Trojaner-Board - deo0_sar.exe Ransom Trojaner, halb entfernt. Jetzt sicher?

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - deo0_sar.exe Ransom Trojaner, halb entfernt. Jetzt sicher? (https://www.trojaner-board.de/120831-deo0_sar-exe-ransom-trojaner-halb-entfernt-sicher.html)

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

Code:

:OTL

FF - prefs.js..network.proxy.no_proxies_on: ", stealthy.co" 

FF - user.js - File not found 

O2:64bit: - BHO: (Java(tm) Plug-In 2 SSV Helper) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll File not found 

O4:64bit: - HKLM..\Run: [TortoiseHgOverlayIconServer] C:\Programme\TortoiseHg\TortoiseHgOverlayServer.exe () 

O4 - Startup: C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk = C:\Users\Benni\AppData\Roaming\Dropbox\bin\Dropbox.exe (Dropbox, Inc.) 

O4 - Startup: C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\thunderbird - Verknüpfung.lnk = C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe (Mozilla Corporation) 

O15 - HKU\.DEFAULT\..Trusted Domains: clonewarsadventures.com ([]* in Trusted sites) 

O15 - HKU\.DEFAULT\..Trusted Domains: freerealms.com ([]* in Trusted sites) 

O15 - HKU\.DEFAULT\..Trusted Domains: soe.com ([]* in Trusted sites) 

O15 - HKU\.DEFAULT\..Trusted Domains: sony.com ([]* in Trusted sites) 

O15 - HKU\S-1-5-18\..Trusted Domains: clonewarsadventures.com ([]* in Trusted sites) 

O15 - HKU\S-1-5-18\..Trusted Domains: freerealms.com ([]* in Trusted sites) 

O15 - HKU\S-1-5-18\..Trusted Domains: soe.com ([]* in Trusted sites) 

O15 - HKU\S-1-5-18\..Trusted Domains: sony.com ([]* in Trusted sites) 

O32 - HKLM CDRom: AutoRun - 1 

O32 - AutoRun File - [2002.02.22 20:35:36 | 000,000,043 | R--- | M] () - F:\autorun.inf -- [ CDFS ] 
 

 

[2012.07.31 12:41:46 | 004,503,728 | ---- | M] () -- C:\ProgramData\ras_0oed.pad 

 

@Alternate Data Stream - 152 bytes -> C:\Program Files (x86)\Common Files\C Tech:{42005500-5100-7200-6F00-650056007100} 
 

[2011.12.17 18:20:09 | 000,000,304 | ---- | M] () -- C:\Windows\Tasks\AutoMe_SWTOR.job 

:Files
 

ipconfig /flushdns /c

:Commands

[purity]

[emptytemp]

[emptyflash]

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Das hat jetzt leider meine thunderbird.exe gelöscht. Hatte eine Verknüpfung im Autostart, damit Thunderbird automatisch bei Systemstart startet.

Code:

All processes killed

========== OTL ==========

Prefs.js: ", stealthy.co" removed from network.proxy.no_proxies_on

64bit-Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ deleted successfully.

64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ deleted successfully.

64bit-Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\TortoiseHgOverlayIconServer deleted successfully.

C:\Programme\TortoiseHg\TortoiseHgOverlayServer.exe moved successfully.

File move failed. C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk scheduled to be moved on reboot.

File C:\Users\Benni\AppData\Roaming\Dropbox\bin\Dropbox.exe not found.

File move failed. C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\thunderbird - Verknüpfung.lnk scheduled to be moved on reboot.

C:\Program Files (x86)\Mozilla Thunderbird\thunderbird.exe moved successfully.

Registry key HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\clonewarsadventures.com\ deleted successfully.

Registry key HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\freerealms.com\ deleted successfully.

Registry key HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\soe.com\ deleted successfully.

Registry key HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\sony.com\ deleted successfully.

Registry key HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\clonewarsadventures.com\ not found.

Registry key HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\freerealms.com\ not found.

Registry key HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\soe.com\ not found.

Registry key HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Internet Settings\ZoneMap\Domains\sony.com\ not found.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!

File move failed. F:\autorun.inf scheduled to be moved on reboot.

C:\ProgramData\ras_0oed.pad moved successfully.

