Trojaner-Board - 50 Euro UKash / Verschluesselungstrojaner

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - 50 Euro UKash / Verschluesselungstrojaner (https://www.trojaner-board.de/114699-50-euro-ukash-verschluesselungstrojaner.html)

50 Euro UKash / Verschluesselungstrojaner

Hallo zusammen,

meine Eltern hat es leider auch mit einer Email erwischt, dementsprechend bin ich dabei, ihn wieder zum laufen zu bringen.

Nach einer mehrtaegigen Forumdurchsuchung anbei die OTL-Logdateien.
Nachdem ich auch nichtmehr im abgesicherten Modus in Windows gelange, habe ich mir die OTLPENet runtergeladen.
Leider war die OTL.txt zu gross fuer den Upload, so dass ich die Logdatei auf zwei Dateien aufgeteilt habe.

Vielen Dank schon mal fuer eure Hilfe!

hi
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:

Code:

:OTL

O4 - HKU\Admin_ON_C..\Run: [7CBB61BE] C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Pigna colada)

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O7 - HKU\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1

O7 - HKU\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1

O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe) - C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Pigna colada)

O27 - HKLM IFEO\msconfig.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\regedit.exe: Debugger - P9KDMF.EXE File not found

O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found

O32 - HKLM CDRom: AutoRun - 1

:Files

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

wow, das ging ja bisher echt fix!

anbei das logfile nach dem neustart

Code:

========== OTL ==========

Registry value HKEY_USERS\Admin_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\7CBB61BE deleted successfully.

C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe moved successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.

Registry value HKEY_USERS\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.

Registry value HKEY_USERS\Admin_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegedit deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe deleted successfully.

File C:\WINDOWS\system32\8279D1617CBB61BEE8A9.exe not found.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe\ deleted successfully.

Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\taskmgr.exe\ deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!

========== FILES ==========

========== COMMANDS ==========

 

[EMPTYFLASH]

 

User: Admin

->Temp folder emptied: 16178038 bytes

->Temporary Internet Files folder emptied: 15471811 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 53463487 bytes

->Opera cache emptied: 0 bytes

->Flash cache emptied: 1928088 bytes

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 67 bytes

 

User: HelpAssistant

->Temp folder emptied: 1441826 bytes

->Temporary Internet Files folder emptied: 4495073 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 2824749 bytes

->Flash cache emptied: 0 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33062 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

->FireFox cache emptied: 3881820 bytes

 

Total Flash Files Cleaned = 95.00 mb

 

 

[EMPTYTEMP]

 

User: Admin

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 0 bytes

->Opera cache emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: HelpAssistant

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->FireFox cache emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 2134333 bytes

%systemroot%\System32 .tmp files removed: 2951 bytes

%systemroot%\System32\dllcache .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 2505524 bytes

 

Total Files Cleaned = 4.00 mb

 

 

OTLPE by OldTimer - Version 3.1.48.0 log created on 05042012_175757
 

Files\Folders moved on Reboot...

File\Folder C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\2011-09-16-1183586462_04-RG.PDF  not found!
 

Registry entries deleted on Reboot...

hi,

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2

WICHTIG - Speichere Combofix auf deinem Desktop

Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Anbei der Log von Combofix, die TXT war leider wieder zu groß

lassen sich all deine dateien normal öffnen?

Soweit ich bisher gesehen habe ja

hi,
malwarebytes:
Downloade Dir bitte Malwarebytes

Installiere
das Programm in den vorgegebenen Pfad.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Starte Malwarebytes, klicke auf Aktualisierung --> Suche
nach Aktualisierung
Wenn das Update beendet wurde, aktiviere vollständiger Scan durchführen und drücke auf Scannen.
Wenn der Scan beendet
ist, klicke auf Ergebnisse anzeigen.
Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
Poste
das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter "Log Dateien" finden.

anbei das logfile von Malewarebytes

Code:

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.05.04.02
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 6.0.2900.5512

Admin :: PC [Administrator]
 

04.05.2012 21:15:43

mbam-log-2012-05-04 (21-15-43).txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 340712

Laufzeit: 1 Stunde(n), 25 Minute(n), 11 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 2

C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Xjqdoxjf\6FACBE947CBB61BED5DC.exe (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\_OTL\MovedFiles\05042012_175757\C_WINDOWS\system32\8279D1617CBB61BEE8A9.exe (Trojan.Agent.SZ) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

hast du dir das per mail eingefangen?
an solchen mails mit rechnung, mahnung und sonstigen anhängen, von unbekannten absendern bin ich interessiert.
wenn du ein mail programm nutzt, dann mail markieren, rechtsklick, speichern unter, typ:
.eml einstellen.
dann mail an:
http://markusg.trojaner-board.de
dort die soeben erstellte datei anhängen.
wenn du deine mails über den browser abrufst, sag mir mal welchen anbieter du nutzt, dann geht das ein bisschen anders.

auch wenn in zukunft mails mit anhang von unbekannten absendern rein kommen, so an mich weiterleiten.

ja, das ganze kam wohl per email, nach dem neustart werde ich nachschauen ob sie noch da ist (der virenscanner hatte wohl beim öffnen schon alarm geschlagen)
dann werde ich sie natürlich an dich weiterleiten.

Soll ich nochmals einen Scan durchführen, oder ist das eher zwecklos?

Vielen Dank schon mal für alles!

tut mir leid für den Doppelpost, allerdings habe ich das Problem, dass ich bei Outlook 2003 die Mail nicht als .eml abspeichern kann, mir stehen nur folgendes zur Auswahl:
- nur Text
- Outlook-Vorlage
- Outlook-Nachrichtenformat
- Outlook-Nachrichtenformat - Unicode

- Outlook-Nachrichtenformat
ist ok :-)