Nach Neuaufsetzen Grafikfehler, PC langsam

bmell · 08.05.2013, 14:06

Hallo Anti-Virengemeinde :-)

Gestern habe ich einen etwas älteren Windows PC geschenkt bekommen den ich kurzerhand formatiert und neu aufgesetzt habe.
Ich habe mir dazu W7 Ultimate (evtl. nicht die beste Wahl) aus dem Netz gezogen (von Digitalrivers oder wie die offiz. MSFT
Spiegelseite heisst) und losgelegt. Nach dem Aufsetzen fiel mir auf, daß bei der weiteren Einrichtung ab und an der Display kurz
aus geht, umschaltet? ,so dass ich kurzerhand den hier oft erwähnten ESET Scanner zog und einen scan durchführte.
Unter Quellen, sah ich aber auch einen Microsoft Terminal-Adapter(?), den ich so bewusst noch nie wahrgenommen hatte. Da ich von Natur
aus etwas zur Paranoia neige, vollzog ich einen weiteren Scan mit MBAM, der aber keine Ergebnisse lieferte.
Auf Anraten eines Freundes hin, zog ich mir noch RogieKiller. Dieser fand folgende Einträge:

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
"{20D04FE0-3AEA-1069-A2D8-08002B30309D}"=dword:00000001

Windows Registry Editor Version 5.00

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\HideDesktopIcons\NewStartPanel]
"{59031a47-3f72-44a7-89c5-5595fe6b30ee}"=dword:00000001

Da ich mir hierauf keinen reim machen konnte, besorgte ich mir noch den hier oft erwähnten GMER, der mir folgende Resultate liferte:

Code:

ATTFilter

GMER Logfile:

	Code: 

 ATTFilter

  
	GMER 2.1.19163 - hxxp://www.gmer.net
Rootkit scan 2013-05-08 14:41:00
Windows 6.1.7601 Service Pack 1 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-2 SAMSUNG_SP2004C rev.VM100-33 186,31GB
Running: gmer_2.1.19163.exe; Driver: C:\Users\PanAm\AppData\Local\Temp\agloapow.sys


---- Kernel code sections - GMER 2.1 ----

.text   ntkrnlpa.exe!ZwRollbackEnlistment + 140D            8287DA09 1 Byte  [06]
.text   ntkrnlpa.exe!KiDispatchInterrupt + 5A2              828B71F2 19 Bytes  [E0, 0F, BA, F0, 07, 73, 09, ...] {LOOPNZ 0x11; MOV EDX, 0x97307f0; MOV CR4, EAX; OR AL, 0x80; MOV CR4, EAX; RET ; MOV ECX, CR3}
?       system32\drivers\52684182.sys                       The system cannot find the path specified. !
?       C:\Windows\system32\drivers\TrueSight.sys           The system cannot find the file specified. !

---- Devices - GMER 2.1 ----

Device  \FileSystem\55470833 \Device\KLMD13082012_208040_B  52684182.sys

---- EOF - GMER 2.1 ----
         
 --- --- ---

Hier auch noch das von euch oft gewünschte OTL.txt und ADWCleaner Log

OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 08.05.2013 14:54:34 - Run 1
OTL by OldTimer - Version 3.2.69.0     Folder = C:\Users\PanAm\Downloads
 Ultimate Edition Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,00 Gb Total Physical Memory | 1,36 Gb Available Physical Memory | 68,20% Memory free
4,00 Gb Paging File | 3,20 Gb Available in Paging File | 80,13% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 186,21 Gb Total Space | 169,81 Gb Free Space | 91,19% Space Free | Partition Type: NTFS
 
Computer Name: PANAM-PC | User Name: PanAm | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: All users | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Users\PanAm\Downloads\gmer_2.1.19163.exe ()
PRC - C:\Users\PanAm\Downloads\OTL.exe (OldTimer Tools)
PRC - C:\Program Files\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe (NVIDIA Corporation)
PRC - C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe (NVIDIA Corporation)
PRC - C:\Program Files\NVIDIA Corporation\Display\nvtray.exe (NVIDIA Corporation)
PRC - C:\Windows\System32\taskhost.exe (Microsoft Corporation)
PRC - C:\Windows\explorer.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
MOD - C:\Users\PanAm\Downloads\gmer_2.1.19163.exe ()
MOD - C:\Program Files\Common Files\Apple\Apple Application Support\zlib1.dll ()
MOD - C:\Program Files\Common Files\Apple\Apple Application Support\libxml2.dll ()
 
