BKA-Trojaner

Knut82 · 4. September 2011

Hallo zusammen,

ich hab mir diesen nervigen Bundeskriminalamt-Trojaner eingefangen...

Leider hab ich am Rechner nur einen Benutzer eingerichtet, deswegen kann ich mich da jetzt gar nicht mehr anmelden. Laptop mit Brenner ist vorhanden. Kann mir jemand helfen, was jetzt zu tun ist?

Ich hatte die kostenlose Version von Avira AntiVir installiert. War wohl zu wenig...

Sind meine gespeicherten Daten in Gefahr? Und wie siehts mit der externen Festplatte aus, die angeschlossen war? Kann ich die gefahrlos an den Laptop anschließen oder ist die auch infiziert?

Ich hoffe, jemand kann mir Tips geben. Vielen Dank schonmal.

Gruß,
Knut

AxT · 4. September 2011

Von hier AntiBKA.exe herunterladen und auf einem USB-Stick abspeicher.
Den befallenen Rechner über F8 Taste im Abgesicherten Modus mit Eingabeaufforderung booten.
Über die Kommandozeile AntiBKA.exe vom USB-Stick starten.
Im erscheiinenden Dialog OK drücken, der Rechner startet sich dann neu.
Danach müsste der Desktop wieder erscheinen.
Auf dem Laufwerk, auf dem Windows installiert ist, befindet sich dann ein Ordner BKADelete mit einer Datei BKATrojanDelete.LOG. Diese Logdatei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und den Downloadlibk hier posten.

Wenn du Probleme hast, das durchzuführen, bitte einmal melden.

Knut82 · 4. September 2011

Hi AHT, vielen Dank erstmal, dass du dich meinem Problem angenommen hast. Es läuft soweit wieder.

Hier der Link: File-Upload.net - BKATrojanDelete.LOG

Gruß,
Knut

AxT · 4. September 2011

Wenn es wirklich der BKA Trojaner ist (und nichts anders zusätzlich) sind deine externen Datenträger nicht in Gefahr. Lauft AntiVir auf dem anderen Rechner oder bereibst du ein Betriebsystem ab Vista mit allen Updates auf dem zweiten Rechner, kannst du den ebenfalls nicht mit externen Datenträgern infizieren, auch wenn die sich was einfangen haben.

Von der Programmiertechnik her macht derr BKA Trojaner den Eindruck, als wäre der von einem Realschüler erstellt, der gerade eben programmieren gelernt hat. Mach dir um den keine Sorgen.

AxT · 4. September 2011

So geht es weiter:

Guard deines Virenscanners deaktivieren.
Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
PPFScan.exe starten.
In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

Code

SEND_MESSAGE->92.252.88.118
->81
->Hallo, ich sende Datei...
SLEEP->60000
SEND_FILE->92.252.88.118
->81
->G:\PPF\Sicherung\jashla.ex_

Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
Wenn deine Firewall meckert, erlaube dem Scanner den Internetzugriff.
Wenn du das durchgeführt hast, einmal melden.

Knut82 · 4. September 2011

Okay, dann hoffe ich mal, dass ich jetzt "clean" bin. Ich werde das System mal vollständig von Antivir überprüfen lassen.

Auf dem Laptop läuft Vista. Dann sollte das ja passen.

Vielen vielen Dank! Deine Hilfe hat mir eine Menge Rennereien, Ärger und Geld gespart.

Ach ja! Wenn zu so einem Kram "gelangweilte Kinder" fähig sind, bin ich froh, nicht zu wissen, was echte Profis fertig bringen... wahrscheinlich würde ich meinen Router direkt anzünden.

Gruß,
Knut

AxT · 4. September 2011

Wir sind noch nicht fertig!!!
http://www.paules-pc-forum.de/…-trojaner.html#post870981

Knut82 · 4. September 2011

Okay, sorry, bin da. Geht sofort weiter!

Knut82 · 4. September 2011

Ist fertig! Soll ich hier irgendwas reinkopieren?

AxT · 4. September 2011

Nochmals genauso folgendes Script mit dem PPFScanner ausführen:

Code

SEND_MESSAGE->92.252.88.118
->81
->Hallo, ich sende Datei...
SLEEP->60000
SEND_FOLDER->92.252.88.118
->81
->C:\BKADelete

Knut82 · 4. September 2011

Auch fertig

Gruß,
Knut

AxT · 4. September 2011

Hat geklappt. Ich habe mir gerade die Datei zusenden zu lassen, um die den Virenlabors zuzuschicken.
Als nächstes das hier tun, dauert 40Minuten:

PPFScan.exe starten.
Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
Wähle im Untermenü Script laden und ausführen.
Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mit Ja.
Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Knut82 · 4. September 2011

Ich bekomme jetzt die Meldung: PPFScan hat ein Problem festgestellt und muss beendet werden. Blöderweise habe ich eben mit der Leertaste beendet, bevor ich fragen konnte was richtig ist. Die andere Möglichkeit wäre "debuggen" gewesen. Soll ich neu starten oder ist das richtig so?

