Trojaner-Problem

[Master DJL]

Hi Leute,

ich hoffe, einer von euch kennt sich mit Trojanern aus, denn ich bin jetzt, so weit ich weiß, zum ersten mal mit dem Problem konfrontiert, dafür aber ziemlich massiv.

Mein Problem:
Seit zwei Tagen öffnen sich bei mir, was vorher noch nie vorgekommen ist, ständig irgendwelche Popup-Fenster, die mich auf angebliche Sicherheitsprobleme aufmerksam machen, mir was verkaufen wollen, oder mir sagen, dass ich angeblich auf irgendwelchen Seiten war, die mir schaden könnten (was ich IMO nicht war).
Ich habe daraufhin auf anraten eines Freundes die Programme Ad-Aware und Spybot-Search&Destroy installiert, und die, wie ich annehme, Trojaner/Spyware

amaena
smitfraud-C
Yazzle
drivecleaner
errorsafe

gefunden, und dachte auch, sie entfernt zu haben, was aber anscheinend, aus irgendwelchen Gründen, mit den beiden Programmen nicht funktioniert hat. Keine Ahnung wie ich mir das alles auf einmal eingefangen habe, aber es ist langsam wirklich nicht mehr lustig.

Da ich, wie gesagt, mit solchen Problemen noch nie zu tun hatte, hoffe ich, dass sich einer von euch damit auskennt und mir da weiterhelfen kann, und zwar:

1. Verursachen die genannten Trojaner abgesehen von diesen nervigen Popup-Fenstern weitere Probleme (z.B. spionieren sie Passworte aus, oder ermöglichen sie jemandem den Zugang zu meinem System)?
2. Wie werde ich diese Dinger wieder los, ohne gleich die ganze Festplatte zu formatieren?
3. Falls ich die Festplatte doch formatieren muss, kann ich meine Daten dann noch vorher sichern (z.B. auf einer externen Festplatte), oder kopiere ich damit auch die Trojaner auf meine Backup-Festplatte?

Wäre wirklich super, wenn mir jemand von euch helfen könnte, da ich sonst ziemlich aufgeschmissen bin.

MfG
Master DJL

[TheJoker]

1. Schau doch in einer Viren DB nach (z.B. Virus Descriptions - Virus, Worm, Trojan )
2. Ich würde empfehlen von einer Anti-Virus CD zu booten (z.B. UltimateBootCD/ oder Knoppicillin). Das sollte alle Viren entfernen.
3. Aufjedenfall das erste was du machen sollest, wenigstens die wichtigesten Sachen. Diese Dateien sollten natürlich auch geprüft werden, bevor du die wieder zurückkopierst.

[Enas Yorl]

1. Eine gute Datenbank zu solchen Schädlingen gibt es Hier. Aber absolute Sicherheit dazu gibt es nicht.

2. Gleicher Link wie bei 1. Die Methoden können je nach Schädling variieren und manchmal hilft nur format.

3. Möglicherweise, hängt vom Schädling ab. Sichere deine Dateien, baue dein System neu auf. Mach alle Updates (Windows, Virenscanner, Windows-Defender etc.), erstelle dir ein Benutzerkonto ohne Schreibrechte, melde dich mit diesen Konto an und scanne dann die Backup-Festplatte.

Viel Glück bei der Kammerjagd

[Master DJL]

1. Schau doch in einer Viren DB nach (z.B. Virus Descriptions - Virus, Worm, Trojan )

Zu 4 von 5 Begriffen gibt's überhaupt nichts, und zu Yazzle nur "erstellt schädliche Dateien" und "Änderung an der Registry", womit ich leider nicht viel anfangen kann. Da muss ich wohl erst mal schauen, dass ich die genauen Bezeichnungen der ganzen Dinger rauskriege.

2. Ich würde empfehlen von einer Anti-Virus CD zu booten (z.B. UltimateBootCD/ oder Knoppicillin). Das sollte alle Viren entfernen.

Ich werd mal schauen, ob ich jemanden finde, der die c't-Hefte mit der Knoppicillin-CD hat, Ausgabe 21/2006 ist ja noch nicht so lange her. Klingt auf jeden Fall schon mal gut, danke für den Tip.

3. Aufjedenfall das erste was du machen sollest, wenigstens die wichtigesten Sachen. Diese Dateien sollten natürlich auch geprüft werden, bevor du die wieder zurückkopierst.

Ich bin noch am zögern, ob ich meine Backup-Festplatte wirklich nochmal anschließen soll, denn wenn ich diese ganzen Dinger erst mal drauf habe, wer weiß, ob dann nicht auch alle Daten dadrauf infiziert sind, und dann hilft mir auch das prüfen vor dem zurückkopieren wenig, nachdem bisher ja nichts in der Lage war, die ganzen Schädlinge wirksam aufzuspüren.

