Trojaner-Board - "Festplatte beschädigt"

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - "Festplatte beschädigt" - TR/Crypt.XPACK.GEN3 (https://www.trojaner-board.de/100713-festplatte-beschaedigt-tr-crypt-xpack-gen3.html)

Hallo!

OTL:

Code:

========== OTL ==========

Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.

Registry key HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\ deleted successfully.

Registry key HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Recovery\ deleted successfully.

========== COMMANDS ==========

 

OTL by OldTimer - Version 3.2.24.1 log created on 07032011_092609

MBAM:

Code:

Malwarebytes' Anti-Malware 1.51.0.1200

www.malwarebytes.org
 

Datenbank Version: 7010
 

Windows 6.0.6002 Service Pack 2

Internet Explorer 9.0.8112.16421
 

03.07.2011 09:34:43

mbam-log-2011-07-03 (09-34-43).txt
 

Art des Suchlaufs: Quick-Scan

Durchsuchte Objekte: 201692

Laufzeit: 4 Minute(n), 40 Sekunde(n)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 0
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

(Keine bösartigen Objekte gefunden)

SAS:

Code:

SUPERAntiSpyware Scann-Protokoll

hxxp://www.superantispyware.com
 

Generiert 07/03/2011 bei 10:31 AM
 

Version der Applikation : 4.55.1000
 

Version der Kern-Datenbank : 7368

Version der Spur-Datenbank : 5180
 

Scan Art       : kompletter Scann

Totale Scann-Zeit : 00:50:20
 

Gescannte Speicherelemente  : 608

Erfasste Speicher-Bedrohungen  : 0

Gescannte Register-Elemente  : 10014

Erfasste Register-Bedrohungen  : 0

Gescannte Datei-Elemente     : 39446

Erfasste Datei-Elemente   : 0

Ergebnis Virus Total: hxxp://www.virustotal.com/file-scan/report.html?id=b28dda912427d049a9d8b05ab522f653f7f7dd5c30fd07493c62aea1251baaf8-1309696253# (Was sind das für Angaben?)

Fragen:
- Inwiefern "umgeleitet"? Ich werde auf keine merkwürdigen Seiten geleitet, es öffnet sich auch nichts.
- Allerdings sind nach dem OTL-Fix die versteckten Dateien wieder sichtbar.
- Den CTFMON-Remover habe ich vor Ewigkeiten mal eingesetzt, weil die ctfom.exe mir beim Programmstart mal Probleme gemacht hat und irgendwie zweimal vorhanden war oder so. Ist aber, wie gesagt, schon ewig her. Auf jeden Fall ist die EXE nicht mehr im Autostart - wenn dies aber sein MUSS oder ohne Probleme sein KANN, darfs natürlich auch behoben werden. ;)

Beste Grüße!

Hallo deckbett,

Zitat:

Zitat von deckbett (Beitrag 679323)

(Was sind das für Angaben?)

VirusTotal prüft eine Datei mit über 40 Scannern hintereinander. Dies wird oft bei Dateien eingesetzt, bei denen man nicht sicher sagen kann, ob sie schädlich sind oder nicht. VT hilft manchmal bei solchen Entscheidungen. :)

Zitat:

Zitat von deckbett (Beitrag 679323)

- Inwiefern "umgeleitet"? Ich werde auf keine merkwürdigen Seiten geleitet, es öffnet sich auch nichts.

Mein Fehler, du wurdest ja auf keine Seiten umgeleitet. Das ist jedoch typisch für das TDSS Rootkit, mit dem du infiziert warst.
Die beiden IE-Prozesse, von denen du gesprochen hast, sollten nun allerdings nicht mehr im Taskmanager zu sehen sein (bei geschlossenem IE).

Zitat:

Zitat von deckbett (Beitrag 679323)

- Allerdings sind nach dem OTL-Fix die versteckten Dateien wieder sichtbar.

:eek: Ok, muss ich mir nochmal genauer ansehen. Bitte die verscheckten Dateien wieder "unsichtbar" machen, siehe dazu Schritt # 1.

