Hallo zusammen, wie es aussieht habe ich mir den abnow Trojaner eingefangen.
Internet funktioniert (noch), aber bei google werde ich immer auf abnow weitergeleitet.
Ich habe bereits einen "Scan" mit dds durchgeführt und wäre sehr dankbar für Eure Hilfe. Im Anhan sind die Berichte (ich hoffe das ist alles richtig so?!).
Vielen Dank!

abnow.com Umleitungen stehen im Zusammenhang mit ZeroAcess, den hast du offensichtlich drauf und der ist der ist immer ungemütlich.
Ich würde dir erstmal für den Fall der Fälle eine Datensicherung empfehlen und dich darauf vorzubereiten, eine komplette Neuinstallation von Windows durchzuführen, den ZA kann man nämlich nicht immer per Bereinigung entfernen!

Zum Thema Datensicherung von infizierten Systemen; mach das über ne Live-CD wie Knoppix, Ubuntu (zweiter Link in meiner Signatur) oder über PartedMagic. Grund: Bei einem Live-System sind keine Schädlinge des infizierten Windows-Systems aktiv, damit ist dann auch eine negative Beeinflussung des Backups durch Schädlinge ausgeschlossen.

Du brauchst natürlich auch ein Sicherungsmedium, am besten dürfte eine externe Platte sein. Sofern du nicht allzuviel sichern musst, kann auch ein USB-Stick ausreichen.

Hier eine kurze Anleitung zu PartedMagic, funktioniert prinzipell so aber fast genauso mit allen anderen Live-Systemen auch.

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 180 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist



4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partitionen wo Windows installiert ist, meistens isses /dev/sda1 und natürlich noch etwaige andere Partitionen, wo noch Daten liegen und die gesichert werden müssen - natürlich auch die der externen Platte (du bekommmst nur Lese- und Schreibzugriffe auf die Dateisysteme, wenn diese gemountet sind)
6. Kopiere die Daten der internen Platte auf die externe Platte - kopiere nur persönliche Dateien, Musik, Videos, etc. auf die Backupplatte, KEINE ausführbaren Dateien wie Programme/Spiele/Setups!!
7. Wenn fertig, starte den Rechner neu, schalte die ext. Platte ab und boote wieder Windows


Wenn du dir sicher bist, dass du auch Daten unter Linux gesichert hast, führst du mal Combofix aus:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hallo Arne, ich hab jetzt combofix laufen lassen und eigentlich läuft auch wieder alles. Danke dafür erstmal!
Allerdings bekomme ich jetzt immer eine Meldung "Please wait while windows configurates status..." und dann "the feature you are tryiung to use is on an network resource that is unavailable. click OK to try again, or enter an alternate path to a folder containing the installation package "status.msi" in the box below." Das geht leider nicht weg. Im Anhang noch mal mein logfile von combofix.

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Rootkit::
c:\programdata\14jsro1hvs.exe
c:\users\Sarah\14jsro1hvs.exe
c:\windows\system32\drivers\94e1f9a5ef42cf0f.sys

Folder::
c:\users\Sarah\AppData\Roaming\Uxangu
c:\users\Sarah\AppData\Roaming\Mofo
c:\users\Sarah\AppData\Local\50ec8ce3

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\94e1f9a5ef42cf0f]
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"14jsro1hvs"=-

Dirlook::
c:\windows\system32\%APPDATA%
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Ich hab alles so gemacht, aber die Statusmeldung wird immernoch angezeigt..

Hier der "Report":

Combofix Logfile:

