Trojaner-Board - Antimalware Doctor reaktiviert sich trotz 0 Ergebnis bei Malwarebyte ...

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Antimalware Doctor reaktiviert sich trotz 0 Ergebnis bei Malwarebyte ... (https://www.trojaner-board.de/85585-antimalware-doctor-reaktiviert-trotz-0-ergebnis-malwarebyte.html)

Antimalware Doctor reaktiviert sich trotz 0 Ergebnis bei Malwarebyte ...

Hallo zusammen,

vieles schon gelesen, aber nicht vollständig gelöst.
Folgende Punkte kurz protokolliert:

1. Antimalware Doctor über Yahoo-Suchbegriff eingefangen, zusammen mit Urheberrechtsverletzung - Fake von ICPP-Online.
2. ICPP-Online Fenster wirksam gelöscht.
3. RKILL über iexplorer.exe erfolgreich, killt Fenster von Antimalware Doctor.
4. Malwarebytes findet nach einer Weile der PC-Nutzung wieder etwas genauso wie RKILL.
5. Das Speichern von Daten, z.B. Logfiles auf Laufwerken wird mir verwehrt, deswegen keine aktuelle Datei Logfiles hier zu posten.
6. Nach kurzer Online-Aktivität wurde mir das Fake Desktop Security 2010 zugespielt. Die IE Verknüpfung lässt sich nicht löschen.
7. Ständige Meldungen von Windows Explorer: Datenausführungsverweigerung.

Folgende files habe ich als kriminell eingestuft.
Wie kann ich diese ausmerzen?

D:\***/NTUSER.DAT
D:\***\NTUSER:INI
D:\ALLUSERS\ANWENDUNGSDATEN\U4r8wR3.dat
D:\ALLUSERS\ANWENDUNGSDATEN\4gr2NDL5.exe

Dazu kommt noch TEMP\VLE.exe

Der letzte RKILL sah eine Infizierung bei YAHOO! COMPANION.

Hilft es mir irgendwie, wenn ich die komplette YAHOO-Software deinstalliere!!!

Ich habe nach Malwarebytes auch CCleaner nochmals und OLT durchgeführt.

Ich hoffe, dass mir trotz fehlender logfiles konstruktive Tips gegeben werden können.

Vielen Dank und ich bin beindruckt vom Trojaner-Forum. Wenn ich zu Geld kommen sollte, werde ich spenden.

Der Naive

Hallo und :hallo:

Zitat:

Ich habe nach Malwarebytes auch CCleaner nochmals und OLT durchgeführt.

Alle Logs will ich sehen, außer das von CCleaner.

Zitat:

Zitat von cosinus (Beitrag 522361)

Hallo und :hallo:

Alle Logs will ich sehen, außer das von CCleaner.

Hallo cosinus und Team,

angehängt sind die letzten drei Logs von Malwarbyte.
Heute einen aktuellen OTL gemacht, auch anbei.

Ich habe gestern Deine Lösung für g-weazel gelesen und ich denke, dass der Fall bei mir ähnlich liegt, da auch "gotnewupdate000.exe" offensichtlich der Auslöser allen Übels ist.

Aktuell habe ich den Eindruck, dass der Windows-Explorer vom Virus belegt wird, sprich Warnmeldungen, Abbruchmeldungen auswirft.

Ich habe die Prozesse beobachtet und bis dato nach dem Hochfahren 30 Prozesse als korrekt eingestuft, der Rest ist Schrott - Stand gestern war:

dfsotx ...
playerclmedia ...
xmewjg ...
msgr3ennatural ...
editingdhtml ...
jusched ...
PCMService ...
SearchExit ...
VLE ...
ApplicationData ...

Beim heutigen Start waren 55 Prozesse am Werk, es potenziert sich ...

Freue mich auf Nachricht, ich lese Ihr seid viel beschäftigt mit dem Thema.

Gruß aus HH

Wolfgang

Zitat:

Datenbank Version: 4052

Die Signaturen waren leider nicht aktuell - bitte Malwarebytes aktualisieren und noch nen Vollscan starten.

Hallo Arne,

gestern konnte ich von Eurer Verlinkung keine Aktualisierung von Malwarebytes downlowden, Datenbankversion ist immer noch 4052 (ich weiss es gibt bereits 4061 etc.)