Setzt sich der ganze Mist eigentlich überhaupt in den Eigenen Dateien fest, oder werden da nur Registry und Systemprogramme etc. angegriffen?

1. Eine gute Datenbank zu solchen Schädlingen gibt es Hier. Aber absolute Sicherheit dazu gibt es nicht.

2. Gleicher Link wie bei 1. Die Methoden können je nach Schädling variieren und manchmal hilft nur format.

3. Möglicherweise, hängt vom Schädling ab. Sichere deine Dateien, baue dein System neu auf. Mach alle Updates (Windows, Virenscanner, Windows-Defender etc.), erstelle dir ein Benutzerkonto ohne Schreibrechte, melde dich mit diesen Konto an und scanne dann die Backup-Festplatte.

Viel Glück bei der Kammerjagd

Auch dir vielen Dank, durch die Datenbank werd ich mich gleich morgen mal durcharbeiten, in der Hoffnung, danach etwas mehr zu wissen.
Ich hoffe nur, dass ich das Formatieren irgendwie vermeiden kann, das ist jedesmal ein riesen Aufwand, und irgendwelche Dateien und Programme vergisst man immer.

Naja, ich hoffe mal, dass das mit der Anti-Virus CD klappt, und dass bis dahin kein allzu großer Schaden entsteht. Auf jeden Fall vielen Dank für die guten Ratschläge, und wenn jemandem noch was einfällt oder jemand das Problem kennt, ich bin auch weiterhin für jede Hilfe dankbar.

[Skymarshall]

Ups, da hast du dir aber ne Menge eingefangen was? Kein SP2 drauf?

Mein Rat: Lasse das Programm HijackThis drüberlaufen.

Dann meldest du dich in diesem Forum Trojaner-Board an. Dort postest du die Logdatei von "Hijack This". Die Experten dort werten das aus und geben dir eine Anleitung wie du die Schädlinge entfernen kannst. Selber würde ich keine Einträge verändern, weil das zum Systemabsturz führen kann.

Halte dich aber hier dran:Aktive Links und persönliche Informationen in HJT Log-Files - Trojaner-Board

Wahrscheinlich wird man dir dazu raten auch mal Escan drüberlaufen zu lassen. Das sagt dir genau welche Viren (als Dateibezeichnungen) es sind. Entfernen mußt du die Viren dann im abgesicherten Modus manuell und mit abgestellter Systemwiederherstellung. Weil sie sonst nicht richtig entfernt werden.

Aber das sagen dir die Leute da im Forum genau. Kann sein das es mitlerweile noch andere Methoden gibt.

Trojaner sind meistens im "System 32" Ordner. Daher kannst du eigentlich ohne Probleme deine Dateien sichern. man wird dir auf jeden Fall dort raten das System neu aufzusetzen. Aber ich hatte es damals auch nicht gemacht. Nur die Viren entfernt und online PW´s geändert.

[Master DJL]

Ups, da hast du dir aber ne Menge eingefangen was? Kein SP2 drauf?

Doch, SP2, 'nen AVG7.5-Virenscanner, ZoneAlarm, und Norton Security-Scan, aber das war wohl nicht genug.

Trojaner sind meistens im "System 32" Ordner. Daher kannst du eigentlich ohne Probleme deine Dateien sichern.

Hab ich heute auch noch gemacht, wenigstens das hat noch funktioniert.

Danach hab ich versucht, mittels Ultimate-Boot-CD die Viren zu entfernen, aber das ist leider gescheitert, das System ist beim Starten nur ständig abgestürzt.

Mittlerweile fährt Windows nur noch bei ca. jedem dritten Versuch normal hoch, und ich habe gerade geschlagene 3 Stunden gebraucht, um mein Internet wieder zum Laufen zu bringen. Damit kann ich die Versuche, die Viren zu entfernen, wohl aufgeben, werde dann in den nächsten Tagen wohl das ganze System neu aufsetzten müssen, da führt jetzt kein Weg mehr dran vorbei.
Naja, nur aus Fehlern wird man klug, auch wenn's ärgerlich ist.
Trotzdem danke euch allen für eure Hilfe!