ComboFix 12-03-08.01 - Sarah 08.03.2012  13:45:58.2.2 - x86
Microsoft® Windows Vista™ Home Premium   6.0.6000.0.1252.49.1031.18.3063.2045 [GMT 1:00]
ausgeführt von:: c:\users\Sarah\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\users\Sarah\Desktop\CFScript.txt
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Sarah\AppData\Local\50ec8ce3
c:\users\Sarah\AppData\Local\50ec8ce3\@
c:\users\Sarah\AppData\Local\50ec8ce3\loader.tlb
c:\users\Sarah\AppData\Local\50ec8ce3\U\00000001.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\000000c0.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\000000cb.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\000000cf.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\80000000.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\800000c0.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\800000cb.@.VIR
c:\users\Sarah\AppData\Local\50ec8ce3\U\800000cf.@.VIR
c:\users\Sarah\AppData\Roaming\Mofo
c:\users\Sarah\AppData\Roaming\Mofo\nofexax.tmp
c:\users\Sarah\AppData\Roaming\Uxangu
c:\windows\system32\drivers\94e1f9a5ef42cf0f.sys . . . . Nicht in der Lage zu löschen
.
.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_94e1f9a5ef42cf0f
-------\Service_94e1f9a5ef42cf0f
.
.
(((((((((((((((((((((((   Dateien erstellt von 2012-02-08 bis 2012-03-08  ))))))))))))))))))))))))))))))
.
.
2012-03-08 13:00 . 2012-03-08 13:05	--------	d-----w-	c:\users\Sarah\AppData\Local\temp
2012-03-07 12:10 . 2012-03-07 10:59	20952	----a-w-	c:\programdata\14jsro1hvs.exe
2012-03-07 11:14 . 2012-03-07 11:14	--------	d-sh--w-	c:\windows\system32\%APPDATA%
2012-03-07 11:00 . 2012-03-07 10:59	20952	----a-w-	c:\users\Sarah\14jsro1hvs.exe
2012-02-26 10:08 . 2012-01-31 07:56	137416	----a-w-	c:\windows\system32\drivers\avipbb.sys
2012-02-26 10:08 . 2011-09-16 15:08	36000	----a-w-	c:\windows\system32\drivers\avkmgr.sys
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-02-23 08:18 . 2009-10-02 16:31	237072	------w-	c:\windows\system32\MpSigStub.exe
2012-02-08 06:03 . 2012-03-06 08:19	6552120	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{C324811D-E5F0-42E5-BCBE-9A47B4A674BB}\mpengine.dll
2012-01-05 16:35 . 2012-01-05 16:35	163840	----a-w-	c:\windows\LgxSetup.exe
2011-12-25 07:51 . 2011-12-25 07:51	414368	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2007-03-12 17:59 . 2007-03-12 17:59	299008	----a-w-	c:\program files\navigram_register.exe
2012-02-19 09:23 . 2011-05-30 06:49	134104	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((((((((((((((((((   Look   )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
---- Directory of c:\windows\system32\%APPDATA% ----
.
2012-03-07 11:14 . 2012-03-07 16:08	16384	--sha-w-	c:\windows\system32\%APPDATA%\Microsoft\Windows\IETldCache\index.dat
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2009-01-19 1232896]
"LightScribe Control Panel"="c:\program files\Common Files\LightScribe\LightScribeControlPanel.exe" [2007-10-18 455968]
"AutoStartNPSAgent"="c:\program files\Samsung\Samsung New PC Studio\NPSAgent.exe" [2009-04-02 102400]
"Skype"="c:\program files\Skype\Phone\Skype.exe" [2010-03-09 26100520]
"ehTray.exe"="c:\windows\ehome\ehTray.exe" [2006-11-02 125440]
"WMPNSCFG"="c:\program files\Windows Media Player\WMPNSCFG.exe" [2006-11-02 201728]
"Regedit32"="c:\windows\system32\regedit.exe" [BU]
"14jsro1hvs"="c:\users\Sarah\14jsro1hvs.exe" [1601-01-01 0]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-11-12 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-11-12 166424]
"Persistence"="c:\windows\system32\igfxpers.exe" [2007-11-12 133656]
"NeroFilterCheck"="c:\program files\Common Files\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136]
"HP Software Update"="c:\program files\HP\HP Software Update\HPWuSchd2.exe" [2007-10-14 49152]
"hpqSRMon"="c:\program files\HP\Digital Imaging\bin\hpqSRMon.exe" [2008-06-02 80896]
"AppleSyncNotifier"="c:\program files\Common Files\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-03-16 47392]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2011-04-08 254696]
"MobileConnect"="c:\program files\Vodafone\Vodafone Mobile Connect\Bin\MobileConnect.exe" [2009-09-18 2412032]
"TkBellExe"="c:\program files\real\realplayer\Update\realsched.exe" [2011-10-28 273528]
"APSDaemon"="c:\program files\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2011-11-01 59240]
"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2011-10-24 421888]
"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-12-08 421736]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2012-01-03 37296]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-02 843712]
