[Windows XP-32 bit] Probleme mit TR/ATRAPS.Gen2

[Hubbahub]

Hallo!

Antivir hat auf meinem Rechner oben genannten Trojaner TR/ATRAPS.Gen2 in der Datei netoyuvi.dll gefunden. Wenn ich die Datei lösche oder in die Quarantäne verschiebe, wird mein komplettes Windows nahezu unbedienbar, weil nach praktisch jeder Aktion die Meldung "konnte die Datei netoyuvi.dll nicht finden", oft mehrmals hintereinander, aufpoppt.

Abgesehen von Firefox lässt sich zwar dann doch trotzdem fast alles benutzen, aber das ist ja auf die Dauer kein Zustand.

Wer kann mir helfen, diesen nervigen Störenfried wieder loszuwerden? Wenns geht bitte ohne komplette Neuinstallation von Windows.

[AHT]

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Auf Nachfrage Dateien überschreiben lassen.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

[Hubbahub]

Drivers.txt
Eventlog.txt
Files.txt
Firewall.txt
Hidden.txt
MD5.txt
Modules.txt
ppFiles.txt
ppRegistry.txt
Processes.txt
Scripting.txt
Services.txt
Warnings.txt

[AHT]

GMER herunterladen (Download EXE) und ausführen: http://www.gmer.net/
Button Scan drücken und zuende scannen lassen. LOG hier posten.

Du hast einen Downloader auf dem Rechner - da kann noch mehr sitzen. Machst du Online-Banking?

[Hubbahub]

Zitat von AHT

Machst du Online-Banking?

Mit dem Rechner nicht (mehr).

Hier das GMER-Log: File-Upload.net - gmerhubbahub.log

[AHT]

Lade dir nun bitte Combofix ComboFix.exe Version /auf dem >>Desktop<< speichern und ausführen (vor dem Ausführen aber unbedingt dein Antivirenprogramm beenden, Guard stoppen reicht), klicke die Hardware Warnmeldung weg (keine Angst das Prog. ist sicher trotz der Meldung) nichts machen, keine Mausbewegung, abwarten der PC startet neu das Log was erscheint dann posten

[Hubbahub]

File-Upload.net - ComboFix.txt

Der Vorgang wirkte ja äußerst vielversprechend.

[AHT]

Hast du eine XP-Prof CD parat?

[Hubbahub]

Muss ich eben raussuchen. Und was soll ich dann damit machen?

[AHT]

Brauchen wir für einen weiteren Test.

• CD bei laufendem Windows einlegen, alles was startet abbrechen.
• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPFS_Scan4
CREATE_FOLDER->C:\PPFS_Tools
CREATE_FOLDER->C:\PPFS_Sicherung
REGISTRY_ENUM->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup
CREATE_BATCH_FILE->C:\PPFS_Tools\SFC_BATCH.BAT
WRITE_BATCH->SFC /SCANNOW
OPEN->C:\PPFS_Tools\SFC_BATCH.BAT
SLEEP->200000
COPY_SCANFILES->C:\PPFS_Scan4
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Es startet eine Überprüfung deiner Systemdateien. Ist die beendet, bitte melden. Wir holen uns dann die Daten des Scans.

[Hubbahub]

Fertig.

[AHT]

Jetzt mit dem PPFScanner das Script hier ausführen:

CREATE_FOLDER->C:\PPFS_Scan2
READ_EVENTS->SYSTEM,Windows File Protection,200,255,1,1
COPY_SCANFILES->C:\PPFS_Scan2
OPEN->C:\PPFS_Scan2
END->

Die Dateien aus dem Ordner C:\PPFS_Scan2 hier dann posten.

[AHT]

Danach das hier im PPFScanner ausführen. Der Scanner muss das Rech haben, sich Dateien aus dem Netz herunterzuladen:

REM->Ordner für die Dateien erstellen!
CREATE_FOLDER->C:\PPFS_Tools
CREATE_FOLDER->C:\PPFS_Scan1
 
REM->MBRCheck.exe herunterladen!
DOWNLOAD->http://ad13.geekstogo.com/MBRCheck.exe>C:\PPFS_Tools\giggle3.exe
REM->MBRCheck starten!
RUN->"C:\PPFS_Tools\giggle3.exe" -c -z -q
COPY_SCANFILES->C:\PPFS_Scan1
END->

Auf dem Desktop befindet sich danach eine Datei MBRCheck...
Den Inhalt dieser Textdatei hier posten.

[Hubbahub]

Aus dem Ordner PPFS_Scan2:

Eventlog.txt
Scripting.txt


Und dann noch: File-Upload.net - MBRCheck_04.21.11_16.14.14.txt

[AHT]

Malwarebytes installieren. Update ausführen. Ein kompletter Scan, alle Funde löschen und den Report posten.
Führe anschließend einen System Neustart durch!

Interessant:

20.4.2011 23:22 Uhr 34s 
Record #61826
Computername->NIKKEY
Windows File Protection:
Information
Es wurde versucht, die geschützte Systemdatei ctfmon.exe zu ersetzen.
Diese Datei wurde von der Originalversion wiederhergestellt, um die Systemstabilität zu gewährleisten.
Die Dateiversion der ungültigen Datei ist 0.0.0.1; die Version der Systemdatei ist 5.1.2600.5512.