Hallo Leute,

da ich langsam echt ratlos bin, wollte ich mal fragen, ob jemand vielleicht eine Lösung für mein Problem hat.

Ich benutze G-Data Internetsecurity 2012, CC Cleaner und Malewarebytes.

Vor einigen Wochen musste ich meinen Rechner neu aufsetzen, weil ich mir den Trojaner "System Check" eingefangen hatte. Alle Anleitungen zum entfernen des Trojaners, die ich hier im Board und via Google in anderen Foren fand, halfen nur bedingt. Am Ende war zwar der Trojaner weg, aber irgendwas leitete mich, wenn ich einen Browser benutzte, immer über zig Webseiten weiter. Da verlor ich dann die Geduld und habe meinen Rechner neu aufgesetzt.

ALLERDINGS: Ich habe Windows 7 einfach neu raufgespielt. Ich habe nicht die Festplatte "platt gemacht", da ich nicht weiß, wie das geht.

Demzufolge waren nach neu aufspielen des BS beide Partitionen da, die ich vorher schon hatte. Das war Anfang April diesen Jahres.

Vor einigen Tagen zeigte mir Windows halt an, dass ich Microsoft Security Essentials runterladen soll, habe ich gemacht. Dieses Programm fand dann prompt den Trojaner "TrojanOS/Alureon.E".

Nach diversem googlen wunderte mich immer mehr, dass nur DIESES eine Programm diesen Trojaner findet und ihn nichtmal beseitigen kann, weil er sich ja angeblich irgendwo im Boot Sector befindet.

Maleware Bytes Anti Maleware lief durch im Vollscan, nichts gefunden.

G-Data lief durch, Vollscann, RootKits Scan, nichts gefunden.

Was soll ich tun?

Langsam nerven mich diese Trojaner wirklich, wozu habe ich ein angeblich super tolles Security System, wenn trotzdem so viel noch durchgeht. In den letzten 4 Jahren hatte ich NIE einen Viren oder Trojanerbefall und innerhalb von 3 Monaten habe ich plötzlich nacheinander 2 Trojaner auf meinem Rechner?

Hilfe

Mein Name ist Marius und ich werde dir bei deinem Problem helfen.

Eines vorneweg:

Hinweis: Wir können hier nie dafür garantieren, dass wir sämtliche Reste von Schadsoftware gefunden haben. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.

Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass du clean bist.

Eine Bereinigung ist mitunter mit viel Arbeit für dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lese die Anleitungen sorgfältig. Solltest du irgendwo nicht weiterkommen, stoppe an diesem Punkt und beschreibe dein Problem hier!
• Nur Scans durchführen, zu denen du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren) - wenn du die anweisungen mehrere Helfer ausführst, kann das schwere Probleme nach sich ziehen!.
• Installiere oder Deinstalliere während der Bereinigung keine Software (ausser, du wurdest dazu aufgefordert).
• Wenn etwas unklar ist: Frage, bevor du etwas "blind" machst!
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen, außer, ich fordere dich dazu auf. Erschwert mir nämlich das Auswerten.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.


Um welches Betriebssystem handelt es sich? Bitte auch angeben, ob es sich um 32- oder 64bit handelt!

Es handelt sich um Win 7 Ultimate 64-bit.

Habe die Bedingungen gelesen und verstanden

Hier mal der geforderte Attach Anhang aus dem Beitrag "Für alle Hilfesuchenden! Was muss ich vor der Eröffnung eines Themas beachten?". Hätte ich wohl schon eher anhängen sollen, aber besser spät als nie. Ich hoffe, es hilft und ich hoffe, ich habe alles richtig angehängt

DDS.txt:

.DDS Logfile:

