Probleme nach Benutzung von Malwarebytes, Antivir-Fund: TR/Kazy.mekml.1
 

Hallo,

kurz vorweg: ich schreibe diesen Beitrag vom Laptop aus, befallen ist mein Desktop PC.

Ich war gerade am Surfen und auf einer Lyricspage und habe mir scheinbar etwas eingefangen, jedenfalls meldete Antivir einen Trojaner, welchen ich in Quarantäne verschieben ließ. Danach habe ich Malwarebytes drüberlaufen lassen, 3 Funde wurden angezeigt. Die habe ich entfernen lassen und dann den PC neugestartet, wie empfohlen.

Dann begannen die Probleme:
- Es wird weiterhin der Trojaner von Antivir angezeigt (bitte Fotos im Anhang ansehen)
- die Recovery Konsole startet kann aber angebliche Festplattenprobleme nicht fixen
- Ich kann auf dem betroffenen PC eigentlich nichts mehr tun, deshalb habe ich Fotos vom Desktop gemacht, auch hier wieder bitte im Anhang nachsehen.

Beim Booten kann ich zwischen Windows XP und der Recovery Konsole wählen, kenne mich damit aber überhaupt nicht aus. Habe auf dem befallenen PC keinen Zugriff auf die Programme.

Funde von Antivir:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\18210612.exe
ist das Trojanische Pferd TR/Kazy.mekml.1

Im Voraus vielen Dank für die Hilfe!

Hallo und Herzlich Willkommen! :)

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:
Für Vista und Win7:
Wichtig: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen

► Kannst Du im abgesicherten Modus starten und dort Befehle ausführen?
Ich mach dir einen Vorschlag:
Wenn du glaubst zu kennen die Zeitpunkt wo dein System noch einwandfrei funktioniert hat, die Systemwiederherstellung ist einen Versuch Wert!:

- Gibt es einen "relativ einfachen Weg",wenn eine frische Infektion vorliegt, oder mal bestimmte Probleme bekommt man auch gelöst, was man sogleich ausprobieren sollte. Dies bietet Dir die Möglichkeit, Systemänderungen am Computer ohne Auswirkung auf persönliche Dateien, wie z. B. E-Mails, Dokumente oder Fotos, rückgängig zu machen.
Die Systemwiederherstellung ist nur ein "Notlösung", das Problem wird damit nie 100%ig beseitigt, da dem Zeitpunkt des Eindringen des Trojaners nicht mehr feststellen kann. Aber man kann damit die Funktionsfähigkeit eines Computersystems erhöhen.
(Kannst noch immer bis zum heutigen Zeitpunkt rückgängig machen, falls liefert nicht das gewünschte Ergebnis)

► berichte mir auch, ob die SWH funktioniert hat, bzw ob Du das System auf einen früheren Wiederherstellungspunkt zurückstellen können?

gruß
Coverflow

Hallo Coverflow,

schonmal danke für die schnelle Antwort und die Hilfe.

Ich nutze Windows XP.

Also, im abgesicherten Modus hab ich, wie in der Anleitung beschreiben, unter "Hilfe und Support" auf "Computeränderungen mit der Systemwiederherstellung rückgängig machen" geklickt und die Nachricht "Die Systemwiederherstellung kann den Computer nicht sichern. Starten Sie den Computer neu und führen Sie die Systemwiederherstellung erneut aus." bekommen.

Scheint mich nicht wirklich weiter zu bringen, oder?
Schade...

1.
** Update Malwarebytes Anti-Malware, lass es nochmal anhand der folgenden Anleitung laufen:

• per Doppelklick starten.
• gleich mal die Datenbanken zu aktualisieren - online updaten
• Vollständiger Suchlauf wählen (überall Haken setzen)
• wenn der Scanvorgang beendet ist, klicke auf "Zeige Resultate"
• alle Funde bis auf - falls MBAM meldet in C:\System Volume Information - den Haken bitte entfernen - markieren und auf "Löschen" - "Ausgewähltes entfernen") klicken.
• Poste das Ergebnis hier in den Thread - den Bericht findest Du unter "Scan-Berichte"

eine bebilderte Anleitung findest Du hier: Anleitung

2.
läuft unter XP, Vista mit (32Bit) und Windows 7 (32Bit)
Achtung!:
WENN GMER NICHT AUSGEFÜHRT WERDEN KANN ODER PROBMLEME VERURSACHT, fahre mit dem nächsten Punkt fort!- Es ist NICHT sinnvoll einen zweiten Versuch zu starten!
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :

• - also lade Dir Gmer herunter und entpacke es auf deinen Desktop
  - starte gmer.exe
  - [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
  - bitte nichts am Pc machen während der Scan läuft!
  - klicke auf "Scan", um das Tool zu starten
  - wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
  - mit "Ok" wird Gmer beendet.
  - das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!
Anleitung:-> GMER - Rootkit Scanner

3.
Kontrolle mit MBR -t, ob Master Boot Record in Ordnung ist (MBR-Rootkit)

Mit dem folgenden Tool prüfen wir, ob sich etwas Schädliches im Master Boot Record eingenistet hat.

