kryptik.NIT-Trojaner in C:\Users\Alexander\AppData\Roaming\Yvap\ulnoa.exe
 

Liebe Leute,

ich habe heute das erste mal was mit Trojanern am Hut gehabt... Was für ein Elend! Ziemlich frustrierend das Ganze, da ich nicht mal im Ansatz weiß, was ich zu tun habe. Daher möchte ich mich heute an Euch wenden und hoffe inständig, dass jemand eine Lösung für mein Problem kennt.

Ich habe seit heute immer wieder eine Meldung von ESET Smart Security 4, die ich als Anhang "Trojaner Bild 1" und "Trojaner Bild 2" hochgelanden habe.

Laut ESET geht die Anwendung von "C:\Users\Alexander\AppData\Roaming\Yvap\ulnoa.exe" aus.

Ich habe dann noch eine Warnung von ESET bekommen, die sagte, dass es sich um einen art des kryptik.NIT-Trojaners handelt. Über diese Unterart habe ich im Netz nichts finden können, so dass ich mich nun an Euch wenden möchte.

Als erstes habe ich mich an den Beschreibungen hier im Board orientiert und möchte Euch im Folgenden die Ergebnisse des Scans via OTL 3.2.22.3 mitteilen:

OTL.txt sieht aus wie folgt:OTL Logfile:
--- --- ---


Ich habe zwar nicht die geringste Ahnung, was das alles auf sich hat, vertraue aber auf Eure Kompetenz und freue mich riesig auf Post/Kommentare von Euch. :dankeschoen: :bussi:

Bis dahin verbleibe ich erst einmal mit den besten Grüßen

Euer Alexander

hallo,
machst du onlinebanking einkäufe oder sonst was wichtiges mit dem pc?

Jupp. Eigentlich schon. Onlinebanking allerdings mit nummerierten Tans, so dass da so gut wie nichts passieren kann. Allerdings bezahl ich so einige Sachen mit paypal oder Kreditkarte online. Die Frage nach Sonst was wichitgem ist mir allerdings nicht spezifiziert genug, um sie beantworten zu können. Ich schreibe wissenschaftliche Arbeiten, bearbeite Bilder, schneide Videos, etc.. Das ist zwar für mich recht wichtig, aber nicht unbedingt wichtig für andere Leute, die daraus möglicherweise Kapital schlagen könnten...

Ich habe heute eine weitere Warnung von ESET bekommen, in der der gleiche Trojaner (C:\Users\Alexander\AppData\Roaming\Yvap\ulnoa.exe) als win32/injector.geg ausgegeben wurde... (nur zur Info)

hi, tan nummern sind das unsicherste online-banking verfahren was es gibt.
desweiteren sieht mir dieser trojaner sehr nach einem aus, der es auf deine bank daten abgesehen hatt, sowie paypal etc.
bitte rufe sofort!!
die bank an, lasse das onlinebanking sperren.
falls die bank zu hatt, notfall nummer: 116 116
schildere dein problem dort.
ich werde dir später auch erklären welches onlinebanking verfahren du nutzen solltest.
falls du hast, nutze einen zweiten pc, endere alle passwörter
jetzt haben wir, bzw du folgendes problem.
solch ein trojaner kann weit reichende enderungen am system vor nehmen.
deswegen ist eine bereinigung nicht sicher. da wir nicht ausschließen können, das wir etwas übersehen bzw sich etwas gut versteckt.
du solltest daher um ein sicheres system zu erhalten folgendes tun:
- die daten, die sich auf der partition befinden wo windows läuft sichern, dazu gehören persönliche daten wie bilder dokumente musik und instalationsdateien.
nichts, was du evtl. aus dubiosen quellen hast wie filesharing (torrent) zt. keine keygens etc.
danach ist das formatieren des rechners angesagt und neu aufsetzen.
danach sollten wir, falls du interesse hast, dein system richtig absichern.
ein antiviren programm ist in der heutigen zeit und bei der menge an malware und gefahren im internet nicht genug, es müssen noch mehr maßnamen getroffen werden, heißt, dein antivirus ist nur ein baustein in einem gesammten sicherheitskonzept.

