Avira Support Forum

Hallo,

ich hatte gestern eine Nachricht von Avira zu dem o.g. Trojaner. Mir wurde "entfernen" angeboten und dass habe ich auch angeklickt.

Danach habe ich mich zu diesem Trojaner bei Google informiert und erfahren, dass er nicht so einfach zu entfernen ist.

Ich habe dann sofort eine Systemprüfung gemacht. Dabei wurde aber nichts gefunden. Dann habe ich hier zu dem Problem gelesen, dass
man Malwarebytes Anti-Maleware prüfen lassen sollte. Das habe ich auch gemacht. Hier mal die Log-Datei:

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.16.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Diana :: D [Administrator]

16.02.2012 20:13:25
mbam-log-2012-02-17 (22-41-20).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 250450
Laufzeit: 44 Minute(n), 36 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Dynamic Toolbar_is1 (Adware.2020search) -> Keine Aktion durchgeführt.

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 2
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Keine Aktion durchgeführt.

Infizierte Verzeichnisse: 2
C:\Programme\Dynamic Toolbar (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache (Adware.2020search) -> Keine Aktion durchgeführt.

Infizierte Dateien: 21
C:\Programme\Dynamic Toolbar\batch.bat (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\unins000.exe (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\go.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\home.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\logo_pb.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\parent_off.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\parent_on.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\popup_off.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\popup_on.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\search.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\services.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin1.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin2.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin3.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin4.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\skin5.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\store.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\style.css (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\support.bmp (Adware.2020search) -> Keine Aktion durchgeführt.
C:\Programme\Dynamic Toolbar\Cache\ticker.xml (Adware.2020search) -> Keine Aktion durchgeführt.

(Ende)

Bis jetzt hat Avira nichts mehr gemeldet.

Kann ich davon ausgehen, dass der Trojaner erfolgreich entfernt wurde?

Mache auch Online-Banking über mein Laptop und bin mir nun nicht mehr sicher, ob ich es überhaupt noch anwenden kann .

Ich hoffe, dass mir hier jemand weiterhelfen kann.

Viele Grüße

Diana

Hast du alles mit Malwarebytes entfernen lassen? Kann da nix gefährliches erkennen - nur Werbung. Poste bitte den Bericht von Antivir.

Hallo,

Bericht? Ist damit die Reportdatei vom Echtzeit Scanner gemeint?

Habe noch nichts von Malwarebytes entfernen lassen. Kann ich das jetzt tun?

Ja der Bericht mit dem o.g. Fund.
Ja mit Malwarebytes alles entfernen.
Lg
doj

Hier dann der Bericht. Befall war am 16.02.2012. Ich habe den Bericht ab dem 14.02.2012 kopiert. Wenn ihr den ganzen benötigt, sagt bescheid.

Herzlichen Dank für die schnellen Antworten :-).

