Trojaner-Board - Virus: JS/Agent.Z ... Rechner gesperrt durch Bundespolizeitrojaner

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Virus: JS/Agent.Z ... Rechner gesperrt durch Bundespolizeitrojaner (https://www.trojaner-board.de/134771-virus-js-agent-z-rechner-gesperrt-bundespolizeitrojaner.html)

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Vollscan mit Malwarebytes - denk bitte vorher daran, Malwarebytes über den Updatebutton zu aktualisieren

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hmmm....
Beim Versuch Malewarebytes upzudaten bekom ich immer folgende Fehlermeldung:

Code:

Ein Fehler ist aufgetreten, bitte geben Sie das Problem an das Malwarebytes Antimaleware Support-Team weiter (inklusive aller Fehlermeldung(en) und Fehlercode(s)).
 

PROGRAMM_ERROR_UPDATING (0, 0, DNS error)

Nachdem ich den Rechner neu gestartet hab und anschliessend den Router 1 min ausgeschaltet hatte, hat die aktualisierung von Malewarebytes jetzt geklappt. Der Router spinnt manchmal und alle paar Tage muss ich den vom Strom nehmen damit ich wieder ins I-Net kann.
War jetzt nur irritiert weil ich auf keine Seite im Netz Zugriff bekam, aber trotzdem auf Trojaner-Board.

Werde jetzt die Programme durchlaufen lassen.

Hier nun die LogFiles:

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.05.15.05
 

Windows 7 x64 NTFS

Internet Explorer 9.0.8112.16421

Kup :: DIETRICH [Administrator]
 

15.05.2013 11:56:28

mbam-log-2013-05-15 (11-56-28).txt
 

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|Q:\|)

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 416014

Laufzeit: 1 Stunde(n), 21 Minute(n), 41 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 2

C:\Qoobox\Quarantine\C\ProgramData\rrelo.dat.vir (Trojan.FakeMS) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Qoobox\Quarantine\C\ProgramData\tjmwizd.dat.vir (Trojan.FakeMS) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=b88132eb69342445aa89ec069a2b5a9a

# engine=13835

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-05-15 04:42:16

# local_time=2013-05-15 06:42:16 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7600 NT 

# compatibility_mode=1034 16777213 100 78 24979 58296546 0 0

# compatibility_mode=5893 16776574 100 94 21873167 120265986 0 0

# scanned=188112

# found=4

# cleaned=0

# scan_time=8336

sh=DF7652C155F364711F6A8DC7FE29F83BE69E199C ft=0 fh=0000000000000000 vn="Win32/Bagle.gen.zip worm" ac=I fn="C:\ProgramData\Spybot - Search & Destroy\Recovery\ToolbarFacemood77.zip"

sh=DF7652C155F364711F6A8DC7FE29F83BE69E199C ft=0 fh=0000000000000000 vn="Win32/Bagle.gen.zip worm" ac=I fn="C:\Users\All Users\Spybot - Search & Destroy\Recovery\ToolbarFacemood77.zip"

sh=1D7F9E03300EF82CFBA6A1E09AA1AC56065D2D53 ft=0 fh=0000000000000000 vn="Win32/Reveton.M trojan" ac=I fn="C:\Users\Gast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk"

sh=0E8E31C4C2A43FB6618B710512C921C1FE8C1C52 ft=0 fh=0000000000000000 vn="Win32/Reveton.M trojan" ac=I fn="C:\_OTL\MovedFiles\05142013_192206\C_ProgramData\dziwmjt.bat"

Da wurden nur quarantänisierte Reste gefunden und naja, ein Überrest im Gastkonto:

Code:

C:\Users\Gast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk

Einfach mal diese Datei löschen

Sieht soweit ok aus :daumenhoc

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Vielen, vielen Dank bis hierhin schonmal :abklatsch:

Ich weiss jetzt nur nicht wie ich die von dir genannte Datei löschen kann. Über den Explorer krieg ich die nicht angezeigt. Vllt kannst mir da irgendnen Tip geben wie ich da rankomme.

