Liebe Helferinnen und Helfer,
liebe Mitleser_innen,
wie so viele hier in diesem Forum habe ich mir einen Trojaner zugezogen, und zwar - wie ich schon Dank eures Forums herausfinden konte - den BKA-Trojaner Version 1.15. Ich habe schon OTL installiert und durchlaufen lassen. Die Ergebnisse hänge ich an und hoffe auf support, da ich, ehrlich gesagt, kaum Annung von Computern habe und auf eure Hilfe angewiesen bin.
Schon einmal herzlichsten Dank im Voraus,
elias
Extras.TxtOTL.Txt
Hallo Elias,
Fixen mit OTL
Hiermit fixen wir unnötige oder schädliche Einträge.
Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).
- Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".- Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:
Sollten in den Logfiles Benutzernamen anonymisiert worden sein:
Daran denken, wieder den ursprünglichen Benutzernamen einzufügen!
Code::OTL DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\swumx20.sys -- (SWUMX20) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\nwlnkfwd.sys -- (NwlnkFwd) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\nwlnkflt.sys -- (NwlnkFlt) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\ipinip.sys -- (IpInIp) DRV - File not found [Kernel | Disabled | Stopped] -- C:\Windows\system32\drivers\blbdrive.sys -- (blbdrive) O4 - HKU\S-1-5-21-1835662408-1744924345-1985700452-1000..\Run: [SMBHelper] C:\Users\schnurr\AppData\Local\Microsoft\Windows\3381\SMBHelper.exe () [2012.09.14 00:39:26 | 000,000,000 | ---D | C] -- C:\Users\schnurr\AppData\Roaming\hellomoto [2012.09.14 00:39:37 | 000,000,000 | ---D | M] -- C:\Users\schnurr\AppData\Roaming\hellomoto :Commands [emptytemp]
- Schließe alle Programme ink. z. B. Verhaltensüberwachung von Antivirus-Programmen.
- Klicke auf den Fix Button.
- Wenn OTL einen Neustart verlangt, bitte zulassen.
- Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>
Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!
Erstelle ein Log nach dieser Anleitung.
-Updates nicht vergessen.
Tschau
Hallo oldi-40,
erst einmal vielen Dank für die schnelle Hilfe!
Hier nun die Ergebnisse:
1. OTL-Log:
2. Das Malwarebytes-Ergebnis:Code:All processes killed ========== OTL ========== Service SWUMX20 stopped successfully! Service SWUMX20 deleted successfully! File system32\DRIVERS\swumx20.sys not found. Service NwlnkFwd stopped successfully! Service NwlnkFwd deleted successfully! File system32\DRIVERS\nwlnkfwd.sys not found. Service NwlnkFlt stopped successfully! Service NwlnkFlt deleted successfully! File system32\DRIVERS\nwlnkflt.sys not found. Service IpInIp stopped successfully! Service IpInIp deleted successfully! File system32\DRIVERS\ipinip.sys not found. Service blbdrive stopped successfully! Service blbdrive deleted successfully! File C:\Windows\system32\drivers\blbdrive.sys not found. Registry value HKEY_USERS\S-1-5-21-1835662408-1744924345-1985700452-1000\Software\Microsoft\Windows\CurrentVersion\Run\\SMBHelper deleted successfully. C:\Users\schnurr\AppData\Local\Microsoft\Windows\3381\SMBHelper.exe moved successfully. C:\Users\schnurr\AppData\Roaming\hellomoto folder moved successfully. Folder C:\Users\schnurr\AppData\Roaming\hellomoto\ not found. ========== COMMANDS ========== [EMPTYTEMP] User: Administrator User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Public User: schnurr ->Temp folder emptied: 3397166 bytes ->Temporary Internet Files folder emptied: 3802877 bytes ->Java cache emptied: 1536928 bytes ->FireFox cache emptied: 105396082 bytes ->Flash cache emptied: 4266 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 851198 bytes RecycleBin emptied: 30344 bytes Total Files Cleaned = 110,00 mb OTL by OldTimer - Version 3.2.61.4 log created on 09172012_093249 Files\Folders moved on Reboot... PendingFileRenameOperations files... Registry entries deleted on Reboot...
