Trojaner-Board - TR/Kazy.mekml.1

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Kazy.mekml.1 (https://www.trojaner-board.de/97918-tr-kazy-mekml-1-a.html)

Yallach

22.04.2011 14:31

TR/Kazy.mekml.1

Guten Tag,

wie ich in anderen Beiträgen schon gelesen habe, gibt es derzeit viele Probleme mit dem Trojaner.
Leider hat es auch mich mit dem Teil erwischt. Dieses Problem habe ich seid heute morgen, nachdem ich ein bisschen im Internet gesurft habe. Mein Antivir (kostenlose Version) zeigt mir immer an, das diese Datei "TR/Kazy.mekml.1" gefunden wurde. Aber selbst nach mehreren Versuchen den Trojaner in die Quarantäne zu verschieben hört dies nicht auf.
Nebenbei kommen immer seltsame Fehlermeldungen dazu, das mein Festplattencluster fehlerhaft sei und dadurch meine privaten Daten in gefahr seien.
Nachdem habe ich bemerkt, das meine gesamten Daten verschwunden sind.

Mein Betriebssystem ist Windows 7 32 Bit.

Name: TR/Kazy.mekml.1
Entdeckt am: 13/04/2011
Art: Trojan
In freier Wildbahn: Nein
Gemeldete Infektionen: Niedrig
Verbreitungspotenzial: Niedrig
Schadenspotenzial: Niedrig
Statische Datei: Ja
Dateigröße: 475.136 Bytes
MD5 Prüfsumme: 01fb5950dabe777ef528d16295fba021
VDF Version: 7.11.06.99 - Mittwoch, 13. April 2011
IVDF Version: 7.11.06.99 - Mittwoch, 13. April 2011

Allgemein Verbreitungsmethode:
• Keine eigene Verbreitungsroutine

Aliases:
• Kaspersky: Trojan.Win32.Pakes.oya
• Sophos: Mal/FakeAV-IK
• Bitdefender: Gen:Variant.Kazy.18407
• Grisoft: Generic22.YJ
• Eset: Win32/Kryptik.MLF
• DrWeb: Trojan.Fakealert.20587

Betriebsysteme:
• Windows 95
• Windows 98
• Windows 98 SE
• Windows NT
• Windows ME
• Windows 2000
• Windows XP
• Windows 2003
• Windows Vista
• Windows Server 2008
• Windows 7

Auswirkungen:
• Erstellt Dateien
• Informiert den Anwender über angebliche Infektionen oder Probleme des Betriebssystems und bietet Lösung durch Kauf der Anwendung an.
• Änderung an der Registry
• Öffnet Webseite im Webbrowser

Bitte um Hilfe.

Mfg :-)

markusg

22.04.2011 14:40

Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten

Yallach

22.04.2011 14:57

Hier sind die zwei Txt. Dateien

Vielen Dank im Vorraus

markusg

22.04.2011 15:10

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

:OTL
[2011.04.22 15:24:19 | 000,000,000 | ---D | C] -- C:\Users\Tschagga\AppData\Roaming\Qyxew
[2011.04.22 14:25:19 | 000,000,400 | -H-- | M] () -- C:\ProgramData\33283848
[2011.04.22 14:23:27 | 000,000,160 | -H-- | M] () -- C:\ProgramData\~33283848
[2011.04.22 14:23:27 | 000,000,128 | -H-- | M] () -- C:\ProgramData\~33283848r

:Files
C:\Users\Tschagga\AppData\Roaming\Anaro
C:\ProgramData\GoWNKtoBbTfMqRQ.exe
C:\Users\Tschagga\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Recovery
:Commands
[purity]
[EMPTYFLASH]
[emptytemp]
[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.

lade unhide:
http://filepony.de/download-unhide/
doppelklicken, dateien werden sichtbar
öffne computer, öffne C: dann _OTL
dort rechtsklick auf moved files
wähle zu moved files.rar oder zip hinzufügen.
das archiv nach anleitung hochladen:
http://www.trojaner-board.de/54791-a...ner-board.html

Yallach

22.04.2011 15:28

Super :)
Vielen Dank.

Alles ist wieder sichtbar & vorallem brauchbar.

Anhängend die txt. Datei.

PHP-Code:

   All processes killed

========== OTL ==========

C:\Users\Tschagga\AppData\Roaming\Qyxew folder moved successfully.

C:\ProgramData\33283848 moved successfully.