 
========== Services (SafeList) ==========
 
SRV - (MozillaMaintenance) -- C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe (Mozilla Foundation)
SRV - (MBAMService) -- C:\Program Files\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
SRV - (MBAMScheduler) -- C:\Program Files\Malwarebytes' Anti-Malware\mbamscheduler.exe (Malwarebytes Corporation)
SRV - (nvUpdatusService) -- C:\Program Files\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe (NVIDIA Corporation)
SRV - (SensrSvc) -- C:\Windows\System32\sensrsvc.dll (Microsoft Corporation)
SRV - (PeerDistSvc) -- C:\Windows\System32\PeerDistSvc.dll (Microsoft Corporation)
SRV - (WinDefend) -- C:\Program Files\Windows Defender\MpSvc.dll (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (VGPU) -- System32\drivers\rdvgkmd.sys File not found
DRV - (agloapow) -- C:\Users\PanAm\AppData\Local\Temp\agloapow.sys File not found
DRV - (MBAMProtector) -- C:\Windows\System32\drivers\mbam.sys (Malwarebytes Corporation)
DRV - (nvlddmkm) -- C:\Windows\System32\drivers\nvlddmkm.sys (NVIDIA Corporation)
DRV - (RdpVideoMiniport) -- C:\Windows\System32\drivers\rdpvideominiport.sys (Microsoft Corporation)
DRV - (TsUsbFlt) -- C:\Windows\System32\drivers\TsUsbFlt.sys (Microsoft Corporation)
DRV - (vmbus) -- C:\Windows\System32\drivers\vmbus.sys (Microsoft Corporation)
DRV - (tsusbhub) -- C:\Windows\System32\drivers\tsusbhub.sys (Microsoft Corporation)
DRV - (Synth3dVsc) -- C:\Windows\System32\drivers\Synth3dVsc.sys (Microsoft Corporation)
DRV - (dmvsc) -- C:\Windows\System32\drivers\dmvsc.sys (Microsoft Corporation)
DRV - (storflt) -- C:\Windows\System32\drivers\vmstorfl.sys (Microsoft Corporation)
DRV - (storvsc) -- C:\Windows\System32\drivers\storvsc.sys (Microsoft Corporation)
DRV - (TsUsbGD) -- C:\Windows\System32\drivers\TsUsbGD.sys (Microsoft Corporation)
DRV - (terminpt) -- C:\Windows\System32\drivers\terminpt.sys (Microsoft Corporation)
DRV - (VMBusHID) -- C:\Windows\System32\drivers\VMBusHID.sys (Microsoft Corporation)
DRV - (s3cap) -- C:\Windows\System32\drivers\vms3cap.sys (Microsoft Corporation)
DRV - (Serial) -- C:\Windows\System32\drivers\serial.sys (Brother Industries Ltd.)
DRV - (yukonw7) -- C:\Windows\System32\drivers\yk62x86.sys (Marvell)
DRV - (NVENETFD) -- C:\Windows\System32\drivers\nvm62x32.sys (NVIDIA Corporation)
DRV - (ALCXWDM) -- C:\Windows\System32\drivers\RTKVAC.SYS (Realtek Semiconductor Corp.)
DRV - (Si3114r5) -- C:\Windows\System32\drivers\Si3114r5.sys (Silicon Image, Inc)
DRV - (SiFilter) -- C:\Windows\System32\drivers\SiWinAcc.sys (Silicon Image, Inc.)
DRV - (SiRemFil) -- C:\Windows\System32\drivers\SiRemFil.sys (Silicon Image, Inc.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\..\SearchScopes,DefaultScope = 
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
 
 
IE - HKU\.DEFAULT\..\SearchScopes,DefaultScope = 
 
IE - HKU\S-1-5-18\..\SearchScopes,DefaultScope = 
 
IE - HKU\S-1-5-19\..\SearchScopes,DefaultScope = 
 
IE - HKU\S-1-5-20\..\SearchScopes,DefaultScope = 
 
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 3C 51 DA B9 F8 CF C3 01  [binary data]
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\..\SearchScopes,DefaultScope = 
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
 
IE - HKU\S-1-5-21-4038230851-2195228265-2914162078-1003\..\SearchScopes,DefaultScope = 
 
========== FireFox ==========
 
FF - prefs.js..extensions.enabledAddons: adblockpopups%40jessehakanen.net:0.7
FF - prefs.js..extensions.enabledAddons: %7B972ce4c6-7e08-4474-a285-3208198ce6fd%7D:20.0.1
FF - user.js - File not found
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32_11_7_700_169.dll ()
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Program Files\iTunes\Mozilla Plugins\npitunes.dll ()
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 20.0.1\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2004.01.01 01:56:16 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 20.0.1\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins
 