MfGCode:Malwarebytes Anti-Malware 1.65.0.1400 www.malwarebytes.org Datenbank Version: v2012.09.17.03 Windows Vista x86 NTFS (Abgesichertenmodus/Netzwerkfähig) Internet Explorer 7.0.6000.16982 schnurr :: SCHNURR-PC [Administrator] 17.09.2012 09:49:27 mbam-log-2012-09-17 (09-49-27).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 262116 Laufzeit: 25 Minute(n), 40 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende)
elias
Geändert von Elias (17.09.2012 um 09:37 Uhr)
Sorry für das Doppelpost, habe heute morgen aber vergessen zu schreiben, dass ich inzwischen auch wieder in den normalen, nicht-abgesicherten Modus kann - mein Desktop wird also nicht mehr gesperrt :) *freu*
BR
elias
Hallo Elias,
Absicherung des Rechners
Dann mache zur Sicherheit noch einen Komplettscan mit aktualisierten Virendefinitionen mit Deinem Antivirus-Programm. Falls noch Funde gemacht werden, sage mir Bescheid, welche und wo. Ansonsten können wir hier mit einigen Tipps zur Absicherung schließen und ich mache den Thread in ein paar Tagen zu
Lesenswerte Blogeinträge zum Thema Absicherung
Malware entfernt? Was nun?
Wie mache ich mein Windows sicher?
Wie kann ich mein System in Zukunft von Malware frei halten?
Wie kann ich prüfen, ob meine Software aktuell ist?
Mozilla Plugins aktuell? Hier prüfen!
DNS manipuliert?
Internet-Explorer reparieren
Datensicherung
Tschau
Hallo oldi-40,
leider hat mein Antivir doch noch was gefunden, nämlich den Trojaner tr/dldr.karagany.l.15, den ich gleich in die Quarantäne verschoben habe.
((Außerdem habe ich noch einige Hinweise bekomen, u. a. auf einige wenige verschlüsselte Dateien, die eigtl nicht verschlüsselt sein sollten. Liegt das vielleicht am abgesicherten Modus? IN diesemkann ich nämlich antivir nicht updaten, geht im 'normalen' Modus aber roblemlos.))
Hier das antivir-Ergebnis:
Noch einmal super vielen herzlichen Dank bis hierher und auch für die weitere Hilfe :)Code:Avira Free Antivirus Erstellungsdatum der Reportdatei: Dienstag, 18. September 2012 08:36 Es wird nach 4228261 Virenstämmen gesucht. Das Programm läuft als uneingeschränkte Vollversion. Online-Dienste stehen zur Verfügung. Lizenznehmer : Avira AntiVir Personal - Free Antivirus Seriennummer : 0000149996-ADJIE-0000001 Plattform : Windows Vista (TM) Business Windowsversion : (plain) [6.0.6000] Boot Modus : Abgesicherter Modus mit Netzwerk Support Benutzername : schnurr Computername : SCHNURR-PC Versionsinformationen: BUILD.DAT : 12.0.0.1199 40869 Bytes 07.09.2012 22:14:00 AVSCAN.EXE : 12.3.0.33 468472 Bytes 09.08.2012 00:41:41 AVSCAN.DLL : 12.3.0.15 66256 Bytes 02.05.2012 00:02:50 LUKE.DLL : 12.3.0.15 68304 Bytes 01.05.2012 23:31:47 AVSCPLR.DLL : 12.3.0.14 97032 Bytes 01.05.2012 22:13:36 AVREG.DLL : 12.3.0.17 232200 Bytes 24.05.2012 10:56:19 VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:18:34 VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 23:22:12 VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 23:31:36 VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 09:58:50 VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:43:53 VBASE005.VDF : 7.11.34.116 4034048 Bytes 29.06.2012 13:31:08 VBASE006.VDF : 7.11.41.250 4902400 Bytes 06.09.2012 15:58:36 VBASE007.VDF : 7.11.41.251 2048 Bytes 06.09.2012 15:58:36 VBASE008.VDF : 7.11.41.252 2048 Bytes 06.09.2012 15:58:36 VBASE009.VDF : 7.11.41.253 2048 Bytes 06.09.2012 15:58:37 VBASE010.VDF : 7.11.41.254 2048 Bytes 06.09.2012 15:58:37 VBASE011.VDF : 7.11.41.255 2048 Bytes 06.09.2012 15:58:37 VBASE012.VDF : 7.11.42.0 2048 Bytes 06.09.2012 15:58:37 VBASE013.VDF : 7.11.42.1 2048 Bytes 06.09.2012 15:58:38 VBASE014.VDF : 7.11.42.65 203264 Bytes 09.09.2012 07:14:06 VBASE015.VDF : 7.11.42.125 156672 Bytes 11.09.2012 17:52:43 VBASE016.VDF : 7.11.42.171 187904 Bytes 12.09.2012 17:52:35 VBASE017.VDF : 7.11.42.235 141312 Bytes 13.09.2012 17:00:40 VBASE018.VDF : 7.11.43.35 133632 Bytes 15.09.2012 17:00:40 VBASE019.VDF : 7.11.43.36 2048 Bytes 15.09.2012 17:00:40 VBASE020.VDF : 7.11.43.37 2048 Bytes 15.09.2012 17:00:40 VBASE021.VDF : 7.11.43.38 2048 Bytes 15.09.2012 17:00:40 VBASE022.VDF : 7.11.43.39 2048 Bytes 15.09.2012 17:00:40 VBASE023.VDF : 7.11.43.40 2048 Bytes 15.09.2012 17:00:40 VBASE024.VDF : 7.11.43.41 2048 Bytes 15.09.2012 17:00:40 VBASE025.VDF : 7.11.43.42 2048 Bytes 15.09.2012 17:00:40 VBASE026.VDF : 7.11.43.43 2048 Bytes 15.09.2012 17:00:40 VBASE027.VDF : 7.11.43.44 2048 Bytes 15.09.2012 17:00:40 VBASE028.VDF : 7.11.43.45 2048 Bytes 15.09.2012 17:00:40 VBASE029.VDF : 7.11.43.46 2048 Bytes 15.09.2012 17:00:40 VBASE030.VDF : 7.11.43.47 2048 Bytes 15.09.2012 17:00:40 VBASE031.VDF : 7.11.43.78 105984 Bytes 17.09.2012 23:49:15 Engineversion : 8.2.10.162 AEVDF.DLL : 8.1.2.10 102772 Bytes 11.07.2012 07:16:47 AESCRIPT.DLL : 8.1.4.52 459131 Bytes 17.09.2012 17:00:46 AESCN.DLL : 8.1.8.2 131444 Bytes 16.02.2012 16:11:36 AESBX.DLL : 8.2.5.12 606578 Bytes 14.06.2012 12:35:42 AERDL.DLL : 8.1.9.15 639348 Bytes 20.01.2012 23:21:32 AEPACK.DLL : 8.3.0.36 811382 Bytes 17.09.2012 17:00:46 AEOFFICE.DLL : 8.1.2.42 201083 Bytes 19.07.2012 21:15:35 AEHEUR.DLL : 8.1.4.100 5280120 Bytes 17.09.2012 17:00:45 AEHELP.DLL : 8.1.23.2 258422 Bytes 29.06.2012 06:37:00 AEGEN.DLL : 8.1.5.36 434549 Bytes 24.08.2012 17:55:56 AEEXP.DLL : 8.1.0.86 90484 Bytes 07.09.2012 16:02:14 AEEMU.DLL : 8.1.3.2 393587 Bytes 11.07.2012 07:16:46 AECORE.DLL : 8.1.27.4 201078 Bytes 07.08.2012 21:09:11 AEBB.DLL : 8.1.1.0 53618 Bytes 20.01.2012 23:21:28 AVWINLL.DLL : 12.3.0.15 27344 Bytes 01.05.2012 22:59:21 AVPREF.DLL : 12.3.0.15 51920 Bytes 01.05.2012 22:44:31 AVREP.DLL : 12.3.0.15 179208 Bytes 01.05.2012 22:13:35 AVARKT.DLL : 12.3.0.15 211408 Bytes 01.05.2012 22:21:32 AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 01.05.2012 22:28:49 SQLITE3.DLL : 3.7.0.1 398288 Bytes 16.04.2012 21:11:02 AVSMTP.DLL : 12.3.0.32 63480 Bytes 09.08.2012 00:41:41 NETNT.DLL : 12.3.0.15 17104 Bytes 01.05.2012 23:33:29 RCIMAGE.DLL : 12.3.0.31 4444408 Bytes 09.08.2012 00:41:37 RCTEXT.DLL : 12.3.0.31 100088 Bytes 09.08.2012 00:41:38 Konfiguration für den aktuellen Suchlauf: Job