Trojaner-Board - TR/Spy.Banker.Gen2 nach "BKA-Meldung"

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Spy.Banker.Gen2 nach "BKA-Meldung" (https://www.trojaner-board.de/105476-tr-spy-banker-gen2-bka-meldung.html)

TR/Spy.Banker.Gen2 nach "BKA-Meldung"

Hallo,

vor einigen Tagen bekam ich beim Surfen die bildschirmfüllenden BKA-Meldung und konnte den Laptop nur durch erzwungenes Herunterfahren weiter benutzen. Seitdem passiert es mir immer wieder, dass sich firefox nach einigen Minuten aufhängt und nur durch Beenden des entsprechenden Prozesses im Task-Manger wieder zu starten ist.
Außerdem hat Avira AntiVir jetzt mehrfach den Trojaner TR/Spy.Banker.Gen2 (eigentlich nur in C:\Users\***\AppData\Roaming\5044\components\AcroFF0445.dll, wobei es den unterstrichenen Ordner mit verschiedenen Zahlenkombinationen gibt) sowie teilweise andere trojanische Pferde (TR/Spy.Agent.bvof, TR/Offend.6943020, etc. - auch in genanntem Ordner) gefunden.
Nachdem ich im Netz bis jetzt nur auf sehr spezifische Anleitungen oder den Rat eigentlich hilft nur Neuaufsetzen gestoßen bin, habe ich gehofft, dass mir hier jemand helfen kann.

Es wäre wirklich super, wenn mir jemand weiterhelfen könnte!
Theresa

hi,
ich sehe es mir an, moment dauert n bissel

hi

achtung!
dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

Code:

:OTL

PRC - [2011.11.27 14:15:59 | 000,003,072 | ---- | M] (Microsoft Corporation) -- C:\Users\Theresa\AppData\Local\Temp\V4p91A4.exe

MOD - [2011.11.26 20:13:49 | 001,166,288 | ---- | M] () -- C:\Users\Theresa\AppData\Roaming\5050\components\AcroFF050.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found

O3:64bit: - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found

O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found

O4 - HKCU..\Run: [4Y3Y0C3A9G6D3JWDYKEQPLCKXROU] C:\serverg.Bin\873D3F8A24A.exe ()

O4 - HKCU..\Run: [Userinit] C:\Users\Theresa\AppData\Roaming\appconf32.exe ()

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1

[2011.11.27 14:20:07 | 000,285,648 | ---- | C] (Adobe Systems, Incorporated) -- C:\Users\Theresa\AppData\Roaming\AcroIEHelpe051.dll

[2011.11.26 20:13:49 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5050

[2011.11.24 15:06:19 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5049

[2011.11.22 13:04:58 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5047

[2011.11.21 13:32:18 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5045

[2011.11.20 16:59:07 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5044

[2011.11.19 05:29:58 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5043

[2011.11.17 15:47:48 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5042

[2011.11.16 18:08:05 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\5041

[2011.11.16 15:52:48 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\xmldm

[2011.11.16 15:51:47 | 000,000,000 | ---D | C] -- C:\Users\Theresa\AppData\Roaming\kock

[2008.12.09 16:23:13 | 000,050,240 | RHS- | C] () -- C:\Users\Theresa\AppData\Roaming\appconf32.exe

[2011.11.16 18:08:05 | 000,000,000 | ---D | M] -- C:\Users\Theresa\AppData\Roaming\5041

[2011.11.17 15:47:48 | 000,000,000 | ---D | M] -- C:\Users\Theresa\AppData\Roaming\5042

[2011.11.19 05:29:59 | 000,000,000 | ---D | M] -- C:\Users\Theresa\AppData\Roaming\5043

:Files

C:\Users\Theresa\AppData\Local\Temp\V4p91A4.exe

C:\serverg.Bin

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.

öffne computer, öffne C: dann _OTL
dort rechtsklick auf moved files
wähle zu moved files.rar oder zip hinzufügen.
folge dem link, und lade das archiv im upload channel hoch
http://www.trojaner-board.de/54791-a...ner-board.html

hi markus,

das ging ja super schnell! Hier das Textfile von OTL.
Wenn ich allerdings den Ordner Moved Folders zippen will, meldet Antivir immer "Malware gefunden" - ich weiß jetzt nicht ganz genau, ob damit alles im neu erstellten Archiv enthalten ist bzw. auch nicht, ob ich die dateien jetzt von Antivir wieder löschen lassen soll?