Zitat:

Zitat von deckbett (Beitrag 679323)

- Den CTFMON-Remover habe ich vor Ewigkeiten mal eingesetzt, weil die ctfom.exe mir beim Programmstart mal Probleme gemacht hat und irgendwie zweimal vorhanden war oder so. Ist aber, wie gesagt, schon ewig her. Auf jeden Fall ist die EXE nicht mehr im Autostart - wenn dies aber sein MUSS oder ohne Probleme sein KANN, darfs natürlich auch behoben werden. ;)

Vielen Dank für die Informationen.

Schritt # 1: Systemdateien verstecken
Gehe bitte auf Start -> Computer --> Organisieren --> Ordner und Suchoptionen.
Wechsle auf den Reiter Ansicht.

Setze den Hacken bei Geschützte Systemdateien ausblenden ( empfohlen )
Setze den Hacken bei Erweiterungen bei bekannten Dateitypen ausblenden
Aktiviere Alle Dateien und Ordner nicht anzeigen

Drücke auf Übernehmen und OK

Lösche keinesfalls Ordner oder Dateien ohne Anweisung

Schritt # 2: Java deinstallieren/neu installieren

Schließe alle Internet Browser.
Folge dem Pfad: Start -> Systemsteuerung -> Programme deinstallieren
Deinstalliere bitte Java(TM) 6 Update 23
Lade dir anschließend Java(TM) 6 Update 26 von hier auf deinen Desktop.
Installiere anschließend die neue Version mit Rechtsklick -> Als Administrator ausführen

Schritt # 3: Wichtige Updates

Deinstalliere bitte deine aktuelle Version von Adobe Reader:
Start --> Systemsteuerung --> Programme deinstallieren --> Adobe Reader
und lade dir die neue Version von Hier herunter.
Entferne den Hacken für den McAfee SecurityScan.

Schritt # 4: ESET Online Scanner
Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt als Administrator starten.
Dein Anti-Virus-Programm während des Scans deaktivieren.

Button http://img695.imageshack.us/img695/1599/eset1l.jpg (<< klick) drücken.
- Firefox-User:
  Bitte esetsmartinstaller_enu.exe downloaden.Das Firefox-Addon auf dem Desktop speichern und dann installieren.
- IE-User:
  müssen das Installieren eines ActiveX Elements erlauben.
Setze den einen Hacken bei Yes, i accept the Terms of Use.
Drücke den http://img707.imageshack.us/img707/687/starteg.jpg Button.
Warte bis die Komponenten herunter geladen wurden.
Setze einen Haken bei "Scan archives".
Gehe sicher das bei Remove Found Threads kein Hacken gesetzt ist.
http://img707.imageshack.us/img707/687/starteg.jpg drücken.
Die Signaturen werden herunter geladen.Der Scan beginnt automatisch.

Wenn der Scan beendet wurde

Klicke Finish.
Browser schließen.

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und kopiere folgenden Text in das Ausführen Fenster.

Code:

"%ProgramFiles%\Eset\Eset Online Scanner\log.txt"

Poste nun den Inhalt der log.txt.

Schritt # 5: Durchführung einer Sicherheitskontrolle
Downloade Dir bitte SecurityCheck

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Wenn der Scan beendet wurde sollte sich ein Textdokument ( checkup.txt ) öffnen.
Poste den Inhalt bitte hier.

Schritt # 6: Deine Rückmeldung
Zur weiteren Analyse benötige ich zusammen mit deiner nächsten Antwort

das Logfile des ESET Online Scanners und
das Logfile von SecurityCheck.

Hallo!

ESET:

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=7

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6427

# api_version=3.0.2

# EOSSerial=0474a9054f5ffb4fb13e986cbea44e29

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2011-07-05 11:40:04

# local_time=2011-07-05 01:40:04 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.0.6002 NT Service Pack 2

# compatibility_mode=1797 16775165 100 94 350361 46394871 343137 0

# compatibility_mode=5892 16776573 100 100 2054 147390743 0 0

# compatibility_mode=8192 67108863 100 0 109 109 0 0

# scanned=185090

# found=0

# cleaned=0

# scan_time=7989

Security Check:

Code:

 Results of screen317's Security Check version 0.99.17  

 Windows Vista Service Pack 2 (UAC is enabled) 

 Internet Explorer 8  
 `````````````````````````````` 
 Antivirus/Firewall Check: 

 Avira AntiVir Personal - Free Antivirus 

 ESET Online Scanner v3   

 WMI entry may not exist for antivirus; attempting automatic update. 

 Avira successfully updated! 
 ``````````````````````````````` 
 Anti-malware/Other Utilities Check: 

 Malwarebytes' Anti-Malware    

 Java(TM) 6 Update 26  
 Flash Player Out of Date! 

