|
Die von Ihnen verwendete Windows Lizenz ist abgelaufen Hallo, ich sitze hier auch vor einem PC, der mit dieser Malware infiziert wurde. Stand der Dinge ist: Der Benutzer hat eine E-Mail bekommen, die Bestellung.zip geöffnet und die Bestellung.exe gestartet. Jetzt kommt der PC beim normalen Starten von Windows XP Professional bis zum Willkommensbildschirm und dem Anmeldesound, dann kommt das Erpresserfenster. Ein Starten in die drei abgesicherten Modi ist nicht möglich, jedesmal erfolgt ein Neustart. Habe die OTLPENet runtergeladen, die CD gebrannt und den PC (einen HP Compaq 6005 Pro Microtower) damit gestartet, aber der Bootvorgang des REATOGO endet nach kurzer Zeit in einem Bluescreen mit 0x0000007B (0xF78DA528, 0xC0000034, usw.) Ich hab jetzt einfach mal zum Test die Avira-Rescue-CD eine halbe Stunde drüberlaufen lassen, dann abgebrochen, aber nichts gelöscht oder gereingt. Gefunden wurde mehrfach eine TR/Gypikon.B.5 in verschiedenen Ordnern, siehe Anhang. Wie soll ich jetzt weiter vorgehen? |
hi Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten: Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD. Lade  OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Bebilderte Anleitung: OTLpe-Scan
|
Hi, ich habe den OTLPENet.exe schon heruntergeladen und die CD mit dem REATOGO-X-PE gebrannt, aber der Bootvorgang von der CD endet nach der Anzeige, dass REATOGO-X-PE gestartet wird, mit einem Bluescreen, wie eingangs beschrieben. Soll ich die Festplatte mal ausbauen, in ein Gehäuse stecken und über USB an einen Laptop anschließen, auf dem ich mit der REATOGO-X-PE booten konnte und kann? |
dann bitte ins bios gehen, prüfen ob dort der ide oder ahci mode konfiguriert wurde, wähle jeweils das gegenteilige aus und versuche es erneut mit der cd. |
Da war ich schon. Leider bietet das HP Compaq BIOS des HP Compaq 6005 Pro Microtower nicht diese schönen Einstellungen mit IDE oder AHCI wie bei Boards von Gigabyte oder ASRock, sondern nur "LBA-unterstützt" und "Bit Shift". Ich habs schon umgestellt, aber leider kommt trotzdem noch der Bluescreen beim Booten mit der Reatogo-X-PE-CD. Ich könnte die Festplatte alternativ an einen anderen Rechner ohne eingebaute Festplatte anschließen, indem ich sie in ein externes Gehäuse stecke und über USB anschließe und dann dort von der Reatogo-CD boote. Oder machen wir besser was anderes? Danke für die Hilfe, die du mir bis jetzt geleistet hast! Mittlerweile habe ich auch die Mail aus dem Thunderbird in die Hände bekommen, die den Bestellung.zip Anhang hatte. Man beachte das Subject "[Norton AntiSpam]Bestellnummer 85627164781" und aus dem Header die "X-TOI-SPAMCLASS: DANGEROUS, ATTACHMENT"! Warum nur hat der Benutzer die Mail geöffnet! Ich schicke sie dir jetzt per Mail zu. |
hi sind auf dem gerät denn überhaupt wichtige daten oder kann man es auch neu machen. danke für die mail |
Ja, ist ein Geschäftsrechner. Da sind ein Haufen wichtige Daten drauf, und zum Glück nicht verschlüsselt worden, wie bei einigen anderen Trojaneropfern. Ich will gerne diese Logs erstellen und mit dem Säubern weitermachen. |
deaktiviere autorun auf deinem pc http://www.trojaner-board.de/83238-a...sschalten.html dann sagtest du ja, du kannst die platte in dein gerät einbauen, tu das bitte. dann: malwarebytes: Downloade Dir bitte Malwarebytes
|
Ich habe die infizierte Festplatte an einen anderen Rechner gesteckt, Malwarebytes' Anti-Malware installiert und: Juhu! Malwarebytes's Anti-Malware ist eine Dreiviertelstunde über die infizierte Festplatte gelaufen, hat die Trojaner gefunden und gelöscht! Das Log hänge ich an. Dann habe ich die Festplatte wieder in den HP Compaq Rechner gebaut und den Rechner gestartet. Windows XP hat prima gebootet und man kann damit arbeiten. Alle Desktopsymbole sind da. Auch alle Einträge im Startmenü. Der Taskmanager kann nicht aufgerufen werden, weder über STRG+ALT+ENTF noch über STRG+SHIFT+ESC. Es kommt auch kein Fehlerdialogfenster. Regedit kann nicht gestartet werden, im Fehlerdialogfenster steht: "regedit" konnte nicht gefunden werden. Wie gehe ich weiter vor? Code: Malwarebytes Anti-Malware 1.61.0.1400 |
http://www.trojaner-board.de/114548-...e-dateien.html versuche mal scareuncrypt |
Ich habe mir das Tool zwar runtergeladen, aber nicht ausgeführt, denn auf der Festplatte des Rechners sind keine Dateien verschlüsselt worden (zum Glück). Aber ich habe - nachdem ich Windows ja wieder benutzen kann - auch hier Malwarebytes' Anti-Malware installiert und scannen lassen, und nach drei Stunden kam dann folgendes Ergebnis: Code: Malwarebytes Anti-Malware 1.61.0.1400 |
kannst du. was ist das für ein verzeichniss, nen backup? C:\Install\Drive(K) |
Ja, da sind 50 GB Backupdateien drin. Ich habe die Funde entfernen lassen und starte jetzt den Rechner neu. ( Hoffentlich funktioniert Windows dann noch :) ) Welche Schritte muss/soll ich noch durchführen? Code: Malwarebytes Anti-Malware 1.61.0.1400 |
hi, lade den CCleaner standard: CCleaner Download - CCleaner 3.18.1707 falls der CCleaner bereits instaliert, überspringen. instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen. hinter, jedes von dir benötigte programm, schreibe notwendig. hinter, jedes, von dir nicht benötigte, unnötig. hinter, dir unbekannte, unbekannt. liste posten. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 20:20 Uhr. |
Copyright ©2000-2025, Trojaner-Board