DDS (Ver_2011-08-26.01) - NTFSAMD64 
Internet Explorer: 9.0.8112.16421  BrowserJavaVersion: 1.6.0_31
Run by LilLady at 13:18:24 on 2012-05-21
Microsoft Windows 7 Ultimate   6.1.7601.1.1252.49.1031.18.4094.2674 [GMT 2:00]
.
AV: G Data InternetSecurity 2013 *Enabled/Updated* {39B780B4-63C2-05B0-3B40-8F7A21E4F496}
AV: Microsoft Security Essentials *Enabled/Updated* {9765EA51-0D3C-7DFB-6091-10E4E1F341F6}
SP: G Data InternetSecurity 2013 *Enabled/Updated* {82D66150-45F8-0A3E-01F0-B4085A63BE2B}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
SP: Microsoft Security Essentials *Enabled/Updated* {2C040BB5-2B06-7275-5A21-2B969A740B4B}
FW: G Data Personal Firewall *Enabled* {018C0191-29AD-04E8-101F-264FDF37B3ED}
.
============== Running Processes ===============
.
C:\Windows\system32\wininit.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe -k DcomLaunch
C:\Windows\system32\svchost.exe -k RPCSS
C:\Program Files (x86)\Common Files\G Data\GDScan\GDScan.exe
C:\Program Files\Microsoft Security Client\MsMpEng.exe
C:\Program Files (x86)\G Data\InternetSecurity\AVK\AVKWCtlX64.exe
C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
C:\Windows\system32\svchost.exe -k netsvcs
C:\Windows\system32\svchost.exe -k LocalService
C:\Windows\system32\svchost.exe -k NetworkService
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
C:\Program Files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\Program Files (x86)\Common Files\G Data\AVKProxy\AVKProxy.exe
C:\Program Files (x86)\G Data\InternetSecurity\AVK\AVKService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation
C:\Program Files\Common Files\LogiShrd\LVMVFM\LVPrcSrv.exe
C:\Program Files (x86)\Common Files\LogiShrd\LVMVFM\LVPrS64H.exe
C:\ProgramData\Skype\Toolbars\Skype C2C Service\c2c_service.exe
C:\Windows\system32\svchost.exe -k imgsvc
C:\Program Files (x86)\G Data\InternetSecurity\Firewall\GDFwSvcx64.exe
C:\Windows\system32\svchost.exe -k NetworkServiceNetworkRestricted
C:\Windows\system32\WUDFHost.exe
C:\Program Files (x86)\Common Files\G Data\AVKProxy\AvkBap64.exe
C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Windows\system32\SearchIndexer.exe
C:\Windows\servicing\TrustedInstaller.exe
C:\Windows\system32\taskhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Microsoft Security Client\msseces.exe
C:\Program Files (x86)\Common Files\Apple\Internet Services\ubd.exe
C:\Program Files (x86)\Skype\Phone\Skype.exe
C:\Program Files (x86)\Common Files\Apple\Apple Application Support\distnoted.exe
C:\Windows\system32\conhost.exe
C:\Program Files (x86)\G Data\InternetSecurity\AVKTray\AVKTray.exe
C:\Program Files (x86)\G Data\InternetSecurity\Firewall\GDFirewallTray.exe
C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Program Files (x86)\iTunes\iTunesHelper.exe
C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\acrotray.exe
C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe
C:\Program Files (x86)\Common Files\Logishrd\LQCVFX\COCIManager.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Windows\System32\svchost.exe -k LocalServicePeerNet
C:\Windows\system32\SearchProtocolHost.exe
C:\Windows\system32\SearchFilterHost.exe
C:\Windows\system32\DllHost.exe
C:\Windows\system32\DllHost.exe
C:\Windows\SysWOW64\cmd.exe
C:\Windows\system32\conhost.exe
C:\Windows\SysWOW64\cscript.exe
C:\Windows\system32\wbem\wmiprvse.exe
.
============== Pseudo HJT Report ===============
.
uInternet Settings,ProxyOverride = *.local;<local>
mWinlogon: Userinit=userinit.exe
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - C:\Program Files (x86)\Java\jre6\bin\ssv.dll
BHO: Adobe PDF Conversion Toolbar Helper: {ae7cd045-e861-484f-8273-0445ee161910} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
