Verknüpfungen auf Stick - mittlerweile PC,Handy,2 Festplatten womöglich infiziert
 

Guten Tag,
auch ich habe leider paar Probleme mit meinem PC, vielleicht finde ich hier Hilfe.

Nachdem der Bildschirm meines Laptop unerwarteter Weise auf einmal schwarz blieb, war ich gezwungen meinen alten Rechner (WinXp/2005) zu nutzen.
Diesen habe ich jahrelang nicht genutzt. Im Nachhinein musste ich nun festellen, er war wohl in einem ziemlich ungesicherten Zustand was Updates oder Antivirenprogramme etc. betrifft, wurde jedoch zur Internetrecherche genutzt.

Kurz noch vorweg: Ich bin absolut kein PC-Fachmann.

Noch bevor mir diese Mängel großartig aufgefallen wären, musste ich den Pc schon nutzen. Ich musste eine PDF-Datei auf meinen USB-Stick herunterladen. Als ich meinen Usb-Stick an den Rechner angeschlossen hatte, waren dort nur seltsame Verknüpfungen zu sehen. Die PDF-Datei wurde als "Firefox HTML Dokument" angezeigt. Ich habe mich darüber gewundert, bin aber nicht auf die Idee gekommen, dass es sich um einen Virus handeln könnte.
Jedenfalls ist mittlerweile der PC, USB-Stick, Handy, evtl. 2 Festplatten infiziert.


Das ist nun ein paar Wochen her und folgendes habe ich bis heute gemacht:

- Vista + Linux (gedacht als "Internetkonto", nutze ich aber nicht, da ich nicht mit zurechtkomme)

- Alles geupdatet, Avira + Malwarebytes installiert (ich hatte zwischenzeitlich auch andere Programme, welche aber glaub ich nichts gefunden hatten)


(- Mich über verschiedene Verbesserungen hinsichtlich der Sicherheit weitergehend informiert und manches angewandt:
Zunächst ein zweites Benutzerkonto ohne Admin-Rechte erstellt.
So nutze ich nur Firefox (WOT,NoScript,Adblocker,Ghostry) und hab dennoch Internet Explorer (9) aktualisiert, welcher sich allerdings komischerweise "zur Sicherheit des Computers" automatisch schließt..
Außerdem habe ich den Autorun ausgestellt und die Ordneroptionen dahingehend geändert, dass alle Dateien angezeigt werden. Letzeres verwirrt mich als Laien mit DIESEM Problem leider etwas, da nun jegliche "normale" Verknüpfungen auch angezeigt werden :) Wenn ich z.B. auf meinen Ordner gehe, in dem Dokumente, Bilder etc. sind, werden nun Verknüpfungen angezeigt wie "Anwenungsdaten", "Cookies",.. wo bei Anklicken der Zugriff verweigert werden.)

Was ich im Laufe der Wochen noch gemacht habe (nicht unbedingt alles clever):

- Avira/MalWB über PC laufen lassen, ich glaube Avira hatte paar Funde - die sind aber nicht mehr dokumentiert..

- CCleaner genutzt. (hab hier nun erst gelernt die Finger von der Registry zu lassen)

- Ich wollte die Festplatte bei Avira/MalWB. durchlaufen lassen, dummerweise war auf dem 2. Benutzerkonto Autoplay noch eingestellt..
Über Linux konnte ich sie nicht öffnen. Jedenfalls wurde nichts mehr gefunden.

- Den Usb-Stick (Autoplay aus) habe ich ebenfalls überprüft, es wurde nichts gefunden. Dann habe ich ihn formatiert.

- Beim Handy habe ich die Verknüpfungen die ich gesehen habe gelöscht.

------------------
--> Ich bin mir nun letztlich nicht mehr im Klaren was infiziert ist und was villeicht nicht mehr.. Die Pdf-Dateien werden jedenfalls immernoch als HTML angezeigt, wobei ich da nicht weiß, ob dies Teil des Virus ist oder weil ein PDF-Reader fehlt.
--> Ist es hilfreich den PC erneut neu zu formatieren?
------------------
--------------------------------------------------------------------------------------

Seit ich nun hier registriert bin habe ich folgendes getan:

1. habe Defogger gedownloadet - es kam keine Meldung - ohne "re-Enable" anzuklicken geschlossen.. (siehe Anhang)

2. FRST.txt / Addition.txt (siehe Anhang)

3. Gmer: Hier lief der Scan, dann kam jedoch

"Es befindet sich kein Datenträger im Laufwerk. Legen Sie einen Datenträger in Laufwerk \Device\Harddisk2\DR2 ein."

Auch als ich das Häkchen bei Devices weggemacht habe, kam die Meldung..

(4. Avira/Malwarebytes: Hier gibts leider nichts mehr zu zeigen.. Avira hatte definitiv paar Funde - aber die sind nicht mehr erfasst..)