Von meinem PC kann ich wegen Sicherheitsrisiko keine Aktualisierung vornehmen.

Dennoch: RKILL hat endlich mal "gotnewupdate000.exe" entdeckt.
Angehängt die Logs auch vom neuen alten Malwarebyte.

Zudem ein GMER-Scan, wo man schön die Boshaftigkeiten sehen kann.

Können wir nicht auf einem anderen Weg als Malwarebyte die Reaktivierung stoppen? Gestern war lange (30 Minuten) alles o.k. mit den Prozessen.
Dann kam die bereits bekannte Blockade von Sychost.exe
Da muss ich aber im Forum noch weiter lesen.

Bis dann...

Wolfgang

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Vorsicht langer Text!

Code:

:OTL

PRC - C:\windows\temp\xmewjg   .exe File not found

PRC - D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Anwendungsdaten\5E6233D101297F4B957D668281E3ED16\gotnewupdate000   .exe File not found

PRC - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert    .exe ()

PRC - D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Lokale Einstellungen\Temp\Vle     .exe ()

PRC - D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Lokale Einstellungen\Temp\Vle    .exe ()

PRC - C:\WINDOWS\Temp\xmewjg    .exe ()

PRC - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural    .exe ()

PRC - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert     .exe ()

O4 - HKLM..\Run: [ae0965a7157cdMalware] c:\WINDOWS\Temp\dfsotx   .exe ()

O4 - HKLM..\Run: [ae0965a7157cdmpengine] c:\WINDOWS\Temp\dfsotx.exe ()

O4 - HKLM..\Run: [ae0965a7157cdProtection] C:\windows\temp\xmewjg   .exe File not found

O4 - HKLM..\Run: [BetriebssystemWindows] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Speech\1031\microsoftrbetriebssystem5.1.4111.00.0108171148.exe ()

O4 - HKLM..\Run: [Componenteditingdhtml6.01.9246] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml .exe ()

O4 - HKLM..\Run: [ExpertGrammar] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert.exe ()

O4 - HKLM..\Run: [grammarexpertSystem] C:\programme\gemeinsame dateien\microsoft shared\works shared\1040\grammarexpert  .exe File not found

O4 - HKLM..\Run: [Microsoftae0965a7157cd] c:\WINDOWS\Temp\xmewjg.exe ()

O4 - HKLM..\Run: [mpengineMicrosoft] C:\WINDOWS\Temp\dfsotx.exe ()

O4 - HKLM..\Run: [msgr3enNatural41] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural  .exe ()

O4 - HKLM..\Run: [NaturalLanguage] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural   .exe ()

O4 - HKLM..\Run: [Naturalmsgr3en] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural.exe ()

O4 - HKLM..\Run: [QuickTime Task] C:\Programme\QuickTime\qttask  .exe File not found

O4 - HKLM..\Run: [SearchSettings] C:\Programme\pdfforge Toolbar\SearchSettings.exe ()

O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe File not found

O4 - HKLM..\Run: [SystemGrammar] c:\programme\gemeinsame dateien\microsoft shared\works shared\1040\grammarexpert   .exe File not found

O4 - HKLM..\Run: [SystemGrammar30039] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert    .exe ()

O4 - HKLM..\Run: [Systemgrammarexpert] c:\programme\gemeinsame dateien\microsoft shared\works shared\1040\grammarexpert  .exe File not found

O4 - HKLM..\Run: [TRIEDITDHTML] C:\programme\gemeinsame dateien\microsoft shared\triedit\editingdhtml.exe File not found

O4 - HKLM..\Run: [TRIEDITEditing] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml     .exe ()

O4 - HKCU..\Run: [gotnewupdate000   .exe] D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Anwendungsdaten\5E6233D101297F4B957D668281E3ED16\gotnewupdate000   .exe File not found

O4 - HKCU..\Run: [gotnewupdate000  .exe] D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Anwendungsdaten\5E6233D101297F4B957D668281E3ED16\gotnewupdate000  .exe ()

O4 - HKCU..\Run: [gotnewupdate000 .exe] D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Anwendungsdaten\5E6233D101297F4B957D668281E3ED16\gotnewupdate000 .exe ()

O4 - HKCU..\Run: [gotnewupdate000.exe] D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Anwendungsdaten\5E6233D101297F4B957D668281E3ED16\gotnewupdate000.exe File not found

