Facebook-Trojaner als JPEG-Link
 

Hallo ihr Lieben,

ich benötige eure Hilfe. Könnte mir in den Hintern beißen :headbang:, denn ich habe auf FB einen Link geöffnet, der irgendwas mit einem JPEG zu tun hatte. Ich hätte ihn vermutlich nicht geöffnet, wenn ich nicht erst am Tag vorher zufällig die Bekannte getroffen hätte, von der ich den Link geschickt bekam. Daher ahnte ich nichts Böses. Naja, nun ist es so und nun habe ich mir Trojaner eingefangen. Ich nutze fürs Internet Firefox, beim Suchen und Öffnen von Seiten über Google werde ich ständig an Seiten weitergeleitet, die ich nicht geöffnet habe. Bei einem Trojaner-Scan mit Fast-Scan (hatte ich von Chip.de runtergeladen) wurden Meldungen mit c:\\Users\Name\AppData\Roaming...exe gefunden, konnten jedoch offenbar nicht eliminiert werden. Nachdem ich mich schon ein bisschen bei euch auf der Plattform eingelesen habe, sende ich im Anschluss gleich mal die Scan-Ergebnisse von Malware. Für weiter Hilfe wäre euch sehr dankbar!
:dankeschoen:


_________________________________________________________________

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 8076

Windows 6.1.7601 Service Pack 1
Internet Explorer 8.0.7601.17514

05.11.2011 13:00:30
mbam-log-2011-11-05 (13-00-30).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 313306
Laufzeit: 57 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 2
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 4
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 15

Infizierte Speicherprozesse:
c:\Users\Nadja\AppData\Roaming\151F0\5043D.exe (Malware.Packer) -> 3840 -> Unloaded process successfully.
c:\Users\Nadja\AppData\Roaming\microsoft\1921\DA2.exe (Backdoor.CycBot.Gen) -> 3580 -> Unloaded process successfully.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Backdoor.CycBot) -> Value: Load -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell.Gen) -> Value: Shell -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\C73.exe (Backdoor.CycBot.Gen) -> Value: C73.exe -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\DA2.exe (Backdoor.CycBot.Gen) -> Value: DA2.exe -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Users\Nadja\AppData\Roaming\151F0\5043D.exe (Malware.Packer) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\3A4EVF70\data[1].exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\3A4EVF70\t[1].exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\0436331.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\2445518.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\4363730.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\5626153.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\8257248.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\8597921.exe (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Local\Temp\net_framework_update_4.0.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Roaming\151F0\5043d.exe.vir (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Roaming\151F0\6B219.exe (Malware.Packer) -> Quarantined and deleted successfully.
c:\Users\Nadja\p-7-78-8964-9648-3874\wincrs.exe.vir (Trojan.Obfuscated) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Roaming\msnsvconfig.txt (Malware.Trace) -> Quarantined and deleted successfully.
c:\Users\Nadja\AppData\Roaming\microsoft\1921\DA2.exe (Backdoor.CycBot.Gen) -> Quarantined and deleted successfully.

Ausserdem habe ich jetzt das Problem, dass ich nun nicht mehr ins Internet komme. Wirkt so als wuerde der Zugang blockiert, kann das durch Malware kommen? Benutze jetzt gerade den PC meines Freundes....

hi,
öffne mal
internet explorer, dort öffne extras, optionen, verbindungen, netzwerk verbindung.
lösche, falls vorhanden, den eintrag im feld proxy server.
und nimm dann den haken bei proxy verwenden raus, übernehmen, ok
öffne firefox, extras, einstellungen, erweitert, netzwerk, kein proxy verwenden, übernehmen.
schließen, erneut öffnen, internet sollte erst mal wieder gehen.

ok, vielen Dank für die Anweisung, Internet funktioniert wieder, sowohl mit Firefox als auch mit Internetexplorer. Was das Trojaner-Problem angeht bin ich aber noch immer ratlos und wäre sehr sehr dankbar für weitere Hilfe von euch.

LG

nachdem ich denselben Link über Facebook geöffnet habe wie Sani (siehe: http://www.trojaner-board.de/104758-...geoeffnet.html) mach ich jetzt einfach auch mal mit dem ESET-Online-Scanner nach der Anweisung von Sani weiter...

hi, bitte mache nur das in deinem thread angewiesene.
ich bin ne privat person und stehe nun mal nicht 24 stunden am tag zur verfügung, also geduld
weiter hiermit
bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Hi, entschuldige bitte, dass ich so vorschnell war. Bin gerade dabei das combofix zu erstellen, allerdings zeigt mir das Programm jetzt eine Meldung an, dass noch folgende Real-Time-Scanner aktiv sind:
Ist mir jedoch nicht ganz klar warum, denn ich hatte mein McAfee bereits vorher wie angewiesen deaktiviert...

klicke einfach auf ok dann läuft combofix weiter

ok, combofix ist fertig, aber nächstes Problem: weder Firefox noch Internetexplorer lassen sich öffnen. Stattdessen erscheint folgende Meldung:

Iich schreib nun also wieder vom PC meines Freundes. Was nu?

wenn man dann auf OK klickt (was die einzige Möglichkeit ist) öffnet sich eine weitere Meldung von Windows:

starte mal neu dann gehts wieder

ok, ich habs doch wieder hinbekommen, Neustart hilft... im Anhang also nun mein combofix-report.

start suchen, tippe:
editor
enter
kopiere rein:

Killall::
Rootkit::
folder::
c:\users\Nadja\AppData\Roaming\C7350
c:\users\Nadja\AppData\Roaming\242C7
c:\users\Nadja\AppData\Roaming\Microsoft\1922
c:\users\Nadja\AppData\Roaming\Microsoft\C201
c:\users\Nadja\P-7-78-8964-9648-3874
c:\users\Nadja\AppData\Roaming\F003A
c:\users\Nadja\AppData\Roaming\151F0
c:\users\Nadja\M-1-52-5782-8752-5245


datei speichern unter, typ alle dateien, ort, dort wo sich combofix.exe befindet.
name:
cfscript.txt
schalte jetzt alles an laufenden programmen aus. auch antimalware und alles was im systray, neben der uhr, offen ist.
geht meist über rechtsklick, deaktivieren bzw beenden.
ziehe dann cfscript auf combofix, programm startet log posten

ok, hab alles so ausgeführt, wie beschrieben. Hier der Bericht No. 2 im Anhang

sehr gut.
öffne jetzt computer, c: qoobox. rechtsklick quarantain, mit winrar zip oder nem andern pack programm packen. nach anleitung hochladen.
http://www.trojaner-board.de/54791-a...ner-board.html