20 TAN Trojaner Sparkasse Online Banking :( Was nun?
 

Hallo an die Trojaner-Experten ^^

Seit gestern habe ich mit dem 20 Tan Trojaner zu kämpfen. Mein PC war schon einige Tage vorher verdächtig langsam (dachte das lag an der vollgestopften Festplatte), aber ich habe es erst gestern Abend bemerkt als ich eine Überweisung (über die Sparkassen-Seite) machen wollte. War natürlich so dämlich und hab die Tans eingegeben. :stirn:
Nachdem mir ein Licht aufgegangen ist hab ich heute gleich alles sperren lassen. Zum Glück fehlt noch kein Geld.

Jedenfalls habe ich keine Ahnung wie ich diese Pest wieder los werde. Ich habe zwar andere Topics hier und einiges bei Google gesehen, aber richtig schlau bin ich nicht draus geworden. Deswegen frage ich nach eurem Rat (:

Mich interessiert brennend, was genau der Trojaner eigentlich macht, außer TANs abzugreifen? Kann mir der bei PayPal, ebay, amazon, eMail-Konten & Co. irgendwie gefährlich werden? Und wie verbreitet er sich? Kann er andere PCs infizieren wenn ich z.B. Bild, Text- oder Videodateien per USB-Stick rüberziehe? Und wie sieht es mit W-Lan aus?

Sorry, wenn das dumme Fragen sind, aber ich hatte in den 2 1/2 Jahren die ich meinen Laptop habe noch nie ein derartiges Problem.

Dank der super Anleitung hier für die Neulinge hab ich es zumindest geschaft mit Malwarebytes und OTL Files zu erstellen. Sind angehängt.

Ach ja: Ich hab seit Monaten keine Torrent-Programme mehr benutzt, auch wenn azureus noch auf meinem PC ist. Ich kriegs nicht ganz gelöscht :headbang: Zugegeben hab ich aber mal was von Rapidshare geladen.

Besteht die Chance, dass ich den ungebetenen Gast wieder los werde, oder muss ich alles formatieren?

Bin für jeden Ratschlag dankbar!

Die Miez :)

Hallo und :hallo:

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Okay. Nach fast 4 Stunden ist er nun fertig:

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Okay, hab ich gemacht. Laptop musste neu gestartet werden.

Logfile:

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Okay, CCleaner meldet mir Folgendes:

Kann ich trotzdem mit ComboFix weitermachen? Hab nach der Meldung gedacht, ich frag lieber noch mal nach.

Grüße

Miez :3

Kannste ignorieren, einfach mit CF weitermachen.

Alles klar :)


Combofix Logfile:
--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

Anschließend den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

GMER wollte nicht und ist abgestürzt.

OSAM Logfile:
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru[/QUOTE]

Und die bootkit remover File:

Schau mal hier => Vista Notfall/Recovery-CD 32-Bit - Dr. Windows

Lad das iso runter, brenn es per Imagebrennfunktion auf eine CD und starte damit den Rechner (von dieser CD booten). Klick auf Computerreparaturoptionen, weiter, Eingabeaufforderung - die Konsole öffnet sich. Da bitte bootrec.exe /fixboot eintippen (mit enter bestätigen), dann bootrec.exe /fixmbr eintippen (mit enter bestätigen) - Rechner neustarten, CD vorher rausnehmen.

Hallo :)

Hab mich lang nicht mehr gemeldet - Alltagsstress usw. hat verhindet, dass ich das PC-Problem vorher weiter angehen konnte.

Ich hab das mit der CD versucht, allerdings kam folgendes dabei raus:

Bootrec.exe /FixMbr meldet Vorgang erfolgreich beendet.
Bootrec.exe /FixBoot endet mit Element nicht gefunden.

FixBoot geht einfach nicht :( Woran liegt das denn?

Hab inzwischen von einem Freund auch eine original Vista DVD mit der ich zur Not alles formatieren und neu Installieren könnte. Lizenz-Code klebt ja auf meinem Laptop, also wäre das noch eine Option... Allerdings sieht mein PC aus wie meine Handtasche - Vollgestopft und ungeordnet (Frau halt ;-) ) Das wäre ne Mammutaufgabe mit dem Aussortieren und Sichern.

Was kann ich wegen dem nicht funktionierenden fixboot-Befehl tun?

