Center 12.0	HP	12/01/2011		12.0
OCR Software by I.R.I.S. 12.0	HP	12/01/2011		12.0
AVG 2012	AVG Technologies	5/08/2012		2012.0.2197
AVG PC Tuneup 2011	AVG	5/08/2012		10.0.0.26
Broadcom NetXtreme Ethernet Controller	Broadcom Corporation	5/08/2012	0.40MB	10.15.15
Credential Manager for HP ProtectTools	Hewlett-Packard 	5/08/2012	62.97MB	2.5.0.880.13
Drive Encryption for HP ProtectTools	Hewlett-Packard	5/08/2012	23.08MB	1.0.1
Embedded Security for HP ProtectTools	Hewlett-Packard	5/08/2012	59.08MB	5.0.1
HP BIOS Configuration for ProtectTools	Hewlett-Packard	5/08/2012	2.60MB	3.00 A1
HP Broadband Wireless Modules	Sierra Wireless Inc	5/08/2012	14.93MB	18.7.1.1348
HP Integrated Module with Bluetooth wireless technology	HP	5/08/2012	17.29MB	5.1.0.3000
HP PCMCIA Smart Card Reader	HP	5/08/2012	3.23MB	1.01.0001
HP ProtectTools Security Manager	Hewlett-Packard	5/08/2012	7.00MB	3.00 A10
HP Quick Launch Buttons 6.20 F2	Hewlett-Packard	5/08/2012		6.20 F2
Java(TM) SE Runtime Environment 6	Sun Microsystems, Inc.	5/08/2012	114.00MB	1.6.0.0
Microsoft Compression Client Pack 1.0 for Windows XP	Microsoft Corporation	5/08/2012		1
Microsoft User-Mode Driver Framework Feature Pack 1.0	Microsoft Corporation	5/08/2012		
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148	Microsoft Corporation	5/08/2012	9.55MB	9.0.30729.4148
Roxio Creator Audio	Roxio	5/08/2012	1.12MB	3.3.0
Roxio Creator Basic v9	Roxio	5/08/2012	19.74MB	3.3.0
Roxio Creator Copy	Roxio	5/08/2012	0.62MB	3.3.0
Roxio Creator Data	Roxio	5/08/2012	0.95MB	3.3.0
Roxio Creator Tools	Roxio	5/08/2012	0.34MB	3.3.0
Roxio Express Labeler 3	Roxio	5/08/2012	15.99MB	2.1.0
Roxio MyDVD Basic v9	Roxio	5/08/2012	293.00MB	9.0.116
SoundMAX	Analog Devices	5/08/2012		5.10.01.5160
PDF Complete		5/08/2012		
Microsoft Download Manager	Microsoft Corporation	6/08/2012	1.46MB	1.2.1
Windows Internet Explorer 8	Microsoft Corporation	6/08/2012		20090308.140743
Google Toolbar for Internet Explorer	Google Inc.	8/08/2012		7.4.3203.136
HP Update	Hewlett-Packard	12/08/2012	1.67MB	4.000.011.006
Windows Genuine Advantage Validation Tool (KB892130)	Microsoft Corporation	12/08/2012		
Windows XP Service Pack 3	Microsoft Corporation	12/08/2012		20080414.031525
HP Smart Web Printing	HP	12/08/2012		4.05
Windows Media Format 11 runtime		12/08/2012		
Windows Media Player 11		12/08/2012		
Microsoft Visual C++ 2005 Redistributable	Microsoft Corporation	13/08/2012	5.28MB	8.0.61001
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161	Microsoft Corporation	13/08/2012	10.20MB	9.0.30729.6161
MSXML 4.0 SP2 (KB954430)	Microsoft Corporation	13/08/2012	1.42MB	4.20.9870.0
MSXML 4.0 SP2 (KB973688)	Microsoft Corporation	13/08/2012	2.77MB	4.20.9876.0
Mozilla Thunderbird (5.0)	Mozilla	13/08/2012		5.0 (en-GB)
Apple Application Support	Apple Inc.	22/08/2012	62.73MB	2.1.9
Apple Mobile Device Support	Apple Inc.	22/08/2012	24.21MB	5.2.0.6
Apple Software Update	Apple Inc.	22/08/2012	2.38MB	2.1.3.127
Bonjour	Apple Inc.	22/08/2012	1.03MB	3.0.0.10
CCleaner	Piriform	22/08/2012		3.22
iTunes	Apple Inc.	22/08/2012	183.00MB	10.6.3.25
QuickTime	Apple Inc.	22/08/2012	3.30MB	7.69.80.9
Skype Click to Call	Skype Technologies S.A.	22/08/2012	11.66MB	6.2.10687
Skype™ 5.10	Skype Technologies S.A.	22/08/2012	19.45MB	5.10.116
Shop for HP Supplies	HP	26/08/2012		12
Malwarebytes Anti-Malware version 1.62.0.1300	Malwarebytes Corporation	27/08/2012		1.62.0.1300
7-Zip 9.20		28/08/2012		
Adobe Flash Player 11 ActiveX	Adobe Systems Incorporated	30/08/2012		11.4.402.265

kira · 30.08.2012, 13:09

Zitat:

