Trojaner auf externen Festplatte

[leobuck]

Hi,

folgendes Problem:

Der Laptop meiner Schwester brachte gestern eine Fehlermeldung über eine von dem Trojaner TR/ATRAPS.Gen befallene Datei. Datei gelöscht.

Heute ihre externe Festplatte eingesteckt booomt es nur so vor Meldungen, alles befallen. Im Pfad standen immer nur .exe Dateien, also habe ich die auch gelöscht weil ich dachte, dass es vom Virus erstellte Dateien oder so wären. War schließlich in verschiedenen persönlichen Daten Ordnern, wo keine Anwendungen sein sollten.
Habe dann gemerkt, dass auf der Festplatte die ganzen Ordner fehlen! Mensch, hätte mir in Arsch beißen können.
Also zum Papierkorb und die Daten wiederherstellen. Bei einer (!) Datei, hat irgendwie die Berechtigung dazu gefehlt und ich war gezwungen, den Vorgang abzubrechen.
Folge: an beiden Orten keine Dateien. Weder im Papierkorb noch auf der externen HDD.

So, mein Wissen hört genau hier auf. Die Dateien sind ja wohl nicht einfach weg, oder? Wie komme ich da ran?
Ihre Festplatte hat während des gesamten Vorgangs immer angezeigt, dass nur 20GB frei sind. Dies war auch bisher der Fall ... also was ich sagen will, es ist nicht mehr Speicher frei geworden durch das Löschen.

Ich benutze auf dem Rechner AntiVir. Ich selber bin damit schon jahrelang klar gekommen ... keine Ahnung wie man sowas trotz Update-Pflege etc schafft.


Hoffe ihr könnt mir weiterhelfen. Die Daten sind wirklich wichtig!

Grüße,
Leo.

 

[Denizko]

installier mal norton oder ein anderen guten antivirus.die können es besser löschen.so ne virus hatte ich auch mal die sich teilen oder vermehren)

 

[ufuk675]

Servus,

wenn du Win7 hast, dann probier folgendes:

Start -> Systemsteuerung -> Ordneroptionen (auch zu finden unter Darstellung und Anpassung) -> Im Register Ansicht, hacken bei "Geschützte Systemdaten ausblenden" wegmachen.

Dann müssten die "verschollen" Ordner wieder auftauchen, wenn nicht dann gibts noch einen weiteren Punkt im Ansicht Register und zwar beim Punkt "Versteckte Daten und Ordner" da einfach auswählen, dass die Versteckten Daten/Ordner sichtbar werden. -> Übernhemen fertig.

unter XP ist es ähnlich, hoffe das hilft dir etwas weiter..

gruß

 

[leobuck]

Hallo,

sorry erst jetzt komme ich richtig dazu und habe Zeit mich darum zu kümmern.

Danke ufuk für den Tip, die Daten erscheinen wieder alle. Habe die externe Festplatte an meinem sauberen Rechner angeschlossen und überprüfe sie gerade mit antivir. Er zeigt auch bei den durchsuchten Dokumenten die Dateien an, die angebliclh verschwunden waren. Sie sind also da. Das ist schonmal gut.

Ich habe keine Ahnung wie ich von dem Laptop den Virus entfernen soll, muss nochmal abklären ob da wichtige Daten drauf sind, sonst mache ich das System einfach platt und spiele Windows7 auf (war eh fällig). Dann bin ich damit schonmal auf der sicheren Seite.

Wie kann ich bei der externen Festplatte vorgehen?

Grüße,
leobuck.

Ergänzung (8. August 2010)

So, wurde ein paar Sachen gefunden. Bei den unwichtigen habe ich auf löschen geklickt, die anderen mal in Quarantäne verschoben.

Hier der Report:


Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 8. August 2010 14:16

Es wird nach 2689530 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows 7
Windowsversion : (plain) [6.1.7600]
Boot Modus : Normal gebootet
Benutzername : Leo
Computername : LBUCK