O4 - HKCU..\Run: [M5T8QL3YW3] D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Lokale Einstellungen\Temp\Vle     .exe ()

O4 - HKCU..\Run: [MSMSGS] C:\Programme\Messenger\msmsgs.exe ()

O4 - HKCU..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe ()

O4 - HKLM..\RunServices: [ae0965a7157cdMalware] c:\WINDOWS\Temp\xmewjg    .exe ()

O4 - HKLM..\RunServices: [ae0965a7157cdMalware] c:\WINDOWS\Temp\xmewjg    .exe ()

O4 - HKLM..\RunServices: [BetriebssystemMicrosoftR] c:\programme\gemeinsame dateien\microsoft shared\speech\1031\microsoftrbetriebssystem5.1.4111.00.0108171148  .exe File not found

O4 - HKLM..\RunServices: [Betriebssystemmicrosoftrbetriebssystem514111000108171148] C:\programme\gemeinsame dateien\microsoft shared\speech\1031\microsoftrbetriebssystem5.1.4111.00.0108171148  .exe File not found

O4 - HKLM..\RunServices: [CLDShowXCyberlinkPlayer] c:\Programme\CyberLink\PowerCinema\Kernel\Video\playerclmedia  .exe ()

O4 - HKLM..\RunServices: [Componenteditingdhtml] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml     .exe ()

O4 - HKLM..\RunServices: [CyberlinkPlayerCinema] c:\Programme\CyberLink\PowerCinema\Kernel\Video\playerclmedia     .exe ()

O4 - HKLM..\RunServices: [CyberlinkPlayerCyberlink] c:\Programme\CyberLink\PowerCinema\Kernel\Video\playerclmedia     .exe ()

O4 - HKLM..\RunServices: [DHTMLTRIEDIT] c:\programme\gemeinsame dateien\microsoft shared\triedit\editingdhtml.exe File not found

O4 - HKLM..\RunServices: [dumpsterscrptxtn11.0.8200] c:\Programme\Gemeinsame Dateien\System\MSMAPI\1031\esconfOutlook.exe ()

O4 - HKLM..\RunServices: [EditingComponent] C:\programme\gemeinsame dateien\microsoft shared\triedit\editingdhtml.exe File not found

O4 - HKLM..\RunServices: [EditingDHTML6.01.9246] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml     .exe ()

O4 - HKLM..\RunServices: [editingdhtmleditingdhtml] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml    .exe ()

O4 - HKLM..\RunServices: [EditingTRIEDIT] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Triedit\editingdhtml  .exe ()

O4 - HKLM..\RunServices: [Grammargrammarexpert26962] C:\programme\gemeinsame dateien\microsoft shared\works shared\1040\grammarexpert  .exe File not found

O4 - HKLM..\RunServices: [MalwareMicrosoft6868] c:\WINDOWS\Temp\dfsotx.exe ()

O4 - HKLM..\RunServices: [Malwarempengine] C:\windows\temp\xmewjg   .exe File not found

O4 - HKLM..\RunServices: [MalwareProtection] c:\windows\temp\xmewjg   .exe File not found

O4 - HKLM..\RunServices: [MicrosoftMalware] c:\WINDOWS\Temp\xmewjg  .exe ()

O4 - HKLM..\RunServices: [MicrosoftProtection] c:\windows\temp\dfsotx  .exe File not found

O4 - HKLM..\RunServices: [mpengineae0965a7157cd1.1.4502.0] c:\WINDOWS\Temp\xmewjg.exe ()

O4 - HKLM..\RunServices: [mpenginempengine] c:\WINDOWS\Temp\dfsotx    .exe ()

O4 - HKLM..\RunServices: [msgr3enmsgr3ge3.1.2303] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural .exe ()

O4 - HKLM..\RunServices: [msgr3ennaturalmsgr3en] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural    .exe ()

O4 - HKLM..\RunServices: [msgr3geComponents] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural  .exe ()

O4 - HKLM..\RunServices: [msgr3gemsgr3en3.1.7004] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Proof\1033\msgr3ennatural  .exe ()

O4 - HKLM..\RunServices: [PlayerCinema] c:\programme\cyberlink\powercinema\kernel\video\playerclmedia   .exe File not found

O4 - HKLM..\RunServices: [Protectionae0965a7157cd] c:\WINDOWS\Temp\xmewjg .exe ()

O4 - HKLM..\RunServices: [ProtectionMalware] C:\WINDOWS\Temp\dfsotx.exe ()

O4 - HKLM..\RunServices: [ProtectionMicrosoft] c:\WINDOWS\Temp\dfsotx .exe ()

O4 - HKLM..\RunServices: [SystemExpert] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert.exe ()

O4 - HKLM..\RunServices: [SystemGrammar] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert.exe ()

O4 - HKLM..\RunServices: [SystemGrammar9894] c:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\1040\grammarexpert     .exe ()

[2010.05.05 14:20:26 | 000,035,860 | ---- | M] () -- D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Lokale Einstellungen\Anwendungsdaten\iiGhYal21.exe

[2010.05.05 14:20:26 | 000,035,860 | ---- | M] () -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\iiGhYal21.exe

[2010.05.05 14:20:26 | 000,035,860 | ---- | M] () -- C:\WINDOWS\System32\iiGhYal21.com

[2010.05.02 12:20:11 | 000,035,848 | ---- | M] () -- D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\iiGhYal21.com

[2010.05.01 22:30:53 | 000,363,520 | ---- | M] () -- D:\Dokumente und Einstellungen\Wolfgang.HOMEOFFICE\Desktop\iExplore.exe

[2010.05.01 18:20:10 | 000,035,844 | ---- | M] () -- C:\WINDOWS\ALSMTrayInternet.exe

[2010.05.01 17:28:47 | 000,000,112 | ---- | M] () -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\U4r8wR3.dat

[2010.05.01 17:28:46 | 000,068,610 | ---- | M] () -- D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\4gr2NDL5.exe

[2010.05.01 17:00:07 | 000,035,844 | ---- | M] () -- C:\WINDOWS\System32\HDAShCut.exe

[2010.04.30 00:47:47 | 000,050,990 | ---- | M] () -- C:\WINDOWS\System32\cuevunlwzlbxca.exe

[2010.04.30 00:47:26 | 000,167,936 | ---- | M] () -- C:\WINDOWS\Vdugub.exe

[2010.04.30 00:47:05 | 000,167,936 | ---- | M] () -- C:\WINDOWS\Vdugua.exe

[2010.04.21 13:55:04 | 000,319,488 | ---- | M] () -- C:\WINDOWS\System32\aikchtoz.dll

:Files

c:\windows\tasks\at*.job

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann auf den Button Run Fixes!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo Arne,

danke für Deine Mühe, die Anweisung RUN FIXES mit deinem OTL-Text hat m. E. nicht funktioniert, hat nicht gearbeitet.

Ich habe aufgegeben und FDISK durchgeführt.

Vorher wurde mir nach der Systemwiederherstellung tatsächlich ein XP-Screen mit meinen alten Dateien vorgestellt, der eigentlich hätte gelöscht sein müssen. Deswegen bin ich auf FDISK gegangen und habe neu formatiert.

Kann sich so ein Scheiss-Trojaner auch auf das BIOS übertragen?

Das würde dann doch das Ende der Festplatte bedeuten...

Momentan sehe ich jedenfalls ein XP-Neustart wie beim Kauf.
Hoffe das bleibt so. Ansonsten werde ich dem Computerzeitalter entsagen.

:heilig:

Machts gut, vorerst ...

Wolfgang

So, bei meiner Freundin auf dem Notebook hatte sich der Antimalware Doctor eingenistet und Viren angezeigt, die gar nicht vorhanden waren. Kein Programm ließ sich mehr öffnen, selbst der Texteditor nicht mehr. Zwischendurch hat er noch Icons über den Desktop regnen lassen und immer wieder wollte er, dass wir eine Registration kaufen. Man kann ihn ganz einfach entfernen (ich habe dafür allerdings 7 Stunden gebraucht).Nach langem Suchen haben wir ihn gefunden. Die Ordneroptionen hat er gelöscht, so dass wir keinen Zugriff auf die versteckten Dateien hatten. Der Speedcommander auf meinem Stick ließ sich aber öffnen und so fand ich die böse Datei unter c: Dokumente + Einstellungen / Anwendungsdaten in eiem Ordner mit einer langen Zahlenreihe. Darin befinden sich 4 Dateien, u.a. eine die z.T. enimies heißt, skill.dll und eine wichtige namens gotnewupdate000. Dieser Ordner muss gelöscht werden, die gotnew... lässt sich nicht löschen, weil sie sich im System festgesetzt hat. Diese selbe Datei findet man im Taskmanager und dort haben wir sie entfernt. Danach ließ sich die gotnew... dann auch in ihrem Orner löschen und der Spuk hatte ein Ende.
Unser System war XP Home.
Ich hoffe, ich konnte euch helfen.

Zitat:

Man kann ihn ganz einfach entfernen (ich habe dafür allerdings 7 Stunden gebraucht).

In 7 Stunden hab ich meinen Rechner min. 2x formatiert und neu aufgesetzt :D

Du bist ganz toll Arne, aber es geht hier nicht um dich, sondern um mich und ich bin neugierig und wollte es schaffen den Trojaner zu besiegen. Wir haben erst einmal alle Daten gesichert, was nicht ganz einfach war wegen der vielen Fenster, die sich ständig öffneten. Dann hatten wir viel Zeit und wollten das Notebook so weiter betreiben können, wie es war. - Es ist ja nicht meins. - Dazu muss ich noch sagen, dass wir msconfig / Systemstart benutzten, um die vielen Häkchen zu entfernen, die alle von dem Temp-Ordner in Lokale Einstellungen ausgingen, um dann den Temp-Ordner zu leeren und sämtliche Dateien im Content.IE5, nicht nur in den Temporary Internetfiles.
Margitta

Zitat:

Du bist ganz toll Arne, aber es geht hier nicht um dich, sondern um mich und ich bin neugierig und wollte es schaffen den Trojaner zu besiegen.

Wer fühlt sich denn hier gleich auf dem Schlips getreten?
Wenn Du mal so ein wenig meine Beiträge liest, würdest Du wissen, dass ich hier shr viel bereinige, dennnoch sollte man sich mal überlegen, ob man tagelang lieber bereinigen will oder eben kurzerhand das System neu aufsetzt (ist 1. sicherer und 2. gelingt nicht immer jede bereinigung, das System kann dabei u.U. geschrottet werden, je nachdem welcher Befall vorliegt)

Zitat:

Wir haben erst einmal alle Daten gesichert, was nicht ganz einfach war wegen der vielen Fenster, die sich ständig öffneten.

Dafür gibt es Live-Systeme, die man von CD startet (Bart PE, Knoppix, diverse Installationsmedien für Linux-Distros (zB Ubuntu))
Abgesehen davon sollte man immer seine wichtigsten gesichert haben, an backups denkt man nicht erst wenn was passiert ist, dann ist ist nämlich meist schon zu spät

Arne, ich fühle mich nicht auf den Schlips getreten, denn es geht nicht um meinen Computer, den kenn ich in- und auswendig. Und meine Dateien sind vielseitig auch online gesichert. Auf meinem Notebook läuft parallel Ubuntu, mit dem ich aber leider nicht so viel anfangen kann.
Das Notebook meiner Freundin - lief bisher ohne Virenschutz und Firewall -müssen wir trotzdem neu aufsetzen, weil der Trojaner auch Einiges in der Registry geändert hat. Z.B. lässt sich die Sytemwiederherstellung nicht mehr aufrufen - sie will Administratorenrechte - und die Orneroptionen sind erst einmal verschwunden. Findet man die Datei Ordneroptionen mit einem anderen Namen unter sytem32? Das interessiert mich nur grundsätzlich. Vielleicht weißt du Rat!!!
Margitta

Zitat:

Das Notebook meiner Freundin - lief bisher ohne Virenschutz und Firewall

Ein Virenscanner und eine "Firewall" sind aber nicht zwingend notwendig. Der Virenscanner kann Befall nicht zuverlässig verhindern, als Firewall ist die von Windows mehr als ausreichend, andere Software-Firewall sind unnütz bis schädlich fürs System (v.a. wenn man sie mangels Wissen über Netzwerke und Protokolle nicht vernünftig konfigurieren kann)

Zitat:

Zitat von gotnewupdate (Beitrag 526097)

Hat bei mir leider nichts gebracht, der Spuk geht weiter :((

Aber klang schonmal nach nem guten anfang!!!

@parabol4: Was soll das? Du hast doch schon nen eigenen Strang!! => http://www.trojaner-board.de/86283-a...che-hilfe.html