Danke! Theresa

hi, lass einfach in quarantäne schieben und lad dann das archiv in den upload channel hoch, so bekomme ich nur die unerkannten dateien, dass ist dann schon in ordnung

danke für den upload.
nutzt du das system für onlinebanking einkäufe oder sonst was wichtiges, wie zb berufliches?

Alles klar, ist erledigt (7zip hat allerdings gemeldet, dass das archiv nur 99% umgewandelt wurde - aber ich nehm an, das bezieht sich dann auf die in quarantäne verschobenen dateien..)

genau so ist es :-)
kannst du noch die frage in post
6
beantworten bitte

Sry, dass muss gleichzeitig gelaufen sein, dass hab ich noch gar nicht gelesen... also für onlinebanking im privaten rahmen, ansonsten eigentlich nicht für berufliches... =)

hi, dann rufe die bank an, notfallnummer:
116 116
teile ihnen mit das du einen trojan.banker und einen trojan.spyeyes
auf dem pc hast.
diese beiden stehlen alles an sensiblen daten was sie bekommen können.
dieses system ist nicht mehr vertrauenswürdig, bis es formatiert wurde.
sichere also daher wichtige daten wie bilder, dokumente (persönliches) auf nen externen datenträger
dann erkläre ich dir, falls nötig, wie man formatiert und windows neu instaliert.
dann zeige ich dir wie du das system richtig absicherst.
dann musst du alle passwörter endern

oh nein, ich habe meinen letzten Beitrag gepostet und dann auf sidereel.com gewechselt, nur um einige Minuten später wieder die BKA-Meldung zu bekommen... allerdings hat diesmal das herunterfahren nicht geholfen - ich kann den Laptop gerade gar nicht nutzen! -.-

och mensch :d
sind noch daten zu sichern?
bank angerufen?

Also ich bin bei der postbank, d.h. die notrufnummer funktioniert nicht... ich habe auch mein Pwd nicht auf dem REchner gespeichert, aber das wird wahrscheinlich keinen Unterschiede machen, oder?
Hmm, ich muss mal gucken, wie ich trotz dieser Meldung auf Daten zugreifen kann.... -.-

Uff, also ich schaffe es doch, um die BKA-Meldung drumherum zu kommen ^^ Aber ich muss gestehen, dass ich es schon seit einiger Zeit vor mir herschiebe mal wieder ein backup zu machen, d.h. das letzte liegt einige Zeit zurück... kann ich alle Dateien, die ich sichern möchte, gefahrlos kopieren oder muss ich irgendwas beachten, damit ich nicht meine externe Festplatte gleich mitinfiziere?

hi, 116 116
ist die notfallnummer für alle banken, die vermitteln dich dann schon richtig, aber jetzt ist ja wochentag da kannst du ganz normal anrufen.
ja sichern kannst du alles, nur keine programme (exed) dateien zb

hmm, also der Mann am Ende der 116 116 meinte er könnte mir postbanktechnisch nicht weiterhelfen... aber heute hab ich das auf dem normalen Weg erledigt ;)
Daten sind gesichert, d.h. ich würde jetzt das system neu aufsetzen... allerdings wollte ich mir dazu gerade nochmal das sp1 runterladen (hxxp://www.microsoft.com/downloads/de-de/details.aspx?familyid=c3202ce6-4056-4059-8a1b-3a9b77cdfdda&displaylang=de) - muss ich dazu die ganzen Dateien einzeln laden?

hi, danke für die info, ich dachte das wäre ne nummer die für alle gültig ist.
das sp1 kannst du eig auch dann laden wenn du neu instaliert hast, also direkt über windows update.
ich gebe dir jetzt meine anleitung, mache aber dazu noch anmerkungen.
- ich persönlich rate zu emsisoft, hat für mich den besten schutz im moment, und da du onlinebanking machst, sollte man evtl. über diese investition nachdenken. man kann es natürlich vorher 30 tage testen.
- als kostenlosen scanner würde ich dir zu avast raten, ist zwar nicht so gut wie emsisoft, aber ok.
sag mir welchen du nutzt, damit ich dir noch konfigurationshinweise geben kann
natürlich bietet kein av scanner ^100 %igen schutz, deswegen treffen wir ja einiges an weiteren maßnamen.
- ich empfehle opera, deswegen ist meine anleitung darauf angepasst. wenn er dir nicht zusagt, teile mir das mit, und ich muss die anleitung ein wenig anpassen.
- lies unbedingt auch den abschnitt zum onlinebanking mit chipcard reader.

http://www.trojaner-board.de/96344-a...-rechners.html
Starte bitte mit der Passage, Windows Vista und Windows 7
Bitte beginne damit, Windows Updates zu instalieren.
Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst.
Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist:
- Updates automatisch Instalieren,
- Täglich
- Uhrzeit wählen
- Bitte den gesammten rest anhaken, außer:
- detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist.
Klicke jetzt die Schaltfläche "OK"
Klicke jetzt "nach Updates suchen".
Bitte instaliere zunächst wichtige Updates.
Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren.
Mache das selbe bitte mit den optionalen Updates.
Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist.
aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen.

