MSN-Virus

Baemzs · 20.02.10, 17:03

Hey,
gestern ist mir aufgefallen, dass ich höchstwahrscheinlich einen Virus habe, der bei MSN scheiß Links verschickt. (ich kann mir nicht erklären, wie der auf meinen PC kommt, da ich nie irgendwo Email und PW angebe). Kurzerhand hab ich mir bei Softonic son MSN Virus Remover runtergeladen, der sich dann beim scannen aufgehangen hat. Hab den PC dann laufen lassen und bin halbe Std weggegangen. Wiedergekommen, war der Bildschirm schwarz, Tastur drücken/Maus bewegen hat nichts gebracht. Neugestartet, (windows normal starten). für ne Minute ist alles normal. Nach ner Minute hat das Klicken keinen Effekt, und alle Dateien verschwinden. Es kommt irgendne Fehlermeldung. (gestern kam sogar ne fehlermeldung die wörtlich lautete: "Sie haben nicht das Recht den Computer herunterzufahren oder neu zu starten"). Den PC kann ich normal nur im "abgesicherten Modus mit netzwerktreibern" nutzen. Naja was heißt "normal". Die Auflösung ist scheiße. Die Dateien sind alle hier noch vorhanden. Jedoch sind die Soundtreiber verschwunden [egal]. Mein Problem ist, dass ich die vorhandenen Dateien brauche. Schließe ich meine Fukato externe Festplatte an, um die Dateien zu übertragen, erkennt der PC die nicht. Bzw er erkennt, dass etwas da ist schreibt aber: F:\ Anwendung nicht gefunden. PC zurücksetzen will der nicht, wie komme ich jetzt an die Dateien ran bzw wieso funktioniert die Festplatte auf einmal nicht (am Vortag hat der PC im abgesicherten Modus die Platte erkannt). Bin für jede Hilfe dankbar!

élm0k · 20.02.10, 17:40

also ich hätte 2 tips

1ster....festplatte ausbauen an 2ten pc als slave anschliessen daten rüberziehen fertig

2ter knoppix laden ( [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] ) und daten sichern .....

ckjthedogmaster · 20.02.10, 17:44

Falscher Bereich,

aber lad dir mal als erstes Hijackthis runter, lass es laufen und poste das Ergebnis hier, (aber bitte die Spoilerfunktion nutzen).

Dann lädst du dir Malwarebytes runter, aktualisierst es und lässt es auch drüber laufen.

Dann CCleaner.

So, im abgesicherten Modus hast du nur begrentzte Treiber, somit kein Sound, keine Grafik, etc... Nach Möglichkeit auch immo keine externen Sachen anschliessen, damit du dir den Rest nicht auch verseuchst.

Mfg

Baemzs · 20.02.10, 18:09

Zitat:

Zitat von ckjthedogmaster

aber lad dir mal als erstes Hijackthis runter, lass es laufen und poste das Ergebnis hier, (aber bitte die Spoilerfunktion nutzen).

Logfile im Spoiler
Der Scan von Hijackthis ging aber überdimensional schnell.

Malwarebytes hat länger gebraucht: 2 infizierte Objekte:

Was soll ich mit Malwarebytes jetzt machen?
Soll ich mitm CCleaner Analysieren oder Starten?

Hezuma · 20.02.10, 18:17

Zitat:

O4 - HKCU\..\Run: [Microsoft Windows Hosting Service Login] C:\Users\Ted\AppData\Local\Temp\explorer.exe

Unbedingt fixen! Added by the POEBOT-J WORM! Note - the legitimate Windows Explorer (explorer.exe) is located in the Windows or Winnt folder and would not normally appear in Msconfig/Startup unless you added it manually! This one is located in the System (9x/Me) or System32 (NT/2K/XP) folder

Lad dir Knoppix, sicher dir damit deine Daten und setzt dein System neu auf. Bei sowas weiß man nie, wo die sich sonst noch eingenistet haben, und du hast ja schon gemerkt, was der mit deinem System gemacht hat.

ckjthedogmaster · 20.02.10, 18:21

O4 - HKCU\..\Run: [Microsoft Windows Hosting Service Login] C:\Users\Ted\AppData\Local\Temp\explorer.exe

Diesen Eintrag solltest du schonmal fixen, dann neustarten im Normalen Modus, und wenn möglich nochmal n Hijack machen.

CCleaner drüber laufen lassen und den Temp. Dateien löschen

Baemzs · 20.02.10, 18:34

Mit CCleaner gesäubert.
diese O4 HKCU datei gefixt.
PC im normalen Modus neugestartet, [ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ] ausgeführt. Logfile:

Mitm CCleaner nochmals gesäubert. Der PC funktioniert schon länger im normalen Modus als vorher.

ckjthedogmaster · 20.02.10, 18:42

Aber das Problem bist du noch nicht los.

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O4 - HKCU\..\Run: [Microsoft Windows Hosting Service Login] C:\Users\Ted\AppData\Local\Temp\explorer.exe

Mir unbekannt: Google weiß nix dazu, also wenn du die Exe nicht kennst, solltest du die auch fixen

O4 - HKLM\..\Run: [9rDhlTH18EfHA0xu] C:\Users\Ted\AppData\Local\Temp\bN2Mr.exe

O4 - HKCU\..\Run: [OTCoWM5] C:\Users\Ted\AppData\Local\Temp\bN2Mr.exe

Sind zwei verschiedene.

Neustarten und Malwarebytes laufen lassen, Funde per Hand löschen.

