Trojaner-Board - Oh je 2 Trojaner gefunden, AntiVirus-Update nicht mehr möglich... vllt nach DeInstallation von HotSpot Shield?

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Oh je 2 Trojaner gefunden, AntiVirus-Update nicht mehr möglich... vllt nach DeInstallation von HotSpot Shield? (https://www.trojaner-board.de/134239-oh-je-2-trojaner-gefunden-antivirus-update-mehr-moeglich-vllt-deinstallation-hotspot-shield.html)

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes - denk bitte vorher daran, Malwarebytes über den Updatebutton zu aktualisieren

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

also erst einmal das:

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Database version: v2013.04.04.07
 

Windows Vista Service Pack 2 x86 NTFS

Internet Explorer 9.0.8112.16421

alopolosmann :: alopolo-PC [limited]
 

03.05.2013 09:27:17

mbam-log-2013-05-03 (09-27-17).txt
 

Scan type: Full scan (C:\|D:\|F:\|)

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM

Scan options disabled: P2P

Objects scanned: 450821

Time elapsed: 1 hour(s), 52 minute(s), 14 second(s)
 

Memory Processes Detected: 0

(No malicious items detected)
 

Memory Modules Detected: 0

(No malicious items detected)
 

Registry Keys Detected: 0

(No malicious items detected)
 

Registry Values Detected: 0

(No malicious items detected)
 

Registry Data Items Detected: 0

(No malicious items detected)
 

Folders Detected: 0

(No malicious items detected)
 

Files Detected: 3

D:\Alles\System32\vom ede\Programme\Inet-programme\mIRC\mIRC_v6[1].12_cracked + NNScript\mirc612.exe (Backdoor.Bot) -> Quarantined and deleted successfully.

D:\Alles\System32\vom ede\Programme\Inet-programme\mIRC\mIRC_v6[1].12_cracked + NNScript\nnscript379.exe (Riskware.HideWindow) -> Quarantined and deleted successfully.

D:\Alles\System32\vom ede\Programme\System-programme\Powerquest_Drive_Image2002_deutsch\DERETAILDI600\UTILITY\WINDOWS\wipehead.exe (Trojan.Ransom.ANC) -> Quarantined and deleted successfully.
 

(end)

Zitat:

D:\Alles\System32\vom ede\Programme\Inet-programme\mIRC\mIRC_v6[1].12_cracked + NNScript\mirc612.exe (Backdoor.Bot) -> Quarantined and deleted successfully.
D:\Alles\System32\vom ede\Programme\Inet-programme\mIRC\mIRC_v6[1].12_cracked + NNScript\nnscript379.ex

Auman, warum lässt du die Finger nicht von diesem illegalen Dreck? :stirn:

ich weiß doch nicht mal was das ist.... hat mir mal mein cousen draufgespielt ist vom jahre 2006 oder so. das ist meine externe festplatte da ist alles drauf was auf meinem vorherigen laptop drauf war der dann nie mehr anging :crazy::glaskugel2::lach: jetzt weiß ich auch warum

was ist das denn überhaupt??? ich habs doch aber hoffentlich nun gelöscht oder?

Cracks und Keygens sind illegale Mitel, um eine Software ohne Lizenz nutzen zu können bzw. den Kopierschutz zu umgehen.

Was ist mit ESET?

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=781f254cee43af4197a2a1bb2bb71f7e

# engine=13755

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-05-04 06:03:59

# local_time=2013-05-04 08:03:59 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.0.6002 NT Service Pack 2

# compatibility_mode=1799 16775165 100 97 9329 138361944 2113 0

# compatibility_mode=5892 16776574 100 100 125508 205223367 0 0

# scanned=297394

# found=8

# cleaned=0

# scan_time=8870

sh=6F6672A63C4E9BA2E19D9F181E2DC940F8F45C65 ft=1 fh=13c0890ed95b2751 vn="Win32/Adware.1ClickDownload.X application" ac=I fn="C:\Users\alopolosmann\Downloads\Gorany_Dramay_bo_dwain_jar-by-SarbasT-Yanai_Halatni_Gawra.exe"

sh=259B1375ED8E84943CA1D42646BB416325C89E12 ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde application" ac=I fn="D:\Alles\Dokumente und Einstellungen\alopolo\Lokale Einstellungen\Temp\removalfile.bat"

sh=FE17C0983D206A13B932E231118C2CA11050D93E ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde.NEO application" ac=I fn="D:\Alles\WINDOWS\system32\llmoq.ini2"

sh=E6F0F13A0ED2F4F06FA75A4CA18DA1DC2156DA72 ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde.NEO application" ac=I fn="D:\Alles\WINDOWS\system32\llmoq.tmp"

