Trojana (TR/Agent.aoyh.2) geschlossen

[glimps]

Hallo ihr Lieben,

ich habe mir wohl einen Trojaner eingefangen. Auf jeden Fall zeigt mir AntiVir seit ein paar Tagen immer wieder Warnungen, dass ich einen Virus oder Trojaner auf dem Rechner habe. Allerdings ist es bei jedem Neustart des Computers eine andere Datei und ein anderer Name von dem Trojaner. Ich weiß nicht was ich da machen kann, da ich ein absoluter Computerlaie bin.
Ich habe schon in verschiedenen Foren nachgeschaut aber selbst mit den Schritt für Schritt anleitungen schaffe ich es einfach nicht das Ding loszuwerden. *grml*

Ich habe mal mit HijackThis eine Datei erstellt. Ich weiß nicht ob euch das etwas hilft, wenn ich die hier anhänge, aber ich mache es mal ganz einfach.
(Kann ja nicht schaden)
Bitte Bitte helft mir!!!

Liebe Grüße,
glimps

P.S. Die letzten gefundenen Trojaner von AntiVir waren: TR/Agent.aoyh.2, TR/Agent.AOXU, TR/Graftor.37161, TR/Crypt.XPACK.Gen, ....


Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 15:24:36, on 27.07.2012
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v8.00 (8.00.7601.17514)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Common Files\Apple\Internet Services\ubd.exe
C:\Program Files (x86)\Common Files\Apple\Apple Application Support\distnoted.exe
C:\Users\Krissi\AppData\Roaming\Ytytz\gyurf.exe
C:\Program Files (x86)\HP\Digital Imaging\bin\hpqtra08.exe
C:\Windows\SysWOW64\rundll32.exe
C:\Program Files (x86)\Ralink\Common\RaUI.exe
C:\Program Files (x86)\Microsoft Office\Office12\ONENOTEM.EXE
C:\Program Files (x86)\Winamp\winampa.exe
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files (x86)\DivX\DivX Update\DivXUpdate.exe
C:\Program Files (x86)\avmwlanstick\WLanGUI.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\iTunes\iTunesHelper.exe
C:\Program Files (x86)\HP\HP Software Update\hpwuschd2.exe
C:\Windows\SysWOW64\TSTheme.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
C:\Program Files (x86)\Internet Explorer\iexplore.exe
c:\program files (x86)\winamp toolbar\WinampTbServer.exe
C:\Program Files (x86)\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Program Files (x86)\HP\Digital Imaging\bin\hpqbam08.exe
C:\Program Files (x86)\HP\Digital Imaging\bin\hpqgpc01.exe
C:\Program Files (x86)\HP\Digital Imaging\smart web printing\hpswp_clipbook.exe
C:\Windows\SysWOW64\TSTheme.exe
C:\Users\Krissi\Desktop\HiJackThis204.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Suche
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN Deutschland: Hotmail, Skype Download und Messenger sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN Deutschland: Hotmail, Skype Download und Messenger sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: Winload Toolbar - {40c3cc16-7269-4b32-9531-17f2950fb06f} - C:\Program Files (x86)\Winload\tbWinl.dll
O2 - BHO: HP Print Enhancer - {0347C33E-8762-4905-BF09-768834316C61} - C:\Program Files (x86)\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Program Files (x86)\Winamp Toolbar\winamptb.dll
O2 - BHO: Increase performance and video formats for your HTML5

 

[totsch]

Hallo,

lass mal zuerst die Datei gyurf.exe (im Ordner C:\Users\Krissi\AppData\Roaming\Ytytz) hier und/oder hier auf Viren scannen und teile Ergebnis mit.
Ytytz, was ist das für eine Bezeichnung von welchen Programm? Kennst du diese Programm?

Die letzten gefundenen Trojaner von AntiVir waren: TR/Agent.aoyh.2, TR/Agent.AOXU, TR/Graftor.37161,....

Im Ereignisprotokoll von Avira findest du genauere Angaben, welche Datei(en) in welchem Pfad betroffen waren/sind. Teile diese Angaben bitte mit.

Zuvor schon mal mit CCleaner Spuren beseitigen und die Registry säubern und mit Spybot das System scannen.

hast du es schon mit einer Systemwiederherstellung versucht?

Gruss Totsch

 

[glimps]

Hallo, danke für die schnelle Antwort!

Ich kenne die Datei nicht und sie ist auch ganz neu, Gestern war sie noch nicht drauf. Hab mal beide Seiten von dir ausprobiert.
Beide zeigen mir etwas an.
Virustotal:
CAT-QuickHeal (Suspicious) - DNAScan,
Fortinet W32/Kryptik.KUY!tr

Jotti:
2012-07-27 PUA.Win32.Packer.Pequake-3

Soll ich dir jetzt von Avira, von allen Funden (sind über die Tage ganz schön viele) die genauen Dateibezeichnungen geben oder alle Protokolle? Das wäre ein ganz schön langer Eintrag.
Ja ich habe es schon mit einer Systemwiederherstellung versucht, aber hat nicht geklappt, die Warnungen kommen immer wieder!
Ich verzweifle so langsam, wie die blöden Dinger loswerden. ;o)

Nochmals danke für die schnelle Antwort. Ich bemühe dann jetzt auch noch den CCleaner, aber was genau kann ich denn da löschen, also woher weiß ich was wichtig und was unwichtig ist?

 

[totsch]

Ich bemühe dann jetzt auch noch den CCleaner, aber was genau kann ich denn da löschen, also woher weiß ich was wichtig und was unwichtig ist?

CCleaner installieren (oder die portable Version verwenden!) - Programm starten und in den Einstellungen "deutsch" wählen. Alle anderen Einstellungen einfach so auf Standard belassen. Dann die beiden Scanns - Windows/Anwendungen und Registry - durchführen und jeweils die Ergebnisse dann löschen.

folgendes durchführen:
- Systemwiederherstellung deaktivieren
- PC im abgesicherten Modus starten
- mit HijackThis scannen und alle Einträge mit Ytytz bzw. gyurf.exe fixen
- in den Ordneroptionen "geschützte Systemdateien ausblenden" deaktivieren und "alle Dateien und Ordner anzeigen" aktivieren. Dann nach Ytytz sowie gyurf.exe suchen und löschen.
- Registry öffnen und ebenfalls nach Ytytz sowie gyurf.exe durchsuchen und gefundene Ergebnisse löschen (mit F3 immer weitersuchen!)
- mit CCleaner nochmals alle Surfspuren beseitigen und Temp-Ordner leeren.
- abgesicherten Modus beenden/PC neu starten
- Systemwiederherstellung wieder aktivieren

Vom Ereignisprotokoll von Avira nur mal die letzten aktuellen Ereignisse posten. Beziehen sich höchstwahrscheinlich immer auf den selben Pfad zu einem Temp-Ordner nur sind es immer andere Dateien???

Gruss Totsch

 

[knoerrli]

Das Präfix ist umgestellt. Vielen Dank dafür und damit ist hier zu!