BHO: Skype Browser Helper: {ae805869-2e5c-4ed4-8f7b-f1f7851a4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
BHO: G Data BankGuard: {ba3295cf-17ed-4f49-9e95-d999a0adbfdc} - C:\Program Files (x86)\Common Files\G Data\AVKProxy\BanksafeBHO.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - C:\Program Files (x86)\Java\jre6\bin\jp2ssv.dll
BHO: SmartSelect Class: {f4971ee7-daa0-4053-9964-665d8ee6a077} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
TB: Adobe PDF: {47833539-d0c5-4125-9fa8-0819e2eaac93} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
uRun: [MobileDocuments] C:\Program Files (x86)\Common Files\Apple\Internet Services\ubd.exe
uRun: [Skype] "C:\Program Files (x86)\Skype\Phone\Skype.exe" /minimized /regrun
mRun: [G Data AntiVirus Tray Application] C:\Program Files (x86)\G Data\InternetSecurity\AVKTray\AVKTray.exe
mRun: [GDFirewallTray] C:\Program Files (x86)\G Data\InternetSecurity\Firewall\GDFirewallTray.exe
mRun: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe" /hide
mRun: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
mRun: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
mRun: [APSDaemon] "C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe"
mRun: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
mRun: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
mRun: [<NO NAME>] 
mRun: [Adobe Acrobat Speed Launcher] "C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\Acrobat_sl.exe"
mRun: [Acrobat Assistant 8.0] "C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\Acrotray.exe"
mRun: [Malwarebytes' Anti-Malware] "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
mPolicies-explorer: NoActiveDesktop = 1 (0x1)
mPolicies-explorer: NoActiveDesktopChanges = 1 (0x1)
mPolicies-system: ConsentPromptBehaviorAdmin = 5 (0x5)
mPolicies-system: ConsentPromptBehaviorUser = 3 (0x3)
mPolicies-system: EnableUIADesktopToggle = 0 (0x0)
IE: An vorhandene PDF-Datei anfügen - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
IE: In Adobe PDF konvertieren - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
IE: Linkziel an vorhandene PDF-Datei anhängen - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
IE: Linkziel in Adobe PDF konvertieren - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
IE: {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab
DPF: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab
DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} - hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab
TCP: DhcpNameServer = 213.191.92.87 62.109.123.6
TCP: Interfaces\{03691036-BD2F-454F-8001-40E47F2C3BDB} : DhcpNameServer = 213.191.92.87 62.109.123.6
Handler: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL
{18DF081C-E8AD-4283-A596-FA578C2EBDC3}
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}
{AE7CD045-E861-484f-8273-0445EE161910}
{AE805869-2E5C-4ED4-8F7B-F1F7851A4497}
{BA3295CF-17ED-4F49-9E95-D999A0ADBFDC}
{DBC80044-A445-435b-BC74-9C25C1C588A9}
{F4971EE7-DAA0-4053-9964-665D8EE6A077}
{47833539-D0C5-4125-9FA8-0819E2EAAC93}
mRun-x64: [G Data AntiVirus Tray Application] C:\Program Files (x86)\G Data\InternetSecurity\AVKTray\AVKTray.exe
mRun-x64: [GDFirewallTray] C:\Program Files (x86)\G Data\InternetSecurity\Firewall\GDFirewallTray.exe
mRun-x64: [LogitechQuickCamRibbon] "C:\Program Files\Logitech\Logitech WebCam Software\LWS.exe" /hide
mRun-x64: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
mRun-x64: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
mRun-x64: [APSDaemon] "C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe"
mRun-x64: [iTunesHelper] "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
mRun-x64: [QuickTime Task] "C:\Program Files (x86)\QuickTime\QTTask.exe" -atboottime
mRun-x64: [(Standard)] 