Versionsinformationen:
BUILD.DAT : 10.0.0.567 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 19.04.2010 19:50:43
AVSCAN.DLL : 10.0.3.0 56168 Bytes 19.04.2010 19:50:43
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 16:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 09:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 07:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 17:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 15:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 14:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 09:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 10:03:26
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 23:12:52
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 15:38:40
VBASE008.VDF : 7.10.9.166 2048 Bytes 23.07.2010 15:38:41
VBASE009.VDF : 7.10.9.167 2048 Bytes 23.07.2010 15:38:42
VBASE010.VDF : 7.10.9.168 2048 Bytes 23.07.2010 15:38:43
VBASE011.VDF : 7.10.9.169 2048 Bytes 23.07.2010 15:38:45
VBASE012.VDF : 7.10.9.170 2048 Bytes 23.07.2010 15:38:46
VBASE013.VDF : 7.10.9.198 157696 Bytes 26.07.2010 15:38:53
VBASE014.VDF : 7.10.9.255 997888 Bytes 29.07.2010 15:39:57
VBASE015.VDF : 7.10.10.28 139264 Bytes 02.08.2010 15:40:09
VBASE016.VDF : 7.10.10.52 127488 Bytes 03.08.2010 15:40:15
VBASE017.VDF : 7.10.10.84 137728 Bytes 06.08.2010 15:40:28
VBASE018.VDF : 7.10.10.85 1536 Bytes 06.08.2010 15:40:29
VBASE019.VDF : 7.10.10.86 1536 Bytes 06.08.2010 15:40:30
VBASE020.VDF : 7.10.10.87 1536 Bytes 06.08.2010 15:40:31
VBASE021.VDF : 7.10.10.88 1536 Bytes 06.08.2010 15:40:32
VBASE022.VDF : 7.10.10.89 1536 Bytes 06.08.2010 15:40:33
VBASE023.VDF : 7.10.10.90 1536 Bytes 06.08.2010 15:40:33
VBASE024.VDF : 7.10.10.91 1536 Bytes 06.08.2010 15:40:34
VBASE025.VDF : 7.10.10.92 1536 Bytes 06.08.2010 15:40:35
VBASE026.VDF : 7.10.10.93 1536 Bytes 06.08.2010 15:40:35
VBASE027.VDF : 7.10.10.94 1536 Bytes 06.08.2010 15:40:36
VBASE028.VDF : 7.10.10.95 1536 Bytes 06.08.2010 15:40:38
VBASE029.VDF : 7.10.10.96 1536 Bytes 06.08.2010 15:40:39
VBASE030.VDF : 7.10.10.97 1536 Bytes 06.08.2010 15:40:39
VBASE031.VDF : 7.10.10.104 109056 Bytes 08.08.2010 12:14:16
Engineversion : 8.2.4.34
AEVDF.DLL : 8.1.2.1 106868 Bytes 06.08.2010 15:42:08
AESCRIPT.DLL : 8.1.3.42 1364347 Bytes 06.08.2010 15:42:07
AESCN.DLL : 8.1.6.1 127347 Bytes 13.05.2010 12:44:55
AESBX.DLL : 8.1.3.1 254324 Bytes 24.04.2010 19:51:27
AERDL.DLL : 8.1.8.2 614772 Bytes 22.07.2010 08:30:36
AEPACK.DLL : 8.2.3.5 471412 Bytes 07.08.2010 21:50:25
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 22.07.2010 08:30:23
AEHEUR.DLL : 8.1.2.11 2834805 Bytes 07.08.2010 21:50:17
AEHELP.DLL : 8.1.13.2 242039 Bytes 22.07.2010 08:29:53
AEGEN.DLL : 8.1.3.19 393587 Bytes 07.08.2010 21:49:27
AEEMU.DLL : 8.1.2.0 393588 Bytes 24.04.2010 19:51:15
AECORE.DLL : 8.1.16.2 192887 Bytes 22.07.2010 08:29:46
AEBB.DLL : 8.1.1.0 53618 Bytes 24.04.2010 19:51:09
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 09:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 09:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 14:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 19.04.2010 19:50:43
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 19.04.2010 19:50:43
AVARKT.DLL : 10.0.0.14 227176 Bytes 19.04.2010 19:50:43
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 07:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 10:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 13:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 12:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 11:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 19.04.2010 19:50:43

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: ShlExt
Konfigurationsdatei...................: C:\Users\Leo\AppData\Local\Temp\3a6321d1.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: G:,
Durchsuche aktive Programme...........: aus
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +GAME,+JOKE,+PCK,+PFS,

Beginn des Suchlaufs: Sonntag, 8. August 2010 14:16

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'G:\' <Susi >
G:\01 sehen\03_Bilder.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\Scrubs 8.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\UG.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\01_Serien\100CASIO.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\01_Serien\NCIS.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\01_Serien\Scrubs 8.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\03_Bilder\100CASIO.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\01 sehen\03_Bilder\Uganda Mai-Juli 2010\Raphael.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\02 hören\uganda local music an bududa.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\05 andere\jakob.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\05 andere\Raphael.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\05 andere\Sicherung Paps.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
G:\Usb 2.0 Driver\S-1-5-31-1286970278978-5713669491-166975984-320\tlsr\dmc.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen

Beginne mit der Desinfektion:
G:\Usb 2.0 Driver\S-1-5-31-1286970278978-5713669491-166975984-320\tlsr\dmc.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 4d79013d.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\05 andere\Sicherung Paps.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '55ee2eb7.qua' verschoben!
G:\05 andere\Raphael.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '07be7457.qua' verschoben!
G:\05 andere\jakob.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '618e3b95.qua' verschoben!
G:\02 hören\uganda local music an bududa.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '247c16a2.qua' verschoben!
G:\01 sehen\03_Bilder\Uganda Mai-Juli 2010\Raphael.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5b1624cd.qua' verschoben!
G:\01 sehen\03_Bilder\100CASIO.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '17ee08b0.qua' verschoben!
G:\01 sehen\01_Serien\Scrubs 8.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 6ba848fd.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\01 sehen\01_Serien\NCIS.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 46856791.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\01 sehen\01_Serien\100CASIO.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 5fc45c18.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\01 sehen\UG.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 339a7037.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\01 sehen\Scrubs 8.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Eine Sicherungskopie wurde unter dem Namen 427f4981.qua erstellt ( QUARANTÄNE )
[HINWEIS] Die Datei wurde gelöscht.
G:\01 sehen\03_Bilder.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c08795e.qua' verschoben!


Ende des Suchlaufs: Sonntag, 8. August 2010 14:38
Benötigte Zeit: 15:10 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

1716 Verzeichnisse wurden überprüft
41062 Dateien wurden geprüft
13 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
6 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
13 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
41049 Dateien ohne Befall
296 Archive wurden durchsucht
0 Warnungen
13 Hinweise


Teilweise verstehe ich das überhaupt nicht. Zum Beispiel den Part:
G:\01 sehen\03_Bilder.exe
[FUND] Ist das Trojanische Pferd TR/ATRAPS.Gen

Der "03_Bilder" ist eigenltich ein riesiger Ordner mit vielen wichtigen Bildern drin. Wieso wird er als .exe angezeigt, wie auch die anderen Ordner?
Um diesen Ordner geht es auch primär hier.

Was soll ich weiter tun?