[2004.01.01 01:56:26 | 000,000,000 | ---D | M] (No name found) -- C:\Users\PanAm\AppData\Roaming\Mozilla\Extensions
[2013.05.08 13:59:57 | 000,000,000 | ---D | M] (No name found) -- C:\Users\PanAm\AppData\Roaming\Mozilla\Firefox\Profiles\h4n7bjy7.default\extensions
[2013.05.08 13:59:57 | 000,134,804 | ---- | M] () (No name found) -- C:\Users\PanAm\AppData\Roaming\Mozilla\Firefox\Profiles\h4n7bjy7.default\extensions\adblockpopups@jessehakanen.net.xpi
[2013.05.08 13:59:24 | 000,817,280 | ---- | M] () (No name found) -- C:\Users\PanAm\AppData\Roaming\Mozilla\Firefox\Profiles\h4n7bjy7.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi
[2004.01.01 01:56:16 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files\Mozilla Firefox\extensions
[2013.04.10 08:57:39 | 000,263,064 | ---- | M] (Mozilla Foundation) -- C:\Program Files\mozilla firefox\components\browsercomps.dll
[2013.04.10 10:18:46 | 000,001,392 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\amazondotcom-de.xml
[2013.04.10 10:18:46 | 000,002,465 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2013.04.10 10:18:46 | 000,001,153 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\eBay-de.xml
[2013.04.10 10:18:46 | 000,006,805 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\leo_ende_de.xml
[2013.04.10 10:18:46 | 000,001,178 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml
[2013.04.10 10:18:46 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O4 - HKLM..\Run: [APSDaemon] C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [SoundMan] C:\Windows\SOUNDMAN.EXE (Realtek Semiconductor Corp.)
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - HKU\S-1-5-21-4038230851-2195228265-2914162078-1003..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - Startup: C:\Users\PanAm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk = C:\Users\PanAm\AppData\Roaming\Dropbox\bin\Dropbox.exe (Dropbox, Inc.)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files\Bonjour\mdnsNSP.dll (Apple Inc.)
O13 - gopher Prefix: missing
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{1E4D9300-4359-4E2F-B3A6-A811181D5E85}: NameServer = 8.8.8.8,8.8.4.4
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2013.05.08 14:17:48 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\What's Running
[2013.05.08 14:17:47 | 000,000,000 | ---D | C] -- C:\Program Files\WhatsRunning
[2013.05.08 14:02:00 | 000,000,000 | ---D | C] -- C:\ProgramData\Panda Security
[2013.05.08 14:01:56 | 000,000,000 | ---D | C] -- C:\Program Files\Panda USB Vaccine
[2013.05.08 14:01:56 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Panda Security
[2013.05.08 12:16:57 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2013.05.08 12:16:56 | 000,022,856 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2013.05.08 12:16:56 | 000,000,000 | ---D | C] -- C:\Program Files\Malwarebytes' Anti-Malware
[2013.05.08 11:54:21 | 000,000,000 | ---D | C] -- C:\Program Files\ESET
[2013.05.07 19:06:21 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Local\Apple Computer
[2013.05.07 19:06:19 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Apple Computer
[2013.05.07 19:06:09 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\iTunes
[2013.05.07 19:05:55 | 000,000,000 | ---D | C] -- C:\Windows\System32\DRVSTORE
[2013.05.07 19:05:03 | 000,000,000 | ---D | C] -- C:\Program Files\iPod
[2013.05.07 19:05:02 | 000,000,000 | ---D | C] -- C:\Program Files\iTunes
[2013.05.07 19:05:02 | 000,000,000 | ---D | C] -- C:\ProgramData\Apple Computer
[2013.05.07 19:05:02 | 000,000,000 | ---D | C] -- C:\ProgramData\188F1432-103A-4ffb-80F1-36B633C5C9E1
[2013.05.07 19:04:24 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Local\Apple
[2013.05.07 19:04:23 | 000,000,000 | ---D | C] -- C:\Program Files\Apple Software Update
[2013.05.07 19:04:05 | 000,000,000 | ---D | C] -- C:\Program Files\Bonjour
[2013.05.07 19:03:53 | 000,000,000 | ---D | C] -- C:\ProgramData\Apple
[2013.05.07 19:03:53 | 000,000,000 | ---D | C] -- C:\Program Files\Common Files\Apple
[2013.05.07 19:03:25 | 000,000,000 | -HSD | C] -- C:\Windows\Installer
[2013.05.07 15:45:50 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Dropbox
[2013.05.07 15:44:41 | 000,000,000 | ---D | C] -- C:\ProgramData\NVIDIA
[2013.05.07 15:44:11 | 000,053,024 | ---- | C] (Khronos Group) -- C:\Windows\System32\OpenCL.dll
[2013.05.07 15:43:39 | 000,000,000 | ---D | C] -- C:\ProgramData\NVIDIA Corporation
[2013.05.07 15:43:33 | 000,000,000 | ---D | C] -- C:\Program Files\NVIDIA Corporation
[2013.05.07 15:40:01 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Canneverbe Limited
[2013.05.07 15:40:01 | 000,000,000 | ---D | C] -- C:\ProgramData\Canneverbe Limited
[2013.05.07 15:39:37 | 000,000,000 | ---D | C] -- C:\Program Files\CDBurnerXP
[2013.05.07 15:29:14 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Macromedia
[2013.05.07 15:29:14 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Local\Macromedia
[2013.05.07 15:29:14 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Adobe
[2013.05.07 15:28:41 | 000,000,000 | ---D | C] -- C:\Windows\System32\Macromed
[2013.05.07 15:26:20 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Dropbox
[2013.05.07 14:14:10 | 000,000,000 | ---D | C] -- C:\Users\PanAm\Desktop\7125v1D
[2013.05.07 13:26:37 | 000,000,000 | ---D | C] -- C:\Users\PanAm\Desktop\RK_Quarantine
[2013.05.07 13:23:10 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Roaming\Malwarebytes
[2013.05.07 13:23:04 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2013.05.07 13:22:57 | 000,000,000 | ---D | C] -- C:\Users\PanAm\AppData\Local\Programs
[2004.01.01 01:54:10 | 020,900,984 | ---- | C] (Mozilla) -- C:\Users\PanAm\Firefox Setup 20.0.1.exe
 
========== Files - Modified Within 30 Days ==========
 
[2013.05.08 14:23:05 | 000,007,599 | ---- | M] () -- C:\Users\PanAm\AppData\Local\Resmon.ResmonCfg
[2013.05.08 14:17:48 | 000,000,957 | ---- | M] () -- C:\Users\PanAm\Desktop\What's Running.lnk
[2013.05.08 14:00:42 | 000,606,992 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2013.05.08 14:00:42 | 000,103,370 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2013.05.08 13:55:53 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2013.05.08 13:55:44 | 1610,260,480 | -HS- | M] () -- C:\hiberfil.sys
[2013.05.08 13:54:53 | 000,016,832 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2013.05.08 13:54:53 | 000,016,832 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2013.05.08 12:50:44 | 000,001,071 | ---- | M] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
[2013.05.08 12:10:21 | 000,000,000 | ---- | M] () -- C:\Users\PanAm\defogger_reenable
[2013.05.07 19:06:09 | 000,001,753 | ---- | M] () -- C:\Users\Public\Desktop\iTunes.lnk
[2013.05.07 19:00:46 | 000,001,411 | ---- | M] () -- C:\Users\PanAm\Application Data\Microsoft\Internet Explorer\Quick Launch\Launch Internet Explorer Browser.lnk
[2013.05.07 16:11:57 | 000,265,640 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2013.05.07 15:49:38 | 000,072,822 | ---- | M] () -- C:\Windows\System32\ieuinit.inf
[2013.05.07 15:46:38 | 000,001,049 | ---- | M] () -- C:\Users\PanAm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk
[2013.05.07 15:39:39 | 000,001,891 | ---- | M] () -- C:\Users\Public\Desktop\CDBurnerXP.lnk
[2013.05.07 15:30:14 | 000,013,373 | ---- | M] () -- C:\Users\PanAm\Desktop\RogueKiller - Shortcut.lnk
[2013.05.07 14:16:03 | 004,402,436 | R--- | M] () -- C:\Users\PanAm\Desktop\everesthome220.zip
 