mRun-x64: [Adobe Acrobat Speed Launcher] "C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\Acrobat_sl.exe"
mRun-x64: [Acrobat Assistant 8.0] "C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\Acrotray.exe"
mRun-x64: [Malwarebytes' Anti-Malware] "C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe" /starttray
.
================= FIREFOX ===================
.
FF - ProfilePath - C:\Users\LilLady\AppData\Roaming\Mozilla\Firefox\Profiles\d9zc4d6x.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: C:\Program Files (x86)\Adobe\Acrobat 10.0\Acrobat\Air\nppdf32.dll
FF - plugin: C:\Program Files (x86)\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll
FF - plugin: C:\Program Files (x86)\Java\jre6\bin\plugin2\npdeployJava1.dll
FF - plugin: C:\Program Files (x86)\Java\jre6\bin\plugin2\npjp2.dll
FF - plugin: C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_11_2_202_235.dll
.
============= SERVICES / DRIVERS ===============
.
R0 GDBehave;GDBehave;C:\Windows\system32\drivers\GDBehave.sys --> C:\Windows\system32\drivers\GDBehave.sys [?]
R0 MpFilter;Microsoft Malware Protection Driver;C:\Windows\system32\DRIVERS\MpFilter.sys --> C:\Windows\system32\DRIVERS\MpFilter.sys [?]
R1 GDMnIcpt;GDMnIcpt;\??\C:\Windows\system32\drivers\MiniIcpt.sys --> C:\Windows\system32\drivers\MiniIcpt.sys [?]
R1 gdwfpcd;G Data WFP CD;C:\Windows\system32\drivers\gdwfpcd64.sys --> C:\Windows\system32\drivers\gdwfpcd64.sys [?]
R1 GRD;G Data Rootkit Detector Driver;\??\C:\Windows\system32\drivers\GRD.sys --> C:\Windows\system32\drivers\GRD.sys [?]
R1 HookCentre;HookCentre;\??\C:\Windows\system32\drivers\HookCentre.sys --> C:\Windows\system32\drivers\HookCentre.sys [?]
R1 vwififlt;Virtual WiFi Filter Driver;C:\Windows\system32\DRIVERS\vwififlt.sys --> C:\Windows\system32\DRIVERS\vwififlt.sys [?]
R2 AdobeARMservice;Adobe Acrobat Update Service;C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe [2012-4-4 63928]
R2 AVKProxy;G Data AntiVirus Proxy;C:\Program Files (x86)\Common Files\G Data\AVKProxy\AVKProxy.exe [2012-5-8 1538040]
R2 AVKService;G Data Scheduler;C:\Program Files (x86)\G Data\InternetSecurity\AVK\AVKService.exe [2012-5-8 468472]
R2 AVKWCtl;G Data Dateisystem Wächter;C:\Program Files (x86)\G Data\InternetSecurity\AVK\AVKWCtlx64.exe [2012-5-8 2006872]
R2 LVPrcS64;Process Monitor;C:\Program Files\Common Files\logishrd\LVMVFM\LVPrcSrv.exe [2009-10-7 191000]
R2 MBAMService;MBAMService;C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe [2012-5-15 654408]
R2 Skype C2C Service;Skype C2C Service;C:\ProgramData\Skype\Toolbars\Skype C2C Service\c2c_service.exe [2012-4-9 3063968]
R3 GDFwSvc;G Data Personal Firewall;C:\Program Files (x86)\G Data\InternetSecurity\Firewall\GDFwSvcx64.exe [2012-5-8 1765352]
R3 GDPkIcpt;GDPkIcpt;\??\C:\Windows\system32\drivers\PktIcpt.sys --> C:\Windows\system32\drivers\PktIcpt.sys [?]
R3 GDScan;G Data Scanner;C:\Program Files (x86)\Common Files\G Data\GDScan\GDScan.exe [2012-5-8 470008]
R3 LVPr2M64;Logitech LVPr2M64 Driver;C:\Windows\system32\DRIVERS\LVPr2M64.sys --> C:\Windows\system32\DRIVERS\LVPr2M64.sys [?]
R3 LVUVC64;Logitech QuickCam E3500(UVC);C:\Windows\system32\DRIVERS\lvuvc64.sys --> C:\Windows\system32\DRIVERS\lvuvc64.sys [?]
R3 MBAMProtector;MBAMProtector;\??\C:\Windows\system32\drivers\mbam.sys --> C:\Windows\system32\drivers\mbam.sys [?]
R3 netr28ux;RT2870-USB-Drahtlos-LAN-Kartentreiber für Vista;C:\Windows\system32\DRIVERS\netr28ux.sys --> C:\Windows\system32\DRIVERS\netr28ux.sys [?]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-3-18 130384]
S2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-3-18 138576]
S2 SkypeUpdate;Skype Updater;C:\Program Files (x86)\Skype\Updater\Updater.exe [2012-5-3 158856]