sh=F41ECECF8E4BB95CAF6C0B64A62C8732E391D962 ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde.NEO application" ac=I fn="D:\Alles\WINDOWS\system32\mskeqhrg.ini"

sh=93A593318D5BDCAEBB7643DCF38EB1E08A0CEB74 ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde.NEO application" ac=I fn="D:\Alles\WINDOWS\system32\oqtwa.ini"

sh=B99D15B8121E8F7265151533DA915A339588574E ft=1 fh=2fac2af010b4b39c vn="Win32/Adware.WinAntiVirus application" ac=I fn="D:\Alles\WINDOWS\system32\stera.exe"

sh=259B1375ED8E84943CA1D42646BB416325C89E12 ft=0 fh=0000000000000000 vn="Win32/Adware.Virtumonde application" ac=I fn="F:\alopolo\Lokale Einstellungen\Temp\removalfile.bat"

so soll ich das eset nun deinstallieren wie beschrieben?

und dann noch ne frage ich habe nun mal in den ordner meines cousens geschaut, der hats wohl zu gut mit mir gemeint... da ist viel blödsinn drauf was ich nicht kenne und auch nie gebraucht/genutzt habe. kann ich das bedenkenlos löschen oder ist da was systemrelevantes drauf? wegen dem wörtle system32????

Nur Reste. Bitte wie folgt löschen

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

:Files

C:\Users\alopolosmann\Downloads\Gorany_Dramay_bo_dwain_jar-by-SarbasT-Yanai_Halatni_Gawra.exe

D:\Alles\Dokumente und Einstellungen\alopolo\Lokale Einstellungen\Temp\removalfile.bat

D:\Alles\WINDOWS\system32\llmoq.ini2

D:\Alles\WINDOWS\system32\llmoq.tmp

D:\Alles\WINDOWS\system32\mskeqhrg.ini

D:\Alles\WINDOWS\system32\oqtwa.ini

D:\Alles\WINDOWS\system32\stera.exe

F:\alopolo\Lokale Einstellungen\Temp\removalfile.bat

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[resethosts]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Code:

All processes killed

========== FILES ==========

C:\Users\alopolosmann\Downloads\Gorany_Dramay_bo_dwain_jar-by-SarbasT-Yanai_Halatni_Gawra.exe moved successfully.

D:\Alles\Dokumente und Einstellungen\alopolo\Lokale Einstellungen\Temp\removalfile.bat moved successfully.

D:\Alles\WINDOWS\system32\llmoq.ini2 moved successfully.

D:\Alles\WINDOWS\system32\llmoq.tmp moved successfully.

D:\Alles\WINDOWS\system32\mskeqhrg.ini moved successfully.

D:\Alles\WINDOWS\system32\oqtwa.ini moved successfully.

D:\Alles\WINDOWS\system32\stera.exe moved successfully.

F:\alopolo\Lokale Einstellungen\Temp\removalfile.bat moved successfully.
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\alopolosmann\Desktop\cmd.bat deleted successfully.

C:\Users\alopolosmann\Desktop\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: alopolo

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 33170 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: alopolosmann

->Temp folder emptied: 921860 bytes

->Temporary Internet Files folder emptied: 1417306 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 253173929 bytes

->Google Chrome cache emptied: 0 bytes

->Apple Safari cache emptied: 0 bytes

->Opera cache emptied: 0 bytes

->Flash cache emptied: 1974 bytes

 

User: Public

->Temp folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 4752 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 244,00 mb

 

File move failed. C:\Windows\System32\drivers\etc\Hosts scheduled to be moved on reboot.

Error: Unble to create default HOSTS file!

 

OTL by OldTimer - Version 3.2.69.0 log created on 05052013_011751

Ok, alles wieder gut soweit?

Zitat:

Zitat von cosinus (Beitrag 1056401)

Ok, alles wieder gut soweit?

bist du aber flott, ich schau mal

edit: DAAAAAAAAnke!

War ja auch "nur" das Löschlog, es wurde offensichtlich alles erfolgreich gelöscht was noch weg musste :D

Dann wären wir durch! :daumenhoc

Falls du noch Lob oder Kritik loswerden möchtest => http://www.trojaner-board.de/lob-kritik-wuensche/

Die Programme, die hier zum Einsatz kamen, können alle wieder runter.

Combofix entfernen (nur relevant wenn es hier benutzt wurde!) : Start/Ausführen (Tastenkombination WIN+R), dort den Befehl combofix /uninstall eintippen und ausführen

Mit Hilfe von OTL kannst du auch viele andere Tools entfernen: Starte dazu einfach OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.

Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.