 Adobe Flash Player         10.2.152.26  

 Adobe Reader X (10.1.0) 

 Mozilla Firefox (x86 de..) 
 ```````````````````````````````` 

Process Check:  
 objlist.exe by Laurent 

 Spybot Teatimer.exe is disabled! 

 Avira Antivir avgnt.exe 

 Avira Antivir avguard.exe 
 ``````````End of Log````````````

Hallo deckbett,

Wenn du keine Probleme mehr hast, dann sind wir hier fertig. Dein Rechner ist sauber. :daumenhoc
Zum Schluss müssen wir noch ein paar abschließende Schritte unternehmen, um deinen Pc aufzuräumen und abzusichern.

Schritt # 1: ComboFix deinstallieren
Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking und Anti-Malware Programme deaktivieren.

Windows-Taste + R drücken. Kopiere nun folgende Zeile in die Kommandozeile und klicke OK.

Code:

Combofix /Uninstall

http://larusso.trojaner-board.de/Images/CFuninstall.jpg

Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch aus dieser die Schädlinge verschwinden.

Nun die eben deaktivierten Programme wieder aktivieren.

Schritt # 2: Systembereinigung mit OTL
Als Nächstes müssen wir alle Programme, die zur Malwarebeseitigung notwendig waren, entfernen:

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Button Bereinigung.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.

Schritt # 3: Programme deinstallieren/löschen

Deinstalliere/Lösche gegebenenfalls weitere Dateien und Programme, die wir verwendet haben, manuell, falls sie noch nicht von deinem Rechner entfernt wurden.

Schritt # 4: TeaTimer aktivieren

Starte Spybot S&D => stelle im Menü "Modus" den "Erweiterten Modus" ein
Klicke dann links unten auf "Werkzeuge"
Klicke auf "Resident"
Das Häkchen bei Resident "TeaTimer" hinzufügen(Schutz aller Systemeinstellungen)
Spybot Search&Destroy schließen
Rechner neu starten.
Bebilderte Anleitung.

Schritt # 5: ESET Online Scanner

Ich würde dir empfehlen, 1 mal pro Woche auch mit diesem Scanner dein System zu prüfen.
Möchtest Du ESET denoch deinstallieren:
Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und kopiere folgenden Text in das Ausführen Fenster.

Code:

"%ProgramFiles%\Eset\Eset Online Scanner\OnlineScannerUninstaller.exe"
Drücke OK.

Schritt # 6: Adobe Flash Player aktualisieren

Lade dir die neuste Version des Flash Players von Adobe für Firefox und den Internet Explorer herunter.
Installiere die neuste Version auf deinem Computer.

Schritt # 7: Windows Update aktivieren
Sehen wir nach ob die Updates für Windows sich automatisch downloaden. Das ist der beste Weg um all die Sicherheits- Patches und Fixes zu erhalten.

Windows + R Taste drücken.
Kopiere nun folgenden Text in die Kommandozeile:

Code:

RunDll32.exe shell32.dll,Control_RunDLL wscui.cpl
Klicke auf Ok.
Stelle sicher, dass die automatischen Updates aktiviert sind.
Downloade und installiere gegebenenfalls alle verfügbaren Updates.

Schritt # 8: Schutz vor weiteren Infektionen
Damit du in Zukunft vor ähnlichen Infektionen geschützt bist, empfehle ich dir noch ein paar nützliche Programme inklusive ein paar Tipps.