S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe [2012-4-15 257696]
S3 GdNetMon;G Data Network Monitor;\??\C:\Windows\system32\drivers\GdNetMon64.sys --> C:\Windows\system32\drivers\GdNetMon64.sys [?]
S3 MozillaMaintenance;Mozilla Maintenance Service;C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe [2012-5-2 129976]
S3 NisDrv;Microsoft Network Inspection System;C:\Windows\system32\DRIVERS\NisDrvWFP.sys --> C:\Windows\system32\DRIVERS\NisDrvWFP.sys [?]
S3 NisSrv;Microsoft-Netzwerkinspektion;C:\Program Files\Microsoft Security Client\NisSrv.exe [2012-3-26 291696]
S3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;C:\Windows\system32\drivers\rdpvideominiport.sys --> C:\Windows\system32\drivers\rdpvideominiport.sys [?]
S3 TsUsbFlt;TsUsbFlt;C:\Windows\system32\drivers\tsusbflt.sys --> C:\Windows\system32\drivers\tsusbflt.sys [?]
S3 USBAAPL64;Apple Mobile USB Driver;C:\Windows\system32\Drivers\usbaapl64.sys --> C:\Windows\system32\Drivers\usbaapl64.sys [?]
.
=============== Created Last 30 ================
.
2012-05-21 11:08:24	69000	----a-w-	C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{DB374F09-B170-4205-8B72-CC7A42EC3395}\offreg.dll
2012-05-21 09:29:28	8955792	----a-w-	C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{DB374F09-B170-4205-8B72-CC7A42EC3395}\mpengine.dll
2012-05-20 09:00:20	8955792	------w-	C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll
2012-05-15 14:37:48	--------	d-----w-	C:\Users\LilLady\AppData\Roaming\Malwarebytes
2012-05-15 14:37:39	--------	d-----w-	C:\ProgramData\Malwarebytes
2012-05-15 14:37:37	24904	----a-w-	C:\Windows\System32\drivers\mbam.sys
2012-05-15 14:37:37	--------	d-----w-	C:\Program Files (x86)\Malwarebytes' Anti-Malware
2012-05-14 17:51:06	--------	d-----w-	C:\Program Files (x86)\Microsoft CAPICOM 2.1.0.2
2012-05-14 15:51:49	--------	d-----w-	C:\TDSSKiller_Quarantine
2012-05-14 15:32:36	--------	d-----w-	C:\Program Files\CCleaner
2012-05-14 15:25:54	927800	------w-	C:\ProgramData\Microsoft\Microsoft Antimalware\Definition Updates\{0C04D9AF-2BE7-481C-BBC6-9DCB0A3CC59C}\gapaengine.dll
2012-05-14 15:23:47	--------	d-----w-	C:\Program Files (x86)\Microsoft Security Client
2012-05-14 15:23:39	--------	d-----w-	C:\Program Files\Microsoft Security Client
2012-05-13 16:36:29	1544704	----a-w-	C:\Windows\System32\DWrite.dll
2012-05-13 16:36:29	1077248	----a-w-	C:\Windows\SysWow64\DWrite.dll
2012-05-13 16:36:27	5559664	----a-w-	C:\Windows\System32\ntoskrnl.exe
2012-05-13 16:36:26	3146240	----a-w-	C:\Windows\System32\win32k.sys
2012-05-13 16:36:25	3968368	----a-w-	C:\Windows\SysWow64\ntkrnlpa.exe
2012-05-13 16:36:25	3913072	----a-w-	C:\Windows\SysWow64\ntoskrnl.exe
2012-05-13 16:36:04	75120	----a-w-	C:\Windows\System32\drivers\partmgr.sys
2012-05-13 16:35:52	1918320	----a-w-	C:\Windows\System32\drivers\tcpip.sys
2012-05-13 16:35:49	936960	----a-w-	C:\Program Files (x86)\Common Files\Microsoft Shared\ink\journal.dll
2012-05-13 16:35:49	1732096	----a-w-	C:\Program Files\Windows Journal\NBDoc.DLL
2012-05-13 16:35:49	1393664	----a-w-	C:\Program Files\Windows Journal\JNTFiltr.dll
2012-05-13 16:35:49	1367552	----a-w-	C:\Program Files\Common Files\Microsoft Shared\ink\journal.dll
2012-05-13 16:35:48	1402880	----a-w-	C:\Program Files\Windows Journal\JNWDRV.dll
2012-05-13 16:32:53	8917360	----a-w-	C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{E52F414F-F0C4-4C0A-BFB7-9CD6C71FAEA2}\mpengine.dll
2012-05-11 08:59:55	--------	d-----w-	C:\Users\LilLady\AppData\Local\Spotify
2012-05-11 08:59:19	--------	d-----w-	C:\Users\LilLady\AppData\Roaming\Spotify
2012-05-10 16:36:19	--------	d-----w-	C:\ProgramData\boost_interprocess
2012-05-10 16:36:02	--------	d-----r-	C:\Program Files (x86)\Skype
