Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Trojaner bundeskriminalamt (https://www.trojaner-board.de/97640-trojaner-bundeskriminalamt.html)

mopsowy 18.04.2011 14:17
Trojaner bundeskriminalamt
 
Hallo,
habe folgendes problem, wie auch schon einige user hatten.
Es erscheint ein logo der bundespolizei mit der aufforderung 100euro zu bezahlen.
wie ich schon im forum gelesen habe, hatte schon ein anderer user dieses problem. habe alles wie dort beschrieben mit OTLPE gemacht und habe nun die text datei.
vielen dank für die hilfe.

markusg 18.04.2011 14:20
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort rein:

Code:
:OTL
O20 - HKU\ANNA_ON_C Winlogon: Shell - (C:\Users\ANNA\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2077DMIB\info[1].exe) - C:\Users\ANNA\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2077DMIB\info[1].exe ()
:Files
C:\Users\ANNA\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2077DMIB
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]
dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits in meinem post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

öffne computer, öffne C: dann _OTL
dort rechtsklick auf moved files
wähle zu moved files.rar oder zip hinzufügen.
das archiv nach anleitung hochladen:
http://www.trojaner-board.de/54791-a...ner-board.html

mopsowy 18.04.2011 14:36
Do you want to reboot now?
ich klicke 'yes', aber es gibt keine reaktion. Soll ich es manuell rebooten?

markusg 18.04.2011 14:40
ja versuch mal.

mopsowy 18.04.2011 14:48
leider gehts nicht

mopsowy 18.04.2011 14:49
leider geht es nicht. Shut Down Windows Fenster auf grauen hintergrund

markusg 18.04.2011 14:51
hast du das script manuell eingegebenoder laden lassen?

mopsowy 18.04.2011 14:53
manuel copy&paste in diesem weissen feld unten in OTLPE. wenn ich es laden wollte gab es einen error

markusg 18.04.2011 14:56
hast du es auch komplett abgeschrieben? versuchs bitte noch einmal. falls nicht probieren wir was anderes.

mopsowy 18.04.2011 15:21
ich hab paar mal probiert ohne effekte.
1.doppelclick auf OTLPE
2.muss ich widows katalog zeigen. also auf Vista C\Windows
3.ein von den beiden Fragen- 'yes' klicken
4.run fix-kommt frage wegen fix.txt
a.wenn ich die zugangadresse aendern will kommt so ein fehler raus: ' Access violation at address 7CA0C936 'shell32.dll'. Read of address 000000006.
5.Wenn ich es manuell eingebe. kommt die frage um reboot und es passiert nichts. Wenn ich ihn manuell rebooten will passiert auch nichts und ich muss ihn dann mit knopf ausschalten.

markusg 18.04.2011 15:24
wie siehts mit dem script aus?

:OTL:Files
C:\Users\ANNA\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\2077DMIB
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]

mopsowy 18.04.2011 15:28
schon probiere ich.
In diesen Fenster wo ich den kreuz entfernen muss gibt auch verschiedene Users oben zu waehlen. Ich bleibe immer bei ANNA also bei den 'hauptuser'? der hauptprofil.

markusg 18.04.2011 15:30
ja sollte passen

mopsowy 18.04.2011 15:42
der reboot geht immer nicht. manuell auch nicht

markusg 18.04.2011 15:57
dann brenne mal die avira rescue disk und scanne
Avira AntiVir Rescue System - Download

mopsowy 18.04.2011 16:03
ich habe den laptop einfach ausgeschaltet und wieder angemacht aber ohne die CD und es funktioniert wieder!!! vielen dank

markusg 18.04.2011 16:05
ok, dann lad mal das _OTL archiv wie beschrieben hoch.

mopsowy 18.04.2011 16:09
ok. was soll ich jetzt tun um es besser zu schutzen. Den virus habe ich beim subtiteldownload gekriegt, aber bin mir nicht sicher. ich habe Avira-die freie version und malwarebytes aber die kann ich nicht leider aktualisieren PROGRAM_ERROR_UPDATING( 1 2007, 0, WinHttpSendRequest)

markusg 18.04.2011 16:12
hi, ich warte jetzt auf den upload von moved files, wie das geht steht unter dem ersten otl script von mir

mopsowy 18.04.2011 16:21
upload fertig. Nochmals Vielen Dank!!!!!