AxT · 4. September 2011

Ist nicht schlimm.

Malwarebytes installieren. Update ausführen.
Ein kompletter Scan, alle Funde löschen und den Report wieder als Textdatei bei File-Upload.net - Ihr kostenloser File Hoster! hochladen die Downloadlinks in Deinem Thread posten.
Führe anschließend einen System Neustart durch!

Knut82 · 4. September 2011

So, alle Schritte durchgeführt.

Hier die Datei: File-Upload.net - mbam-log-2011-09-04--21-01-17-.txt

AxT · 4. September 2011

Systemwiederherstellung deaktivieren:

Start->
Systemsteuerung->
System->
Registrierkarte Systemwiederherstellung->
Häkchen bei Systemwiderherstellung auf allen Laufwerken deaktivieren setzen.
OK

Etwas warten, Systemwiederherstellung dann wieder aktivieren (Häkchen entfernen, OK)

Danach noch einmal das hier machen: http://www.paules-pc-forum.de/…-trojaner.html#post870996
Während des Scans Internetbrowser schließen, nichts machen bis der Scan beendet ist und der Scanner sich geschlossen hat.

Knut82 · 5. September 2011

Hi AHT,

ich bin jetzt wieder da. Ich habe die Schritte soweit durchgeführt. Zum Ende des Scans kommt jedoch wieder die Meldung die ich schon geschildert habe. PPSScan.exe hat ein Problem festgestellt und muss beendet werden. Diesmal ist es aber noch geöffnet. Kann ich dir irgendwelche Daten abschreiben die du brauchst?

Gruß,
Knut

AxT · 5. September 2011

Kannst du sehen, was unten rechts neben dem roten blinkenden Punkt als letztes steht?

Knut82 · 5. September 2011

Ja: Scanne 'Shell' Werte im &MountPoints2 Registryschlüssel

AxT · 5. September 2011

OK, das hilft schon.
Einmal folgendes Script im PPFScanner ausführen:

