Virus über Email

[Tergo7]

Alles klar, dann vielen, vielen Dank für die ganzen Ratschläge, ich werde mich dann morgen mit einem (hoffentlich) wieder sauberen PC zurückmelden!

 

[performi]

Die Prozedur...

sind die etwa schon wieder mit dem Verschlüsselungstrojaner unterwegs bzw. hast du schon mehr "gehört" ?

z.b. zur Erinnerung:
http://www.delphipraxis.net/1171312-post259.html

 

[Tergo7]

Fange gleich an mit FRST, danach melde ich mich. Ist vielleicht ne blöde Frage, aber wenn ich mit ihr die Skype Bildschirmübertragung starte, bin ich doch trotzdem geschützt, richtig?

 

[Valhal]

Du kannst mir auch mal den Virus schicken. Freue mich immer über sowas, bekomme das aber nur sehr selten. Kann dir dann sagen was er auf dem PC so macht.


Solange du keine Dateien über Skype empfängst ist alles ok.

 

[Tergo7]

Klar, soll ich die Datei dafür irgendwo bestimmtes hochladen?
Und sollte das ZIP Archiv entpackt werden, bevor es zu virustotal hochgeht?

 

[emlyn d.]

Das Entpacken hätte den Vorteil, dass mglw. "Behavioural information" verwertbare Auskünfte über den Schädling liefert.

Aber unabhängig davon sollte FRST Klarheit bringen, ob der saubere Neuanfang angesagt ist oder nicht.

sind die etwa schon wieder mit dem Verschlüsselungstrojaner unterwegs

Davon gehe ich nicht aus.

 

[Tergo7]

Hier die Ergebnisse von FRST:

Anhang anzeigen FRST&ADDITIONAL.txt

Meine Freundin hatte mir grad nochmal versichert, dass sie die Datei gestern nicht 'gespeichert' hat, sondern im Mozilla nur auf Öffnen geklickt hat. Da ich jetzt gerade die Datei bei virustotal hochladen wollte, komme ich mir jetzt komisch vor, die Datei extra nochmal richtig zu speichern. Soll ich sie trotzdem speichern oder virustotal auslassen?

edit: AdwCleaner hat einen APNMCP gefunden, haben diesen gelöscht!
edit2: Malwarebytes Anti Malware hat keine Viren entdeckt!
edit3: Avira installiert, bisher keine Viren entdeckt!

Ergänzung (6. Dezember 2014)

Avira hat ihn wohl gefunden: Forderung 04.12..... TR/Rogue.202752.12

Was gilt es jetzt zu tun mit dem Virus? Quarantäne oder löschen?

 

[Tjorben]

Ergänzung (6. Dezember 2014)

Avira hat ihn wohl gefunden: Forderung 04.12..... TR/Rogue.202752.12

Was gilt es jetzt zu tun mit dem Virus? Quarantäne oder löschen?

Du kannst dich mit deinem Problem auch hier melden, dort können wir dir in Ruhe helfen.
http://www.trojaner-board.de/

 

[purzelbär]

Warum sollte er das machen Tjorben? Nix gegen das Trojaner Board, aber hier ist doch emlyn d. mit aktiv und kann ihm Unterstützung leisten, da braucht er sich meiner Meinung nach nicht extra noch im Trojaner Board anmelden.

 

[Valhal]

ja irgendwo hochladen. z.b. rghost.ru oder anonfiles.com

 

[Tergo7]

Okay, habe den Virus jetzt vorerst in Quarantäne und werde dann mal sehen, dass dieser hochgeladen wird, zB bei virustotal. Kann dann erst darüber entschieden werden, was jetzt getan werden muss oder kann ich jetzt schon bestimmte Dinge tun?

Ergänzung (6. Dezember 2014)

So, habe die Datei bei virustotal.com hochgeladen, hier sind die Ergebnisse:


Anhang anzeigen Virustotal.txt

 

[emlyn d.]

Hallo,
da hat Deine Freundin noch einmal Glück gehabt.

Java könnte ein Update vertragen.

AdwCleaner hat einen APNMCP gefunden, haben diesen gelöscht!

Gehört zur Ask Toolbar.
Wenn Du magst, poste das AdwCleaner-Log und frische FRST-Berichte.

Avira hat ihn wohl gefunden: Forderung 04.12..... TR/Rogue.202752.12

Hast Du Avira neu installiert?

Was gilt es jetzt zu tun mit dem Virus? Quarantäne oder löschen?

Da Du die Malware ja offensichtlich nicht weiterleiten willst(warum auch immer), lösch die Datei.

 

[Tergo7]

Okay, Java wird geupdated!
Wenn es nur zur ASK Toolbar gehört, brauche ich mich ja bei AdwCleaner um nichts mehr kümmern, richtig? Ja, haben nach dem Scan durch AdwCleaner und Malwarebytes Avast durch Avira ausgetauscht, geupdated und damit dann gescannt.
Ich kann die Datei gerne weiterleiten, die befindet sich allerdings grad in der Quarantäne. Ist es nicht unsicher, diese dort wieder rauszunehmen, um sie hochzuladen?

& Danke bis hierhin schon mal!

 

[emlyn d.]

Der beste Weg wäre gewesen, die Toolbar zu deinstallieren und dann AdwCleaner drüberzujagen.

Das Herausholen aus der Quarantäne ist in diesem Fall nicht unsicher, aber für den Rechner Deiner Freundin ist es ja sowieso unerheblich, um welchen Schädling es sich handelt, ist also nicht so wichtig

 

[Tergo7]

Ahh okay, dann wird die deinstalliert und nochmal AdwCleaner drübergejagt!
Wieso ist das unerheblich? Kenne mich wie gesagt nur wenig aus. Hat sich durch die Logs nun rausgestellt, dass der Virus nicht schädlich ist und es deswegen egal ist, ob in Quarantäne oder nicht?
Und bei welchem Host lade ich das am besten hoch? Anonfiles?

 

[emlyn d.]

Du könntest rghost oder auch file-upload nehmen, aber durch die Logs hat sich herausgestellt, dass die Schadsoftware auf dem Rechner Deiner Freundin nicht aktiv geworden ist.

 

[Tergo7]

Okay, das werde ich hochladen, sobald sie nach Hause kommt und ich ihr es erklären kann.
Super, das beruhigt mich, und wenn der Virus jetzt zurück aus der Quarantäne aufn Desktop kommt, kann dieser trotzdem nicht aktiv werden, richtig?
Um in Zukunft selber solche Dateien analysieren zu können, welche Zeile hat dir verraten, dass nichts passiert ist/passieren wird?

 

[emlyn d.]

Die Malware wird erst dann aktiv, wenn sie ausgeführt wird.
Das ist beim Rechner Deiner Freundin nicht der Fall.

Die Analyse von Berichten von Tools wie FRST kann man sich autodidaktisch draufschaffen, es gibt aber auch Schulungen wie z.B. http://www.geekstogo.com/geeku/.
Das Wichtigste ist Routine, legitime Einträge von unbekannten oder schädlichen zu unterscheiden.