2012-05-10 09:44:04	--------	d-----w-	C:\ProgramData\regid.1986-12.com.adobe
2012-05-10 08:41:56	--------	d-----w-	C:\Users\LilLady\AppData\Local\Akamai
2012-05-08 20:19:35	10760	----a-w-	C:\Windows\SysWow64\GdScrSv.de.dll
2012-05-06 12:40:18	8744608	----a-w-	C:\Windows\SysWow64\FlashPlayerInstaller.exe
2012-05-02 09:11:10	--------	d-----w-	C:\Program Files (x86)\Mozilla Maintenance Service
2012-05-02 09:11:05	157352	----a-w-	C:\Program Files (x86)\Mozilla Firefox\maintenanceservice_installer.exe
2012-05-02 09:11:05	129976	----a-w-	C:\Program Files (x86)\Mozilla Firefox\maintenanceservice.exe
2012-04-24 08:47:01	--------	d-----w-	C:\Users\LilLady\AppData\Local\Diagnostics
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin7.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin6.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin5.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin4.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin3.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin2.dll
2012-04-24 08:39:26	159744	----a-w-	C:\Program Files (x86)\Internet Explorer\Plugins\npqtplugin.dll
2012-04-24 08:38:39	--------	d-----w-	C:\Users\LilLady\AppData\Local\ElevatedDiagnostics
2012-04-24 08:32:01	99840	----a-w-	C:\Windows\System32\Spool\prtprocs\x64\HPZPPLHN.DLL
.
==================== Find3M  ====================
.
2012-05-21 09:23:46	647765	----a-w-	C:\Windows\SysWow64\sig.bin
2012-05-13 16:27:30	106648	----a-w-	C:\Windows\System32\drivers\GRD.sys
2012-05-08 20:21:40	59768	----a-w-	C:\Windows\System32\drivers\PktIcpt.sys
2012-05-08 20:19:51	64376	----a-w-	C:\Windows\System32\drivers\HookCentre.sys
2012-05-08 20:19:35	65912	----a-w-	C:\Windows\System32\drivers\gdwfpcd64.sys
2012-05-08 20:19:35	54136	----a-w-	C:\Windows\System32\drivers\GDBehave.sys
2012-05-08 20:19:35	122744	----a-w-	C:\Windows\System32\drivers\MiniIcpt.sys
2012-05-06 12:40:29	70304	----a-w-	C:\Windows\SysWow64\FlashPlayerCPLApp.cpl
2012-05-06 12:40:29	419488	----a-w-	C:\Windows\SysWow64\FlashPlayerApp.exe
2012-04-19 08:34:58	152576	----a-w-	C:\Windows\SysWow64\msclmd.dll
2012-04-19 08:34:57	175616	----a-w-	C:\Windows\System32\msclmd.dll
2012-04-19 08:26:57	472808	----a-w-	C:\Windows\SysWow64\deployJava1.dll
2012-04-15 18:10:06	31448	----a-w-	C:\Windows\System32\drivers\GdNetMon64.sys
2012-04-05 03:35:31	1836536	----a-w-	C:\Windows\SysWow64\GdScrSv.scr
2012-04-04 05:53:58	53656	----a-w-	C:\Windows\System32\AdobePDF.dll
2012-04-04 05:53:56	24984	----a-w-	C:\Windows\System32\AdobePDFUI.dll
2012-03-20 18:44:12	98688	----a-w-	C:\Windows\System32\drivers\NisDrvWFP.sys
2012-03-20 18:44:12	203888	----a-w-	C:\Windows\System32\drivers\MpFilter.sys
2012-03-01 06:46:16	23408	----a-w-	C:\Windows\System32\drivers\fs_rec.sys
2012-03-01 06:38:27	220672	----a-w-	C:\Windows\System32\wintrust.dll
2012-03-01 06:33:50	81408	----a-w-	C:\Windows\System32\imagehlp.dll
2012-03-01 06:28:47	5120	----a-w-	C:\Windows\System32\wmi.dll
2012-03-01 05:37:41	172544	----a-w-	C:\Windows\SysWow64\wintrust.dll
2012-03-01 05:33:23	159232	----a-w-	C:\Windows\SysWow64\imagehlp.dll
2012-03-01 05:29:16	5120	----a-w-	C:\Windows\SysWow64\wmi.dll
2012-02-28 06:56:48	2311168	----a-w-	C:\Windows\System32\jscript9.dll
2012-02-28 06:49:56	1390080	----a-w-	C:\Windows\System32\wininet.dll
2012-02-28 06:48:57	1493504	----a-w-	C:\Windows\System32\inetcpl.cpl
2012-02-28 06:42:55	2382848	----a-w-	C:\Windows\System32\mshtml.tlb
2012-02-28 01:18:55	1799168	----a-w-	C:\Windows\SysWow64\jscript9.dll
2012-02-28 01:11:21	1427456	----a-w-	C:\Windows\SysWow64\inetcpl.cpl
2012-02-28 01:11:07	1127424	----a-w-	C:\Windows\SysWow64\wininet.dll
2012-02-28 01:03:16	2382848	----a-w-	C:\Windows\SysWow64\mshtml.tlb
.
============= FINISH: 13:19:14,68 ===============
         