Zitat von Alemannialex

... habe meine Daten bislang nicht verschluesselt, zumindest nicht wissentlich.

dein Titel weißt eben darauf hin?:
"Verschlüsselungs-Trojaner "Der Computer ist für die Verletzung der Gesetze der BRD wurde blockiert"

zu Punkt 2.: Ergebnis posten:
Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:
C:\_OTL\Moved

zu Punkt 5.: fehlt auch noch!

Alemannialex · 30.08.2012, 19:01

Hi Kira,

hatte eigentlich heute morgen die Logs zu Punkt 5 gepostet, hat aber offensichtlich nicht geklappt (lag vermutlich am Bediener...)
Im Anhang nochmal das Ganze:

-jetzt habe ich auch gesehen, warum es nicht geklappt hatte: das file war zu lang und ich habe die Fehlermeldung nicht gelesen...

Zu Punkt 2 habe ich die folgenden drei Dateien in dem Pfand gefunden:
1):

Code:

ATTFilter

========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\secproc_isv deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Wwanpref deleted successfully.
C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe moved successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
E:\Autorun.inf moved successfully.
ADS C:\Documents and Settings\All Users\Application Data\TEMP:0B4227B4 deleted successfully.
========== FILES ==========
File\Folder C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe not found.
File\Folder C:\WINDOWS\System32\drivers\ibuumqn.sys not found.
< ipconfig /flushdns /c >
Windows IP Configuration
Successfully flushed the DNS Resolver Cache.
C:\Documents and Settings\Administrator\Desktop\cmd.bat deleted successfully.
C:\Documents and Settings\Administrator\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.59.1 log created on 08292012_220453

2):

Code:

ATTFilter

========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\secproc_isv not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Wwanpref not found.
File C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe not found.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
File E:\Autorun.inf not found.
Unable to delete ADS C:\Documents and Settings\All Users\Application Data\TEMP:0B4227B4 .
========== FILES ==========
File\Folder C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe not found.
File\Folder C:\WINDOWS\System32\drivers\ibuumqn.sys not found.
< ipconfig /flushdns /c >
Windows IP Configuration
Successfully flushed the DNS Resolver Cache.
C:\Documents and Settings\Administrator\Desktop\cmd.bat deleted successfully.
C:\Documents and Settings\Administrator\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.59.1 log created on 08292012_223851

und 3):

Code:

ATTFilter

========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\secproc_isv not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Wwanpref not found.
File C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe not found.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
File E:\Autorun.inf not found.
Unable to delete ADS C:\Documents and Settings\All Users\Application Data\TEMP:0B4227B4 .
========== FILES ==========
File\Folder C:\Documents and Settings\Home\Local Settings\Application Data\Microsoft\Windows\1706\Wwanpref.exe not found.
File\Folder C:\WINDOWS\System32\drivers\ibuumqn.sys not found.
< ipconfig /flushdns /c >
Windows IP Configuration
Successfully flushed the DNS Resolver Cache.
C:\Documents and Settings\Administrator\Desktop\cmd.bat deleted successfully.
C:\Documents and Settings\Administrator\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
 
OTL by OldTimer - Version 3.2.59.1 log created on 08292012_231416

Das war jetzt die chronologische Reihenfolge.

Noch eine Bemerkung, die mir heute morgen noch eingefallen war: nach dem Malewarebytes Scan aus Punkt 3 wurde ich am Ende aufgefordert, einen Neustart auszufuehren. Da hier aber nichts davon stand, habe ich diesen erstmal abgelehnt und habe noch die Schritte 4 und 5 ausgefuehrt, bevor ich den Neustart ausgefuehrt habe.

Jetzt ist also der Rechner wieder neu gestartet worden, ich bin im Normalmodus und die Symptome sind erstmal weg. In der Zwischenzeit habe ich uebrigens ein update von Java geladen und nochmal zwei updates von Windows.

Bin ich jetzt wieder clean? Sollte ich sonst noch etwas machen?

