GVU Trojaner mit Webcam

[Luffy]

Mich hat es wohl leider auch mit der neuen Version des GVU Virus erwischt, dementsprechend funktioniert das alte Workaround mit der Kaspersky Live CD nicht mehr(Registry Einträge lassen sich nicht finden)
Anbei die Dateien von OTL

Extras: Extras.Txt

OTL: OTL.Txt

[CG]

Hallo Luffy, bitte führe erstmal diesen Fix aus:

Fixen mit OTL

Hiermit fixen wir unnötige oder schädliche Einträge.

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

• Starte die OTL.exe.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

:OTL
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC

:Files
ipconfig /flushdns /c
C:\Users\*******\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\nud0repor.pad
C:\Windows\Tasks\*.job

:Commands
[emptytemp]

• Schließe alle Programme ink. z. B. Verhaltensüberwachung von Antivirus-Programmen.
• Klicke auf den Fix Button.
• Wenn OTL einen Neustart verlangt, bitte zulassen.
• Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

[Luffy]

Danke für die Antwort.

Fix mit dem Skript durchgeführt, ergab folgenden log File

 All processes killed

Error: Unable to interpret <:OTL

IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC

IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}

IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC



:Files

ipconfig /flushdns /c

C:\Users\*******\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk

C:\ProgramData\nud0repor.pad

C:\Windows\Tasks\*.job



:Commands

[emptytemp]> in the current context!

 

OTL by OldTimer - Version 3.2.53.1 log created on 07062012_094940

[CG]

Da ist aber was schief gelaufen...

Hast du den Schnipsel komplett in das Fix-Feld eingefügt?

[Luffy]

Komisch, ich bin mir sicher, dass ich es komplett eingefügt habe.
Habe nochmal einen OTL Scan drüber laufen lassen.

Extras.Txt

OTL.Txt

[CG]

Hmmm, die Änderungen vom Fix sind jedenfalls nicht durcchgelaufen.

Versuche bitte den Fix nochmal auszuführen:

Fixen mit OTL

Hiermit fixen wir unnötige oder schädliche Einträge.

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

• Starte die OTL.exe.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

:OTL
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC

:Files
ipconfig /flushdns /c
C:\Users\*******\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\nud0repor.pad
C:\Windows\Tasks\*.job

:Commands
[emptytemp]

• Schließe alle Programme ink. z. B. Verhaltensüberwachung von Antivirus-Programmen.
• Klicke auf den Fix Button.
• Wenn OTL einen Neustart verlangt, bitte zulassen.
• Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

[Luffy]

Habe das Skript nochmal mit OTL durchgeführt, bin auch sicher, alles reinkopiert zu haben. Habe OTL auch als Administrator ausgeführt.

All processes killed
Error: Unable to interpret <:OTL
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKU\S-1-5-21-3526189117-3704242719-138422820-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC

:Files
ipconfig /flushdns /c
C:\Users\*****\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\nud0repor.pad
C:\Windows\Tasks\*.job

:Commands
[emptytemp]> in the current context!
 
OTL by OldTimer - Version 3.2.53.1 log created on 07062012_144237

Files\Folders moved on Reboot...

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

[CG]

Versuche mal bitte das Fix...das löscht erstmal nur die Dateien.

Fixen mit OTL

Hiermit fixen wir unnötige oder schädliche Einträge.

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

• Starte die OTL.exe.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:

:Files
ipconfig /flushdns /c
C:\Users\*******\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
C:\ProgramData\nud0repor.pad
C:\Windows\Tasks\*.job

• Schließe alle Programme ink. z. B. Verhaltensüberwachung von Antivirus-Programmen.
• Klicke auf den Fix Button.
• Wenn OTL einen Neustart verlangt, bitte zulassen.
• Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
  Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

[Luffy]

Diesmal scheint es geklappt zu haben:

========== FILES ==========

< ipconfig /flushdns /c



 >

Windows-IP-Konfiguration

Der DNS-Aufl sungscache konnte nicht geleert werden: Beim Ausfuehren der Funktion ist ein Fehler aufgetreten.

C:\Users\*******\Desktop\cmd.bat deleted successfully.

C:\Users\*******\Desktop\cmd.txt deleted successfully.

File\Folder C:\Users\*******\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk not found.

C:\ProgramData\nud0repor.pad moved successfully.

C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-3526189117-3704242719-138422820-1000Core.job moved successfully.

C:\Windows\Tasks\FacebookUpdateTaskUserS-1-5-21-3526189117-3704242719-138422820-1000UA.job moved successfully.

 

OTL by OldTimer - Version 3.2.53.1 log created on 07062012_164421

[CG]

Fährt der Rechner im normalen Modus wieder hoch?