CIBS Pol Bundesamt für Polizei Trojaner
 

Hallo zusammen

Mein Mitbewohner hat den "CIBS Pol Bundesamt für Polizei Trojaner" auf seinem Laptop eingefangen. Beim Starten des Rechners kommt eine Meldung, dass diverse Straftaten begangen wurden mit der Aufforderung über Paypal 150.- zu überweisen. Diese Meldung erscheint bei jedem Systemstart und lässt sich nicht beenden.

Bisher habe ich folgendes unternommen:

- Windows im abgesicherten Modus gestartet. Nicht möglich, da der PC nach dem Start direkt wieder herunterfährt.

- Windows im abgesicherten Modus mit Netzwerktreibern gestartet. Gleiches Problem.

- Windows im abgesicherten Modus mit Eingabeaufforderung gestartet. Von dort aus konnte ich den Windows-Explorer öffenen. Mit einem USB-Stick habe ich OTL auf den PC kopiert und einen Scan durchgeführt. Die LOG-Files sind im Anhang (den Benutzername habe ich mit **** ersetzt).


Wie muss ich jetzt weiter vorgehen?

Vielen Dank für eure Hilfe!

Maetu

Hallo Maetu und :hallo:

Mein Name ist Leo und ich werde dich durch die Bereinigung deines Rechners begleiten.

Eins vorneweg: Ich kann dir keine Garantien geben, dass ich alles finden werde. Bei schwerwiegenden Infektionen ist ein Formatieren und Neuinstallieren meist der schnellere und immer der sicherere Weg.
Wenn du dich für eine Bereinigung entscheidest, dann sollten wir gründlich vorgehen. Bleib also dran, bis ich dir eindeutig mitteile, dass wir fertig sind.
Auch wenn die auffälligen Symptome schon früh verschwinden, bedeutet das nicht, dass dein Rechner dann schon sauber und sicher ist.


Los geht's:

Kannst du nach diesem Fix den Rechner wieder normal starten?


Erstelle zuerst auf einem Zweitrechner das Fixskript:

• Drücke dazu bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, schreibe "notepad" in das Ausführen Fenster und drücke OK.
  
• Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument:
  (Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.)
  
  Code:

  ---

  :OTL
[2013/06/25 00:15:33 | 000,000,004 | ---- | C] () -- C:\Users\****\AppData\Roaming\skype.ini
[2013/04/29 23:24:31 | 000,000,151 | ---- | C] () -- C:\ProgramData\rbof4.reg
[2013/04/29 23:24:31 | 000,000,055 | ---- | C] () -- C:\ProgramData\rbof4.bat
[2013/04/29 23:24:15 | 095,023,320 | ---- | C] () -- C:\ProgramData\rbof4.pad
[2013/04/29 23:24:07 | 095,023,320 | ---- | C] () -- C:\ProgramData\rdzodmj.pad
[2013/04/29 23:23:46 | 000,163,840 | ---- | C] (Корпорация Майкрософт) -- C:\ProgramData\jmdozdr.dat
[2013/04/29 23:23:39 | 000,044,544 | ---- | C] (Microsoft Corporation) -- C:\ProgramData\rundll32.exe
IE - HKU\S-1-5-21-1000825434-285564481-1038860925-1001\..\SearchScopes\{B06601DC-A539-4377-9997-8BFA712F37CF}: "URL" = http://websearch.ask.com/redirect?client=ie&tb=ORJ&o=100000027&src=kw&q={searchTerms}&locale=de_EU&apn_ptnrs=U3&apn_dtid=OSJ000YYCH&apn_uid=C0DC277B-B0C8-4658-B6DE-A58D7E8EE7E1&apn_sauid=45A6F8A8-6A15-4FFD-91DB-0DA89C654F59
O20 - HKU\S-1-5-21-1000825434-285564481-1038860925-1001 Winlogon: Shell - (C:\Users\****\AppData\Roaming\skype.dat) - C:\Users\****\AppData\Roaming\skype.dat ()

:commands
[emptytemp]

  ---

• Speichere dann die Datei als fix.txt auf den USB-Stick, wo die OTL.exe liegt.

Danach führe folgendermassen den Fix aus:

• Schliesse den USB-Stick wieder an den infizierten Rechner an und starte diesen in den abgesicherten Modus mit Eingabeaufforderung.
• Starte von dort aus wieder den Explorer und öffne OTL.
• Klicke auf den Fix Button.
• Drücke dann OK, um den Fix von einem File zu laden.
• Wähle die erstellte fix.txt auf dem USB-Stick aus. Ihr Inhalt wird in die Textbox eingefügt.
• Klicke nun erneut auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach einem Neustart versuche wieder in den normalen Modus zu booten.
• Auf deinem USB-Stick sollte im Ordner _OTL ein Log-File (\_OTL\MovedFiles\<time_date>.txt) erstellt worden sein.
• Kopiere nun dessen Inhalt hier in deinen Thread.

Hallo Leo

Herzlichen Dank für deine Unterstützung!

Habe den Fix durchgeführt. Der Rechner lässt sich wieder normal starten.

Das Log sieht wie folgt aus:
Wie muss ich weiter vorgehen?

Ok, dann so weiter:


Schritt 1

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS-Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).




Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von aswMBR
• Log von OTL

Hier das Log von aswMBR.exe
Das Programm hat mich allerdings nicht gefragt, ob ich eine aktuelle Virendefinition herunterladen will (liegt vielleicht daran, dass Avast Antivirus bereits auf dem PC installiert ist?)

Und hier das Log von OTL:

Hoi,

Genau daran liegt es. :)

Wie läuft der Rechner jetzt? Soweit alles normal?


Schritt 1

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von AdwCleaner
• Log von MBAM
• Log von ESET
• Log von SecurityCheck

Ja, scheint alles in Ordnung. Zumindest die Fake-Meldung vom Bundesamt für Polizei kam bisher nicht mehr.

Hier das AdwCleaner-Log:
Malwarebyte Anti Malware:
ESET:
SecurityCheck:

Hoi,

die 3 Funde von ESET sind allesamt bereits in Quarantäne und verschwinden dann zum Schluss noch.
Aber deine Software ist ziemlich outdated - das ist gefährlich.


Schritt 1

Lade das Service Pack 1 für Windows 7 herunter und installiere es.



Schritt 2

• Gehe bitte zu Start --> Alle Programme --> Windows Update.
• Klicke dann links auf Nach Updates suchen und warte, bis die Suche beendet ist.
• Drücke dann auf Updates installieren.
• Starte nach Beendigung der Installation den Rechner neu auf.
• Wiederhole diese Schritte, bis keine neuen Updates mehr verfügbar sind.

Schritt 3

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können.

Die aktuelle Version ist Java 7 Update 25.

• Gehe zu

  Start --> Systemsteuerung --> Programme und Funktionen (bei Vista / Win 7)
  Start --> Systemsteuerung --> Software (bei Win XP)

  und deinstalliere alle älteren Java-Versionen.

In wenigen Fällen wird Java wirklich benötigt. Auch werden immer wieder neue, noch nicht geschlossene Sicherheitslücken ausgenutzt.
Überleg dir also, ob du eine Java-Installation wirklich brauchst.
Falls du Java weiterhin verwenden möchtest, dann:

• Lade dir die neueste Java-Version herunter.
• Schliesse alle laufenden Programme, speziell den Browser.
• Starte die heruntergeladene jxpiinstall.exe und folge den Anweisungen.
• Entferne während der Installation den Haken bei "Installieren Sie die Ask-Toolbar ...".

Schritt 4

Die Version deines Adobe PDF Readers ist veraltet, wir müssen ihn updaten:

• Deinstalliere bitte deine aktuelle Version von Adobe Reader über

  Start --> Systemsteuerung --> Software (bei Windows XP)
  Start --> Systemsteuerung --> Programme und Funktionen (bei Vista / Windows 7)

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Überprüfe dann mit diesem Plugin-Check (mit dem Firefox hier), ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls.



Schritt 5

• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von SecurityCheck

Es scheint da irgendein Problem zu geben mit dem SP1. Im Updateverlauf wird angezeigt, dass Windows seit etwa Mitte Juni mehrmals versucht hat es zu installieren, ist jedoch immer fehlgeschlagen. Wenn ich es mit deinem Link installieren will, bricht die Installation ab und es kommt folgende Meldung:

"Installation war nicht erfolgreich

Das Service Pack konnte aufgrund eines Systemfehlers nicht installiert werden. Laden Sie das Systemupdate-Vorbereitungstool unter hxxp://go.microsoft.com/fwlink/?LinkId=122602 herunter.

Falls das Problem mit dem Systemupdate-Vorbereitungstool nicht behoben werden kann, erhalten Sie auf der Microsoft-Webseite weitere Informationen.

Fehler: TRUST_E_NOSIGNATURE(0x800b0100)"


Soll ich das machen?

Ja, versuch das mal so zu machen, wie es dir vorgeschlagen wird.

Hat leider nicht geholfen. Das Vorbereitungstool hat einen Hotfix installiert. SP1 lässt sich aber nach wie vor nicht installieren (gleiche Fehlermeldung wie zuvor)...

Ok, dann lass folgendes Tool durchlaufen und versuch die Installation danach erneut:


Downloade dir bitte Windows Repair (all in one) und entpacke das Archiv auf den Desktop.

• Starte nun die darin enthaltene Repair_Windows.exe.
• Wähle den Reiter Step 2 (optional) und drücke auf Do It. Der Rechner wird neu gestartet.
• Öffne das Programm erneut und klicke im Reiter Step 3 (optional) ebenfalls auf Do It. Starte danach den Rechner neu.
• Im Reiter Step 4 (optional) drücke dann unter System Restore auf Create.
• Danach drücke im Reiter Start Repairs auf Start.
• Klicke auf Select All, setze den Haken bei Restart/Shutdown System When Finished und wähle die Option Restart System.
• Deaktiviere temporär dein Antivirenprogramm und drücke auf Start.

Funktioniert immer noch nicht, erneut die gleiche Fehlermeldung.

Da scheint schon einiges vermurkst zu sein.

Du kannst ein inplace Upgrade von Windows machen und danach das Service Pack noch einmal zu installieren versuchen: Windows 7 Reparaturinstallation: Windows 7 Inplace Upgrade

Mein Mitbewohner (der Besitzer des infizierten Rechners) hat sich inzwischen entschieden einen neuen Laptop zu kaufen. Deshalb macht es keinen Sinn mehr weiterzumachen.

Ich entschuldige mich für die Umstände und danke dir herzlich für die super Unterstützung!