Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung

Plagegeister aller Art und deren Bekämpfung: Was macht dieser Trojaner ?

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 04.02.2009, 17:59   #1
WasIstLos???
 
Was macht dieser Trojaner ? - Icon17

Was macht dieser Trojaner ?



Hallo,

ratloser Neuling sucht Hilfe/Antwort.

Habe mir über einen USB-Stick meiner Nichte einen Trojaner? eingefangen.
Nach dem Einstecken des Sticks hatte ich 5-6 mal eine Fehlermeldung bezüglich nicht vorhandener Laufwerke auf dem Bildschirm. Habe sie unbedacht weggeklickt. Erst dann informiete mich meine Nichte über ihr Problem. Ihr Internet-Explorer zeige als Fenstertext seit einiger Zeit die Überschrift
"Internet Explorer hacked by Knuddelbär".
Hab' dann Kuddelbär bei mir gesucht und wurde fündig. Fand zwei Dateien auf dem Stick die auf meine sämtlichen Festplatten übertragen wurden.
- autorun.inf
- knuddelbär.vbs
Clever (Haha) wie ich war habe ich die Dateien gelöscht, mich gefreut und den Computer neu gestartet. Überraschung! Waren wieder da. Blöd.
Dateien umbenannt. Blöd. waren wieder da. Habe mir knuddelbär.vbs im
Editor angeschaut und bis auf wscript.exe nichts verstanden. Jetzt habe ich
die umbenannt und oh Wunder nach Neustart waren die Dateien nicht nochmals erschienen.

Jetzt meine Fragen:
- brauch ich die wscript.exe
- was hat knuddelbär angestellt
- und wie bekomme ich den knuddelbär bei mir und meiner Nichte los.

füge den Text der beiden Dateien ein:

autorun.inf:
[autorun]
shellexecute=wscript.exe KNUDDELBÄR.vbs

***Script entfernt***


Wenn mir jemand helfen kann..... Danke im Voraus!!!

WasIstLos???

Alt 04.02.2009, 18:08   #2
myrtille
/// TB-Ausbilder
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hi,

lade dir bitte Malwarebytes herunter und aktualisiere die Datenbank, stecke den USB-Stick ein und führe den Quickscan durch und poste das Ergebnis hier.

lg myrtille
__________________

__________________

Alt 04.02.2009, 19:57   #3
WasIstLos???
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Zitat:
Zitat von myrtille Beitrag anzeigen
Hi,

lade dir bitte Malwarebytes herunter und aktualisiere die Datenbank, stecke den USB-Stick ein und führe den Quickscan durch und poste das Ergebnis hier.

lg myrtille
Hallo myrtille,

Danke für Deine erste? Antwort.

Also: Habe Malwarebytes von Herstellerseite heruntergeladen. Grosses Chaos. Installiert...
beim updaten kommt Meldung: Neue Version wird installiert. Zonealarm schlägt
Aaaalarm! Soll ich es wagen? Risikooo. Gemacht. Installiert.
Dann (ohne USB-Stick) - Quickscann.

Ergebnisprotokoll
Malwarebytes' Anti-Malware 1.33
Datenbank Version: 1727
Windows 5.1.2600 Service Pack 3

04.02.2009 18:56:12
mbam-log-2009-02-04 (18-55-59).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 49564
Laufzeit: 16 minute(s), 58 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
F:\Dokumente und Einstellungen\Hugo\Lokale Einstellungen\Temp\is-V2QQI.tmp\mbam-setup.tmp (Adware.SearchIt99) -> No action taken.

Habe ich jetzt neue Probleme??????

Dann Quickscann mit eingestecktem USB-Stick.
Ergebnisprotokoll
Malwarebytes' Anti-Malware 1.33
Datenbank Version: 1727
Windows 5.1.2600 Service Pack 3

04.02.2009 19:34:25
mbam-log-2009-02-04 (19-34-25).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 49306
Laufzeit: 13 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Habe allerdings den USB-Stick nicht über den Explorer angesprochen und auch
nicht die wscript.exe wieder richtig umbenannt.

