Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung
EXP/CVE-2013-0422 (Trojan.FakeAlert)

EXP/CVE-2013-0422 (Trojan.FakeAlert)


Plagegeister aller Art und deren Bekämpfung: EXP/CVE-2013-0422 (Trojan.FakeAlert)

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

 
Vorheriger Beitrag Vorheriger Beitrag   Nächster Beitrag Nächster Beitrag
Alt 26.02.2013, 19:12   #1
muckl
 
EXP/CVE-2013-0422 (Trojan.FakeAlert) - Standard

EXP/CVE-2013-0422 (Trojan.FakeAlert)


Hallo!

Ich habe ein ganz ähnliches Problem wie in http://www.trojaner-board.de/129580-...ch-sauber.html geschildert. Ich habe gelesen, dass das Ding über eine Java-Lücke kommt. Dabei habe ich Version 7 vom 14.2.2013 drauf?!

Über einen Link, der etwas ganz anderes versprochen hat, bin ich auf einer offensichtlich unseriösen Seite gelandet. Von wegen Geld online etc. etc. Etwa 10 Minuten später war von meinem Bildschirm alles weg, ich habe für einige Sekunden nur das Desktophintergrundbild gesehen, dann kam formatfüllend mit Logo der Bundespolizei etc. "Sie haben sich durch ihre Onlineaktivität strafbar gemacht... zahlen Sie 100 Euro mit ukash...". Dieses Fenster konnte man nicht schließen, keine Tabs wechseln, keinen Taskmanager starten... Bei Windows-Neustart kam derselbe Dreck wieder, ehe man irgendwas anderes machen konnte.

Auf einem zweiten Rechner habe ich dann dieses Board gefunden, was das Hauptproblem gelöst hat: Der sperrende Schirm taucht nicht mehr auf. Aber es ist noch nicht sauber.


Was habe ich bislang gemacht?
Mit Avira im abgesicherten Modus einen Komplettscan gemacht, der den EXP/CVE-2013-0422 festgestellt und entfernt hat. Nach einem Neustart aber dasselbe Bild: Sperrbildschirm...
Auf anraten eures Boards habe ich mir Malwarebytes Anti-Malware geholt. Ein Quickscan hat ein paar Sachen gekillt:
Code:
ATTFilter
 Malwarebytes Anti-Malware  (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2012.12.14.11

Windows Vista Service Pack 2 x86 NTFS (Abgesichertenmodus)
Internet Explorer 9.0.8112.16421
Admin :: ADMIN-PC [Administrator]

Schutz: Deaktiviert

26.02.2013 10:38:06
mbam-log-2013-02-26 (10-38-06).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 227419
Laufzeit: 5 Minute(n), 44 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Trojan.FakeAlert) -> Daten: explorer.exe, "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\msshell.exe" -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\Admin\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk (Trojan.Ransom.SUGen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
Ein Komplettscan dann noch mehr:
Code:
ATTFilter
 Malwarebytes Anti-Malware  (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.02.26.06

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
Admin :: ADMIN-PC [Administrator]

Schutz: Aktiviert

26.02.2013 11:35:42
mbam-log-2013-02-26 (11-35-42).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 272622
Laufzeit: 2 Stunde(n), 28 Minute(n), 51 Sekunde(n) [Abgebrochen]

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Users\Admin\10217379.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

Nun habe ich nochmal einen Quickscan laufen lassen, und siehe da: der Registry-Eintrag ist schon wieder da:
Code:
ATTFilter
 Malwarebytes Anti-Malware  (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.02.26.06

Windows Vista Service Pack 2 x86 NTFS
Internet Explorer 9.0.8112.16421
Admin :: ADMIN-PC [Administrator]

Schutz: Aktiviert

26.02.2013 18:32:20
mbam-log-2013-02-26 (18-32-20).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 230783
Laufzeit: 11 Minute(n), 15 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|shell (Trojan.FakeAlert) -> Daten: explorer.exe, "C:\Users\Admin\AppData\Roaming\Microsoft\Windows\msshell.exe" -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
Wenige Sekunden nachdem ich "entfernen" sage meldet sich Avira, dass es einen verdächtigen Zugriff auf die Registry geblockt hat. Nochmal einen Quickscan mit Malwarebytes - und wieder wird der Registry-Eintrag auffällig! Da scheint irgendein Programm ständig zu checken ob der Registry-Eintrag des Trojaners noch da ist und erstellt ihn sofort neu wenn er fehlen sollte...
Avira sagt zwar dass es blockt, aber es blockt offenbar doch nicht. Ich glaube nicht dass Avira die Arbeit von Malwarebytes stört, denn ich habe auch probiert im abgesicherten Modus den Registrywert zu löschen - trotzdem war er dann als Admin wieder da.