[Doc Jaques la Croix]

Kann ich nur empfehlen!
lad dir die Test Version runter damit geht eigentlich alles wech. bzw Das findet alles. Habe es selber und es ist wirklich sehr gut. Lade dir das erste runter lass es laufen und dann muß es eigentlich wieder keine probleme mehr damit geben. Test-Versionen

[Master DJL]

Kann ich nur empfehlen!
lad dir die Test Version runter damit geht eigentlich alles wech. bzw Das findet alles. Habe es selber und es ist wirklich sehr gut. Lade dir das erste runter lass es laufen und dann muß es eigentlich wieder keine probleme mehr damit geben. Test-Versionen

Das Programm lässt sich bei mir nicht wirklich installieren, bei der Installation hat es erst verlangt, dass ich AVG deinstalliere --> Neustart, dann sollte ich eTrust deinstallieren --> Neustart, dann Zonealarm -- Neustart, das haut so nicht hin.

[Doc Jaques la Croix]

Das Programm lässt sich bei mir nicht wirklich installieren, bei der Installation hat es erst verlangt, dass ich AVG deinstalliere --> Neustart, dann sollte ich eTrust deinstallieren --> Neustart, dann Zonealarm -- Neustart, das haut so nicht hin.

???
Das verstehe ich nicht. Ich hatte keinerlei Probleme damit.

[Skymarshall]

@Master DJL: Heftig. Eigentlich sollte dein PC relativ sicher sein. Dann gleich mehrere Trojaner. Das ist wirklich merkwürdig.

Wenn du wüßtest wie die Dateien heissen und wo sie genau sind dann könntest du es nochmal aus dem abgesicherten Modus probieren. Sie manuell zu entfernen. Aber den abgesicherten Modus dann abschalten.

Naja, vielleicht kommst du um eine Formatierung wohl nicht mehr herum. Wenn du wenigstens die wichtigen Dateien gesichert hast.

[Master DJL]

???
Das verstehe ich nicht. Ich hatte keinerlei Probleme damit.

Dass es Konflikte zwischen solchen Programmen gibt, kommt schon mal vor, aber dieses kommt ja wirklich mit gar keinem anderen klar. Will wohl die "Exklusivrechte" an meinem PC, damit ich nach den 30 Tagen Testzeit nicht mehr nein sagen kann.

@Master DJL: Heftig. Eigentlich sollte dein PC relativ sicher sein. Dann gleich mehrere Trojaner. Das ist wirklich merkwürdig.

Wem sagst du das. Ich weiß nicht mal, wo ich die her habe, ich hab keine unbekannten neuen Programme installiert, keine merkwürdigen Mails bekommen, da mach ich mir schon meine Gedanken.

Wenn du wüßtest wie die Dateien heissen und wo sie genau sind dann könntest du es nochmal aus dem abgesicherten Modus probieren. Sie manuell zu entfernen. Aber den abgesicherten Modus dann abschalten.

Manuell in der Registry rumhantieren, dafür hab ich nicht die nötigen Kenntnisse. Vielleicht versuch ich's mal unter Anleitung durch dieses Trojaner-Forum, viel kaputtmachen kann ich wohl sowieso nicht mehr.

Naja, vielleicht kommst du um eine Formatierung wohl nicht mehr herum. Wenn du wenigstens die wichtigen Dateien gesichert hast.

Wenigstens das hab ich ja zum Glück noch geschafft, aber mittlerweile ist ein neues Problem aufgetaucht: Seit neuestem öffnen sich auch Popup-Fenster, die mir Daten wie z.B. meinen Standort, meine IP-Adresse, mein Betriebssystem und meinen Browser anzeigen. Werd ich jetzt zu allem Überfluss auch noch von den Dingern ausspioniert (in diesem Fall "amaena.com")?

[Admiral D.]

Wenigstens das hab ich ja zum Glück noch geschafft, aber mittlerweile ist ein neues Problem aufgetaucht: Seit neuestem öffnen sich auch Popup-Fenster, die mir Daten wie z.B. meinen Standort, meine IP-Adresse, mein Betriebssystem und meinen Browser anzeigen. Werd ich jetzt zu allem Überfluss auch noch von den Dingern ausspioniert (in diesem Fall "amaena.com")?

Das sind nur irgendwelche Webseiten, die deine Daten auslesen. Im Prinzip kann das JEDE Internetseite, auch dieses Forum kann das. Natürlich kann man diese Daten auch speichern, aber darüber solltest du dir weniger sorgen machen, denn das kann, wie gesagt, jede Seite. Wenn du Trojaner auf dem Rechner hast, können diese wohl noch viel mehr senden. Im Prinzip könnte ich sogar so'n Teil in die Signatur einfügen, wo dann deine IP, Browser, etc.. angezeigt wird - das ansich ist also nichts wirklich schädliches. Und der Standort, der dort angezeigt wird, müsste eigentlich der des Providers sein, nicht dein eigener.