Ach du Scheiße! Das klingt ja gar nicht gut... Ich habe 3 Partitionen, auf denen jeweils ein anderes Windows läuft (XP, Vista, 7). Wenn ich die persönlichen Dateien gesichert habe und die komplette Vista-Partition (die infizierte) lösche, kann ich dann mit meiner Win 7 weiterarbeiten?

ja, denke schon, trotzdem sollten wir uns um ein sicheres system kümmern befor das noch mal passiert.

Auf jeden Fall. Bin Dir echt dankbar und werde mich wieder melden, wenn ich auf alles auf win 7 neu installiert habe, was ich so brauche. Dauert wohl nicht länger als ein paar Stunden, hoffe ich. Bis später also...

bis später, und überhaupt kein problem.

Moin Markus, ich denke, dass ich Dank Deiner Hilfe nun das Gröbste überstanden habe. Auf der neu eingerichteten Win7-Partition ist nichts zu finden, so dass ich mit an Sicherheit grenzender Wahrscheinlichkeit sagen aknn, dass meine Kiste wieder sauber ist. Nun möchte ich gern auf Dein Angebot zugrückkommen und meinen Rechner gegen eine mögliche Neuinfizierung absichern. Was sagt also das Kompetenzteam dazu? ;-) Was muss ich tun?

Liebe Grüße, Alex

kurze frage noch, nutzt du dort ebenfalls eset oder wird ein anderes av zum einsatz kommen?
ich persönlich hab nichts gegen eset einzuwenden, ist nur ne frage damit ich weis ob ein av in meiner anleitung notwendig ist.

Eset ist weiterhin drauf ;-)

av
http://www.trojaner-board.de/96344-a...-rechners.html
hier alle!! tipps für xp /windows 7abarbeiten.
anstelle des ie8 instaliere ie9
Internet Explorer - Microsoft Windows
zusätzlich file hippo, secunia, den abschnitt autorun und panda vaccine .abarbeiten.
anmerkungen meiner seits:

als browser solltest du den opera nutzen, er ist sicherer und schneller.
wenn er dir nicht gefällt passe ich meine anleitung für den ff an.
um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
http://filepony.de/download-sandboxie/
anleitung:
Sandbox*Einstellungen |

(als pdf)
hier noch ein paar zusatzeinstellungen, nicht verunsichern lassen, wenn du das programm instaliert hast, werden sie klar.
den direkten datei zugriff bitte auf opera beschrenken,
bei
Internetzugriff:
opera.exe
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, andere dort auf direkten zugriff auf opera bookmarks erlauben. dann auf hinzufügen und ok.
somit kannst du deine lesezeichen auch in der sandbox dauerhaft abspeichern.

wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.

