Opfer vom Trojaner Gozi
 

Hallo erst einmal. Wie der Titel schon sagt, bin ich ebenfalls ein Opfer von diesem dreckigem Trojaner ... Mein Online-Banking wurde vor paar Tagen gesperrt und ich bekam die Nachricht, dass ich von Gozi befallen bin. Ich hab mich direkt daran gemacht zu versuchen ihn zu entfernen. AntiVir gestartet etc. und hatte nen bissel was gefunden. Allerdings scheint das nicht geholfen zu haben ... Ich hab mich dann hier im Forum schlau gemacht und gesehen, dass es eine heiden Arbeit zu sein scheint ihn loszuwerden. Vorab ... ich würde gerne eine Neuinstallation vermeiden. Ich hatte es schon in Erwähnung gezogen, allerdings erwies es mir als zu umständlich. Hab Windows Vista Home Premium und anscheinend auch noch OEM Version. Hab keine wirkliche Recovery oder Vista CD/DVD ... angeblich müsste ich mit rechtsklick Laufwerk formatieren ... aber ich kann ja nicht Windoof formatieren wenn ich kein Betriebssystem mehr draufpacken kann ... Ich will noch dazu bemerken, dass ich nicht gerade das Computer-Ass bin. Ich bin recht unbeholfen. Daher hoffe ich, dass es ohne Neu-Aufsetzen klappt. Ich habe dieses Antimaleware da laufen lassen und OTL.exe. Hab die Logs in den Anhang gepackt. Andere hab ich nicht (also ältere oder so). Ich hoffe wirklich, dass man mir helfen kann, da ich doch schon der Annahme bin, dass hier sehr kompetente und freundliche Menschen sind.

MfG Ayron

hi, ich will zwar nen blick aufs system werfen, danach solltest du schon neu aufsetzen, das ist das sicherste, ich helfe dir dann, den pc abzusichern.

• Starte bitte die OTL.exe.
• Kopiere nun das Folgende in die Textbox.

:OTL
O36 - AppCertDlls: fltMhost - (C:\Windows\system32\autoreg.dll) - C:\Windows\System32\autoreg.dll ()

:FILES
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument dieses posten


öffne mein computer, c:\_OTL rechtsklick auf moved files und zu moved files.rar oder zip hinzufügen.
archiv zu uns hochladen.
http://www.trojaner-board.de/54791-a...ner-board.html

Ok, hab ich gemacht. Muss ich wirklich neu aufsetzen ? Gut, ich mein ich hatte mich schon drauf eingestellt ... aber damals konnte ich wenigstens bequem mit Windows-CD formatieren und neumachen. Bei diesem Zusammengestellten habe ich nur 3 CD/DVD bekommen ... Grafiktreiber-CD, Utility-CD und ne Bonus sozusagen mit Nero, Acrobat, etc. Ich habe anscheinend diese OEM Vista Home Version. Zumindest steht das im Key mit drin. Ich will da keinen Mist bauen, bei ner Sache wo ich keine Ahnung von habe. Stimmt mich ja eh schon mies, dass ich sämtliches neuinstallen, downloaden/updaten und einstellen muss. Ich hab zwei Externe Festplatten. Ich hoffe die sind "Clean".


PS: Keine Ahnung, was du mich da gerade hast machen lassen, aber ... komischerweise funktioniert DAEMON Tools jetzt wieder. Hatte damit auch nen Problem gehabt ^^

hast du kein handbuch? dann sollte dort drinnen stehen ob du ein recovery laufwerk hast.
bzw was für ne windows cd hast du denn? die könnte man auch nutzen.
ich werd dir dann noch tipps geben, damit das möglichst nie mehr passiert :-)

