Trojaner-Board - BKA-Trojaner 1.13 auf winxp

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - BKA-Trojaner 1.13 auf winxp (https://www.trojaner-board.de/124436-bka-trojaner-1-13-winxp.html)

BKA-Trojaner 1.13 auf winxp

Guten Morgen,

der winXP-PC meines Sohnes ist mit dem BKA-Trojaner infiziert (trotz installiertem "Norton Anti Virus 2012" welches automatisch abgedatet wird). Gem. Übersicht auf Botfrei.de handelt es sich um den BKA 1.13.
ca. 1 Minute nach dem Windows-Start kommt der Sperrbildschirm.
Ich habe mit Hilfe des "Norton Bootable Recovery Tool" einen System-Scan durchgeführt, aber ohne Fund.
Weiterhin habe ich das "Avira-DE-Cleaner" erfolglos getestet.
Der "Norton Power Eraser" findet auch nichts.
Der PC lässt sich nicht im abgesicherten Modus starten - es führt nur zu einem schwarzen Bildschirm.
Die WinXP Reparatur-Installation lässt sich nicht durchführen (es wird nur eine Neuinstallation angeboten, obwohl das Windows-Verzeichnis erkannt wird).
Und jetzt weiß ich nicht mehr weiter und freue mich über entsprechende Hilfe.
Vielen Dank schon mal und Grüsse

hi
norton 2013 ist aktuell.
Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten:

Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

Lade

OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.

Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
Lege eine leere CD in Deinen Brenner.
ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD

Bebilderte Anleitung: OTLpe-Scan

Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
Mache einen Doppelklick auf das OTLPE Icon.
Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
OTLpe sollte nun starten.
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Bitte poste den Inhalt von C:\OTL.txt und Extras.txt.

Hi Markus und vielen Dank für die ultraflotte Antwort.
Du schreibst "poste beide logs" - 1.: otl.txt und das 2.: ??

normalerweise gibts ne extra.txt, aber wenn nur die otl.txt vorhanden ist, ist das für den fanfang ok

Danke und alles klar,

anbei als zip die otl.txt

hi
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:

Code:

:OTL

[2012/09/07 16:25:47 | 000,000,051 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\uberbcgtzighglq

[2012/09/07 16:25:32 | 000,056,320 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\oecymoku.exe
 

:Files

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

Herzlichen Dank für die Hilfe. Anbei das log-file.

ich gehe davon aus, dass ich das otl-verzeichnis auf laufwerk c: löschen kann.

viele grüsse

nein, wann gelöscht wird sage ich dir dann schon.

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2

WICHTIG - Speichere Combofix auf deinem Desktop

Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

ok - habs jetzt kapiert
leider kann ich das combofix nicht ausführen, da der pc nicht lange genug zeit bis zum nächsten neustart gibt. d.h. im moment startet der pc nach ca. 1 min. wieder neu und ich habe nicht genung zeit um den virenscanner auszuschalten. bis jetzt kam auch zweimal ein bluescreen miz der angabe "pfn list corrupt".

ok
starte mal neu, drücke f8 wähle abgesicherter modus mit netzwerk, melde dich in deinem konto an, gucke obs dann läuft

hi, der abgesicherte Modus funktioniert nach wie vor nicht (bleibt mit einem schwarzen Bildschirm und links oben blinkendem Curser stehen).

klappt dies?
evtl. internet verbindung beim scan trennen, dann sollte der pc nicht neustarten
download tdss killer:
http://www.trojaner-board.de/82358-t...entfernen.html
Klicke auf Change parameters
• Setze die Haken bei Verify driver digital signatures und Detect TDLFS file system
• Klick auf OK und anschließend auf Start scan
- bei funden erst mal immer skip wählen, log posten

hallo,
der pc startet zwar auch ohne internet-verbindung immer wieder neu, ich hatte aber genug zeit um das TDSSKiller laufen zu lassen - anbei das log-file

erstelle über die cd noch mal ne neue otl.txt bitte und poste sie

so da hätte ich die neue otl.txt