Hallo alle zusammen,
ich habe mir heute den GVU Trojaner eingefangen und erstelle hiermit wie gewünscht ein neues Thema.
Das Kaspersky-tool von chip.de habe ich ohne Erfolg laufen lassen - will heissen, dass im offline-Betrieb der Taskmanager nach einigen Sekunden selbstständig schließt und nicht wieder zu öffnen ist und im online-Betrieb nach einer gewissen Zeit die Desktop-Sperrung auftritt...ziemlich nervig das Ganze wie ihr vermutlich alle wisst.
Ich habe die beschriebenen Schritte ausgeführt und werde die Extras.txt und die OLR.txt anhängen.
Ganz als erstes habe ich eine ctfmon aus meinem Autostart entfernt (nur die Verknüfung) welche sich aber offenbar erneuert und jetzt wieder da ist....

Ich hoffe ja, dass mir bereits übers Wochenende helfen kann, aber hetzt euch bitte nicht extra - ihr macht auch so schon einen geilen Job!

MfG infectet 17.08.2012 KunZ

Ich habe dein Thema in Arbeit und melde mich so schnell als möglich mit weiteren Anweisungen.

Bitte beachte, dass alle meine Antworten zuerst von einem Ausbilder freigegeben werden müssen, bevor ich diese hier posten darf. Dies garantiert, dass Du Hilfe von einem ausgebildeten Helfer bekommst.

Ich bedanke mich für deine Geduld

Hallo,
habe inzwischen einen vollständigen Suchlauf mit Malwarebytes Anti-Malware durchgeführt. Log-Datei folgt.
Die C:\Games\Anno\solidcore32.dll , die als erster Eintrag angezeigt wird, ist ein alter Bekannter von mir. Das Problem trat direkt nach Installation der (Original!)Software auf und wurde mir von ANtivir gemeldet. Auch nach Neuinstallation wieder das gleiche Spiel - auch wenn ich davon ausgehe, dass die Datei unschädlich ist, ziehe ich immer das Internetkabel bevor ich das Spiel spiele...
Die wtbt0.dll scheint der neue Störenfried zu sein. Die Datei ist noch nie aufgetaucht und der Ordner sieht ja auch irgendwie nach drive-by-infektion aus....

Vielen Dank schonmal für deine schnelle Antwort! Du hast mir damit Mut gemacht...
Ich freu mich schon auf deine Hilfe!
MfG KunZ

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.07.03.05

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
KunZ :: RITCHIE [Administrator]

17.08.2012 19:24:38
mbam-log-2012-08-17 (21-16-57).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 506964
Laufzeit: 1 Stunde(n), 30 Minute(n), 19 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 1
C:\Users\KunZ\AppData\Local\Temp\wpbt0.dll (Exploit.Drop.GS) -> Keine Aktion durchgeführt.

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\Games\Anno\solidcore32.dll (Trojan.Krypt) -> Keine Aktion durchgeführt.
C:\Users\KunZ\AppData\Local\Temp\wpbt0.dll (Exploit.Drop.GS) -> Keine Aktion durchgeführt.

(Ende)
         

Hallo und
Ich bin Christoph und möchte dir bei deinem Problem helfen.
Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scans durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting (Posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software außer Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen außer ich fordere Dich dazu auf. Erschwert mir nämlich das Auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass dein PC clean ist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.


Schritt 1

Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel

Link 1


WICHTIG - Speichere Combofix auf deinem Desktop

• Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.


Bitte poste in deiner nächsten Antwort

• Combofix-Log

Hallo Christoph,
erstmal recht herzlichen Dank für deine schnelle Antwort und deine Absicht, mir zu helfen!
Und danke dass du am wochenende am PC sitzt um mir zu helfen!
Ich habe 2 log-files produziert. Beim ersten Mal hatte ich vergessen den windows-defender zu deaktivieren. beim zweiten mal hab ichs gemacht aber ich scheine Antivir und den Defender nicht vollständig deaktivieren zu können....
Im Folgenden also die log.txt´s: Die erste mit Defender, die zweite (hoffentlich) ohne...

