Trojaner-Board - AntiVir hat Trojaner TR/ATRAPS.Gen2 entdeckt

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - AntiVir hat Trojaner TR/ATRAPS.Gen2 entdeckt (https://www.trojaner-board.de/107001-antivir-hat-trojaner-tr-atraps-gen2-entdeckt.html)

So hier ist der ESET Online Scanner Log:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=2b8273ec1020ed42b14ed7b92008af61

# end=stopped

# remove_checked=true

# archives_checked=false

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-27 05:50:39

# local_time=2011-12-27 06:50:39 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=512 16777215 100 0 153211 153211 0 0

# compatibility_mode=1792 16777215 100 0 6390755 6390755 0 0

# compatibility_mode=5893 16776574 66 94 161257 76637414 0 0

# compatibility_mode=8192 67108863 100 0 4084 4084 0 0

# scanned=51564

# found=0

# cleaned=0

# scan_time=674

ESETSmartInstaller@High as downloader log:

all ok

esets_scanner_update returned -1 esets_gle=53251

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=2b8273ec1020ed42b14ed7b92008af61

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-27 08:32:16

# local_time=2011-12-27 09:32:16 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 2

# compatibility_mode=512 16777215 100 0 153963 153963 0 0

# compatibility_mode=1792 16777215 100 0 6391507 6391507 0 0

# compatibility_mode=5893 16776574 66 94 162009 76638166 0 0

# compatibility_mode=8192 67108863 100 0 4836 4836 0 0

# scanned=242513

# found=4

# cleaned=0

# scan_time=9640

C:\Users\Kenan\AppData\Local\7b30d2dc\X        Win64/Sirefef.N trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\80000000.@        Win64/Sirefef.P trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\800000cb.@        Win64/Sirefef.M trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\800000cf.@        Win64/Sirefef.O trojan (unable to clean)        00000000000000000000000000000000        I

ESETSmartInstaller@High as downloader log:

all ok

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":Files" muss mitkopiert werden!!!)

Code:

:Files

C:\Users\Kenan\AppData\Local\7b30d2dc

C:\Windows\system32\consrv.dll

C:\tmp\consrv.dll

:Commands

[emptytemp]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

So hier ist der OTL Fix Log:

Code:

All processes killed

========== FILES ==========

File\Folder C:\Users\Kenan\AppData\Local\7b30d2dc not found.

File\Folder C:\Windows\system32\consrv.dll not found.

C:\tmp\consrv.dll moved successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Kenan

->Temp folder emptied: 52056209 bytes

->Temporary Internet Files folder emptied: 59206077 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 125341065 bytes

->Flash cache emptied: 2486 bytes

 

User: Public

->Temp folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 1065476 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 101595 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 227,00 mb

 

C:\Windows\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.31.0 log created on 12312011_013501
 

Files\Folders moved on Reboot...

C:\Users\Kenan\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
 

Registry entries deleted on Reboot...

Nach dem ich Fix geckickt habe und der Computer sich neustarten wollte, hatte er dabei schwierigkeiten, weil sich explorer.exe nicht schließen ließ.

Deshalb musste ich die Schließung von exploerer.exe erzwingen. Danach versuchte der Computer sich abzumelden, was aber nicht ging.

Schließlich habe ich den Ausschaltknopf des Laptops betätigt. (gedrückt gehalten)

Und danach das Notebook wieder eingeschaltet.

Wollte ich nur mal erwähnen, falls es relevant sein sollte ;)

Schau mal mit der Live-Linux-CD PartedMagic nochmal nach, ob dieser Ordner:

C:\Users\Kenan\AppData\Local\7b30d2dc

existiert. Unter PartedMagic sollte so so abgebildet werden:

/media/sad3/Users/Kenan/AppData/Local/7b30d2dc

Wenn ja diesen Ordner 7b30d2dc wieder nach tmp bitte verschieben. Starte danach Windows und mach einen neuen Kontrollscan mit ESET

Ich habe es zweimal überprüft. Ein Ordner namens 7b30d2dc existiert nicht.

Dann mach mal bitte einen neuen Kontrollscan mit ESET

So habe jetzt noch einen scann mit ESET gemacht.

Hier ist der Log

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=2b8273ec1020ed42b14ed7b92008af61

# end=stopped

# remove_checked=true

# archives_checked=false

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-27 05:50:39

# local_time=2011-12-27 06:50:39 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=512 16777215 100 0 153211 153211 0 0

# compatibility_mode=1792 16777215 100 0 6390755 6390755 0 0

# compatibility_mode=5893 16776574 66 94 161257 76637414 0 0

# compatibility_mode=8192 67108863 100 0 4084 4084 0 0

# scanned=51564

# found=0

# cleaned=0

# scan_time=674

ESETSmartInstaller@High as downloader log:

all ok

esets_scanner_update returned -1 esets_gle=53251

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=2b8273ec1020ed42b14ed7b92008af61

