Buieif

[AHT]

• Eset Onlinescanner installieren -Komplettscan machen, auch Archive durchsuchen lassen: ESET :: Finden Sie die richtige Sicherheitslöung für Ihre Bedürfnisse! :: ESET Online Scanner
• LOG befindet sich im Ordner, in den Eset sich bei dir installiert hat und heißt LOG.TXT.

[AHT]

Danach zur Kontrolle noch einmal das tun:

• PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Ich melde mich morgen, dann machen wir weiter. Bislang sieht's gut aus.
Hattest du vorher mal einen anderen Virenscanner auf dem Gerät? Mal Virenmeldungen gehabt?

[zimpi]

Hatte nie ne vierenmeldung und auch noch nie einen andren scanner aber indiesemfalle wird es ein andrer werden

File-Upload.net - log.txt

File-Upload.net - PPF_Scan1.rar

n8 und danke

[AHT]

OK, kurz Zusammenfassung:

1. Unter dem Registryschlüssel HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run befand sich ein Starteintrag für die Datei C:\Users\Drip\AppData\Roaming\Buieif.exe. Das sieht gewaltig nach einem Backdoor Trojaner aus (ZBOT). Die Datei war zu dem Zeitpunkt, zu dem der Scan mit dem PPFScanner ausgeführt wurde, bereits nicht mehr auf dem Rechner. Nur der Starteintrag war noch vorhanden. Wichtig wäre es zu wissen, wann die Datei gelöscht wurde. Eventuell findest du diesbezüglich noch Hinweise in den LOGs von Kasperky.
2. Unter dem Registryschlüssel HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\X6va005 wurde ein Treiber initialisiert, um den durch ein Programm zu starten. Der Treiber heißt C:\Users\Drip\AppData\Local\Temp\0053E0A.tmp. Die Dateiendung .TMP ist für einen Treiber sehr ungewöhnlich - normalerweise heißen Treiber .SYS. Der einzige Grund einen Treiber mit dieser Dateiendung zu verwenden wäre eigentlich, dass ein lasch eingestellter Virenscanner den Treiber beim Laden nicht auf Viren hin prüft. Auch diese Datei war zum Zeitpunkt des Scans bereits nicht mehr vorhanden. Es wurde aber noch am 03.02.2012 versucht, diesen Treiber zu laden.
3. Beim ersten Scan mit dem PPFScanner sah es für mich so aus, als wolle ein anderes Programm Code innerhalb des PPFScanners ausführen - starker Hinweis auf einen laufenden ZBOT Trojaner. Das LOG sieht jetzt OK aus.

Die oben genannten Starteinträge habe ich gelöscht. Machst du Onlinebanking mit dem Gerät?

[zimpi]

Ja machte ich, nur was soll ich jetzt tun ist es wieder "sauber" da das file buieif ned mehr vorhanden ist

[AHT]

Im Augenblick sieht die Kiste sehr gut aus - trotzdem würde ich den Rechner komplett neu aufsetzen (ein Restrisiko bleibt). Setze dich auch sobald es geht mit deiner Bank in Verbindung. Sage denen, dass du dir vermutlich einen ZBOT oder SpyEye Trojaner eingefangen hattest und nicht genau weißt, ob dir Daten abhanden gekommen sind. Frage die, was du weiter tun sollst.
Sinn der Sache: Die sollen vorgewarnt sein, dass unter Umständen jemand versucht, dir Geld zu stehlen.

Nachdem der Rechner aufgesetzt ist, unbedingt alle Passwörter ändern (EBAY, E-MAIL,...). Du kannst damit rechnen, dass die schon jemand anderem bekannt sind und früher oder später genutzt werden.

[zimpi]

Ich danke für die hilfe, noch ne frage zum schluss welcher virenscanner wäre den empfehlenswert ?

[AHT]

Virenscanner sind egal - kannst bei Kaspersky bleiben.
Virenscanner sind signaturbasierend - die erkennen nur das, was schon bekannt ist. Ist erst mal was installiert, ist das heutzutage oft ein RootKit. Selbst wenn der Scanner später Signaturen besitzt, kann er den Trojaner dann nicht finden.

Der beste Schutz beim Surfen ist zur Zeit eine gute Sandbox (zusätzlich zum Virenscanner).
Für sicheres Surfen kann ich dir Sandboxie empfehlen: Sandboxie - Sandbox software for application isolation and secure Web browsing
Sandboxie ist Shareware, du kannst es aber frei benutzen (es erscheint beim Start ein NAG-Screen). Ich habe Sandboxie bei mir so eingestellt, das es nicht generell beim Systemstart ausgeführt wird. Will ich Programme testen, starte ich die in der Regel erst mal über Sandboxie. Browse ich im Internet, erfolgt das auch über Sandboxie (Sandboxie Web Browser - Icon).
Sandboxie führt Anwendungen in einer Art "Käfig" aus. Für die Anwendung ist es so, als würde sie im Betriebsystem laufen und sich dort installieren - in Wirklichkeit läuft sie aber in diesem "Käfig" und kann nichts am Betriebsystem ändern.

[zimpi]

Danke für die rasche lösung

MfG
Zimpi