Oh lol .... ich hab gerade meinen Bruder gefragt. Ich will mal so sagen. Wir haben beide nen zusammengestellten Rechner von ALTECO Computer. Die haben ja alles betriebsbereit für uns gemacht. Er HAT komischerweise diese ominöse OEM-Wiederherstellungs-DVD: Windows Vista Recovery Media for Windows Vista Products, Service Pack 1. Und es ist sogar 32-Bit wie auch mein Rechner. Dabie steht: Nur zum Vertrieb mit einem neuen ATELCO-PC. Kann ich die DVD von meinen Bruder auch benutzen ? Wenn ja, was wird mich erwarten und was muss ich machen, damit das alles nicht nen Flopp wird und ich nur sämtliche Daten verloren habe, mir aber der doofe Gozi noch winkt: "Hey Kumpel ! Bin noch drauf !" Bzw. ich brauch noch ne Serien-Nummer ? Wenn ich unter Computer-Eigenschaften gucke steht da ja unten meine (da drin ist auch OEM enthalten). Kann ich die dann benutzen ?

du kannst deine lizenz nutzen. hast du alle daten gesichert?

Achso, dann heißt das also ich kann diese Product-ID die mir angezeigt wird benutzen ohne dass mir gesagt wird die sei schon in Gebrauch ? Und ja, hab schon alles gesichert und auf Externe gepackt. Jetzt ist die Frage ist die Externe sicher ? Also ich weiß nur, bevor ich formatiere alles Externe rausstöpseln, bzw auch Netzwerkkabel (wegen Internet). Sämtliche Treiber aufspielen. AntiVirus Avira draufhauen und updaten bzw. Windoof. Jetzt hab ich noch gehört, es empfiehlt sich direkt das Adminkonto in Beschlag zu nehmen mit dem Ausführungsbefehl: net user Administrator /active

Da man dann weniger eingeschränkt ist ? Bzw. habe ich eine Frage zu der Benutzerkontensteuerung. Viele sagen mir ich soll den ausschalten. Ich gebe zu er nervt wirklich häufig und hindert einem bei manchen Sachen (PS: Ich bin ein totaler Gamefreak wenn man so will, bin immer mit meinen Kumpels was am zocken und mir ist häufig aufgefallen, dass mich das nur einschränkt kA ob das an der Kontensteuerung liegt). Was sagst du dazu ? Ausschalten oder anlassen und wenn an, wie bringe ich ihn dazu mich nicht beim Zocken zu unterbinden xD.

PS: Tut mir leid. Ich schreib und frage immer so viel. Ist bestimmt nervtötend ^^' ...

du sollst das admin konto nicht aktivieren, es hat schon seinen sinn, warum man so eingeschrenkt ist.
die uac bleibt aktiev, sonst können sich noch mehr trojaner einschläusen...
das uneingeschrenkte admin konto braucht man eig sowieso nicht...
nach dem formatieren machst du folgendes:
1. windows update seite besuchen, servicepack2 aufspielen + sonstige wichtigen updates + internet explorer 8
unter einstellungen prüfen ob windows updates automatisch aktiev ist, und die updates automatisch geladen werden.
dann natürlich, wie von dir gesagt, sofort treiber instalieren, dann weiter hiermit:
1. solltest du nur noch als eingeschrenkter nutzer arbeiten , das admin konto ist nur für instalationen gedacht.
klicke start, tippe unter suchen (ausführen) systemsteuerung. wähle dort Benutzerkonten hinzufügen/entfernen.
wähle "neues konto erstellen"
Wähle standard benutzer.

die konten sollten mit einem passwort geschützt werden.
dazu auf konto endern klicken und passwörter vergeben.

die uac sollte auf maximum stehen.
klicke auf start, ausführen (suchen) tippe
uac
enter
nachfrage bestätigen, regler auf höchste stufe.
so ist es schwiriger heimlich etwas auf dem pc zu instalieren.
Die folgenden konfigurationen als admin ausführen:
2.
dep für alle prozesse:
Datenausführungsverhinderung (DEP)
• "Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten einschalten:".
wenn es zu problemen kommen sollte, kann man die betroffenen prozesse aus der Überwachung entfernen.