PS: Sorry mit dem "Script" - dämmert mir jetzt warum

Gruss WasIstLost???
__________________

Alt 04.02.2009, 22:45   #4
myrtille
/// TB-Ausbilder
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hi,

ich hatte noch im Kopf, dass MBAM diese Art von Infektion bereinigt. Das war wohl mein Fehler.

wscript.exe ist eine legitime Windowsdatei, die Skripte interpretieren kann. Wenn du die Datei löschst wird das "Hacked by" nicht mehr ausgeführt, aber auch alle anderen vbs-Dateien können nicht mehr interpretiert werden.

Hier gibt es eine manuelle Anleitung zur Entfernung: Link

Erstelle bitte zur Kontrolle ein Log mit RSIT. Es werden 2 Dateien erstellt (log.txt und info.txt). Poste den Inhalt beider Dateien hier. (Wenn die Dateien zu lange sind kannst du sie bei file-upload hochladen und die Links hier posten.)
Lasse RSIT bitte aufs Internet zugreifen um HijackThis herunterzuladen und wähle bitte bei der Zeitdauer "3 months" aus.

lg myrtille
__________________
Anfragen per Email, Profil- oder privater Nachricht werden ignoriert!
Hilfe gibts NUR im Forum!


Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM

Spelling mistakes? Never, but keybaord malfunctions constantly!

Geändert von myrtille (04.02.2009 um 22:55 Uhr)

Alt 04.02.2009, 23:06   #5
WasIstLos???
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



[QUOTE=myrtille;411020]Hi,

ich hatte noch im Kopf, dass MBAM diese Art von Infektion bereinigt. Das war wohl mein Fehler.

wscript.exe ist eine legitime Windowsdatei, die Skripte interpretieren kann. Wenn du die Datei löschst wird das "Hacked by" nicht mehr ausgeführt, aber auch alle anderen vbs-Dateien können nicht mehr interpretiert werden.

Hier gibt es eine manuelle Anleitung zur Entfernung: Link


Hallo da bin ich wieder.

Habe im Board gestöbert und eine Eintrag von Inho1 vom 19.06.08 gefunden.
Da steht das gleiche Script drin das ich auch auf meinem Rechner habe;
nur mit einem anderen Namen. Gelöscht ist es nicht.
Ganz klar ist mir nicht ob der Trojaner? dort erfolgreich vom Rechner entfernt
wurde. Auch finde ich keine Angaben was der Trojaner? eigentlich anstellt.
Habe eine Web-Seite h**p://w**.quaschtel.de/wsh/wscriptnetwork.htm gefunden in denen die einzelnen Script-Anweisungen erklärt werden. Versuche
jetzt mal herauszufinden was "mein" Trojaner? so anstellt.

Danke für die bisherige Hilfe

Der Link zum hijackthis-forum sieht Klasse aus. Werde mich hineinknien.

Gruss WasIstLos???


Alt 05.02.2009, 23:25   #6
WasIstLos???
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hallo,

bin jetzt ein Stückchen weiter. Habe mit Hilfe verschiedener Web-Seiten
den VBS-Code nachvollzogen und "meinen" Trojaner? zeilenweise ablaufen
lassen und mir die Variablen und Codes anzeigen lassen.
Irgenwie scheint das ganze ein "Übungs-Script" zu sein. Kann mir nicht
vorstellen, dass man um eine Datei von einem Verzeichnis in ein anderes
Verzeichnis zu schreiben, den Inhalt auslesen und im neuen Verzeichnis
wieder einlesen muss. Nun, vielleicht gibt es in VB kein Kopier-Code????

Die beiden Hauptaufgaben "meines" Trojaners? sind zum einen, sich über
alle Laufwerke eines Rechners zu Verbreiten, sich auf Datenwechselträger
(ausser Disketten) zu schleusen (er hat eine Zeitschleife und prüft alle 2 Minuten nach);
zum anderen durch Einträge in der Registery in den Autostart zu schreiben
und den Fenster-Titel desInternet-Explorer zu verändern ("Hacked by....).
Also fast harmlos.

