w32.Daonol entfernen: KatesKiller

[Paule]

Autor: Markusg

w32.Daonol entfernen: KatesKiller

Hierbei handelt es sich um einen Passwort-Stealer. Onlinebanking ist während der Infektion zu unterlassen, die Bank muss informiert werden, alle Passwörter müssen von einem sauberen PC aus geändert werden.

Woran erkennt man Eine Infektion mit w32. daonol (PSW.Win32.Kates):

Einträge in der Registry:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32]

Dort findet man man dann u.a. den Eintrag aux3 mit dem Wert "C:\DOKUME~1\user~1\LOKALE~1\Temp\..\whk.ysf"

Weitere Einträge mit der Zeichenfolge "..." innerhalb eines Wertes mit zufällige Dateinamen, kommen unter normalen Umständen nicht vor und sind meist der Infektion zuzuordnen.

Die Einträge verweisen entweder auf C:\WINDOWS\system32\...\...
oder auf ein temporäres Verzeichniss des angemeldeten Benutzers:
C:\DOKUME~1\<Benutzername>\LOKALE~1\Temp\...\...
Dateinamen und Endungen sind zufällig gewählt.

Die explorer.exe wird automatisch beendet, wenn man folgende Anwendungen startet:

regedit.exe
cmd.exe
Total Commander.

- Dateien mit den folgenden Endungen können nicht gestartet werden:

.bat
.reg

Da die meisten Antiviren-Programme Probleme mit der Entfernung haben, nutzen wir Kasperskys KadesKiller.

Vorbereitung:

1. Melde dich als Administrator an.
2. Schalte alle Virenscanner und sonstigen laufenden Programme ab.

Entfernung:

1. Lade die Datei KatesKiller.zip auf den Desktop
   Download: http://support.kaspersky.com/de/downloads/utils/kateskiller.zip
2. Entpacke das Archiv in einen eigenen Ordner.
3. Führe einen Doppelklick auf die Datei KatesKiller.exe aus.

Das Tool beginnt nun zu arbeiten, folgendes bekommst du zu sehen, wenn Infektionen gefunden wurden.


Bild 1: Das System ist infiziert.

Drücke eine beliebige Taste, um das Tool zu beenden.

Bitte erstelle, da mit weiteren Infektionen zu rechnen ist, einen Thread im Malware-Forum. Gebe bitte genau an, was das Tool nach dem Durchlauf angezeigt hat und erstelle zusätzlich ein MalwareBytes Logfile nach dieser Anleitung.