Irgendwie riecht das nach Skript-Kiddies, die den Leuten mit ihrem Zeug Angst einjagen wollen.

Ums kurz zu fassen: Die eigentliche Gefahr sind die Trojaner auf deiner Festplatte, nicht die PopUps, auch wenn wahrscheinlich die Trojaner dafür sorgen, dass diese angezeigt werden. Schädlich werden die PopUps erst dann, wenn sog. "Highjack-Code" darin enthalten ist, also die PopUps in der Lage sind, weitere Dateien zu installieren und somit für "Nachschub" sorgen.

Zu den Virenscannern: Ich hoffe, du hast nur einen Guard laufen. Denn mehrere Guards gleichzeitig stören sich nur gegenseitig und sind ineffizient.

[Skymarshall]

Wem sagst du das. Ich weiß nicht mal, wo ich die her habe, ich hab keine unbekannten neuen Programme installiert, keine merkwürdigen Mails bekommen, da mach ich mir schon meine Gedanken.

Normalerweise kommen die nur durch signifikante Sicherheitslücken oder auf bestimmten Seiten. Auch wenn man Anhänge von Emails oder unbekannte Dateien öffnet.

Eigentlich müßte ein gutes und aktuelles Virenprogramm sowas gleich abfangen.

Manuell in der Registry rumhantieren, dafür hab ich nicht die nötigen Kenntnisse. Vielleicht versuch ich's mal unter Anleitung durch dieses Trojaner-Forum, viel kaputtmachen kann ich wohl sowieso nicht mehr.

Im Trojaner-Forum sagen die dir welche Einträge du mit "HiJack This" fixen sollst. Beim entfernen der Viren mußt du exakt die Dateien aus dem Ordner entfernen. Aber probiere es mal da. Die haben schon vielen helfen können.

Wenigstens das hab ich ja zum Glück noch geschafft, aber mittlerweile ist ein neues Problem aufgetaucht: Seit neuestem öffnen sich auch Popup-Fenster, die mir Daten wie z.B. meinen Standort, meine IP-Adresse, mein Betriebssystem und meinen Browser anzeigen. Werd ich jetzt zu allem Überfluss auch noch von den Dingern ausspioniert (in diesem Fall "amaena.com")?

Trojaner schleusen schädliche Software ein die u.a. folgendes machen:

Überwachung des Datenverkehrs oder aller Benutzeraktivitäten mithilfe von Sniffern.

Ausspähen von sensiblen Daten (Passwörter, Kreditkartennummern, Kontonummern und Ähnliches), Dateien kopieren und weiterleiten.

Fernsteuerung des Rechners von Unbekannten, u. a. für kriminelle Zwecke, z. B. zum Versenden von Werbe-E-Mails oder Durchführung von DDoS-Attacken.

Installation von illegalen Dialer-Programmen (heimliche Einwahl auf Telefon-Mehrwertrufnummern), was dem Opfer finanziellen Schaden zufügt.

Benutzung der Speicherressourcen zur Ablage von illegalen Dateien, um sie von hier aus anderen Nutzern aus dem Internet zur Verfügung zu stellen.

Unerwünschte Werbung aus dem Internet einblenden oder den Anwender ungewollt auf bestimmte Webseiten umleiten.

Quelle:Trojanisches Pferd (Computerprogramm) - Wikipedia

Da steht auch das Viren nicht gleich Trojaner sind usw. Manchmal wohl schwer abzugrenzen.

[Master DJL]

Und der Standort, der dort angezeigt wird, müsste eigentlich der des Providers sein, nicht dein eigener.

Als Standort wird "Bayreuth" angezeigt, aber das ist wohl nicht wirklich besorgniserregend, da man das z.B. genauso gut meinem Profil hier entnehmen kann.

Irgendwie riecht das nach Skript-Kiddies, die den Leuten mit ihrem Zeug Angst einjagen wollen.

Eher nicht, denn dann wäre es wohl nur ein einzelnes Programm, und nicht gleich ein ganzes Dutzend davon.

Normalerweise kommen die nur durch signifikante Sicherheitslücken oder auf bestimmten Seiten. Auch wenn man Anhänge von Emails oder unbekannte Dateien öffnet.

Also signifikante Sicherheitslücken sollten eigentlich durch regelmäßige Windows-Updates geschlossen werden, die mache ich eigentlich auch immer. Aber Microsoft entdeckt sowas wahrscheinlich auch erst, wenn's für viele zu spät ist.

Eigentlich müßte ein gutes und aktuelles Virenprogramm sowas gleich abfangen.

