|
Trojan.FakeMS - System wieder sicher? Guten Tag, gestern Abend hatte ich einen ziemlichen Schreck, als plötzlich die Meldung kam, meine Festplatte sei defekt und alle Dateien unsichtbar waren. Der Bildschirm war schwarz. Zum Glück konnte ich noch Firefox nutzen und habe mich dann nach dem gleichen Problem umgesehen. Anscheinend scheine ich nicht der Einzige damit zu sein! Jedenfalls habe ich dann den Prozess "attrib.exe" beendet, der öfter ausgeführt wurde und bis zu 95% des Prozessors beanspruchte! Danach war der Spuk mit den Fehlermeldungen erstmal vorbei. Die Dateien waren aber immer noch verschwunden. Mit "unhide" konnte ich zumindest meinen Desktop wiederbeleben. Mein Problem jetzt ist noch, dass die komplette Schnellstartleiste leer ist und ich nicht weiß, ob ich wirklich alle Schädlinge beseitigt habe. Vorhin habe ich einen Scan mit Malwarebytes' durchgeführt und noch einige Trojaner gelöscht (u.a. Trojan.FakeMS). Mit Avira AntiVir konnte ich da nichts mehr anfangen, das Programm erkannte keine Viren und im Log steht, dass vieles unsichtbar war. Ich poste einfach mal die Logs, ich hoffe, ihr könntet mir sagen, ob noch Viren vorhanden sind und wie ich die Schnellstartleiste wieder zum Leben erwecken kann! Zunächst einmal Avira, wo nichts gefunden wurde: Code: Avira AntiVir PersonalIch wäre sehr dankbar, wenn ihr mir helfen würdet... :heulen: |
Zitat:
Zitat:
|
Hallo, tut mir leid, dass ich das nicht erwähnt hatte; der Keylogger ist mir bekannt und ich habe ihn selbst zur Sicherheit installiert, falls ich kontrollieren möchte, was an meinem PC geschieht / ob sich jemand in meiner Abwesenheit Zugang verschafft hatte. Ist ansonsten denn alles in Ordnung? Mit freundlichen Grüßen |
Zitat:
Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Code: :OTLDas Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt. |
- Ich weiß, ich stehle auch niemandem Passwörter damit. :) Bei Avira konnte ich nur den Guard ausschalten, komplett beenden ließ sich das Programm leider nicht. Hier das Logfile: Code: ========== OTL ========== |
Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten. http://www.trojaner-board.de/attachm...rnen-start.png Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern ) http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif |
Code: 2011/06/05 21:29:32.0119 3188 TDSS rootkit removing tool 2.5.3.0 May 25 2011 07:09:24 |
Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
http://saved.im/mtm0nzyzmzd5/cofi.jpg
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat! |
Code: ComboFix 11-06-05.02 - Julian 05.06.2011 21:53:47.1.2 - x64 |
Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Code: File::4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet. http://users.pandora.be/bluepatchy/m...s/CFScript.gif 6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann! |
Hallo, ich bin wieder zurück. :-) Hier das Log: Code: ComboFix 11-06-10.09 - Julian 11.06.2011 11:35:47.2.2 - x64 |
Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
|
Code: MBRCheck, version 1.2.3 |
Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs. Denk dran beide Tools zu updaten vor dem Scan!! Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt: ESET Online Scanner
|
Puh, hat ziemlich lange gedauert... :balla: Code: SUPERAntiSpyware Scan LogCode: Malwarebytes' Anti-Malware 1.51.0.1200Code: ESETSmartInstaller@High as downloader log:Code: C:\Users\Julian\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\52\30a3d0b4-26b75a26 a variant of Java/Exploit.CVE-2010-0844.A trojan |
Zitat:
Zitat:
|
Diese .exe-Datei war wohl vermutlich eine dieser "Scherzviren", bei denen sich das CD-Laufwerk öffnet. Habe ich jedenfalls gelöscht. Tut mir leid, dass ich Malwarebytes' nicht aktualisiert hatte! (Ich wusste nicht, dass man es auch nach wenigen Tagen schon aktualisieren muss.) Hier das Log: Code: Malwarebytes' Anti-Malware 1.51.0.1200 |
Zitat:
|
Ja, das ist schon etwas länger her. Mit freundlichen Grüßen. :) |
Ok, also hast du das Teil bewusst installiert. Schmeiß es bitte runter. Rechner ansonsten wieder im Lot? |
Das Teil wurde doch schon gelöscht, oder? Jedenfalls ist es unter dieser Adresse nicht vorhanden. Ja, ansonsten läuft der PC einwandfrei! :-) |
Dann wären wir durch! :abklatsch: Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /u entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt. Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken. Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Sucunia PSI verwenden. Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern. Microsoftupdate Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Windows Vista/7: Anleitung Windows-Update PDF-Reader aktualisieren Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader" klickst und das Programm entfernst. (falls du AdobeReader installiert hast) Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader. Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink: Mozilla und andere Browser => http://filepony.de/?q=Flash+Player Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind. Java-Update Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es. |
Klasse, vielen vielen Dank für eure Hilfe!!! :applaus: :dankeschoen: Combofix unter Ausführen/ combofix /u zu deinstallieren, funktioniert leider nicht (vielleicht liegt es daran, dass ich es in cofi.exe umbenannt hatte?). Jedenfalls kann ich es ja auch einfach so löschen. Ich habe den befehl ein paar Male eingegeben, gerade hat es sich dabei sogar geöffnet... Dann habe ich es im Taskmanager schnell wieder beendet. Den AdobeReader habe ich auf die neuste Version aktualisiert. JRE habe ich installiert. Ich wünsche noch viel Erfolg, euer Forum ist echt super! (Als kleines Dankeschön noch eine kleine Spende. ;)) |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 02:14 Uhr. |
Copyright ©2000-2025, Trojaner-Board