========== Files Created - No Company Name ==========
 
[2013.05.08 14:17:48 | 000,000,957 | ---- | C] () -- C:\Users\PanAm\Desktop\What's Running.lnk
[2013.05.08 12:16:57 | 000,001,071 | ---- | C] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
[2013.05.08 12:10:21 | 000,000,000 | ---- | C] () -- C:\Users\PanAm\defogger_reenable
[2013.05.07 19:06:09 | 000,001,753 | ---- | C] () -- C:\Users\Public\Desktop\iTunes.lnk
[2013.05.07 19:04:23 | 000,002,519 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Apple Software Update.lnk
[2013.05.07 15:49:38 | 000,072,822 | ---- | C] () -- C:\Windows\System32\ieuinit.inf
[2013.05.07 15:46:38 | 000,001,049 | ---- | C] () -- C:\Users\PanAm\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Dropbox.lnk
[2013.05.07 15:39:39 | 000,001,891 | ---- | C] () -- C:\Users\Public\Desktop\CDBurnerXP.lnk
[2013.05.07 15:39:39 | 000,001,849 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\CDBurnerXP.lnk
[2013.05.07 15:30:14 | 000,013,373 | ---- | C] () -- C:\Users\PanAm\Desktop\RogueKiller - Shortcut.lnk
[2013.05.07 14:15:58 | 004,402,436 | R--- | C] () -- C:\Users\PanAm\Desktop\everesthome220.zip
[2004.01.01 01:09:03 | 000,007,599 | ---- | C] () -- C:\Users\PanAm\AppData\Local\Resmon.ResmonCfg
 
========== ZeroAccess Check ==========
 
[2009.07.14 06:42:31 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini
 
[HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]
 
[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32]
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]
"" = %SystemRoot%\system32\shell32.dll -- [2012.06.09 06:41:00 | 012,873,728 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Apartment
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32]
"" = %systemroot%\system32\wbem\fastprox.dll -- [2010.11.20 23:29:20 | 000,606,208 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Free
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32]
"" = %systemroot%\system32\wbem\wbemess.dll -- [2009.07.14 03:16:17 | 000,342,528 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Both
 
========== LOP Check ==========
 
[2013.05.07 15:40:01 | 000,000,000 | ---D | M] -- C:\Users\PanAm\AppData\Roaming\Canneverbe Limited
[2013.05.07 19:01:37 | 000,000,000 | ---D | M] -- C:\Users\PanAm\AppData\Roaming\Dropbox
 
========== Purity Check ==========
 
 

< End of report >

--- --- ---

[/CODE]

AdwCleaner Logfile:

Code:

ATTFilter

# AdwCleaner v2.300 - Logfile created 05/08/2013 at 13:19:44
# Updated 28/04/2013 by Xplode
# Operating system : Windows 7 Ultimate Service Pack 1 (32 bits)
# User : PanAm - PANAM-PC
# Boot Mode : Normal
# Running from : C:\Users\PanAm\Downloads\adwcleaner.exe
# Option [Search]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****

Key Found : HKLM\Software\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Components\063A857434EDED11A893800002C0A966

***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Registry is clean.

-\\ Mozilla Firefox v20.0.1 (de)

File : C:\Users\PanAm\AppData\Roaming\Mozilla\Firefox\Profiles\h4n7bjy7.default\prefs.js

[OK] File is clean.

*************************

AdwCleaner[R1].txt - [923 octets] - [08/05/2013 12:55:54]
AdwCleaner[R2].txt - [855 octets] - [08/05/2013 13:19:44]
AdwCleaner[S1].txt - [316 octets] - [08/05/2013 12:57:05]

########## EOF - C:\AdwCleaner[R2].txt - [973 octets] ##########

--- --- ---

[/CODE]

Ebenfalls nahm ich kleinere Grafikfehler wahr, wie z.B. dass eine horizontale Pixel-Linie bei diversen Fonts/Strings fehlten, so dass ich nun Angst habe kompromitiert
worden zu sein.

Im ADWCleaner hatte ich auf säubern geklickt, das war auch das einzige was ich ohne eure Hilfe in einem Anfall von AKtionismus getan habe.

Es wäre klasse, wenn ihr mir weiterhelfen könntet.

LG Bernd

Weiterhin sind auch folgende Ports offen, bzw. im "Listen"-Mode - evtl. hilft das auch weiter:

C:\Users\PanAm>netstat -an | find "LISTEN"
TCP 0.0.0.0:135 0.0.0.0:0 LISTENING
TCP 0.0.0.0:445 0.0.0.0:0 LISTENING
TCP 0.0.0.0:554 0.0.0.0:0 LISTENING
TCP 0.0.0.0:2869 0.0.0.0:0 LISTENING
TCP 0.0.0.0:5357 0.0.0.0:0 LISTENING
TCP 0.0.0.0:10243 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49152 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49153 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49154 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49155 0.0.0.0:0 LISTENING
TCP 0.0.0.0:49157 0.0.0.0:0 LISTENING
TCP 127.0.0.1:2559 0.0.0.0:0 LISTENING
TCP 127.0.0.1:5354 0.0.0.0:0 LISTENING
TCP 127.0.0.1:27015 0.0.0.0:0 LISTENING
TCP 192.168.0.2:139 0.0.0.0:0 LISTENING
TCP [::]:135 [::]:0 LISTENING
TCP [::]:445 [::]:0 LISTENING
TCP [::]:554 [::]:0 LISTENING
TCP [::]:2869 [::]:0 LISTENING
TCP [::]:5357 [::]:0 LISTENING
TCP [::]:10243 [::]:0 LISTENING
TCP [::]:49152 [::]:0 LISTENING
TCP [::]:49153 [::]:0 LISTENING
TCP [::]:49154 [::]:0 LISTENING
TCP [::]:49155 [::]:0 LISTENING
TCP [::]:49157 [::]:0 LISTENING

Ich habe auch noch zufällig Mal ein "DDS.SCR" aus einem anderen Forum laufen lassen und ichs ehe dort, wie von mir vermutet? etwas mit Remote Desktop Generic USB Device.
Jetzt habe ich Angst und warte erstmal auf einen Profi, Danke schonmal im Voraus!