AVG7.5 ist mir von mehreren Leuten empfohlen worden, kostenlos und wohl auch relativ aktuell. Naja, vielleicht leg ich mir wieder Norton-Anti-Virus zu, auch wenn das nicht ganz billig ist, aber wenigstens hatte ich damit nie Probleme.

Überwachung des Datenverkehrs oder aller Benutzeraktivitäten mithilfe von Sniffern.

Ausspähen von sensiblen Daten (Passwörter, Kreditkartennummern, Kontonummern und Ähnliches), Dateien kopieren und weiterleiten.

Fernsteuerung des Rechners von Unbekannten, u. a. für kriminelle Zwecke, z. B. zum Versenden von Werbe-E-Mails oder Durchführung von DDoS-Attacken.

Installation von illegalen Dialer-Programmen (heimliche Einwahl auf Telefon-Mehrwertrufnummern), was dem Opfer finanziellen Schaden zufügt.

Benutzung der Speicherressourcen zur Ablage von illegalen Dateien, um sie von hier aus anderen Nutzern aus dem Internet zur Verfügung zu stellen.

Unerwünschte Werbung aus dem Internet einblenden oder den Anwender ungewollt auf bestimmte Webseiten umleiten.

Das heißt also, selbst wenn ich die Trojaner loswerde, kann ich immer noch ohne weiteres irgendwelche illegalen Dateien, Dialer, oder sonstwas auf der Festplatte haben.

Also jetzt bin ich endgültig überzeugt, das Ding wird gleich morgen neu aufgesetzt, ist wohl die einzige Möglichkeit, diese Sache endgültig zu lösen. Besser ein Ende mit Schrecken als ein Schrecken ohne Ende.
Meine ganzen Passwörter darf ich dann wohl gleich auch noch ändern, ich hoffe nur, die Dinger haben meinen Passwort-Manager nicht geknackt.

[Skymarshall]

Also signifikante Sicherheitslücken sollten eigentlich durch regelmäßige Windows-Updates geschlossen werden, die mache ich eigentlich auch immer. Aber Microsoft entdeckt sowas wahrscheinlich auch erst, wenn's für viele zu spät ist.

Eigentlich sollte die wichtigsten Updates erstmal Schutz bieten. Aber wenn man sich(irrtümlich oder vorsätzlich) anders was einfängt, liegt es an einen selber.

Ich habe keine Ahnung wie es bei dir gelaufen ist. Ändert jetzt sowieso nichts mehr.

AVG7.5 ist mir von mehreren Leuten empfohlen worden, kostenlos und wohl auch relativ aktuell. Naja, vielleicht leg ich mir wieder Norton-Anti-Virus zu, auch wenn das nicht ganz billig ist, aber wenigstens hatte ich damit nie Probleme.

Probier doch mal AntiVir. Das ist ebenfalls kostenlos und nicht schlecht. Erkennt sehr viel. Bei kostenpflichtigen Programmen empfehle ich eher Kaspersky. Norton ist meiner Meinung nach Schnick-Schnack.

Das heißt also, selbst wenn ich die Trojaner loswerde, kann ich immer noch ohne weiteres irgendwelche illegalen Dateien, Dialer, oder sonstwas auf der Festplatte haben.

Meistens werden die schädlichen Dateien auch als solche erkannt. Der Trojaner kann andere Viren einschleusen. Es kann aber auch sein das dein AntiVirenprogramm oder andere Malwarescanner den Virus als Trojaner erkennen.

Löscht du den schädlichen Mist, ist es weg. Aber richtig löschen, das ist wichtig!

Also jetzt bin ich endgültig überzeugt, das Ding wird gleich morgen neu aufgesetzt, ist wohl die einzige Möglichkeit, diese Sache endgültig zu lösen. Besser ein Ende mit Schrecken als ein Schrecken ohne Ende.

Wie gesagt hast du noch die Möglichkeit im Trojaner-Board. Du kannst auch die Logdatei von HijackThis erstmal hier: HiJack This Auswertung reinkopieren und automatisch auswerten lassen. Dann hast du schon mal einen groben Überblick. Und mußt dich nicht sofort da im Forum anmelden. Vielleicht kann ich dir auch ein wenig helfen.

Du kannst das Ergebnis ja mal hier reinposten.

Meine ganzen Passwörter darf ich dann wohl gleich auch noch ändern, ich hoffe nur, die Dinger haben meinen Passwort-Manager nicht geknackt.

Damit muß man rechnen. Zur Sicherheit ist das nicht verkehrt. Solange du aber noch die Viren auf dem Rechner hast würde ich das nicht machen.