Soweit schonmal vielen herzlichen Dank!
Gruss

Alex

kira · 31.08.2012, 06:07

1.
Java aktualisieren- über Systemsteuerung-> Nach Update suchen...
oder:
Downloade nun die Offline-Version von Java "Empfohlen Version Java(TM) 7 Update 5 " von Oracle und installiere sie. Achte darauf, eventuell angebotene Toolbars nicht mitzuinstallieren, also während der Installation den Haken bei der Toolbar entfernen.
Tipp: -> Java-Updates konfigurieren

2.
Alle Programme/Fenster schliessen
Java-Cache leeren

Start => Systemsteuerung => Java => Allgemein => Temporäre Internet-Dateien "Einstellungen" => Dateien löschen => Haken bei "Anwendungen und Applets" sowie bei "Verfolgungs- und Protokolldateien" setzen => OK
-> Wie leere ich den Java-Cache?
-> Java-Cache leeren
-> Kurze Videoanleitung wie man unter Windows 7 und XP den JAVA Cache löschen kann.

3.
Aktualisieren:
-> Mozilla Thunderbird
gehe auf "Hilfe"-> "Über Thunderbird"
Anleitung:-> Einstellungen

4.
Tipps - Der Internet Explorer von Microsoft gehört zur Grundausstattung unter Windows, somit wie alle andere installierte Software muss gepflegt werden! Auch bei Nicht-Verwendung!:
-> Tipps zu Internet Explorer
-> Standard Suchmaschine des Explorers ändern
-> Ändern oder Auswählen eines Suchanbieters in Internet Explorer 7/8
-> Wie kann ich den Cache im Internet Explorer leeren?

5.
Alle Programme/Fenster schliessen
reinige dein System mit CCleaner:

"CCleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
"Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
Starte dein System neu auf

6.
Vorbereitung

Schließe evtl. vorhandene externe Festplatten und/oder sonstigen Wechselmedien (z. B. evtl. vorhandene USB-Sticks) an den Rechner an.
Bitte während der Online-Scans deaktivieren:
Anti-Virus-Programm und Firewall.
Internet Explorer starten => im Menü unter Extras => Internetoption => Datenschutz => den Haken bei "Popupblocker einschalten" entfernen und
unter dem Reiter "Sicherheit" => die Sicherheitsstufe ggfs. auf "Mittelhoch" herabsetzen.
Nicht vergessen, sie hinterher wieder einzuschalten bzw. die Internetoptionen wie zuvor einzustellen..
Während der Online-Scans auf andere Online-Aktivitäten verzichten.
Du musst das Herunterladen und Installieren von ActiveX-Steuerelementen (Controls) zulassen.
.

Den PC NUR online scannen und NICHT ein zweites Antivirenprogramm installieren!!!

Eset Online Scanner (NOD32)
- Unterstützte Betriebssysteme: Microsoft Windows 7 - Vista - XP - 2000 - NT.
- Anmerkung für Vista und Windows 7-User: Bitte den Browser unbedingt als Administrator starten.
- Dein Anti-Virus-Programm während des Scans deaktivieren.
- Button "ESET Online Scanner" drücken.
- IE-User müssen das Installieren eines ActiveX Elements erlauben.
- Einen Haken bei "YES, I accept the Terms of Use." machen und auf den Button "Start" drücken.
- Einen Haken bei "Remove found threads" und "Scan archives" machen.
- Start drücken.
- Signaturen werden heruntergeladen.
- Der Scan beginnt automatisch.
- Wenn fertig, das Protokoll speichern und mir posten.
  -> List of found threats
  -> Export to text file
  -> Back
  -> Delete quarantäne files
- Finish drücken.
- Browser schließen.
- Deinstallation nachdem das Protokoll mir gepostet hast: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
- Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

7.
erneut einen Scan mit OTL:

Doppelklick auf die OTL.exe
Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
Oben findest Du ein Kästchen mit Ausgabe.
Wähle bitte Standard-Ausgabe
Unter Extra-Registrierung wähle bitte Benutze SafeList.
Mache Häckchen bei LOP- und Purity-Prüfung.
Klicke nun auf Scan links oben.
Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
Poste die Logfiles in Code-Tags hier in den Thread.

8.
erneut einen Scan mit OTL:

Doppelklick auf die OTL.exe
Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
Oben findest Du ein Kästchen mit Ausgabe.
Wähle bitte Standard-Ausgabe
Unter Extra-Registrierung wähle bitte Benutze SafeList.
Mache Häckchen bei LOP- und Purity-Prüfung.
Klicke nun auf Scan links oben.
Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
Poste die Logfiles in Code-Tags hier in den Thread.

► berichte erneut über den Zustand des Computers. Ob noch Probleme auftreten, wenn ja, welche?

Verschlüsselungs-Trojaner "Der Computer ist für die Verletzung der Gesetze der BRD wurde blockiert"

Plagegeister aller Art und deren Bekämpfung: Verschlüsselungs-Trojaner "Der Computer ist für die Verletzung der Gesetze der BRD wurde blockiert"