• Downloade die MBR.exe von Gmer und
  kopiere die Datei mbr.exe in den Ordner C:\Windows\system32.
  Falls Du den Ordner nicht sehen kannst, diese Einstellungen in den Ordneroptionen vornehmen.
  
• Start => ausführen => cmd (da reinschreiben) => OK
  es öffnet sich eine Eingabeaufforderung.
  
  Vista- und Windows 7-User: Start => Alle Programme => Zubehör => Rechtsklick auf Eingabeaufforderung und wähle Als Administrator ausführen.
  
• Nach dem Prompt (>_) folgenden
  
  aus der Codebox manuell eingeben oder alternativ den mit STRG + C ins Clipboard kopieren und einfügen.
  Einfügen in der Eingabeaufforderung: in der Titelleiste einen Rechtsklick machen => Bearbeiten => einfügen.
  
  
  Code:

  ---

  mbr.exe -t > C:\mbr.log & C:\mbr.log

  ---

  (Enter drücken)
  
• Nach kurzer Zeit wird sich Dein Editor öffnen und die Datei C:\mbr.log beinhalten.
  Bitte kopiere den Inhalt hier in Deinen Thread.

4.
lade Dir HijackThis 2.0.4 von *von hier* herunter
HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen"

5.
Bitte Versteckte - und Systemdateien sichtbar machen den Link hier anklicken:
System-Dateien und -Ordner unter XP und Vista sichtbar machen
Am Ende unserer Arbeit, kannst wieder rückgängig machen!

6.
→ Lade Dir HJTscanlist.zip herunter
→ entpacke die Datei auf deinem Desktop
→ Bei WindowsXP Home musst vor dem Scan zusätzlich tasklist.zip installieren
→ per Doppelklick starten
→ Wähle dein Betriebsystem aus - bei Win7 wähle Vista
→ Wenn Du gefragt wirst, die Option "Einstellung" (1) - scanlist" wählen
→ Nach kurzer Zeit sollte sich Dein Editor öffnen und die Datei hjtscanlist.txt präsentieren
→ Bitte kopiere den Inhalt hier in Deinen Thread.
** Falls es klappt auf einmal nicht, kannst den Text in mehrere Teile teilen und so posten

7.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool Ccleaner herunter
→ Download
installieren (Software-Lizenzvereinbarung lesen, falls angeboten wird "Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ falls nötig - unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

zu 1.:

Ich wollte übrigens nochmal aktualisieren, was sich nicht durchführen ließ.


zu 2.

Der Scan wurde abgebrochen...

zu 3.

zu 4.

HiJackthis Logfile:
--- --- ---


so, erstma abschicken, bin froh, dass ich überhaupt so weit gekommen bin. :-)


zu 5.

erledigt

zu 6.

zu 7.:

Anwendungen, die im Hintergrund laufen während der Reinigung, können die Leistung deines Computers und auch unsere Arbeit negativ beeinflussen, deswegen bitte die hier aufgelisteten Programme zuerst mal abschalten/deaktivieren:

1.
Stelle bitte den TeaTimer ab:
C:\Programme\Spybot
Modus--> Erweiterte Modus--> Ja-->Werkzeuge--> Resident--> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) > exit.
(Tea Timer versucht positive änderungen auch zu blockieren) - soll für immer deaktiviert bleiben!

2.
Bei der Durchsicht der Logfiles habe ich gesehen, dass Du XPAntispy installiert hast. Das erhöht einerseits die Sicherheit, kann uns aber andererseits bei der Bereinigung hinderlich sein. Alle mit XPAntispy gemachten Änderungen müssen rückgängig gemacht werden, indem Du unter "Profile" das Systemprofil auf Systemstandard einstellst. Nach Beendigung der Bereinigung kannst Du in XPAntispy wieder Dein gewohntes Profil einstellen.