Code:

ATTFilter

R2 MBAMScheduler;MBAMScheduler;c:\program files\malwarebytes' anti-malware\mbamscheduler.exe [2013-5-8 418376]
R2 MBAMService;MBAMService;c:\program files\malwarebytes' anti-malware\mbamservice.exe [2013-5-8 701512]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [2013-5-8 22856]
S3 b57nd60x;Broadcom NetXtreme Gigabit Ethernet - NDIS 6.0;c:\windows\system32\drivers\b57nd60x.sys [2009-7-14 229888]
S3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [2010-11-21 62464]
S3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [2010-11-20 15872]
S3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\Synth3dVsc.sys [2010-11-21 77184]
S3 terminpt;Microsoft Remote Desktop Input Driver;c:\windows\system32\drivers\terminpt.sys [2010-11-21 25600]
S3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\TsUsbFlt.sys [2010-11-20 52224]
S3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [2010-11-20 27264]
S3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [2010-11-21 112640]
S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\drivers\yk62x86.sys [2009-7-14 311296]

Und mir fällt rad spontan noch etwas auf:

Ich habe 2 Floppy disk controller!

Einmal wörtlich "Floppy disk drives"-> Floppy disk drive

und einmal "Floppy drive controllers" -> Standard floppy disk controller"

Weiterhin sehe ich grade, dass nvtray.exe auf port 2559 unendlich viele SYN_SENT sendet.
Jetzt habe ich wirllich Bammel ...

bmell · 10.05.2013, 14:18

Hallo allerseits,

Mag mir wirklich niemand helfen ? ;( Ich würde das gerne am Wochenende in Angriff nehmen, da ich hier alleine wohl nicht weiterkomme.

LG Bernd

t'john · 10.05.2013, 19:10

Die Bereinigung besteht aus mehreren Schritten, die ausgefuehrt werden muessen.
Diese Nacheinander abarbeiten und die 3 Logs, die dabei erstellt werden bitte in deine naechste Antwort einfuegen.

Sollte der OTL-FIX nicht richig durchgelaufen sein. Fahre nicht fort, sondern melde dies bitte.

1. Schritt

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
Starte die OTL.exe.
Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:
Der Fix fängt mit :OTL an. Vergewissere dich, dass du ihn richtig kopiert hast.

Code:

ATTFilter

:OTL

DRV - (agloapow) -- C:\Users\PanAm\AppData\Local\Temp\agloapow.sys File not found 

:Files 
C:\ProgramData\*.exe
C:\ProgramData\*.dll
C:\ProgramData\*.tmp
C:\ProgramData\TEMP
C:\Users\PanAm\*.tmp
C:\Users\PanAm\AppData\*.dll
C:\Users\PanAm\AppData\*.exe
C:\Users\PanAm\AppData\Local\Temp\*.exe
C:\Users\PanAm\AppData\LocalLow\Sun\Java\Deployment\cache
ipconfig /flushdns /c
:Commands
[emptytemp]

Schließe alle Programme.
Klicke auf den Fix Button.
Wenn OTL einen Neustart verlangt, bitte zulassen.
Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

2. Schritt
Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

danach:

3. Schritt
Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

bmell · 23.05.2013, 12:50

hallo,

Hier die Logs:

Code:

ATTFilter

All processes killed
========== OTL ==========
Error: No service named agloapow was found to stop!
Service\Driver key agloapow not found.
File  C:\Users\PanIngo\AppData\Local\Temp\agloapow.sys File not found not found.
========== FILES ==========
File\Folder C:\ProgramData\*.exe not found.
File\Folder C:\ProgramData\*.dll not found.
File\Folder C:\ProgramData\*.tmp not found.
File\Folder C:\ProgramData\TEMP not found.
File\Folder C:\Users\PanIngo\*.tmp not found.
File\Folder C:\Users\PanIngo\AppData\*.dll not found.
File\Folder C:\Users\PanIngo\AppData\*.exe not found.
C:\Users\PanIngo\AppData\Local\Temp\917b0b87-3358-4e79-93de-3dfc2fc99ed0.exe moved successfully.
C:\Users\PanIngo\AppData\Local\Temp\mirc729.exe moved successfully.
C:\Users\PanIngo\AppData\Local\Temp\xmlUpdater.exe moved successfully.
File\Folder C:\Users\PanIngo\AppData\LocalLow\Sun\Java\Deployment\cache not found.
< ipconfig /flushdns /c >
Windows-IP-Konfiguration
Der DNS-Aufl”sungscache wurde geleert.
C:\Users\PanIngo\Downloads\cmd.bat deleted successfully.
C:\Users\PanIngo\Downloads\cmd.txt deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: PanIngo
->Temp folder emptied: 481420671 bytes
->Temporary Internet Files folder emptied: 154859228 bytes
->FireFox cache emptied: 22310606 bytes
->Google Chrome cache emptied: 81026291 bytes
->Opera cache emptied: 23559600 bytes
->Flash cache emptied: 1560 bytes
 
User: Public
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 122528241 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50461 bytes
RecycleBin emptied: 5453067788 bytes
 
Total Files Cleaned = 6.045,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 05232013_133018

Files\Folders moved on Reboot...
C:\Users\PanIngo\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\PanIngo\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

Code:

ATTFilter

Malwarebytes Anti-Rootkit BETA 1.05.0.1001
www.malwarebytes.org

Database version: v2013.05.23.05

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
PanIngo :: PANINGO-PC [administrator]

23.05.2013 13:41:59
mbar-log-2013-05-23 (13-41-59).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled: 
Objects scanned: 27993
Time elapsed: 5 minute(s), 48 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)

AdwCleaner Logfile:

Code:

ATTFilter

# AdwCleaner v2.301 - Logfile created 05/23/2013 at 13:48:33
# Updated 16/05/2013 by Xplode
# Operating system : Windows 7 Ultimate Service Pack 1 (64 bits)
# User : PanIngo - PANINGO-PC
# Boot Mode : Normal
# Running from : C:\Users\PanIngo\Downloads\AdwCleaner.exe
# Option [Search]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****


***** [Internet Browsers] *****

-\\ Internet Explorer v9.0.8112.16483

[OK] Registry is clean.

-\\ Mozilla Firefox v21.0 (de)

File : C:\Users\PanIngo\AppData\Roaming\Mozilla\Firefox\Profiles\p5if9kzt.default\prefs.js

[OK] File is clean.

-\\ Google Chrome v26.0.1410.64

File : C:\Users\PanIngo\AppData\Local\Google\Chrome\User Data\Default\Preferences

[OK] File is clean.