--- --- ---

Schritt 1: Logfile posten

C:\TDSSKiller_Quarantine

Ich sehe, dass du bereits vorige Woche den TDSS-Killer ausgeführt hast. Er hat ein Logfile auf deinem Systemlaufwerk gespeichert ( Meistens C:\ ) Als Beispiel: C:\TDSSKiller.<version_date_time>log.txt. Poste den Inhalt bitte hier in deinen Thread.



Schritt 2: aswMBR


Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung) Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. ( Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen ) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

Die Datei von TDSSKiller ist ewig lang, ich poste sie mal im Anhang.

Hier das aswMBR File:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software
Run date: 2012-05-21 15:03:00
-----------------------------
15:03:00.073 OS Version: Windows x64 6.1.7601 Service Pack 1
15:03:00.073 Number of processors: 4 586 0x1707
15:03:00.075 ComputerName: LILLADY-PC UserName: LilLady
15:03:00.857 Initialize success
15:05:07.179 AVAST engine defs: 12052100
15:05:50.666 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0
15:05:50.668 Disk 0 Vendor: WDC_WD10EACS-22D6B0 01.01A01 Size: 953869MB BusType: 11
15:05:50.680 Disk 0 MBR read successfully
15:05:50.682 Disk 0 MBR scan
15:05:50.836 Disk 0 Windows 7 default MBR code
15:05:50.842 Disk 0 Partition 1 80 (A) 07 HPFS/NTFS NTFS 100000 MB offset 2048
15:05:50.892 Disk 0 Partition 2 00 07 HPFS/NTFS NTFS 853858 MB offset 204802048
15:05:50.946 Disk 0 Partition 3 00 17 Hidd HPFS/NTFS NTFS 2 MB offset 1953519616
15:05:51.075 Disk 0 scanning C:\Windows\system32\drivers
15:06:02.907 Service scanning
15:06:31.423 Modules scanning
15:06:31.432 Disk 0 trace - called modules:
15:06:31.447 ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys ataport.SYS PCIIDEX.SYS hal.dll msahci.sys
15:06:31.791 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8004a7c060]
15:06:31.796 3 CLASSPNP.SYS[fffff8800165143f] -> nt!IofCallDriver -> [0xfffffa800481c4e0]
15:06:31.801 5 ACPI.sys[fffff88000f847a1] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-0[0xfffffa80047ee060]
15:06:32.960 AVAST engine scan C:\Windows
15:06:34.541 AVAST engine scan C:\Windows\system32
15:11:03.703 AVAST engine scan C:\Windows\system32\drivers
15:11:25.076 AVAST engine scan C:\Users\LilLady
15:16:17.478 AVAST engine scan C:\ProgramData
15:16:47.265 Scan finished successfully
15:24:32.450 Disk 0 MBR has been saved successfully to "C:\Users\LilLady\Desktop\MBR.dat"
15:24:32.524 The log file has been saved successfully to "C:\Users\LilLady\Desktop\aswMBR.txt"

Combofix

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop

• Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

So, im anhang ist die Datei von Combofix

Mehrere Anti-Virus-Programme

G Data InternetSecurity 2013
Microsoft Security Essentials
         

Mir ist aufgefallen, dass Du mehr als ein Anti-Virus-Programm mit Hintergrundwächter laufen hast. Das ist gefährlich, da sich die Programme in die Quere kommen können und dadurch Viren erst recht auf dem Rechner landen können. Ausserdem bremst es auch das System aus. Entscheide Dich für eine Variante und deinstalliere die andere über Systemsteuerung => Software. Berichte, für welches Anti-Virus-Programm Du Dich entschieden hast.

Speedy hat letztens eine einleuchtende Erklärung dazu geliefert: "Man stelle sich einen Torwart vor, der das Tor hüten soll (Anti-Virus-Programm), der Ball kommt angeflogen (Virus), der Torhüter konzentriert sich auf den Ball und fängt ihn. Jetzt stelle Dir zwei Torhüter im Tor vor ...., die knallen aneinander und der Ball kann ungehindert ins Tor wandern."

CKscan

Downloade dir bitte CKScanner Wichtig: Speichere die Datei am Desktop.

• Doppelklick auf die CKScanner.exe und klicke auf Search For Files.
• Danach klick auf Save List To File.
• Es wird eine Box aufpoppen was dir mitteilt das die Datei gespeichert wurde (file saved)
• Öffne die CKFiles.txt auf deinem Desktop und poste den Inhalt hier.

CKScanner - Additional Security Risks - These are not necessarily bad
c:\windows.old\users\lillady\documents\xilisoft corporation\iphone video converter\crack.js
scanner sequence 3.NA.11.MLLBRR
----- EOF -----

Hm, das Programm habe ich aktuell nicht mehr auf dem Rechner drauf. Wo "Windows.old" ist, weiß ich leider nicht. Mich wundert dieses "crack" weil ich eigentlich nur Testversionen runterlade und keine illegale Software -.-*

Ich habe Microsoft Security Essentials Deinstalliert

Schritt 1: CF-Script


Hinweis für Mitleser:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von einem der folgenden Download-Spiegel neu herunter:

BleepingComputer.com - ForoSpyware.com

und speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> Notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

FOLDER::
c:\windows\TEMP\logishrd
c:\windows.old
ROOTKIT::
c:\windows\system32\drivers\cmrjpqlo.sys
c:\windows\system32\drivers\dyotuvyp.sys
c:\windows\system32\drivers\hbsseuib.sys
c:\windows\system32\drivers\orpeteif.sys
c:\windows\system32\drivers\qdwbobrb.sys
c:\windows\system32\drivers\qfoljrcl.sys
c:\windows\system32\drivers\qqnhgrry.sys
DRIVER::
cmrjpqlo
dyotuvyp
hbsseuib
orpeteif
qdwbobrb
qfoljrcl
qqnhgrry
CLEARJAVACACHE::
         

Speichere dies als CFScript.txt auf Deinem Desktop.

Wichtig:

• Stelle deine Anti Viren Software temprär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
  Danach wieder anstellen nicht vergessen!
• Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
  Dies kann dazu führen, dass ComboFix sich aufhängt.
• Schließe alle laufenden Programme. Gehe sicher das ComboFix ungehindert arbeiten kann.
• Mache nichts am PC solange ComboFix läuft.

• In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
• Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.


Schritt 2: MBAM


Downloade Dir bitte Malwarebytes

• Installiere das Programm in den vorgegebenen Pfad.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Vollständigen Scan durchführen und drücke auf Scannen.(Hinweis: Alle Festplatten anhaken!
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Ist das normal, dass das so lange dauert? Combofix löscht gerade den Ordner C:\Windows.old , allerdings seit heute Nachmittag 14 Uhr

Na gut, im Anhang ist die ComboFix.txt Datei

Ich berichte mal kurz:

Heute Mittag habe ich Schritt 1: CF-Script ausgeführt, da wurde C:\Windows.old gescannt und dann gelöscht. Allerdings dauerte das löschen von 14-20 Uhr, zwischendurch war ich unterwegs und als ich halb 9 nach Hause kam und es hatte sich immer noch nichts geändert, dachte ich, dass sich das Programm vielleicht aufgehängt hat.

Hab den Rechner neu gestartet und den 1. Schritt nochmal durchgeführt. Dies ging sehr fix und das Resultat war die gewünschte ComboFix.txt Datei.

Schritt 2 abgeschlossen:

Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.23.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
LilLady :: LILLADY-PC [Administrator]

Schutz: Aktiviert

23.05.2012 10:40:12
mbam-log-2012-05-23 (10-40-12).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 474881
Laufzeit: 2 Stunde(n), 33 Minute(n), 37 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Virustotal


Bitte lasse die Datei aus der Code-Box bei Virustotal überprüfen.

• Klicke auf Durchsuchen
• Kopiere nun folgendes in die Suchleiste.

  C:\Users\LilLady\Desktop\MBR.dat
           

• und klicke auf Öffnen.
• Klicke auf Send File.

Warte bitte bis die Datei vollständig hochgeladen wurde. Solltest Du folgende Meldung bekommen.

File already submitted: The file sent has already been analysed by VirusTotal in the past. This is same basic info regarding the sample itself and its last analysis:

klicke auf Reanalyse. Warte bis unter Current status: Finished steht. Kopiere den Link aus deiner Adresszeile und poste ihn hier.