Trojaner mit Webcam sicher entfernen
 

Hallo :)
ich habe mir leider den trojaner mit der webcam eingefangen, evtl. habe ich noch andere trojaner oder viren.
habe mich schon versucht zu informieren und schicke hier den otl scan bericht.

OTL Logfile:
--- --- ---





ich hoffe ihr könnt mit helfen, ich kenn mich leider nicht so gut aus, und habe angst, dass meine passwörter geknackt werden....



ich schicke nochmal den malewarebytes anti-malware bericht dazu :)
Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org



Datenbank Version: v2012.07.10.14

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 8.0.7601.17514
Annika :: ANNIKA-PC [Administrator]

Schutz: Aktiviert

11.07.2012 01:04:28
mbam-log-2012-07-11 (01-18-50).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 221123
Laufzeit: 13 Minute(n), 53 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Upgrade (Trojan.BTSoft.Gen) -> Daten: C:\Users\Annika\AppData\Roaming\Microsoft Corporation\{65CB3A8F-BFB0-4E18-B45B-8D51F8BC2152}\Upgrade.exe -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Userinit (Trojan.Agent) -> Daten: C:\Users\Annika\AppData\Roaming\appconf32.exe -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 3
C:\Users\Annika\AppData\Roaming\Microsoft Corporation\{65CB3A8F-BFB0-4E18-B45B-8D51F8BC2152}\Upgrade.exe (Trojan.BTSoft.Gen) -> Keine Aktion durchgeführt.
C:\Users\Annika\AppData\Local\Temp\roper0dun.exe (Trojan.BTSoft.Gen) -> Keine Aktion durchgeführt.
C:\Users\Annika\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk (Trojan.Ransom.Gen) -> Keine Aktion durchgeführt.

(Ende)









Lg,
Annika

was ich noch nicht erwähnt hatte ist, dass der PC funktioniert, da die gesperrte gvu anzeige nach einem neustart veschwunden ist.
im februar/märz hatte ich den bundespolizei-trojaner, den ich aber entfernen konnte (soweit ich weiß...).

seit der gvu anzeige benutze ich nicht mehr seiten mit wichtigen passwörtern.
ich wüsste gerne, was ich als nächstes tun sollte, um (beide) viren sicher zu entfernen.

ich hoffe ihr könnt mir helfen :) und ich bedanke mich schonmal im voraus.

:hallo:
Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

• Starte die OTL.exe.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

• Schließe alle Programme.
• Klicke auf den Fix Button.
• Wenn OTL einen Neustart verlangt, bitte zulassen.
• Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

hey.

habe den text in den otl benutzerdefinierten scan eingefügt und auf den fix button gedrückt.
otl hat dann gestartet bis die meldung kam:

"Roter Button mit großen Xzeichen" cannot create file C:/windows/System32/drivers/etc/Hosts.

geichzeitig kam eine Meldung von Avira, dass der Host blockert wurde. leider ist die nachricht wieder veschwunden, sodass ich mir weiteres nicht notieren konnte.

musste dann leider einen neustart über den Ausschalter erzwingen, weil otl nach dieser meldung nicht weitergemacht hat (habe 20min gewartet).

beim neustart kam dann die meldung, dass der herausgeber nicht verifiziert werden konnte (glaube von otl). mit klick auf den button ausführen bin ich wieder zu meinem bildschirm zurückgekommen.

mhmm... muss ich eventuell erst Avira deaktivieren??

Liebe grüße :)

hier: C:\_OTL\MovedFiles\
finde ich dann einen texteditor mit diesem inhalt:


Files\Folders moved on Reboot...
File move failed. C:\Windows\System32\drivers\etc\Hosts scheduled to be moved on reboot.

PendingFileRenameOperations files...
[2009.06.10 23:39:37 | 000,000,824 | ---- | M] () C:\Windows\System32\drivers\etc\Hosts : MD5=3688374325B992DEF12793500307566D

Registry entries deleted on Reboot...

:daumenhoc
nach meinem zweiten versuch bei dem avira deaktiviert war, hat alles geklappt.
otl hat dann einen neustart verlangt, es kam diese meldung in einem Fenster mit Titel "Datei öffnen- Sicherheitswarnung" und Inhalt:
"Der Herausgeber konnte nicht verifiziert werden.Möchten sie diese Software ausführen?
Name: C:/ Users/ Annika/ Desktop/ otl.exe
"
habe dann auf ausführen geklickt.

hier ist noch der Inhalt des Logfiles (weiß leider nicht was Code-Tags sind, sorry :( )