Baemzs · 20.02.10, 19:26

Beide Dateien gelöscht. Neuer Log:

Dann mit Malwarebytes gescannt:

und mit CCleaner nochmals alles gesäubert.
PC auch schon neugestartet. Btw im normalen Modus kackt das System nicht mehr ab. Zumindest nicht in der letzten Stunde.

ckjthedogmaster · 20.02.10, 20:04

Deaktiviere die Systemwiederherstellung.

Dann fixe die Einträge erneut, die ich oben schon genannt habe, da sie immer noch vorhanden sind.
Dann geb unter Start -->Ausführen "regedit" ein. Die Registry absichern über "Datei" exportieren. im Reiter folgend HEKY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion den Ordner "Run" anklicken.
Solltest du diese Pfadangaben sehen, dann löschen

C:\Users\Ted\AppData\Local\Temp\bN2Mr.exe
C:\Users\Ted\AppData\Local\Temp\bN2Mr.exe
C:\Users\Ted\AppData\Local\Temp\explorer.exe

Dann Malwarebites erneut laufen lassen, den Fund per Hand löschen.

Neustarten und die Systemwiederherstellung aktivieren.

Neu HJT

Baemzs · 20.02.10, 21:12

Alle Schritte befolgt, hab diese komische Datei aus HEKY_LOCAL_MACHINE gelöscht. Beim Aufrufen des Ordners erscheint die Datei nicht mehr. (C:\Users\Ted\AppData\Local\Temp\bN2Mr.exe).
Malwarebytes hat nichts gefunden und Hijackthis sagt folgendes:

Wie mir gerade auffällt zeigt Hijackthis diese bN2Mr Datei an, ist aber im Markierfeld nicht aufzufinden.

ckjthedogmaster · 20.02.10, 21:33

Die bN2Mr.exe kenne ich nicht, finde auch keine Informationen darüber im Internet. Deswegen solltest die möglichst mit fixen, da sie im gleichen Ordner liegt wie die "explorer.exe". Normal ist der Explorer im Windows Ordner zu finden. Das ist eigentlich das Problem.
Guck nochmal, ob du unter C:\Users\Ted\AppData\Local\Temp\ die explorer.exe findest, wenn ja löschen.

Dann nochmal in der Registry unter dem genannten Pfad gucken ob du diesen Eintrag hast, %SYSTEM%\explorer.exe wenn ja auch löschen.

Hezuma · 20.02.10, 21:40

@Baemzs: Verpass ich was oder warum postest du jetzt zum 4. Mal den Hijack-Log von 19:05:22 Uhr?

Baemzs · 20.02.10, 22:39

Zitat:

Zitat von Hezuma

@Baemzs: Verpass ich was oder warum postest du jetzt zum 4. Mal den Hijack-Log von 19:05:22 Uhr?

Tatsächlich! Ist mir gar nicht aufgefallen, habe das kopiert was sich geöffnet hat. Durch n Umweg auf den aktuellen Log gestoßen:

Die bN2Mr.exe ist weg! In der Registry und in Temp ist keine explorer.exe vorzufinden.
Da bis jetzt alles glatt gelaufen ist, die komischen Dateien weg sind, keine schädlichen Objekte mehr gefunden werden, und das System immernoch läuft, schließe ich auf Erfolg. Vielen Dank!

ckjthedogmaster · 20.02.10, 22:48

Sieht sauber aus. Malwarebytes war auch gut.
Einfache Wege führen auch zum Ziel.

Mfg

Baemzs · 24.02.10, 16:28

Bis heute liefs prima.
Heut hab ich mal den JDownloader wieder angeschmissen, was meinen PC wieder in den alten Zustand gebracht hat... Dh, kein Recht den PC herunterzufahren, keine Programme...

Oben mal von Hijackthis ein Log. Malwarebytes hat übrigens eine .exe gefunden, die ich schon gelöscht habe. Was tun?

TitanOfMagic · 24.02.10, 17:00

Du könntest auch deine Festplatte neu formatieren. Das geht schnell und alles wieder sauber

ckjthedogmaster · 24.02.10, 17:11

Hey,
ist das direkt nach dem Start des Downloaders gekommen?
Wenn ja, lad dei entsprechende .exe mal bei Virustotal hoch.
Logfile haste ja gleich mitgepostet. Lad diese Datei auch hoch und lass sie analysieren.

C:\Users\Ted\AppData\Local\Temp\explorer.exe

W32/Poebot-J Worm, den haste dir eingefangen, und laut des letzten Logs und deinen Angaben müsste er eigentlich weg gewesen sein.

Die oben genannte exe bewirkt, das dein System so bescheiden läuft, deshalb kannst du vorgehen, wie ich es in den anderen Post bereits beschrieben habe. Aber erst nochmal bei Virustotal prüfen lassen.

Info zum Wurm:

[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Mfg

Baemzs · 24.02.10, 17:42

Zitat:

Zitat von TitanOfMagic

Du könntest auch deine Festplatte neu formatieren. Das geht schnell und alles wieder sauber

Ich denke, dass das einer meiner nächsten Schritte sein wird ^^

@ckjthedogmaster:

Die Datei lässt sich leider nicht finden, weder über die Suchfunktion, noch nach Durchgehen des Pfads. Ich hab die Datei mal mit Hijackthis gefixt,

Sie scheint sich verkrochen zu haben...

ckjthedogmaster · 24.02.10, 17:59

Das ist korrekt. Die Datei ist versteckt. Dafür müsstest du die versteckten Dateien anzeigen lassen.

Hast du auch die Registryeinträge gelöscht.