stockcarpilot

Hallo

Mein Arbeits Kollege hat sich gestern Abend das Programm Spyware Protect eingefangen.
Wie ist weiter vorzugehen? Als AV Programm hat er Avast. Sollte er in den abgesicherten Modus und dann mit Avast einen Bootscann machen?
Oder Malwarebytes im abgesicherten Modus scannen? Logfile von HijackThis erstellen? Betriebssystem ist XP.

Gruß stockcarpilot

Sigi

Hi,
er soll erst mal mit Malwarebytes im normalen Modus(!) den vollständigen Scan machen.
Avast kann er erst mal vergessen. Wenn MWB etwas findet, natürlich erntfernen und neu booten. Dann nochmal den QuickSan zur Prüfung.
Es gibt danach noch einiges zu tun:
-den Systemstart untersuchen (Windwostaste und R>msconfig eingeben und mit Enter bestätigen. Dann auf den reiter Systemstart und alles weghaken bis auf Avast und eventuell den WLAN-Adapter, der zwingend mitgeladen werden muss, weil er sonst nicht mehr ins Netz kommt. Aber alles ander kann getrost weg.
- Systemsteuerung>System>Systemwiederherstellung
Die Systemwiederherstellung daktivieren, neu starten und dann dieselben Schritte wieder machen und den Haken bei "Systemwiederherstellung deaktivieren" wieder entfernen. Dann ist er sicher, dass auch in den gesicherten Dateien der Wiederherstellung kein Virusdateien mehr sind.

stockcarpilot

Hallo Sigi

An Malwarebytes kommt er im normalen Modus nicht mehr heran. Das Fake Programm blockiert alles. Deswegen bin ich auf den Gedanken mit dem abgesicherten Modus gekommen.
Avast hat ja die Möglichkeit einen Boot Scann machen zu lassen, bevor Windows hochfährt. Ist das eine Lösung?

Gruß stockcarpilot

Sigi

Hallo,
nein das glaube ich nicht. Aber wenn er noch in den abgesicherten Modus kommt, kann dert dort aoch den Scan machen.
Sonst hat doche Leonixx so viele Dinge in seiner Signatur. Eventuell ist dort ein Programmm dabei, dass einen Bootscan erlaubt. Sonst gib ihm doch mal eine PN. Ich bin nicht so der Virusexperte - GsD!

Leonixx

Hi,

Post 2 abarbeiten. rskill.com anwenden um bekannte Malwareprozesse zu stoppen. Anschließend Malwarebytes starten. Wenn sich die Datei nicht starten lässt, dann in den Programmordner von Malwarebytes navigieren, die mbam.exe umbenennen in mbam.com. Dann sollte sich Malwarebytes starten lassen. Komplett scan durchlaufen lassen und anschließend Logfile posten.

http://www.trojaner-board.de/84400-y...entfernen.html

Dann geht es weiter.

stockcarpilot

Hallo Leonixx!

Alles klar. Werde ihm gleich eine Mail senden und bin mal gespannt morgen auf das Ergebnis.

Gruß stockcarpilot

Leonixx

Hi,

poste mal, was sich tut. Am besten wäre aber wenn dein Kumpel sich hier anmelden würde, damit man zeitnah verschiedene Dinge abarbeiten kann.

Gruss

stockcarpilot

Hallo

Er hat Malwarebytes laufen lassen und das Schadprogramm wurde entdeckt und entfernt. Nun will er Sigi`s Vorschlag weiter abarbeiten. Das Programm blockiert im Moment nichts mehr. Werde Morgen mit ihm wegen dem anmelden drüber sprechen.

Gruß stockcarpilot

Leonixx

Erstmal RSIT anwenden und beide Logs hier posten. Ausserdem soll er das Logfile von Malwarebytes hier posten. Nur weil Malwarbytes Dateien gelöscht hat, kann noch ein Rootkit im Hintergrund schlummern .

stockcarpilot

Hallo

OK, alles klar. Habe ihm gerade einen Link zu diesem Threat geschickt, dass er sich hier anmeldet und weiter versorgt wird.

Gruß stockcarpilot