Trojan:Win32 lässt sich nicht entfernen
 

Hallo

Ich habe folgendes Problem mit folgendem Trojaner, den ich im Topic stehen habe. Ich habe Maleware Antibytes und Microsoft Security Essential drauf. Letztes erkennt ihn auch zu Anfang in Windowas bei jedem Rechner start. Ich kann zwar auf entfernen klicken und es scheint weg zu sein. Beim nächsten Neustart kommt die selbe Meldung erneut.
Habe auch schon den Windows Defender Offline benutzt und von einer Boot CD gestartet und scannen lassen. Da findet er aber nichts. Sobald ich normal Windows Boote -> Trojan:Win32

Hat jemand von euch vielleicht eine Idee, was ich noch unternehmen könnte? Ich kenne mich leider garnicht mit den vielzahl der Programmen aus, die es gibt.

Danke schonmal im Vorraus

Michael

:hallo:

Ich habe dein Thema in Arbeit und melde mich so schnell als möglich mit weiteren Anweisungen.

Bitte beachte, dass alle meine Antworten zuerst von einem Ausbilder freigegeben werden müssen, bevor ich diese hier posten darf. Dies garantiert, dass Du Hilfe von einem ausgebildeten Helfer bekommst.

Ich bedanke mich für deine Geduld :)

Danke. Ich hab nochmal geschaut und den Trojaner den Essential findet heißt: Trojan:Win32/Visero.A

Hallo Hoshi82, :hallo:

mein Name ist Jonas und ich werde dir bei deiner Bereinigung helfen. Diese kann mit viel Arbeit für dich verbunden sein. Bevor wir anfangen können, lies bitte die Bereinigungsregeln und Hinweise:
Wenn du alles gelesen hast, kann es losgehen. Bitte speichere alle Programme auf dem Desktop und führe sie von dort aus. :)

Bitte poste mir das entsprechende Logfile von Microsoft Security Essential. Falls du bereits Scans mit Malwarebytes Anti Malware gemacht hast (seit dem Problem), poste diese Logfiles ebenfalls :).



Schritt 1
Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop: FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

• Starte jetzt FRST.
• Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
• Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
• Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Poste folgende Logfiles in deiner nächsten Antwort:

• FRST-Scan

FRST.TXT

FRST Logfile:

FRST Logfile:

FRST Logfile:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---

--- --- ---

--- --- ---


Addition.txt
Maleware Antibytes findet angeblich nichts mehr. Also im Log sinn 0 infizierte Objekte.
Bei Essential gibt es glaube ich kein Log, wobei das Programm auch direkt durch die Live-Überwachung den Trojaner erkennt und entfernt. Das passiert schon, bevor ich einen Scan hab laufen lassen. Und es bleibt weiterhin bestehen, das er bei einem Neustart den Trojaner findet.

Ich muss für heute leider Schicht machen, die Arbeit ruft morgen früh wieder. :)

Hey,

du hast auf deinem Rechner die Adobe After Effects CS6 und Adobe Photoshop CS5 installiert und in deiner hosts Datei sind unter anderem folgende Einträge vorhanden:Kannst du mir das erklären? Falls das illegaler Natur ist, lösche bitte davon alles auf deinem Rechner und erstelle ein neues FRST Logfile (ansonsten muss ich leider den Support stoppen).

Ich benutze den Rechner nicht alleine zuhause. Habe das geklärt und den ganzen Mist runterschmeißen lassen. Hier nochmal die Logfiles


FRST Logfile:
--- --- ---

Schritt 1
Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.



Poste folgende Logfiles in deiner nächsten Antwort:

• TDSSKiller-Scan

Hoffe das ist die richtige Logfile. Werde morgen dann nochmal reinschauen. :)

Das war das richtige Logfile :).



Schritt 1
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Poste folgende Logfiles in deiner nächsten Antwort:

• Combofix-Scan

Hier die Combifix Logfile:

Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, wird ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Poste folgende Logfiles in deiner nächsten Antwort:

• AdwCleaner-Scan
• FRST-Scan

AdwCleaner:
FRST

FRST Logfile:
--- --- ---

Ich hab auf einmal ein Verzeichnis das sich Boot nennt und das war definitiv vorher nicht da. Erstall Datum wäre angeblich der 09.02.2013 aber DEN Ordner hätte ich garantiert schon mal bemerkt. Was könnte das sein? Ich kann es im normalen Windowsbetrieb nicht löschen, da angeblich drauf zugegriffen wird. Soll ich in den abgesicherten Modus und es dort probieren zu löschen?

edit: Hat sich glaube ich erledigt. Das ist ein Verzeichnis von Windows, welches man nur als Admin sieht? Weil ich auf den andern Partitionen jetzt auch RECYCLE Ordner habe, was vorher auch nicht der Fall war. Hat eins der Programme, die ich benutzt habe eventuell etwas in den Windowseinstellungen geändert, so das ich mich jetzt immer als Admin anmelde?

http://www7.pic-upload.de/05.02.14/4jnmqeio49x.jpg

Jop, der Ordner gehört zu Windows :).



