Abnow.com / Backdoor.Agent / Defender+Firewall inaktiv

Morits

Hallo, auf dem Dell-Laptop meiner Freundin wurde seit einem knappen Jahr der McAfee Schutz nicht mehr nachaktualisiert, seit gestern lässt sich keine Homepage mehr besuchen (alles wird umgeleitet zu abnow.com) und der Windows Defender und die Firewall sind lahmgelegt (Windows 7, 64bit).

Auslöser dafür war wohl ein angebliches Flashplayer-Update, das aber vermutlich nicht echt war und ausgeführt wurde. Kurz darauf meldete McAfee, dass es einen Trojaner gefunden und entfernt habe, leider ohne Angabe eines Namens - und obwohl McAfee eigentlich längst abgelaufen ist. Weil anschließend der Defender und die Firewall inaktiv waren und seither nicht mehr aktiviert werden können vermute ich dass die Meldung von McAfee eher Teil des Virus ist als eine ernstzunehmende Entwarnung.

Das runtergeladene "Flashupdate" war vermutlich die Datei _ex-68.exe, die ich gleich gelöscht habe, aber vermutlich zu spät.

Seitdem gibt es mehrere Merkwürdigkeiten:
- kurz aufblitzender grüner Screen beim Hochfahren von Windows
- eine Meldung vom Dell-Programm Quickset: "Ihr Akku lädt sich normal auf, jedoch nähert sich die Verwendbarkeit ihres Akkus dem Ende zu".
- alle direkten Browsereingaben und Googlelinks werden umgeleitet zu abnow.com
- und wie schon erwähnt, Firewall und Defender sind lahmgelegt - beim Versuch den Windows Defender zu starten kommt folgende Meldung:
"Der angegebene Dienst ist kein installierter Dienst. (Fehlercode: 0x80070424)".


---------------------------------------------

Ich habe mir von einem Zweitrechner nun folgende Tools runtergeladen und sie per USB-Stick über Ubuntu auf den befallenen Laptop kopiert:

Malwarebytes Anti-Malware
ComboFix.exe
dds.com
Defogger.exe
OTL.exe
aswMBR.exe

Defogger und dds habe ich wie hier im Forum erklärt angewendet und die txt-Files attached.
Von MBAM habe ich kein aktuelles Update, es ist 57 Tage alt und von dem befallenen Laptop aus kann ich es ja nicht updaten wegen fehlendem Internet. Trotzdem poste ich hier auch das Ergebnis des MBAM-Vollscans. Ich muss dazu aber sagen dass MBAM erst nach den Symptomen installiert wurde, falls das relevant sein sollte. Bereits im Quickscan tauchte folgendes auf:
Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|Shell (Backdoor.Agent) -> Daten: C:\Users\Almuth\AppData\Local\c98ae578\X

Ich habe jetzt schon ein paar mal von Rootkits gelesen. Habe ich so etwas nun auch auf dem Laptop und lohnt es sich überhaupt noch weiterzumachen oder sollte ich am besten gleich alles formatieren und neu aufsetzen? Und wenn ja wie mache ich das richtig ohne dass was zurückbleibt?r.

Über Rat und Hilfe würde ich mich sehr freuen!!!