Hallo zusammen,
Ich habe vor zwei Tagen bemerkt dass mich Firefox beim Verlinken ständig auf eine leere Seite namens "abnow..." Dem hab ich soweit keine Beachtung geschenkt da ich nur meine mails abrufen wollte. Heute bin ich der Sache nachgegangen und siehe da: ich hab scheinbar etwas ziemlich bösartiges auf dem system. Ich nutze onlinebanking nur sehr selten um den kontostand zu überprüfen (zuletzt vor einem monat) und habe bisher auch noch nie das mobiletan-system benutzt bzw. eingerichtet. Soweit so gut.

Ich hab mich ein bisschen umgehört und scheinbar ist nur eine Neuinstallation von Windows mit anschließendem Schutz effektiv. Das Problem ist jedoch, dass ich frühestens in einer Woche wieder Zugang zu meiner Windows CD habe und bis dahin unmöglich auf Internet verzichten kann.
Daher zwei Fragen:
1. Ist mein Konto in akuter Gefahr?
2. Gibt es eine Möglichkeit das rootkit(?) auch ohne Windows Neuformatierung endgültig loszuwerden?

Ich habe mich dazu entschieden entgegen der Anweisung auch die DDS-Datei im Anhang zu schicken, da mir bei dem Gedanken mein komplettes System so offen zu zeigen etwas unwohl ist. Ich hoffe man verzeiht mir.
Ich nutze übrigens Windows 7 professional 64bit. Deshalb keine GMER Datei.

Danke schonmal im Voraus für Ratschläge!

Du hast offensichtlich einen ZeroAccess drauf, der ist immer ungemütlich.

Ich würde dir erstmal für den Fall der Fälle eine Datensicherung empfehlen und dich darauf vorzubereiten, eine komplette Neuinstallation von Windows durchzuführen, den ZA kann man nämlich nicht immer per Bereinigung entfernen!

Zum Thema Datensicherung von infizierten Systemen; mach das über ne Live-CD wie Knoppix, Ubuntu (zweiter Link in meiner Signatur) oder über PartedMagic. Grund: Bei einem Live-System sind keine Schädlinge des infizierten Windows-Systems aktiv, damit ist dann auch eine negative Beeinflussung des Backups durch Schädlinge ausgeschlossen.

Du brauchst natürlich auch ein Sicherungsmedium, am besten dürfte eine externe Platte sein. Sofern du nicht allzuviel sichern musst, kann auch ein USB-Stick ausreichen.

Hier eine kurze Anleitung zu PartedMagic, funktioniert prinzipell so aber fast genauso mit allen anderen Live-Systemen auch.

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 180 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist



4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partitionen wo Windows installiert ist, meistens isses /dev/sda1 und natürlich noch etwaige andere Partitionen, wo noch Daten liegen und die gesichert werden müssen - natürlich auch die der externen Platte (du bekommmst nur Lese- und Schreibzugriffe auf die Dateisysteme, wenn diese gemountet sind)
6. Kopiere die Daten der internen Platte auf die externe Platte - kopiere nur persönliche Dateien, Musik, Videos, etc. auf die Backupplatte, KEINE ausführbaren Dateien wie Programme/Spiele/Setups!!
7. Wenn fertig, starte den Rechner neu, schalte die ext. Platte ab und boote wieder Windows


Wenn du dir sicher bist, dass du auch Daten unter Linux gesichert hast, führst du mal Combofix aus:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Mittlerweile habe ich wieder Zugang zu meiner Windows-CD.
Ich habe schon einen bootfähigen usb-stick erstellt, da ich keinen CD-Rohling zur Hand hatte und parted magic läuft ohne Probleme. Einer Windows Neuinstallation steht somit nichts mehr im Weg.
Es gibt allerdings eine neue Entwicklung:
Ich habe in den letzten Tagen etwa 5 mal einen vollständigen Suchlauf mit Antimalwarebytes' Antimalware über die beiden Festplatten meines Laptops laufen lassen. Nur um zu sehen ob sich der zeroaccess ausbreitet. Das Ergebnis war immer dasselbe: etwa 8 befallene Dateien auf meiner Windows-Festplatte. alle mit namen zeroaccessactivity.. Ich habe alle entfernen lassen und einen Neustart ausgeführt mit dem Ergebnis, dass die ca.8 infizierten Dateien danach wieder da waren. Heute kam ich endlich dazu die Datensicherung in Angriff zu nehmen. Ich war dabei in Windows Dateien zu sortieren um mir dann in Parted Magic die Fummelarbeit zu ersparen. Währendessen lief nochmal ein Suchlauf. 8 Dateien gefunden -8 dateien entfernt-Neustart. Zufällig habe ich dann bemerkt dass ich wieder ganz normal im Internet surfen kann. Daraufhin habe ich nochmal einen Suchlauf gestartet und siehe da: 0 infizierte Dateien. das zeroaccess rootkit scheint weg zu sein und alles läuft schnell und flüssig wie eh und je.
Einerseit habe wieder Hoffnung nun vllt. doch nicht formatieren zu müssen. (das wäre ein Alptraum wegen den ganzen Programmen und Einstellungen) Andererseits bin ich sehr misstrauisch, dass das Ding sich letztendlich doch so einfach entfernen lies.
Nun meine Frage: Soll ich einfach weiter den Anweisungen folgen und trotzdem eine Datensicherung durchführen und anschließend Combofix ausführen oder gibt es eine einfachere Lösung um festzustellen ob mein System nun wieder wirklich sauber ist?

Bei dem ZeroAccess ist eine Bereinigung immer mit Vorsicht zu genießen. Ich glaube der ist auch nach Malwarebytes immer noch da. Wenn du alles gesichert hast machst du mal CF jetzt einfach.

Ok. Hier gibt es ein Problem. Datensicherung ist fertig. Combofix ist auf das Desktop heruntergeladen. Ich hab es als Administrator ausgeführt und die Nutzerbedingungen akzeptiert. Ein kurzer Installationsbalken erscheint. Das Fenster schließt sich und nichts passiert. Ich kann auch nirgends auf dem System eine Installation finden. Alle Anwendungen waren geschlossen und meine Firewall und mein Windows-Defender sind scheinbar eh schon inaktiv und lassen sich nicht mehr aktivieren. Hab ich etwas falsch gemacht?

Weiß ich so nicht aus der Beschreibung was da passiert ist
Mach es einfach nochmal

Ich hab es natürlich mehrmals versucht. Auch die Datei neu heruntergeladen und einen Neustart eingelegt. immer das selbe Ergebnis.

Hast es schon im abgesicherten Modus mit Netzwerk probiert?

Hab es gerade versucht. Auch das funktioniert nicht. Soll ich vllt. jetzt doch einfach formatieren?

Ja, dann denke ist es besser zu formatieren. Ist beim ZeroAccess eh dringend zu empfehlen.
Sag Bescheid wenn du durch bist, dann prüfen wir noch den MBR

Ok, bin durch. Was nun?

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

Hinweis: Bitte den Virenscanner abstellen bevor du aswMBR ausführst, denn v.a. Avira meldet darin oft einen Fehalalrm!

• Starte die aswMBR.exe Vista und Win7 User aswMBR per Rechtsklick "als Administrator ausführen"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

Oo. Hab alle Anweisungen befolgt, Antivirenprogramm ist noch gar keines installiert. Der Scan läuft etwa 5 Sekunden dann passiert das hier..
Habe es wieder mehrmals versucht und im abgesicherten Modus passiert auch dasselbe.

Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

Auch das funktioniert leider nicht. Wieder die selbe Fehlermeldung