TR/Agent.59904.B
 

Avira Antivir poppte vor kurzem mit der Message auf das auf meinem Rechner der Trojaner TR/Agent.59904.B gefunden wurde in:

E:\System Volume Information\_restore{762EA928-0218-4D2F-8EEA-4E8C65985C4F}\RP490\A0121985.exe

Ich habe den Trojaner dann löschen lassen mit Antivir. Nach kurzer Zeit kam die Meldung wieder. Daraufhin habe ich unter E:\System Volume Information nach der vermeintlichen .exe gsucht, konnte aber schon den Ordner _restore{762EA928-0218-4D2F-8EEA-4E8C65985C4F} nicht finden. Ein weiterer Scan des Verzeichnisses mit Antivir war negativ.

Nun würd ich gern wissen ob mein System noch befallen ist und woher dieser Trojaner kommt. Ich vermute durch einen Keygenerator, bei der Ausführung damals erschien jedoch keine Meldung.

Hallo und :hallo:

Tja, deswegen nutzt man auch keine dubiose (illegale!!) Software. :pfui:
Die Wahrscheinlichkeit, dass da Schädlinge drin sind ist hoch, auch wenn der Virenscanner nicht meckert.

Acker diese Punkte für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten. Vor dem Ausführen von Malwarebytes den Wächter Deines Virenscanners abschalten!!

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

7.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

8.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe - editiere die Links und privaten Infos!!

Also hier die einzelnen Log Files:

1)
pickpix.exe
3)
4)

5)

6)

7) Filelisting:

http://www.file-upload.net/download-...sting.txt.html

8) Die Zigarette danach: Hijacklog:


Da bin ich ja mal gespannt was sich so auf meinem Pc tummelt. Besten Dank schonmal für die Unterstützung!


Hast ja Recht, und wie du siehst wurde ich ja auch direkt bestraft für die erweiterte Demo.

Also, die Datei die Du auswerten solltest (hast Du ja auch gemacht) wurden da Schädlinge drin gefunden? Du hast nicht die Ergebnisse der einzelnen Virenscanner gepostet!

Ich vermute aber, dass es sich um einen Fehlalarm handeln würde, sofern da was drin gefunden wurde, denn ich denke dass es dieses Programm ist PicPick ? Wikipedia

Ansonsten sehen die Logfiles alle recht unauffällig aus. Die SWH hast Du deaktiviert? Ist seitdem noch ne Meldung wieder vom AntiVir gekommen?

Das Ergebnis von MBAM:
Sieht auch nicht beunruhigend aus, wenn Du was zur Datei D:\Lockon\EnglishCockpitSetup.exe sagen könntest. :rolleyes:

BTW: Warum hast Du immer solche Zeilenumbrüche im Hijackthis-Logfile?

Ja, das ist PicPick. Bei Virustotal hatte ein Scanner angeschlagen, denke also Fehlalarm.

Ja hatte ich deaktiviert. Seitdem ist auch keine Meldung mehr gekommen. Verstehe nicht so ganz wo das Teil hin ist.

Wundert mich das er dort anschlägt. Beim zweitem Scan habe ich die Datei ausversehen löschen lassen, so das ich diese jetzt nicht mehr hochladen könnte. Die .exe habe ich aber auch schon min 1 Jahr aufm Rechner, da kam nie ne Meldung.

Muss beim editieren passiert sein.


Also scheint mein System sauber zu sein. Freut mich, wobei ich es besser gefunden hätte wirklich zu wissen was aus TR/Agent.59904.B geworden ist. Naja, ich werde mich dann gegebenenfalls noch mal melden- thx für deine Hilfe!