Groupon EMail - Anhang geöffnet

Desert_Igel

Hi liebes Malware Team,
eine Bekannte hat blöderweise den Anhang (zip) folgender Mail (Absender ist eine GMX-Mailadresse) geöffnet:

Zitat

Sehr geehrter Kunde <NAME>,anbei erhalten Sie die Rechnung für die Nutzung von Groupon GmbH für den Zeitraum von 12 Monaten. Wir hoffen Sie haben auch in Zukunft Spaß am Sparen und werden Sie weiterhin mit unschlagbaren Rabatten überraschen.Betrag: 361,00 EuroRechnung ausgestellt für: <NAME>Die Rechnung ist innerhalb von 14 Tagen zu begleichen. In der beigefügten Datei finden Sie Ihre Rechnung, unsere AGBs und die Widerrufsbelehrung.Mit freundlichen Grüßen Ihr Groupon GmbH Service Team

Ich habe bereits OTL und Malwarebytes ausgeführt und die Logfiles hochgeladen. Auffälligkeiten gibt es keine.

Könntet ihr mal bitte drüber schauen?

Malwarebytes hatte zumindest einen Fund gemeldet.

MBAM und OTL-Logs:
File-Upload.net - otl_mbam.zip

Vielen Dank!
Michael

AxT

Anhang geöffnet?

Das noch tun:

Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
Danach die PPFScan.exe starten.
Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
Wähle im Untermenü Script laden und ausführen.
Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mit Ja.
Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Der Leo

Nabend,

ich sehe Du hast Kaspersky drauf. Ich möchte mir dort das Log gerne ansehen.

Öffne Kaspersky und klicke oben rechts auf Berichte.
Wähle dann unten rechts Detaillierter Bericht aus.
Oben rechts bei "Zeitraum:" Monat auswählen.
Klicke dann unten Links auf "Speicher..."
Gebe dem Dokument einen Namen.
Lad das Log hier hoch.
Poste den Download Link und bewahre den Löschlink auf.

Nun darf AHT seines Amtes walten

AxT

Danke LEO. Kaspersky habe ich nicht.

Desert_Igel

Man seid ihr schnell - vielen Dank!!
Hier zunächst das Kaspersky-Logfile. Das mit dem PPF-Scanner mache ich jetzt auch schnell.

Link gelöscht.

EDIT: JA, der Anhang wurde geöffnet. Mir wurde berichtet, dass aber nichts passiert sei (sich also kein Programm danach direkt geöffnet hat). Keine Ahnung ob das stimmt.

EDIT2: Die betroffene EMail stammt vom Mi 06.03.2013 17:11

AxT

Wo ist denn der Link?

Nimm den Link von LEO zum Hochladen:
File-Upload.net - Ihr kostenloser File Hoster!
Danach Downloadlink hier posten.

Desert_Igel

Habe den Fehler bereits gemerkt und meinen letzten Post editiert. Die txt-Datei findet ihr nun bei file-upload.
Der PPF-Scanner rattert noch.

AxT

Am 07.03 geöffnet?

Desert_Igel

Das weiß ich nicht. Das o.g. Datum steht im Outlook unter "Erhalten:". Meine Bekannte kann sich leider nicht mehr an das genaue Datum erinnern

AxT

Scheint ein Verschlüsselungstrojaner zu sein. Kommst du noch an alle Dateien ran? Sieht im Augenblick noch nach sehr viel Glück aus...

Desert_Igel

Moin,
also ich habe mal ein bisschen auf dem System rumgeklickt - nichts auffälliges zu finden.

... PPF-Scanner rattert immer noch.

LG und danke!!

AxT

Der Rechner hat noch andere Probleme - evtl.passt mit der Platte was nicht. Der Scan kann deshalb sehr lange dauern.

Desert_Igel

hi,
wie kommst du darauf?

AxT

Wegen der LOGs.

Zitat

Error - 01.12.2012 10:36:56 | Computer Name = OLIDATA-MUFNC | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung explorer.exe, Version 6.0.2900.5512, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.

Error - 01.12.2012 10:37:03 | Computer Name = OLIDATA-MUFNC | Source = Application Hang | ID = 1001
Description = Fehlerhafter Speicherbereich 734037209.

Error - 01.12.2012 10:44:46 | Computer Name = OLIDATA-MUFNC | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung rundll32.exe, Version 5.1.2600.5512, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.

Alles anzeigen

Desert_Igel

Hi,
Scan ist gerade fertig geworden =)

File-Upload.net - PPF_Scan1.zip

Danke!!!!

AxT

Sieht OK aus - das Festplattenproblem ist älter - evtl. Schon beseitigt.

Zitat

23.02.2013 11:52 C:\FOUND.011 (HSF)
01.02.2013 08:40 C:\FOUND.010 (HSF)
10.01.2013 17:11 C:\FOUND.009 (HSF)
09.01.2013 18:07 C:\FOUND.008 (HSF)
10.12.2012 16:46 C:\FOUND.007 (HSF)
09.12.2012 16:50 C:\FOUND.006 (HSF)
12.10.2012 17:01 C:\FOUND.005 (HSF)

Alles anzeigen

Das noch tun:

Arbeitsplatz

Rechtsklick auf Laufwerk C:
Eigenschaften
Registrierkarte Extras
Jetzt prüfen
Dateisystemfehler... und Fehlerhafte Sektoren... mit Häkchen versehen
Starten
Auf Nachfrage Prüfung planen lassen!
rebooten
Festplattentest durchführen lassen!
Tue das mit allen Laufwerken!

Dann das:

Von hier GSmartControl herunterladen und installieren: BerliOS Download - The Open Source Mediator
GSmartControl starten
Im Programm doppelt auf die Festplatte(n) klicken
Registrierkarte Attributes aufrufen
Mit Save As die Logs der Festplatte(n) abspeichern
Log-Datei(n) bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und Downloadlinks hier posten.

Jetzt mitmachen!