Versehentlich Trojaner-Datei ausgeführt: TR/Dldr.Kuluoz.B.17 / PostalReceipt.exe

exlibris · 30.11.2012, 15:58

Hallo,
ich habe versehentlich einen Email-Anhang PostalReceipt.exe mit Doppelklick gestartet. Die Datei hatte das MS-Word-Icon. Avira erkennt den Trojaner TR/Dldr.Kuluoz.B.17 (siehe Log-Datei unten).
Habe ihn in Quarantäne verschoben.
Wie kann ich das System wieder sauber kriegen?

LOG-DATEI:

Code:

ATTFilter

Avira Internet Security 2012
Erstellungsdatum der Reportdatei: Freitag, 30. November 2012  13:07

Es wird nach 4464259 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : ***
Seriennummer   : 2219437655-ISECE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : Semeda
Computername   : KOCH-3D95D49F8E

Versionsinformationen:
BUILD.DAT      : 12.1.9.1197          Bytes  11.10.2012 15:22:00
AVSCAN.EXE     : 12.3.0.48     468256 Bytes  13.11.2012 14:37:40
AVSCAN.DLL     : 12.3.0.15      66256 Bytes  23.05.2012 07:10:32
LUKE.DLL       : 12.3.0.15      68304 Bytes  23.05.2012 07:10:33
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  08.05.2012 09:48:00
AVREG.DLL      : 12.3.0.17     232200 Bytes  15.05.2012 10:23:00
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 09:45:03
VBASE001.VDF   : 7.11.0.0    13342208 Bytes  14.12.2010 09:59:55
VBASE002.VDF   : 7.11.19.170 14374912 Bytes  20.12.2011 10:17:05
VBASE003.VDF   : 7.11.21.238  4472832 Bytes  01.02.2012 10:23:25
VBASE004.VDF   : 7.11.26.44   4329472 Bytes  28.03.2012 11:53:29
VBASE005.VDF   : 7.11.34.116  4034048 Bytes  29.06.2012 13:14:06
VBASE006.VDF   : 7.11.41.250  4902400 Bytes  06.09.2012 10:18:52
VBASE007.VDF   : 7.11.50.230  3904512 Bytes  22.11.2012 12:47:58
VBASE008.VDF   : 7.11.50.231     2048 Bytes  22.11.2012 12:47:59
VBASE009.VDF   : 7.11.50.232     2048 Bytes  22.11.2012 12:47:59
VBASE010.VDF   : 7.11.50.233     2048 Bytes  22.11.2012 12:47:59
VBASE011.VDF   : 7.11.50.234     2048 Bytes  22.11.2012 12:47:59
VBASE012.VDF   : 7.11.50.235     2048 Bytes  22.11.2012 12:47:59
VBASE013.VDF   : 7.11.50.236     2048 Bytes  22.11.2012 12:47:59
VBASE014.VDF   : 7.11.51.27    133632 Bytes  23.11.2012 08:47:56
VBASE015.VDF   : 7.11.51.95    140288 Bytes  26.11.2012 14:48:22
VBASE016.VDF   : 7.11.51.221   164352 Bytes  29.11.2012 10:41:33
VBASE017.VDF   : 7.11.51.222     2048 Bytes  29.11.2012 10:41:33
VBASE018.VDF   : 7.11.51.223     2048 Bytes  29.11.2012 10:41:33
VBASE019.VDF   : 7.11.51.224     2048 Bytes  29.11.2012 10:41:33
VBASE020.VDF   : 7.11.51.225     2048 Bytes  29.11.2012 10:41:33
VBASE021.VDF   : 7.11.51.226     2048 Bytes  29.11.2012 10:41:33
VBASE022.VDF   : 7.11.51.227     2048 Bytes  29.11.2012 10:41:34
VBASE023.VDF   : 7.11.51.228     2048 Bytes  29.11.2012 10:41:34
VBASE024.VDF   : 7.11.51.229     2048 Bytes  29.11.2012 10:41:34
VBASE025.VDF   : 7.11.51.230     2048 Bytes  29.11.2012 10:41:34
VBASE026.VDF   : 7.11.51.231     2048 Bytes  29.11.2012 10:41:34
VBASE027.VDF   : 7.11.51.232     2048 Bytes  29.11.2012 10:41:34
VBASE028.VDF   : 7.11.51.233     2048 Bytes  29.11.2012 10:41:34
VBASE029.VDF   : 7.11.51.234     2048 Bytes  29.11.2012 10:41:34
VBASE030.VDF   : 7.11.51.235     2048 Bytes  29.11.2012 10:41:34
VBASE031.VDF   : 7.11.52.2      76800 Bytes  30.11.2012 10:42:01
Engineversion  : 8.2.10.214
AEVDF.DLL      : 8.1.2.10      102772 Bytes  10.07.2012 12:08:59
AESCRIPT.DLL   : 8.1.4.70      467323 Bytes  30.11.2012 10:42:14
AESCN.DLL      : 8.1.9.4       131445 Bytes  15.11.2012 13:43:37
AESBX.DLL      : 8.2.5.12      606578 Bytes  14.06.2012 13:13:26
AERDL.DLL      : 8.2.0.74      643445 Bytes  07.11.2012 11:43:00
AEPACK.DLL     : 8.3.0.40      815479 Bytes  12.11.2012 09:43:22
AEOFFICE.DLL   : 8.1.2.50      201084 Bytes  05.11.2012 13:42:53
AEHEUR.DLL     : 8.1.4.156    5579128 Bytes  30.11.2012 10:42:14
AEHELP.DLL     : 8.1.25.2      258423 Bytes  12.10.2012 08:21:24
AEGEN.DLL      : 8.1.6.10      438646 Bytes  15.11.2012 13:43:35
AEEXP.DLL      : 8.2.0.16      119157 Bytes  30.11.2012 10:42:15
AEEMU.DLL      : 8.1.3.2       393587 Bytes  10.07.2012 12:08:48
AECORE.DLL     : 8.1.29.2      201079 Bytes  07.11.2012 11:42:58
AEBB.DLL       : 8.1.1.4        53619 Bytes  05.11.2012 13:42:51
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  23.05.2012 07:10:32
AVPREF.DLL     : 12.3.0.32      50720 Bytes  13.11.2012 14:37:39
AVREP.DLL      : 12.3.0.15     179208 Bytes  08.05.2012 09:47:59
AVARKT.DLL     : 12.3.0.33     209696 Bytes  13.11.2012 14:37:38
AVEVTLOG.DLL   : 12.3.0.15     169168 Bytes  23.05.2012 07:10:32
SQLITE3.DLL    : 3.7.0.1       398288 Bytes  23.05.2012 07:10:33
AVSMTP.DLL     : 12.3.0.32      63992 Bytes  01.08.2012 08:18:00
NETNT.DLL      : 12.3.0.15      17104 Bytes  23.05.2012 07:10:33
RCIMAGE.DLL    : 12.3.0.31    4819704 Bytes  01.08.2012 08:17:26
RCTEXT.DLL     : 12.3.0.32      98848 Bytes  13.11.2012 14:37:38

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\DOKUME~1\Semeda\LOKALE~1\Temp\eed71831.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, 
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Freitag, 30. November 2012  13:07

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\Dokumente und Einstellungen\Semeda\Desktop\Postal-Receipt'
C:\Dokumente und Einstellungen\Semeda\Desktop\Postal-Receipt\PostalReceipt.exe
  [FUND]      Ist das Trojanische Pferd TR/Dldr.Kuluoz.B.17

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Semeda\Desktop\Postal-Receipt\PostalReceipt.exe
  [FUND]      Ist das Trojanische Pferd TR/Dldr.Kuluoz.B.17
  [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '539e069b.qua' verschoben!


Ende des Suchlaufs: Freitag, 30. November 2012  13:08
Benötigte Zeit: 00:00 Minute(n)

Der Suchlauf wurde abgebrochen!

      1 Verzeichnisse wurden überprüft
      1 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
      0 Dateien ohne Befall
      0 Archive wurden durchsucht
      0 Warnungen
      1 Hinweise

markusg · 30.11.2012, 16:00

Hi,
bitte poste, wenn du das nächste mal ein Avira log postest, es ohne deinen vollen Namen.
Hast du die entsprechene Mail noch? falls ja, leite sie mir mal weiter.
markusg - trojaner-board.de

markusg · 30.11.2012, 16:45

hi,
Wenn solche, oder ähnlicihe Spams reinkommen, gerne an die oben genannte Adresse senden.
Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die
OTL.exe
.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die
Textbox.

Code:

ATTFilter

activex
netsvcs
msconfig
%SYSTEMDRIVE%\*.
%PROGRAMFILES%\*.exe
%LOCALAPPDATA%\*.exe
%systemroot%\*. /mp /s
C:\Windows\system32\*.tsp
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\*.dll /lockedfiles
%USERPROFILE%\*.*
%USERPROFILE%\Local Settings\Temp\*.exe
%USERPROFILE%\Local Settings\Temp\*.dll
%USERPROFILE%\Application Data\*.exe
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Kopiere
nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

30.11.2012, 16:00	#2
markusg /// Malware-holic	Versehentlich Trojaner-Datei ausgeführt: TR/Dldr.Kuluoz.B.17 / PostalReceipt.exe Hi, bitte poste, wenn du das nächste mal ein Avira log postest, es ohne deinen vollen Namen. Hast du die entsprechene Mail noch? falls ja, leite sie mir mal weiter. markusg - trojaner-board.de __________________ __________________

Versehentlich Trojaner-Datei ausgeführt: TR/Dldr.Kuluoz.B.17 / PostalReceipt.exe

Log-Analyse und Auswertung: Versehentlich Trojaner-Datei ausgeführt: TR/Dldr.Kuluoz.B.17 / PostalReceipt.exe