Hallo!
Das Thema ist ja hinreichend bekannt. Ich habe hier die gewünschten Logs schonmal angehängt.

Es handelt sich um ein Windows Vista 32bit System. Als Virenscanner ist Avira im Einsatz. Firefox ist Browser.

Vielen Dank für eure Mühe. Es ist toll, dass es euch gibt!

Hi,

got'em

Fix für OTL

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O2 - BHO: (no name) - {ee1babcf-cbe2-4c07-8e18-dfe6fc08c30a}  - No CLSID value found.
O4 - HKCU..\Run: [{369D7399-AA0A-5E39-FA0D-E960AD5A7CCC}] C:\Users\Wolfgang\AppData\Roaming\Pyygp\paif.exe File not found
O4 - HKCU..\Run: [{57E02555-9B0C-82F5-0504-5B0FEBE82A43}] C:\Users\Wolfgang\AppData\Roaming\Ydesa\buqi.exe File not found
O4 - HKCU..\Run: [firefox.exe] C:\Users\Wolfgang\AppData\Roaming\Mozilla\Firefox\firefox.exe ()
[2011.02.21 10:43:01 | 000,000,000 | ---D | M] -- C:\Users\Wolfgang\AppData\Roaming\Pyygp
[2010.12.19 13:29:07 | 000,000,000 | ---D | M] -- C:\Users\Wolfgang\AppData\Roaming\Ydesa

:Commands
[emptytemp]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Update" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

chris

Vielen Dank!
Bin derzeit noch auf der Arbeit, daher kann ich es noch nicht umsetzen.
Werde mich gegen 19:15 Uhr heute Abend melden!
Vielen Dank soweit!

Hallo!
Folgendes habe ich getan/ist passiert:
1) OTL.exe als Admin gestartet un ddas von dir angegebene Skript ausgeführt.
2) Der PC hat einen Restart durchgeführt
3) De PC kam im normalen Modus wieder hoch
4) Die Textdatei mit dem Result war direkt offen(siehe Anhang)
5) Ich habe Malwarebytes heruntergeladen
6) Ein Update scheiterte! Ich habe jetzt den Datenstand von 31.08.2011.
7) Scan läuft in diesem Moment

Soweit alles ok? Ist das nicht mögliche Update ein Problem?

Hi,

ja, das mit dem update ist ein Problem, bitte später nochmal probieren...
Ucash wurde von OTL erwischt, aber es schein noch etwas "mehr" da zu sein...

Nach MAM bitte:
TDSS-Killer
Download und Anweisung unter: Wie werden Schadprogramme der Familie Rootkit.Win32.TDSS bekämpft?
Entpacke alle Dateien in einem eigenen Verzeichnis (z. B: C:\TDSS)!
Aufruf über den Explorer duch Doppelklick auf die TDSSKiller.exe.
Nach dem Start erscheint ein Fenster, dort dann "Start Scan".
Wenn der Scan fertig ist bitte "Report" anwählen. Es öffnet sich ein Fenster, den Text abkopieren und hier posten...

chris

Malwarebytes ist fertig. Siehe Anhang.

Hi,

bitte eine update mit MAM probieren und wie oben beschrieben den Killer laufen lassen...
+
MBR-Check
Lade Dir http://ad13.geekstogo.com/MBRCheck.exe und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.

• Vista und Win7 User mit Rechtsklick "als Administrator starten"

• Das Tool braucht nur eine Sekunde.

• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

chris

Oh Mann...

Gut, habs TDSS laufen lassen. Mit Default-Settings fand er nichts, also habe ich noch "verify driver digital signatures" und "Detect TDLFS file system" aktiviert. Da fand er was! Siehe Anhang!

MBRCheck Protokol ist im Anhang.

Update von Malwarebytes geht immer noch nicht...

Hi,

lass den Treiber bei virustotal prüfen...
Dateien Online überprüfen lassen

• Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

• Suche die Seite Virustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

 -> den von TDSS gefundene Treiber..
         

• Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

• Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

• Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

chris

Also:

1) MAM Update hat geklappt. Es wurde ein Bösewicht gefunden (Siehe Anhang).
2) Neustart wurde verlangt und durchgeführt

3) Virustotal sagt zu der von TDSS gefundenen Datei folgendes:
File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:
MD5: f8e916dd0de892a3bd9f6cc686100960
Date first seen: 2009-03-20 07:20:22 (UTC)
Date last seen: 2011-07-26 08:55:40 (UTC)
Detection ratio: 0/43

Größenangabe gab es auf der Seite virustotal nicht. Die Datei im Verzeichnis war jedenfalls so groß:
Größe: 18,0 KB (18.432 Bytes)
Auf Datenträger: 20,0 KB (20.480 Bytes)

Hi,

dachte mir das schon, fehlalarm (f/p)...
So, das sollte es gewesen sein, MAM hat dass Teil was wir per OTL aus dem Verkehr gezogen haben erkannt und "eleminiert"...

chris

Vielen Dank!
Kann es noch garnicht glauben!
Danke, für die Gründlichkeit iund die Ausdauer.
Hat der Virus eigentlich noch Internet- und Sicherheitseinstellungen verändert, die man wieder korrigieren sollte?

Nochmal:
VIELEN DANK!

Hi,

auffällig sind noch bestimmte Einstellungen in der Reg, die bei allen "Opfern" vorkommen und die UAC-Einstellungen betreffen http://de.wikipedia.org/wiki/Benutzerkontensteuerung...

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3

Da ich aber die ursprünglichen Einstellungen der Nutzer nicht kenne, bleibt das erstmal so...

chris