14.02.2012,07:15:27 [INFO] ---------------------------------------------------------
14.02.2012,07:15:27 [INFO] Der Avira Internet Security 2012 Dienst wurde erfolgreich gestartet!
14.02.2012,07:19:04 [INFO] ProActiv wurde erfolgreich gestartet!
14.02.2012,07:19:11 [INFO] Echtzeit Scanner Version: 12.01.00.18, Engine Version 8.2.10.2, VDF Version: 7.11.22.248
14.02.2012,07:19:13 [INFO] Online-Dienste stehen zur Verfügung.
14.02.2012,07:19:15 [INFO] Echtzeit Scanner wurde aktiviert
14.02.2012,07:19:15 [INFO] Verwendete Konfiguration der Echtzeitsuche:
- Geprüfte Dateien: Dateien von lokalen Laufwerken prüfen
- Geprüfte Dateien: Dateierweiterungsliste verwenden: . .386 .?HT* .ACM .ADE .ADP .ANI .APP .ASD .ASF .ASP .ASX .AWX .AX .BAS .BAT .BIN .BOO .CDF .CHM .CLASS .CMD .CNV .COM .CPL .CPX .CRT .CSH .DLL .DLO .DO* .DRV .EMF .EML .EXE* .FAS .FLT .FOT .HLP .HT* .INF .INI .INS .ISP .J2K .JAR .JFF .JFI .JFIF .JIF .JMH .JNG .JP2 .JPE .JPEG .JPG .JS* .JSE .LNK .LSP .MD? .MDB .MOD .MS? .NWS .OBJ .OCX .OLB .OSD .OV? .PCD .PDF .PDR .PGM .PHP .PIF .PKG .PL* .PNG .POT* .PPAM .PPS* .PPT* .PRG .RAR .REG .RPL .RTF .SBF .SCR .SCRIPT .SCT .SH .SHA .SHB .SHS .SHTM* .SIS .SLD? .SPL .SWF .SYS .TLB .TMP .TSP .TTF .URL .VB? .VCS .VLM .VXD .VXO .WIZ .WLL .WMD .WMF .WMS .WMZ .WPC .WSC .WSF .WSH .WWK .XL* .XML .XXX .ZIP
- Gerätemodus: Datei beim Öffnen durchsuchen, Datei nach Schließen durchsuchen
- Aktion: Benutzer fragen
- Archive durchsuchen: Deaktiviert
- Makrovirenheuristik: Aktiviert
- Win32 Dateiheuristik: Erkennungsstufe mittel
- Protokollierungsstufe: Standard
14.02.2012,07:19:20 [INFO] ProActiv wurde aktiviert
14.02.2012,07:34:14 [INFO] Update-Auftrag gestartet!
14.02.2012,07:36:57 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,07:36:57 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.0
14.02.2012,09:27:01 [INFO] Update-Auftrag gestartet!
14.02.2012,09:28:21 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,09:28:21 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.0
14.02.2012,13:28:29 [INFO] Update-Auftrag gestartet!
14.02.2012,13:28:56 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,13:28:56 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.8
14.02.2012,15:27:42 [INFO] Update-Auftrag gestartet!
14.02.2012,15:28:12 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,15:28:12 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.12
14.02.2012,17:28:17 [INFO] Update-Auftrag gestartet!
14.02.2012,17:29:13 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,17:29:13 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.18
14.02.2012,19:27:25 [INFO] Update-Auftrag gestartet!
14.02.2012,19:29:15 [INFO] Aktuelle Engine Version: 8.2.10.2
14.02.2012,19:29:18 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.18
15.02.2012,07:50:45 [INFO] Update-Auftrag gestartet!
15.02.2012,07:51:51 [INFO] Aktuelle Engine Version: 8.2.10.2
15.02.2012,07:51:51 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.24
15.02.2012,09:48:15 [INFO] Der Avira Internet Security 2012 Dienst wurde beendet!
15.02.2012,09:48:33 [INFO] ---------------------------------------------------------
15.02.2012,09:48:33 [INFO] Der Avira Internet Security 2012 Dienst wurde erfolgreich gestartet!
15.02.2012,09:49:30 [INFO] ProActiv wurde erfolgreich gestartet!
15.02.2012,09:49:37 [INFO] Echtzeit Scanner Version: 12.01.00.18, Engine Version 8.2.10.2, VDF Version: 7.11.23.24
15.02.2012,09:49:40 [INFO] Online-Dienste stehen zur Verfügung.
15.02.2012,09:49:41 [INFO] Echtzeit Scanner wurde aktiviert
15.02.2012,09:49:41 [INFO] Verwendete Konfiguration der Echtzeitsuche:
- Geprüfte Dateien: Dateien von lokalen Laufwerken prüfen
- Geprüfte Dateien: Dateierweiterungsliste verwenden: . .386 .?HT* .ACM .ADE .ADP .ANI .APP .ASD .ASF .ASP .ASX .AWX .AX .BAS .BAT .BIN .BOO .CDF .CHM .CLASS .CMD .CNV .COM .CPL .CPX .CRT .CSH .DLL .DLO .DO* .DRV .EMF .EML .EXE* .FAS .FLT .FOT .HLP .HT* .INF .INI .INS .ISP .J2K .JAR .JFF .JFI .JFIF .JIF .JMH .JNG .JP2 .JPE .JPEG .JPG .JS* .JSE .LNK .LSP .MD? .MDB .MOD .MS? .NWS .OBJ .OCX .OLB .OSD .OV? .PCD .PDF .PDR .PGM .PHP .PIF .PKG .PL* .PNG .POT* .PPAM .PPS* .PPT* .PRG .RAR .REG .RPL .RTF .SBF .SCR .SCRIPT .SCT .SH .SHA .SHB .SHS .SHTM* .SIS .SLD? .SPL .SWF .SYS .TLB .TMP .TSP .TTF .URL .VB? .VCS .VLM .VXD .VXO .WIZ .WLL .WMD .WMF .WMS .WMZ .WPC .WSC .WSF .WSH .WWK .XL* .XML .XXX .ZIP
- Gerätemodus: Datei beim Öffnen durchsuchen, Datei nach Schließen durchsuchen
- Aktion: Benutzer fragen
- Archive durchsuchen: Deaktiviert
- Makrovirenheuristik: Aktiviert
- Win32 Dateiheuristik: Erkennungsstufe mittel
- Protokollierungsstufe: Standard
15.02.2012,09:50:00 [INFO] ProActiv wurde aktiviert
15.02.2012,15:03:27 [INFO] ---------------------------------------------------------