3.
SEHOP aktivieren:
Aktivieren von SEHOP (Structured Exception Handling Overwrite Protection) in Windows-Betriebssystemen
klicke auf "Feature automatisch aktivieren"
und folge den anweisungen
dieser tipp, gilt auch für windows 7
4.
einer der sichersten browser ist opera.
Opera Webbrowser | Schneller & sicherer | Die neuen Internet-Browser kostenlos herunterladen
in den letzten jahren lag er was die sicherheit angeht weit vor den großen wie dem internet explorer und dem firefox.
außerdem ist er auch noch schneller im seitenaufbau etc.
mit diesem tool lässt sich ein werbeblocker laden
Opera AdBlock Configurator - Freeware - DE - Download.CHIP.eu
zusätzlich kannst du das auch manuell erledigen, falls mal etwas nicht geblockt wird:
Computerbase - Werbung blockieren
5.
http://www.trojaner-board.de/54192-a...tellungen.html
avira genauestens nach anleitung instalieren. unter konfiguration, guard, autostart, kannst du aber die haken raus nehmen.
6.
um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
Sandboxie Download
anleitung:
drop.io
(als pdf)
hier noch ein paar zusatzeinstellungen, nicht verunsichern lassen, wenn ihr das programm instaliert habt, werden sie klar.
den direkten datei zugriff bitte auf opera beschrenken,
bei
Internetzugriff:
opera.exe
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, andere dort auf direkten zugriff auf opera bookmarks erlauben. dann auf hinzufügen und ok.
somit kannst du deine lesezeichen auch in der sandbox dauerhaft abspeichern.

wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.
7. autorun deaktivieren:
über diesen weg werden sehr häufig schaddateien verbreitet, schalte die funktion also ab.
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
usb sticks, festplatten etc, sollte man mit panda vaccine impfen:
ANTIMALWARE: Panda USB Vaccine - Download FREE - PANDA SECURITY
so holt man sich keine infektionen ins haus, wenn man mal die festplatte etc verleit.
hake an:
hake an:
run panda usb vaccine automatically when computer boots
automatically vaccine any new insert usb key
enable ntfs file suport
8.
Updates sind für dein system genauso wichtig, wie ein antivirenscanner. Sehr häufig gelangen schädlinge nur aufs system, weil der user veraltete software nutzt.
instaliere die folgenden update checker.
Secunia:
http://www.trojaner-board.de/83959-s...ector-psi.html
und file hippo update checker:
FileHippo.com Update Checker - FileHippo.com
das file Hippo Symbol wird im infobereich neben der uhr auftauchen, mache bitte nen rechtsklick darauf, wähle settings, results, setze einen haken bei "hide beta updates" klicke ok.
dann doppelklicke file hippo, eine Internetseite wird geöffnet, auf der dier die aktuellsten updates gezeigt werden, diese downloaden und instalieren.

Beide programme sollten im autostart bleiben, und sobald eines der programme updates anzeigt sollten diese umgehend instaliert werden.
9.
regelmäßige Backups des systems sind sehr wichtig, du weist nie, ob deine festplatte mal kaputt geht.
Acronis True Image 2011 - Festplatten-Backup-Software, Datei-Backup und Disk Imaging, Wiederherstellung von Anwendungseinstellungen, Backup von Musik, Videos, Fotos und Outlook-Mails
außerdem kannst du, bei neuerlichem malware befall das system zurücksetzen.
Das Backup sollte möglichst auf eine externe festplatte etc emacht werden, nicht auf die selbe, wo sich die zu sichernden daten befinden.
Von sehr wichtigen Daten könnte man noch eine zusätzliche Sicherung auf dvds/cds erstellen, dazu könnte man auch wiederbeschreibbare verwenden (rws) falls die sammlung mal erneuert werden soll.
10.
passwörter endern.

