Trojaner-Board - Zip-Datei von Inkasso Directpay ausgeführt

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Zip-Datei von Inkasso Directpay ausgeführt (https://www.trojaner-board.de/165543-zip-datei-inkasso-directpay-ausgefuehrt.html)

FRST-Fix

Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft!

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION

HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION

HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank

HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {2AB6ACB9-161E-4889-8A3F-A00C87B703CD} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {A0D64377-9E9F-4024-ACC7-F8F38B13A802} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {E421A340-388A-4253-A18A-E517AB25411C} URL = 

EmptyTemp:

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

hier die Fixlog.txt

Code:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 11-03-2015

Ran by aw4138 at 2015-03-30 11:25:58 Run:1

Running from C:\Users\AW4138\Desktop\FRST

Loaded Profiles: aw4138 (Available profiles: aw4138)

Boot Mode: Normal

==============================================
 

Content of fixlist:

*****************

CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION

HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION

HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank

HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank

SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {2AB6ACB9-161E-4889-8A3F-A00C87B703CD} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {A0D64377-9E9F-4024-ACC7-F8F38B13A802} URL = 

SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {E421A340-388A-4253-A18A-E517AB25411C} URL = 

EmptyTemp:

         

*****************
 

"HKLM\SOFTWARE\Policies\Google" => Key deleted successfully.

"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer" => Key deleted successfully.

HKLM\Software\\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.

HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.

HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.

HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.

HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.

HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.

"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{2AB6ACB9-161E-4889-8A3F-A00C87B703CD}" => Key deleted successfully.

HKCR\CLSID\{2AB6ACB9-161E-4889-8A3F-A00C87B703CD} => Key not found. 

"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{A0D64377-9E9F-4024-ACC7-F8F38B13A802}" => Key deleted successfully.

HKCR\CLSID\{A0D64377-9E9F-4024-ACC7-F8F38B13A802} => Key not found. 

"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{E421A340-388A-4253-A18A-E517AB25411C}" => Key deleted successfully.

HKCR\CLSID\{E421A340-388A-4253-A18A-E517AB25411C} => Key not found. 

EmptyTemp: => Removed 3.3 GB temporary data.
 
 

The system needed a reboot. 
 

==== End of Fixlog 11:28:05 ====

Okay, dann Kontrollscans mit MBAM und ESET bitte:

Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Habe die Kontrollscans durchgeführt, hier die LOG-Dateien

MBAM

Code:

Malwarebytes Anti-Malware

www.malwarebytes.org
 

Suchlauf Datum: 30.03.2015

Suchlauf-Zeit: 12:13:46

Logdatei: mbam.txt

Administrator: Ja
 

Version: 2.01.4.1018

Malware Datenbank: v2015.03.30.04

Rootkit Datenbank: v2015.03.26.01

Lizenz: Testversion

Malware Schutz: Aktiviert

Bösartiger Webseiten Schutz: Aktiviert

Selbstschutz: Deaktiviert
 

Betriebssystem: Windows 7 Service Pack 1

CPU: x64

Dateisystem: NTFS

Benutzer: aw4138
 

Suchlauf-Art: Bedrohungs-Suchlauf

Ergebnis: Abgeschlossen

Durchsuchte Objekte: 438702

Verstrichene Zeit: 36 Min, 35 Sek
 

Speicher: Aktiviert

Autostart: Aktiviert

Dateisystem: Aktiviert

Archive: Aktiviert

Rootkits: Deaktiviert

Heuristik: Aktiviert

PUP: Aktiviert

PUM: Aktiviert
 

Prozesse: 0

(Keine schädliche Elemente gefunden)
 

Module: 0

(Keine schädliche Elemente gefunden)
 

Registrierungsschlüssel: 0

(Keine schädliche Elemente gefunden)
 

Registrierungswerte: 0

(Keine schädliche Elemente gefunden)
 

Registrierungsdaten: 1

PUM.Hijack.Drives, HKU\S-1-5-21-1292428093-838170752-682003330-328077\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|NoDrives, 2, Gut: (0), Schlecht: (2),Ersetzt,[1e8e75d6c5c50333e8bc9d57887d47b9]
 

Ordner: 0

(Keine schädliche Elemente gefunden)
 

Dateien: 0

(Keine schädliche Elemente gefunden)
 

Physische Sektoren: 0

(Keine schädliche Elemente gefunden)
 
 

(end)

ESET

Code:

ESETSmartInstaller@High as downloader log:

all ok

# product=EOS

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.7623

# api_version=3.0.2

# EOSSerial=8ce20f02a95c1d4ab02000b91a6fbd61

# engine=23151

# end=finished

# remove_checked=true

# archives_checked=false

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2015-03-30 05:09:45

# local_time=2015-03-30 07:09:45 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1031

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode_1=''

# compatibility_mode=5893 16776574 100 94 53143386 179365235 0 0

# scanned=263604

# found=6

# cleaned=6

# scan_time=15356

sh=65B93179F675F8F13FC51C17528D2B859DD680AC ft=1 fh=20bf4e8e2273813b vn="möglicherweise unbekannter Virus NewHeur_PE Virus (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Program Files\Siemens\UCMS\Plugins\UCMS-Inventory\mosaicInventory.exe"

sh=65B93179F675F8F13FC51C17528D2B859DD680AC ft=1 fh=20bf4e8e2273813b vn="möglicherweise unbekannter Virus NewHeur_PE Virus (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Program Files\Siemens\UCMSInstaller\LastKnownGood\UCMS\Plugins\UCMS-Inventory\mosaicInventory.exe"

sh=3638F1D11F58F7137E8F43AE07EA1992FCEE7F4D ft=1 fh=cb61311e4fc959c7 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\FotoSketcher - CHIP-Installer.exe"

sh=21D5038C418227482763267E49D6E929CF6D0DE6 ft=1 fh=fa63bdaec253dbcb vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\IrfanView Plug ins - CHIP-Installer.exe"

sh=E12AF6DF1AFA1C0E845117B86CF1FC477D0F6D70 ft=1 fh=903d112774f15995 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\Luminance HDR - CHIP-Installer.exe"

sh=DCD158BFA29CE6CE6FDD2C5E1C050C3ECC24F2A4 ft=1 fh=3a33e38e7164ebbe vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Q

Die Funde im S-Ordner sehen nach Fehlalarmen aus. Ich finde es aber schon etwas bedenklich, wenn dir ein Firmenrechner mit so einer Software überlassen wird. Wer weiß was da noch an Daten drauf schlummert. Aber das ist ein anderes Thema.

FRST-Fix

Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft!

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

C:\Users\AW4138\Downloads\FotoSketcher - CHIP-Installer.exe
 

C:\Users\AW4138\Downloads\IrfanView Plug ins - CHIP-Installer.exe
 

C:\Users\AW4138\Downloads\Luminance HDR - CHIP-Installer.exe

EmptyTemp:

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.