Hallo ;-)
Ich habe von einem Bekannten den Rechner bekommen mit der bitte ich soll doch mal dannach schauen da funktioniert etwas nicht.
hängt sich auf hat ein problem mit dem internet usw meinte er.


Nun habe ich als erstes Antivir geupdatet und einmal drüber laufen lassen, da hat er folgendes gefunden:

1. C:\Dokumente und Einstellungen\Privat\Eigene Dateien\Downloads\XvidSetup.exe
2. [FUND] Enthält Erkennungsmuster der Ad- oder Spyware ADSPY/AdSpy.Gen2
3. [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4c28f407.qua' verschoben!
4. C:\Dokumente und Einstellungen\Privat\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\bpjzyg5o.default\Cache\_CACHE_001_ [FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Infected.WebPage.Gen [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d53ba53.qua' verschoben
5. C:\WINDOWS\system32\AcroIEHelpe.dll [FUND] Ist das Trojanische Pferd TR/Spy.Farko.k [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d820036.qua' verschoben!
6. C:\System Volume Information\_restore{C23FC68E-44F6-44C0-BC08-3C6BB597E34A}\RP301\A0333797.exe [FUND] Ist das Trojanische Pferd TR/Gendal.KD.305312
7. C:\Dokumente und Einstellungen\Privat\Lokale Einstellungen\Temp\0.0715348112660037.exe
   [FUND] Ist das Trojanische Pferd TR/Gendal.KD.305851
   [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d4020b0.qua' verschoben!
8. C:\WINDOWS\system32\hlp.dat
   [FUND] Enthält Erkennungsmuster des Exploits EXP/Agent.34699
   [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d802de3.qua' verschoben!
9. C:\System Volume Information\_restore{C23FC68E-44F6-44C0-BC08-3C6BB597E34A}\RP302\A0334815.exe
   [FUND] Ist das Trojanische Pferd TR/Gendal.KD.305851
   [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4d5d2d1d.qua' verschoben!
10. C:\System Volume Information\_restore{C23FC68E-44F6-44C0-BC08-3C6BB597E34A}\RP303\A0334848.exe
    [FUND] Ist das Trojanische Pferd TR/Obfuscate.QG.80
    [HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '55ca02ba.qua' verschoben!
11. und ein trojaner TR/Fake.Vimes.569 den ich aber gerade keiner datei zuordnen kann

Anschließend Spybot drüber laufen lassen der mir dan das win32.tdss.rtk angezeigt hat aber nicht beheben konnte.
Superantispyware konnte gar nichts feststellen.

Könnt ihr mir helfen die Daten wären ihm sehr wichtig Firmen Daten und Urlaubsbilder sind drauf deshalb ist eine Neuinstallation leider nicht der sinnvollste Weg

Im Anhang die OTL.log und die gmer.log datei!
Das Programm OTL hat leider nur einen log gespeichert kein Extra.log

Danke im Vorraus

Mit freundlichen Grüßen

firescorpion

hier noch die logdateien von rsit

habe auch mbr durchlaufen lassen mit folgender meldung:

Stealth MBR rootkit/Mebroot/Sinowal/TDL4 detector 0.4.2 by Gmer, hxxp://www.gmer.net
Windows 5.1.2600 Disk: ST3160812AS rev.3.AAE -> Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-e

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

so nun nochmal malwarebyte drüber laufen lassen erst einen flash scan dann einen vollständigen beim flash hat er was gefunden und gelöscht anschließend beim vollständigen hat er nichts mehr gefunden

C:\SystemData
C:\SystemData\217FA9668A1.exe
C:\SystemData\A99325CB12B3B5B

Sieht mir stark nach SpyEyes aus. Machst dein Bekannter Onlinebanking oder ähnliche kritische Dinge an diesem Rechner?

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

Hallo,

danke für die Hilfe ich habe es nun aber hinbekommen war ne harte Arbeit.
Im endeffekt war es soweit das die Festplatte zusätzlich noch defekte Sektoren hatte beim hochfahren nur noch Chkdsk gekommen ist. Er sobald ich den Pc angemacht habe ohne Netzwerkkabel nach einer Internet verbindung gefragt hat was ja schon sehr merkwürdig war.

zum erfolg hat dann CC-Cleaner, Spybot, Malewarebytes, Superantispyware und Avira gehofen. Aber frage nicht Wie oft ich das drüber laufen lassen musste Ohne Neustarten da er im Autostart drinnen war und bei jedem neustart er sich automatisch wieder gedownloadet hat.

Aber danke trotzdem an alle!

Ps. Ja er hat Onlinebanking Paypal etc gemacht hab ihn darauf hingewiesen alle pw direkt von einem sauberen nicht virenbefallenen Pc zu ändern.
Wegen Onlinebanking war er direkt auf der bank hat es gemeldet und hat nun auf iTan verfahren umstellen lassen.

Gruß
firescorpion

Bei Onlinebanking sollte er generell sehr vorsichtig sein und überlegen ob er den Kompromiss einer Bereinigung wirklich eingehen will.
Normalerweise empfiehlt man bei sowas eine Neuinstallation von Windows.