Hallo Arne,

HTCRYPT.EXE - Trojan.Agent/Gen-Koobface[Bonkers]
ist uralt, hab ich meines Wissens nie eingesetzt.

POLARISATOR.EXE - Trojan.Agent/Gen-Cryptor[Egun]
Quelle: hxxp://www.borntoglide.de/polexe.html hat mit Gleitschirmfliegen zu tun. Hatte ich auch einmal in Verwendung.

In der Registry hat sich Polaris.exe nicht verewigt. Hab mit "suchen" in Regedit darin suchen lassen.

Beide Verzeichnisse hab ich samt Inhalt gelöscht.

Viele Grüße,
Martin.

Ok. Rechner soweit wieder im Lot?

Hallo Arne,

okay danke. Ja der Rechner fühlt sich okay an.
Hab dann noch das Benutzerkonto, das wir täglich benutzen auf Standardbenutzer gesetzt.
Hast du noch einen Rat den du mir mit auf den Weg geben kannst? Weil mir ist nicht ganz klar wo ich mir den Mist eingefangen habe. Updates werden und wurden immer gemacht. Bedenkliche oder dubiose Websites besuchen wir auch nicht.

Viele Grüße,
Martin.

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:

Adobe - Andere Version des Adobe Flash Player installieren

Notfalls kann man auch von Chip.de runterladen => http://filepony.de/?q=Flash+Player

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo Arne,

CF ist runter. Habs im CMD-Fenster gemacht.
Den Adobe - Reader hab ich durch PDF Exchange ersetzt. Die Flash-Varianten sind nun auf neuestem Stand.

Java hab ich bis jetzt noch nicht wieder installiert. Das mach ich erst dann wenn ich es wirklich brauche.

Win 7 wird automatisch mit nachfragen upgedatet.

Opera und Firefox wurden auch auf den neuesten Stand gebracht. Opera wird zu meinem Standardbrowser werden. Meine Frau will den IE benutzen, da ist nichts zu machen.

Danke sind wertvolle Tipps gewesen.

Viele Grüße,
Martin.

Hallo Arne,

bin gerade dabei einen neue Sicherung meiner Festplatte C: zu machen und hab dabei den Ordner C:\32788R22FWJFW entdeckt. Laut Google ist der von Combofix. Der Inhalt des Ordners sind die Laufwerke C:, D: und F:

Viele Grüße,
Martin.

Ja der ist von CF und und somit nicht von einem Schädling

Hallo Arne,

als ich den Ordner probeweise auf eine zweite Festplatte verschoben habe, schlug Avast Alarm.
Win32:Rootkit-gen:
betroffene Dateien PEV.exe, pev.3xe, \license\firefox.exe, license\iexplore.exe,

Avast hat alles in den Container verschoben und danach vor dem Boot noch einen Vollscan gemacht und weitere Dateien in den Container verschoben.

Danach hab ich den Ordner 32788R22FWJFW in den Papierkorb geschoben.

Ich hoffe nun, dass das ein false / positiv ist, weil sonst krieg ich die Krise.

Viele Grüße,
ein total aufgelöster Martin.

Was meinst du wohl warum du den Virenscanner deaktivieren solltest vor der Ausführung von CF
CF ist ein mächtiges Tool, das ein Sammelsurium von verschiedenen Programmen und Scripten ausführt, die u.U. auch für böse Zwecke missbraucht werden können.

Hallo Arne,

das klingt auch wieder logisch.

Viele Grüße,
Martin.