- Wenn Du erledigt hast, so geht`s weiter:

3.
- Kopiere den Text aus der Code-Box in ein Notepad-Dokument und speichere ihn als remove.txt auf deiner Festplatte C:\
→ Lade den Avenger herunter und entzippe ihn auf den Desktop. (direkt als `EXE` *hier* erhältlich )
→ Empfehle ich Dir die Antivirus-Software zu deaktivieren - nach dem Lauf nicht vergessen wieder einzuschalten
→ die avenger.exe per Doppelklick starten
→ füge den Inhalt aus der Codebox vollständig und unverändert in das leere Textfeld bei "Input script here" ein
→ dann klicke auf "Execute"
→ wirst Du gefragt, ob Du das Script ausführen willst. Beantworte die Frage "Ja".
→ auf die Fragae ob dein Rechner jetzt neu starten soll "Rebot now" bejahe bitte auch
→ nach Neustart wird ein Dos Fenster aufgehen.
→ wenn wieder geschlossen ist, es öffnet sich der Editor mit die Scanergebnisse : C:\avenger.txt
→ kopiere und füge den Inhalt direkt aus der Textdatei hier rein

4.
Falls noch existiert:
Schliesse alle Programme einschliesslich Internet Explorer und fixe mit Hijackthis die Einträge aus der nachfolgenden Codebox (HijackThis starten→ "Do a system scan only"→ Einträge auswählen→ Häckhen setzen→ "Fix checked" klicken→ PC neu aufstarten):
HijackThis erstellt ein Backup, Falls bei "Fixen" etwas schief geht, kann man unter "View the list of backups"- die Objekte wiederherstellen
5.
Deinstalliere unter `Start→ Systemsteuereung→ Ändern/Entfernen...`
Bestandteile der Standardinstallation vieler Freeware-Programme und teilweise sogar von kostenpflichtigen Programmen. Daher:
Immer die benutzerdefinierte Installation wählen, nicht die Standardinstallation, weil dann oft Sachen mitinstalliert werden, die man nicht braucht oder nicht möchte.
Bei Installation die Lizenzbestimmungen immer lesen, und nicht sofort überall den Haken setzen, weil damit stimmt man nämlich zu, dass Adware (Werbe-Pop-ups) durch Partnerprogrammen, Sponsoren etc - mitinstalliert wird, weil sich Freeware damit finanziert.
in diese Kategorie gehören noch einige, wie z.B: -> Unerwünschte Toolbars deinstallieren

6.
alle Anwendungen schließen → Ordner für temporäre Dateien bitte leeren
**Der Temp Ordner,ist für temporäre Dateien,also der Inhalt kann man ohne weiteres löschen.- Dateien, die noch in Benutzung sind, nicht löschbar.
**Lösche nur den Inhalt der Ordner, nicht die Ordner selbst!

• `Start → ausführen` "cleanmgr" reinschreiben (ohne "") → "ok" - die Temporary Files, Temporary Internet Files, und der Papierkorb (Recycle Bin) müssen geleert werden→ "Ok"
• `Start → ausführen` → %temp% reinschreiben (ohne "")→ "Ok" - - Ordnerinhalt überall markieren und löschen
• für jedes Benutzerkonto bitte durchführen
• anschließend den Papierkorb leeren

7.
reinige dein System mit Ccleaner:

• "Cleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
• "Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
• Starte dein System neu auf

8.
poste erneut - nach der vorgenommenen Reinigungsaktion:
TrendMicro™ HijackThis™ -Logfile - Keine offenen Fenster, solang bis HijackThis läuft!!
hjtscanlist v2.0 - Dateiliste

Hallo,

so bis Schritt 3 bin ich gekommen und poste schonmal die avenger.txt:



Punkt 4 - 8 abgearbeitet und noch die eine Toolbar entfernt DVDVideoSoft, die hat mich eh genervt (hoffe das war okay, die mit hijackthis zu fixen)

hier das logfile zu Punkt 8:

HiJackthis Logfile:
--- --- ---



Habe noch folgende sichtbare Probleme (wollt ich nur mal angemerkt haben, kann ja sein, dass die im nächsten Schritt behoben werden):

1. das Catalyst Control Center wird normalerweise automatisch gestartet, bekomme aber zwei Fehlermeldungen, dass das Programm geschlossen werden muss, die ich mit OK bestätigen kann

2. die Icons auf meinem Desktop (bis auf Arbeistplatz, Papierkorb, Eigene Dateien, Internet Explorer, Netzwerkumgebung und Avenger) sind versteckt

3. habe keine Shortcuts in der Schnellstartleiste

4. wenn ich auf Start > Programme gehe wird mir kein einziges Programm angezeigt, dort steht nur "leer"

So, glaube das war es zunächst. Warte auf Antwort von Dir.

Und schonmal ein DANKE zwischendurch.
:-)

1.

• Lade Dir Unhide.exe (http://filepony.de/download-unhide/) (by Grinler) herunter und speichere auf deinem Desktop
  für Windows 7 und Vista mit Rechtsklick als Administrator ausführen
• Doppelklick auf das Unhide.exe Icon auf dem Desktop - Alles braucht seine Zeit, also ein bisschen Geduld

<Achtung!>: Wenn Dateien etc, die absichtlich von Dir verborgen waren, also unter eigenschaften versteckt eingestellt hast, musst Du wieder auszublenden, nachdem das Tool ausgeführt wird.