Wenn ihr helfen könntet, wäre das wunderbar!

lg
Christoph

 

Themen zu EXP/CVE-2013-0422 (Trojan.FakeAlert)
administrator, autostart, avira, bildschirm, checken, dateien, entfernen, euro, explorer, explorer.exe, festgestellt, geld, gelöscht, löschen, malwarebytes, microsoft, problem, problem gelöst, programm, registrywert, scan, schließen, sekunden, software, taskmanager, vista


« Spyhunter - noch vorhanden? | Chatzum als Suchmaschine in Google Chrome »


Ähnliche Themen: EXP/CVE-2013-0422 (Trojan.FakeAlert)


  1. EXP/CVE-2013-0422.A1.Gen und JAVA/Jogek.ay* in tmp-Datei (musste Beitrag splitten, da zu lang)
    Log-Analyse und Auswertung - 10.10.2015 (8)
  2. Windows7: Trojaner EXP/CVE-2013-0422 und EXP/CVE-2012-4681 gefunden
    Log-Analyse und Auswertung - 02.05.2015 (21)
  3. Windows7: Trojaner EXP/CVE-2013-0422 und EXP/CVE-2012-4681 gefunden
    Mülltonne - 08.04.2015 (3)
  4. Rechner/Internet langsam; u.a. Fund: JAVA/CVE-2013-0422.E
    Plagegeister aller Art und deren Bekämpfung - 09.11.2014 (11)
  5. Trojaner Java.Exploit.CVE-2013-0422.C
    Log-Analyse und Auswertung - 10.09.2013 (4)
  6. ESET Meldet: Java/Exploit.CVE-2013-0422.EI Trojaner
    Plagegeister aller Art und deren Bekämpfung - 06.08.2013 (1)
  7. Doppelbefall: TR/PSW.Zbot.1622 und EXP/2013-0422.K.1
    Plagegeister aller Art und deren Bekämpfung - 26.04.2013 (16)
  8. Kaspersky meldet "Gefunden: HEUR:Exploit.Java.CVE-2013-0422.gen"
    Log-Analyse und Auswertung - 14.04.2013 (12)
  9. EXP/CVE-2013-0422 gefunden
    Log-Analyse und Auswertung - 03.04.2013 (23)
  10. EXP/CVE-2013-0422, EXP/CVE-2013-0422, JAVA/Lamar.RR.2 (von Antivir gefunden)
    Plagegeister aller Art und deren Bekämpfung - 06.03.2013 (26)
  11. TR/Spy.ZBot.3947845 / EXP/CVE-2013-0422 / TR/Agent.112365478
    Plagegeister aller Art und deren Bekämpfung - 27.02.2013 (11)
  12. Exploits EXP/CVE-2013-0422.I + Javavirus JAVA/Jogek.WW
    Log-Analyse und Auswertung - 21.02.2013 (19)
  13. EXP/CVE-2013-0422, TR/Meredrop.A.11462 wgsdgsdgdsgsd.exe (GVU-Trojaner?), BDS/Delf.MN19
    Log-Analyse und Auswertung - 20.01.2013 (13)
  14. Trojan.Phex.THAGen6, RootKit.0Access, Trojan.FakeAlert
    Plagegeister aller Art und deren Bekämpfung - 27.09.2012 (29)
  15. Wie entferne ich Trojan.Banker, Trojan.FakeAlert? C ist (angeblich) leer
    Log-Analyse und Auswertung - 10.10.2011 (5)
  16. Malewarebytes meldet 2 verschiedene Trojaner (Trojan.Downloader und Trojan.FakeAlert)
    Plagegeister aller Art und deren Bekämpfung - 30.08.2010 (0)
  17. iebho.dll (Trojan.FakeAlert, Trojan.BHO.H) lassen sich nicht entfernen
    Log-Analyse und Auswertung - 06.03.2010 (17)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema EXP/CVE-2013-0422 (Trojan.FakeAlert) - Hallo! Ich habe ein ganz ähnliches Problem wie in http://www.trojaner-board.de/129580-...ch-sauber.html geschildert. Ich habe gelesen, dass das Ding über eine Java-Lücke kommt. Dabei habe ich Version 7 vom 14.2.2013 drauf?! Über - EXP/CVE-2013-0422 (Trojan.FakeAlert)...
Archiv
Du betrachtest: EXP/CVE-2013-0422 (Trojan.FakeAlert) auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131