Name..............................: Vollständige Systemprüfung Konfigurationsdatei...................: C:\Program Files\Avira\AntiVir Desktop\sysscan.avp Protokollierung.......................: standard Primäre Aktion........................: interaktiv Sekundäre Aktion......................: ignorieren Durchsuche Masterbootsektoren.........: ein Durchsuche Bootsektoren...............: ein Bootsektoren..........................: C:, D:, Durchsuche aktive Programme...........: ein Laufende Programme erweitert..........: ein Durchsuche Registrierung..............: ein Suche nach Rootkits...................: ein Integritätsprüfung von Systemdateien..: aus Datei Suchmodus.......................: Alle Dateien Durchsuche Archive....................: ein Rekursionstiefe einschränken..........: 20 Archiv Smart Extensions...............: ein Makrovirenheuristik...................: ein Dateiheuristik........................: erweitert Beginn des Suchlaufs: Dienstag, 18. September 2012 08:36 Der Suchlauf über die Masterbootsektoren wird begonnen: Masterbootsektor HD0 [INFO] Es wurde kein Virus gefunden! Der Suchlauf über die Bootsektoren wird begonnen: Bootsektor 'C:\' [INFO] Es wurde kein Virus gefunden! Bootsektor 'D:\' [INFO] Es wurde kein Virus gefunden! Der Suchlauf nach versteckten Objekten wird begonnen. Der Treiber konnte nicht initialisiert werden. Der Suchlauf über gestartete Prozesse wird begonnen: Durchsuche Prozess 'avscan.exe' - '73' Modul(e) wurden durchsucht Durchsuche Prozess 'avcenter.exe' - '75' Modul(e) wurden durchsucht Durchsuche Prozess 'wmiprvse.exe' - '32' Modul(e) wurden durchsucht Durchsuche Prozess 'unsecapp.exe' - '27' Modul(e) wurden durchsucht Durchsuche Prozess 'Explorer.EXE' - '129' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht Durchsuche Prozess 'SASCORE.EXE' - '18' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '49' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '48' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '55' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '80' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '64' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '35' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht Durchsuche Prozess 'lsm.exe' - '22' Modul(e) wurden durchsucht Durchsuche Prozess 'lsass.exe' - '59' Modul(e) wurden durchsucht Durchsuche Prozess 'services.exe' - '32' Modul(e) wurden durchsucht Durchsuche Prozess 'winlogon.exe' - '26' Modul(e) wurden durchsucht Durchsuche Prozess 'wininit.exe' - '25' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '14' Modul(e) wurden durchsucht Durchsuche Prozess 'csrss.exe' - '14' Modul(e) wurden durchsucht Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen: C:\Program Files\SecureW2\Uninstall.exe [WARNUNG] Unerwartetes Dateiende erreicht Die Registry wurde durchsucht ( '2222' Dateien ). Der Suchlauf über die ausgewählten Dateien wird begonnen: Beginne mit der Suche in 'C:\' C:\Program Files\SecureW2\Uninstall.exe [WARNUNG] Unerwartetes Dateiende erreicht