Suisa

[Kilmarnock]

Hallo

Auf dem PC meiner Eltern hat sich leider auch der Suisa-Trojaner eingenistet. Ich habe hier schon mal ein wenig im Forum gestöbert und deshalb auch bereits OTLPE laufen gelassen. Ich habe extras.txt und otl.txt angehängt

Kann mir bitte jemand damit helfen?

Vielen Dank

[john.doe]

Hallo Kilmarnock und

1.) Fixen mit OTLpe

• Starte den unbootbaren Computer erneut mit der OTLPE-CD,
• warte bis der Reatogo-X-Pe-Desktop erscheint und doppelklicke das OTLPE-Icon.
• Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" angehakt ist und drücke OK.
• OTLpe sollte nun starten.

• Kopiere folgendes Skript in das Textfeld unterhalb von Custom Scans/Fixes:
• Sollte das mangels Internet-Verbindung nicht möglich sein,
• kopiere den Text aus der folgenden Code-Box und speichere ihn als Fix.txt auf einen USB-Stick.
• Schließe den USB-Stick an den Computer an und öffne Fix.txt mit dem Explorer auf dem Reatogo-Desktop.
• Kopiere den Inhalt von Fix.txt in das Textfeld unterhalb von Custom Scans/Fixes:

:OTL
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\user_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O4 - HKU\user_ON_C..\Run: [] C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\purzidphwppqlaviqmd.exe ()
O32 - HKLM CDRom: AutoRun - 1

:Files
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp

:Commands
[emptytemp]

• Schließe alle Programme.
• Klicke auf den Fix Button.
• Klick auf .
• Kopiere den Inhalt hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>
• Teste, ob den Computer nun wieder in den normalen Windows-Modus booten kannst und berichte.

2.) Rechner startet neu, CD raus, Windows "normal" starten und berichten, ob der Sperrbildschirm noch erscheint.

ciao, andreas

[Kilmarnock]

besten Dank für Deine Hilfe John Doe

der Rechner startet nun wieder ganz normal und auch der Internet-Zugang ist möglich

das file nach dem Fix sieht folgendermassen aus

========== OTL ==========
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\user_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\user_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\purzidphwppqlaviqmd.exe moved successfully.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
========== FILES ==========
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\WPDNSE folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\tha folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\sve folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\rus folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\ptg folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\ptb folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\plk folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\nor folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\nld folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\kor folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\jpn folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\ita folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\hun folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\heb folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\frc folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\fra folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\fin folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\esp folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\eng folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\ell folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\deu folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\dan folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\csy folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\cht folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\chs folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\arb folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang\ara folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86\Lang folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip\VGA_Intel_6.14.10.3929_Xpx86 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für VGA_Intel_6.14.10.3929_Xpx86.zip folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\NHY31P1Z folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\N7YWKGVL folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\HDNSK9L1 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\GZM71AYP folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Temporary Internet Files folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\svgpl.tmp folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Microsoft Visual C++ 2010  x86 Redistributable Setup_10.0.40219 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Microsoft .NET Framework Client Profile Language Pack Setup_4.0.30319 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Microsoft .NET Framework 4 Client Profile Setup_4.0.30319 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\lilo.3232 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\hsperfdata_user folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\History\History.IE5 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\History folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Cookies folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\CDM\PList folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\CDM folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\APNLogs folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\APN-Stub folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Adobe\Acrobat\10.0 folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Adobe\Acrobat folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\Adobe folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\3.dir folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\10.dir folder moved successfully.
C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp folder moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users

[john.doe]

Hallo Kilmarnock,

der Rechner startet nun wieder ganz normal

Schritt 1: Entsperren, so dass du wieder "normal" starten kannst. Erledigt.
Schritt 2: Reste entfernen. Offen.
Schritt 3: Sicherheitsluecken schließen. Offen.
Schritt 4: Aufraeumen und Absicherung. Offen.

1.) Systemscan mit OTL

Die CD zur Seite packen oder verleihen.

Erstelle bitte OTL-Logfiles nach dieser Anleitung. Die Analyse der Logfiles wird uns zeigen, welche Reste noch entfernt werden müssen und welche Lücken ggfs. noch vorhanden sind. Bitte in alle Kategorien "Benutze Safelist" anhaken und oben "Scanne alle Benutzer".

Füge die beiden Logfiles OTL.txt und Extras.txt als Anhang ein, indem Du unterhalb des Textfeldes auf Erweitert klickst und die Logdateien einzeln über Anhänge verwalten hochlädst.

2.) Bereinigung mit Malwarebytes' Anti-Malware (Komplett-Scan)

Mache bitte mit Malwarebytes' Anti-Malware einen Komplett-Scan nach dieser Anleitung und poste das Logfile hier in den Thread.

ciao, andreas

[Kilmarnock]

sorry für die späte Antwort. Ich werde erst am nächsten Sonntag wieder Zugriff auf diesen Computer haben. Einen Malwarebytes-Scan habe ich aber nach dem letzten Eingriff noch gemacht und es wurde nichts gefunden.

Besten Dank für Deine Hilfe

[john.doe]

Hallo Kilmarnock,

alles klar, auch wenn nichts gefunden wird, immer alle Logs vollstaendig posten.

ciao, andreas

[Kilmarnock]

hat leider ein wenig länger gedauert, hier nun mal die OTL-files

[john.doe]

Hallo Kilmarnock,

1.) Welcher Browser wird benutzt?

2.) Malware-Scan mit Emsisoft Anti-Malware

Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm.
Lade über Jetzt Updaten die aktuellen Signaturen herunter.
Wähle den Freeware-Modus aus.

Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers.
Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten.

Deinstalliere Emsisoft.

3.) ESET Online Scanner

Vorbereitung

• Schließe evtl. vorhandene externe Festplatten und/oder sonstigen Wechselmedien (z. B. evtl. vorhandene USB-Sticks) an den Rechner an.
• Bitte während des Online-Scans Anti-Virus-Programm und Firewall deaktivieren.
• Vista/Win7-User: Bitte den Browser unbedingt als Administrator starten.

Los geht's

• Lade und starte Eset Smartinstaller
• Haken setzen bei YES, I accept the Terms of Use.
• Klick auf Start.
• Haken setzen bei Remove found threads und Scan archives.
• Klick auf Start.
• Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Finish drücken.
• Browser schließen.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (manchmal auch C:\Programme\Eset\log.txt) suchen und mit Deinem Editor öffnen.
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

ciao, andreas

[MG]

Thread geschlossen wegen mangelnder Rückmeldung. Solltest du weitere Unterstützung bei der Bereinigung benötigen, erstell bitte ein neues Thema. Wir werden dir dann gerne weiter helfen.