"14jsro1hvs"="c:\programdata\14jsro1hvs.exe" [1601-01-01 0]
.
c:\users\Sarah\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.2.lnk - c:\program files\OpenOffice.org 3\program\quickstart.exe [2009-12-15 384000]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
HP Digital Imaging Monitor.lnk - c:\program files\HP\Digital Imaging\bin\hpqtra08.exe [2008-3-25 214360]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux"=wdmaud.drv
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - 94E1F9A5EF42CF0F
*NewlyCreated* - FSUSBEXDISK
*Deregistered* - 94e1f9a5ef42cf0f
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs	REG_MULTI_SZ   	BthServ
HPZ12	REG_MULTI_SZ   	Pml Driver HPZ12 Net Driver HPZ12
hpdevmgmt	REG_MULTI_SZ   	hpqcxs08 hpqddsvc
.
NETSVCS BENÖTIGT REPARATUR - Derzeitig vorhandene Einträge:
AeLookupSvc
wercplsupport
Themes
CertPropSvc
SCPolicySvc
lanmanserver
gpsvc
IKEEXT
AudioSrv
FastUserSwitchingCompatibility
Ias
Irmon
Nla
Ntmssvc
NWCWorkstation
Nwsapagent
Rasauto
Rasman
Remoteaccess
SENS
Sharedaccess
SRService
TeamViewer
MpFilter
ASFWHide
WUSB54Gv4SVC
BrSerIf
zumbus
HECI
vmkbd2
botcbs
MXOPSWD
rimusb
DfwWebAgent
avsinc
roxliveshare9
P16X
ps2
iaimtv4
ati2mtaa
SE2Bobex
ROB_V
CamAv
BCMWLNPF
mwsejcap
https-nassry
ar5211
AmdLLD
pwd_2K
digitizer
genregistrar
pdlndqll
C-Dilla
clsched
CnxTrUsb
vproeventmonitor
keriomailserver
Freedom
S7oppilx
Jukebox
SWNC8U20
toddsrv
vmkbd
CTHWIUT.DLL
mlkkbdntdriver
ati2mtag
vvdsvc
NWUSBModem
ati2mpaa
ssoftservice
smsmdd
PPPoEWin
icam4usb
scramby
symwsc
sp_rssrv
rpsupdaterr
lhidusb
aeclienthostservice
AsuhfivrO
StreamDispatcher
epfwtdi
rrspy
smcirda
Tapisrv
Wmi
WmdmPmSp
TermService
wuauserv
BITS
ShellHWDetection
LogonHours
PCAudit
helpsvc
uploadmgr
iphlpsvc
seclogon
AppInfo
msiscsi
MMCSS
ProfSvc
EapHost
winmgmt
schedule
SessionEnv
browser
hkmsvc
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
2007-10-18 14:25	451872	----a-w-	c:\program files\Common Files\LightScribe\LSRunOnce.exe
.
Inhalt des "geplante Tasks" Ordners
.
2012-03-08 c:\windows\Tasks\User_Feed_Synchronization-{84E14674-17ED-4C18-AA3A-45EFC38B5968}.job
- c:\windows\system32\msfeedssync.exe [2010-03-31 04:54]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.gmx.net/
uInternet Settings,ProxyOverride = *.local
IE: Free YouTube Download - c:\users\Sarah\AppData\Roaming\DVDVideoSoftIEHelpers\youtubedownload.htm
IE: Free YouTube to MP3 Converter - c:\users\Sarah\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
TCP: DhcpNameServer = 192.168.178.1
FF - ProfilePath - c:\users\Sarah\AppData\Roaming\Mozilla\Firefox\Profiles\r44abgal.default\
FF - prefs.js: browser.search.selectedEngine - LEO Eng-Deu
FF - prefs.js: browser.startup.homepage - hxxp://www.gmx.net/
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2012-03-08 14:04
Windows 6.0.6000  NTFS
.
Scanne versteckte Prozesse... 
.
Scanne versteckte Autostarteinträge... 
.
Scanne versteckte Dateien... 
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\94e1f9a5ef42cf0f]
"ImagePath"="\SystemRoot\System32\Drivers\94e1f9a5ef42cf0f.sys"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\program files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
c:\program files\Bonjour\mDNSResponder.exe
c:\windows\system32\FsUsbExService.Exe
c:\program files\Common Files\LightScribe\LSSrvc.exe
c:\program files\Common Files\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\program files\Vodafone\Vodafone Mobile Connect\Bin\VMCService.exe
c:\windows\system32\conime.exe
c:\windows\system32\wbem\unsecapp.exe
c:\program files\OpenOffice.org 3\program\soffice.exe
c:\windows\system32\igfxsrvc.exe
c:\windows\ehome\ehmsas.exe
c:\program files\OpenOffice.org 3\program\soffice.bin
c:\program files\Windows Media Player\wmpnetwk.exe
c:\windows\system32\WerCon.exe
c:\program files\iPod\bin\iPodService.exe
c:\windows\system32\msiexec.exe
c:\program files\Skype\Plugin Manager\skypePM.exe
c:\windows\system32\MsiExec.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-03-08  14:13:10 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2012-03-08 13:13
ComboFix2.txt  2012-03-08 11:21
.
Vor Suchlauf: 8 Verzeichnis(se), 71.224.188.928 Bytes frei
Nach Suchlauf: 9 Verzeichnis(se), 71.104.348.160 Bytes frei
.
- - End Of File - - E19ED70B13BC37506D5F6E1DC322FBC4
         

--- --- ---

Ich fürchte das System ist im Eimer.
Willst du weiter bereinigen oder lieber eine Neuinstallation machen?

Auch wenn sonst alles läuft? (sieht zumindest so aus..) Nur diese Statusanzeige ist halt da..

Ich seh aber was noch alles im Log ist! Und das sieht nicht gut aus!