Hallo.
Ich hoffe ihr könnt mir helfen.
Habe mir heute einen Virus eingefangen.
Mein Bildschirm war urplötzlich weiß und dann kam diese komische Warnung.
Kann leider nicht mehr genau wiedergeben, was da stand.
War nur sehr erschrocken, dass mein dummes Gesicht auf dem Bildschirm gewesen ist.
Ein Versuch mit Kaspersky USB Rescue brachte kein Erfolg.
In den abgesicherten Modus komme ich auch nicht. Der Laptop fährt dann von alleine wieder runter. Brauche dringend eure Hilfe. Habe den Laptop erst neu und die Datenübertragung hat eine sau Arbeit gemacht. Ein neues Aufsetzten des Laptops wäre extrem ärgerlich.
LG

Hi,

welches Betriebssystem ist da drauf? Windows XP, Vista, 7?
Funktioniert der abgesicherte Modus mit Eingabeaufforderung noch, so dass du dort auf das schwarze Konsolenfenster kommst?

Das ging ja schnell.
Ich habe einen Sony Vaio mit Windows 7 64 Bit.
Der abgesicherte Modus mit Eingabeaufforderung funktioniert noch.
Da hatte ich aber glaube schon iwas getestet. Mir qualmt nur gerade etwas der Kopf von dem Mist. Da ist mein ganzer Studienkram drauf.

Hi,

nur locker bleiben.
Das sollte keine grosse Sache sein und deine Daten sind nicht in Gefahr.


Schritt 1

Downloade dir bitte Farbar Recovery Scan Tool 64-Bit und speichere diese auf einen USB Stick (nicht in einen Unterordner!).
Schliesse den USB Stick an den infizierten Rechner an.

Du musst das System nun in die System Reparatur Option booten:

Variante 1 - Über den Boot Manager

• Starte den Rechner neu auf.
• Während des Hochfahrens drücke mehrmals die F8 Taste.
• Wähle nun Computer reparieren.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils Weiter.

oder

Variante 2 - Mit Windows CD/DVD

• Lege die Windows CD in dein Laufwerk.
• Starte den Rechner neu auf und boote von der CD.
• Wähle die Spracheinstellungen und klicke Weiter.
• Klicke auf Computerreparaturoptionen.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils Weiter.

Wenn du jetzt in den Reparaturoptionen bist, wähle Eingabeaufforderung.

• Gib nun bitte notepad ein und drücke Enter.
  • Es öffnet sich ein Textdokument. Klicke auf Datei -> Speichern unter und wähle Computer.
  • Lese nun hier den Laufwerksbuchstaben deines USB Sticks (z.B. e:\) ab.
  • Schliesse Notepad wieder.
• Gib nun bitte folgenden Befehl ein und drücke Enter:

  e:\frst64.exe

  Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Wenn es bei dir ein anderer Buchstabe ist, dann passe den Befehl entsprechend an.
• Akzeptiere den Disclaimer mit Yes und klicke Scan.

Das Tool erstellt eine Datei FRST.txt auf deinem USB Stick. Poste dessen Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von FRST

Das Textdokument ist leer. Ist das normal?
Der Vorgang läuft trotzdem gerade.

Du meinst die FRST.txt, welche nach dem Scan erzeugt wurde?

Nein, ich meine das Textdokument nach der Eingabe von "notepad".

Ja, mit diesem Befehl öffnest du ja nur ein leeres Notepad-Fenster. Es geht in diesem Schritt auch überhaupt nicht um Notepad, sondern nur darum, so wie beschrieben den Laufwerksbuchstaben des USB-Sticks zu finden.

Habe das Textdokument.
Es ist aber zu lang zum Einfügen.

Log gelöscht

log gelöscht

Ok, da ist auch noch mehr drauf..
Schritt 1 entsperrt den Rechner. Die weiteren Schritte dann wieder im normalen Modus ausführen.


Schritt 1

Drücke auf einem Zweitrechner bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument:
(Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ******), dann mach das hier wieder rückgängig.)