-\\ Opera v12.15.1748.0

File : C:\Users\PanIngo\AppData\Roaming\Opera\Opera\operaprefs.ini

[OK] File is clean.

*************************


AdwCleaner[S1].txt - [1317 octets] - [23/05/2013 13:21:49]

########## EOF - C:\AdwCleaner[S1].txt - [1233 octets] ##########

--- --- ---

[/CODE]

Ich habe eben noch durch Zufall etwas seltsames entdeckt: einen neuen User namens "UpdatusUser" - das ist doch sicher auch was kompromitiertes ?

t'john · 23.05.2013, 13:32

Zitat:

einen neuen User namens "UpdatusUser" - das ist doch sicher auch was kompromitiertes ?

Das ist i.O.

Sehr gut!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

danach:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

danach:

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

bmell · 23.05.2013, 19:30

Danke.

ich habe das Gefphl das etwas nicht stimmt. Meine Browser sind gehijacked. Ich bekomme wenn ich auf z.B. heise.de gehe eine zanox affiliate id addiert. Auch verhalten sich einige Seiten anders. Dies ist z.B. der DL Link von heise für ccleaner:

hxxp://www.cleverbridge.com/502/cookie?affiliate=10653&redirectto=hxxp://www.piriform.com/ccleaner

Das kann doch nie und nimmer sein ?
Ich habe mal HJT laufen lassen und das ergab folgenden Log:

[CODE]
HiJackthis Logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.5
Scan saved at 20:24:17, on 23.05.2013
Platform: Windows 7 SP1 (WinNT 6.00.3505)
MSIE: Internet Explorer v9.00 (9.00.8112.16483)

FIREFOX: 21.0 (de)
Boot mode: Normal

Running processes:
C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe
C:\Program Files (x86)\Acronis\TrueImageHome\TrueImageMonitor.exe
C:\Program Files (x86)\Common Files\Acronis\TibMounter\TibMounterMonitor.exe
C:\Program Files (x86)\Trillian\trillian.exe
C:\Program Files (x86)\Mozilla Firefox\firefox.exe
C:\Users\PanIngo\Downloads\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
F2 - REG:system.ini: UserInit=userinit.exe
O4 - HKLM\..\Run: [TrueImageMonitor.exe] "C:\Program Files (x86)\Acronis\TrueImageHome\TrueImageMonitor.exe"
O4 - HKLM\..\Run: [AcronisTibMounterMonitor] C:\Program Files (x86)\Common Files\Acronis\TibMounter\TibMounterMonitor.exe
O4 - HKLM\..\RunOnce: [Z1] cmd /c "C:\Users\PanIngo\Downloads\mbar\mbar.exe" /cleanup /s
O4 - Startup: Dropbox.lnk = PanIngo\AppData\Roaming\Dropbox\bin\Dropbox.exe
O4 - Startup: Trillian.lnk = C:\Program Files (x86)\Trillian\trillian.exe
O8 - Extra context menu item: Mit Mipony herunterladen - file://C:\Program Files (x86)\MiPony\Browser\IEContext.htm
O9 - Extra button: Fiddler - {CF819DA3-9882-4944-ADF5-6EF17ECF3C6E} - "C:\Program Files (x86)\Fiddler2\Fiddler.exe" (file missing)
O9 - Extra 'Tools' menuitem: Fiddler - {CF819DA3-9882-4944-ADF5-6EF17ECF3C6E} - "C:\Program Files (x86)\Fiddler2\Fiddler.exe" (file missing)
O11 - Options group: [ACCELERATED_GRAPHICS] Accelerated graphics
O17 - HKLM\System\CCS\Services\Tcpip\..\{B98EE5A0-1356-4E02-A17B-C1CA23743F45}: NameServer = 208.67.222.222,208.67.220.220
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Program Files (x86)\Common Files\Acronis\Schedule2\schedul2.exe
O23 - Service: Acronis Nonstop Backup Service (afcdpsrv) - Acronis - C:\Program Files (x86)\Common Files\Acronis\CDP\afcdpsrv.exe
O23 - Service: @%SystemRoot%\system32\Alg.exe,-112 (ALG) - Unknown owner - C:\Windows\System32\alg.exe (file missing)
O23 - Service: ASUS HM Com Service (asHmComSvc) - Unknown owner - C:\Program Files (x86)\ASUS\AAHM\1.00.13\aaHMSvc.exe
O23 - Service: devolo Network Service (DevoloNetworkService) - devolo AG - C:\Program Files (x86)\devolo\dlan\devolonetsvc.exe
O23 - Service: @%SystemRoot%\system32\efssvc.dll,-100 (EFS) - Unknown owner - C:\Windows\System32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\fxsresm.dll,-118 (Fax) - Unknown owner - C:\Windows\system32\fxssvc.exe (file missing)
O23 - Service: Google Update-Dienst (gupdate) (gupdate) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: Google Update-Dienst (gupdatem) (gupdatem) - Google Inc. - C:\Program Files (x86)\Google\Update\GoogleUpdate.exe
O23 - Service: @keyiso.dll,-100 (KeyIso) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: MBAMScheduler - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe
O23 - Service: MBAMService - Malwarebytes Corporation - C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe
O23 - Service: Mozilla Maintenance Service (MozillaMaintenance) - Mozilla Foundation - C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe
O23 - Service: @comres.dll,-2797 (MSDTC) - Unknown owner - C:\Windows\System32\msdtc.exe (file missing)
O23 - Service: @%SystemRoot%\System32\netlogon.dll,-102 (Netlogon) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (nvsvc) - Unknown owner - C:\Windows\system32\nvvsvc.exe (file missing)
O23 - Service: NVIDIA Update Service Daemon (nvUpdatusService) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe
O23 - Service: @%systemroot%\system32\psbase.dll,-300 (ProtectedStorage) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%systemroot%\system32\Locator.exe,-2 (RpcLocator) - Unknown owner - C:\Windows\system32\locator.exe (file missing)
O23 - Service: @%SystemRoot%\system32\samsrv.dll,-1 (SamSs) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\snmptrap.exe,-3 (SNMPTRAP) - Unknown owner - C:\Windows\System32\snmptrap.exe (file missing)
O23 - Service: @%systemroot%\system32\spoolsv.exe,-1 (Spooler) - Unknown owner - C:\Windows\System32\spoolsv.exe (file missing)
O23 - Service: @%SystemRoot%\system32\sppsvc.exe,-101 (sppsvc) - Unknown owner - C:\Windows\system32\sppsvc.exe (file missing)
O23 - Service: NVIDIA Stereoscopic 3D Driver Service (Stereo Service) - NVIDIA Corporation - C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
O23 - Service: Acronis Sync Agent Service (syncagentsrv) - Acronis - C:\Program Files (x86)\Common Files\Acronis\SyncAgent\syncagentsrv.exe
O23 - Service: @%SystemRoot%\system32\ui0detect.exe,-101 (UI0Detect) - Unknown owner - C:\Windows\system32\UI0Detect.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vaultsvc.dll,-1003 (VaultSvc) - Unknown owner - C:\Windows\system32\lsass.exe (file missing)
O23 - Service: @%SystemRoot%\system32\vds.exe,-100 (vds) - Unknown owner - C:\Windows\System32\vds.exe (file missing)
O23 - Service: @%systemroot%\system32\vssvc.exe,-102 (VSS) - Unknown owner - C:\Windows\system32\vssvc.exe (file missing)
O23 - Service: @%systemroot%\system32\wbengine.exe,-104 (wbengine) - Unknown owner - C:\Windows\system32\wbengine.exe (file missing)
O23 - Service: @%Systemroot%\system32\wbem\wmiapsrv.exe,-110 (wmiApSrv) - Unknown owner - C:\Windows\system32\wbem\WmiApSrv.exe (file missing)

--
End of file - 6763 bytes

--- --- ---

aswmbr:

Code:

ATTFilter

aswMBR version 0.9.9.1771 Copyright(c) 2011 AVAST Software
Run date: 2013-05-23 20:36:36
-----------------------------
20:36:36.941    OS Version: Windows x64 6.1.7601 Service Pack 1
20:36:36.941    Number of processors: 4 586 0x1707
20:36:36.942    ComputerName: PANINGO-PC  UserName: PanIngo
20:36:38.772    Initialize success
20:36:48.157    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP4T0L0-4
20:36:48.159    Disk 0 Vendor: SAMSUNG_HD103SI 1AG01118 Size: 953869MB BusType: 3
20:36:48.243    Disk 0 MBR read successfully
20:36:48.245    Disk 0 MBR scan
20:36:48.247    Disk 0 Windows 7 default MBR code
20:36:48.251    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS          100 MB offset 2048
20:36:48.262    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS       497904 MB offset 206848
20:36:48.265    Disk 0 Partition - 00     05     Extended            455862 MB offset 1019916276
20:36:48.289    Disk 0 Partition 3 00     07    HPFS/NTFS NTFS       455862 MB offset 1019916288
20:36:48.342    Disk 0 scanning C:\Windows\system32\drivers
20:36:52.782    Service scanning
20:37:01.876    Modules scanning
20:37:01.883    Disk 0 trace - called modules:
20:37:01.901    ntoskrnl.exe CLASSPNP.SYS disk.sys vidsflt.sys ACPI.sys ataport.SYS pciide.sys PCIIDEX.SYS hal.dll atapi.sys 
20:37:01.906    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8007aba790]
20:37:02.115    3 CLASSPNP.SYS[fffff88001b2443f] -> nt!IofCallDriver -> [0xfffffa800790aa00]
20:37:02.120    5 vidsflt.sys[fffff88000fbd5f1] -> nt!IofCallDriver -> [0xfffffa8006990d10]
20:37:02.124    7 ACPI.sys[fffff88000f137a1] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP4T0L0-4[0xfffffa8007804680]
20:37:02.129    Scan finished successfully
20:42:59.945    Disk 0 MBR has been saved successfully to "C:\Users\PanIngo\Downloads\MBR.dat"
20:42:59.950    The log file has been saved successfully to "C:\Users\PanIngo\Downloads\aswMBR.txt"

sec check:

Code:

