Trojaner blockiert Normalmodus
 

Liebe Experten,

um sich im Stillen Kämmerchen unbekleidete Damen anzusehen braucht man praktisch nichts zu können...
Dass aus einer solch einseitigen, virtuellen "Beziehung" Probleme wie im echten Leben resultieren - die Erfahrung habe ich gemacht, war mir eine Lehre, und kann diese alleine nicht lösen.

Mein PC "spinnt".
Euer Board war mir eine Hilfe. Super Anleitungen. Danke!
Ich bin fast stolz darauf, es geschafft zu haben, im abgesicherten Modus "online" zu sein (Häkchen bei Proxy-Einstellung entfernt).

MALWAREBYTES (mit Aktualisierung) fand viele Schädlinge, hat diese entfernt.
Zeigte danach nichts mehr an.

Dennoch bestehen im Normalmodus Probleme, verursacht vermutlich durch die AV SECURITY SUITE.
Im Normalmodus werden Browser und Funktionen sabotiert...

AVIRA Anitvir Personal:

TR/CryptXPACK.Gen
TR/Spy.507392.6

SPYBOT search & destroy: ebenso.

RKILL gibt an:

This log file is located at C:\rkill.log.
Please post this only if requested to by the person helping you.
Otherwise you can close this log when you wish.
Ran as instructor on 18.08.2010 at 23:43:53.


Processes terminated by Rkill or while it was running:


C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\WgaTray.exe
C:\Dokumente und Einstellungen\instructor\Lokale Einstellungen\Anwendungsdaten\kafmibsmh\dwebmaeshdw.exe
C:\Dokumente und Einstellungen\instructor\Lokale Einstellungen\Anwendungsdaten\kafmibsmh\dwebmaeshdw.exe
C:\Dokumente und Einstellungen\instructor\Desktop\iExplorer.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\system32\imapi.exe


Rkill completed on 18.08.2010 at 23:44:00.


Anbei das Logfile von HIJACKTHIS.

Könnt Ihr mir bitte helfen?
Ich werde auch nie wieder einen Witz über IT-Freaks machen...
Das Haupt in Asche, in Hoffnung auf Hilfe.

LG, BT

HiJackthis Logfile:
--- --- ---

Hallo und Herzlich Willkommen! :)

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:
Falls du doch für die Systemreinigung entscheidest - Ein System zu bereinigen kann ein paar Tage dauern (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst::

1.
Tipp - ins Internet zu gelangen und kannst auch von dort die Schritte durchführen:
- Gehe in den abgesicherten Modus
- Drücke beim Hochfahren des rechners [F8] (bei win xp) solange, bis du eine auswahlmöglichkeit hast:
- wähle hier: "Abgesicherter Modus mit Netzwerktreibern"

2.
Seit wann hast du dieses Problem denn? Wenn du glaubst zu kennen die Zeitpunkt wo dein System noch einwandfrei funktioniert hat, die Systemwiederherstellung ist einen Versuch Wert!:
Windows ME,XP, Vista und Win7 enthält ein Programm zur Systemwiederherstellung (Damit lässt sich das System auf einen früheren Zeitpunkt zurücksetzen ,wo noch alles einwandfrei funktioniert. Die Systemwiederherstellung betrifft nur Systemeinstellungen.(programme die in der zwischenzeit installiert wurden gehen dabei verloren. man kann diesen vorgang auch wieder rückgängig machen, sollte man keinen erfolg damit erzielt haben.)
Du findest das Programm zur Systemwiederherstellung : Start/Programme/Zubehör/Systemprogramme/Systemwiederherstellung
Setzt doch dein Windows über die Systemwiederherstellung ganz zurück (falls nötig kannst Du es im abgesicherten Modus auch tun
berichte ob du damit Erfolg hast
► - auch, ob die SWH funktioniert hat, bzw ob Du das System auf einen früheren Wiederherstellungspunkt zurückstellen können?
(Kannst noch immer bis zum heutigen Zeitpunkt rückgängig machen, falls liefert nicht das gewünschte Ergebnis)
► Da die SWH nur ein Notlösung ist und/oder die Systemwiederherstellung ist nicht durchführbar, arbeite die aufgeführten Schritte bitte vollständig ab:

3.
**Spybot Tea Timer bitte abstellen!
Modus-> Erweiterte Modus-> Ja-> Werkzeuge-> Resident-> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) -> exit.

