GVU-Trojaner.. abgesicherter Modus hilft nicht
 

Hi Trojaner-Board!

Ich habe seit gestern einen GVU-Trojaner, mein PC ist ab dem Start gesperrt und selbst die Methode mit dem abgesicherten Modus hilft nicht, dort habe ich das gleiche Problem..

PC: Windows XP 32 Bit

Ich hoffe ihr könnt mir da weiterhelfen!!


LG
HeinoO

Geht abgesichert mit Eingabeaufforderung?

nö, gleiches Problem.. nach dem Start sofort blockiert :/

Dann schauen wir mal ob das so funktioniert:



:hallo:

Ich werde dir bei deinem Problem helfen. Die Bereinigung funktioniert nur, wenn du dich an die folgenden Regeln hälst:


Computer entsperren mit HitmanPro.Kickstart

Du brauchst hierfür einen USB-Stick. Achtung: Alle Daten darauf werden verloren gehen!

• Bereite deinen USB-Stick wie folgt vor: Anleitung: HitmanPro.Kickstart
• Schliesse deinen präparierten Stick an den infizierten Rechner an und starte ihn vom Stick: Anleitung: Starten vom USB-Stick
• Es erscheint ein Bootmenü von HitmanPro - wähle zunächst Methode 1 aus und wenn das nicht klappen sollte, dann Methode 2.
• Windows wird jetzt ganz normal starten. Wenn der Sperrschirm des Trojaners erscheint warte einfach ab. HitmanPro sollte in wenigen Sekunden gestartet werden (grünes Fenster).
• Klicke jetzt: Weiter > "Nein, ich möchte nur einen Einmalscan ..." > Weiter
• Der Computer wird jetzt untersucht, mache in dieser Zeit bitte nichts.
• Klicke dann weiter, um die Funde in die Quarantäne zu verschieben.
• Klicke jetzt unten links auf "Logfile speichern" und lege es auf dem Desktop ab.
• Lasse den Rechner neu starten, berichte ob alles geklappt hat und poste mir hier das Logfile von HitmanPro.

Video-Anleitung: HitmanPro.Kickstart in Aktion (englisch)

Ich habe den USB-Stick mit HitmanPro.Kickstart vorbereitet und an den infizierten Rechner angeschlossen.
Nach dem drücken von F12 bekam ich folgendes Fenster:

"Please select boot device:

Hard Disk
CD&DVD
USB"

Jetzt hatte ich USB ausgewählt und bekomme folgende Meldung:

"Remove disks or other media.
Press any key to restart"

Es befindet sich keine CD/DVD im Laufwerk und kein weiterer USB ist angeschlossen (abgesehen von Maus und Tastatur).

Was nun?

Funktioniert der Hitman Stick an einem anderen Rechner? Nochmal einen anderen Stick ausprobiert?

Habe es mit einem zweiten Stick probiert, gleiches Problem..
Beide Sticks lassen sich problemlos an mein Laptop anschließen, beide sind mit "HitmanPro", "HitmanPro_x64" und "Kickstarter" ausgerüstet.

K.a. warum es nicht funktioniert. Dann müssen wir eben nochmals ausweichen:

http://www.trojaner-board.de/90074-otlpe.html

hat funktioniert! :)

Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)

Fix mit OTLpe

Warnung: Dieses Skript wurde nur für diesen User und diese spezielle Situation geschrieben. Auf anderen Computern ausgeführt kann es nachhaltige Schäden anrichten!
Hinweis: Wenn du deinen Benutzernamen unkenntlich gemacht hast, musst du wieder deinen richtigen Namen einsetzen, ansonsten wird das Skript nicht funktionieren.