Das ist ja schonmal was, wenn das erfolgreich ist.
Mach mal ein neues Log mit mbrcheck

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hi :)

Alles klar, hier das Ergebnis:

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Malwarebyte Log:


SuperAntiSpyware Log:

Bootkit Remover spuckt allerdings immer noch die Meldung aus: "Controlled by rootkit! - Boot code on some of your physical disks is hidden by a rootkit"

Wirklich? Poste mal ein aktuelles Log

Aktuelles Log:

Schau mal hier => Vista Notfall/Recovery-CD 32-Bit - Dr. Windows

Lad das iso runter, brenn es per Imagebrennfunktion auf eine CD und starte damit den Rechner (von dieser CD booten). Klick auf Computerreparaturoptionen, weiter, Eingabeaufforderung - die Konsole öffnet sich. Da bitte bootrec.exe /fixboot eintippen (mit enter bestätigen), dann bootrec.exe /fixmbr eintippen (mit enter bestätigen) - Rechner neustarten, CD vorher rausnehmen.

Habs nochmal versucht, aber wieder das gleiche Ergebnis mit der CD:

Der Fixboot Befehl lässt sich nicht ausführen :(

fixmbr ist schon ok.
Mach mal ein neues Log mit mbrcheck

Neues Log:

Sieht ok aus. Nochmal ne Gegenproble zur Sicherheit:

Bitte den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.

Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Bootkit Remover Log:

Scheint immer noch irgendwas nicht zu stimmen.

Muss auch mal sagen, das ich total dankbar für die Hilfe hier bin :) Alleine hätte ich sowas von gar keine Chance. (Dank dem Scan von SuperAntiSpyware gestern z.B. läuft mein Internet 3 mal so schnell wie vorher :) )

Hm, probier mal:

Zuerst mal bitte - falls noch nicht getan - die Datei remover.exe (vom BootkitRemover) vom Desktop nach c:\windows\system32 kopieren!

Geh dann auf Start, alle Programme und such dort die Eingabeaufforderung, diese per Rechtsklcik => als Administrator ausführen => die schwarze Textkonsole öffnet sich

Den Text im folgenden Codefeld fort eintippen und mit Enter/Return ausführen:

Das klappt leider auch nicht :/

Logfile:

Hm ne harte Nuss :D

Probier mal mit der Boot-CD diesen Befehl:

Gerade gemacht und es kam die Meldung:

Suche erfolgreich.
"Gesamtzahl der identifizierten Windows-Installationen: 0"

Ich versteh ja nicht so viel von dem was bei einem PC hinter den Kulissen vorgeht, aber sollte da nicht wenigstens "1" stehen? :dummguck:

Wundert mich auch, dass diese Notfall-CD kein installiertes Windows findet.
Was wurde an CDs/DVDs mitgeliefert zu diesen Rechner? Ne ganz normale Vista-DVD dabei? Hättest Du evtl. eine Möglichkeit, die eine normale Vista-Installations-DVD zu leihen? Geht nur darum, ob diese sich genauso verhält bei der Wiederherstellungskonsole.

Schau auch mal im BIOS nach, ob die Festplatte im AHCI-Modus läuft, notfalls im Handbuch schaun bzw. das komplette BIOS durchgehen. Eigentlich hat Vista damit keine Probleme mehr, aber falls doch und die PLatte läuft im AHCI-Modus, dann müsste man mal testweise auf IDE bzw. compatible oder non-RAID stellen (die Bezeichnungen sind leider nicht einheitlich) und dann nochmal von der DVD die Wiederherstellungskonsole laden.

Hi :)

Ich hab mir inzwischen überlegt, dass ich meinen Laptop doch gern komplett formatieren möchte. In den letzten Tagen tauchen nämlich andere seltsame Sachen bei mir auf. Gerade hat er meine Maus nicht erkannt, 2 Minuten später dann doch (Meldung: Hardware nicht erkannt).

Vorgestern konnte ich Firefox nicht mehr öffnen bzw. Firefox hat sich immer selbst geschlossen mit der Info, dass kernell.dll nicht mehr richtig funktioniert. 10 Minuten später gings wieder.

Das ganze System spinnt einfach zu sehr. Original Vista DVD hab ich von einem Freund hier.

Nur... Ich hab noch nie einen Laptop formatiert. Also die Treiber für meinen Laptop kann ich mir von der Acer-Homepage laden. Vista-DVD ist auch da - Brauche ich noch was?

Und eine wichtige Frage habe ich noch: Welche Daten kann ich ohne Risiko sichern? Klar, alles was ausführbar ist sollte ich nicht sichern (.exe usw.). Aber Bilder, MP3s und Textdokumente können nicht verseucht sein, oder?

Ich komm mir grad ein bisschen dumm vor. Jetzt hab ich so lang rumgenervt und dann will ich doch formatieren :wtf:

Nein das kann man problemlos sichern.
Alles weitere zum format c: findest Du im Artikel zur Neuinstallation von Windows.

Klar ist da unglücklich, das kann man aber nicht vorher wissen ;)
In den meisten meiner Fällen liefen die Rechner nach einer Bereinigung wieder einwandfrei.