Hallo!

Ich habe zum ersten Mal einen Virus und auf dieser Seite den Beitrag http://www.trojaner-board.de/108092-...te-warten.html gefunden. Dieser Beitrag beschreibt mein Problem. Computer hochfahren geht, dann aber weisser Bildschirm, man kommt nicht auf den Desktop und Taskmanager funkioniert auch nicht...

Ich habe die REATOGO X PE CD gestartet. Habe OLT gestartet und anschliessend die OLT.txt untersucht, mit der aus dem obigen Artikel verglichen und meine eigene fix.txt geschrieben (siehe anlage).

Nun ist der Bildschirm schwarz, aber sonst hat sich nichts geaendert.

Nun habe ich das ganze nochmal gemacht und hier ist meine OLT.txt. Ich hoffe, ihr koennt mir eine funtkionierende fix.txt schreiben....!

Danke

Hi,

keine Scripte die für andere User geschrieben wurden verwenden!


Fix für OTL (Ucash)
Script auf CD oder USB-Stick kopieren, OTL starten und wie folgt vorgehen...
(abgesicherter Modus mit Eingabeaufforderung OTL starten dann notepad aufrufen, Script laden und Inhalt der Codebox wie u. beschrieben in OTL kopieren)

• Doppelklick auf die OTL.exe, um das Programm auszuführen.

• Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

• Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

:OTL
O4 - HKU\Mahnaz_ON_C..\Run: [1SjOutZRnOxGgdc]  File not found
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [1SjOutZRnOxGgdc]  File not found
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKU\Mahnaz_ON_C Winlogon: Shell - (C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe) -  File not found
O20 - HKLM Winlogon: Shell - (C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe) -  File not found
:Commands
[emptytemp]
[Reboot]
         

• Den roten Run Fixes! Button anklicken.

• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

• Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

• %systemroot%\_OTL

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Aktualisierungen" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

chris

Vielen Dank Chris,

nach "run fix" will der compi rebooten. soll ich das machen?
reboot mit cd oder ohne?
oder erst die otl datei suchen?

danke!

Hallo Chris,

hier die log file.

Hi,

äh, ja... poste bitte noch die Logs... auch das MAM nach Fullscan...

chris

Puh,

.log und .rar lassen sich nicht hochladen...
muss erst ein zip program runterladen.

sorry. hier schon mal die log.



========== OTL ==========
Registry value HKEY_USERS\Mahnaz_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\1SjOutZRnOxGgdc deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\Locked deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\1SjOutZRnOxGgdc deleted successfully.
Registry value HKEY_USERS\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDesktop deleted successfully.
Registry value HKEY_USERS\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_USERS\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.
Registry value HKEY_USERS\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Mahnaz
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Java cache emptied: 6248027 bytes
->FireFox cache emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 109080 bytes

Total Files Cleaned = 6.00 mb


OTLPE by OldTimer - Version 3.1.48.0 log created on 02022012_074406

Hi,

bitte noch das Log von MAM posten... der Rechner sollte sich jetzt wieder normal starten lassen...

chris

(

hmmm, leider war das neustarten nur durch entfernen der batterie moeglich.
nach den aufstarten und logon dann mauspfeil, reagiert auch, auf schwarzem bildschirm.

taskmanager has been deactivated by administrator...

was nun?

Hi,

sind das Profil, was mit OTL beackerte wurde und das nachher gebootet Profil identisch?

Kommst Du beim Booten über F8 den abgesicherten Mode mit Eingabeaufforderung?

chris

Hallo Chris,

danke fuer deine Geduld. du hast sicher schon gemerkt, ich versteh nicht viel von computern.

ich habe neu gestartet, im normal mode.
alles wunderbar, dann aber nur schwarzer bildschirm vor desktop, also desktop sehe ich garnicht.

der rechner hat sich sogar ins wifi geloggt und die letzten windows updates geladen. aber ich komme nicht am schwarzen bildschirm vorbei.

das profil, das ich in olt hochgeladen hatte ist dasselbe, wie das, welches ich beim starten des computers benutze. ich hab nur ein profil.

ich kann F2 oder F12 benutzen.
F2 bringt mich ins Menu
F12 fragt, von wo aus ich starten will, C oder Laufwerk....

weiss nicht, wie ich im abgesicherten modus hochfahren kann. werde batterie entfernen, dann komme ich normalerweise in dieses fenster.

Hi,

das ist dann also ein Laptop?
Der Ausgang ist nicht zufällig auf einen externen Bildschirm umgestellt? Wie hast Du mitbekommen, dass er die Windowsupdates runterlädt? Kein Startmenü etc. da?
Bitte nochmal ein neues OTL-Log...
In den abgesicherten Modus kommst Du, wenn Du beim Booten die F8-Taste drückst...

chris

Ja, ist ein Laptop.

Das Problem des schwarzen Bildschirms ist wirklich, dass er wie Ueber dem Desktop haengt.

Antivir lief und der Reklamebildschirm hat es tatsàechlich vor den schwarzen Bildschirm geschafft.

Und dan als ich runterfahren wollte, sagte mir der blaue Bildschirm, bitte nicht abschalten... ich lade noch updates....

Es ist kein Geraet oder Bildschirm angeschlossen, nur der Laptop.

Ich habe F8 probiert, aber da passiert garnichts. Ich kann beim Hochfahren F2 oder F12 druecken.

ICh werde jetzt noch einmal RALTOGO starten und OLT laufen lassen. Schicke dann nochmal OLT und log files.

Hallo!

hier die OLT file.

Die log file ist dieselbe wie voher. ich nehme an, dass die sich erst aendert, wenn ich den run fix knopf druecke...?

Hi,

Du musst vorher den Text reinkopieren und dann fixen lassen...
Erkennt er USB-Sticks? Dann kopiere den Fix auf den USB-Stick und kopiere den Fix/Text nach Anschluß an den verseuchten Rechern in die "Custom Scan/Fixes" Box (unten in OTL): ("OTL" muss mitkopiert werden!!!)...

:OTL
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [1SjOutZRnOxGgdc]  File not found
O4 - HKU\Mahnaz_ON_C..\Run: [1SjOutZRnOxGgdc]  File not found
O4 - HKU\LocalService_ON_C..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - HKU\Mahnaz_ON_C..\RunOnce: [JavaInstallRetry] C:\Users\Mahnaz\AppData\LocalLow\Sun\Java\JRERunOnce.exe (Sun Microsystems, Inc.)
O4 - HKU\NetworkService_ON_C..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\Mahnaz_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKLM Winlogon: Shell - (C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe) -  File not found
O20 - HKU\Mahnaz_ON_C Winlogon: Shell - (C:\Users\Mahnaz\AppData\Roaming\e5su745fss.exe) -  File not found
         

Wenn das nicht funktioniert (die Sachen sind immer noch da):
Dr. Web-Live-CD
Lade Dir das Abbild (Dr.Web CureIt! —) runter (jeweils die neuste Version, z. Z. http://download.geo.drweb.com/pub/dr...livecd-600.iso) und brenne es auf CD/DVD. Stelle dann im BIOS die Bootreihenfolge um (zuerst von CD booten), boote dann von der erstellten CD und starte Dr. Web Live CD (default). Lass dann alle Festplatten untersuchen...
Bei Funden bitte Name und Pfad notieren, bevor du sie von Dr. Web beseitigen lässt...
Weiter Anweisungen: Dr.Web CureIt! —

chris

ok. mach ich.

hab ich ja schon mal gemacht. wiederhole also mit diesem txt.
ist es richtig, dass am ende kein
[emptytemp]
[Reboot]

steht?