Trojaner-Board - Fieser Erpressertrojaner, GVU?

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Fieser Erpressertrojaner, GVU? (https://www.trojaner-board.de/119138-fieser-erpressertrojaner-gvu.html)

Prejudice

10.07.2012 23:24

Fieser Erpressertrojaner, GVU?

Guten Abend liebes Forum.

Ein guter Freund von mir hat mich mit seinem "Problem" beauftragt. Er hat sich auf seinem Laptop einen Trojaner eingefangen, der ihn erpresst (Rechner gesperrt da er irgendwas gemacht haben soll --> bitte freikaufen) und da er von sowas keine Ahnung hat, hat er ihn kurzerhand mir überreicht:crazy:

Das Problem ist, dass er vor lauter Panik erstmal das System zurückgesetzt hat und nun der Bildschirm schwarz bleibt. Glücklicherweise kann man im abgesicherten Modus booten und er meint, dass der Virus "GVU" oder so ähnlich hieß.

Wie sollte ich jetzt vorgehen um das Ding zu reinigen?

Ich freue mich auf Eure Antworten :)

t'john

11.07.2012 18:50

:hallo:

1. Schritt

Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke aus und starte den Scan.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".

2. Schritt

Systemscan mit OTL (bebilderte Anleitung)

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)- Doppelklick auf die OTL.exe
- Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
- Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
- Unter Extra Registry, wähle bitte Use SafeList
- Klicke nun auf Run Scan links oben
- Wenn der Scan beendet wurde werden 2 Logfiles erstellt
- Poste die Logfiles hier in den Thread.

Prejudice

11.07.2012 22:15

Hallo t'john und schon mal danke für Deine Antwort.

Folgendes:
Ich hatte auf eigene Faust schon versucht einen Scan mit Malwarebytes durchzuführen. Also auf den Stick gezogen, den Laptop im abgesicherten Modus gestartet, den Stick eingesteckt und auf den Arbeitsplatz geklickt. Zack. Fehlermeldung von explorer.EXE. Ich hätte angeblich nicht ausreichend Rechte um solch eine Aktion durchzuführen.
Also dachte ich mir, ich könnte dem Virus anders beikommen und habe mir die Kaspersky Rescue Disk erstellt, eingelegt und einen Vollscann durchgeführt und er hat auch einiges gefunden (Ich versuche das Logfile hochzuladen, allerdings kann ich aus oben genanntem Grund nichts auf meinem USB-Stick speichern). Anschließend habe ich noch den windowsunlocker durchgeführt --> neugestartet und wieder im abgesicherten Modus probiert. Wieder die gleiche Fehlermeldung.

Konkret heißt das, ich müsste erstmal diesen Fehler beheben um die von dir genannten Schritte in die Wege zu leiten. Hättest du vielleicht eine Idee?

mfg Prejudice!

Edit: Als Anhang der Scanbericht von Kaspersky.

t'john

12.07.2012 00:11

Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten:

Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
Lege eine leere CD in Deinen Brenner.
ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD

Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
Mache einen Doppelklick auf das OTLPE Icon.
Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
OTLpe sollte nun starten.
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

Prejudice

12.07.2012 17:42

Unwichtig.

Scan läuft.

Prejudice

12.07.2012 18:57

Zitat:

Zitat von t'john (Beitrag 862623)

Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
Lege eine leere CD in Deinen Brenner.
ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD

Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
Mache einen Doppelklick auf das OTLPE Icon.
Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
OTLpe sollte nun starten.
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

So, alles ausgeführt.
Anbei die Dateien.

t'john

12.07.2012 19:01

Fixen mit OTLpe

Starte den unbootbaren Computer erneut mit der OTLPE-CD,
warte bis der Reatogo-X-Pe-Desktop erscheint und doppelklicke das OTLPE-Icon.

Kopiere folgendes Skript in das Textfeld unterhalb von Custom Scans/Fixes:
Sollte das mangels Internet-Verbindung nicht möglich sein,
kopiere den Text aus der folgenden Code-Box und speichere ihn als Fix.txt auf einen USB-Stick.
Schließe den USB-Stick an den Computer an und öffne Fix.txt mit dem Explorer auf dem Reatogo-Desktop.
Kopiere den Inhalt von Fix.txt in das Textfeld unterhalb von Custom Scans/Fixes:

Code:

:OTL

IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 

IE - HKU\Celina_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 

IE - HKU\Celina_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local 

FF - prefs.js..browser.startup.homepage: "http://www.arcor.de" 

O3 - HKU\Celina_ON_C\..\Toolbar\WebBrowser: (VShareToolBar) - {7AC3E13B-3BCA-4158-B330-F66DBB03C1B5} - C:\Program Files\vShare.tv plugin\BarLcher.dll (VShare Inc.) 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5 

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3 

O7 - HKU\Celina_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 

O32 - HKLM CDRom: AutoRun - 1 

O33 - MountPoints2\{9886aa1e-b59c-11df-9011-001e330e898c}\Shell - "" = AutoRun 

O33 - MountPoints2\{9886aa1e-b59c-11df-9011-001e330e898c}\Shell\AutoRun\command - "" = F:\LaunchU3.exe -a 

O33 - MountPoints2\F\Shell - "" = AutoRun 

O33 - MountPoints2\F\Shell\AutoRun\command - "" = F:\LaunchU3.exe -a 

[2012/07/10 17:25:20 | 004,503,728 | ---- | M] () -- C:\ProgramData\0tbpw.pad 

[2012/07/09 07:13:16 | 004,503,728 | ---- | C] () -- C:\ProgramData\0tbpw.pad 

:Files

C:\ProgramData\0tbpw.pad

:Commands

ipconfig /flushdns /c

[emptytemp]

[emptyflash]

[resethosts]

Schließe alle Programme.
Klicke auf den Fix Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere den Inhalt hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\OTLpe\MovedFiles\<datum_nummer.log>
Teste, ob den Computer nun wieder in den normalen Windows-Modus booten kannst und berichte.

Prejudice

12.07.2012 22:15

So. Ich habe es jetzt überprüft.
Bei normalen booten bleibt der Bildschirm schwarz. Angemeldet wird zwar, danach bleibt es aber schwarz, man sieht nur die Maus.
Auch im abgesicherten Modus ändert sich nichts. Ich kann auf den Arbeitsplatz nach wie vor nicht zugreifen (fehlende Rechte angeblich).

Anbei das entstandene Logfile.

t'john

13.07.2012 12:21

Kannst du den Task-Manager starten?
[STRG] + [SHIFT] + [ESC]

Prejudice

13.07.2012 16:37

Zitat:

Zitat von t'john (Beitrag 863707)

Kannst du den Task-Manager starten?
[STRG] + [SHIFT] + [ESC]

Der Task-Manager lässt sich öffnen. Ich habe im normalen Modus versucht über "Neuen Task..." explorer.exe zu starten, hat aber nicht funktioniert :(

t'john

13.07.2012 16:38

versuche Firefox oder iexplore.exe zu starten.
Dann lädst du combofix nach anleitung, gehst wieder in den taskmanager, neuer task, durchsuchen, navigierst in deinen download ordner und startest combofix.
danach pc neustarten, rechtsklick ansicht, symbole einblenden und log posten.

combofix anleitung:

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2

WICHTIG - Speichere Combofix auf deinem Desktop

Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Prejudice

13.07.2012 20:03

So, ich habe alles so gemacht wie du gesagt hast.
Nach dem Scan mit Combofix konnte ich den Desktop mit den ganzen Symbolen auch sehen, das Problem ist allerdings das nach man nach dem Neustart wieder nur die Maus sieht.

Naja im Anhang jedenfalls erstmal das Combofix-Log

t'john

14.07.2012 10:07

Versuche bitte, wie zuvor bei Combofix, OTL.exe laufen zu lassen.

Prejudice

14.07.2012 14:38

Und hier sind schon die nächsten Logfiles :)

t'john

14.07.2012 19:55

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

Code:

:OTL

IE - HKLM\..\SearchScopes,DefaultScope =  {0633EE93-D776-472f-A0FF-E1416B8B2E3A} 

IE -  HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" =  http://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}  

IE - HKCU\..\SearchScopes,DefaultScope =  {BF766AD3-D0BA-4CFD-AB52-A059A7C74DCD} 

IE -  HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" =  http://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC  

IE - HKCU\..\SearchScopes\{BF766AD3-D0BA-4CFD-AB52-A059A7C74DCD}: "URL" =  http://www.google.de/search?q={searchTerms} 

IE -  HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable"  = 0 

FF - prefs.js..browser.startup.homepage: "" 

O4 - Startup:  C:\Users\Celina\AppData\Roaming\Microsoft\Windows\Start  Menu\Programs\Startup\ubisoft register.lnk = File not found 

O6 -  HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDrives = 0  

O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer:  NoDrives = 0 

O32 - HKLM CDRom: AutoRun - 1 

[2012.06.24 18:20:16 |  000,085,472 | ---- | M] (Mozilla Foundation) -- C:\Program Files\mozilla  firefox\components\browsercomps.dll 

[2012.06.24 18:20:13 | 000,001,392 |  ---- | M] () -- C:\Program Files\mozilla  firefox\searchplugins\amazondotcom-de.xml 

[2012.06.24 18:20:13 | 000,002,252  | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml  

[2012.06.24 18:20:13 | 000,001,153 | ---- | M] () -- C:\Program  Files\mozilla firefox\searchplugins\eBay-de.xml 

[2012.06.24 18:20:13 |  000,006,805 | ---- | M] () -- C:\Program Files\mozilla  firefox\searchplugins\leo_ende_de.xml 

[2012.06.24 18:20:13 | 000,001,178 |  ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml  

[2012.06.24 18:20:13 | 000,001,105 | ---- | M] () -- C:\Program  Files\mozilla firefox\searchplugins\yahoo-de.xml 

:Files

C:\Program  Files\mozilla firefox\searchplugins\amazondotcom-de.xml

C:\Program  Files\mozilla firefox\searchplugins\bing.xml

C:\Program Files\mozilla  firefox\searchplugins\eBay-de.xml

C:\Program Files\mozilla  firefox\searchplugins\leo_ende_de.xml

C:\Program Files\mozilla  firefox\searchplugins\wikipedia-de.xml

C:\Program Files\mozilla  firefox\searchplugins\yahoo-de.xml

ipconfig /flushdns  /c

:Commands

[purity]  [emptytemp]

[emptyflash]

[resethosts]

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

danach bitte:

http://www.trojaner-board.de/72874-s...eparieren.html

Prejudice

15.07.2012 11:06

Guten Morgen t'john.
Ich habe das Script bei OTL eingefügte und auf Fix geklickt. Soweit lief alles gut, bis dann allerdings die Meldung kam, dass OTL die Hostfiles nicht ersetzen kann und jetzt spuckt es mir kein Log aus.
Hast du vielleicht eine Idee?

t'john

15.07.2012 11:24

Hast Du alle Virenscanner etc. deaktiviert?

Prejudice

15.07.2012 11:34

Zitat:

Zitat von t'john (Beitrag 865255)

Hast Du alle Virenscanner etc. deaktiviert?

Ach verdammt. Das habe ich vergessen gehabt. Kann ich den Scan abbrechen und den Fix nochmal von vorne durchführen?

t'john

15.07.2012 11:36

Ja, probiere nochmal!

Prejudice

15.07.2012 11:46

So, jetzt hat es geklappt.
Anbei das Logfile.
Denn Schritt mit sfc \scannow führe ich heute Abend durch wenn ich die Windows DVD von meinem Bekannten bekommen habe.
Bis hierhin schon mal ein dickes :dankeschoen:

t'john

15.07.2012 16:17

Sehr gut! :daumenhoc

Bitte melde Dich dann mit dem Ergebnis!

t'john

25.07.2012 06:35

Fehlende Rückmeldung

Gibt es Probleme beim Abarbeiten obiger Anleitung?

Um Kapazitäten für andere Hilfesuchende freizumachen, lösche ich dieses Thema aus meinen Benachrichtigungen.

Solltest Du weitermachen wollen, schreibe mir eine PN oder eröffne ein neues Thema.
http://www.trojaner-board.de/69886-a...-beachten.html

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner sauber ist.

Alle Zeitangaben in WEZ +1. Es ist jetzt 23:39 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131