Trojaner-Board - Ukash Virus - Abgesicherter Modus geht nicht

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Ukash Virus - Abgesicherter Modus geht nicht (https://www.trojaner-board.de/130212-ukash-virus-abgesicherter-modus-geht.html)

Ukash Virus - Abgesicherter Modus geht nicht

Mit einer Spam Mail habe ich mir den Ukash Virus eingefangen. Nach Neustart erscheint ein Weißer Bildschirm, Task Manager lässt sich nicht aufrufen. Im abgesicherten Modus fährt der PC nach wenigen Sekunden wieder herunter.

Lösungsansatz:
Von OTLPE-CD gestartet und OTLPE laufen lassen. Die OTL.txt hänge ich an.

Malwarebytes ist auf dem PC installiert - ich komme aber nicht dran.
Nun wollte ich Malwarebytes nochmals in der REATOGO-X-PE Umgebung installieren - klappt aber nicht (falsche Windows Version, Zugriffrechte, etc...)

Kann mir jemand helfen, we es nun weiter geht?

Vielen Dank
Marvin

:hallo:

Fixen mit OTLpe

Starte den unbootbaren Computer erneut mit der OTLPE-CD,
warte bis der Reatogo-X-Pe-Desktop erscheint und doppelklicke das OTLPE-Icon.

Kopiere folgendes Skript in das Textfeld unterhalb von Custom Scans/Fixes:
Sollte das mangels Internet-Verbindung nicht möglich sein,
kopiere den Text aus der folgenden Code-Box und speichere ihn als Fix.txt auf einen USB-Stick.
Schließe den USB-Stick an den Computer an und öffne Fix.txt mit dem Explorer auf dem Reatogo-Desktop.
Kopiere den Inhalt von Fix.txt in das Textfeld unterhalb von Custom Scans/Fixes:

Code:

:OTL
 

O4 - HKU\flora_toskan_ON_I..\Run: [AdobeBridge] File not found 

O4 - HKU\flora_toskan_ON_I..\Run: [cmkxrusp] I:\Users\flora toskan\AppData\Local\gvoafquh.exe () 

O20 - HKU\flora_toskan_ON_I Winlogon: Shell - (C:\Users\flora toskan\AppData\Roaming\skype.dat) - I:\Users\flora toskan\AppData\Roaming\skype.dat () 

[2013/01/28 04:28:20 | 000,095,744 | ---- | M] () -- I:\Users\flora toskan\AppData\Local\urpkrxia.exe 

[2013/01/28 04:23:10 | 000,023,552 | ---- | M] () -- I:\Users\flora toskan\AppData\Local\gvoafquh.exe 
 

:Files 
 

ipconfig /flushdns /c

:Commands

[emptytemp]

Schließe alle Programme.
Klicke auf den Fix Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere den Inhalt hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\OTLpe\MovedFiles\<datum_nummer.log>
Teste, ob den Computer nun wieder in den normalen Windows-Modus booten kannst und berichte.

Hallo John,

:dankeschoen:
Fix laufen lassen --> Neustart im normalen Modus ist ok --> Malwarebytes aktualisiert und Quick-Scan laufen lassen, wobei nichts gefunden wurde.

Das kann es doch noch nicht gewesen sein??

Log-File nach Fix:

HTML-Code:

========== OTL ==========

Registry value HKEY_USERS\flora_toskan_ON_I\Software\Microsoft\Windows\CurrentVersion\Run\\AdobeBridge deleted successfully.

Registry value HKEY_USERS\flora_toskan_ON_I\Software\Microsoft\Windows\CurrentVersion\Run\\cmkxrusp deleted successfully.

I:\Users\flora toskan\AppData\Local\gvoafquh.exe moved successfully.

Registry value HKEY_USERS\flora_toskan_ON_I\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Users\flora toskan\AppData\Roaming\skype.dat deleted successfully.

I:\Users\flora toskan\AppData\Roaming\skype.dat moved successfully.

I:\Users\flora toskan\AppData\Local\urpkrxia.exe moved successfully.

File I:\Users\flora toskan\AppData\Local\gvoafquh.exe not found.

========== FILES ==========

[color=#A23BEC]< ipconfig /flushdns /c >[/color]

Windows IP Configuration

I:\cmd.bat deleted successfully.

