Trojaner-Board - TR/Kazy.mekml.1 wieder einmal

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Kazy.mekml.1 wieder einmal (https://www.trojaner-board.de/98159-tr-kazy-mekml-1-einmal.html)

TR/Kazy.mekml.1 wieder einmal

Guten morgen,
habe gestern bemerkt das ich diesen trojaner habe, hab dann ein wenig gestöbert was ich machen kann, habe dann dieses forum gefunden.
Leider habe ich vorher schon einiges gemacht.... da hier ja steht man solle nichts löschen etc...
habe malewarebytes, cc cleaner, unhide durchlaufen lassen hat auchg einiges gefunden und entfernt.
wie ich gelesen habe sollte ich nun mal die logs posten oder?

so ma die maleware log

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6447

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26.04.2011 12:22:28
mbam-log-2011-04-26 (12-22-28).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 164556
Laufzeit: 8 Minute(n), 33 Sekunde(n)

Infizierte Speicherprozesse: 2
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 1
Infizierte Dateien: 9

Infizierte Speicherprozesse:
c:\programdata\jhbhqbuadnkpg.exe (Trojan.FakeAlert) -> 5428 -> Unloaded process successfully.
c:\programdata\33414920.exe (Trojan.FakeAlert) -> 2604 -> Unloaded process successfully.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\jhbHQbuAdnkPg (Trojan.FakeAlert) -> Value: jhbHQbuAdnkPg -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\ActiveDesktop\NoChangingWallPaper (PUM.Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery (Trojan.FakeAV) -> Quarantined and deleted successfully.

Infizierte Dateien:
c:\programdata\jhbhqbuadnkpg.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\programdata\33414920.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\jar_cache6120078284249471405.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\jar_cache3316987406331970237.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\tmp928F.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\0.9456612783635037.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\Desktop\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\uninstall windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.

und die 2.

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6443

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26.04.2011 00:37:38
mbam-log-2011-04-26 (00-37-38).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 164670
Laufzeit: 3 Minute(n), 47 Sekunde(n)

Infizierte Speicherprozesse: 3
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 3
Infizierte Dateiobjekte der Registrierung: 4
Infizierte Verzeichnisse: 1
Infizierte Dateien: 9

Infizierte Speicherprozesse:
c:\Users\Andi\AppData\Roaming\dwm.exe (Trojan.Downloader) -> 3096 -> Unloaded process successfully.
c:\Users\Andi\AppData\Roaming\microsoft\conhost.exe (Trojan.Agent) -> 3396 -> Unloaded process successfully.
c:\Users\Andi\AppData\Local\Temp\csrss.exe (Trojan.Agent) -> 3832 -> Unloaded process successfully.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\conhost (Trojan.Agent) -> Value: conhost -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Value: Load -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell (Hijack.Shell.Gen) -> Value: Shell -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows\Load (Trojan.Agent) -> Bad: (C:\Users\Andi\AppData\Local\Temp\csrss.exe) Good: () -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery (Trojan.FakeAV) -> Quarantined and deleted successfully.

Infizierte Dateien:
c:\Users\Andi\AppData\Roaming\dwm.exe (Trojan.Downloader) -> Quarantined and deleted successfully.
c:\program files\mozilla firefox\null0.29761982627373695.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\jar_cache8334275117727491913.tmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
c:\Users\Andi\Desktop\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\uninstall windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Roaming\microsoft\Windows\start menu\Programs\windows recovery\windows recovery.lnk (Trojan.FakeAV) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Roaming\microsoft\conhost.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\csrss.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Andi\AppData\Local\Temp\csrss.exe.vir (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

hier meine otl log

hier noch die extras log

hier der komplette scan von malware

Zitat:

Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: 6447

Windows 6.1.7600
Internet Explorer 8.0.7600.16385

26.04.2011 15:17:14
mbam-log-2011-04-26 (15-17-14).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 544153
Laufzeit: 2 Stunde(n), 35 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local

IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:50667

O3 - HKLM\..\Toolbar: (pdfforge Toolbar) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - Reg Error: Value error. File not found

O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {8FF5E180-ABDE-46EB-B09E-D2AAB95CABE3} - No CLSID value found.