C:\Program Files\WinRAR\rarnew.dat [WARNUNG] Das Archiv ist unbekannt oder defekt C:\Users\schnurr\AppData\Roaming\SUPERAntiSpyware.com\SUPERAntiSpyware\Quarantine\Quarantine - 08-07-2011 - 22-23-54.SBU [WARNUNG] Die Datei ist kennwortgeschützt C:\Users\schnurr\Downloads\avira_free_antivirus_de(1).exe [WARNUNG] Die Datei ist kennwortgeschützt C:\Users\schnurr\Downloads\avira_free_antivirus_de.exe [WARNUNG] Die Datei ist kennwortgeschützt C:\Users\schnurr\Downloads\VA_RGKTK.part01.rar [WARNUNG] Das gesamte Archiv ist kennwortgeschützt C:\Users\schnurr\Downloads\VA_RGKTK.part02.rar.part [WARNUNG] Das gesamte Archiv ist kennwortgeschützt C:\Users\schnurr\Downloads\VA_RGKTK.part02.rar.rar [WARNUNG] Das gesamte Archiv ist kennwortgeschützt C:\Users\schnurr\Downloads\VA_RGKTK.part02.rar\VA_RGKTK.part02.rar.part [WARNUNG] Das gesamte Archiv ist kennwortgeschützt C:\_OTL\MovedFiles\09172012_093249\C_Users\schnurr\AppData\Local\Microsoft\Windows\3381\SMBHelper.exe [FUND] Ist das Trojanische Pferd TR/Dldr.Karagany.L.15 Beginne mit der Suche in 'D:\' D:\musik\Samsas Traum\Tineoidea\Winamp2_mpc.exe [WARNUNG] Die Version dieses Archives wird nicht unterstützt D:\musik\Samsas Traum\Tineoidea\Winamp3_mpc.exe [WARNUNG] Die Version dieses Archives wird nicht unterstützt D:\musik\Theatre of Tragedy\Aégis\Codecs-and-burning-tools-Codec-et-outil-pour-graver-des-audios(v2.2).rar [WARNUNG] Die Version dieses Archives wird nicht unterstützt D:\progs\GTAECTS\GTADATA\CUTTEXT.FON [WARNUNG] Das Archivformat ist ungültig oder fehlerhaft D:\progs\GTAECTS\GTADATA\F_MTEXT.FON [WARNUNG] Unerwartetes Dateiende erreicht D:\progs\GTAECTS\GTADATA\STREET1.FON [WARNUNG] Das Archivformat ist ungültig oder fehlerhaft D:\progs\GTAECTS\GTADATA\SUB1.FON [WARNUNG] Das Archivformat ist ungültig oder fehlerhaft D:\progs\GTAECTS\GTADOS\DATA\F_MTEXT.FON [WARNUNG] Das Archivformat ist ungültig oder fehlerhaft Beginne mit der Desinfektion: C:\_OTL\MovedFiles\09172012_093249\C_Users\schnurr\AppData\Local\Microsoft\Windows\3381\SMBHelper.exe [FUND] Ist das Trojanische Pferd TR/Dldr.Karagany.L.15 [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '536c81f2.qua' verschoben! Ende des Suchlaufs: Dienstag, 18. September 2012 09:17 Benötigte Zeit: 34:12 Minute(n) Der Suchlauf wurde vollständig durchgeführt. 15793 Verzeichnisse wurden überprüft 356417 Dateien wurden geprüft 1 Viren bzw. unerwünschte Programme wurden gefunden 0 Dateien wurden als verdächtig eingestuft 0 Dateien wurden gelöscht 0 Viren bzw. unerwünschte Programme wurden repariert 1 Dateien wurden in die Quarantäne verschoben 0 Dateien wurden umbenannt 0 Dateien konnten nicht durchsucht werden 356416 Dateien ohne Befall 3771 Archive wurden durchsucht 18 Warnungen 1 Hinweise
elias
Geändert von Elias (18.09.2012 um 08:40 Uhr)
Hallo Elias,
Den haben wir schon getillt.leider hat mein Antivir doch noch was gefunden, nämlich den Trojaner tr/dldr.karagany.l.15
Und zwar am 17.Sep.12Code:C:\_OTL\MovedFiles\09172012
Es ist alles im grünen Bereich.
Tschau
Berechtigungen
Lesezeichen