[Windows 7-32 bit] Trojan.FakeAV.LVT hat mich dummerweise erwischt :(

[Assay]

Hi,

Habe mir gestern dummerweise den Trojan.FakeAV.LVT eingefangen und - da ich noch unwissend war - den Neustart nicht verhindert. Seit dem startet der Rechner immer in unbestimmten Intervallen neu. Es wäre eigentlich kein sehr großer Verlust, die Partition neu aufzusetzen, da ich hauptsächlich mit meiner Mac OS X Partition "arbeite" . Ich hoffe trotzdem, dass es einen anderen Weg gibt, den Trojaner und seine Spuren zu beseitigen.
Ich hoffe ich habe keine Details vergessen!

Danke für jede Hilfe!

P.S.: Ich habe gestern mit der Kaspersky Rescue Disk versucht den Trojaner zu beseitigen, doch das ist mir nicht gelungen. Ich denke auch, dass der Trojaner schon viele Spuren hinterlassen hat.

P.P.S.: Ich bin derzeit mit der Mac OS X Partition im Internet, es könnte also etwas dauern, bis ich die Logfiles oder so poste .

[Edit]: Die schädliche Datei habe ich gelöscht und aus dem Papierkorb entfernt, falls das relevant ist.

[Edit²]: Der Rechner hat jetzt (also von ungefähr 13 Uhr bis 16 Uhr) nur einmal selbst neugestartet.

[Assay]

Hier die Downloadlinks und der Code vom Log (Sorry, dass das länger gedauert hat ^^):

info.txt:
File-Upload.net - info.txt

log.txt:
File-Upload.net - log.txt

Log:

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org
Datenbank Version: 8060
Windows 6.1.7600
Internet Explorer 8.0.7600.16385
01.11.2011 15:46:13
mbam-log-2011-11-01 (15-46-10).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|)
Durchsuchte Objekte: 314817
Laufzeit: 29 Minute(n), 13 Sekunde(n)
Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 10
Infizierte Dateiobjekte der Registrierung: 4
Infizierte Verzeichnisse: 1
Infizierte Dateien: 27
Infizierte Speicherprozesse:
c:\Windows\update.1\svchost.exe (Trojan.Agent) -> 2000 -> No action taken.
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\sysdriver32.exe (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\systeminfog (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\SERVICES32.EXE (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Network\wxpdrivers (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srvbtcclient (Trojan.Downloader) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srviecheck (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srvsysdriver32 (Trojan.Agent) -> No action taken.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wxpdrv (Trojan.Agent) -> Value: wxpdrv -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\tray_ico0 (Trojan.Agent) -> Value: tray_ico0 -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\1651705.exe (Trojan.Downloader.Gen) -> Value: 1651705.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysdriver32.exe (Trojan.Agent) -> Value: sysdriver32.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\sysdriver32_.exe (Trojan.Agent) -> Value: sysdriver32_.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\8399192.exe (Trojan.Downloader.Gen) -> Value: 8399192.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\4402844.exe (Trojan.Downloader.Gen) -> Value: 4402844.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\6675355.exe (Trojan.Downloader.Gen) -> Value: 6675355.exe -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Services32.exe\close (Trojan.Agent) -> Value: close -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\wxpDrivers\ImagePath (Trojan.Agent) -> Value: ImagePath -> No action taken.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SAFEBOOT\AlternateShell (Hijack.Altshell) -> Bad: (services32.exe) Good: (cmd.exe) -> No action taken.
Infizierte Verzeichnisse:
c:\Windows\rpcminer (Trojan.BCMiner) -> No action taken.
Infizierte Dateien:
c:\Windows\update.1\svchost.exe (Trojan.Agent) -> No action taken.
c:\Windows\services32.exe (Trojan.Agent) -> No action taken.
c:\Windows\update.tray-8-0\svchost.exe (Trojan.Agent) -> No action taken.
c:\Windows\new111.exe (Backdoor.0Access) -> No action taken.
c:\Windows\System32\config\systemprofile\AppData\Local\8b6c9905\X (Backdoor.0Access) -> No action taken.
c:\Windows\Temp\13591_myunrar2.exe (Trojan.Dropper) -> No action taken.
c:\Windows\ufa\ufa.exe (PUP.BitMiner) -> No action taken.
c:\Windows\update.tray-8-0-lnk\svchost.exe (Trojan.Agent) -> No action taken.
c:\Users\Alex\AppData\Local\Chromium\user data\Default\Cache\f_0038a9 (Trojan.Agent) -> No action taken.
c:\Users\Alex\AppData\Local\Temp\~os3746.tmp\rlxf.dll (Adware.RelevantKnowledge) -> No action taken.
c:\Windows\Temp\2419443.exe (Trojan.Agent) -> No action taken.
c:\Windows\Temp\6530906.exe (Trojan.Agent) -> No action taken.
c:\Windows\Temp\362020929.exe (Trojan.FakeAlert.Gen) -> No action taken.
c:\Windows\rpcminer\bitcoinmineropencl.cl (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\bitcoinminercuda_10.cubin (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\bitcoinminercuda_11.cubin (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\bitcoinminercuda_20.cubin (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\cudart32_32_16.dll (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\curllib.dll (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\libeay32.dll (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\libsasl.dll (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\openldap.dll (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\rpcminer-4way.exe (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\rpcminer-cpu.exe (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\rpcminer-cuda.exe (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\rpcminer-opencl.exe (Trojan.BCMiner) -> No action taken.
c:\Windows\rpcminer\ssleay32.dll (Trojan.BCMiner) -> No action taken.