O4 - HKLM..\Run: []  File not found

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]

O32 - AutoRun File - [2009.06.09 20:35:20 | 000,003,133 | ---- | M] () - C:\AutoRun_Log(0000).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.09 21:22:04 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0001).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.10 16:47:08 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0002).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.10 22:00:50 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0003).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.10 22:19:08 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0004).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 16:57:40 | 000,002,211 | ---- | M] () - C:\AutoRun_Log(0005).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.14 22:00:21 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0006).txt -- [ NTFS ]

O32 - AutoRun File - [2009.06.21 01:50:40 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0007).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.05 21:41:51 | 000,003,540 | ---- | M] () - C:\AutoRun_Log(0008).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.05 21:48:40 | 000,003,228 | ---- | M] () - C:\AutoRun_Log(0009).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.05 22:41:08 | 000,003,228 | ---- | M] () - C:\AutoRun_Log(0010).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.05 23:28:52 | 000,003,228 | ---- | M] () - C:\AutoRun_Log(0011).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 16:34:34 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0012).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 16:57:14 | 000,003,103 | ---- | M] () - C:\AutoRun_Log(0013).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 16:58:55 | 000,003,122 | ---- | M] () - C:\AutoRun_Log(0014).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 17:19:44 | 000,003,540 | ---- | M] () - C:\AutoRun_Log(0015).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.07 19:08:34 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0016).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.22 22:15:36 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0017).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.22 22:22:38 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0018).txt -- [ NTFS ]

O32 - AutoRun File - [2009.07.22 23:22:11 | 000,001,918 | ---- | M] () - C:\AutoRun_Log(0019).txt -- [ NTFS ]

O33 - MountPoints2\{21022d41-c24b-11de-b565-0015af0138f5}\Shell - "" = AutoRun

O33 - MountPoints2\{21022d41-c24b-11de-b565-0015af0138f5}\Shell\AutoRun\command - "" = K:\Setup.EXE

O33 - MountPoints2\{3a839417-0f97-11df-85b2-0015af0138f5}\Shell - "" = AutoRun

O33 - MountPoints2\{3a839417-0f97-11df-85b2-0015af0138f5}\Shell\AutoRun\command - "" = L:\LaunchU3.exe -a

O33 - MountPoints2\{8d309106-fa05-11de-9fdb-0015af0138f5}\Shell - "" = AutoRun

O33 - MountPoints2\{8d309106-fa05-11de-9fdb-0015af0138f5}\Shell\AutoRun\command - "" = L:\LaunchU3.exe -a

O33 - MountPoints2\{b981ea4c-c17f-11de-9eda-806e6f6e6963}\Shell - "" = AutoRun

O33 - MountPoints2\{b981ea4c-c17f-11de-9eda-806e6f6e6963}\Shell\AutoRun\command - "" = G:\CDSETUP.EXE

[2011.04.02 13:26:36 | 000,000,000 | ---D | C] -- C:\Users\Andi\.shsh

[2011.04.26 12:12:09 | 000,000,344 | ---- | C] () -- C:\ProgramData\33414920

@Alternate Data Stream - 24 bytes -> C:\Windows:380738108954AD05

@Alternate Data Stream - 118 bytes -> C:\ProgramData\TEMP:CB0AACC9

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

danke für die antwort ist mitlerweile nur zu spät, habe das system platt gemacht nachdem sich auch noch der fake bundestrojaner eingenistet hat und ich auf nichts mehr zugreifen konnte,
gibt es eine möglichkeit evtl wieder an alte daten zu kommen nach der windows neuinstallation?

Zitat:

wieder an alte daten zu kommen nach der windows neuinstallation?

Nach format nicht mehr :stirn:
Warum setzt du voreilig das System neu auf?

naja ich konnte auf nichts mehr zugreifen,hatte nicht viel auf C was ich unbedingt bräuchte dafür hab ich ja andere partitionen :D, und keine geduld :(, er hatte es sowieso mal nötig :D