• Starte den infizierten Rechner mit der OTLpe-CD und starte OTLpe.
• Falls du keine Internetverbindung hast:
  1. Drücke Windows-Taste + R > notepad (reinschreiben) > OK
  2. Kopiere das Fixskript in den Editor und speichere die Datei als Fix.txt
  3. Kopiere dir die Fix.txt auf einen USB-Stick.
  4. Schliesse den Stick an den infizierten Rechner an und kopiere dir die Datei auf den Desktop.
• Füge das Skript in das Feld Custom Scans / Fixes ein:

Code:

---

:OTL

O4 - HKU\*****_ON_D..\Run: [ctfmon.exe]  File not found
O4 - Startup: D:\Dokumente und Einstellungen\*****\Startmenü\Programme\Autostart\msconfig.lnk
D:\DOKUME~1\ALLUSE~1\ANWEND~1\eoco6z.dat
[2013/06/29 10:06:13 | 095,023,320 | ---- | M] () -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\z6ocoe.pad
[2013/06/29 10:06:05 | 000,001,792 | ---- | M] () -- D:\WINDOWS\tasks\Plus-HD-2.6-firefoxinstaller.job
[2013/06/29 10:06:04 | 000,001,180 | ---- | M] () -- D:\WINDOWS\tasks\Plus-HD-2.6-codedownloader.job
[2013/06/29 10:06:04 | 000,001,176 | ---- | M] () -- D:\WINDOWS\tasks\Plus-HD-2.6-updater.job
[2013/06/29 10:06:04 | 000,001,080 | ---- | M] () -- D:\WINDOWS\tasks\Plus-HD-2.6-enabler.job
[2013/06/29 10:06:04 | 000,000,494 | ---- | M] () -- D:\WINDOWS\tasks\1-Klick-Wartung.job
[2013/06/28 08:24:49 | 000,000,794 | ---- | M] () -- D:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Autostart\msconfig.lnk
[2013/06/28 08:20:16 | 000,003,061 | ---- | M] () -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\z6ocoe.js
[2013/06/28 08:12:17 | 000,000,794 | ---- | M] () -- D:\Dokumente und Einstellungen\*****\Startmenü\Programme\Autostart\msconfig.lnk
[2013/06/28 08:11:49 | 000,155,648 | ---- | M] (Microsoft Corporation) -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\eoco6z.dat
[2013/06/28 08:11:48 | 000,033,792 | ---- | M] (Microsoft Corporation) -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rundll32.exe

[2013/06/28 08:24:35 | 000,001,599 | ---- | C] () -- D:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Remoteunterstützung.lnk
[2013/06/28 08:24:35 | 000,000,772 | ---- | C] () -- D:\Dokumente und Einstellungen\Administrator\Startmenü\Programme\Windows Media Player.lnk

---

• Schliesse bitte nun alle anderen Programme.
• Klicke nun bitte auf den Fix Button.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop. (Auch zu finden unter C:\OTLpe\MovedFiles\<datum_nummer.log>)
• Kopiere nun den Inhalt hier in deinen Thread, möglichst in Code-Tags.

Hinweis: Die Ausführung des Kommandos kann einige Minuten dauern und OTLpe scheint in dieser Zeit nicht zu reagieren. Bitte geduldig sein! :kaffee:

Frage:

• Kannst du jetzt wieder in den normalen Modus booten? (Wir sind aber noch nicht fertig!)

Schritt 2:
Normal booten.


Schritt 3:
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
  Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und aktzeptiere die Endbenutzer-Lizenz.
  Bei heutiger Malware ist dies sehr empfehlenswert, da diese uns eine Möglichkeit bietet, dein System zu reparieren, falls etwas schief geht.
  Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
  Hinweis: Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es eine Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Ich konnte die Wiederherstellungskonsole leider nicht herunterladen, da mein Internet am PC im Moment nicht mehr geht..

Achso ja der Rest hat geklappt!! :)

Na das sieht ganz ordentlich aus.

Machen wir mal nen Test:


Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte poste das Logfile hier oder teile mir mit, dass nichts gefunden wurde.

Hinweis: Der Scan kann sehr lange (einige Stunden) dauern! :kaffee:


Schritt 2:
Scan mit SecurityCheck

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Hallo, benötigst Du noch weiterhin Hilfe ?

Sollte ich innerhalb der nächsten 24 Stunden keine Antwort von dir erhalten, werde ich dein Thema aus meinen Abos nehmen und bekomme dadurch keine Nachricht über neue Antworten.

Das Verschwinden der Symptome bedeutet nicht, dass dein System schon sauber ist

Fehlende Rückmeldung
Dieses Thema wurde aus den Abos gelöscht. Somit bekomm ich keine Benachrichtigung über neue Antworten.
PM an mich falls Du denoch weiter machen willst. Keine Logfiles einsenden, nur kurzer Hinweis, nachdem du deine Logfiles hier eingestellt hast.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen