Anti Malware Doctor lässt sich nicht entfernen
 

Guten Abend :)

Ich habe mir mysteriöserweise (d.h. ich habe keine Ahnung, wie der auf meinen Rechner gekommen ist) den Anti Malware Doctor eingefangen. Ich bin nun der Anleitung gefolgt und habe mit Malwarebytes mein System gescannt.

Logs:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4159

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

31.05.2010 22:27:43
mbam-log-2010-05-31 (22-27-43).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 48810
Laufzeit: 17 Minute(n), 34 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 4

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Windows\system32\Drivers\wypflrw.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Users\\AppData\Local\Temp\uaufqma.exe (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\Users\\AppData\Local\Temp\swaonmrxec.exe (Rootkit.Dropper) -> Quarantined and deleted successfully.
C:\Users\\AppData\Local\Temp\~TM4C2F.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4159

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

31.05.2010 23:16:32
mbam-log-2010-05-31 (23-16-32).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 185566
Laufzeit: 38 Minute(n), 51 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 1
Infizierte Registrierungsschlüssel: 8
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 7

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\Users\Agi\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\Antimalware Doctor Inc (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\avsoft (Trojan.Fraudpack) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\avsuite (Rogue.AntivirusSuite) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\M5T8QL3YW3 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Handle (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Antimalware Doctor (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\QZAIB7KITK (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\XML (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\halo2 (Trojan.Downloader) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\m5t8ql3yw3 (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Windows\system32\Drivers\wypflrw.sys (Rootkit.Agent) -> Quarantined and deleted successfully.
C:\cleansweep.exe\cleansweep.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\cleansweep.exe\config.bin (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Users\\AppData\Local\Temp\sshnas21.dll (Trojan.Downloader) -> Delete on reboot.
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Windows\Tasks\{8C3FDD81-7AE0-4605-A46A-2488B179F2A3}.job (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Users\\AppData\Local\Temp\Jwx.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Wie von Malbytes gewünscht habe ich dann meinen Laptop neu starten lassen. Es kam das Fenster von Anti Malware Doctor, das ich dann wieder per RKILL gestoppt habe. Ich habe dann Tune Up 1-Klick-Wartung darüber laufen lassen (ist doch sowas in der Art wie CCleaner, oder?).

Ich habe mir ergooglet, dass insgesamt vier Dateien für diesen Virus/Trojaner verantwortlich sind. Nach den Malwarebytes-Scans sind auch drei davon verschwunden, nur eine ist noch da.

- Soll ich jetzt noch mal scannen? Oder die letzte Datei selbst löschen?


Liebe Grüße & schon mal vielen Dank im Voraus für jegliche Hilfe. :)

Hey,

hab seit heute 00:06 den selben Trojaner.
Welche 4 Dateien sollte man denn entfernen?

Grüße

Bei mir heißen die Prozesse "Jwx" und "Jwm". Die anderen weiß ich nicht mehr.


back to topic:


Je öfter ich scanne, desto mehr infizierte Dateien findet Malwarebytes. Logs kann ich grad leider nicht posten, weil ich mit 'nem andren PC online bin.

Weiterer Malwarebytes-Log:

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4159

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

01.06.2010 10:47:28
mbam-log-2010-06-01 (10-47-28).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 185198
Laufzeit: 57 Minute(n), 38 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\Antimalware Doctor Inc (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Uninstall\Antimalware Doctor (Rogue.AntimalwareDoctor) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Windows\system32\Drivers\wypflrw.sys (Rootkit.Agent) -> Quarantined and deleted successfully.


Ich hab übrigens vergessen, dass Avira beim Befall ausgerastet ist wie noch was ... x Meldungen über Trojaner etc.

So ... die verseuchten Dateien sind jetzt alle weg, nun komm ich aber mit dem betroffenen Laptop nicht mehr ins Internet. "Es kann keine Verbindung zu ... hergestellt werden". Und wenn ich versuche, das System wiederherzustellen, kann ein Treiber nicht ausgelesen werden.

Edit: Doch noch ein infiziertes Objekt gefunden. Vielleicht werden's noch mehr ...

edit2: Der Treiber ist "wypflrw.sys". Und genau der war auch eben wieder infiziert. Was ist das für einer? :o

Der "wypflrw.sys" geht nicht weg ... egal, wie oft ich den mit Malwarebytes lösche. :/ mein Internetexplorer kommt nicht ins Internet und blah ... neu aufsetzen?