Bekomme Malware selbst mit 3 Tools nicht weg
 

Gestern hat mein PC plötzlich angefangen immer wieder PoP-Ups aufzumachen, selbst wenn ich selbst gar kein Firefox-Fenster geöffnet hatte. Daraufhin habe ich nacheinander Ad-Aware, Spybot und Ewido heruntergeladen und mit jedem mehrere Scans und Systemneustarts durchgeführt. Die drei haben auch gute Arbeit geleistet und fast alle von über 80 Problemen beseitigt. Allerdings sind da noch ein paar besonders hartnäckige.

Ad-Aware bezeichnet sie als:
ABetterInternet.Nail
Windows
MRU List
Win32.Trojan.Downloader

Hier ist noch mein letzter HiJackThis log:

Bitte helft mir die Dinger los zu werden. Besonders der letzte scheint sehr gefährlich zu sein. Danke schon mal im Vorraus.

Hallo,

scanne vorab die Dateien

C:\WINDOWS\system32\vickr.exe
hejocty. exe (suchen und dann scannen)

bei virustotal.com und jotti ( beide in meiner Signatur verlinkt) und poste das Ergebnis hier.

edit:diese bitte auch scannen, C:\WINDOWS\system32\jtpo0773e.dll /edit

Gruß

Schrulli

Bei beiden Namen bekomme ich bei der Suche nur "VICKR.EXE-3339FD56.pf" & "HEJOCTY.EXE-040B07E2.pf" in C:\Windows\Prefetch als Ergebnis.

Bei VirusTotal konnte bei beiden nichts gefunden werden. Jotti scheint im Moment nicht erreichbar zu sein.

Was kann ich noch tun?

EDIT* jtpo0773e.dll konnte gar nicht gefunden werden.

Hallo,
die Dateien im Prefetch Ordner sind uninteressant, schau noch mal ob du die Dateien im System32 Ordner findest. Richtig suchen.
Hast du noch den Ewido Report, wenn ja, poste auch diesen.


Grüße Wildone

Ich habe Ad-Aware nochmal laufen lassen. Der Win32.Trojan.Downloader ist weg, dafür steht jetzt Adware.Yazzle da.

Das Suchen klappt jetzt.

vickr.exe mit VirusTotal:

hejocty.exe mit VirusTotal:

jtpo0773e.dll gibts nicht.

Ewido habe ich auch nochmal laufen lassen. 15 Infektionen, angeblich alle bereinigt. Während des Scans bin ich explizit auf lgkgjwk.dll und vickr.exe hingewiesen worden. Habe gesagt löschen und in Quarantäne aber es kommt immer wieder. Hier aber jetzt der Ewido-Report:

Diese komische dll habe ich auch mal zu VirusTotal geschickt:

Hallo,
scanne dein system mal mit F-Secure Blacklight und poste das Log, wird danach automatisch im selben Pfad erstellt, fsbl**.txt.

Außerdem löschst du mal deine Temp Dateien mit Cleanup! und postest die vier Logfiles der Datfind.bat.

Und noch ein neues HijackThis Logfile.


Grüße Wildone

F-Secure hat gleich losgelegt und in den Dateien lgkgjwk.dll, vickr.exe und fxlgro.exe Qoologic gefunden und unbenannt. nach zwei neustarts hat er dann zwar immer noch umbenannt aber keinen Neustart mehr gefordert. Nachdem ich dann beide exe Dateien mit meiner Router-Firewall vor dem Internetzugriff geblockt habe, habe ich F-Secure eine vollständige Überprüfung durchführen lassen:

Das löschen hat auch reibungslos geklappt. Hier nun die Bat-Logs.

Log 1:
Log 2:
Log 3:
Log 4:
Aktueller HJT im nächsten Post, der hier würde sonst zu lang.

So, hier ist es:

Habe seither keine Pop-Ups oder Meldungen von meinen verschiedenen Anti-Virus-Programmen mehr bekommen. Kann es das gewesen sein?

*hat sich erledigt* (den Beitrag gab es schon! Sorry!)

Das komische ist, das es diese Datei nicht gibt. Nur eine VICKR.0xe. Diese ist laut VirusTotal mit QooLogic infiziert. Ich habe seit diesem HJT keine Scans/Löschungen/etc. mehr durchgeführt.

hejocty.exe ist überhaupt nicht mehr auffindbar. Auch nicht als leicht veränderte Form.

Hallo,
ich meinte eigentlich, dass du nur F-Secure Blacklight installieren solltest, nicht gleich die vollständige F-Secure Suite. Deinstalliere diese mal wieder. Lösche noch folgende Dateien (alle im System32 Ordner):

22.05.2006 11:50 28.672 VICKR.0XE
22.05.2006 11:50 51.712 LGKGJWK.0LL
22.05.2006 11:38 127.488 FYLGRO.0XE
22.05.2006 11:38 127.488 lwaje.dat

Außerdem fixt(Haken davor und auf "fix checked" du folgende Einträge mit HijackThis:
F2 - REG:system.ini: Shell=Explorer.exe, C:\WINDOWS\system32\vickr.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,hejocty. exe
O4 - HKLM\..\Run: [fqpxrm] C:\WINDOWS\system32\fylgro.exe reg_run
O20 - Winlogon Notify: SMDEn - C:\WINDOWS\system32\jtpo0773e.dll (file missing)

Wenn du sonst keine Beschwerden mehr hast sollte es das eigentlich gewesen sein.


Grüße Wildone

Mhm, so ganz war es noch nicht vorbei. FSecure hat noch genau eine SpyWare entdeckt:

Die wurde aber nach dem Scan unter Quarantäne gestellt und dann von mir aus der Quarantäne gelöscht. Ich werde jetzt noch mit den anderen Tools suchen.

*UPDATE*
SpyBot und Ewido haben noch verfolgende Cookies gefunden. Hört sich nicht schlimm an, aber was genau machen die? Habe sie auf jeden Fall gelöscht. Ewido hat auch noch die von mir gelöschten Dateien im Papierkorb aufgestöbert und sie endgültig entfernt.

Es scheint also überstanden. Vielen Dank an alle Helfer! :)

Hallo,

btw. "Tools" sind immer nur Werkzeuge
1. Kommen Infektionen, abgesehen von Zero day exploids á la dem Word Trojaner nicht von selbst
2. Welche 80 Probleme haben die Programme gefixt? Logs zur Hand

Gruß

Schrulli