Schritt 1
Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument


Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

Schritt 2

• Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 3

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4
Starte noch einmal FRST.

• Ändere keine der Voreinstellungen und drücke auf Scan.
• Wenn der Scan abgeschlossen ist, wird ein neues Logfile FRST.txt erstellt und auf dem Desktop gespeichert.
• Poste den Inhalt dieses Logfiles bitte hier in deinen Thread.

Poste folgende Logfiles in deiner nächsten Antwort:

• FRST-Fix
• MBAM-Scan
• ESET-Scan
• FRST-Scan

Hier schonmal die Frst-Fix und Maleware Logfile. ESET dauert ziemlich lange und ich kann den evtl erst morgen oder am WE ganz durchlaufen lassen, weil ich Zeitlich bischen knapp angebunden bin unter der Woche :).

Auf anhieb hat ESET aber "Win32/Adware.Lollipop.D" gefunden. Ich muss halt sehen ob ich ESET heute noch schaff ganz durchlaufen zu lassen oder leider abbrechen muss, um es morgen oder am WE nochmal zu testen.

Die Meldung von MS Security Essential wegem dem Trojaner taucht nicht mehr auf beim Neustart.


FRSTFIX:
Maleware:

Puh...doch noch geschafft.

ESET Log



FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Updates
Deinstallieren veralteter Software

• Java 7 Update 10
• Adobe Reader X

Gehe dafür auf:

Windows XP: Start -> Systemsteuerung -> Kategorieansicht auswählen (falls nicht voreingestellt) -> Software
Windows Vista/7: Start -> Systemsteuerung -> Anzeige (oben-rechts) auf Kategorie stellen (falls nicht voreingestellt) -> Programme deinstallieren (Unterpunkt von Programme)
Windows 8: Suchen --> "Systemsteuerung" in das Suchfeld eingeben --> Systemsteuerung auswählen --> Programme deinstallieren (Unterpunkt von Programme)

und wähle die angegeben Programme aus. Drücke Entfernen (Windows XP) oder Deinstallieren (Windows Vista/7).

Internet Explorer

• Lade dir bitte die neuste Version des Internet Explorers herunter: Internet Explorer 9 aus dem Microsoft Download Center herunterladen. Auch wenn du diesen nicht primär verwenden solltest, ist es trotzdem wichtig, diesen aktuell zu halten.

Adobe Reader

• Lade dir die neue Version hier herunter. Entferne den Hacken für den McAfee SecurityScan bzw. Google Chrome.

Cleanup
Falls du Malwarebytes Anti-Malware und den ESET Online Scanner nicht mehr behalten möchtest, kannst du diese über die Systemsteuerung deinstallieren. Ich empfehle dir, mindestens ein Programm zu behalten (näheres in den Tipps).

Windows XP: Start --> Systemsteuerung --> Kategorieansicht auswählen (falls nicht voreingestellt) --> Software
Windows Vista/7: Start --> Systemsteuerung --> Anzeige (oben-rechts) auf Kategorie stellen (falls nicht voreingestellt) --> Programme deinstallieren (Unterpunkt von Programme)
Windows 8: Suchen --> "Systemsteuerung" in das Suchfeld eingeben --> Systemsteuerung auswählen --> Programme deinstallieren (Unterpunkt von Programme)

Die Reihenfolge ist hier entscheidend.

1. Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
2. Falls Combofix benutzt wurde: (Alternativ in uninstall.exe umbenennen und starten)
   • Windowstaste + R > Combofix /Uninstall (eingeben) > OK
   • Alternative: Combofix.exe in uninstall.exe umbenennen und starten
   • Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
3. Downloade Dir bitte auf jeden Fall DelFix auf deinen Desktop:
   • Schließe alle offenen Programme.
   • Starte die delfix.exe mit einem Doppelklick.
   • Setze vor jede Funktion ein Häkchen.
   • Klicke auf Start.
   • Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
   • Starte deinen Rechner abschließend neu.
4. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

In deinen Logfiles sehe ich keine schädlichen Einträge mehr, du bist in meinen Augen Clean. Für die Zukunft habe ich dir Tipps aufgeschrieben, damit du uns in nächster Zeit nicht mehr brauchst :).




Tipps - Frequently Asked Questions (FAQ)/Häufig gestellte Fragen



Wenn du die Arbeit des Trojaner-Boards unterstützen möchtest, kannst du gerne spenden :).

Ich wünsche dir eine schöne und malwarefreie Zeit :daumenhoc.