Das System läuft soweit normal, keine Probleme.
Ich hatte aber vor längerem schonmal Probleme mit Maleware wodurch mein Firefox damals sehr sehr langsam lief. Das hatte ich dann über nen Firefox-Support-Chat geregelt, wobei mir damals dieses Board auch schon nahegelegt wurde.
Weitere Funde bisher hab ich nicht, müsste nochmal durchlaufen lassen.

Wie sieht das denn mit den in Quaränte stehenden Dateien aus? Kann man doch eigentlich löschen wenn das System ordentlich läuft oder?

Wegen der Cookies: da hab ich den Browser generell so eingestellt das keine gespeichert werden, genauso das keine Chronik angelegt wird.
Ab und an stell ich das kurz aus um PW zu speichern, aber selten und nur für häufig besuchte Seiten.

Ah ja, das hab ich ganz vergessen:
Die Windows-Updates klappen nicht immer.
Also wenn er das Service-Pack updaten will bekomm ich nachdem er da ne ganze Weile dran war irgendwann ne Fehlermeldung und es wird wieder auf den alten Stand zurückgesetzt.
Hab es zich mal auch selber manuell versucht zu updaten, aber das klappt nicht.
Und hab keine Ahnung woran es liegen könnte.

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

:Files

C:\Users\Gast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[resethosts]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Code:

All processes killed

========== FILES ==========

C:\Users\Gast\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\msconfig.lnk moved successfully.
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\Kup\Desktop\cmd.bat deleted successfully.

C:\Users\Kup\Desktop\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: Gast

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 0 bytes

->Google Chrome cache emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Kup

->Temp folder emptied: 509898 bytes

->Temporary Internet Files folder emptied: 35923 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 5130210 bytes

->Google Chrome cache emptied: 0 bytes

->Opera cache emptied: 0 bytes

->Flash cache emptied: 492 bytes

 

User: Public

->Temp folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 13002 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 5,00 mb

 

C:\Windows\System32\drivers\etc\Hosts moved successfully.

HOSTS file reset successfully

 

OTL by OldTimer - Version 3.2.69.0 log created on 05152013_211242
 

Files\Folders moved on Reboot...

C:\Users\Kup\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
 

PendingFileRenameOperations files...
 

Registry entries deleted on Reboot...

So, die Datei wäre weg

Zitat:

Wie sieht das denn mit den in Quaränte stehenden Dateien aus? Kann man doch eigentlich löschen wenn das System ordentlich läuft oder?

Was habt ihr alle immer nur mit der Quarantäne? :wtf:
Überleg doch mal was eine Quarantäne ist. Ob da die schädliche Datei drinbleibt oder nicht, das hat keine Auswirkungen. Schädlinge in der Quarantäne können nichts mehr anrichten, sie sind dort isoliert. Du solltest grundsätzlich mit der Quarantäne arbeiten, denn falls der Virenscanner durch einen Fehlalarm was wichtiges löscht, kannst Du notfalls noch über die Quarantäne an die Datei ran.

Zitat:

Wegen der Cookies: da hab ich den Browser generell so eingestellt das keine gespeichert werden, genauso das keine Chronik angelegt wird.
Ab und an stell ich das kurz aus um PW zu speichern, aber selten und nur für häufig besuchte Seiten.

:daumenhoc

Zitat:

Hab es zich mal auch selber manuell versucht zu updaten, aber das klappt nicht.
Und hab keine Ahnung woran es liegen könnte.

Was bitte genau klappt da nicht?! :wtf:

Tja, gute Frage die ich mir selber auch immer gestellt hatte :D

Das Update dauert immer ziemlich lange, weiss jetzt auch nicht mehr bis wieviel % er ankommt,
aber dann wird er immer abgebrochen mit ner Fehlermeldung und startet neu und setzt wieder alles auf vorherigen Stand zurück.
Das ist nur bei dem Service-Pack Update, alle anderen Updates laufen normal durch.
Ich hatte ne zeitlang versucht das dann auch manuell zu machen und auch das ein oder andere ausprobiert um zu trixen damit es klappt, aber war nie was zu machen.
Hab es jetzt auch schon länger nicht mehr probiert.
Dachte mir dann irgendwann: solang das System ordentlich läuft wird es schon ok sein mit der älteren Version...

Das hier schon probiert? => http://www.trojaner-board.de/126216-...tml#post946713

Versuch mal danach das SP1 zu installieren