HKU\******\...\Run: [Myeqg] "C:\Users\******\AppData\Roaming\Efco\ecfa.exe" [260608 2013-04-09] ()
HKU\******\...\Winlogon: [Shell] explorer.exe,C:\Users\******\AppData\Roaming\AltShell.dat [59392 2011-11-17] (Es_o)
2013-04-03 09:10 - 2011-11-17 06:38 - 00059392 ____A (Es_o) C:\Users\******\AppData\Roaming\AltShell.dat
2013-04-16 13:43 - 2013-04-16 15:31 - 00000004 ____A C:\Users\******\AppData\Roaming\AltShell.ini
2013-04-16 09:13 - 2013-04-16 10:12 - 00000000 ____D C:\Users\******\AppData\Roaming\Hocy
2013-04-16 09:13 - 2013-04-16 09:13 - 00000000 ____D C:\Users\******\AppData\Roaming\Eroz
2013-04-16 09:13 - 2013-04-16 09:13 - 00000000 ____D C:\Users\******\AppData\Roaming\Efco
2013-04-03 09:10 - 2011-11-17 06:38 - 00000000 ___HD C:\4gEJsVyiA73
         

Speichere dieses dann bitte unter dem Dateinamen Fixlist.txt auf deinen USB Stick neben FRST.

• Schliesse den USB Stick wieder an den infizierten Rechner an.
• Starte deinen Rechner erneut in die Reparaturoptionen.
• Starte nun wiederum FRST, aber klicke dieses Mal auf den Fix Button.

Das Tool erstellt eine Datei Fixlog.txt auf deinem USB Stick. Poste deren Inhalt bitte hier.



Schritt 2

Lade dir Gmer herunter (auf den Button Download EXE drücken) und speichere das Programm auf den Desktop.

• Deaktiviere alle Antivirenprogramme und Malware/Spyware Scanner.
• Trenne alle bestehenden Verbindungen zu einem Netzwerk/Internet (WLAN nicht vergessen).
• Schliesse bitte alle anderen Programme.
• Starte gmer.exe (die Datei hat einen zufälligen Dateinamen).
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Sollte sich ein Fenster mit folgender Warnung öffnen

  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?

  dann klicke unbedingt auf No.
• Entferne rechts den Haken bei:
  • IAT/EAT
  • Show all
• Setze rechts den Haken bei deiner Systempartition (normalerweise C:\).
• Starte den Scan mit einem Klick auf Scan.
• Mache gar nichts am Computer, während der Scan läuft!
• Wenn der Scan fertig ist, klicke auf Save und speichere das Logfile unter Gmer.txt auf deinen Desktop.
• Schliesse dann GMER und führe unmittelbar einen Neustart des Computers durch.
• Füge bitte den Inhalt des Logfiles hier in deine Thread ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor du ins Netz gehst.



Schritt 3

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

• Doppelklick auf die OTL.exe.
• Unter Extra Registry, wähle bitte Use SafeList.
• Setze den Haken bei Scan all Users.
• Klicke nun auf Run Scan.
• Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
• Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Fixlog von FRST
• Log von Gmer
• Logs von OTL

Hui ist das viel.
Aber der Laptop lässt sich wenigstens wieder normal starten.
Ich arbeite jetzt alles ab und stell es dann online.

Vielleicht kann man bitte ein berechtigter meinen Namen aus den Textdatein entfernen oder sie einfach löschen. Danke

Ich arbeite jetzt alles ab und stell es dann online.

Genau, poste einfach alle Logfiles zusammen, wenn du durch bist.

Vielleicht kann man bitte ein berechtigter meinen Namen aus den Textdatein entfernen oder sie einfach löschen.

Du kannst deine eigenen Posts jeweils noch 1 Stunde nach Erstellungszeit (bleiben jetzt also noch ein paar Minuten dafür) editieren und die Namen rauslöschen.
Wenn diese Frist abgelaufen ist, musst du das melden, wie hier in Punkt 1 beschrieben: http://www.trojaner-board.de/108422-...-anfragen.html

Habe ich gemacht. Danke.
Jetzt müsstest nur noch du den Log löschen.

Ok, der Name ist zensiert.
Sobald die verbleibenden Logs da sind, geht's weiter.
(Dieses Mal am besten zuvor den Benutzernamen global im Editor über die Alle-Ersetzen-Funktion zensieren. )