bitte surfe ab sofort nur noch unter sandboxie, mit klick auf "sandboxed web browser"

wenn du mit opera nicht klar kommst, dann geb ich dir ne passende anleitung für firefox
bei der bank solltest du nachfragen ob onlinebanking mit chipcard möglich ist, bei den lesegeräten drauf achten, dass es mindestens ein klasse 2 lesegerät ist, besser wäre eines der klasse 3!
zu adobe reader:
Adobe - Adobe Reader herunterladen - Alle Versionen
bitte hake nicht an, mcafee securety scan +
öffne dann den reader, bearbeiten, voreinstellungen, javascript, dort den haken raus, internet, ebenfalls alle haken raus.
so werden keine pdfs mehr automatisch geladen und es kann dir kein schadcode mehr auf diese weise untergeschoben werden.
bitte noch unnötige plugins verschieben:
Adobe Reader schneller starten
behalte aber:
EScript.api
Escript.deu
Search.api
Search.DEU

allgemein:
- keine tuning programme wie tuneup, sie nützen überhaupt nichts.
- keine streaming seiten wie kino.to
die verteilen nämlich diese malware die du hast häufig.
- keine illegalen downloads!

Ach du heilige ******* ist das ne lange Liste oO .... Naja, ich könnte Opera ausprobieren, bin aber eher Firefox gewöhnt ^^ (Daher plz für Firefox erklären xD). Gut, mit dieser Wiederherstellungs-DVD kann ich formatieren und Partitionen einteilen oder übernimmt er die gleiche Einstellung ?

du kannst die gleichen einstellungen übernehmen.
ein antiviren programm kann nie genug sein, denn ein antiviren programm erkennt keine 100 % da ist der user gefragt.
schau dir mal opera an, ich finde er ist viel besser als firefox, dass meiste was man beim ff erst durch plugins aufrüsten muss, ist im opera schon drinnen.
man kann auch mal beides parallel laufen lassen und dann immernoch den ungewünschten weg hauen.
aber wenns unbedingt sein muss anleitung für firefox :-)
als adon noscript, es werden dadurch einige scripts (java) zb blockiert, du kannst diese dann frei geben, in dem du auf der seite, die freigegeben werden
soll, nen rechtsklick machst, noscript wählst, und temporär alle berectigungen aufheben wählst, somit werden sie für den besuch aufgehoben, oder alle beschrenkungen
aufheben, somit wird die seite freigegeben. das kann man natürlich wieder rückgängig machen.
http://filepony.de/download-noscript//
adblock+ um werbung zu blockieren:
http://filepony.de/download-adblock_firefox//
hier gibt es noch filterlisten:
Bekannte Filterlisten für Adblock Plus
hier würde ich 2 oder 3 deutsche filter auswählen.
unter sonstiges die malware blocklist.

sandboxie einstellungen:
den direkten datei zugriff bitte auf firefox.exe und plugin-container.exe
beschrenken, hier kannst du auch noscript und andere plugins eintragen.
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\prefs.js
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\bookmarks.html
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\sessionstore.js
OpenFilePath=firefox.exe,%AppData%\Mozilla\Firefox\Profiles\*.default\adblockplus\patterns.ini
bei
Internetzugriff:
firefox.exe und
plugin-container.exe
eintragen
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, firefox.
direkten zugriff auf lesezeichen erlauben auswählen und auf hinzufügen klicken, dann auf ok.

Ehm ... ich habe da noch ein anderes Problem ... Der verlangt nen Aktivierungs-Code beim Vista installen ... Ich habe keinen auf irgendeiner CD/DVD (-Hülle) oder sonst was. Könnte auch auf dem Gehäuse sein. Ist auch nix. Was mache ich jetzt q.q ?

der muss dann aber schon bei irgendwelchen unterlagen mit dabei sein. vllt meinst du den lizenz schlüssel?

Ja ... ich guck ja gerade ... Lizens-Schlüssel ? Ja denke das ist das. Ich soll ja mein Windoof aktivieren.

ist das ein fenster von dem frisch gestarteten windows oder bist du noch am instalieren. wenn du die online aktivierung meinst, dann musst du dich mit dem internet verbinden, gewünschte daten eingeben und absenden.
der lizenzschlüssel ist meist auf nem zettel der auf der hülle klebt wo die windows cd drinnen ist, bzw vllt auch auf dem laptop oder vllt hat dein bruder die nummer.

