Trojaner-Board - Unbekannte Vireninfektion (möglicherweise Smart Fortress 2012)

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Unbekannte Vireninfektion (möglicherweise Smart Fortress 2012) - Gelöst oder nicht? (https://www.trojaner-board.de/115893-unbekannte-vireninfektion-moeglicherweise-smart-fortress-2012-geloest.html)

Unbekannte Vireninfektion (möglicherweise Smart Fortress 2012) - Gelöst oder nicht?

Hallo erstmal,

Ich hatte heute Morgen nach einigen Stunden Arbeiten eine Administratoranfrage des Adobe-Flash-Players. Das verwirrte mich kurz, denn es war kein Icon und kein Verifizierter Hersteller angegeben. Zudem hatte Flash eigentlich schon alle Rechte. Kurz danach kam, nach eineinhalb Jahren reibungslosem Betrieb, das erste Mal wieder eine Virenwarnung. (Ich benutze GData Antivirus 2010 in der aktuellsten Version und mit den aktuellsten Updates). Ich habe sie bestätigt (In Quarantäne verschieben) und die Standartprüfungen gemacht - Systemordner, Rootkit etc. Dabei kam nichts heraus. Kurz danach kam eine weitere Virenmeldung aus dem AppData-Verzeichnis. Eine Datei namens 0000000.@ oder so. Ich sah nach und habe alles an heute morgen entstandenen Dateien gelöscht - Inklusive einer sehr suspekten "tempfiles.exe". Diese deutete auf Smart fortress hin. Ich erhielt noch eine weitere Virenmeldung für eine .tmp- datei, dan war schluss. Ich habe danach erstmal abgewartet und eine offline-komplettprüfung gemacht, die eine Datei im Java-6.0-Appdata-Verzeichnis fand (Was den ). Als dann, wieder am Internet, eine Meldung mit der selben Datei nocheinmal kam, habe ich einen Dcan mit Malwarebytes gemacht. Das hat einen Registryeintrag und eine "msimg32.dll" gelöscht. Nach einem Neustart lief bis jetzt alles gut, und nun Poste ich hier nocheinmal einige Logs um sicherzugehen, das alles weg ist.

(Windows 7 32bit)

Logs von OTL und Hijackthis im Anhang. Für Den Rest habe ich immoment leider keine Zeit, ich kann sie später bei Bedarf noch posten.

Hoffe ihr könnt mir helfen,
Viele Grüße, Jan

Ohne die Logs von Malwarebytes und Co wird das hier nichts. :glaskugel:
Alles von Malwarebytes (und evtl. anderen Scannern) muss hier gepostet werden.

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

hier steht das Log

Kein Problem:

Malwarebytes:

Code:

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.05.28.04
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 8.0.7601.17514

Jan :: JANPC [Administrator]
 

28.05.2012 18:59:14

mbam-log-2012-05-28 (18-59-14).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 207633

Laufzeit: 26 Minute(n), 3 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 1

HKCR\CLSID\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InprocServer32| (Trojan.Zaccess) -> Bösartig: (C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\n.) Gut: (%SystemRoot%\system32\shdocvw.dll) -> Erfolgreich ersetzt und in Quarantäne gestellt.
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 2

C:\Users\Jan\Downloads\SoftonicDownloader_fuer_audacity.exe (PUP.BundleOffer.Downloader.S) -> Keine Aktion durchgeführt.

C:\Users\Jan\AppData\Local\Temp\msimg32.dll (Rootkit.0Access) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Gdata (Der Hinweis mit der Internetadresse ist mir noch nicht aufgefalen, gehört aber zweifelsfrei dazu)

Code:

Virenprüfung von Web-Inhalten
 

Adresse:         robustsimilarly.in

Virus:         Gen:Variant.Kazy.73367 (Engine A)

Status:         Der Zugriff wurde verweigert.
 
 

Beim Öffnen der Datei "C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\80000000.@" wurde der Virus "Trojan.Sirefef.FT (Engine A)" entdeckt. Zugriff verweigert.
 
 

Die Datei wurde desinfiziert.
 

Datei: C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\80000000.@

Virus: Trojan.Sirefef.FT (Engine A)
 
 

Beim Öffnen der Datei "C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\800000cb.@" wurde der Virus "Win32:Sirefef-AO [Rtk] (Engine B)" entdeckt. Zugriff verweigert.
 
 

Die Datei wurde in die Quarantäne verschoben.
 

Datei: C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\800000cb.@

Virus: Win32:Sirefef-AO [Rtk] (Engine B)
 
 

Beim Öffnen der Datei "C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\00000001.@" wurde der Virus "Win32:Malware-gen (Engine B)" entdeckt. In Quarantäne verschoben.
 
 

Virenprüfung mit G Data AntiVirus

Version 20.2.4.2 (20.04.2010)

Virensignaturen vom 28.05.2012

Startzeit: 28.05.2012 12:36:44

Engine(s): Engine A (AVA 22.5099), Engine B (AVB 22.914)

Heuristik: Ein

Archive: Ein

Systembereiche: Ein

RootKits prüfen: Aus
 

Prüfung der Systembereiche...

Prüfung folgender Verzeichnisse und Dateien:

  C:\Users\Jan\AppData\
 

Objekt: 7709a4ca-7f873d7d

        Pfad: C:\Users\Jan\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\10

        Status: Datei in Quarantäne verschoben

        Virus: Java:Agent-YE [Expl] (Engine B)
 

Analyse vollständig durchgeführt: 28.05.2012 13:06:19

    50760 Dateien überprüft

    1 infizierte Dateien gefunden

    0 verdächtige Dateien gefunden
 
 

Beim Öffnen der Datei "C:\Users\Jan\AppData\Local\{1ada850f-4484-f151-22d5-6d264e125542}\U\800000cb.@" wurde der Virus "Win32:Sirefef-AO [Rtk] (Engine B)" entdeckt. In Quarantäne verschoben.

Hoffe das das weiterhilft.

Viele Grüße

PS: Code-Tags kenne ich, die konnte ich im letzten post aber aufgrund der länge nicht verwenden...

Bitte erstmal routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

hier steht das Log