bitte ab sofort anstelle des browser symbols nur noch das sandboxed web browser symbol anklicken.
eine sandbox ist eine vom system isoliert arbeitene umgebung, wenn hier ein schadprogramm reingelangt, läuft es im besten falle nicht, da wir die sandbox eingeschrenkt haben, oder es läuft, kommt aber nicht raus.
kenne keine malware, die das im moment kann.
dieses konzept muss, um die maximale wirkung zu erreichen, komplett umgesetzt werden.
hier greifen nämlich mehrere maßnamen.
- updates von windows.
durch das automatische updaten von windows werden jeden monat sicherheitslücken geschlossen durch die man schadcode einschläusen kann.
- updates mit secunia und file hippo.
diese programme helfen dir, die gesammte restliche software aktuell zu halten, auch hier werden lücken geschlossen, durch die angreifer schadcode einschläusen
wir nutzen 2 programme zum prüfen auf updates, um definitiv alle abzudecken.
die updates sollten immer sofort instaliert werden.
hiermit wird einem potentiellen angreifer die möglichkeit genommen schadcode einzuschläusen.
natürlich gibts immer unbekannte, bzw bekannte aber noch nicht geschlossene lücken.
deswegen:
eingeschrenktes nutzerkonto: dieses konto ist für die tägliche arbeit, das admin konto nur für instalationen.
hier werden programme mit eingeschrenkten rechten ausgestattet, somit wird malware die möglichkeit erschwert, sich im system festzusetzen.
uac:
die uac gibt dir kontrolle über prozesse die gestartet werden sollen, bitte meldungen genau lesen und im zweifelsfalle auf nein klicken.
dep und sehop tun dies ebenfalls.
- sandboxie ist ein wichtiger bestandteil, auf den ich schon eingegangen bin.
- antivirus:
auf ein antimalwareprogramm sollte man, zu mindest als einzellösung sich nicht verlassen.
es gibt jeden tag rund 50000 neue malware variannten, da kommt kein hersteller hinterher.
es ist aber, mit den anderen getroffenen maßnamen durchaus nützlich, wenn es, nach der geposteten anleitung konfiguriert, und damit auch immer aktuell ist.
das backup:
dieses kannst du nutzen, wenn:
- malware auf dem system ist
- es andere probleme mit dem pc gibt.
mit dem backup wird das system auf einen sauberen zustand wiederhergestellt, also führe es regelmäßig aus, dann hast du keine daten verlusste.
alle benötigten verknüpfungen fürs eingeschrenkte konto nach
c:\benutzer\Default\desktop bzw \startmenü
kopieren. so sind sie für alle sichtbar
wenn du fragen hast, probleme, oder erfolgreich warst, melde dich bitte.

Auch wenn ich mit Opera einigermaßen vertraut bin, so bin ich seit Jahren eigentlich großer Fan von Firefox. Hast du dafür ne fertige Anleitung? Ich möchte Dir nicht zu viel Arbeit aufhalsen...

nein das macht mir nicht mehr arbeit.
instaliere für den firefox die adons noscript und adblock+ sie sind in meiner original anleitung.
hier gibt es noch filterlisten:
Bekannte Filterlisten fr Adblock Plus
hier würde ich 2 oder 3 deutsche filter auswählen.
unter sonstiges die malware blocklist.

danach sandboxie anleitung für den ff:
Download:
http://filepony.de/download-sandboxie/
anleitung:
Sandbox*Einstellungen |
(als pdf)
hier noch ein paar zusatzeinstellungen, nicht verunsichern lassen, wenn ihr das programm instaliert habt, werden sie klar.
den direkten datei zugriff bitte auf firefox.exe und plugin-container.exe
beschrenken, hier kannst du auch noscript und andere plugins eintragen.
geht auch unter
c:\windows\sandboxie.ini
unter dem eintrag defauld box
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\prefs.js
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\bookmarks.html
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\sessionstore.js
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\adblockplus\patterns.ini
bei
Internetzugriff:
firefox.exe und
plugin-container.exe
eintragen
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, firefox.
direkten zugriff auf lesezeichen erlauben auswählen und auf hinzufügen klicken, dann auf ok.
wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.
ab sofort also nur noch in der sandbox surfen bitte.

Großes Kino... Also auf in den Krieg... Wenn ich mit allem fertig bin, dann melde ich mich wieder. Bei der Hülle und Füller der Anleitungen kann das aber sicher nen tag dauern ;-)

ja, aber wird sich lohnen.
die nächste malware die auf deinen pc gelangen soll wirds schwer haben.
aber keine angst, diese anleitung wird dich so gut wie nicht in der täglichen arbeit beeinflussen.
dich wirds vllt jede woche 10 minuten kosten updates zu instalieren und vllt auch ein paar minuten fürs backup, dass ists aber wert.