Hi,

seit ein paar Tagen habe ich viele E-Mails mit Zahlungsaufforderungen bekommen. Im Anhang befindet sich immer eine ZIP-Datei, z.B: Mahnung.zip oder Anhang.zip.

h**p://www.sch**b.de/685688/gefaelschte-mails-vom-amtsgericht-bringen-trojaner-mit

Ich habe einmal einen Anhang geöffnet und nun hat sich auf meinem Rechner ein Schädling eingenistet, so was ähnliches wie der hier:

h**p://www.avira.com/en/threats/section/fulldetails/id_vir/4364/tr_dldr.i**ll.bd.html

Zur genauen Identifikation des Schädlings habe ich mittels PE-Builder eine BootCD gebaut

h**p://www.n**.nu/pebuilder/

Damit wollte ich den Avira-Virenscanner über mein System laufen lassen. Aber der lässt sich nicht nachträglich auf dem gestartete BartPE installieren.

Daher meine Fragen:
- Mit welchen Tools analysiert ihr die Festplatte eine verseuchten Rechners?
- Wie bekomme ich den Schädling wieder los, ohne Windows neu zu installieren?

Schönen Sonntag,
Hannes

Hallo,

erstmal vorweg: Ganz sicher gehst Du nur, bei einem Formatieren und Neuaufsetzen, eine Bereinigung birgt immer das Risiko, dass etwaige noch aktive Malware sich sehr gut versteckt oder nicht erkannt wird und deswegen im System verbleiben kann.

Ich habe einmal einen Anhang geöffnet

Warum?
Man klckt doch nicht alles blind an. Vllt mal drüber nachdenken, zukünftig vorsichtiger zu sein, und nur noch mit eingeschränkten Rechten zu arbeiten/surfen/mailen - denn dann wäre wohl nix passiert.

Damit wollte ich den Avira-Virenscanner über mein System laufen lassen. Aber der lässt sich nicht nachträglich auf dem gestartete BartPE installieren.

Das funktioniert auch so nicht, da das BartPE kein "vollwertiges" Windows ist. Ich weiß nicht ob Avira das anbietet, aber normalerweise muss über ein BartPE Plugin ein BartPE CD erstellt werden, bei der der Virenscanner mit rein kommt. Vergessen wir das aber erstmal:

Acker diese Punkte für weitere Analysen ab:

1.) Poste ein (neues) Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

[code] Hier das Logfile rein! [/code]

7.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Zitat von root24

erstmal vorweg: Ganz sicher gehst Du nur, bei einem Formatieren und Neuaufsetzen, eine Bereinigung birgt immer das Risiko, dass etwaige noch aktive Malware sich sehr gut versteckt oder nicht erkannt wird und deswegen im System verbleiben kann.

Ja, das werde ich wohl machen müssen...

Warum?
Man klckt doch nicht alles blind an.

Mache ich auch nicht. Es war ein Freund und ich muss ihm jetzt helfen, seinen Rechner wieder in Gang zu bringen.

Das funktioniert auch so nicht, da das BartPE kein "vollwertiges" Windows ist. Ich weiß nicht ob Avira das anbietet, aber normalerweise muss über ein BartPE Plugin ein BartPE CD erstellt werden, bei der der Virenscanner mit rein kommt. Vergessen wir das aber erstmal:

Aber ich habe folgendes Problem: Der Rechner hängt nach dem Einloggen, denn der Explorer kommt nicht mehr hoch. Ich wollte schon explorer.exe ersetzen (mittels BartPE), aber die Datei scheint unangetastet.

Also nix mit Analyse aus dem aktuellen System.

Warum schreibst Du, Du hättest ihn ausgeführt?

Na, wie auch immer. Ich schätze das einfachste und schnellste bei diesem kaputten System ist ein Daten sichern über die Live-CD (BartPE, Knoppix o.ä. geht aber auch) und anschließendes Formatieren und neuaufsetzen.

Wenn Du das so (noch) nicht willst, trotzdem erstmal Daten sichern, und anschließend statt dem Formatieren eine Reparaturinstallation probieren.

Zitat von root24

Warum schreibst Du, Du hättest ihn ausgeführt?

Naja, ich dachte es glaubt mir eh keiner, wenn ich schreibe, ein Freund hätte sich den Virus eingefangen.

Na, wie auch immer. Ich schätze das einfachste und schnellste bei diesem kaputten System ist ein Daten sichern über die Live-CD (BartPE, Knoppix o.ä. geht aber auch) und anschließendes Formatieren und neuaufsetzen.

Wenn Du das so (noch) nicht willst, trotzdem erstmal Daten sichern, und anschließend statt dem Formatieren eine Reparaturinstallation probieren.

Eine Neuinstallation ist das klar das Beste, aber manchmal auch eine langwierige Prozedur. Ich hatte gehofft, dass es für diesen in den letzten Tagen doch sehr populären Virustypen bald eine Anleitung oder Tool zum Entfernen geben würde.

Danke.

Zitat von dummling

Eine Neuinstallation ist das klar das Beste, aber manchmal auch eine langwierige Prozedur. Ich hatte gehofft, dass es für diesen in den letzten Tagen doch sehr populären Virustypen bald eine Anleitung oder Tool zum Entfernen geben würde.

Um der Bereinigung einen Sinn zu geben, sollte erstmal sichergestellt werden, dass Windows ordentlich startet. Was bringt es, wenn man unter dem Live-System die Platte bereinigt, Zeit aufwendet und hinterher feststellr, dass alles umsonst war, da man Windows nicht mehr lauffähig bekommt?

Daher entweder gleich konsequent formatieren oder erstmal die Reparaturinstall prorobieren.