Also hab die CD reingepackt. PC gestartet und CD starten lassen. Windows-Installen. Da soll ich dann einen Key eingeben damit ich Windows uneingeschränkt nutzen kann. Windows wird das dann per Internet aktivieren. Mein Bruder ist gerade nicht da ... ich weiß auch net ob er irgendwo nen Key hat, aber ... ich muss doch auch nen eigenen haben bzw kann ich doch net den von meinem Bruder nehmen ?! Wie haben die Kerle denn sonst Vista bei mir installt ? Unter Computereigenschaften steht, dass Windows aktiviert ist und die Product-ID ist angegeben. Kann ich mit der nix anfangen ?! Daneben steht auch Key ändern. Wenn ich das anklicke müsste ich auch nen Key eingeben. Ich hab aber keinen ... was soll der Mist :/ ...

vllt habt ihr ne mehrplatz lizenz für windows... deswegen mal abwarten, wenn ihr das beide zusammen gekauft habt, kann er dir helfen vllt.
wieso kannst du überhaupt die eigenschaften aufrufen, du musst die cd einlegen und den pc von der cd aus starten und dann anfangen mit formatieren.

Nein. PC Eigenschaften hatte ich so noch geguckt bevor ich rebootet hatte. Ja, ich starte PC ja von CD aus. Der will aber nen dämlichen Aktivierungs-Key welchen ich nicht habe. Soll ich da bei Microsoft anrufen und mir einen anfordern ?! "Hey Jungs hab nen Rechner bei Atelco gekauft, das ist mein OEM-Product-Key ?!" Bzw. mein Bruder und ich haben uns die Rechner zu unterschiedlichen Zeiten geholt. Ist mir immer noch nen Rätsel wieso in meinem von Atelco gestellten Zubehör nix drin ist was ich brauche -.- .... Oh man ... das ist doch doof q.q

du hast nen oem produkt key? versuch den mal

habs versucht. der ist wohl net lang genug ._. ... ich verzweifel langsam ... und ich fang wohl an deine nerven zu strapazieren ... sorry ._. ... Ich frage mich, gab es da nicht etwas wo meine IP gecheckt wird oder ich den OEM Produkt Key eingeben kann um zu verifizieren, dass ich ICH bin. Das ich ne gültige Version habe ? Ich finde einfach keinen Key ...

starte den pc mal ohne cd
KeyFinder Pro - Download - COMPUTER BILD
der keyfinder sollte die lizenz raus finden.

also erst einmal danke markusg. das mit dem keyfinder hat gefunzt ^^. Allerdings hab ich jetzt schon das nächste problem ... und ich hoffe es wird nicht zu kompliziert werden es zu lösen. Ich konnte Festplatte C erfolgreich formatieren und Windows aufspielen ... allerdings als ich versucht habe Festplatte D zu formatieren, hat er direkt kurz vor beendigung abgebrochen. Irgendein Fehler scheint aufgetreten zu sein und D wollte sich nicht formatieren lassen. Als ich dann in Windows nochmal versucht habe D zu formatieren (Rechtsklick auf Formatieren) hat er auch wieder gesagt von wegen D könne nicht formatiert werden mit dem Hinweis irgendwie ich solle sicherstellen, dass das Gerät richtig angeschlossen sei oder so und dass nichts schreibgeschützt ist. Das dumme ist jetzt aber, ich kann auch nicht auf D zugreifen. Wenn ichs versuche, werde ich gebeten D vorher erst zu formatieren. Aber wie, wenn er mich nicht lässt ?! Was soll ich tun ?

wer hat denn davon gesprochen d: zu formatieren? c: ist doch dein laufwerk wo windows drauf sollte oder? was ist d: denn?