Vergewissere dich, dass dein Virenscanner stets aktuell ist und regelmäßig Updates erhält.
Daneben empfehle ich dir die Verwendung eines der folgenden Anti-Malware tools:
- Malwarebytes' Anti-Malware
- SuperAntiSpyware
- Emsisoft AntiMalware
SpywareBlaster
Eine kurze Einführung findest du Hier
MVPs hosts file
Eine Einführung findest du hier
Öffne keine E-Mails oder deren Anhänge, wenn du den Absender nicht kennst!
Verwende keine Filesharing Programme, da damit sehr oft Malware übertragen wird!
Verwende keine Keygens, Cracks oder andere illegale Software!
Wähle bei der Installation eines Programms immer die benutzerdefinierte Variante. Somit kannst du unnötige Toolbars, etc. abwählen!
Halte ALLE deine Programme aktuell, z. B. mit dem Online Secunia Inspector!

Schritt # 9: Passwörter ändern

Du warst mit Malware infiziert, die Passwörter ausspäht.
Darum bitte ich dich, alle deine Passwörter (E-Mail, Ebay, Amazon, Online Banking, Facebook, etc.) zu ändern.

Schritt # 10: Deine Rückmeldung
Bitte gib mir kurz Bescheid, wenn alles erledigt ist und du keine Fragen mehr hast, damit ich das Thema aus meinen Abos löschen kann.

Wow, super, dafür bedanke ich mich schonmal! :)

- Passwörter sind zwar nicht wenige, werden demnächst aber alle geändert,
- ComboFix ist deinstalliert,
- OTL automatisch und
- die anderen genutzten Programme manuell entfernt.

ABER:

- Unter "C:" habe ich die beiden Ordner "Boot" und "MSOCache", die mir vorher zumindest nicht aufgefallen sind.
- Ist es korrekt, dass sowohl der Ordner "Programme" UND "ProgramData" existieren?

- Unter "Benutzer" ebenfalls: "Default" und "IUSR_NMPR" sind mir irgendwie neu... (Zusätzlich zu "Benutzer1". "Benutzer2", "Gast" und "Öffentlich".)

- Außerdem bei allen Benutzern: sichtbarer "AppData"-Ordner und zwei oder mehr "NTUSER.DAT" mit unterschiedlichen Endungen und Groß-/Kleinschreibung.

Ansonsten komme ich zu allen meinen Ordnern/Dateien problemlos.

- TeaTimer: Kann es sein, dass dieser (nach Systemstart) ordentlich CPU verbraucht?!

- Ich benutze zukünftig folgende Programme:
* Malwarebytes' Anti-Malware (neu)
* SuperAntiSpyware (neu)
* SpywareBlaster
* Spybot S&D
* Avira Antivir
* ClearProg

"Fehlt" da noch irgendwas, bzw. passen von meiner Kombi manche nicht zusammen?
Generell lasse ich meine Sicherheitsprogramme regelmäßig updaten und kontrollieren.
Auch die Defragmentierung lasse ich einmal pro Monat laufen, außerdem speichere ich in diesem Intervall meine Daten auf einer externen Festplatte.

Gibt es eigtl. Programme, die einem auch das System "sauberhalten"? Z.B. fiel mir durch die Kontrolle wieder auf, dass sich unter "Programme" immer wieder Ordner ansammeln, die man nicht mehr benötigt, weil das Programm dazu gar nicht mehr existiert. Ich finde das immer ganz fürchterlich und denke mir, dass das auf Dauer ja auch nicht so gut sein kann für die Leistung des Rechners...?

Eine Frage zum "Echtzeitschutz" von SUPERAntiSpyware: Dieser ist derzeit deaktiviert - soll das so bleiben? Es läuft ja auch Antivir und nun auch Spybot.

Diese sogenannten Filesharing-Programme, Keygens und Cracks sollten bei mir eigentlich nicht "ins Haus kommen", da ich noch nicht mal weiß, was das ist. *g*

Eine Frage bzgl. Spam-E-Mails: Ich bin bei Yahoo und nutze die Filterfunktion. Dennoch kann ich im Spam-Ordner Mails öffnen (weil manchmal ja auch wichtiges darin landet, bzw. manche Mails abgemeldet werden könnten) - kann dabei was passieren? Viel bekomme ich da eh nicht.

Ja, das wäre erstmal mein Fragenkatalog. *g*

Nochmals danke und bis demnächst! :)

Hallo deckbett,

Zitat: