Hi,

leider habe ich mir gestern den Gema Virus eingefangen.
Arbeiten im abgesicherten Modus mit Treibern funzt nicht, nur im Modus mit Eingabeaufforderung. Habe da mal das OTL laufen lassen. Hier das Ergebnis:


Wäre dankbar für weitere Hinweise.

Gruß
Ferris

hi, sei so gut und hänge otl.txt an.

Ok, here we go.
Habe auch schon Malwarebytes drüberlaufen lassen und einige Viren damit gekillt. Hier das Ergebnis.

Gruß
Ferris

hi


dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.


• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

:OTL
O4 - HKCU..\Run: [m29dAlvRev1yx2E] C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe (Cutting Edge Software Inc.)
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\Karsten\Anwendungsdaten\hw654ustqq.exe) - C:\Dokumente und Einstellungen\Karsten\Anwendungsdaten\hw654ustqq.exe (Cutting Edge Software Inc.)
O20 - HKCU Winlogon: Shell - (C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe) - C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe (Cutting Edge Software 
[2008.12.09 16:23:14 | 000,051,536 | RHS- | M] () -- C:\WINDOWS\System32\appconf32.exe

 :Files
C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe
:Commands
[purity]
[EMPTYFLASH] 
[emptytemp]
[Reboot]
         

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!



Drücke bitte die + E Taste.

• Öffne dein Systemlaufwerk ( meistens C: )
• Suche nun
  folgenden Ordner: _OTL und öffne diesen.
• Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
• 
  Dies wird eine Movedfiles.zip Datei in _OTL erstellen
• Lade diese bitte in unseren Uploadchannel
  hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus



öffne malwarebytes, log dateien, poste alle bisher erstellten berichte.

Hi,

ihr seid echte Helden. Komme zum ersten mal wieder in den normalen Modus ;-)

Hir das neue OTL log:

All processes killed
========== OTL ==========
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\m29dAlvRev1yx2E deleted successfully.
C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe moved successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDesktop deleted successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Dokumente und Einstellungen\Karsten\Anwendungsdaten\hw654ustqq.exe deleted successfully.
C:\Dokumente und Einstellungen\Karsten\Anwendungsdaten\hw654ustqq.exe moved successfully.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe deleted successfully.
File C:\Dokumente und Einstellungen\Administrator.ACER-9EC38315D8\Anwendungsdaten\hw654ustqq.exe (Cutting Edge Software not found.
C:\WINDOWS\system32\appconf32.exe moved successfully.
========== COMMANDS ==========

[EMPTYFLASH]

User: Default User

User: All Users

User: NetworkService

User: LocalService

User: Karsten
->Flash cache emptied: 1632 bytes

User: Susi
->Flash cache emptied: 19332 bytes

User: Administrator

User: Administrator.ACER-9EC38315D8

Total Flash Files Cleaned = 0,00 mb


[EMPTYTEMP]

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32768 bytes

User: All Users

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 9044111 bytes

User: Karsten
->Temp folder emptied: 2530530 bytes
->Temporary Internet Files folder emptied: 2706885 bytes
->Java cache emptied: 1079679 bytes
->FireFox cache emptied: 31593908 bytes
->Google Chrome cache emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Susi
->Temp folder emptied: 11462252 bytes
->Temporary Internet Files folder emptied: 3411215 bytes
->Java cache emptied: 1264202 bytes
->FireFox cache emptied: 59444734 bytes
->Flash cache emptied: 0 bytes

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 171768 bytes

User: Administrator.ACER-9EC38315D8
->Temp folder emptied: 180224 bytes
->Temporary Internet Files folder emptied: 168608 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 19569 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 137297 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 118,00 mb


OTL by OldTimer - Version 3.2.33.2 log created on 03212002_131639

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Malwarebytes Log:
Malwarebytes Anti-Malware (Test) 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.25.02

Windows XP Service Pack 3 x86 FAT32
Internet Explorer 8.0.6001.18702
Karsten :: ACER-9EC38315D8 [Administrator]

Schutz: Aktiviert

21.03.2002 13:29:38
mbam-log-2002-03-21 (13-29-38).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 215525
Laufzeit: 12 Minute(n), 24 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 2
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping\{B58926D6-CFB0-45d2-9C28-4B5A0F0368AE} (Adware.ClickPotato) -> Daten: -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Internet Explorer\Extensions\CmdMapping|{B58926D6-CFB0-45d2-9C28-4B5A0F0368AE} (Adware.ClickPotato) -> Daten: 8197 -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|disableregistrytools (PUM.Hijack.Regedit) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Gruß
Ferris

hi,
nutzt du das gerät für onlinebanking, einkäufe, sonstige zahlungsabwicklungen, oder ähnlich wichtiges, wie berufliches?

Hallo,

Danke schon mal für die Hilfe bis hier.

Zu deiner Frage. Eigentlich nicht.

Habe jetzt auch mal AVG drüberlaufen lassen. Der hat auch noch ein paar Sachen gefunden. Der Laptop scheint jetzt noch ein paar kleinere Macken zu haben wie zb. kein Task Manager mehr und so. Ein bisschen was krieg ich da auch weg. Es bessert sich ;-)

Danke und Gruß
Ferris

was heißt eigendlich, entweder man bezahlt online, kauft ein, macht onlinebanking, oder was berufliches, oder nicht :-)

Ok ;-)

Nein!

was hat avg gefunden, poste das log, und mache danach bitte nur noch das, was ich schreibe, es kann dem pc mehr schaden wenn du irgendwas anderes machst wovon ich dann vllt auch nichts weis.

Mist, kann leider das AVG LOG nicht mehr reproduzieren. Jedenfalls kommt nun bei AVG Scan und über Malwarebytes keine Treffer mehr. Was auffält ist, das das System extrem langsam ist. Das mit dem Task Manager habe ich über regedit Eintrag wieder hinbekommen. Gibt es noch was mit dem ich die Dienste/Prozesse prüfen kann oder einen anderen Scanner der noch was rausholt?

Noch was; ich kann auf dem Desktop nichts mehr abspeichern. Komisch.

Danke im Voraus.

Gruß
Ferris

Malwarebytes Anti-Malware (Test) 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.25.02

Windows XP Service Pack 3 x86 FAT32
Internet Explorer 8.0.6001.18702
Karsten :: ACER-9EC38315D8 [Administrator]

Schutz: Deaktiviert

21.03.2002 19:05:06
mbam-log-2002-03-21 (19-05-06).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 216261
Laufzeit: 47 Minute(n), 7 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Nachtrag: das Problem mit dem Desktop ist gelöst.

avg logs müsste man nachträglich einsehen können, klicke dich da mal durchs programm. hatte es mal vor ner weile, kann mich aber im moment nicht daran erinnern wo man es findet :-)