All processes killed
========== OTL ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\\ not found.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{6552C7DD-90A4-4387-B795-F8F96747DE19}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6552C7DD-90A4-4387-B795-F8F96747DE19}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{A41AE832-58C5-4419-BFA4-87B39A432EC9}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A41AE832-58C5-4419-BFA4-87B39A432EC9}\ not found.
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyOverride| /E : value set successfully!
Prefs.js: "ICQ Search" removed from browser.search.defaultenginename
Prefs.js: "Google" removed from browser.search.selectedEngine
Prefs.js: "hxxp://www.web.de/" removed from browser.startup.homepage
Prefs.js: {800b5000-a755-47e1-992b-48a1c1357f07}:1.1.5 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}:6.0.31 removed from extensions.enabledItems
Prefs.js: "hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=" removed from keyword.URL
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{21FA44EF-376D-4D53-9B0F-8A89D3229068} not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{21FA44EF-376D-4D53-9B0F-8A89D3229068}\ not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\LicenseValidator deleted successfully.
File C:\Users\Annika\AppData\Roaming\Identities\{88D67234-A7D4-4683-A9F5-8FACC668EF6F}\LicenseValidator.exe not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorAdmin not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorUser not found.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{04e27f36-9d5d-11df-9143-002220085f6c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{04e27f36-9d5d-11df-9143-002220085f6c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{04e27f36-9d5d-11df-9143-002220085f6c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{04e27f36-9d5d-11df-9143-002220085f6c}\ not found.
File F:\MediaManager.exe not found.
File C:\ProgramData\go_0molg.pad not found.
File C:\ProgramData\go_0molg.pad not found.
========== FILES ==========
File\Folder C:\ProgramData\go_0molg.pad not found.
File\Folder C:\Users\Annika\AppData\Roaming\Identities\{88D67234-A7D4-4683-A9F5-8FACC668EF6F}\LicenseValidator.exe not found.
========== COMMANDS ==========
Error: Unable to interpret <ipconfig /flushdns /c> in the current context!

[EMPTYTEMP]

User: All Users

User: Annika
->Temp folder emptied: 1078207 bytes
->Temporary Internet Files folder emptied: 33300 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 17316623 bytes
->Flash cache emptied: 492 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 134243 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 18,00 mb


[EMPTYFLASH]

User: All Users

User: Annika
->Flash cache emptied: 0 bytes

User: Default

User: Default User

User: Public

Total Flash Files Cleaned = 0,00 mb

C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

OTL by OldTimer - Version 3.2.53.1 log created on 07112012_230943

Files\Folders moved on Reboot...

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

:daumenhoc

Gut reagiert. Avira muss fuer den Fix ausgeschaltet sein!

Wie laeuft der Rechner?


1. Schritt

Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke (ausser CD/DVD) aus und starte den Scan.
- Funde bitte löschen lassen oder in Quarantäne.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".

danach:

Hinweis: ESET zeigt durchaus öfter ein paar Fehlalarme. Deswegen soll auch von ESET immer nur erst das Log gepostet und nichts entfernt werden.


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

danke.

hier einmal das malwarebytes Anti-malware Log:

das ergebnis von esetsmartinsaller war:
No threads found.

Hier ist die Log datei von dem Ausführen Fenster:

der rechner läuft nach wie vor gut :)

Sehr gut! :daumenhoc

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

hier ist die logdatei von dem adw cleaner:

Sehr gut!

Spiele ALLE Updates für Windows ein!

Du bist sauber und entlassen ;)


Tool-Bereinigung mit OTL


Wir werden nun die CleanUp!-Funktion von OTL nutzen, um die meisten Programme, die wir zur Bereinigung installiert haben, wieder von Deinem System zu löschen.

• Bitte lade Dir (falls noch nicht vorhanden) OTL von OldTimer herunter.
• Speichere es auf Deinem Desktop.
• Doppelklick auf OTL.exe um das Programm auszuführen.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Klicke auf den Button "Bereinigung"
• OTL fragt eventuell nach einem Neustart.
  Sollte es dies tun, so lasse dies bitte zu.

Anmerkung: Nach dem Neustart werden OTL und andere Helferprogramme, die Du im Laufe der Bereinigung heruntergeladen hast, nicht mehr vorhanden sein. Sie wurden entfernt. Es ist daher Ok, wenn diese Programme nicht mehr vorhanden sind. Sollten noch welche übrig geblieben sein, lösche sie manuell.


Lektuere:
http://www.trojaner-board.de/90880-d...tallation.html
http://www.trojaner-board.de/105213-...tellungen.html
PluginCheck
http://www.trojaner-board.de/96344-a...-rechners.html
Secunia Online Software Inspector
http://www.trojaner-board.de/71715-k...iendungen.html
http://www.trojaner-board.de/83238-a...sschalten.html

DANKE DANKE DANKE
:abklatsch:

schön, dass es doch noch menschen gibt die helfen ;)