Ja mein Rechner war schon in vornhinein in 2 Partitionen unterteilt gewesen. C für Windows und D für Programme etc. Da hätte sich doch auch was festsetzen können oder etwa nicht ? Was mach ich denn jetzt ? Bin ich im Arsch gekniffen ?!

konntest du bei der windows instalation auswählen, welche partitionen formatiert werden sollten? weis net genau wie das bei deiner recovery cd ablief, deswegen frage ich.

ja konnte ich. wollte halt beide formatieren und hab C für die Windows installation ausgewählt

ja dann leg die cd halt noch mal ein und formatiere d: ohne hinterher windows dort zu instalieren natürlich.

ich probier es nochmal ... allerdings ich habe Windows auf C installt. Ich hatte erst C formatiert und dann D ... und DANN hab ich erst Windows auf C installt aber formatieren von D ging vorher schon net

also es ging auch über die cd nicht?
kannst du mal nen rechtsklick auf laufwerk d: machen, eigenschaften, extras, datenträger überprüfung bzw fehlersuche. alle haken setzen und scannen. mal schauen obs fehler gibt

Also erst einmal, wenn ich von der CD aus boote und versuche D zu formatieren kommt: "Die ausgewählte Partition konnte nicht formatiert werden. [Fehler: 0x80070057]"

Partitionen C und D sind primär. C um die 80 Gb und D um die 385 GB. Unten im Reiter habe ich auf jeden Fall auch die Optionen: Löschen, Formatieren, Neu.

Aber was passiert denn beim Löschen ?! Neu, da kann ich dann wohl Partitionen einteilen.

Achso hab versucht auf Fehler zu untersuchen (Rechtklick D ---> Eigenschaften ---> Tools ---> Jetzt prüfen.

Geht net .... Hab Bilder beigefügt.

ja dann formatiere mal neu, lösche beide partitionen und lege sie neu an das sollte dann funktionieren.

oha es scheint zu funktionieren !!! mach es gerade. falls du dich wudern solltest wieso ich noch da bin. schreib die ganze zeit ja vom rechner meines bruders. hab aber noch ne frage (jaja ich habe unmengen an fragen ^^' ...) Ich werde ja 2 Konten haben. Normalo Standard und ein Admin. Kann ich Updates, Installationen von Programmen nur vom Admin Konto aus machen ? oder auch vom Standard ? Würde ja heißen, dass ich immer wechseln müsste wenn ich was updaten muss und installen ? Aber sonst kann ich alles vom Standard User ausmachen ? (Im Netz surfen, zocken (bzw. aucb ONLINE), programme nutzen etc.)

die meisten instalationen laufen vom standard konto. du kannst von diesem aus alles machen ja :-)
bitte beachte aber auch die andern tipps, sie schrenken dich nicht sonderlich ein, ich habe das schon extra so ausgewählt :-)

achso heißt also es reicht wenn ich die Treiber als Admin installe und kann direkt dann zu standard konto wechseln :P ? Naja, ja die tipps habe ich nicht vergesse. geht das in ordnung wenn ich erstma Avira AntiVir installe dann Windows auf höchsten Stand update und mir das forum hier als erstes aufrufe, damit ich deine tipp liste abarbeiten kann ? Oder birgt das schon die Gefahr der erneuerten Infektion ?

nein du kannst auch zu erst avira instalieren. die ganzen instalationen machst du einfach als admin und dann wächselst du danach das benutzerkonto.

soll ich deine tipp liste auch als Admin abklappern oder als Standard ^^ ?

als admin..

hm ... Avira rät mir den Windows Defender zu deaktivieren, weil es zu Kompatibilitätsproblemen kommen kann ? Soll ich das wirklich machen oO ?

ja mach das.

also ... es scheint jetzt alles wieder zu funktionieren. muss erstma sehen ob noch was schädliches drauf ist, online-banking wieder freischalten lassen ... naja dann noch beten ^^ .... naja auf jeden fall sage ich schon mal danke markusg. Ich hoffe ich bin dir nicht zu sehr auf den **** gegangen ^^' ...

also was schädliches ist nach format c nicht mehr drauf, du hast ja sogar die partitionen neu angelegt usw.
wenn du die tipps umgesetzt hast dann sollte jetzt alles klar gehen :-)