Moin,

hab mir "Win7 Antivirus 2012" eingefangen.
Hab mich dann hier belesen:

http://www.trojaner-board.de/100079-...entfernen.html

und alles gemacht was da steht.

Also:
-rkill.com als iExplore.exe runtergeladen und wie beschrieben ausgeführt.
-vollständigen Scan mit Malwarebytes Anti-Malware
-OTH - OTHelper - Kill All Processes wie beschrieben ausgeführt

dann hier:

http://www.trojaner-board.de/69886-a...-beachten.html

defogger runtergeladen und ausgeführt
und OTL runtergeladen und den beschriebenen Suchlauf durchgeführt.

Da mein Systemtyp 32bit ist hab ich GMER angewendet

x86 basierter- PC = 32bit System = Gmer anwenden

Dabei ist folgendes rausgekommen: siehe anhang

Mein Problem jetzt ist das auf dem Rechner irgendwie noch alles fehlt.
Die ganzen Ordner etc.
Kann mir bitte jemand weiterhelfen?

Schon mal Dank im vorraus.



Grüße

Hallo und Herzlich Willkommen!

Bevor wir unsere Zusammenarbeit beginnen, [Bitte Vollständig lesen]:

• "Fernbehandlungen/Fernhilfe" und die damit verbundenen Haftungsrisken:
  - da die Fehlerprüfung und Handlung werden über große Entfernungen durchgeführt, besteht keine Haftung unsererseits für die daraus entstehenden Folgen.
  - also, jede Haftung für die daraus entstandene Schäden wird ausgeschlossen, ANWEISUNGEN UND DEREN BEFOLGUNG, ERFOLGT AUF DEINE EIGENE VERANTWORTUNG!
• Charakteristische Merkmale/Profilinformationen:
  - aus der verwendeten Loglisten oder Logdateien - wie z.B. deinen Realnamen, Seriennummer in Programm etc)- kannst Du herauslöschen oder durch [X] ersetzen
• Die Systemprüfung und Bereinigung:
  - kann einige Zeit in Anspruch nehmen (je nach Art der Infektion), kann aber sogar so stark kompromittiert sein, so dass eine wirkungsvolle technische Säuberung ist nicht mehr möglich bzw Du es neu installieren musst
• Ich empfehle Dir die Anweisungen erst einmal komplett durchzulesen, bevor du es anwendest, weil wenn du etwas falsch machst, kann es wirklich gefährlich werden. Wenn du meinen Anweisungen Schritt für Schritt folgst, kann eigentlich nichts schief gehen.
• Innerhalb der Betreuungszeit:
  - ohne Abspräche bitte nicht auf eigene Faust handeln!- bei Problemen nachfragen.
• Die Reihenfolge:
  - genau so wie beschrieben bitte einhalten, nicht selbst die Reihenfolge wählen!
• GECRACKTE SOFTWARE werden hier nicht geduldet!!!!
• Ansonsten unsere Forumsregeln:
  - Bitte erst lesen, dann posten!-> Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?
• Alle Logfile mit einem vBCode Tag eingefügen, das bietet hier eine gute Übersicht, erleichtert mir die Arbeit! Falls das Logfile zu groß, teile es in mehrere Teile auf.

Sobald Du diesen Einführungstext gelesen hast, kannst Du beginnen

Für Vista und Win7:
Wichtig: Alle Befehle bitte als Administrator ausführen! rechte Maustaste auf die Eingabeaufforderung und "als Administrator ausführen" auswählen
Auf der angewählten Anwendung einen Rechtsklick (rechte Maustaste) und "Als Administrator ausführen" wählen!

1.

Falls treten folgende Symptome auf:
Ordner sind leer, unter Startmenü Programme fehlen etc., dieses Tool bietet dir die Lösung:

• Lade Dir Unhide.exe (Windows 7 und Vista mit Rechtsklick als Administrator ausführen
• Doppelklick auf das Unhide.exe Icon auf dem Desktop - Alles braucht seine Zeit, also ein bisschen Geduld

<Achtung!>: Wenn Dateien etc, die absichtlich von Dir verborgen waren, also unter eigenschaften versteckt eingestellt hast, musst Du wieder auszublenden, nachdem das Tool ausgeführt wird.

Alles wieder sichtbar? Bitte kontrolliere es und berichte mir genau über den Zustand!

2.
Hast du den Rechner bereits auf Viren überprüft? Folgende Ergebnisse möchte ich noch sehen:

Malwarebytes
(alle vorhandenen Protokolle!)
         

4.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool CCleaner herunter
→ Download
installieren (Software-Lizenzvereinbarung lesen, falls angeboten wird "Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ Sprache → Deutsch auswählen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du (also am Anfang des Logfiles):[code]
hier kommt dein Logfile rein - z.B OTL-Logfile o. sonstiges
→ dahinter - also am Ende der Logdatei: [/code]

** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
kira

Moin,

danke für die schnelle Antwort

zu 1. hab ich mir Unhide.exe runtergeladen und ausgeführt.

Jetzt sind, soweit ich das gesehen hab, alle Ordner wieder da, auch mit Inhalt.
Teilweise mehr Inhalt wie vorher, jetzt sind da Ordner/Datein (z.B. Desktop.ini ?) drin die aber "blasser" dagestellt werden.

Zu 2: mit Malwarebytes hab ich schon mehrfach gesucht gehabt.
Siehe Ergebnisse hier:

1. Versuch:

Malwarebytes Anti-Malware 1.60.0.1800
www.malwarebytes.org

Datenbank Version: v2012.01.21.01

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Tommy :: TOMMY-PC [Administrator]

21.01.2012 10:56:52
mbam-log-2012-01-21 (10-56-52).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 356045
Laufzeit: 3 Stunde(n), 57 Minute(n), 25 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|cDNVHQQjYlda.exe (Trojan.FakeAV) -> Daten: C:\ProgramData\cDNVHQQjYlda.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyComputer (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowSearch (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 10
C:\ProgramData\cDNVHQQjYlda.exe (Trojan.FakeAV) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\ProgramData\d4S62PVp6UzfyL.exe (Rogue.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\Local\llj.exe (Trojan.ExeShell.Gen) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\Local\Temp\tue0.8253969930457895.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\Local\Temp\oiu0.9208862003261246.exe (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\Local\Temp\m8SLU4zSruBFuq.exe.tmp (Trojan.FakeAV) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\Local\Temp\~!#C094.tmp (Trojan.FakeAV) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\9\23196dc9-2a15a5f4 (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\9\23196dc9-4b27ec67 (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\Tommy\Downloads\eXplorer.exe (Heuristics.Reserved.Word.Exploit) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

Nach dem ersten Versuch zeigte er mir ja an das ich "Bösartige" Datein auf sem Rechner habe und diese hab ich nach dem Suchlauf auf löschen der Datein geklickt.

Versuch 2 (von heute):

Malwarebytes Anti-Malware 1.60.0.1800
www.malwarebytes.org

Datenbank Version: v2012.01.21.01

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
Tommy :: TOMMY-PC [Administrator]

22.01.2012 10:11:02
mbam-log-2012-01-22 (10-11-02).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 261322
Laufzeit: 2 Stunde(n), 22 Minute(n), 55 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
         

Dann hab ich mir "Ccleaner" runtergeladen und wie beschrieben ausgeführt und da ist folgendes bei rausgekommen:

7-Zip 9.20		20.01.2012		
Acer Crystal Eye webcam	Liteon	07.08.2011	2,92MB	4.0.2.1
Acer ePower Management	Acer Incorporated	07.08.2011		5.00.3005
Acer eRecovery Management	Acer Incorporated	15.09.2010		4.05.3013
Acer GameZone Console	Oberon Media, Inc.	15.09.2010	31,0MB	6.1.0.9
Acer Registration	Acer Incorporated	07.08.2011		1.03.3003
Acer ScreenSaver	Acer Incorporated	07.08.2011		1.1.0624.2010
Acer Updater	Acer Incorporated	15.09.2010		1.02.3001
Acer VCM	Acer Incorporated	15.09.2010		4.05.3002
Acrobat.com	Adobe Systems Incorporated	15.09.2010	1,61MB	1.6.65
Adobe AIR	Adobe Systems Inc.	15.09.2010		1.5.0.7220
Adobe Flash Player 10 ActiveX	Adobe Systems Incorporated	07.08.2011	6,00MB	10.1.53.64
Adobe Flash Player 10 Plugin	Adobe Systems Incorporated	10.08.2011	6,00MB	10.3.183.5
Adobe Reader 9.5.0 MUI	Adobe Systems Incorporated	20.01.2012	716MB	9.5.0
Airport Mania First Flight	Oberon Media	07.08.2011		
Amazonia	Oberon Media	07.08.2011		
Atheros Communications Inc.(R) AR81Family Gigabit/Fast Ethernet Driver	Atheros Communications Inc.	07.08.2011		1.0.0.31
Avira Free Antivirus	Avira	20.12.2011	104,4MB	12.0.0.872
Cake Mania	Oberon Media	07.08.2011		
CCleaner	Piriform	21.01.2012		3.14
Cinergy T Stick MKII V9.06.3.01		05.10.2011		9.06.3.01
Dream Day First Home	Oberon Media	07.08.2011		
eBay Worldwide	OEM	07.08.2011	100,00KB	2.1.0901
ENE USB Card Reader Driver	ENE	07.08.2011		5.89.0.70
eSobi v2	esobi Inc.	15.09.2010	20,4MB	2.0.4.000274
Farm Frenzy 2	Oberon Media	07.08.2011		
Free YouTube Download version 3.0.20.1228	DVDVideoSoft Ltd.	13.01.2012	74,3MB	
Free YouTube to MP3 Converter version 3.10.15.1228	DVDVideoSoft Ltd.	16.01.2012	85,6MB	
Galapago	Oberon Media	07.08.2011		
Heroes of Hellas	Oberon Media	07.08.2011		
ICQ7.6	ICQ	03.10.2011		7.6
Identity Card	Acer Incorporated	07.08.2011		1.00.3003
Intel(R) Graphics Media Accelerator Driver	Intel Corporation	07.08.2011	54,3MB	8.14.10.2117
Intel® Matrix Storage Manager	Intel Corporation	07.08.2011		
Java(TM) 6 Update 30	Oracle	09.10.2011	94,9MB	6.0.300
Launch Manager	Acer Inc.	07.08.2011		4.0.12
Malwarebytes Anti-Malware Version 1.60.0.1800	Malwarebytes Corporation	20.01.2012	18,6MB	1.60.0.1800
Merriam Websters Spell Jam	Oberon Media	07.08.2011		
Microsoft .NET Framework 4 Client Profile	Microsoft Corporation	04.10.2011	38,8MB	4.0.30319
Microsoft .NET Framework 4 Client Profile DEU Language Pack	Microsoft Corporation	04.10.2011	2,94MB	4.0.30319
Microsoft Silverlight	Microsoft Corporation	12.10.2011	54,6MB	4.0.60831.0
Microsoft SQL Server 2005 Compact Edition [ENU]	Microsoft Corporation	07.08.2011	1,72MB	3.1.0000
Microsoft Visual C++ 2005 Redistributable	Microsoft Corporation	06.10.2011	0,29MB	8.0.61001
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17	Microsoft Corporation	15.09.2010	0,58MB	9.0.30729
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148	Microsoft Corporation	04.10.2011	0,23MB	9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161	Microsoft Corporation	12.08.2011	0,59MB	9.0.30729.6161
Microsoft Visual C++ 2010  x86 Redistributable - 10.0.40219	Microsoft Corporation	15.10.2011	16,5MB	10.0.40219
Mozilla Firefox 9.0.1 (x86 de)	Mozilla	20.01.2012	36,4MB	9.0.1
MSXML 4.0 SP2 (KB954430)	Microsoft Corporation	06.10.2011	35,00KB	4.20.9870.0
MSXML 4.0 SP2 (KB973688)	Microsoft Corporation	06.10.2011	1,33MB	4.20.9876.0
MySQL Server 5.1	MySQL AB	04.10.2011	108,4MB	5.1.38
MyWinLocker Suite	Egis Technology Inc.	15.09.2010	2,20MB	3.1.212.0
Norton Online Backup	Symantec Corporation	15.09.2010	4,97MB	2.1.17869
Poker Pop	Oberon Media	07.08.2011		
Realtek High Definition Audio Driver	Realtek Semiconductor Corp.	07.08.2011		6.0.1.6141
Spin & Win	Oberon Media	07.08.2011		
Synaptics Pointing Device Driver	Synaptics Incorporated	07.08.2011		15.0.7.0
VLC media player 1.1.11	VideoLAN	13.10.2011		1.1.11
Welcome Center	Acer Incorporated	07.08.2011		1.02.3004
Windows Live Anmelde-Assistent	Microsoft Corporation	07.08.2011	1,94MB	5.000.818.5
Windows Live Essentials	Microsoft Corporation	07.08.2011		14.0.8089.0726
Windows Live Sync	Microsoft Corporation	07.08.2011	2,79MB	14.0.8089.726
Windows Live-Uploadtool	Microsoft Corporation	07.08.2011	0,22MB	14.0.8014.1029
         

Ich hoffe das ich das alles so richtig gemacht hab??

1.
reinige dein System mit CCleaner:

• "Cleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
• "Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
• Starte dein System neu auf

2.
MBR mit aswMBR von Avast prüfen

Lade aswMBR.exe von Avast herunter und speichere das Tool auf deinem Desktop (nicht woanders hin).
XP Benutzer: Doppelklick auf die aswMBR.exe, um das Tool zu starten.
Vista und Windows 7 Benutzer: Rechtsklick auf die aswMBR.exe und Als Administrator starten wählen.
Es wird sich ein Eingabe-Fenster mit einigen Angaben öffnen.

Klicke Scan, um den Suchlauf zu starten.

Wenn der Scan beendet ist, was mit Scan finished sucessfull! gemeldet wird, klicke Save log, um das Logfile zu speichern.
Poste mir den Inhalt von aswASW.log vom Desktop hier in den Thread.

aswMBR version 0.9.9.1297 Copyright(c) 2011 AVAST Software
Run date: 2012-01-23 18:09:02
-----------------------------
18:09:02.567    OS Version: Windows 6.1.7601 Service Pack 1
18:09:02.567    Number of processors: 2 586 0x1C0A
18:09:02.583    ComputerName: TOMMY-PC  UserName: Tommy
18:09:44.328    Initialize success
18:10:34.774    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
18:10:34.790    Disk 0 Vendor: WDC_WD25 01.0 Size: 238475MB BusType: 3
18:10:34.821    Disk 0 MBR read successfully
18:10:34.821    Disk 0 MBR scan
18:10:34.837    Disk 0 Windows 7 default MBR code
18:10:34.852    Disk 0 Partition 1 00     27 Hidden NTFS WinRE NTFS        14000 MB offset 2048
18:10:34.884    Disk 0 Partition 2 00     0C    FAT32 LBA MSDOS5.0     4096 MB offset 28674048
18:10:34.899    Disk 0 Partition 3 80 (A) 07    HPFS/NTFS NTFS          100 MB offset 37062656
18:10:34.915    Disk 0 Partition 4 00     07    HPFS/NTFS NTFS       220277 MB offset 37267456
18:10:34.946    Disk 0 scanning sectors +488394752
18:10:35.055    Disk 0 scanning C:\Windows\system32\drivers
18:10:54.072    Service scanning
18:10:58.455    Modules scanning
18:11:51.308    Disk 0 trace - called modules:
18:11:51.371    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys halmacpi.dll iaStor.sys 
18:11:51.386    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x84c5a8a0]
18:11:51.402    3 CLASSPNP.SYS[867a459e] -> nt!IofCallDriver -> [0x842291a0]
18:11:51.417    5 ACPI.sys[8608c3d4] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-0[0x84220028]
18:11:51.433    Scan finished successfully
18:12:03.663    Disk 0 MBR has been saved successfully to "C:\Users\Tommy\Desktop\MBR.dat"
18:12:03.679    The log file has been saved successfully to "C:\Users\Tommy\Desktop\aswMBR.txt"
         

1.

• lade Dir SUPERAntiSpyware FREE Edition herunter.
• installiere das Programm und update online.
• starte SUPERAntiSpyware und klicke auf "Ihren Computer durchsuchen"
• setze ein Häkchen bei "Kompletter Scan" und klicke auf "Weiter"
• anschließend alle gefundenen Schadprogramme werden aufgelistet, bei alle Funde Häkchen setzen und mit "OK" bestätigen
• auf "Weiter" klicken dann "OK" und auf "Fertig stellen"
• um die Ergebnisse anzuzeigen: auf "Präferenzen" dann auf den "Statistiken und Protokolle" klicken
• drücke auf "Protokoll anzeigen" - anschließend diesen Bericht bitte speichern und hier posten

2.
Auch auf USB-Sticks, selbstgebrannten Datenträgern, externen Festplatten und anderen Datenträgern können Viren transportiert werden. Man muss daher durch regelmäßige Prüfungen auf Schäden, die durch Malware ("Worm.Win32.Autorun") verursacht worden sein können, überwacht werden. Hierfür sind ser gut geegnet und empfohlen, die auf dem Speichermedium gesicherten Daten, mit Hilfe des kostenlosen Online Scanners zu prüfen.
Schließe jetzt alle externe Datenträgeran (USB Sticks etc) Deinen Rechner an, dabei die Hochstell-Taste [Shift-Taste] gedrückt halten, damit die Autorun-Funktion nicht ausgeführt wird. (So verhindest Du die Ausführung der AUTORUN-Funktion) - Man kann die AUTORUN-Funktion aber auch generell abschalten.►Anleitung

3.
-> Führe dann einen Komplett-Systemcheck mit Eset Online Scanner (NOD32)Kostenlose Online Scanner durch
Achtung!: >>Du sollst nicht die Antivirus-Sicherheitssoftware installieren, sondern dein System nur online scannen<<

4.
erneut einen Scan mit OTL:

• Doppelklick auf die OTL.exe
• Vista und Windows 7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen.
• Oben findest Du ein Kästchen mit Ausgabe.
  Wähle bitte Standard-Ausgabe
• Unter Extra-Registrierung wähle bitte Benutze SafeList.
• Mache Häckchen bei LOP- und Purity-Prüfung.
• Klicke nun auf Scan links oben.
• Wenn der Scan beendet wurde werden zwei Logfiles erstellt.
  Du findest die Logfiles auf Deinem Desktop => OTL.txt und Extras.txt
• Poste die Logfiles in Code-Tags hier in den Thread.

► berichte erneut über den Zustand des Computers. Ob noch Probleme auftreten, wenn ja, welche?

Wenn er damit wieder Fit ist (?) kann der Thread gerne geschlossen werden.

Vielen Dank!!!

Moin,

ein Problem hab ich noch gefunden.

Wenn ich unter Windows-Firewall klicke steht da "Firewalleinstellungen aktualisieren" mit roten Rand links.
Wenn ich dann auf "Empfohlende Einstellungen" klicken will zeigt er mir immer eine Fehlermeldung an:

Einige der Einstellungen können von Windows-Firewall nicht geändert werden.
Fehlercode 0x80070424
         

Und auch sonst kann ich da nix anklicken.

Mir ist dabei noch aufgefallen das wenn ich bei "Windows-Firewall" links auf "Windows-Firewall ein- oder ausschalten" klicken will komm ich ein klick weiter wo immer noch das rote Fenster ist. (Was ich oben beschrieben hab)
Und unten, über der Taskleiste, kommen zwei Butten mit "okay" und "abbrechen".
Egal was ich anklicke, geht er eine Seite zurück.