Die letzten beiden Codezeilen finde ich seltsam.
Wenn man sie ausführt erscheint ein Explorer-Fenster und die VBS-Datei
ist makiert. Fehlt da was??? Warum stehen die da????
Wenn der Trojaner? seine Aufgabe erfüllt, werden die 2 Code-Zeilen nicht
ausgeführt.

Wofür der Trojaner? nichts kann und ich nicht erkennen kann ist was anderes:
Auf allen meinen Laufwerken (Festplatten und Partitionen) gibt es den Ordner
"System Volume Information" von denen ich glaube das dort Systemwieder-
herstellungspunkte abgespeichert werden.
Habe mit AVG-Free nach "meine" Trojaner? und anderen suchen lassen.
AVG hat ihn gefunden. Doch zusätzlich in den genannten Ordner VBS-Dateien
mit der selben Virusinformation gefunden. Leider wurde mir der Zugriff vom
System verweiger ("Zugriff Verweigert"). Habe jetzt alle gelöscht und die
Reg-Einträge korrigiert.

Werde das ganze jetzt mal ein paar Tage beobachten. Wenn ich mich nicht mehr melde, läuft alles wie vorher.

Danke

WasIstLos???

Alt 06.02.2009, 13:47   #7
myrtille
/// TB-Ausbilder
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hi,

die Systemwiederherstellung soll ja dafür sorgen, dass man den Rechner auf einen bestimmten Zeitpunkt zurücksetzen und ihn dann wieder so konfiguriert vorfindet, wie zu diesem Zeitpunkt. Wenn der Rechner zu diesem Zeitpunkt infiziert war, wird er es dann auch wieder sein.
Es gibt also eine Kopie der Malware in deiner SWH. Das einfachste (und gängigste) ist es die SWH einmal zu deaktivieren und somit alle Sicherungspunkte zu löschen, und sicher alle Spuren zu löschen.
Danach kann man die SWH aktivieren und einen neuen, sauberen Sicherungspunkt zu setzen.

lg myrtille
__________________
Anfragen per Email, Profil- oder privater Nachricht werden ignoriert!
Hilfe gibts NUR im Forum!


Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM

Spelling mistakes? Never, but keybaord malfunctions constantly!

Alt 06.02.2009, 16:13   #8
WasIstLos???
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hallo,

Danke, habe Deinen Rat befolgt. AVG hatte zwar die VBS-Dateien aus der Wiederherstellung
in Quarantäne geschickt, aber sicher ist sicher.
Neugierig wie ich bin, habe ich dann eine der in Quarantäne liegende VBS-Datei in einem
anderen Ordner wiederherstellen lassen, um zu schauen was das war/ist. Vielleicht
war/ist das ja ein anderer Trojaner? gewesen. Und was der gemacht hat oder nicht.....
Doch wie gehabt: "Zugriff verweigert" Attribute lassen sich ändern nur nicht ansehen.
Das Ding ausführen haben ich nicht versucht. Wer weiss was da passiert.
Nun, ich kann damit leben. Falls Du ein Tip hast wie ich da ran komme....
Danke Dir auf jeden Fall für Deine Hilfe und Tips/Links -habe sie benutzt und sie haben
genützt.
Also bis zu meinem nächsten Austerlitz oder Waterloo. Man "liest" sich.

Gruss
WasIstLos???http://www.trojaner-board.de/images/smilies/party.gif

Alt 06.02.2009, 16:18   #9
myrtille
/// TB-Ausbilder
 
Was macht dieser Trojaner ? - Standard

Was macht dieser Trojaner ?



Hi,

ja das hat System. Die Systemwiederherstellung und ihre Dateien ist nur vom System selbst und nicht von Benutzern einsehbar.
Das hat den Nachteil, dass wir da nicht reingucken können, allerdings auch den Vorteil, dass Malware keinerlei Zugriff oder Einfluss auf die SWH hat. Was in der SWH liegt kann nicht von selbst wieder rauskommen.

Es gibt noch ein paar weitere derartige Dateien. Zb die hiberfile.sys und die pagefile.sys sind ebenfalls Dateien auf die nur Windows selbst Zugriff hat.

lg myrtille
__________________
Anfragen per Email, Profil- oder privater Nachricht werden ignoriert!
Hilfe gibts NUR im Forum!