markusg 18.04.2011 16:28
versuch mal malwarebytes zu updaten, falls es klappt nen vollständigen scan bitte

mopsowy 18.04.2011 16:50
Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes

Wersja bazy: 6390

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19048

2011-04-18 22:21:38
mbam-log-2011-04-18 (22-21-38).txt

Typ skanowania: Szybkie skanowanie
Przeskanowano obiektów: 152522
Upłynęło: 6 minut(y), 45 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 10
Zainfekowanych wartości rejestru: 1
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 1

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
HKEY_CLASSES_ROOT\CLSID\{147A976F-EEE1-4377-8EA7-4716E4CDD239} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{D518921A-4A03-425E-9873-B9A71756821E} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{CF54BE1C-9359-4395-8533-1657CF209CFE} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{07B18EAB-A523-4961-B6BB-170DE4475CCA} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Low Rights\RunDll32Policy\f3ScrCtr.dll (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> Quarantined and deleted successfully.

Zainfekowanych wartości rejestru:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Trojan.FakeAlert) -> Value: Shell -> Quarantined and deleted successfully.

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
c:\Users\ANNA\downloads\titanpsetup_b2edf1.exe (PUP.Casino) -> Quarantined and deleted successfully.

mopsowy 18.04.2011 16:51
es tut mir leit dass es in polnisch ist

markusg 18.04.2011 16:54
war das ein vollständiger (full) scan?

mopsowy 18.04.2011 19:41
jetzt habe ich den kompleten scan durchgefuehrt und das ist der log.


Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes

Wersja bazy: 6390

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19048

2011-04-19 01:01:14
mbam-log-2011-04-19 (01-01-14).txt

Typ skanowania: Pełne skanowanie (C:\|E:\|G:\|)
Przeskanowano obiektów: 287967
Upłynęło: 1 godzin(y), 39 minut(y), 8 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 0
Zainfekowanych wartości rejestru: 0
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 2

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:
(Nie znaleziono zagrożeń)

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
c:\program files\daemon tools searchbar\Search.dl~ (Adware.WhenU) -> Quarantined and deleted successfully.
c:\_OTL\movedfiles\04182011_173259\C_Users\ANNA\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\2077DMIB\info[1].exe (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.

mopsowy 18.04.2011 19:42
ein FULL SCAN.


Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes

Wersja bazy: 6390

Windows 6.0.6002 Service Pack 2
Internet Explorer 8.0.6001.19048

2011-04-19 01:01:14
mbam-log-2011-04-19 (01-01-14).txt

Typ skanowania: Pełne skanowanie (C:\|E:\|G:\|)
Przeskanowano obiektów: 287967
Upłynęło: 1 godzin(y), 39 minut(y), 8 sekund(y)

Zainfekowanych procesów w pamięci: 0
Zainfekowanych modułów w pamięci: 0
Zainfekowanych kluczy rejestru: 0
Zainfekowanych wartości rejestru: 0
Zainfekowane informacje rejestru systemowego: 0
Zainfekowanych folderów: 0
Zainfekowanych plików: 2

Zainfekowanych procesów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych modułów w pamięci:
(Nie znaleziono zagrożeń)

Zainfekowanych kluczy rejestru:
(Nie znaleziono zagrożeń)

Zainfekowanych wartości rejestru:
(Nie znaleziono zagrożeń)

Zainfekowane informacje rejestru systemowego:
(Nie znaleziono zagrożeń)

Zainfekowanych folderów:
(Nie znaleziono zagrożeń)

Zainfekowanych plików:
c:\program files\daemon tools searchbar\Search.dl~ (Adware.WhenU) -> Quarantined and deleted successfully.
c:\_OTL\movedfiles\04182011_173259\C_Users\ANNA\AppData\Local\microsoft\Windows\temporary internet files\Content.IE5\2077DMIB\info[1].exe (Spyware.Passwords.XGen) -> Quarantined and deleted successfully.

markusg 18.04.2011 19:43
besuche jetzt windows update, spiele das servicepack 3 und sonstige wichtigen updates auf.

mopsowy 18.04.2011 19:49
ich habe Vista.da gibt es nur SP2

markusg 18.04.2011 19:51
sorry verlesen.
lade den ccleaner slim:
Piriform - Builds
falls der ccleaner bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

mopsowy 18.04.2011 20:16
der laptop ist von meiner Freundin. kenne die Programme nicht.
und welche extras meinst du?
ist der computer noch nicht fixed?

markusg 19.04.2011 10:01
wenn du den ccleaner instalierst siehst du wo die extras sind.

mopsowy 19.04.2011 12:51
ich habe den ccleaner slim instaliert und habe keine xtras:D aber bei mir ist alles in polnisch

markusg 19.04.2011 12:52
na woher soll ich wissen was extras auf polnisch heißt.
:-)


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:56 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131