Hier der Downloadlink des Logs:
File-Upload.net - mbam-log-2011-11-01--15-46-10-.txt

Ich hoffe mal, dass es gut aussieht und nicht schlecht ^^

P.S.: Gab keine Umstände beim löschen der Trojaner.

[AHT]

Nein, sieht nicht gut aus.
Du hast dir ein schlimmes RootKit eingefangen - betreibst du Onlinebanking mit dem Gerät?

[Assay]

Nein. Ist denn noch irgendetwas zu retten?

[AHT]

Mal schauen. Hast du die Funde von Malwarebytes gelöscht? Falls nicht, hole das jetzt nach.

Danach:

• Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
• Danach die PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

________________

Dann:

• Combofix herunterladen und ausführen
  vor dem Ausführen aber unbedingt dein Antivirenprogramm beenden - Guard stoppen.
• Nichts machen, keine Mausbewegung, abwarten der PC startet neu das Log, das erscheint, in eine Textdatei kopieren, die Datei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und den Downloadslink posten.

________________

Dann:

Kaspersky TDSSKiller
Download : TDSSKiller.zip

• Lade die TDSSKiller.zip herunter und entpacken es in einen einzelnen Ordner auf dem Desktop.
• Starte die Datei TDSSKiller.exe
• Warte bis zum Ende der Untersuchung und der Desinfektion.
• Lade bitte das Logfile bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste den Downloadlink hier im Forum.

________________

Danach auf weitere Anweisungen warten. Keine Einkäufe mit dem Rechner tätigen.

[Assay]

So, hier die Downloadlinks:

PPFScanner-Logs:
File-Upload.net - Drivers.txt
File-Upload.net - Eventlog.txt
File-Upload.net - Files.txt
File-Upload.net - Firewall.txt
File-Upload.net - Hidden.txt
File-Upload.net - MD5.txt
File-Upload.net - Modules.txt
File-Upload.net - ppFiles.txt
File-Upload.net - ppRegistry.txt
File-Upload.net - Processes.txt
File-Upload.net - Scripting.txt
File-Upload.net - Services.txt
File-Upload.net - Threads.txt
File-Upload.net - Warnings.txt

Combofix-Log:
File-Upload.net - ComboFix.txt

Kaspersky-Log:
File-Upload.net - Logs-Kaspersky.txt

Ich hoffe ich habe alles richtig gemacht ^^

[AHT]

Ja, wunderbar.
ESET Online Scanner installieren, komplett scannen lassen, alle Funde löschen, LOG hochladen.


Danach noch einmal das tun:

• PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

[Assay]

Nachdem der Online Scanner durch ist, soll ich gleich mal den Log hoch laden, oder warten bis der PPFScanner auch durch ist und dann beide hochlanden?

[AHT]

Erst das LOG von ESET, dann danach erst den PPFScanner ausführen. Den nicht starten, bevor du mit Eset fertig bist - brauche aktuelles LOG nach dem Scan von ESET.

[Assay]

Okey

[AHT]

Im ersten LOG vom PPFScanner sehe ich noch mindestens einen Treiber eines RootKits - ich möchte nachher kontrollieren können, ob der weg ist.
Ich muss morgen noch einige MD5s bei dir kontrollieren - das schaffe ich heute nicht mehr. Wir machen auf jeden Fall morgen weiter.

[Assay]

Gut, ich kann heute auch nur noch aller höchstens den Log vom Online Scanner rausrücken, da heute mein Internet nicht gerade das schnellste war

Danke für die Hilfe, die du mir jetzt schon geleistet hast! Kann jetzt schon ohne Neustarts am Windows Rechner sitzen

[Assay]

So, hier der Link zum Online Scan Log:
File-Upload.net - log.txt

Mehr wird mein Computer heute nicht mehr schaffen

[Assay]

Hier die Downloadlinks für die PPFScan-Logs:
File-Upload.net - Drivers.txt
File-Upload.net - Eventlog.txt
File-Upload.net - Files.txt
File-Upload.net - Firewall.txt
File-Upload.net - Hidden.txt
File-Upload.net - MD5.txt
File-Upload.net - Modules.txt
File-Upload.net - ppFiles.txt
File-Upload.net - ppRegistry.txt
File-Upload.net - Processes.txt
File-Upload.net - Scripting.txt
File-Upload.net - Services.txt
File-Upload.net - Threads.txt
File-Upload.net - Warnings.txt

[AHT]

Sieht schon besser aus!
Mache folgendes:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

CREATE_FOLDER->C:\PPF_SCAN3
REGISTRY_ENUM->HKEY_CLASSES_ROOT\.lnk\ShellNew
CREATE_FOLDER->C:\PPF_Sicherung
REGISTRY_SAVE->HKEY_CLASSES_ROOT\.lnk\ShellNew>C:\PPF_Sicherung\LNK_SHELLNEW.REG
REGISTRY_DELETE_VALUE->HKEY_CLASSES_ROOT\.lnk\ShellNew
->Command
COPY_SCANFILES->C:\PPF_SCAN3
OPEN->C:\PPF_SCAN3
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
• Nach dem Scan beendet sich der Scanner. Es befinden sich danach im Ordner C:\PPF_Scan3 einige Textdateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.