Code

REM->Ordner für Scanfiles erzeugen!
CREATE_FOLDER->C:\PPF_Scan1
REM->Nur Warnungen listen!
SET_OPTIONS->204
REM->Kommandozeilen auslesen!
SET_OPTIONS->214
REM->Alle Dateien listen!
SET_OPTIONS->-205
REM->Registryschlüssel jeden Datums listen!
SET_OPTIONS->-206
REM->Auch nicht aktive Dienste listen!
SET_OPTIONS->-207
REM->Resourceninfos listen!
SET_OPTIONS->217
REM->Keine von Microsoft signierten Sachen listen!
SET_OPTIONS->208,209,210,212,213,215
REM->Firewall Regeln ohne Datei ausblenden!
SET_OPTIONS->211
REM->Alle Scans aktivieren!
SET_OPTIONS->34,-102
SET_OPTIONS->2,3,4,5,6,7,8,9,10
SET_OPTIONS->11,12,13,14,15,16,17,18
SET_OPTIONS->19,20,21,22,23,24,25,26
SET_OPTIONS->27,28,29,30,31,32,33,-35
SET_OPTIONS->36,37,38,39,40,41,42,43
REM->Scans in Scanlistansicht ausführen!
SCANLIST->
SET_HEADLINE->* Enhanced Autostart Keys *#* Erweiterte Autostartschlüssel * 
REM->Autostartschlüssel unter Policies\Explorer\Run listen!
REGISTRY_ENUM->HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
REGISTRY_ENUM->HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\Run
SET_HEADLINE->* Enhanced Winlogon Key Redirections *#* Erweiterte Winlogon-Schlüssel Umleitungen * 
REM->Autostartschlüssel unter Policies\Explorer\Run listen!
REGISTRY_READ->HKEY_CURRENT_USER\Software\Microsoft\Windows NT\CurrentVersion\Winlogon
->Shell
SET_HEADLINE->* URL-Searchhooks *#* URL-Searchhooks * 
REM->URL-Searchhooks unter HKCU listen!
REGISTRY_ENUM_DEPENDANT_VALUE->HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks
->HKEY_CLASSES_ROOT\CLSID\%DEPENDANT%\InprocServer32
->
REM->URL-Searchhooks unter HKLM listen!
REGISTRY_ENUM_DEPENDANT_VALUE->HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\URLSearchHooks
->HKEY_CLASSES_ROOT\CLSID\%DEPENDANT%\InprocServer32
->
SET_HEADLINE->* Telephony Providers *#* DSL-Telephonie*
REM->Telephony Providers listen
REGISTRY_ENUM->HKEY_LOCAL_MACHINE\software\microsoft\Windows\CurrentVersion\Telephony\Providers
REGISTRY_ENUM->HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Telephony\Providers
REM->Von SVCHOST geladene Module listen!
SET_HEADLINE->*Modules loaded through SVCHOST*#* Von SVCHOST geladene Module *
REGISTRY_ENUM_DEPENDANT_KEY_S->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services
->HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\%DEPENDANT%\Parameters
->ServiceDLL
REM->Durch SharedTaskScheduler geladene Module listen!
SET_HEADLINE->*Modules loaded through SharedTaskScheduler*#*Durch SharedTaskScheduler geladene Module*
REGISTRY_ENUM_DEPENDANT_VALUE->HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler
->HKEY_CLASSES_ROOT\CLSID\%DEPENDANT%\InprocServer32
->
REM->MD5 Test der Systemverzeichnisse
SET_HEADLINE->* MD5-Test of Systemfolder *#* MD5-Test der Systemordner *
MD5->%SYSTEMROOT%\System32\*.*
MD5->%SYSTEMROOT%\System32\Drivers\*.*
MD5->%SYSTEMROOT%\SysWOW64\*.*
MD5->%SYSTEMROOT%\SysWOW64\Drivers\*.*
MD5->%SYSTEMROOT%\Explorer.exe
REM->Eventlog von System und WindowsDefender auslesen
SET_HEADLINE->* Eventlog System Errors *#* Systemfehler in der Ereignisanzeige *
READ_EVENTS->System,,50,3,1,1
SET_HEADLINE->* Important WindowsDefender Messages *#* Wichtige Meldungen des WindowsDefenders *
READ_EVENTS->System,WinDefend,50,3,1,1
REM->Dateiverknüpfungen auslesen!
SET_HEADLINE->File Extensions#* Dateiverknüpfungen *
REM->.bat
REGISTRY_READ->HKEY_CLASSES_ROOT\batfile\shell\open\command
->
REM->.cmd
REGISTRY_READ->HKEY_CLASSES_ROOT\cmdfile\shell\open\command
->
REM->.com
REGISTRY_READ->HKEY_CLASSES_ROOT\comfile\shell\open\command
->
REM->.exe
REGISTRY_READ->HKEY_CLASSES_ROOT\exefile\shell\open\command
->
REM->.pif
REGISTRY_READ->HKEY_CLASSES_ROOT\piffile\shell\open\command
->
REM->.reg
REGISTRY_READ->HKEY_CLASSES_ROOT\regfile\shell\open\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\regfile\shell\Merge\command
->
REM->.scr
REGISTRY_READ->HKEY_CLASSES_ROOT\scrfile\shell\open\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\scrfile\shell\config\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\scrfile\shell\install\command
->
REM->.txt
REGISTRY_READ->HKEY_CLASSES_ROOT\txtfile\shell\edit\command
->
REM->unbekannt
REGISTRY_READ->HKEY_CLASSES_ROOT\Unknown\shell\openas\command
->
REM->Directory
REGISTRY_READ->HKEY_CLASSES_ROOT\Directory\shell\find\command
->
REM->Ordner
REGISTRY_READ->HKEY_CLASSES_ROOT\Folder\shell\find\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\Folder\shell\explore\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\Folder\shell\open\command
->
REM->Laufwerk
REGISTRY_READ->HKEY_CLASSES_ROOT\Drive\shell\find\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\Drive\shell\explore\command
->
REGISTRY_READ->HKEY_CLASSES_ROOT\Drive\shell\open\command
->
REM->PPFScanner Threads auslesen!
SET_HEADLINE->* Threads of PPFScanner *#* Threads des PPFScanners *
THREADS_BY_FILENAME->%PROGNAME%
REM->EXE, COM, BAT und PIF in Autostartordnern listen!
CREATE_BATCH_FILE->%PROGDIR%AUTOSTART.SCP
WRITE_BATCH->SET_HEADLINE->*exe, com and pif files in startup folders *#* EXE, COM, BAT und PIF in Autostartordnern *
WRITE_BATCH->LIST_FILES->%Reg_Startup%,*.exe
WRITE_BATCH->LIST_FILES->%Reg_Startup%,*.COM
WRITE_BATCH->LIST_FILES->%Reg_Startup%,*.bat
WRITE_BATCH->LIST_FILES->%Reg_Startup%,*.pif
WRITE_BATCH->LIST_FILES->%Reg_CommonStartup%,*.exe
WRITE_BATCH->LIST_FILES->%Reg_CommonStartup%,*.COM
WRITE_BATCH->LIST_FILES->%Reg_CommonStartup%,*.bat
WRITE_BATCH->LIST_FILES->%Reg_CommonStartup%,*.pif
LOAD_SCRIPT->%PROGDIR%AUTOSTART.SCP
REM->Scanfiles in den Ordner PPF_Scan1 kopieren!
COPY_SCANFILES->C:\PPF_Scan1
OPEN->C:\PPF_Scan1
REM->Scanner beenden!
END->

Alles anzeigen

Kannst am PC weiterarbeiten, solange das Script läuft. Stürzt der wieder ab, fahren wir härtere Geschütze auf.

BKA-Trojaner

Jetzt mitmachen!

Teilen