C:\ProgramData\~33283848 moved successfully.

C:\ProgramData\~33283848r moved successfully.

========== FILES ==========

C:\Users\Tschagga\AppData\Roaming\Anaro folder moved successfully.

C:\ProgramData\GoWNKtoBbTfMqRQ.exe moved successfully.

C:\Users\Tschagga\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Windows Recovery folder moved successfully.

========== COMMANDS ==========

 

[EMPTYFLASH]

 

User: All Users

 

User: Default

->Flash cache emptied: 56504 bytes

 

User: Default User

->Flash cache emptied: 0 bytes

 

User: Public

 

User: Tschagga

->Flash cache emptied: 187220 bytes

 

Total Flash Files Cleaned = 0,00 mb

 

 

[EMPTYTEMP]

 

User: All Users

 

User: Default

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: Public

 

User: Tschagga

->Temp folder emptied: 2411993 bytes

->Temporary Internet Files folder emptied: 14325988 bytes

->Java cache emptied: 11867543 bytes

->FireFox cache emptied: 63341069 bytes

->Flash cache emptied: 0 bytes

 

%systemdrive% .tmp files removed: 4 bytes

%systemroot% .tmp files removed: 155648 bytes

%systemroot%\System32 .tmp files removed: 4704 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 1057124 bytes

RecycleBin emptied: 0 bytes

 

Total Files Cleaned = 89,00 mb

 

 

OTL by OldTimer - Version 3.2.22.3 log created on 04222011_161713

 
Files\Folders moved on Reboot...

 
Registry entries deleted on Reboot...

:dankeschoen:

mfg

markusg

22.04.2011 15:31

ok.
is angekommen
edit. machst du onlinebanking /einkäufe?

Yallach

22.04.2011 16:16

Erstmal die logdatei des Maleware

PHP-Code:

   Malwarebytes' Anti-Malware 1.50.1.1100

www.malwarebytes.org

 
Datenbank Version: 6419

 
Windows 6.1.7600

Internet Explorer 8.0.7600.16385

 
22.04.2011 17:11:54

mbam-log-2011-04-22 (17-11-54).txt

 
Art des Suchlaufs: Vollständiger Suchlauf (C:\|)

Durchsuchte Objekte: 220204

Laufzeit: 33 Minute(n), 34 Sekunde(n)

 
Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 1

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 1

Infizierte Dateien: 4

 
Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)

 
Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)

 
Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)

 
Infizierte Registrierungswerte:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{230BB3FC-458E-221E-F711-35D205688B5A} (Trojan.ZbotR.Gen) -> Value: {230BB3FC-458E-221E-F711-35D205688B5A} -> Quarantined and deleted successfully.

 
Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)

 
Infizierte Verzeichnisse:

c:\program files\relevantknowledge (Spyware.MarketScore) -> Quarantined and deleted successfully.

 
Infizierte Dateien:

c:\program files\relevantknowledge\rlls64.dll (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.

c:\Windows\installer\MSI2938.tmp (Adware.RelevantKnowledge) -> Quarantined and deleted successfully.

c:\_OTL\movedfiles\04222011_161713\c_programdata\gownktobbtfmqrq.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.

c:\Users\Tschagga\Desktop\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.

Ich hatte es mal gemacht. Aber das letzte mal war lange her.

mfg

markusg

22.04.2011 16:34

du hast einen zbot trojaner.
dieser stiehlt alle möglichen daten.
da wir nicht für ein sauberes system garantieren können, musst du deine daten sichern, formatieren und neu aufsetzen.
ich erkläre dir wie du das system dann richtig absicherst.

Yallach

22.04.2011 16:44

Reicht das wenn ich alles lösche bis auf windows? Oder direkt alles neu installieren?

markusg

22.04.2011 16:46

na formatieren mit der windows cd.
c: muss leer geräumt werden, sichere bilder texte musik, alles aus legalen quellen.

Yallach

22.04.2011 16:54

Da ich momentan auf Durchreise bin habe ich keine Windows Cd dabei. Aber sobald ich wieder daheim sein sollte, werde ich dies sofort machen und darauf zurückkommen.
Ich werde bis dahin alles was ausspioniert werden könnte vermeiden.

Danke nochmals :-)

markusg

22.04.2011 17:01

ok, bin ab dienstag wieder online.

Alle Zeitangaben in WEZ +1. Es ist jetzt 04:12 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28