Wer nach 24 Stunden keine weitere Antwort von mir bekommen hat, schickt bitte eine PM

Spelling mistakes? Never, but keybaord malfunctions constantly!

Antwort

Themen zu Was macht dieser Trojaner ?
bezüglich, brauch, computer, dateien, dateien gelöscht, entfernt, fehlermeldung, fenster, festplatte, festplatten, frage, fragen, gelöscht, gesucht, hacked, hacked by, internet explorer, internet-explorer, knuddelbär, laufwerke, neustart, nichts, platte, sucht, trojaner, trojaner ?, trojaner?, usb-stick, wscript.exe



Ähnliche Themen: Was macht dieser Trojaner ?


  1. Dieser Schädling macht mein Internet kaputt
    Plagegeister aller Art und deren Bekämpfung - 20.10.2015 (5)
  2. Unsicher ob GVU-Trojaner (oder ähnliches) noch auf dem Rechner ist oder ob dieser entfernt wurde.
    Mülltonne - 29.01.2015 (0)
  3. Trojaner ADH2 wurde von Norten erkannt und isoliert . Ist dieser noch auf meinem Computer ?
    Plagegeister aller Art und deren Bekämpfung - 02.06.2014 (19)
  4. Trojaner ADH2 wurde von Norten erkannt und isoliert . Ist dieser noch auf meinem Computer ?
    Alles rund um Windows - 22.05.2014 (2)
  5. GVU Trojaner Webcam - Was macht dieser Trojaner genau?
    Plagegeister aller Art und deren Bekämpfung - 11.05.2013 (4)
  6. Windows will für nicht lizensierte Software 100 Euro ? Glaube das ist dieser Trojaner oder?
    Plagegeister aller Art und deren Bekämpfung - 20.03.2012 (19)
  7. ...und wieder dieser lästige "ich soll 50€ bezahlen"-Virus...Hilfe! Trojaner,Malware
    Log-Analyse und Auswertung - 05.03.2012 (8)
  8. Infizierung mit Trojan.Win32.Inject.arpx!A2 - Wie lässt sich dieser Trojaner entfernen
    Plagegeister aller Art und deren Bekämpfung - 25.05.2011 (10)
  9. Trojaner trotz Neuinstallation? Was sagt ihr zu dieser .exe?
    Plagegeister aller Art und deren Bekämpfung - 25.03.2011 (5)
  10. Avira zeigt Virus an, dieser taucht aber nach Löschversuch immer wieder auf. Trojaner vermutet.
    Log-Analyse und Auswertung - 18.02.2011 (1)
  11. Ist dieser Trojaner bekannt.....?
    Plagegeister aller Art und deren Bekämpfung - 25.09.2008 (4)
  12. Schädlichkeit dieser Viren/Trojaner (scananhang)
    Plagegeister aller Art und deren Bekämpfung - 08.08.2007 (3)
  13. Was genau macht dieser Trojaner
    Plagegeister aller Art und deren Bekämpfung - 01.03.2007 (7)
  14. Dieser Trojaner läßt sich nicht entfernen
    Plagegeister aller Art und deren Bekämpfung - 14.12.2006 (15)
  15. Hilfe:Dieser Trojaner hat mein PC total im Griff!!
    Plagegeister aller Art und deren Bekämpfung - 26.06.2005 (1)
  16. TR/Dial.DLL.EP wem sagt dieser Trojaner etwas?
    Plagegeister aller Art und deren Bekämpfung - 17.12.2004 (4)
  17. Trojaner auf dieser Seite?
    Plagegeister aller Art und deren Bekämpfung - 22.12.2003 (2)

Zum Thema Was macht dieser Trojaner ? - Hallo, ratloser Neuling sucht Hilfe/Antwort. Habe mir über einen USB-Stick meiner Nichte einen Trojaner? eingefangen. Nach dem Einstecken des Sticks hatte ich 5-6 mal eine Fehlermeldung bezüglich nicht vorhandener Laufwerke - Was macht dieser Trojaner ?...
Archiv
Du betrachtest: Was macht dieser Trojaner ? auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.