Hallo zusammen,

nachdem mein Sylvester-Gast mich und das Gästezimmer verließ hatte ich von ihm noch ein nettes Geschenk auf den Desktop bekommen. Zwei Internet-Verlinkungen waren drauf, einmal SweetPCFix und eine Suchmaschine (Search the Web). Spybot gab mir sofort nach dem hochfahren die Meldung, dass es einen Vorgang gestoppt hat (ich glaube, Program Files (x86)\SweetIM\Messenger hieß er), ich habe reflexhaft "Datei löschen" gewählt.

Über SweetPCFix-google bin ich dann hier gelandet.

In der Hilfe stand ja drin, ich soll keine Anleitungen befolgen, die anderen Opfern schon gegeben wurden, also hab ich eigentlich noch nix gemacht, außer die Anleitung für die Hilfesuchenden zu befolgen.

MalwareBytes hat zwei Infizierungen gefungen, die aber nichts mit SweetIM zu tun haben, zweimal PUP.RiskwareTool.CK in .dll Dateien (hab die infizierten Objekte gelöscht).
Ich muss vielleicht dazu sagen, dass ich vorher schon mit deffoger disabled hab !

Nach MalwareByte hab ich den Rechner neu gestartet und hatte beim Herunterfahren einen Blue Screen mit Text, den ich aber nicht schnell genug lesen konnte, aber halt irgendwas mit Systemfehler, Systemdatei und so. Das Hochfahren klappte aber und ich hatte wieder die Spybot-Meldung SweetIM messenger gestoppt.

Dann OTL mit QuickScan laufen lassen. Leider gab's keine OTL.Extra.txt! Hier das OTL-Ergebniss (ich poste nur mal den Anfang, das ist ja ein ganzer Roman!):

OTL logfile created on: 05.01.2013 12:49:05 - Run 3
OTL by OldTimer - Version 3.2.69.0 Folder = C:\Users\***\Desktop
64bit- Professional Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy

7,96 Gb Total Physical Memory | 6,13 Gb Available Physical Memory | 76,95% Memory free
15,93 Gb Paging File | 13,48 Gb Available in Paging File | 84,66% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]

%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 673,37 Gb Total Space | 598,53 Gb Free Space | 88,89% Space Free | Partition Type: NTFS

Computer Name: *** | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan | Include 64bit Scans
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days

========== Processes (SafeList) ==========

PRC - C:\Users\***\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
PRC - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
PRC - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe (Malwarebytes Corporation)
PRC - C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe (NVIDIA Corporation)
PRC - C:\Program Files (x86)\SweetIM\Communicator\SweetPacksUpdateManager.exe (SweetIM Technologies Ltd.)
PRC - C:\Program Files (x86)\OpenOffice.org 3\program\soffice.exe (OpenOffice.org)
PRC - C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin (OpenOffice.org)
PRC - C:\Program Files (x86)\Lenovo\Lenovo BrgVolOSD\BrgVolOSD.exe (Quanta Computer Inc.)
PRC - C:\Program Files (x86)\Intel\Intel(R) USB 3.0 eXtensible Host Controller Driver\Application\iusb3mon.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Lenovo\YouCam\YCMMirage.exe (CyberLink)
PRC - C:\Program Files (x86)\Lenovo\Rapidboot\FBService.exe (1206 Lab)
PRC - C:\Program Files (x86)\Lenovo\Rapidboot\FBConsole.exe (Lenovo)
PRC - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\FWService\IntelMeFWService.exe ()
PRC - C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe (Intel Corporation)
PRC - C:\Program Files (x86)\Lenovo\Lenovo Silver Silk Wireless Keyboard\skd8861.exe (Lenovo)
PRC - C:\Program Files (x86)\Cyberlink\Shared files\brs.exe (cyberlink)
PRC - C:\Program Files (x86)\Lenovo\PowerDVD10\PDVD10Serv.exe (CyberLink Corp.)
PRC - C:\Program Files (x86)\Lenovo\Power2Go\CLMLSvc.exe (CyberLink)
PRC - C:\Program Files (x86)\Lenovo\Lenovo EBook&QuickNotes\TMCMonitor.exe ()
PRC - C:\Program Files (x86)\Spybot - Search & Destroy\TeaTimer.exe (Safer-Networking Ltd.)
PRC - C:\Program Files (x86)\Spybot - Search & Destroy\SDWinSec.exe (Safer Networking Ltd.)


========== Modules (No Company Name) ==========

MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Management\66694f9192bd0dddc2eaf90fbcbcd555\System.Management.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Web\03cfab5534482e8fc313ead6edc19100\System.Web.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Runtime.Remo#\413288993ff690e8251d2dbe32bee01f\System.Runtime.Remoting.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\WindowsBase\b311b783e1efaa9527f4c2c9680c44d1\WindowsBase.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\IAStorCommon\e88f87e9200afb5ede994c89c92e22b8\IAStorCommon.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\IAStorUtil\4a443c775f768ede71bde8e10f50ec0b\IAStorUtil.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Windows.Forms\d040079bc7148afeca03c5abb6fc3c61\System.Windows.Forms.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Drawing\4e80768a2d88c7a333e43cbb7a6c0705\System.Drawing.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Xml\25e672ea505e50ab058258ac72a54f02\System.Xml.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Configuration\c64ca3678261c8ffcd9e7efd1af6ed54\System.Configuration.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System\9dd758ac0bf7358ac6e4720610fcc63c\System.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\mscorlib\187d7c66735c533de851c76384f86912\mscorlib.ni.dll ()
MOD - C:\Program Files (x86)\OpenOffice.org 3\program\libxml2.dll ()
MOD - C:\Program Files (x86)\OpenOffice.org 3\program\libxslt.dll ()
MOD - C:\Windows\assembly\GAC_MSIL\System.Runtime.Remoting.resources\2.0.0.0_de_b77a5c561934e089\System.Runtime.Remoting.resources.dll ()
MOD - C:\Program Files (x86)\Lenovo\Lenovo BrgVolOSD\CD_DLL.dll ()
MOD - C:\Program Files (x86)\Lenovo\Rapidboot\FBServiceps.dll ()
MOD - C:\Program Files (x86)\Lenovo\Lenovo Silver Silk Wireless Keyboard\skfunc.dll ()
MOD - C:\Windows\assembly\GAC_MSIL\mscorlib.resources\2.0.0.0_de_b77a5c561934e089\mscorlib.resources.dll ()
MOD - C:\Program Files (x86)\Lenovo\Power2Go\CLMLSvcPS.dll ()
MOD - C:\Program Files (x86)\Lenovo\Power2Go\CLMediaLibrary.dll ()
MOD - C:\Program Files (x86)\Lenovo\Lenovo EBook&QuickNotes\TMCMonitor.exe ()


========== Services (SafeList) ==========

SRV:64bit: - (mfevtp) -- C:\Windows\SysNative\mfevtps.exe (McAfee, Inc.)
SRV:64bit: - (mfefire) -- C:\Program Files\Common Files\McAfee\SystemCore\\mfefire.exe ()
SRV:64bit: - (McShield) -- C:\Program Files\Common Files\McAfee\SystemCore\\mcshield.exe ()
SRV:64bit: - (McProxy) -- C:\Program Files\Common Files\mcafee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (McOobeSv) -- C:\Program Files\Common Files\mcafee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (McNASvc) -- C:\Program Files\Common Files\mcafee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (McNaiAnn) -- C:\Program Files\Common Files\mcafee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (mcmscsvc) -- C:\Program Files\Common Files\mcafee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (McMPFSvc) -- C:\Program Files\Common Files\McAfee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (McAfee SiteAdvisor Service) -- C:\Program Files\Common Files\McAfee\McSvcHost\McSvHost.exe (McAfee, Inc.)
SRV:64bit: - (AppMgmt) -- C:\Windows\SysNative\appmgmts.dll (Microsoft Corporation)
SRV - (MozillaMaintenance) -- C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe (Mozilla Foundation)
SRV - (MBAMService) -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
SRV - (MBAMScheduler) -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe (Malwarebytes Corporation)
SRV - (AdobeFlashPlayerUpdateSvc) -- C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe (Adobe Systems Incorporated)
SRV - (McODS) -- C:\Programme\mcafee\virusscan\mcods.exe (McAfee, Inc.)
SRV - (nvUpdatusService) -- C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe (NVIDIA Corporation)
SRV - (SkypeUpdate) -- C:\Program Files (x86)\Skype\Updater\Updater.exe (Skype Technologies)
SRV - (FastbootService) -- C:\Program Files (x86)\Lenovo\Rapidboot\FBService.exe (1206 Lab)
SRV - (UNS) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe (Intel Corporation)
SRV - (LMS) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe (Intel Corporation)
SRV - (Intel(R) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\FWService\IntelMeFWService.exe ()
SRV - (jhi_service) -- C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe (Intel Corporation)
SRV - (btwdins) -- C:\Programme\Lenovo\Bluetooth Software\btwdins.exe (Broadcom Corporation.)
SRV - (Intel(R) -- C:\Programme\Intel\iCLS Client\HeciServer.exe (Intel(R) Corporation)
SRV - (IAStorDataMgrSvc) -- C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe (Intel Corporation)
SRV - (CLKMSVC10_3A60B698) -- C:\Program Files (x86)\Lenovo\PowerDVD10\NavFilter\kmsvc.exe (CyberLink)
SRV - (McAWFwk) -- c:\Programme\mcafee\msc\McAWFwk.exe (McAfee, Inc.)
SRV - (wlcrasvc) -- C:\Programme\Windows Live\Mesh\wlcrasvc.exe (Microsoft Corporation)
SRV - (wlidsvc) -- C:\Programme\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE (Microsoft Corp.)
SRV - (clr_optimization_v4.0.30319_32) -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe (Microsoft Corporation)
SRV - (SwitchBoard) -- C:\Program Files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe (Adobe Systems Incorporated)
SRV - (clr_optimization_v2.0.50727_32) -- C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe (Microsoft Corporation)


========== Driver Services (SafeList) ==========

DRV:64bit: - (MBAMProtector) -- C:\Windows\SysNative\drivers\mbam.sys (Malwarebytes Corporation)
DRV:64bit: - (cfwids) -- C:\Windows\SysNative\drivers\cfwids.sys (McAfee, Inc.)
DRV:64bit: - (mfewfpk) -- C:\Windows\SysNative\drivers\mfewfpk.sys (McAfee, Inc.)
DRV:64bit: - (mferkdet) -- C:\Windows\SysNative\drivers\mferkdet.sys (McAfee, Inc.)
DRV:64bit: - (mfehidk) -- C:\Windows\SysNative\drivers\mfehidk.sys (McAfee, Inc.)
DRV:64bit: - (mfefirek) -- C:\Windows\SysNative\drivers\mfefirek.sys (McAfee, Inc.)
DRV:64bit: - (mfeavfk) -- C:\Windows\SysNative\drivers\mfeavfk.sys (McAfee, Inc.)
DRV:64bit: - (mfeapfk) -- C:\Windows\SysNative\drivers\mfeapfk.sys (McAfee, Inc.)
DRV:64bit: - (nvpciflt) -- C:\Windows\SysNative\drivers\nvpciflt.sys (NVIDIA Corporation)
DRV:64bit: - (amdsata) -- C:\Windows\SysNative\drivers\amdsata.sys (Advanced Micro Devices)
DRV:64bit: - (amdxata) -- C:\Windows\SysNative\drivers\amdxata.sys (Advanced Micro Devices)
DRV:64bit: - (HipShieldK) -- C:\Windows\SysNative\drivers\HipShieldK.sys (McAfee, Inc.)
DRV:64bit: - (Fs_Rec) -- C:\Windows\SysNative\drivers\fs_rec.sys (Microsoft Corporation)
DRV:64bit: - (iusb3xhc) -- C:\Windows\SysNative\drivers\iusb3xhc.sys (Intel Corporation)
DRV:64bit: - (iusb3hub) -- C:\Windows\SysNative\drivers\iusb3hub.sys (Intel Corporation)
DRV:64bit: - (iusb3hcs) -- C:\Windows\SysNative\drivers\iusb3hcs.sys (Intel Corporation)
DRV:64bit: - (clwvd) -- C:\Windows\SysNative\drivers\clwvd.sys (CyberLink Corporation)
DRV:64bit: - (RTL8192cu) -- C:\Windows\SysNative\drivers\rtwlanu.sys (Realtek Semiconductor Corporation )
DRV:64bit: - (btwampfl) -- C:\Windows\SysNative\drivers\btwampfl.sys (Broadcom Corporation.)
DRV:64bit: - (btwavdt) -- C:\Windows\SysNative\drivers\btwavdt.sys (Broadcom Corporation.)
DRV:64bit: - (btwaudio) -- C:\Windows\SysNative\drivers\btwaudio.sys (Broadcom Corporation.)
DRV:64bit: - (btwl2cap) -- C:\Windows\SysNative\drivers\btwl2cap.sys (Broadcom Corporation.)
DRV:64bit: - (btwrchid) -- C:\Windows\SysNative\drivers\btwrchid.sys (Broadcom Corporation.)
DRV:64bit: - (iaStor) -- C:\Windows\SysNative\drivers\iaStor.sys (Intel Corporation)
DRV:64bit: - (MEIx64) -- C:\Windows\SysNative\drivers\HECIx64.sys (Intel Corporation)
DRV:64bit: - (RSP2STOR) -- C:\Windows\SysNative\drivers\RtsP2Stor.sys (Realtek Semiconductor Corp.)
DRV:64bit: - (RTL8167) -- C:\Windows\SysNative\drivers\Rt64win7.sys (Realtek )
DRV:64bit: - (NVHDA) -- C:\Windows\SysNative\drivers\nvhda64v.sys (NVIDIA Corporation)
DRV:64bit: - (AVer7231_x64) -- C:\Windows\SysNative\drivers\AVer7231_x64.sys (AVerMedia TECHNOLOGIES, Inc.)
DRV:64bit: - (TsUsbFlt) -- C:\Windows\SysNative\drivers\TsUsbFlt.sys (Microsoft Corporation)
DRV:64bit: - (HpSAMD) -- C:\Windows\SysNative\drivers\HpSAMD.sys (Hewlett-Packard Company)
DRV:64bit: - (TsUsbGD) -- C:\Windows\SysNative\drivers\TsUsbGD.sys (Microsoft Corporation)
DRV:64bit: - (fssfltr) -- C:\Windows\SysNative\drivers\fssfltr.sys (Microsoft Corporation)
DRV:64bit: - (wsvd) -- C:\Windows\SysNative\drivers\wsvd.sys (CyberLink)
DRV:64bit: - (amdsbs) -- C:\Windows\SysNative\drivers\amdsbs.sys (AMD Technologies Inc.)
DRV:64bit: - (LSI_SAS2) -- C:\Windows\SysNative\drivers\lsi_sas2.sys (LSI Corporation)
DRV:64bit: - (stexstor) -- C:\Windows\SysNative\drivers\stexstor.sys (Promise Technology)
DRV:64bit: - (TPM) -- C:\Windows\SysNative\drivers\tpm.sys (Microsoft Corporation)
DRV:64bit: - (ebdrv) -- C:\Windows\SysNative\drivers\evbda.sys (Broadcom Corporation)
DRV:64bit: - (b06bdrv) -- C:\Windows\SysNative\drivers\bxvbda.sys (Broadcom Corporation)
DRV:64bit: - (b57nd60a) -- C:\Windows\SysNative\drivers\b57nd60a.sys (Broadcom Corporation)
DRV:64bit: - (hcw85cir) -- C:\Windows\SysNative\drivers\hcw85cir.sys (Hauppauge Computer Works, Inc.)
DRV - (WIMMount) -- C:\Windows\SysWOW64\drivers\wimmount.sys (Microsoft Corporation)

Vorher hatte ich schon vollständige Scans laufen lassen. Da gab's zwar beide Reporte aber die sind ja noch länger!

GMER schließlich hat mir das hier angezeigt (Netzwerkverbindung/Internet getrennt)

GMER 2.0.18327 - hxxp://www.gmer.net
Rootkit scan 2013-01-05 13:12:42
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 WDC_WD75 rev.03.0 698,64GB
Running: 2ufd7027.exe; Driver: C:\Users\***~1\AppData\Local\Temp\uwlyaaob.sys


---- User code sections - GMER 2.0 ----

.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetModuleFileNameExW + 17 00000000754c1401 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!EnumProcessModules + 17 00000000754c1419 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 17 00000000754c1431 2 bytes [4C, 75]
.text ... * 9
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!EnumDeviceDrivers + 17 00000000754c14dd 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetDeviceDriverBaseNameA + 17 00000000754c14f5 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!QueryWorkingSetEx + 17 00000000754c150d 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetDeviceDriverBaseNameW + 17 00000000754c1525 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetModuleBaseNameW + 17 00000000754c153d 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!EnumProcesses + 17 00000000754c1555 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetProcessMemoryInfo + 17 00000000754c156d 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetPerformanceInfo + 17 00000000754c1585 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!QueryWorkingSet + 17 00000000754c159d 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetModuleBaseNameA + 17 00000000754c15b5 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetModuleFileNameExA + 17 00000000754c15cd 2 bytes [4C, 75]
.text C:\Program Files (x86)\OpenOffice.org 3\program\soffice.bin[4136] C:\Windows\syswow64\PSAPI.DLL!GetProcessImageFileNameW + 20 00000000754c16b2 2 bytes [4C, 75]

---- Threads - GMER 2.0 ----

Thread C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [3472:1712] 00000000734ec59c
---- Processes - GMER 2.0 ----

Library ? (*** suspicious ***) @ C:\Program Files (x86)\Lenovo\Rapidboot\FBService.exe [1228] 0000000075790000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\FWService\IntelMeFWService.exe [2060] 0000000076910000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\DAL\jhi_service.exe [2088] 0000000075280000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe [2160] 00000000732e0000
Library ? (*** suspicious ***) @ C:\Windows\SysWOW64\rundll32.exe [2836] 0000000071d20000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [3760] 000000006a740000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe [4276] 0000000076910000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe [6024] 0000000071a10000
Library ? (*** suspicious ***) @ C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [3472] 000000006beb0000

---- Registry - GMER 2.0 ----

Reg HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\642737828c99
Reg HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\642737828c99 (not active ControlSet)

---- EOF - GMER 2.0 ----

Dabei waren Festplatte C: (gibt nur die) angehakt, aber Show all und IAT/EAT waren ohne Haken.

Hab dann auch nochmal den gleichen Scan mit GMER laufen lassen, aber zusätzlich noch McAffe und Spybot aus, WinDefender konnte ich nicht abschalten. Kam nur das raus:

GMER 2.0.18327 - hxxp://www.gmer.net
Rootkit scan 2013-01-05 13:52:49
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 WDC_WD75 rev.03.0 698,64GB
Running: 2ufd7027.exe; Driver: C:\Users\SVENUN~1\AppData\Local\Temp\uwlyaaob.sys


---- Registry - GMER 2.0 ----

Reg HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\642737828c99
Reg HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\642737828c99 (not active ControlSet)

---- EOF - GMER 2.0 ----

Was meint Ihr? Was soll ich machen? Einfach die komplette Datei SweetIM in Program Files (x86) löschen? Spybot meldet jedenfalls nach jedem neuen Hochfahren, dass er den selben Vorgang stoppt. Und warum findet eigentlich SpybotSD "SweetIM" aber nicht MalwareBytes???

Hoffe, jemand von Euch kann mir sagen, dass das alles halb so schlimm ist. Oder, dass ich einfah nur den Rechner plattmachen sollte (er ist noch ziemlich neu und es gibt nicht viel zu verlieren).

Und, darf ich wieder die Treiber mit dem defogger enablen?

Also, Danke schon mal im Voraus
Sven

Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.


Bitte beachte folgende Hinweise:

• Eine Bereinigung ist mitunter mit viel Arbeit für dich verbunden. Es können mehrere Analyse- und Bereinigungsschritte erforderlich sein.
  Abschließend entfernen wir wieder alle verwendeten Programme und ich gebe dir ein paar Tipps für die Zukunft mit auf den Weg.
• Bei Anzeichen von illegaler Software wird der Support ohne Diskussion eingestellt.
• Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab.
• Lies dir die Anleitungen sorgfältig durch. Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
• Führe nur Scans durch, zu denen du von mir oder einem anderen Helfer aufgefordert wirst.
• Bitte kein Crossposting (posten in mehreren Foren).
• Installiere oder deinstalliere während der Bereinigung keine Software außer du wirst dazu aufgefordert.
• Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo.
• Alle zu verwendenen Programme sind auf dem Desktop abzuspeichern und von dort zu starten!
  Ich kann Dir niemals eine Garantie geben, dass auch ich alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
  Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Dieser Sylvester Gast würde bei mir ab sofort Hausverbot bekommen!

Führe bitte die folgenden Schritte genau so aus und poste die GANZEN Logdateien!



Poste mir bitte alle Logdateien von Malwarebytes' Anti-Malware:
Bitte alle Logs mit Funden posten





Schritt 1

• Mit laufendem TeaTimer von Spybot Search&Destroy lässt sich keine Reinigung durchführen, da er alle gelöschten Einträge wiederherstellt.
• Der Teatimer muss also während der Reinigungsarbeiten abgestellt werden (lasse den Teatimer so lange ausgeschaltet, bis wir mit der Reinigung fertig sind):
• Starte Spybot S&D => stelle im Menü "Modus" den "Erweiterten Modus" ein => klicke dann links unten auf "Werkzeuge" => klicke auf "Resident" => das Häkchen entfernen bei Resident "TeaTimer" (Schutz aller Systemeinstellungen) => Spybot Search&Destroy schließen => Rechner neu starten. Bebilderte Anleitung.

Schritt 2

• Starte bitte die OTL.exe.
• Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Standard Ausgabe.
• Setze einen Haken bei Scanne alle Benutzer.
• Unter Extra Registry, wähle bitte Use SafeList.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

activex
netsvcs
msconfig
drivers32
safebootminimal
safebootnetwork
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT
         

• Schließe bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Scan Button.
• Am Ende des Suchlaufs werden 2 Logdateien erstellt.
• Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Bitte poste mit deiner nächsten Antwort

• die Logdateien von MBAM,
• die beiden Logdateien von OTL.

Hi Matthias,

cool, Danke schonmal. Kann aber erst später damit anfangen (hab auch gar nicht mit so einer schnellen Antwort gerechnet), weil ich meiner Tochter versprochen habe, ins Schwimmbad mit ihr zu gehen. Aber ich fang so schnell wie möglich damit an.

Ich sag Dir, Hausverbot ist gar kein Ausdruck!!!

Servus,


dann warte ich auf deine Logdateien.

Tach Matthias,

ich werde den Rechner heute neu aufsetzen, geht wirklich schneller.

Er ist so neu und ich benutze wirklich nicht viel software, dass der Zeitaufwand, meine Programme wieder zu installieren wirklich marginal ist. Auch alle Treiber wurden mitgeliefert auf CD.

Trotzdem vielen Dank für die Hilfe und der schnellen Antwort.

Eins vielleicht noch, gehört eigentlich nicht hierher:

Bei der benutzerdef. Installation sehe ich unter den Laufwerkeinstellungen drei Partitionen:
1. SYSTEM_DRV, 200/164GB, Typ System
2. ohne Namen, 673/598GB, Typ Primär
3. LENOVO_PART, 25/9GB, Typ OEM (reserviert)

Ist 1. die Recovery Partition, die ich nicht formatieren soll?
Ist 3. der BIOS-Ort, den ich dann auch nicht formatieren soll?

Mein erster Gedanke ist gewesen, Partition 1. zu formatieren und da wieder Win7 draufzuspielen. In der Anleitung zur Neuinstallation hier steht drin, in der Regel sollte die Systempartition und/oder die gesamt Festplatte formatiert werden, aber wenn die Recovery Funktionen mit auf der Systempartition geschrieben sind, was dann?

Weiss da jemand auf die schnelle ne Antwort?

Vielen Dank
Sven

Servus Sven,


ich frag im Team nach.

Es meldet sich jemand so bald wie möglich.

Wie (von was) willst du denn installieren?
Vermutlich hast du, Lenovovoreinstellung oder derjenige der den Computer fertig eingerichtet hat, die Festplatte auf zwei Nutzpartitionen aufgeteilt.
200 GB für "Windows" und den Rest (673 GB) für irgendwas .

Du magst aber doch - ganz allgemein - einfach im Fall des Falles nachsehen, wie die Partition c: heißt, wie groß sie ist und dies vergleichen. Du bekommst in der Datenträgerverwaltung dies alles angezeigt, du bekommst auch unter "Computer" (früher Arbeitsplatz) dies angezeigt.

"Primär" heißt in diesem Fall nur der "technische" Typ der Partition, alle angezeigten Partitionen dürften primäre Partitionen, es ist nicht die erste Partition in der Logik.

Nachtrag: Systempartition ist (unter Windows) die Partition, auf der das System liegt, also wo Windows installiert ist.

Moin auch,

ich habe eine Win 7 Pro CD (Vollversion Dell), von der ich Windows 7 auf meinen Lenovo A720 bringen will. Der Rechner ist verseucht mit etwa 230 Schadprogrammen im SweetPCFix-Ordner (sagt SpybotSD).

Will von der CD draufspielen weil ich, ich gestehe, das Prinzip eines Recovery-Systems nie richtig verstanden hab. Wird da jetzt formatiert? Wenn ich einen Schädling oder Virus habe, wird der mit gelöscht? Recovery klingt für mich nicht so sehr nach Neuanfang wie Neuinstallation!

Nachteil natürlich, man hat diese Hilfsprogramme nicht mehr drauf vom Hersteller, wie ACER eManagement, Mediacenter oder die Recovery-Systeme.

Und jetzt weiss ich halt nicht, ob ich die System_DRV ruhig formatieren darf, aber muss ich dann ja wohl, wenn mein altes verseuchtes Win 7 drauf ist, oder? Wenn ich das neue Win 7 auf meine 2. Partition (s.o.) spiele, hätte ich dann doch sonst zweimal Win7 auf dem Rechner (alt auf 1., neu auf 2.)! Sehe ich das richtig?

Zitat von Cyberrider

Der Rechner ist verseucht mit etwa 230 Schadprogrammen im SweetPCFix-Ordner (sagt SpybotSD).

230 Funde sind selten tatsächlich auch 230 (unterschiedliche) Schadprogramme. Aber eine Neuinstallation ist gerne der bessere, schnellere und sicherere Weg.

Zitat von Cyberrider

das Prinzip eines Recovery-Systems nie richtig verstanden hab. Wird da jetzt formatiert?

In der Regel wird Schnellformatiert oder entsprechend.

Zitat von Cyberrider

Wenn ich einen Schädling oder Virus habe, wird der mit gelöscht? Recovery klingt für mich nicht so sehr nach Neuanfang wie Neuinstallation!

Recovery vom "Original" ist i.d.R. Rücksetzen auf Auslieferungszustand durch überschreiben.
Tatsächlich ist es dabei relativ egal (in der Regel!) ob die Malware gelöscht wird oder nicht, sie ist nicht mehr ansprechbar, weil niemand mehr weiß, wo sie ist, falls sie /zufällig) nicht überschrieben worden sein sollte. Ist mit "formatieren" in der Regel auch nicht besser.

Zitat von Cyberrider

Nachteil natürlich, man hat diese Hilfsprogramme nicht mehr drauf vom Hersteller, wie ACER eManagement, Mediacenter oder die Recovery-Systeme.

Auf einem Lenovo-System dürftest du ACER-Zeug sowieso nicht drauf haben, aber das meiste dürftest du beim jeweiligen Hersteller wieder nachladen können - falls man das Zeug wirklich brauchen sollte.

Ich persönlich würde Vorsicht walten lassen, ob nicht mit der Dell-DVD eben unnützes, eventuell unverträgliches Dell-Zeugs mit aufgespielt wird, allerdings meine ich, dass Dell-Datenträger (XP und Vista) diesbezüglich gut nutzbar waren/sind.
Ich persönlich würde mir aber dies überlegen => Keine Windows-7-Recovery? -> Windows-7-ISO-Download

Zitat von Cyberrider

Und jetzt weiss ich halt nicht, ob ich die System_DRV ruhig formatieren darf, aber muss ich dann ja wohl, wenn mein altes verseuchtes Win 7 drauf ist, oder?

So sehe ich dies. Du magst ja noch kontrollieren, dies solltest du auch tun, denn irgendwo zwischen dir und mir könnte es ja ein Übertragungsproblem gegeben haben. Aber wie gesagt bzw. angedeutet:
- Eine Recovery-Partition ist niemals 200 GB groß
- "System_DRV" dürfte in der Notation von Lenovo einfach das Systemlaufwerk sein (also wo Windows liegt)
- Eine Partition die als Typ auch noch "System..." hat, ist bei solchen Standard-Installationen m.W. immer die Windows-Partition.
[dies gilt aber nur, wenn System- und Startpartition nicht getrennt sind, dies ist aber bei einer solchen Standard-Home-Installation ab Werk in der Regel/meiner Erfahrung nach nicht der Fall. Ganz korrekt (für alle Fälle) gilt:

Systempartition oder Systemvolume = die Partition auf der die grundlegenden Systemstartdateien NTLDR, boot,ini, NTDETECT.com etc. liegen, auf der der Bootmanager liegt.

Startpartition bzw. Startvolume = die Partition von der Windows tatsächlich startet, sich das Windows-Verszeichnis (%windir%) liegt.]
(Achtung: Bei einer sauberen Standard-Installation von einer "normalen" Windows-7-DVD (also keine Recovery-Installation, auch keine angepasste Installation) wäre aber die "ominöse" 100-MB-Partition die Partition, die "System..." heißt. Da du keine 100-MB-Partition gefunden bzw. gepostet hast, gehe ich davon aus, dass es keine gibt.)

Zitat von Cyberrider

Wenn ich das neue Win 7 auf meine 2. Partition (s.o.) spiele, hätte ich dann doch sonst zweimal Win7 auf dem Rechner (alt auf 1., neu auf 2.)! Sehe ich das richtig?

Ja, und noch dazu wäre die Malware direkt ansprechbar und ausführbar.

Wenn du auf "Recovery-Zeug" und -Option verzichten willst, dann könntest du durchaus die komplette Festplatte löschen, neu partitionieren und formatieren. In der Garantiezeit wäre ich da aber etwas vorsichtiger und du solltest vorher schauen, ob es bei Lenovo alles was du brauchst oder meinst zu brauchen auch zum Download gibt.
Ein sauberes Aufsetzen (+ alle notwendigen Treiber!) mit reinem Windows (nicht "Recovery") bringt in der Regel das schnellste und schlankeste System.

PS: Wenn ich dich jetzt total verwirrt habe, frag einfach noch mal nach.

Zitat von Shadow

230 Funde sind selten tatsächlich auch 230 (unterschiedliche) Schadprogramme.

Da hast Du Recht, das sind alles Funde, die mit dem SweetPCFix zusammenhängen. Aber sieht immer beeindruckend schlimm aus!

Zitat von Shadow

Auf einem Lenovo-System dürftest du ACER-Zeug sowieso nicht drauf haben, aber das meiste dürftest du beim jeweiligen Hersteller wieder nachladen können - falls man das Zeug wirklich brauchen sollte.

Hab auch kein ACER-Zeug drauf, das war nur ein weiteres Beispiel aus alter Zeit, als ich noch nen ACER-Laptop hatte. Da war eben auch dieses unnötige Zeug drauf wie eManagement und so.

Zitat von Shadow

Ich persönlich würde Vorsicht walten lassen, ob nicht mit der Dell-DVD eben unnützes, eventuell unverträgliches Dell-Zeugs mit aufgespielt wird[...]

Guter Einwand, vielen Dank. Dann nehm ich lieber die ISO.

Zitat von Shadow

- Eine Recovery-Partition ist niemals 200 GB groß

Oh Mann, ist mir das peinlich, das sind wirklich nur 200MB bei mir, nicht 200GB wie vorher geschrieben. Trotzdem ist es bestimmt nicht die Recovery-Partition sondern das Systemlaufwerk.

Zitat von Shadow

Wenn du auf "Recovery-Zeug" und -Option verzichten willst, dann könntest du durchaus die komplette Festplatte löschen, neu partitionieren und formatieren. In der Garantiezeit wäre ich da aber etwas vorsichtiger und du solltest vorher schauen, ob es bei Lenovo alles was du brauchst oder meinst zu brauchen auch zum Download gibt.

Ich glaube, dass die Recovery-Partition wirklich die 3. Partition ist (LENOVO_PART, Typ OEM (reserviert), 9GB). Das heisst für mich, wenn ich die unangetastet lasse (und auf die 9GB kann ich getrost verzichten) dann kann ich jederzeit wieder auf den Auslieferungszustand recovern, auch wenn ich jetzt frisch ein schlankes, reines Betriebssystem installiere. Das kann man dann ja machen, wenn man das Teil wirklich im Garantiefall einschicken will.

Was ich jetzt noch nicht weiss: Lenovo hatte eine Funktion (Namen weiss ich nicht mehr), die das Hochfahren deutlich verkürzt. Ist das eine ins BIOS eingebettete Funktion, die nicht verloren geht beim Installieren eines neuen Win7 von CD? Die Funktion war eigentlich ganz geil und ich will sie nicht unbedingt verlieren. Ging wirklich sauschnell! Auf der Seite von Lenovo habe ich jedenfalls keinen Treiber gefunden, dessen Name mir irgendwas in die Richtung sagen konnte (aber die Treibernamen sind ja eh alle kryptisch und müssen gegoogelt werden von mir) und so hoffe ich, dass die Funktion übers BIOS läuft und nicht gelöscht wird bei Neuaufsetzen.

Zitat von Shadow

PS: Wenn ich dich jetzt total verwirrt habe, frag einfach noch mal nach.

Ne, haste gar nicht, war super erklärt und ich danke Dir für die Mühe, so viel zu beantworten. Ist schon ein geiles Forum hier. Wenn ich nur mehr Ahnung hätte, würde ich hier auch gerne mal was beantworten statt nur Bittsteller zu sein.

Also, einen schönen Tag Dir und Euch allen, heut Abend wird formatiert und neu aufgesetzt, dass die Welt aus den Fugen gerät!

So, hat alles gut geklappt, Rechner rennt wieder. Weiss ja nicht, was hier jetzt so üblich ist, aber von meiner Seite aus gibt es keinen Grund, das Thema weiter offen zu lassen.

Vielen Dank an Matthias und Shadow für den Support.

Sven