Trojaner-Board - TR/ATRAPS.Gen + TR/ATRAPS.Gen2 (siehe auch GeFox Thread)

Hallo zusammen,

habe das gleiche Problem wie GeFox. Ich wollte eigentlich direkt in den Beitrag von ihm ("tr/atraps.gen und tr/atraps.gen2 werden im 5min takt angezeigt") eine Antwort schreiben. Ist mir aber nicht erlaubt. Dann habe ich die nachfolgende Mail an Larusso geschickt und die folgende Antwort erhalten:
"Kein Support via PM"

Ich weiß jetzt nicht mehr, was ich tun soll. Einerseits darf man keinen Thread für ein Thema aufmachen, welches es schon gibt, andererseits darf man in einem laufenden Thread nicht antworten um zu helfen. Immerhin habe ich das Avira Protokoll und Hinweise auf services.exe.

Was soll ich denn jetzt tun?

Den Thread von mir könnt Ihr ja wieder löschen.

Gruß
Thomas

Hallo Larusso,

ich habe seit heute Morgen auf meinem Windows 7 PC (aktuelle Servicepacks) mit Avira 2012 Premium das gleiche Problem wie GeFox. Ich wollte eigentlich direkt in den Beitrag von ihm ("tr/atraps.gen und tr/atraps.gen2 werden im 5min takt angezeigt") eine Antwort schreiben. Ist mir aber nicht erlaubt.

Hier der Auszug vom letzten Protokoll von Avira:
+++
Beginne mit der Suche in 'C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\U\80000000.@'
C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\U\80000000.@
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '55badb79.qua' verschoben!
Beginne mit der Suche in 'C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\U\800000cb.@'
C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\U\800000cb.@
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen2
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d2df4de.qua' verschoben!
+++

Heute Morgen schlug übrigens als erstes ein Update von Avira fehl:
+++
Avira Antivirus Premium 2012 Updater
Vollständiges Produktupdate

Erstellungszeitpunkt: Samstag, 23. Juni 2012 08:33:35

Betriebssystem:
Windows 7 Home Premium (Service Pack 1) [6.1.7601] 64 bit

Produktinformationen:
Produktversion: 12.0.0.1145
Updater: C:\Program Files (x86)\Avira\AntiVir Desktop\update.exe 12.3.14.15
Updaterresource: C:\Program Files (x86)\Avira\AntiVir Desktop\updaterc.dll 12.3.0.15
Bibliothek: C:\Program Files (x86)\Avira\AntiVir Desktop\update.dll 1.0.0.9
GUI: C:\Program Files (x86)\Avira\AntiVir Desktop\updgui.dll 12.3.3.15

Temporäres Verzeichnis: C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\
Backupverzeichnis: C:\ProgramData\Avira\AntiVir Desktop\BACKUP\
Installationsverzeichnis: C:\Program Files (x86)\Avira\AntiVir Desktop\
Updaterverzeichnis: C:\Program Files (x86)\Avira\AntiVir Desktop\
AppData Verzeichnis: C:\ProgramData\Avira\AntiVir Desktop\

Verbindungseinstellungen:
- Verbindungsart: Webserver
- Übertragungstyp: Vorhandene Verbindung
- Proxyeinstellungen: Verwende Systemeinstellungen

08:33:36 [UPD] [INFO] Prüfe ob neuere Dateien zur Verfügung stehen.
08:33:36 [UPD] [INFO] Wähle Updateserver 'hxxp://premium.avira-update.com/update'.
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.com/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.com/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.com/update/idx/master.idx
08:33:36 [UPD] [INFO] Wähle Updateserver 'hxxp://premium.avira-update.net/update'.
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.net/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.net/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.net/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.net/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://premium.avira-update.net/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://premium.avira-update.net/update/idx/master.idx
08:33:36 [UPD] [INFO] Wähle Updateserver 'hxxp://62.146.87.172/update'.
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://62.146.87.172/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Verbindungsfehler beim Herunterladen der Datei hxxp://62.146.87.172/update/idx/master.idx
08:33:36 [UPD] [INFO] Wähle Updateserver 'hxxp://prempeak.avira-update.com/update'.
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://prempeak.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://prempeak.avira-update.com/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://prempeak.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://prempeak.avira-update.com/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Erneuter Versuch...
08:33:36 [UPD] [INFO] Herunterladen von 'hxxp://prempeak.avira-update.com/update/idx/master.idx' nach 'C:\ProgramData\Avira\AntiVir Desktop\TEMP\UPDATE\idx\master.idx'.
08:33:36 [UPDLIB] [ERROR] Download-Manager: Fehler beim Auflösen des Hostnamens beim Herunterladen der Datei hxxp://prempeak.avira-update.com/update/idx/master.idx
08:33:36 [UPDLIB] [ERROR] Kein anderer Server, Aktualisierung abgebrochen
08:33:36 [UPD] [ERROR] Erzeugen der Updatestruktur ist fehlgeschlagen. Die UpdateLib liefert den Fehler 537.

Zusammenfassung:
****************
0 Dateien heruntergeladen
0 Dateien installiert

Samstag, 23. Juni 2012 08:33:36

Das Update ist fehlgeschlagen!
+++

Danach wurde das gefunden:
+++
Beginne mit der Suche in 'C:\Users\TE\AppData\Local\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\n'
C:\Users\TE\AppData\Local\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\n
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen2
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '568fc5ee.qua' verschoben!
+++

Von Interesse dürfte sicherlich dieser nachfolgende Fund sein, da service.exe betroffen ist!
+++
Beginne mit der Suche in 'C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\n'
C:\Windows\Installer\{fc997f58-4109-96a9-7c77-5e12f6ed468f}\n
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen2
Beginne mit der Suche in 'C:\Windows\System32\services.exe'
C:\Windows\System32\services.exe
[FUND] Enthält Erkennungsmuster des Windows-Virus W32/Patched.UA
+++

Ich werde jetzt den PC mit der desinfect DVD von c't neu starten.

Gruß
Thomas

Liebes Trojaner Board Support-Team,

sorry, ich habe gestern die goldene Regel Nr. 2 falsch gelesen:
"2. Eröffne immer nur ein Thema zu einem Problem"
anstatt im Original
"2. Eröffne immer nur ein Thema zu Deinem Problem"

Deshalb die PM an Larusso.

Inzwischen habe ich die c't desinfect DVD laufen lassen. Das Ergebnis war das Gleiche. Ich habe folgende Trojaner:
TR/ATRAPS.Gen
TR/ATRAPS.Gen2
TR/Small.FI
W32/Patched.UA (in c:\windows\system32\services.exe !)

Reicht es, wenn ich die services.exe aus einem Image zurückspiele?

Falls ich mich entschließe das System neu aufzusetzen. Wie schütze ich es gegen diese 4 Trojaner? Ich bin nämlich etwas verwundert, warum mein PC befallen ist, da ich immer alle System- und Programmupdates installieren lies.

Gruß
Thomas