I:\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

->Flash cache emptied: 58264 bytes

 

User: Default User

 

User: flora toskan

->Temp folder emptied: 50211201 bytes

->Temporary Internet Files folder emptied: 3131834529 bytes

->Java cache emptied: 1286473 bytes

->FireFox cache emptied: 445344480 bytes

->Flash cache emptied: 61407 bytes

 

User: Public

 

User: UpdatusUser

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 13370995 bytes

 

Total Files Cleaned = 3,474.00 mb

 

 

OTLPE by OldTimer - Version 3.1.48.0 log created on 01282013_133930

Ergebnis Quick Scan:

Malwarebytes Anti-Malware 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.01.28.04

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
xxxxx

28.01.2013 14:04:06
mbam-log-2013-01-28 (14-04-06).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 223310
Laufzeit: 3 Minute(n), 2 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Entpacke das Archiv auf deinem Desktop.
Im neu erstellten Ordner starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

danach:

Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

danach:

Malware-Scan mit Emsisoft Anti-Malware

Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm.
Lade über Jetzt Updaten die aktuellen Signaturen herunter.
Wähle den Freeware-Modus aus.

Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers.
Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten.

Anleitung: http://www.trojaner-board.de/103809-...i-malware.html

Guten Morgen John,

es sieht gut aus:

Malwarebytes Vollscan hat gut 5 Stunden gesucht und fand nur die von Dir verschobenen Dateien. Logfile:

HTML-Code:

Malwarebytes Anti-Malware 1.70.0.1100

www.malwarebytes.org
 

Datenbank Version: v2013.01.28.04
 

Windows 7 Service Pack 1 x86 FAT32

Internet Explorer 9.0.8112.16421

flora toskan :: I-2700 [Administrator]
 

28.01.2013 14:12:18

MBAM-log-2013-01-28 (20-18-07).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|M:\|Y:\|Z:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 1127788

Laufzeit: 5 Stunde(n), 34 Minute(n), 43 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 4

C:\Program Files\Adobe\Adobe Extension Manager CS6\Replace.exe (Spyware.Zbot.ED) -> Keine Aktion durchgeführt.

C:\_OTL\MovedFiles\01282013_133930\I_Users\flora toskan\AppData\Local\gvoafquh.exe (Trojan.Downloader.FW) -> Keine Aktion durchgeführt.

C:\_OTL\MovedFiles\01282013_133930\I_Users\flora toskan\AppData\Local\urpkrxia.exe (Trojan.Ransom.DF) -> Keine Aktion durchgeführt.

C:\_OTL\MovedFiles\01282013_133930\I_Users\flora toskan\AppData\Roaming\skype.dat (Trojan.Ransom.DF) -> Keine Aktion durchgeführt.
 

(Ende)

Malwarebytes Anti-Rootkit hat nichts gefunden

AdwCleaner hat nichts gefunden. Logfile:

HTML-Code:

# AdwCleaner v2.109 - Datei am 29/01/2013 um 05:58:12 erstellt

# Aktualisiert am 26/01/2013 von Xplode

# Betriebssystem : Windows 7 Ultimate Service Pack 1 (32 bits)

# Benutzer : flora toskan - I-2700

# Bootmodus : Normal

# Ausgeführt unter : E:\adwcleaner.exe

# Option [Suche]
 
 

**** [Dienste] ****
 
 

***** [Dateien / Ordner] *****
 
 

***** [Registrierungsdatenbank] *****
 

Schlüssel Gefunden : HKLM\SOFTWARE\Classes\Interface\{79FB5FC8-44B9-4AF5-BADD-CCE547F953E5}
 

***** [Internet Browser] *****
 

-\\ Internet Explorer v9.0.8112.16457
 

[OK] Die Registrierungsdatenbank ist sauber.
 

-\\ Mozilla Firefox v18.0.1 (de)
 

Datei : C:\Users\flora toskan\AppData\Roaming\Mozilla\Firefox\Profiles\mrd96qv2.default\prefs.js
 

[OK] Die Datei ist sauber.
 

*************************
 

AdwCleaner[R1].txt - [804 octets] - [29/01/2013 05:58:12]
 

########## EOF - C:\AdwCleaner[R1].txt - [863 octets] ##########

Emisoft läuft gerade noch.

Spybot und Antivir haben auch nichts gefunden.

Schaue bitte in der Anleitung (http://www.trojaner-board.de/103809-...i-malware.html) nach, wo du die Logfiles finden kannst.
Poste das Logfile bitte.

Fehlende Rückmeldung

Gibt es Probleme beim Abarbeiten obiger Anleitung?

Um Kapazitäten für andere Hilfesuchende freizumachen, lösche ich dieses Thema aus meinen Benachrichtigungen.

Solltest Du weitermachen wollen, schreibe mir eine PN oder eröffne ein neues Thema.
http://www.trojaner-board.de/69886-a...-beachten.html

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner sauber ist.