2.
Deine Javaversion ist nicht aktuell!
Da aufgrund alter Sicherheitslücken ist Java sehr anfällig, deinstalliere zunächst alle vorhandenen Java-Versionen:
→ Systemsteuerung → Software → deinstallieren...
→ Rechner neu aufstarten
→ Downloade nun die Offline-Version von Java Version 6 Update 24 von Oracle herunter
Achte darauf, eventuell angebotene Toolbars abwählen (den Haken bei der Toolbar entfernen)!

3.
► System mit Windows-eigenen Mitteln bereinigen

noch einfacher vorgehen, diese Prozedur zu ersparen:
Zusätzliche Ordner bereinigen lassen CCleaner : Anleitung - Temporäre Dateien und zusätzliche Ordner unter XP bereinigen lassen

Öffne CCleaner-->"Einstellungen-->Benutzerdefiniert..." und füge noch die hier aufgelisteten Ordner hinzu:

• C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temp\*.* (falls vorhanden)
• C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temp\*.*
• C:\Dokumente und Einstellungen\DeinBenutzername\Lokale Einstellungen\Temp\*.*
• C:\Windows\Temp\*.*

Solltest Du die Ordner nicht finden, überprüfe, ob folgende Einstellungen richtig gesetzt sind.
Anstelle von "DeinBenutzername" nimmst Du den Usernamen, mit welchem Du Dich auf Deinem Rechner einloggst.

4.
Öffne CCleaner - Anleitung CCleaner

• "Cleaner"->"Analysieren"->Klick auf den Button "Start CCleaner"
• "Registry""Fehler suchen"-> "Fehler beheben"->"Alle beheben"
• Starte dein System neu auf

5.

• lade Dir SUPERAntiSpyware FREE Edition herunter.
• installiere das Programm und update online.
• starte SUPERAntiSpyware und klicke auf "Ihren Computer durchsuchen"
• setze ein Häkchen bei "Kompletter Scan" und klicke auf "Weiter"
• anschließend alle gefundenen Schadprogramme werden aufgelistet, bei alle Funde Häkchen setzen und mit "OK" bestätigen
• auf "Weiter" klicken dann "OK" und auf "Fertig stellen"
• um die Ergebnisse anzuzeigen: auf "Präferenzen" dann auf den "Statistiken und Protokolle" klicken
• drücke auf "Protokoll anzeigen" - anschließend diesen Bericht bitte speichern und hier posten

► Wie ist den aktuellen Zustand des Rechners? Auffälligkeiten, Probleme? Berichte kurz aber genau

Also, die Punkte 1-4 hab ich abgearbeitet und hat soweit auch alles geklappt.

Zu Punkt 5.:
Habe den Scan durchgeführt, bei allen Funden Häckchen gesetzt und das Programm hat die Funde entfernt. Danach hat es einen Neustart verlangt, weshalb ich kein Protokoll anzeigen lassen konnte.

Während SuperAntiSpyware gesannt hat, hat Antivir auch wieder diese Meldung mit dem TR/Kazy.mekml.1 angezeigt (siehe 3. Foto im ersten Beitrag).

Ansonsten ist wieder alles okay, der Catalyst Control Center wird geladen, die Icons sind wieder da, die Verknüpfungen in der Shortcut Leiste. Nur eben, dass Antivir wieder diese Meldung mit dem TR/Kazy.mekml.1 gebracht verunsichert mich.

Was soll ich nun tun? Nochmal mit SuperAntiSpyware scannen?

- SUPERAntiSpyware bis zu Ende gescannt? oder hast Du abgebrochen? Protokoll wurde erstellt?

- ansonsten während des Scan-Vorganges deaktiviere dein Antivir

- Mache bitte ein Rechtsklick auf den AntiVir-Schirm in der Taskleiste → AntiVir starten → Übersicht → Ereignisse
jeden Fund markieren → Rechtsklick auf Funde → Ereignis(se) exportieren
und als Ereignisse.txt auf dem Desktop speichern und den Inhalt hier posten.

Habe nicht abgebrochen, kann keine Protokolldatei finden. Das Programm forderte nach dem Entfernen einen Neustart des PC.

Ich scanne nun nochmal und deaktiviere Antivir.

Hier schonmal die Ereignisse.txt:

Sorry, hab nicht gesehen, dass es bereits eine 2. Seite gibt, deshalb der Doppelpost.

dreifach gepostet, sorry...

Starte SuperantiSpyware--> Preferences--> Statistics/Logs--> Scanner Log

Okay, hab nochmal gescannt. erster scan war mit aktivem Antivir, zweiter Scan mit deaktiviertem Antivir. Habe beide Logdateien gefunden:

und der zweite Scan: