Anscheinend mit Trojaner von Facebook infiziert

Telemann

Hallo liebes Trojaner-Board-Team,

nach vielen Jahren virenfreien Surfens hat es mich gestern erwischt: Ein Facebook-"Freund" schickte mir einen Link, auf den ich geklickt habe, in der Annahme, es sein ein Foto. Die Datei, die anschließend geladen wurde, hatte die Endung eines Bildschirmschoners. Bevor ich sie geöffnet habe, ließ ich AVIRA die Datei manuell überprüfen, doch es wurde nichts gefunden, so dass ich die Datei schließlich öffnete. Tja, es konnte dann leider kein Bild angezeigt werden.

Einige Minuten später schlug Avira Alarm. Kurz hintereinander wurden gefunden:

TR/Crypt.EPACK.Gen2
EXP/CVE-2010-4452.D
Win32/Unruy.H

Ich habe zwar jedesmal auf "Löschen" geklickt, aber anscheinend ging das Zeug nicht weg.
So ein Mist! Wozu hat man denn diese Antivirenprogramme???


Symptome:

Während ich jetzt hier dieses Forum durchstöberte, ist mein PC schon 2mal mit Bluescreen abgestürzt, und gerade kam die Avira-Meldung: "Zugriff auf die Datei \Device\HarddiskVolume1\Autorun.inf wurde blockiert". Was heißt das denn?

Außerdem hat sich gerade plötzlich die Bildschirmdarstellung verändert: Die kleinen Icons unten in der Startleiste sehen irgendwie schlichter / primitiver aus, und alle Fensterränder, die sonst halbtransparent sind, sind jetzt nicht mehr durchsichtig.

Dummerweise hab ich jetzt noch genau 1 Tag, um meine Steuererklärung auf dem PC zu machen, am 10.10. ist mein Abgabetermin. Wie soll ich das denn schaffen, wenn mein System nicht mehr stabil ist?


Was ich gerade unternommen habe:

1. Malwarebytes' Anti-Malware heruntergeladen und durchlaufen lassen, hat 28 infizierte Dateien gefunden (!). Log-File siehe unten.

2. Defogger heruntergeladen und gestartet.

3. OTL heruntergeladen und durchlaufen lassen (die Logfiles versuche ich gleich, hier anzufügen. Mal sehen, ob ich das schaffe).

4. GMER heruntergeladen und gestartet, stürzt aber jedesmal ab, kurz nachdem in der Statuszeile erscheint: "\Device\Harddisk\VolumeShadowCopy1".


So, bin fix und fertig. Was jetzt?

Schönen Dank schon mal an jeden, der sich meiner erbarmt und mir weiterhilft.


---------------------------------------------------------------------


Hier das Logfile von MBAM:



Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 7902

Windows 6.0.6002 Service Pack 2
Internet Explorer 9.0.8112.16421

08.10.2011 20:43:49
mbam-log-2011-10-08 (20-43-49).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 187402
Laufzeit: 9 Minute(n), 49 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 5
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 28

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Adobe Reader Speed Launcher (Backdoor.IRCBot) -> Value: Adobe Reader Speed Launcher -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SpywareTerminator (Backdoor.IRCBot) -> Value: SpywareTerminator -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\SunJavaUpdateSched (Backdoor.IRCBot) -> Value: SunJavaUpdateSched -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\QuickTime Task (Backdoor.IRCBot) -> Value: QuickTime Task -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\swg (Backdoor.IRCBot) -> Value: swg -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\program files\Adobe\Reader 8.0\Reader\reader_sl.exe (Backdoor.IRCBot) -> Quarantined and deleted successfully.
c:\program files\spyware terminator\spywareterminatorshield.exe (Backdoor.IRCBot) -> Quarantined and deleted successfully.
c:\program files\common files\Java\java update\jusched.exe (Backdoor.IRCBot) -> Quarantined and deleted successfully.
c:\program files\quicktime\QTTask.exe (Backdoor.IRCBot) -> Quarantined and deleted successfully.
c:\program files\Google\googletoolbarnotifier\googletoolbarnotifier.exe (Backdoor.IRCBot) -> Quarantined and deleted successfully.
c:\programdata\g0bl07OX.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\programdata\g0bl07ox.exe_ (Trojan.Agent) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\EE64.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\3F.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup152207864.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup1825204252.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup2573413468.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup2915465244.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup3156182584.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\9B19.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\D3C3.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\D597.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\DAB5.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup3315757760.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup3878025976.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup881034076.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\AppData\Local\Temp\setup975314012.exe (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Windows\Temp\setA6E9.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Windows\Temp\setB349.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Windows\Temp\setB9A1.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Windows\Temp\setBC60.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Windows\Temp\setE192.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
c:\Users\Michael\Desktop\PCenter.lnk (Rogue.PrivacyCenter) -> Quarantined and deleted successfully.