Trojaner: Wie Kontrolle zurückerlangen?

[Goonie]

Da hat mich ein verseuchter USB-Stick heute reingeritten - Kaspersky hat auf dem Surf-Thinkpad trotz Sandbox einen uralten Trojaner auf Fidel2 durchgelassen. Gemerkt habe ich das, als ich Seiten wie virustotal.com nicht mehr aufrufen konnte. Zum Glück ist es nur der Surf-Rechner, aber trotzdem nervt mich das total.

Hijack hat für den User fidel2 vier böse Dateien und eine Registry-Entry identifiziert.

Im Verzeichnis nsu.tmp standen auf einmal die Dateien au_.exe, bu_.exe, cu_.exe und du_.exe (witzigerweise mit den Icons der zuletzt installierten Programme), die habe ich mit einem Threadunlocker entsperrt und entfernt.

Hosts-Datei, bei der nur noch virustotal.com mit 127.0.0.1 eingetragen war, ist wieder leer bis auf localhost.

Allerdings hat der mistige Trojaner mir für den User fidel2 Regedit und Taskmanager gesperrt ("Das Bearbeiten der Registrierung wurde durch den Administrator deaktiviert ").

Ich habe schon versucht, als fidel2 über "REG add HKCU\Software\Policies\Microsoft\Windows\System /v DisableCMD /t REG_DWORD /d 0 /f" bzw. DisableRegedit wieder auf 0 zu setzen. Er sagt zwar "Erfolg", die Sperre ist aber trotzdem noch da.

Mit dem gpedit.msc habe ich als Admin den Parameter für strg-alt-entf z.B. auf "unkonfiguriert" gesetzt, kann aber trotzdem als user fidel2 nach wie vor nicht zugreifen ("Administrator ... deaktiviert").

Meine Frage: Wie kann ich mit dem gpedit als Admin explizit die Werte für den User fidel2 verändern?

Danke,
G.

 

[fishmac]

Als guter Admin hast Du

a) entweder ein Backup
oder
b) es ist nichts Wesentliches drauf.
Also plattmachen. Du schreibst selbst, es sei ein "Surf-Rechner"

 

[Goonie]

Ich möchte erst dieses Problem lösen, es muss doch möglich sein, dem User fidel2 diese Rechte wiederzugeben?

 

[Aviator]

hi, wie siehts aus, kannst du einen zusätzlichen User erstellen? Wenn ja, könntest du dann nich n neues Admin Konto machen?

 

[Goonie]

Ein Admin Konto habe ich. Das funktioniert uneingeschränkt.

Leider finde ich nicht heraus, wie ich die Group Policy Einstellungen aus dem Admin-Konto heraus für einen normalen User machen kann.

Edit: Etwas irritiert mich am Rande immer noch: Dass a) ein so anscheinend alter Trojaner aus meiner sandboxie.com - Sandbox ausbrechen konnte und b) Kaspersky den nicht aufgehalten hat.

 

[Mornsgrans]

Versuche es mal mit der Systemwiederherstellung - just for Fun. Sollte es klappen, Rechner plattmachen!
Die "Sperren" in der Registry beruhen nicht selten auf noch laufende Prozesse. Kannst Du alle im Taskmanager killen, könnte der Zugriff auf die Registry mit o.a. Befehl klappen. Vorher versuchen in Regedit den Besitz des Zweiges zu übernehmen.

 

[Goonie]

Wie übernehme ich denn den Besitz eines Zweiges?

Ich hatte mir eigentlich vorgestellt, als Admin den User wieder gerade biegen zu können. Das System hat wohl nur den User kompromittiert, aber nicht das ganze System. Zumindest verhält sich der Admin normal. Aber Ad Aware wird nachher zeigen, ob er was findet. Das neue beknackte c't-cillin stürzt beim T43p leider immer ab :thumbdown:

 

[Mornsgrans]

Wie übernehme ich denn den Besitz eines Zweiges?

In Regedit Rechtsklick auf den betreffenden Knoten - "Berechtigungen". Dort kann man auch den Besitz übernehmen. Funktioniert genauso wie bei Verzeichnissen im Explorer.

 

[Thomebau]

ich würde nichts desto trotz auf Nummer sicher gehen und das System neu aufsetzen.
So mache ich das auch immer.

man erzegt zwar nach einer gewissen Zeit einen Riesigen Berg an Backups, aber es funktioniert.

 

[maculae]

Hi Goonie,

evtl. findest Du was Du suchst im Group Policy Editor unter

\computer configuration\windows settings\security settings\local policies\User Right assignments

Habe leider nur ein engl. Windows hier, evtl. sind die Zweige im deutschen anders benannt....

Gruss, maculae