Anhang 69707

Anhang 69708

Anhang 69709

---------
was wohl eher nichts mit dem Thema zu tun hat:

(- Der Bildschirm meines Laptop (4 Jahre alt/ Win7) war von dem einen auf den anderem Tag schwarz geblieben. Daher war ich gezwungen wieder auf den alten Rechner (2005/WinXP) umzusteigen und stellte mir dann als ich die Usb-Stick Sache erkannte, die Frage nach dem Ei und der Henne.
Doch meiner Vermutung nach ist eher der bis Dato sehr ungesicherte Rechner für den Virus zuständig, da der Virus wohl eher nicht den Laptop dermaßen lahmlegen konnte?! War wohl ein dummer Zufall..

- Der Rechner (habe ihn selber Jahre nicht genutzt) hat sehr lange Zeit das Problem, dass er nach dem runterfahren immer wieder direkt neu hochfährt - das hat sich weder mit dem "Trick" des Deaktivierens des Neustarts bei Fehlern, noch mit dem neuen Betriebssystem geändert.)


Entschuldigen Sie bitte den langen Text, vllt. bisschen zu ausführlich an manchen Stellen geworden :) Besten Dank jedenfalls fürs Lesen schonmal.
Mfg

Hi,

Logs bitte immer in den Thread posten. Zur Not aufteilen und mehrere Posts nutzen.
Ich kann auf Arbeit keine Anhänge öffnen, danke.

Sorry hab ich wohl überlesen..

Defogger:

FRSXT


FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---


Addition

3. Gmer: Hier lief der Scan, dann kam jedoch

"Es befindet sich kein Datenträger im Laufwerk. Legen Sie einen Datenträger in Laufwerk \Device\Harddisk2\DR2 ein."
Auch als ich das Häkchen bei Devices weggemacht habe, kam die Meldung..

bzw. wurd der scan dann abgebrochen

Unsere Tools brauchen immer Adminrechte!!

http://www.filepony.de/icon/panda_usb_vaccine.png Panda USB Vaccine

Bitte lade Dir von hier Panda USB Vaccine herunter.

• Starte und installiere es.
  http://deeprybka.trojaner-board.de/b...s/usbsetup.png
• Impfe Deinen PC
  http://deeprybka.trojaner-board.de/b.../pcvaccine.png

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Hi, auf was bezog sich das?

Hatte bisher alles auf meinem zweiten Benutzerkonto gemacht, wenn da Adminrechte benötigt wurden. hätte ich doch wohl mein Passwort eingeben können oder nicht?

Jedenfalls hab ich nun Gmer nochmal auf meinm Adminkonto heruntergeladen und 2x probiert; einmal hat es sich selbst geschlossen - dann ist es komplett hängengeblieben.

Naja, ab jetzt mach ich aber alles von diesem Adminkonto aus.
-------------

Panda Usb ist ausgeführt. Kurze Frage: Den Autorun hatte ich bisher ausgestellt, welche Verbesserung bietet dieses Programm?

Combo Fix LOG:

Es schützt die Laufwerke vor Befall mit Autorun Infektionen.

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

und ein frisches FRST log bitte.

So, bitteschön :)

MALWAREBYTES

AD

JUNK

FRST LOG


FRST Logfile:
--- --- ---

Rechner is gleich durch, dann machen wir die Verknüpfungen.



ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

und ein frisches FRST log bitte. Noch Probleme? :)

Ich bin gerade dabei, 3 ESET Suchlaufe nacheinander zu machen für Festplatte 1 + 2 + Handy/Usb.
Die angeschlossenen Sachen werden aber auch überprüft obwohl Autorun aus ist?

Jap :)

So Nr. 1 Eset + m. Festplatte


k.A. ob das wichtig ist.. (man konnte was exportieren)
Nr. 2 + Handy & USB ++keine bedrohung gefunden++


Nr. 3 + a. Festplatte

++ keine Bedrohung gefunden ++
hab dann deaktivieren angeklickt, daher gibts keine log mehr..


-----------------------------
Security

-----
FRST

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

Passt soweit. Funde auf K von Hand löschen. Noch Probleme?

also ich hab gerad auf der betroffenen festplatte die k:-funde gelöscht, was ich darauf noch seh ist, dass noch teilweise verknüpfungen bestehen und die betroffenen dateien falsch oder anders dargestellt und beschriftet sind..

z.b. die word datei "uni - Kopie.doc" ist nun ne doc-datei + dann gibts noch die verknüpfung "~$i - Kopie - Kopie - Kopie.doc", die teilweise auch dotx-dateien sind

außerdem werden die pdf-dateien noch als html-datein mit firefox-symbol dargestellt oder mp4-dateien und excel ebenfalls anders

also "probleme" hab ich in dem sinne nicht gehabt und will halt nur sicher sein dass der sch* komplett runter ist wenn ich banktätigkeiten erledige.. ;)

Die Doc Datei war doch mit Sicherheit geöffnet zu dem Zeitpunkt als Du das gesehen hast, oder?

Ich habe sie nicht geöffnet. Sie liegt auf dem "desktop" meiner festplatte. Wenn der name daraufhindeutet, dass sie geöffnet war, müsste sie sich vllt. Selbst im hintergrund geöffnet haben?!

Ich bin gerade nich am rechner, aber ich mach am besten mal screenshots..