AV Security Suite

[Prom07]

Moin Leute!

Ich habe mir heute nen ziemlich miesen Trojaner eingefangen, der sich (ironischerweise) selbst als Sicherheitssoftware ausgibt.
Die ganze Chose nennt sich "AV Security Suit"

Die Anwendung hat sich selbst installiert (habe keinen bewussten download getätigt), und faked seit dem ca. alle 2 Minuten einen "Windows Security Alert", Berichte über einfallende Viren und Trojaner, und verweist mich auf eine Website in der mir die Vollversion für stolze 60$ angeboten wird.
Dummerweise wehrt sich der Schädling gegen seine Bekämpfung in dem er die Ausführung von sämtlichen exe Dateien verhindert (Unter Verweis darauf dass diese "infiziert" wären). Was das eigenständige Starten von Browsern etc. und sogar des Taskmanagers verhindert.

Ich bin jetzt nur online weil ich einen anderern Administratorenaccount auf diesem Rechner verwenden kann welcher anscheinend nicht infiziert wurde.
Antivir hat anscheinends keine funktionierende Lösung erbracht =(

Habt Ihr vielleicht einen Rat?


Wäre super wenn Ihr mir helfen könntet :

Prom07

 

[-patrick-]

AW: AV Security Suit

Man könnte versuche den Schädling via Boot CD zu löschen (einschließlich Regristry Einträge) oder mit ner Boot CD (auf der eine Antiviren Software drauf ist) den rechner scannen lassen.

 

[Blue_Quarter]

AW: AV Security Suit

Probier doch mal die Boot CD von Kaspersky

http://devbuilds.kaspersky-labs.com/devbuilds/RescueDisk10/kav_rescue_10.iso

MfG Blue

 

[Boogeyman]

AW: AV Security Suit

Klick mich hart! Ist es so schwer mal eine Suche zu starten, bevor man hier fragen muss?
AV Security Suite entfernen
Sonst ist bei deinem System bestimmt einiges im argen, auf einem aktuellen System und mit entsprechenden Sicherheitsmaßnahmen passiert dir so was nämlich nicht.

[How to] Windows Rechner sicher einrichten und wichtige Verhaltensregeln

 

[Prom07]

AW: AV Security Suit

Danke erst für die Tips -

Habe "Anti-Malware" runtergeladen, installiert, geupdated, XP via F8 im abgesicherten Modus gestartet, nen vollen Systemscan durchgejagt alle identifizierten Dateien löschen lassen, meinen Rechner neu gestartet und dann im Firefox meine Proxyeinstellungen neu konfiguriert - Jetzt läuft es erst mal wieder =)

Boogeyman - Benutze XP mit SP2 ohne aut. Updated und mit der Free-Version von Antivir

 

[Boogeyman]

Aber updaten tust du dein XP wenigstens manuell?
Der Support für Service Pack 2 läuft am 13. Juli aus, danach musst du das SP3 installiert haben, damit man Updates bekommt.

 

[Kisk]

Servus Leute,

hab mir gestern abend auch diesen AV Mist eingefangen. Hab versucht den Prozess über den Taskmanager zu stoppen, wurde aber von AV geblockt. Woll dann im Msconfig den Start des Prozesses verhindern, wurde aber auch geblockt.

Hab dann so den Rechner neugestartet und gleich in den Tasmanager rein, bevor sich der AV-Prozess einmischen konnte. So konnte ich den Prozess dann beenden und den Autostart per Msconfig verhindern. Hab mich dann über Avira Antivir dran gemacht den Mist loszuwerden. Avira hat AV Guard gefunden und gekillt. Danach hab ich den Rest noch manuell unter "C:\Users\***\AppData" gelöscht und die im Trojanerboard gennannten Registry Einträge gesucht, aber nicht gefunden. Hatte dann aber doch noch nen sehr verdächtigen Eintrag gesehen und gelöscht.

Zum schluss hab bin nochmals alles in der Einleitung http://www.trojaner-board.de/86690-av-security-suite-entfernen.html durchgegangen. Malwarebytes Anti-Malware hat aber nix mehr gefunden.

Hier mein Hijack-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:16:09, on 12.07.2010
Platform: Unknown Windows (WinNT 6.01.3504)
MSIE: Internet Explorer v8.00 (8.00.7600.16385)
Boot mode: Normal

Running processes:
D:\Programme\Creative\Volume Panel\VolPanlu.exe
D:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Windows\SysWOW64\CTXFISPI.EXE
D:\Programme\Mozilla Firefox\firefox.exe
D:\Programme\Mozilla Firefox\plugin-container.exe
D:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
F2 - REG:system.ini: UserInit=userinit.exe
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [VolPanel] "d:\Programme\Creative\Volume Panel\VolPanlu.exe" /r
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CtxfiReg] CTXFIREG.exe /FAIL1 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CtxfiReg] CTXFIREG.exe /FAIL1 (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O13 - Gopher Prefix:
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://ccfiles.creative.com/Web/softwareupdate/su2/ocx/15111/CTPID.cab
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Creative Audio Service (CTAudSvcService) - Creative Technology Ltd - C:\Program Files (x86)\Creative\Shared Files\CTAudSvc.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: nHancer Support (nHancer) - KSE - Korndörfer Software Engineering - D:\Programme\nHancer\nHancerService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: PnkBstrA - Unknown owner - C:\Windows\system32\PnkBstrA.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: Druckwarteschlange (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: Software Protection (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: TunngleService - Tunngle.net GmbH - d:\Programme\Tunngle\TnglCtrl.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

--
End of file - 5157 bytes

Bin ich den scheiss los oder muss das System neu drauf?

P.s. Und was ist dieser "File Missing" dreck?