Als nächstes kommen wir zu dem Antimalware Programm.
Dieses ist ein wichtiger Bestandteil des Sicherheitskonzeptes, deswegen sollte man sich gut überlegen, welche Wahl man trifft.
Bei den kostenlosen Scannern halte ich Persönlich Avast! für die beste Wahl.
Als kostenpflichtiges würde ich Emsisoft empfehlen
Meine Antivirus-Empfehlung: Emsisoft Anti-Malware
Weitere Vertreter .
kaspersky:
Kaspersky Lab: Antivirus software
Symantec (Norton)
Symantec - AntiVirus, Anti-Spyware, Endpoint Security, Backup, Storage Solutions

Browserwahl:
Da wir häufig mit dem Browser arbeiten, ist diese Wahl natürlich ebenfalls wichtig, die wichtigen Vertreter befinden sich in dem Verlinktem Thema.
ich persönlich rate dir zum opera
Sandboxie
Die devinition einer Sandbox ist hier nachzulesen:
Sandbox
Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen.

Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen.
Download Link:
http://filepony.de/download-sandboxie/
anleitung:
http://www.trojaner-board.de/71542-a...sandboxie.html
ausführliche anleitung als pdf, auch abarbeiten:
http://filepony.de/download-sandboxie/

Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen.
Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate.
Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten.
Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten.
Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar.

Weiter mit:
Maßnahmen für ALLE Windows-Versionen
alles komplett durcharbeiten
Backup Programm:
in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an:
Anleitung: Backup mit Windows 7-Bordmitteln - NETZWELT
Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar.
Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist.

Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern
surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox.
wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird sandboxie immer gestartet wenn du nen browser aufrufst.
wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser

Also, ich habe das System jetzt neu aufgesetzt, allerdings irgendwie nur halb :crazy: Ich bin deshalb gerade irgendwie ein bisschen verwirrt... -.-

Ich hab festgestellt, dass ich keine Win7-DVD bekommen habe und musste deshalb die Wiederherstellung über das Festplattenlaufwerk machen. D.h. aber im Endeffekt, dass meine System-Partition (C: ) erneuert wurde, die Partition mit meinen Daten und vielen Programmen jedoch nicht... (firefox war auf C: )
Reicht das? Oder muss ich jetzt irgendwie noch alles auf D: löschen bzw. versuchen den Laptop nochmal komplett neu aufzusetzen?

sind auf d: instalationen oder nur dateien?

Auf D: waren auch ne Menge Programme... einige (z.B. firefox) lagen allerdings auch auf c: - ist es generell besser programme auf der systempartition zu speichern?

hi, sind alle dateien von d: gesichert, dann versuch mal über rechtsklick, formatieren, die partition zu formatieren.
ist eig wurscht wo du hin instalierst.

hmm, ich war die letzten tage total beschäftigt - aber hab den computer ntl trotzdem hin und wieder benutzt (ohne d: neu formatiert zu haben), wenn ich einfach den ordner mit den programmen lösche, kann das nicht auch reichen? Ich hab mal mit avast nen scan gemacht, der war okay und bis jetzt sind auch erstmal keine probleme mehr aufgetreten...
ansonsten nehm ich an, dass ich eigentlich c: nochmal neu machen müsste und dann direkt im Anschluss d: formatieren, oder?

So und generell erstmal ein dickes, fettes Dankeschön! Ohne dich hätte ich das niemals so gut&zügig wieder hinbekommen und wäre über der ein oder anderen Frage wohl auch ein wenig verzeifelt... :dankeschoen:

jo du kannst auch die ordner einfach weg haun :-)
nichts zu danken, hab dir gern geholfen und ich denke mal wenn du alles einhältst was ich dir geschrieben hab, dann solltest du sicherer durchs internet gehen.
ich denke die tipps sollten dich nicht weiter einschrenken im täglichen arbeiten, und mit backups in der hinterhand, wenn sie denn regelmäßig, so einmal pro monat mindestens, gemacht werden, kann man "befreiter" arbeiten, und bei den nächsten problemen muss man dan nicht erst lange suchen, backup einspielen, kafee trinken und dann läuft alles wieder nach ner halben stunde.