4.
→ besuche die Seite von virustotal und die Datei/en aus Codebox bitte prüfen lassen - inklusive Dateigröße und Name, MD5 und SHA1 auch mitkopieren:
→ Tipps für die Suche nach Dateien
→ Klicke auf "Durchsuchen"
→ Suche die Datei auf deinem Rechner→ Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
→ "Senden der Datei" und Warte, bis der Scandurchlauf aller Virenscanner beendet ist
→ das Ergebnis wie Du es bekommst (NICHT AUSLASSEN!) da reinkoperen (inklusive <geprüfter Dateiname> + Dateigröße und Name, MD5 und SHA1)

** Beispiel - das zu postende Logfile von Virustotal soll so wie hier aussehen Also nicht auslassen, sondern wie Du es bekommst da reinkopieren!:
gruß
Coverflow

Lieber Coverflo,

Vielen Dank für Deine kompetente und superschnelle Antwort.
Ich habe mich an Deine Anweisungen gehalten (Teatimer abgestellt).

Virustotal gibt an:

Ich danke Dir schon mal für Deinen Rat zur weiteren Verfahrensweise...

Herzlich,
BT

hi

Unter Punkt 2. :-> - Post #2 - ist Dir nicht gelungen die Systemzeitpunkt zurückstellen?-> http://www.trojaner-board.de/89716-t...tml#post557348


- Da diese Dateien (noch) nicht bei allen Herstellern von Removern, Antiviren Programmen und Spyware Schutz Programmen bekannt sind, laden wir zur weitere Analyse zum Hersteller des Removers hoch:

Datei Upload

• Klicke bitte auf diesen Link UploadMalware.com

• Gib im obersten Feld deinen Namen ein
• Im Feld darunter den Thread bei uns an Board (http://www.trojaner-board.de/89716-t...rmalmodus.html)
• Lade dann diese Datei von deinem Rechner hoch:

C:\Dokumente und Einstellungen\instructor\Lokale Einstellungen\Anwendungsdaten\kafmibsmh\dwebmaeshdw.exe
C:\borobororb.exe\borobororb.exe

• Gib im Kommentarfeld Folgendes an:
• "Unknown file"
• diese Information:

Code:

---

File name: dwebmaeshdw.exe
Submission date: 2010-08-19 09:17:44 (UTC)
Current status: queued (#2) queued analysing finished


Result: 11/ 40 (27.5%)
 VT Community

not reviewed
 Safety score: - 

Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.08.19.00 2010.08.18 Dropper/Win32.FrauDrop
AntiVir 8.2.4.38 2010.08.19 -
Antiy-AVL 2.0.3.7 2010.08.16 -
Authentium 5.2.0.5 2010.08.19 -
Avast 4.8.1351.0 2010.08.18 -
Avast5 5.0.332.0 2010.08.18 -
AVG 9.0.0.851 2010.08.19 -
BitDefender 7.2 2010.08.19 Trojan.Generic.KD.27436
CAT-QuickHeal 11.00 2010.08.19 -
ClamAV 0.96.2.0-git 2010.08.19 -
Comodo 5784 2010.08.18 -
DrWeb 5.0.2.03300 2010.08.19 -
Emsisoft 5.0.0.37 2010.08.18 -
eTrust-Vet 36.1.7800 2010.08.19 -
F-Prot 4.6.1.107 2010.08.18 -
F-Secure 9.0.15370.0 2010.08.19 Trojan.Generic.KD.27436
Fortinet 4.1.143.0 2010.08.19 -
GData 21 2010.08.19 Trojan.Generic.KD.27436
Ikarus T3.1.1.88.0 2010.08.18 -
Jiangmin 13.0.900 2010.08.19 -
Kaspersky 7.0.0.125 2010.08.19 Trojan-Dropper.Win32.FrauDrop.bax
McAfee 5.400.0.1158 2010.08.19 Artemis!BDA0B6E794F0
Microsoft 1.6004 2010.08.19 VirTool:Win32/Obfuscator.JM
NOD32 5378 2010.08.19 a variant of Win32/Kryptik.GDI
Norman 6.05.11 2010.08.18 -
nProtect 2010-08-19.01 2010.08.19 Trojan.Generic.KD.27436
Panda 10.0.2.7 2010.08.19 -
PCTools 7.0.3.5 2010.08.19 -
Prevx 3.0 2010.08.19 High Risk Cloaked Malware
Rising 22.61.03.03 2010.08.19 -
Sophos 4.56.0 2010.08.19 -
Sunbelt 6759 2010.08.19 Trojan.Win32.Generic.pak!cobra
SUPERAntiSpyware 4.40.0.1006 2010.08.19 -
Symantec 20101.1.1.7 2010.08.19 -
TheHacker 6.5.2.1.351 2010.08.19 -
TrendMicro 9.120.0.1004 2010.08.19 -
TrendMicro-HouseCall 9.120.0.1004 2010.08.19 -
VBA32 3.12.14.0 2010.08.19 -
ViRobot 2010.8.16.3990 2010.08.19 -
VirusBuster 5.0.27.0 2010.08.18 -
Additional informationShow all 
MD5  : bda0b6e794f0a27ba791ce28c406dd09
SHA1  : 262f0e023a43c9270b1da65b9b424675fc8284ed
SHA256: cfa51bfe0d8666edda884ca9b8c4be93eb3d5c10faefbd00328e13bd949c9dfd


Und zu "borobororb.exe"

0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is goodware. 0 VT Community user(s) with a total of 0 reputation credit(s) say(s) this sample is malware.
File name: borobororb.exe
Submission date: 2010-08-19 09:22:49 (UTC)
Current status: queued (#3) queued (#3) analysing finished


Result: 14/ 42 (33.3%)
 VT Community

not reviewed
 Safety score: - 

Compact Print results
Antivirus Version Last Update Result
AhnLab-V3 2010.08.19.00 2010.08.18 -
AntiVir 8.2.4.38 2010.08.19 -
Antiy-AVL 2.0.3.7 2010.08.16 -
Authentium 5.2.0.5 2010.08.19 -
Avast 4.8.1351.0 2010.08.18 Win32:MalOb-BY
Avast5 5.0.332.0 2010.08.18 Win32:MalOb-BY
AVG 9.0.0.851 2010.08.19 -
BitDefender 7.2 2010.08.19 -
CAT-QuickHeal 11.00 2010.08.19 -
ClamAV 0.96.2.0-git 2010.08.19 -
Comodo 5784 2010.08.18 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.2.03300 2010.08.19 -
Emsisoft 5.0.0.37 2010.08.18 -
eSafe 7.0.17.0 2010.08.17 -
eTrust-Vet 36.1.7800 2010.08.19 -
F-Prot 4.6.1.107 2010.08.18 -
F-Secure 9.0.15370.0 2010.08.19 -
Fortinet 4.1.143.0 2010.08.19 -
GData 21 2010.08.19 Win32:MalOb-BY 
Ikarus T3.1.1.88.0 2010.08.18 -
Jiangmin 13.0.900 2010.08.19 -
Kaspersky 7.0.0.125 2010.08.19 -
McAfee 5.400.0.1158 2010.08.19 Artemis!177B65DC7790
McAfee-GW-Edition 2010.1B 2010.08.19 Heuristic.BehavesLike.Win32.Suspicious.D
Microsoft 1.6004 2010.08.19 Trojan:Win32/Meredrop
NOD32 5378 2010.08.19 a variant of Win32/Kryptik.FUB
Norman 6.05.11 2010.08.18 -
nProtect 2010-08-19.01 2010.08.19 -
Panda 10.0.2.7 2010.08.19 Trj/CI.A
PCTools 7.0.3.5 2010.08.19 -
Prevx 3.0 2010.08.19 High Risk Fraudulent Security Program
Rising 22.61.03.03 2010.08.19 -
Sophos 4.56.0 2010.08.19 Mal/Zbot-U
Sunbelt 6759 2010.08.19 -
SUPERAntiSpyware 4.40.0.1006 2010.08.19 Trojan.Agent/Gen-CSR[Fire]
Symantec 20101.1.1.7 2010.08.19 -
TheHacker 6.5.2.1.351 2010.08.19 -
TrendMicro 9.120.0.1004 2010.08.19 Cryp_Zbot
TrendMicro-HouseCall 9.120.0.1004 2010.08.19 TROJ_MEREDROP.YH
VBA32 3.12.14.0 2010.08.19 -
ViRobot 2010.8.16.3990 2010.08.19 -
VirusBuster 5.0.27.0 2010.08.18 -
Additional informationShow all 
MD5  : 177b65dc7790b8e9159c7a57357dd35e
SHA1  : 12f7b5a9878243a81162ec1789724b82cee38099
SHA256: f8b7981853a9095d1dc6dc6d7c2a1ec0c9a81379c8ca6f1d1d587eed5efd0229

---

• Drücke nun auf den Button "Send File"
• **Damit wir mit dem nächsten Schritt fortfahren können, teile uns mit, ob es dir gelungen ist, die Datei/en hochzuladen.
  .

Lieber Coverflow,

danke für Deine rasche Antwort.

Hat geklappt.

Your file (dwebmaeshdw.exe) was successfully submitted. If someone requested you submit this file please let them know that you have submitted the file.

Your file (borobororb.exe) was successfully submitted. If someone requested you submit this file please let them know that you have submitted the file.

Das mit der Systemwiederherstellung hatte ich als Alternative verstanden, und noch nicht durchgeführt. Soweit ich verstanden habe, gehen dabei evtl. installierte Programme (wäre nicht schlimm) verloren, Dokumente und Bilder aber eher nicht? Dann versuche ich das, wenn das die einfachste Lösung ist.

Vielen Dank nochmals für Dein Engagement und Deine Hilfe soweit.

Sonnige Grüße,
BT

Lieber Coverflow,

Systemwiederherstellung: klappt nicht.
Einzig mögliches Datum 18.August 2010 - da war der Trojaner schon drauf.
Andere Wiederherstellungszeitpunkte lassen sich nicht wählen, die Option mit den Pfeilen einen Monat rückwärts gehen geht nicht.

Was nun?

Ergab die Auswertung der hochgeladenen Dateien etwas?

Sonnig & Herzlich und noch immer zuversichtlich,
BT

hi

1.
Lade Dir Malwarebytes Anti-Malware von→ malwarebytes.org

• Installieren und per Doppelklick starten.
• Deutsch einstellen und gleich mal die Datenbanken zu aktualisieren - online updaten
• "Komplett Scan durchführen" wählen (überall Haken setzen)
• wenn der Scanvorgang beendet ist, klicke auf "Zeige Resultate"
• alle Funde markieren und auf "Löschen" - "Ausgewähltes entfernen") klicken.
• Poste das Ergebnis hier in den Thread - den Bericht findest Du unter "Scan-Berichte"

eine bebilderte Anleitung findest Du hier: Anleitung/virus-protect.org

2.
Bitte Versteckte - und Systemdateien sichtbar machen den Link hier anklicken:
System-Dateien und -Ordner unter XP und Vista sichtbar machen
Am Ende unserer Arbeit, kannst wieder rückgängig machen!

3.
→ Lade Dir HJTscanlist.zip herunter
→ entpacke die Datei auf deinem Desktop
→ Bei WindowsXP Home musst vor dem Scan zusätzlich tasklist.zip installieren
→ per Doppelklick starten
→ Wähle dein Betriebsystem aus - Vista
→ Wenn Du gefragt wirst, die Option "Einstellung" (1) - scanlist" wählen
→ Nach kurzer Zeit sollte sich Dein Editor öffnen und die Datei hjtscanlist.txt präsentieren
→ Bitte kopiere den Inhalt hier in Deinen Thread.

4.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool "Ccleaner" herunter
installieren (Software-Lizenzvereinbarung lesen, falls angeboten wird "Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ falls nötig - unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

5.
läuft unter XP, Vista mit (32Bit) und Windows 7 (32Bit)
Achtung!:
WENN GMER NICHT AUSGEFÜHRT WERDEN KANN ODER PROBMLEME VERURSACHT, fahre mit dem nächsten Punkt fort!- Es ist NICHT sinnvoll einen zweiten Versuch zu starten!
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :

• - also lade Dir Gmer herunter und entpacke es auf deinen Desktop
  - starte gmer.exe
  - [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
  - bitte nichts am Pc machen während der Scan läuft!
  - klicke auf "Scan", um das Tool zu starten
  - wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
  - mit "Ok" wird Gmer beendet.
  - das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

6.
läuft unter XP, Vista mit (32Bit) und Windows 7 (32Bit)
Lade und installiere das Tool RootRepeal herunter

• setze einen Hacken bei: "Drivers"-> "Scan"-> Save Report"...
• "Stealth Objects" -> "Scan"-> Save Report"...
• "Hidden Services" -> "Scan"-> Save Report"...
• speichere das Logfile als "RootRepeal.txt" auf dem Desktop und Kopiere den Inhalt hier in den Thread

7.
poste erneut - nach der vorgenommenen Reinigungsaktion:
► TrendMicro™ HijackThis™ -Logfile - Keine offenen Fenster, solang bis HijackThis läuft!!