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-12-27 08:32:16

# local_time=2011-12-27 09:32:16 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 2

# compatibility_mode=512 16777215 100 0 153963 153963 0 0

# compatibility_mode=1792 16777215 100 0 6391507 6391507 0 0

# compatibility_mode=5893 16776574 66 94 162009 76638166 0 0

# compatibility_mode=8192 67108863 100 0 4836 4836 0 0

# scanned=242513

# found=4

# cleaned=0

# scan_time=9640

C:\Users\Kenan\AppData\Local\7b30d2dc\X        Win64/Sirefef.N trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\80000000.@        Win64/Sirefef.P trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\800000cb.@        Win64/Sirefef.M trojan (unable to clean)        00000000000000000000000000000000        I

C:\Users\Kenan\AppData\Local\7b30d2dc\U\800000cf.@        Win64/Sirefef.O trojan (unable to clean)        00000000000000000000000000000000        I

ESETSmartInstaller@High as downloader log:

all ok

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=2b8273ec1020ed42b14ed7b92008af61

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2012-01-02 01:38:45

# local_time=2012-01-02 02:38:45 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 2

# compatibility_mode=512 16777215 100 0 653186 653186 0 0

# compatibility_mode=1792 16777215 100 0 6890730 6890730 0 0

# compatibility_mode=5893 16776574 66 94 661232 77137389 0 0

# compatibility_mode=8192 67108863 100 0 504059 504059 0 0

# scanned=208303

# found=5

# cleaned=0

# scan_time=3985

C:\_OTL\MovedFiles\12282011_222332\C_Users\Kenan\AppData\Local\7b30d2dc\X        Win64/Sirefef.N trojan (unable to clean)        00000000000000000000000000000000        I

C:\_OTL\MovedFiles\12282011_222332\C_Users\Kenan\AppData\Local\7b30d2dc\U\80000000.@        Win64/Sirefef.P trojan (unable to clean)        00000000000000000000000000000000        I

C:\_OTL\MovedFiles\12282011_222332\C_Users\Kenan\AppData\Local\7b30d2dc\U\800000cb.@        Win64/Sirefef.M trojan (unable to clean)        00000000000000000000000000000000        I

C:\_OTL\MovedFiles\12282011_222332\C_Users\Kenan\AppData\Local\7b30d2dc\U\800000cf.@        Win64/Sirefef.O trojan (unable to clean)        00000000000000000000000000000000        I

C:\_OTL\MovedFiles\12312011_013501\C_tmp\consrv.dll        Win64/Sirefef.J trojan (unable to clean)        00000000000000000000000000000000        I

Das ist soweit ok. Funde in C:\_OTL kannst du ignorieren, da packt OTL nur seine Backups hin wenn man Einträge fixt oder Dateien/Ordner löscht.

Rechner soweit wieder im Lot?

Ja es sieht wieder in Ordnung aus. Danke dir vielmals :)

Hast du eine Empfehlung für mich, wie ich sowas in Zukunft umgehen kann. Mit einer neuen Antivirussoftware vielleicht?

Zitat:

Mit einer neuen Antivirussoftware vielleicht?

Die Frage - welcher Virenscanner oder ob der installierte reicht - taucht ständig auf.
Der Virenscanner - egal welcher - kann und wird niemals 100% Schutz bieten können. Neue/unbekannte Schädlinge können immer durch die Lappen gehen. Geld ausgeben muss man nicht für einen Scanner, sowas wie Avast oder Microsoft Security Essentials sind für die privaten Gebrauch völlig ausreichend.
Abgesehen davon nutzen verschiedene Virenscanner unterschiedliche Signaturen und Techniken, das führt dazu, dass zB Scanner1 Schädling X entdeckt, aber Schädling Y übersieht. Scanner2 erkennt Schädling Y, dafür aber Schädling X nicht...
Wichtiger ist, dass du dich an Regeln hälst. Der beste Virenscanner bringt nichts, wenn du dich falsch verhälst und fahrlässig/unvorsichtig bist. Airbag und Sicherheitsgurt im Auto sind ja auch keine Gründe dafür auf die Verkehrsregeln zu pfeifen.

Halte Dich am besten grob an diese Regeln:

Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!!
Halte Windows und alle verwendeten Programme immer aktuell - unterstützen kann dich dabei Secunia PSI
Führe regelmäßig Backups auf externe Medien durch
Arbeite mit eingeschränkten Rechten
Nutze sicherere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen
automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko
Bei der Installation von Software möglichst darauf achten, dass die Setups aus offiziellen Quellen stammen und du bei der Installation nach Möglichkeit die benutzerdefinierte Methode wählst - dann hast du die Möglichkeit etwaigen Schrott (wie Toolbars oder sowas wie RegistryBooster) abzuwählen, welcher sonst einfach mitinstalliert wird.
Bösartige bzw. ungewollte Sites von vornherein blockieren lassen mit Hilfe der MVPS Hosts File => Blocking Unwanted Parasites with a Hosts File

Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar?

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:

Adobe - Andere Version des Adobe Flash Player installieren

Notfalls kann man auch von Chip.de runterladen => http://filepony.de/?q=Flash+Player

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Dankeschön nochmals :) Ich werde versuchen diese Regeln zu beachten.