ComboFix 12-08-17.03 - KunZ 18.08.2012  15:03:48.1.2 - x64
Microsoft Windows 7 Professional   6.1.7600.0.1252.49.1031.18.3327.2308 [GMT 2:00]
ausgeführt von:: c:\users\KunZ\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\0tbpw.pad
c:\users\KunZ\AppData\Local\Temp\wpbt0.dll
c:\users\KunZ\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
c:\windows\IsUn0407.exe
c:\windows\SysWow64\URTTemp
c:\windows\SysWow64\URTTemp\regtlib.exe
.
.
(((((((((((((((((((((((   Dateien erstellt von 2012-07-18 bis 2012-08-18  ))))))))))))))))))))))))))))))
.
.
2012-08-18 13:08 . 2012-08-18 13:08	--------	d-----w-	c:\users\Default\AppData\Local\temp
2012-08-17 17:49 . 2012-08-17 18:05	--------	d---a-w-	C:\Kaspersky Rescue Disk 10.0
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Malwarebytes
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\programdata\Malwarebytes
2012-08-17 17:22 . 2012-08-17 17:23	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2012-08-17 17:22 . 2012-07-03 11:46	24904	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-08-15 23:03 . 2012-08-15 23:03	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\program files (x86)\Common Files\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\users\KunZ\AppData\Local\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple
2012-07-28 11:20 . 2012-07-28 11:20	--------	d-----w-	c:\users\KunZ\AppData\Local\Macromedia
2012-07-28 11:19 . 2012-07-28 11:19	426184	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-07-28 11:19 . 2011-12-10 01:01	70344	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2012-06-02 22:19 . 2012-06-28 14:31	38424	----a-w-	c:\windows\system32\wups.dll
2012-06-02 22:19 . 2012-06-28 14:31	2428952	----a-w-	c:\windows\system32\wuaueng.dll
2012-06-02 22:19 . 2012-06-28 14:31	57880	----a-w-	c:\windows\system32\wuauclt.exe
2012-06-02 22:19 . 2012-06-28 14:31	44056	----a-w-	c:\windows\system32\wups2.dll
2012-06-02 22:19 . 2012-06-28 14:31	701976	----a-w-	c:\windows\system32\wuapi.dll
2012-06-02 22:15 . 2012-06-28 14:31	2622464	----a-w-	c:\windows\system32\wucltux.dll
2012-06-02 22:15 . 2012-06-28 14:31	99840	----a-w-	c:\windows\system32\wudriver.dll
2012-06-02 13:19 . 2012-06-28 14:31	186752	----a-w-	c:\windows\system32\wuwebv.dll
2012-06-02 13:15 . 2012-06-28 14:31	36864	----a-w-	c:\windows\system32\wuapp.exe
2012-05-23 20:29 . 2012-01-07 23:33	98848	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2012-05-23 20:29 . 2012-01-07 23:33	132832	----a-w-	c:\windows\system32\drivers\avipbb.sys
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-03-02 98304]
"GrooveMonitor"="c:\program files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-08-08 348664]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-06-09 254696]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2012-02-20 59240]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2012-04-18 421888]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux2"=wdmaud.drv
.
R3 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-03-03 202752]
R3 AtiDCM;AtiDCM;c:\users\KunZ\AppData\Local\Temp\atdcm64a.sys [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files (x86)\Mozilla Maintenance Service\maintenanceservice.exe [2012-07-27 113120]
R4 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2010-04-25 834544]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-15 27760]
S2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [2010-02-24 191616]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2012-05-23 86224]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atipmdag.sys [2010-03-03 6402560]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-03-03 188928]
S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\DRIVERS\yk62x64.sys [2009-09-28 395264]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2009-04-14 604704]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"LoadAppInit_DLLs"=0x0
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.nachdenkseiten.de/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: Free YouTube Download - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to DVD Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetodvdconverter.htm
IE: Free YouTube to MP3 Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: Nach Microsoft E&xel exportieren - c:\progra~2\MICROS~2\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\KunZ\AppData\Roaming\Mozilla\Firefox\Profiles\0lk91peu.default\
FF - prefs.js: browser.startup.homepage - hxxp://tu-clausthal.de
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:2c,c3,99,59,87,46,15,3e,3a,84,c9,da,08,a8,2a,10,08,d8,e4,02,5c,67,84,
   74,14,89,26,0a,6e,74,dd,9c,3b,03,c9,ce,71,c1,f5,bb,dd,c6,16,9f,a4,9d,00,9f,\
"??"=hex:de,46,d7,f7,8c,9b,f3,8c,52,02,df,b0,73,38,aa,41
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\License information*]
"datasecu"=hex:ee,ed,f8,05,9f,e8,d4,50,dc,6b,67,6c,c0,e7,e7,88,76,89,f5,de,04,
   ed,84,4e,b5,c3,e5,8d,1f,49,78,68,38,be,ec,7d,42,0c,98,2a,11,80,2e,23,57,86,\
"rkeysecu"=hex:3b,25,8c,57,a5,9b,49,fa,69,84,2e,af,5e,ad,e0,58
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe
c:\windows\SysWOW64\PnkBstrA.exe
c:\windows\SOUNDMAN.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-08-18  15:40:16 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2012-08-18 13:40
.
Vor Suchlauf: 18 Verzeichnis(se), 10.315.923.456 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 10.792.800.256 Bytes frei
.
- - End Of File - - 2E4847221436D770EB11F0699E0A5F60
         

und Nummer 2:

ComboFix 12-08-17.03 - KunZ 18.08.2012  15:56:34.2.2 - x64
Microsoft Windows 7 Professional   6.1.7600.0.1252.49.1031.18.3327.2384 [GMT 2:00]
ausgeführt von:: c:\users\KunZ\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((   Dateien erstellt von 2012-07-18 bis 2012-08-18  ))))))))))))))))))))))))))))))
.
.
2012-08-18 14:01 . 2012-08-18 14:01	--------	d-----w-	c:\users\Default\AppData\Local\temp
2012-08-17 17:49 . 2012-08-17 18:05	--------	d---a-w-	C:\Kaspersky Rescue Disk 10.0
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Malwarebytes
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\programdata\Malwarebytes
2012-08-17 17:22 . 2012-08-17 17:23	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2012-08-17 17:22 . 2012-07-03 11:46	24904	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-08-15 23:03 . 2012-08-15 23:03	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\program files (x86)\Common Files\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\users\KunZ\AppData\Local\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple
2012-07-28 11:20 . 2012-07-28 11:20	--------	d-----w-	c:\users\KunZ\AppData\Local\Macromedia
2012-07-28 11:19 . 2012-07-28 11:19	426184	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-07-28 11:19 . 2011-12-10 01:01	70344	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2012-06-02 22:19 . 2012-06-28 14:31	38424	----a-w-	c:\windows\system32\wups.dll
2012-06-02 22:19 . 2012-06-28 14:31	2428952	----a-w-	c:\windows\system32\wuaueng.dll
2012-06-02 22:19 . 2012-06-28 14:31	57880	----a-w-	c:\windows\system32\wuauclt.exe
2012-06-02 22:19 . 2012-06-28 14:31	44056	----a-w-	c:\windows\system32\wups2.dll
2012-06-02 22:19 . 2012-06-28 14:31	701976	----a-w-	c:\windows\system32\wuapi.dll
2012-06-02 22:15 . 2012-06-28 14:31	2622464	----a-w-	c:\windows\system32\wucltux.dll
2012-06-02 22:15 . 2012-06-28 14:31	99840	----a-w-	c:\windows\system32\wudriver.dll
2012-06-02 13:19 . 2012-06-28 14:31	186752	----a-w-	c:\windows\system32\wuwebv.dll
2012-06-02 13:15 . 2012-06-28 14:31	36864	----a-w-	c:\windows\system32\wuapp.exe
2012-05-23 20:29 . 2012-01-07 23:33	98848	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2012-05-23 20:29 . 2012-01-07 23:33	132832	----a-w-	c:\windows\system32\drivers\avipbb.sys
.
.
(((((((((((((((((((((((((((((   SnapShot@2012-08-18_13.37.02   )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-02-22 17:55 . 2012-08-18 13:38	34932              c:\windows\system32\wdi\ShutdownPerformanceDiagnostics_SystemData.bin
+ 2009-07-14 05:10 . 2012-08-18 13:38	39638              c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin
+ 2010-02-22 16:45 . 2012-08-18 13:38	14558              c:\windows\system32\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-3307686048-1986362767-4140185705-1000_UserData.bin
+ 2010-02-23 18:21 . 2012-08-18 14:01	5148              c:\windows\system32\wdi\ERCQueuedResolutions.dat
+ 2010-05-04 15:29 . 2012-08-18 13:38	2214              c:\windows\system32\wdi\{b171ab1c-60e9-4301-a338-beab1c70b3e9}.bin
+ 2012-08-18 14:02 . 2012-08-18 14:02	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
- 2012-08-18 13:36 . 2012-08-18 13:36	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
- 2012-08-18 13:36 . 2012-08-18 13:36	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
+ 2012-08-18 14:02 . 2012-08-18 14:02	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
- 2009-07-14 02:34 . 2012-08-17 08:07	9961472              c:\windows\system32\SMI\Store\Machine\SCHEMA.DAT
+ 2009-07-14 02:34 . 2012-08-18 13:50	9961472              c:\windows\system32\SMI\Store\Machine\SCHEMA.DAT
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-03-02 98304]
"GrooveMonitor"="c:\program files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-08-08 348664]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-06-09 254696]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2012-02-20 59240]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2012-04-18 421888]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux2"=wdmaud.drv
.
R3 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-03-03 202752]
R3 AtiDCM;AtiDCM;c:\users\KunZ\AppData\Local\Temp\atdcm64a.sys [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files (x86)\Mozilla Maintenance Service\maintenanceservice.exe [2012-07-27 113120]
R4 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2010-04-25 834544]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-15 27760]
S2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [2010-02-24 191616]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2012-05-23 86224]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atipmdag.sys [2010-03-03 6402560]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-03-03 188928]
S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\DRIVERS\yk62x64.sys [2009-09-28 395264]
.
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2009-04-14 604704]
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.nachdenkseiten.de/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: Free YouTube Download - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to DVD Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetodvdconverter.htm
IE: Free YouTube to MP3 Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: Nach Microsoft E&xel exportieren - c:\progra~2\MICROS~2\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\KunZ\AppData\Roaming\Mozilla\Firefox\Profiles\0lk91peu.default\
FF - prefs.js: browser.startup.homepage - hxxp://tu-clausthal.de
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:2c,c3,99,59,87,46,15,3e,3a,84,c9,da,08,a8,2a,10,08,d8,e4,02,5c,67,84,
   74,14,89,26,0a,6e,74,dd,9c,3b,03,c9,ce,71,c1,f5,bb,dd,c6,16,9f,a4,9d,00,9f,\
"??"=hex:de,46,d7,f7,8c,9b,f3,8c,52,02,df,b0,73,38,aa,41
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\License information*]
"datasecu"=hex:ee,ed,f8,05,9f,e8,d4,50,dc,6b,67,6c,c0,e7,e7,88,76,89,f5,de,04,
   ed,84,4e,b5,c3,e5,8d,1f,49,78,68,38,be,ec,7d,42,0c,98,2a,11,80,2e,23,57,86,\
"rkeysecu"=hex:3b,25,8c,57,a5,9b,49,fa,69,84,2e,af,5e,ad,e0,58
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe
c:\windows\SysWOW64\PnkBstrA.exe
c:\windows\SOUNDMAN.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-08-18  16:06:32 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2012-08-18 14:06
ComboFix2.txt  2012-08-18 13:40
.
Vor Suchlauf: 23 Verzeichnis(se), 10.849.427.456 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 11.240.341.504 Bytes frei
.
- - End Of File - - 81B4CC45534C4F63B27AFEBA89CDC6FB
         

Hi

sieht ganz gut aus, wie läuft der Rechner?

Wir sollten es aber nochmal kontrollieren.


Schritt 1

Malwarebytes

• Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter dem Reiter "Log Dateien" finden.

Schritt 2


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte poste in deiner nächsten Antwort

• Antwort auf meine Frage
• Malwarebytes-Log
• Eset-Log

Moin Christoph!
Meinem PC geht es sehr gut! Ich schreibe das hier wieder von meinem eigenen aus. Vielen Dank schonwieder! Ich glaube ComboFix hat das Ding erwischt....
Der Task-Manager funktioniert wieder uneingeschränkt und Internet funktioniert auch wie ich gerade beweise
Als nächstes also die log-Dateien...ESET hat ewig gebraucht und ist über Nacht gelaufen und hat auch noch ein paar Dinger gefunden - die solidcore32.dll kenn ich wie gesagt und DEAMON-TOOLs auch, allerdings wundert es mich dass die daemon4123-lite.exe gemeldet wird.
SoftonicDownloader38578.exe und Temp\wpbt0.dll.vir sind hart verdächtig und kriegen auf deine Anweisung hin hausverbot bei mir....

MfG KunZ und tausend Dank!

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.08.18.06

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
KunZ :: RITCHIE [Administrator]

18.08.2012 21:31:23
mbam-log-2012-08-18 (21-31-23).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 199857
Laufzeit: 1 Minute(n), 52 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte g㇫ǶㇱǶㇺǶ㈃Ƕ㈌Ƕ㈓Ƕ㈚Ƕ㈠Ƕ㈩Ƕ㈰Ƕ
         

was soll das Kaudawelsch am Ende? Keine bösartigen Objekte gKAUDERWELSCH.....

Und hier die ESET

C:\Games\Anno\solidcore32.dll	a variant of Win32/Kryptik.FM trojan
C:\Qoobox\Quarantine\C\Users\KunZ\AppData\Local\Temp\wpbt0.dll.vir	a variant of Win32/Kryptik.AKIK trojan
C:\Users\KunZ\Desktop\EXTERN\SETS\Setups\daemon4123-lite.exe	Win32/Adware.Toolbar.Shopper application
C:\Users\KunZ\Downloads\Neuer Ordner (2)\Neuer Ordner\SoftonicDownloader38578.exe	a variant of Win32/SoftonicDownloader.A application
         

PS: Malwarebytes hat sich beim Start (internet angeschlossen) selstständig aktualisiert - danach wollte ich sicherheitshalber noch ein update per Hand machen, was allerdings nicht funktionierte ("PROGRAM_ERROR_updating(0,0,NoAdressfound")

PPS: Die Datei

\Downloads\Neuer Ordner (2)\Neuer Ordner\SoftonicDownloader38578.exe	a variant of Win32/SoftonicDownloader.A application
         

hab ich seit 2 Jahren (!) (2.9.2010) und unter Eigenschaften/Sicherheit steht "Die Datie stammt von einem anderen Computer. Der Zugriff wurde aus Sicherheitsgründen eventuell blockiert".
Hab das grad mal im Internet gecheckt:

hxxp://www.softonic.de/download-manager
         

Scheint ein offizielles Programm zu sein, welches Anti-Vieren-Schutz bei downloads bieten soll - ich kenn das Ding nicht und kann mich auch nicht erinnern das mal gezogen zu haben...irgendwie bizarr, dass ein Anti-Vieren-Programm als Schädling erkannt wird....wie gesagt fliegt das Teil auf deine Anweisung hin raus.....

Ich wünsch dir nen schönen Sonntag!

Hi

Das Chinesisch am Ende des Logfiles und den Update-Fehler kannn ich mir im Moment nicht erklären, scheint aber trotzdem funktioniert zu haben.

An den anderen Dateien bemängelt ESET, dass sie als Adware einzustufen sind, also Dinge wie Toolbars etc. mitinstallieren können. Richtige Malware sind sie dadurch nicht.

Aber ich fürchte, die solidcore32.dll ist ein Crack, deswegen muss ich aus Rechtsgründen den Support hier einstellen.

Dateien, wie Crack.exe, Keygen.exe oder Patch.exe sind zu 99,9% gefährliche Schädlinge, mit denen man nicht spaßen sollte.
Ausserdem sind diese illegal und wir unterstützen die Verwendung von geklauter Software nicht. Somit beschränkt sich der Support auf
Anleitung zum Neu aufsetzten.

Hi

ich habe mich entschieden, mit der Bereinigung fortzufahren, da du auf mich (soweit ich das beurteilen kann) nicht den Eindruck machst, dass du jemand bist der wissentlich Cracks benutzt oder in dieser Hinsicht unbelehrbar ist.

Gib mir bitte eine kurze Rückmeldung, wenn du mit der Bereinigung weiter machen möchtest.

Hallo Christoph,
du bist echt in Ordnung! Sorry dass ich jetzt erst schreibe - habs erst nicht gesehen und dann war ich etwas zu sehr im Streß....wie dem auch sei.
Allerdings muss ich bevor wir weitermachen etwas klarstellen:
Die solidcore32.dll ist (war) tatsächlich ein Crack - ich muss zu meiner Schande gestehen dass ich vorher hier Scheiße erzählt hab... Ich habe das Spiel von einem Freund und dem habe ich von unserem "gemeinsamen" Wochende erzählt und dass ich mich doch sehr gewundert hab, als du schriebst es sei ein Crack... Bei dem Gespräch kam raus, dass wir damals das Problem hatten, dass die Installation von der (wie gesagt: Original-) CD zwar funktionierte aber anschließend der Kopierschutz die CD nichtmehr im Laufwerk erkennen wollte - auch nach Neuinstallation nicht....worauf hin wir kurzerhand einen NO-CD-Crack gezogen haben. Das Spiel war ziemlich scheisse und ich hab es lange nicht gespielt, allerdings auch (bis Vorgestern) nicht deinstalliert.
Lange Rede kurzer Sinn: Ich habe also (entgegen deiner Annahme) den Crack damals DOCH WISSENTLICH verwendet - und es in meiner Dösigkeit vergessen...nur dass ich immer bei dem Spiel das Kabel gezogen hab wusste ich noch
(an alle Mitleser: ANNO 2070 kann ich beim besten Willen nicht empfehlen - der Kopierschutz funktioniert nicht richtig (zumindest bei mir und meinem Freund, der das Problem genauso gelöst hatte wie ich) und der Spielspaß ist auch nicht mit den Vorgängern zu vergleichen. Spart euch bitte die immernoch über 40 (!) Euro!)
Ich finde jedenfalls dass du das wissen solltest bevor du hier weitermachst - ihr betreibt da ne echt geile Seite und eure Arbeit ist sehr edel....ich finde ihr solltet nicht beschissen werden.
Ich selbst halte das Cracken von Software, die man im Original besitzt (als juristische Feinheit an dieser Stelle: Die CD befindet sich in meinem Besitz - sie liegt vor mir - mein Kumpel ist allerdings der Eigentümer, da er das Spiel damals für ein Vermögen gekauft hat ) für eine Handlung der gleichen Kategorie wie das Brennen eines Albums, welches man besitzt, um nich das Original im Auto liegen haben zu müssen.... Oder das Modden von Spielen ist glaub ich auch juristisch nicht ganz sauber, allerdings ist es auch fraglich ob es den Hersteller etwas angeht, WIE ich ein Spiel spiele, welches ich zuvor gekauft habe....
In dieser Grauzone hab ich mich also bewegt und hatte es vergessen - hab eure Regeln gelesen und verstanden, inklusive des Teils mit den Cracks, und dann noch dagegen verstoßen. Darum möchte ich mich bei dir/euch entschuldigen und hab auch weiterhin volles Verständnis, wenn ich von euch keine Hilfe mehr bekomme. Ich wollte auch eigentlich schon längst auf deine Absage geantwortet haben und mich bedanken und verabschieden - nochmal sorry.

Jetzt aber genug von den Romanen und den Entschuldigungen - ich hab wieter an dem Problem gearbeitet und ich glaube es sieht gut aus!

Combofix:

ComboFix 12-08-17.03 - KunZ 21.08.2012  18:27:42.3.2 - x64
Microsoft Windows 7 Professional   6.1.7600.0.1252.49.1031.18.3327.2346 [GMT 2:00]
ausgeführt von:: c:\users\KunZ\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
(((((((((((((((((((((((   Dateien erstellt von 2012-07-21 bis 2012-08-21  ))))))))))))))))))))))))))))))
.
.
2012-08-21 16:36 . 2012-08-21 16:36	--------	d-----w-	c:\users\Default\AppData\Local\temp
2012-08-18 19:43 . 2012-08-18 19:43	--------	d-----w-	c:\program files (x86)\ESET
2012-08-17 17:49 . 2012-08-17 18:05	--------	d---a-w-	C:\Kaspersky Rescue Disk 10.0
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Malwarebytes
2012-08-17 17:23 . 2012-08-17 17:23	--------	d-----w-	c:\programdata\Malwarebytes
2012-08-17 17:22 . 2012-08-17 17:23	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2012-08-17 17:22 . 2012-07-03 11:46	24904	----a-w-	c:\windows\system32\drivers\mbam.sys
2012-08-15 23:03 . 2012-08-15 23:03	--------	d-----w-	c:\users\KunZ\AppData\Roaming\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple Computer
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\program files (x86)\Common Files\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\users\KunZ\AppData\Local\Apple
2012-08-15 18:56 . 2012-08-15 18:56	--------	d-----w-	c:\programdata\Apple
2012-07-28 11:20 . 2012-07-28 11:20	--------	d-----w-	c:\users\KunZ\AppData\Local\Macromedia
2012-07-28 11:19 . 2012-07-28 11:19	426184	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-07-28 11:19 . 2011-12-10 01:01	70344	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2012-06-02 22:19 . 2012-06-28 14:31	38424	----a-w-	c:\windows\system32\wups.dll
2012-06-02 22:19 . 2012-06-28 14:31	2428952	----a-w-	c:\windows\system32\wuaueng.dll
2012-06-02 22:19 . 2012-06-28 14:31	57880	----a-w-	c:\windows\system32\wuauclt.exe
2012-06-02 22:19 . 2012-06-28 14:31	44056	----a-w-	c:\windows\system32\wups2.dll
2012-06-02 22:19 . 2012-06-28 14:31	701976	----a-w-	c:\windows\system32\wuapi.dll
2012-06-02 22:15 . 2012-06-28 14:31	2622464	----a-w-	c:\windows\system32\wucltux.dll
2012-06-02 22:15 . 2012-06-28 14:31	99840	----a-w-	c:\windows\system32\wudriver.dll
2012-06-02 13:19 . 2012-06-28 14:31	186752	----a-w-	c:\windows\system32\wuwebv.dll
2012-06-02 13:15 . 2012-06-28 14:31	36864	----a-w-	c:\windows\system32\wuapp.exe
2012-05-23 20:29 . 2012-01-07 23:33	98848	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2012-05-23 20:29 . 2012-01-07 23:33	132832	----a-w-	c:\windows\system32\drivers\avipbb.sys
.
.
(((((((((((((((((((((((((((((   SnapShot@2012-08-18_13.37.02   )))))))))))))))))))))))))))))))))))))))))
.
+ 2010-02-22 17:55 . 2012-08-21 16:16	35298              c:\windows\system32\wdi\ShutdownPerformanceDiagnostics_SystemData.bin
+ 2009-07-14 05:10 . 2012-08-21 16:16	39742              c:\windows\system32\wdi\BootPerformanceDiagnostics_SystemData.bin
+ 2010-02-22 16:45 . 2012-08-21 16:16	14622              c:\windows\system32\wdi\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-3307686048-1986362767-4140185705-1000_UserData.bin
- 2010-02-22 15:22 . 2012-08-17 07:57	16384              c:\windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
+ 2010-02-22 15:22 . 2012-08-21 16:18	16384              c:\windows\system32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
+ 2010-02-22 15:22 . 2012-08-21 16:18	32768              c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
- 2010-02-22 15:22 . 2012-08-17 07:57	32768              c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
- 2009-07-14 04:54 . 2012-08-17 07:57	16384              c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
+ 2009-07-14 04:54 . 2012-08-21 16:18	16384              c:\windows\system32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
+ 2009-07-14 04:46 . 2012-08-21 16:18	84592              c:\windows\ServiceProfiles\NetworkService\AppData\Roaming\Microsoft\SoftwareProtectionPlatform\Cache\cache.dat
+ 2010-02-22 16:58 . 2012-08-21 16:19	16384              c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
- 2010-02-22 16:58 . 2012-08-18 13:03	16384              c:\windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
+ 2010-02-22 16:58 . 2012-08-21 16:19	16384              c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
- 2010-02-22 16:58 . 2012-08-18 13:03	16384              c:\windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
+ 2010-02-23 18:21 . 2012-08-20 12:24	5148              c:\windows\system32\wdi\ERCQueuedResolutions.dat
+ 2010-05-04 15:29 . 2012-08-18 13:38	2214              c:\windows\system32\wdi\{b171ab1c-60e9-4301-a338-beab1c70b3e9}.bin
- 2012-08-18 13:36 . 2012-08-18 13:36	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
+ 2012-08-21 16:38 . 2012-08-21 16:38	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
+ 2012-08-21 16:38 . 2012-08-21 16:38	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
- 2012-08-18 13:36 . 2012-08-18 13:36	2048              c:\windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
- 2009-07-14 02:36 . 2012-08-17 17:24	615760              c:\windows\system32\perfh009.dat
+ 2009-07-14 02:36 . 2012-08-18 23:11	615760              c:\windows\system32\perfh009.dat
+ 2009-07-14 17:58 . 2012-08-18 23:11	654096              c:\windows\system32\perfh007.dat
- 2009-07-14 17:58 . 2012-08-17 17:24	654096              c:\windows\system32\perfh007.dat
- 2009-07-14 02:36 . 2012-08-17 17:24	107396              c:\windows\system32\perfc009.dat
+ 2009-07-14 02:36 . 2012-08-18 23:11	107396              c:\windows\system32\perfc009.dat
- 2009-07-14 17:58 . 2012-08-17 17:24	130952              c:\windows\system32\perfc007.dat
+ 2009-07-14 17:58 . 2012-08-18 23:11	130952              c:\windows\system32\perfc007.dat
- 2009-07-14 05:01 . 2012-08-18 13:09	449936              c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat
+ 2009-07-14 05:01 . 2012-08-21 16:37	449936              c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-System.dat
+ 2012-02-20 18:55 . 2012-08-21 16:37	449936              c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-S-1-5-21-3307686048-1986362767-4140185705-1000-8192.dat
- 2012-02-20 18:55 . 2012-08-18 13:09	449936              c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-S-1-5-21-3307686048-1986362767-4140185705-1000-8192.dat
+ 2012-08-19 09:41 . 2012-08-19 09:41	449936              c:\windows\ServiceProfiles\LocalService\AppData\Local\FontCache-S-1-5-21-3307686048-1986362767-4140185705-1000-12288.dat
+ 2009-07-14 02:34 . 2012-08-21 16:28	9961472              c:\windows\system32\SMI\Store\Machine\SCHEMA.DAT
- 2009-07-14 02:34 . 2012-08-17 08:07	9961472              c:\windows\system32\SMI\Store\Machine\SCHEMA.DAT
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-03-02 98304]
"GrooveMonitor"="c:\program files (x86)\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-08-08 348664]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-06-09 254696]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2012-02-20 59240]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2012-04-18 421888]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]
"aux2"=wdmaud.drv
.
R3 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-03-03 202752]
R3 AtiDCM;AtiDCM;c:\users\KunZ\AppData\Local\Temp\atdcm64a.sys [x]
R3 MozillaMaintenance;Mozilla Maintenance Service;c:\program files (x86)\Mozilla Maintenance Service\maintenanceservice.exe [2012-07-27 113120]
R4 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2010-04-25 834544]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-15 27760]
S2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [2010-02-24 191616]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2012-05-23 86224]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atipmdag.sys [2010-03-03 6402560]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-03-03 188928]
S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\DRIVERS\yk62x64.sys [2009-09-28 395264]
.
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2009-04-14 604704]
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.nachdenkseiten.de/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: Free YouTube Download - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubedownload.htm
IE: Free YouTube to DVD Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetodvdconverter.htm
IE: Free YouTube to MP3 Converter - c:\users\KunZ\AppData\Roaming\DVDVideoSoftIEHelpers\freeyoutubetomp3converter.htm
IE: Nach Microsoft E&xel exportieren - c:\progra~2\MICROS~2\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\KunZ\AppData\Roaming\Mozilla\Firefox\Profiles\0lk91peu.default\
FF - prefs.js: browser.startup.homepage - hxxp://tu-clausthal.de
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:2c,c3,99,59,87,46,15,3e,3a,84,c9,da,08,a8,2a,10,08,d8,e4,02,5c,67,84,
   74,14,89,26,0a,6e,74,dd,9c,3b,03,c9,ce,71,c1,f5,bb,dd,c6,16,9f,a4,9d,00,9f,\
"??"=hex:de,46,d7,f7,8c,9b,f3,8c,52,02,df,b0,73,38,aa,41
.
[HKEY_USERS\S-1-5-21-3307686048-1986362767-4140185705-1000\Software\SecuROM\License information*]
"datasecu"=hex:ee,ed,f8,05,9f,e8,d4,50,dc,6b,67,6c,c0,e7,e7,88,76,89,f5,de,04,
   ed,84,4e,b5,c3,e5,8d,1f,49,78,68,38,be,ec,7d,42,0c,98,2a,11,80,2e,23,57,86,\
"rkeysecu"=hex:3b,25,8c,57,a5,9b,49,fa,69,84,2e,af,5e,ad,e0,58
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe
c:\windows\SysWOW64\PnkBstrA.exe
c:\windows\SOUNDMAN.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-08-21  18:49:15 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2012-08-21 16:49
ComboFix2.txt  2012-08-18 14:06
ComboFix3.txt  2012-08-18 13:40
.
Vor Suchlauf: 23 Verzeichnis(se), 26.476.630.016 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 26.586.435.584 Bytes frei
.
- - End Of File - - B5CA5264EE17AD6958F02528BC54EAD5
         

Malwarebytes Quick Scan:

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.08.18.06

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
KunZ :: RITCHIE [Administrator]

21.08.2012 19:11:51
mbam-log-2012-08-21 (19-11-51).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 199835
Laufzeit: 2 Minute(n), 2 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
         

Mawarebytes vollständiger Scan:

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.08.18.06

Windows 7 x64 NTFS
Internet Explorer 8.0.7600.16385
KunZ :: RITCHIE [Administrator]

21.08.2012 19:16:45
mlawarebyteslarge.txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 495861
Laufzeit: 53 Minute(n), 32 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\Qoobox\Quarantine\C\Users\KunZ\AppData\Local\Temp\wpbt0.dll.vir (Backdoor.Agent.HTAGen) -> Keine Aktion durchgeführt.

(Ende)
         

Hab das Vieh in dem Quarantine-Ordner von Malwarebytes entfernen lassen.

und dann ESET:

C:\Users\KunZ\Desktop\EXTERN\SETS\Setups\daemon4123-lite.exe	Win32/Adware.Toolbar.Shopper application
C:\Users\KunZ\Downloads\Neuer Ordner (2)\Neuer Ordner\SoftonicDownloader38578.exe	a variant of Win32/SoftonicDownloader.A application
         

Die beiden Funde von ESET hab ich dann per Hand gelöscht und den Papierkorb geleert. Ich lass heut nochmal von Antivir,Malwarebytes und ESET checken aber ich glaub mein Freund hier vor mir ist wieder gesund....
Vielen Dank für deine Hilfe - ohne Dich wär ich niemals so weit gekommen! Ausserdem spinnt mein Java-Updater...er nervt mich ständig dass er updaten will und tut es dann (glaub ich) nicht - auch so ein potentielles Schlupfloch für kleine, dreckige und hässliche Programme sozial-inkompetenter Programmierer ....ich schweif ab. Ich werd mal gucken ob man das einfach deistallieren und neu draufziehen kann....

Nochmal vielen Dank für alles und mach Dir nen schönen Tag! Ich würd mich sehr freuen wieder von dir zu hören (lesen)

MfG KunZ

Hi

Du must dich leider noch etwas gedulden, mein Ausbilder muss noch etwas Wixhtiges abklären.

Danke für dein Verständnis

Hi

Danke für deine Geduld.
Das nenn ich mal aufrichtig. Danke für deine Klarstellung!

Die logs sind clean, wir sollten noch etwas absichern:


Schritt 1

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.

• Downloade dir bitte die neueste Java-Version von hier
• Speichere die jxpiinstall.exe
• Schließe alle laufenden Programme. Speziell deinen Browser.
• Starte die jxpiinstall.exe. Diese wird den Installer für die neueste Java Version ( Java 7 Update 6 ) herunter laden.
• Wenn die Installation beendet wurde
  Start --> Systemsteuerung --> Programme und deinstalliere alle älteren Java Versionen.
• Starte deinen Rechner neu sobald alle älteren Versionen deinstalliert wurden.

Nach dem Neustart

• Öffne erneut die Systemsteuerung --> Programme und klicke auf das Java Symbol.
• Im Reiter Allgemein, klicke unter Temporäre Internetdateien auf Einstellungen.
• Klicke auf Dateien löschen....
• Gehe sicher das überall ein Hacken gesetzt ist und klicke OK.
• Klicke erneut OK.

Schritt 2

Aktuelle IE-Version

• Downloade Dir bitte den Internet Explorer 9 von hier und installiere diesen.
  Auch wenn dieser nicht dein Standard-Browser ist, sollte sich die aktuelle Version am Rechner befinden. Es gibt noch genug Software die diesen zum Updaten verwendet.

Schritt 3

Starte bitte OTL.exe.
Wähle unter
Extra Registrierung: Benutze Safe List und klicke auf den Scan Button.
Poste die OTL.txt und die Extras.txt hier in deinen Thread.


Bitte poste in deiner nächsten Antwort

• OTL.txt & Extras.txt