WinXP: Weisser Bildschirm nach Boot - OTL.txt erstellt, Fixes gesucht

Manny79

Hallo Daniel

Vielen Dank für die prompte und kompetente Hilfe. Soweit scheint alles geklappt zu haben.

Hier die Log von OTL:

��========== OTL ==========

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\5kS43ADO0bzprWo deleted successfully.

C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe moved successfully.

Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\cAcRAghqTypREor.exe deleted successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\cAcRAghqTypREor.exe moved successfully.

Registry value HKEY_USERS\Besitzer_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\5kS43ADO0bzprWo deleted successfully.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

Registry value HKEY_USERS\Besitzer_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDesktop deleted successfully.

Registry value HKEY_USERS\Besitzer_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableTaskMgr deleted successfully.

Registry value HKEY_USERS\Besitzer_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\DisableRegistryTools deleted successfully.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe deleted successfully.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe deleted successfully.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

Registry value HKEY_USERS\Besitzer_ON_C\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe deleted successfully.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

Registry value HKEY_USERS\Besitzer_ON_C\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe deleted successfully.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\cAcRAghqTypREor.exe not found.

File C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\soundblaster_fx648.exe not found.

C:\Dokumente und Einstellungen\Besitzer\Startmen�\Programme\SMART HDD folder moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\QkqnRvQCEE.exe moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\-ZoDSNZEgBhSJpCr moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\-ZoDSNZEgBhSJpC moved successfully.

C:\Dokumente und Einstellungen\Besitzer\Desktop\SMART_HDD.lnk moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ZoDSNZEgBhSJpC moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ZoDSNZEgBhSJpC.exe moved successfully.

File C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\QkqnRvQCEE.exe not found.

C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\SMART_HDD.lnk moved successfully.

========== COMMANDS ==========



OTLPE by OldTimer - Version 3.1.48.0 log created on 04202012_162719



Weiter gehts mit der Log von Anti-Malware:

Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.04.04.08

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Besitzer :: KOI [Administrator]

Schutz: Deaktiviert

20.04.2012 16:37:02
mbam-log-2012-04-20 (16-37-02).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 188797
Laufzeit: 17 Minute(n), 27 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 6
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowControlPanel (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowHelp (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyComputer (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyDocs (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowRun (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowSearch (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NaDwLaiRnW.exe (Backdoor.Agent.RCGen) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)


Und zu guter letzt noch das Textfile von unhide.exe:

Unhide by Lawrence Abrams (Grinler)
hxxp://www.bleepingcomputer.com/
Copyright 2008-2012 BleepingComputer.com
More Information about Unhide.exe can be found at this link:
hxxp://www.bleepingcomputer.com/forums/topic405109.html

Program started at: 04/20/2012 05:04:29 PM
Windows Version: Windows XP

Please be patient while your files are made visible again.

Processing the A:\ drive
Finished processing the A:\ drive. 0 files processed.

Processing the C:\ drive
Finished processing the C:\ drive. 62901 files processed.

Processing the D:\ drive
Finished processing the D:\ drive. 7397 files processed.

Processing the G:\ drive
Finished processing the G:\ drive. 114 files processed.

Restoring the Start Menu.
* 161 Shortcuts and Desktop items were restored.


Searching for Windows Registry changes made by FakeHDD rogues.
- Checking HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
- Checking HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer
- Checking HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System
- Checking HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\ActiveDesktop
* HidNoChangingWallPaperden policy was found and deleted!
- Checking HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\Advanced
* HideIcons was set to 1! It was set back to 0!
* Start_ShowMyMusic was set to 0! It was set back to 1!
* Start_ShowMyPics was set to 0! It was set back to 1!
* Start_ShowPrinters was set to 0! It was set back to 1!
* Start_ShowSetProgramAccessAndDefaults was set to 0! It was set back to 1!
* Start_ShowRecentDocs was set to 0! It was set back to 2!
* Start_ShowNetConn was set to 0! It was set back to 1!
* Start_ShowNetPlaces was set to 0! It was set back to 1!

Restarting Explorer.exe in order to apply changes.

Program finished at: 04/20/2012 05:10:57 PM
Execution time: 0 hours(s), 6 minute(s), and 28 seconds(s)



Schöne Grüsse
Manny