15.02.2012,15:03:28 [INFO] Der Avira Internet Security 2012 Dienst wurde erfolgreich gestartet!
15.02.2012,15:09:52 [INFO] ProActiv wurde erfolgreich gestartet!
15.02.2012,15:10:00 [INFO] Echtzeit Scanner Version: 12.01.00.18, Engine Version 8.2.10.2, VDF Version: 7.11.23.24
15.02.2012,15:10:05 [INFO] Online-Dienste stehen zur Verfügung.
15.02.2012,15:10:05 [INFO] Echtzeit Scanner wurde aktiviert
15.02.2012,15:10:05 [INFO] Verwendete Konfiguration der Echtzeitsuche:
- Geprüfte Dateien: Dateien von lokalen Laufwerken prüfen
- Geprüfte Dateien: Dateierweiterungsliste verwenden: . .386 .?HT* .ACM .ADE .ADP .ANI .APP .ASD .ASF .ASP .ASX .AWX .AX .BAS .BAT .BIN .BOO .CDF .CHM .CLASS .CMD .CNV .COM .CPL .CPX .CRT .CSH .DLL .DLO .DO* .DRV .EMF .EML .EXE* .FAS .FLT .FOT .HLP .HT* .INF .INI .INS .ISP .J2K .JAR .JFF .JFI .JFIF .JIF .JMH .JNG .JP2 .JPE .JPEG .JPG .JS* .JSE .LNK .LSP .MD? .MDB .MOD .MS? .NWS .OBJ .OCX .OLB .OSD .OV? .PCD .PDF .PDR .PGM .PHP .PIF .PKG .PL* .PNG .POT* .PPAM .PPS* .PPT* .PRG .RAR .REG .RPL .RTF .SBF .SCR .SCRIPT .SCT .SH .SHA .SHB .SHS .SHTM* .SIS .SLD? .SPL .SWF .SYS .TLB .TMP .TSP .TTF .URL .VB? .VCS .VLM .VXD .VXO .WIZ .WLL .WMD .WMF .WMS .WMZ .WPC .WSC .WSF .WSH .WWK .XL* .XML .XXX .ZIP
- Gerätemodus: Datei beim Öffnen durchsuchen, Datei nach Schließen durchsuchen
- Aktion: Benutzer fragen
- Archive durchsuchen: Deaktiviert
- Makrovirenheuristik: Aktiviert
- Win32 Dateiheuristik: Erkennungsstufe mittel
- Protokollierungsstufe: Standard
15.02.2012,15:10:18 [INFO] ProActiv wurde aktiviert
15.02.2012,15:46:44 [INFO] Update-Auftrag gestartet!
15.02.2012,15:47:26 [INFO] Aktuelle Engine Version: 8.2.10.2
15.02.2012,15:47:26 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.32
15.02.2012,23:02:56 [INFO] Update-Auftrag gestartet!
15.02.2012,23:03:20 [INFO] Aktuelle Engine Version: 8.2.10.2
15.02.2012,23:03:20 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.56
16.02.2012,01:05:52 [FEHLER] Senden des Events an ProActiv ist fehlgeschlagen (Fehlercode: 254)!
16.02.2012,07:47:40 [INFO] ---------------------------------------------------------
16.02.2012,07:47:41 [INFO] Der Avira Internet Security 2012 Dienst wurde erfolgreich gestartet!
16.02.2012,07:52:11 [INFO] ProActiv wurde erfolgreich gestartet!
16.02.2012,07:52:20 [INFO] Echtzeit Scanner Version: 12.01.00.18, Engine Version 8.2.10.2, VDF Version: 7.11.23.56
16.02.2012,07:52:23 [INFO] Online-Dienste stehen zur Verfügung.
16.02.2012,07:52:23 [INFO] Echtzeit Scanner wurde aktiviert
16.02.2012,07:52:23 [INFO] Verwendete Konfiguration der Echtzeitsuche:
- Geprüfte Dateien: Dateien von lokalen Laufwerken prüfen
- Geprüfte Dateien: Dateierweiterungsliste verwenden: . .386 .?HT* .ACM .ADE .ADP .ANI .APP .ASD .ASF .ASP .ASX .AWX .AX .BAS .BAT .BIN .BOO .CDF .CHM .CLASS .CMD .CNV .COM .CPL .CPX .CRT .CSH .DLL .DLO .DO* .DRV .EMF .EML .EXE* .FAS .FLT .FOT .HLP .HT* .INF .INI .INS .ISP .J2K .JAR .JFF .JFI .JFIF .JIF .JMH .JNG .JP2 .JPE .JPEG .JPG .JS* .JSE .LNK .LSP .MD? .MDB .MOD .MS? .NWS .OBJ .OCX .OLB .OSD .OV? .PCD .PDF .PDR .PGM .PHP .PIF .PKG .PL* .PNG .POT* .PPAM .PPS* .PPT* .PRG .RAR .REG .RPL .RTF .SBF .SCR .SCRIPT .SCT .SH .SHA .SHB .SHS .SHTM* .SIS .SLD? .SPL .SWF .SYS .TLB .TMP .TSP .TTF .URL .VB? .VCS .VLM .VXD .VXO .WIZ .WLL .WMD .WMF .WMS .WMZ .WPC .WSC .WSF .WSH .WWK .XL* .XML .XXX .ZIP
- Gerätemodus: Datei beim Öffnen durchsuchen, Datei nach Schließen durchsuchen
- Aktion: Benutzer fragen
- Archive durchsuchen: Deaktiviert
- Makrovirenheuristik: Aktiviert
- Win32 Dateiheuristik: Erkennungsstufe mittel
- Protokollierungsstufe: Standard
16.02.2012,07:52:34 [INFO] ProActiv wurde aktiviert
16.02.2012,08:28:13 [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen2!
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
[INFO] Benutzer: D\DIANA
[INFO] Der Zugriff auf die Datei wurde verweigert!
16.02.2012,09:03:48 [INFO] Update-Auftrag gestartet!
16.02.2012,09:04:42 [INFO] Aktuelle Engine Version: 8.2.10.2
16.02.2012,09:04:43 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.64
16.02.2012,11:05:22 [INFO] Update-Auftrag gestartet!
16.02.2012,11:06:42 [INFO] Aktuelle Engine Version: 8.2.10.2
16.02.2012,11:06:42 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.68
16.02.2012,15:04:08 [INFO] Update-Auftrag gestartet!
16.02.2012,15:04:53 [INFO] Aktuelle Engine Version: 8.2.10.2
16.02.2012,15:04:54 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.72
16.02.2012,19:08:51 [INFO] Update-Auftrag gestartet!
16.02.2012,19:12:44 [INFO] Aktuelle Engine Version: 8.2.10.4
16.02.2012,19:12:44 [INFO] Aktuelle Version der VDF-Datei: 7.11.23.84
16.02.2012,20:12:41 [WARNUNG] Echtzeit Scanner wurde deaktiviert
16.02.2012,20:12:41 [WARNUNG] ProActiv wurde deaktiviert
16.02.2012,21:28:38 [INFO] Echtzeit Scanner wurde aktiviert
16.02.2012,21:28:38 [INFO] ProActiv wurde aktiviert

LG

Diana

Bei Malwarebytes habe ich alles entfernt.

Quoted from "dia54"

16.02.2012,08:28:13 [FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen2!
C:\Programme\Microsoft Office\Office10\WINWORD.EXE

Ist ein Fehlalarm bzw. ein Erkennungsbug des Echtzeitscanners.

Mache folgendes:

Bitte die Datei über das Webformular (link in meiner Signatur) zu Avira einsenden und im Webformular Verdacht auf Fehlalarm eingeben. Die Antwort bitte posten.

Die Datei findest du hier:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED (XP)
C:\Users\All Users\Avira\AntiVir Desktop\INFECTED (Win 7)
C:\PROGRAMDATA\AVIRA\ANTIVIR DESKTOP\INFECTED (Vista)


Vorher bitte unter Systemsteuerung - Ordneroptionen folgendes einstellen um die Datei zu sehen:

. "Erweiterungen bei bekannten Dateitypen ausblenden" -> Häkchen entfernen
. "Geschützte Systemdateien ausblenden" -> Häkchen entfernen
. "Inhalte von Systemordnern anzeigen" -> Häkchen setzen (nur XP)
. "Versteckte Dateien und Ordner" -> "Alle Dateien und Ordner anzeigen" -> Punkt setzen

Zitat:
"...
Bitte die Datei über das Webformular (link in meiner Signatur) zu Avira einsenden und im Webformular Verdacht auf Fehlalarm eingeben. Die Antwort bitte posten.

Die Datei findest du hier:

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\INFECTED (XP)
..."


Der Ordner ist leer .

Zitat:
"...
Vorher bitte unter Systemsteuerung - Ordneroptionen folgendes einstellen um die Datei zu sehen:

. "Erweiterungen bei bekannten Dateitypen ausblenden" -> Häkchen entfernen
. "Geschützte Systemdateien ausblenden" -> Häkchen entfernen
. "Inhalte von Systemordnern anzeigen" -> Häkchen setzen (nur XP)
. "Versteckte Dateien und Ordner" -> "Alle Dateien und Ordner anzeigen" -> Punkt setzen

..."

Bin genau so vorgegangen und ist jetzt auch noch so eingestellt.

Dann nimm diese - der Fund wurde nicht verschoben.

C:\Programme\Microsoft Office\Office10\WINWORD.EXE

Hab ich gemacht .
VIELEN DANK für die Hilfe.

LG

Diana