ADS C:\Program Files (x86)\Common Files\C Tech:{42005500-5100-7200-6F00-650056007100} deleted successfully.

C:\Windows\Tasks\AutoMe_SWTOR.job moved successfully.

========== FILES ==========
 < ipconfig /flushdns /c >

Windows-IP-Konfiguration

Der DNS-Aufl”sungscache wurde geleert.

C:\Users\Benni\Desktop\cmd.bat deleted successfully.

C:\Users\Benni\Desktop\cmd.txt deleted successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Administrator

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: All Users

 

User: Benni

->Temp folder emptied: 93214567 bytes

->Temporary Internet Files folder emptied: 1432704 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 54884377 bytes

->Opera cache emptied: 188 bytes

->Flash cache emptied: 836 bytes

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Public

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32 (64bit) .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 47798 bytes

%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 33170 bytes

%systemroot%\sysnative\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 736 bytes

RecycleBin emptied: 8634890 bytes

 

Total Files Cleaned = 151,00 mb

 

 

[EMPTYFLASH]

 

User: Administrator

->Flash cache emptied: 0 bytes

 

User: All Users

 

User: Benni

->Flash cache emptied: 0 bytes

 

User: Default

->Flash cache emptied: 0 bytes

 

User: Default User

->Flash cache emptied: 0 bytes

 

User: Public

 

Total Flash Files Cleaned = 0,00 mb

 

 

OTL by OldTimer - Version 3.2.55.0 log created on 08012012_181754
 

Files\Folders moved on Reboot...

File\Folder C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk not found!

File\Folder C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\thunderbird - Verknüpfung.lnk not found!

File\Folder F:\autorun.inf not found!

File\Folder C:\Users\Benni\AppData\Local\Temp\FXSAPIDebugLogFile.txt not found!

File move failed. C:\Windows\temp\vmware-SYSTEM\vmauthd.log scheduled to be moved on reboot.

C:\Windows\temp\vmware-SYSTEM\vmware-usbarb-SYSTEM-3756.log moved successfully.
 

PendingFileRenameOperations files...

File C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk not found!

File C:\Users\Benni\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\thunderbird - Verknüpfung.lnk not found!

File F:\autorun.inf not found!

File C:\Users\Benni\AppData\Local\Temp\FXSAPIDebugLogFile.txt not found!

[2012.08.01 18:20:21 | 000,002,009 | ---- | M] () C:\Windows\temp\vmware-SYSTEM\vmauthd.log : Unable to obtain MD5

File C:\Windows\temp\vmware-SYSTEM\vmware-usbarb-SYSTEM-3756.log not found!
 

Registry entries deleted on Reboot...

Du kannst wieder die thunderbird.exe von

C:\_OTL\MovedFiles\ -> Program Files (x86)\Mozilla Thunderbird

nach

C:\Program Files (x86)\Mozilla Thunderbird\

kopieren.

Was macht der Rechner?

Läuft soweit gut, nur der Desktop zeigt immernoch keine Symbole an.

Bitte testen:

Programm-Symbole auf dem Desktop anzeigen lassen Auch auf dem Desktop kann es passieren, dass die Programm-Symbole plötzlich verschwinden. Doch solange die Symbole und Verknüpfungen grundlegend noch korrekt eingestellt - bzw. vorhanden - sind, kann dies an einer fehlerhaften Einstellung bei der "Desktopsymbole anzeigen"-Funktion liegen. Dies können Sie wie folgt lösen ...

2.1. Starten Sie Ihren PC und warten Sie, bis der Desktop zu sehen ist.
2.2. Machen Sie mit der Maus einen Rechtsklick auf eine freie Stelle des Desktops und wählen Sie per Linksklick die Option "Ansicht" an. Setzen Sie dann dort im Untermenü ein Häkchen bei der Option "Desktopsymbole anzeigen".

Anschließend sollten dann ebenfalls wieder alle funktionierenden Programm-Verknüpfungen auf dem Desktop sichtbar sein.

Haha, das wars ;)
Ich kannte dieses Häkchen garnicht, hatte sonst schon alles abgesucht.

Scheint so, als sei nun alles wieder in Ordnung :party:

Echt vielen, vielen Dank, ich werde ganz sicher über den Link in deiner Signatur was spenden!

:) Gut gemacht :)

wuensche eine virenfreie Zeit :)