ATTFilter

 Results of screen317's Security Check version 0.99.63  
 Windows 7 Service Pack 1 x64 (UAC is enabled)  
 Internet Explorer 9  
``````````````Antivirus/Firewall Check:`````````````` 
 WMI entry may not exist for antivirus; attempting automatic update. 
`````````Anti-malware/Other Utilities Check:````````` 
 Malwarebytes Anti-Malware Version 1.75.0.1300  
 Adobe Flash Player 11.7.700.202  
 Mozilla Firefox (21.0) 
 Mozilla Thunderbird (17.0.6) 
 Google Chrome 26.0.1410.64  
````````Process Check: objlist.exe by Laurent````````  
 Malwarebytes Anti-Malware mbamservice.exe  
 Malwarebytes Anti-Malware mbamgui.exe  
 Malwarebytes' Anti-Malware mbamscheduler.exe   
`````````````````System Health check````````````````` 
 Total Fragmentation on Drive C:  
````````````````````End of Log``````````````````````

Gehe ich auf Google (https), dann collapsed die Seite sobald ich anfange zu tippen und eine neue Page geht auf die XSS verseucht ausschaut.

Habe auch nochmal ein RogueKiller Scan gemacht - evtl. nützt es was. Ich habe jetzt wirklich etwas Angst grade ;(

Code:

ATTFilter

RogueKiller V8.5.4 [Mar 18 2013] durch Tigzy
mail: tigzyRK<at>gmail<dot>com

mail : tigzyRK<at>gmail<dot>com
Kommentare : hxxp://www.geekstogo.com/forum/files/file/413-roguekiller/
Webseite : hxxp://tigzy.geekstogo.com/roguekiller.php
Blog : hxxp://tigzyrk.blogspot.com/

Betriebssystem : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Gestartet in : Normaler Modus
Benutzer : PanIngo [Admin Rechte]
Funktion : Scannen -- Datum : 05/23/2013 20:59:39
| ARK || FAK || MBR |

¤¤¤ Böswillige Prozesse : 0 ¤¤¤

¤¤¤ Registry-Einträge : 2 ¤¤¤
[HJ DESK] HKCU\[...]\ClassicStartMenu : {59031A47-3F72-44A7-89C5-5595FE6B30EE} (1) -> GEFUNDEN
[HJ DESK] HKCU\[...]\NewStartPanel : {59031A47-3F72-44A7-89C5-5595FE6B30EE} (1) -> GEFUNDEN

¤¤¤ Bestimmte Dateien / Ordner: ¤¤¤

¤¤¤ Treiber : [NICHT GELADEN] ¤¤¤

¤¤¤ Hosts-Datei: ¤¤¤
--> C:\Windows\system32\drivers\etc\hosts



¤¤¤ MBR überprüfen: ¤¤¤

+++++ PhysicalDrive0: SAMSUNG HD103SI ATA Device +++++
--- User ---
[MBR] 9029de2ab50cac328dc53169fec8bd3c
[BSP] 6daa3e062875f31ee5f2921b9b81e7f4 : Windows 7/8 MBR Code
Partition table:
0 - [ACTIVE] NTFS (0x07) [VISIBLE] Offset (sectors): 2048 | Size: 100 Mo
1 - [XXXXXX] NTFS (0x07) [VISIBLE] Offset (sectors): 206848 | Size: 497904 Mo
2 - [XXXXXX] EXTEN (0x05) [VISIBLE] Offset (sectors): 1019916276 | Size: 455862 Mo
User = LL1 ... OK!
User = LL2 ... OK!

Abgeschlossen : << RKreport[1]_S_05232013_02d2059.txt >>
RKreport[1]_S_05232013_02d2059.txt

Code:

ATTFilter

RogueKiller V8.5.4 [Mar 18 2013] durch Tigzy
mail: tigzyRK<at>gmail<dot>com

mail : tigzyRK<at>gmail<dot>com
Kommentare : hxxp://www.geekstogo.com/forum/files/file/413-roguekiller/
Webseite : hxxp://tigzy.geekstogo.com/roguekiller.php
Blog : hxxp://tigzyrk.blogspot.com/

Betriebssystem : Windows 7 (6.1.7601 Service Pack 1) 64 bits version
Gestartet in : Normaler Modus
Benutzer : PanIngo [Admin Rechte]
Funktion : Reparierte Verknüpfungen -- Datum : 05/23/2013 21:03:11
| ARK || FAK || MBR |

¤¤¤ Böswillige Prozesse : 0 ¤¤¤

¤¤¤ Treiber : [NICHT GELADEN] ¤¤¤

¤¤¤ Dateiattribute wiederhergestellt: ¤¤¤
Desktop: Success 0 / Fail 0
Schnellstart: Success 0 / Fail 0
Programme: Success 5 / Fail 0
Startmenü: Success 0 / Fail 0
Benutzer-Ordner: Success 53 / Fail 0
Eigene Dateien: Success 0 / Fail 0
Meine Favoriten: Success 0 / Fail 0
Meine Bilder: Success 0 / Fail 0
Meine Musik: Success 0 / Fail 0
Meine Videos: Success 0 / Fail 0
Lokale Laufwerke: Success 35 / Fail 0
Sicherungskopie: [NOT FOUND]

Laufwerke:
[C:] \Device\HarddiskVolume2 -- 0x3 --> Restored
[D:] \Device\CdRom0 -- 0x5 --> Skipped
[E:] \Device\HarddiskVolume3 -- 0x3 --> Restored

Abgeschlossen : << RKreport[5]_SC_05232013_02d2103.txt >>
RKreport[1]_S_05232013_02d2059.txt ; RKreport[2]_PR_05232013_02d2103.txt ; RKreport[3]_H_05232013_02d2103.txt ; RKreport[4]_DN_05232013_02d2103.txt ; RKreport[5]_SC_05232013_02d2103.txt

t'john · 24.05.2013, 10:15

der Link von heise stimmt so.

Wo ist der ESET Scan?

Bitte nichts mehr ausfuehren, ohne Anweisung!

bmell · 25.05.2013, 20:04

Bitte, sorry für die Verzögerung.

Code:

ATTFilter

C:\Users\PanIngo\Downloads\coretemp_1236.exe	probably a variant of Win32/InstallIQ application

Habe auch noch einen GMER scan gemacht, im tcpview seh ich nämlich, wie nvtray.exe versucht nach aussen zu telefonieren (syn_sent)

GMER Logfile:

Code:

ATTFilter

GMER 2.1.19163 - hxxp://www.gmer.net
Rootkit scan 2013-05-25 21:04:03
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP4T0L0-4 SAMSUNG_HD103SI rev.1AG01118 931,51GB
Running: gmer_2.1.19163.exe; Driver: C:\Users\PanIngo\AppData\Local\Temp\awtiyfod.sys


---- User code sections - GMER 2.1 ----

.text   C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe[3648] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69   0000000075ae1465 2 bytes [AE, 75]
.text   C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe[3648] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155  0000000075ae14bb 2 bytes [AE, 75]
.text   ...                                                                                                                                      * 2

---- Threads - GMER 2.1 ----

Thread  C:\Windows\System32\svchost.exe [2436:3384]                                                                                              000007fef1f09688

---- EOF - GMER 2.1 ----

--- --- ---

bmell · 26.05.2013, 15:15

Wie gehts weiter ?

- das oberste war vom Eset ...

t'john · 26.05.2013, 14:59

Zitat:

wie nvtray.exe versucht nach aussen zu telefonieren (syn_sent)

oder einfach nur nach Updates gesucht...

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

bmell · 27.05.2013, 10:57

Zitat:

Zitat von t'john

oder einfach nur nach Updates gesucht...
Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

OK, weiter gehts von meiner Seite:
Hallo,

Also ich vermute (ich weiss, das hört ihr öfter) das die Sache ganz tief sitzt.
Ich habe gestern Abend nachdem ich wieder diese ports offen gesehen habe und nvtray wieder
wie wild versucht zu synchen, ein bischen rumgeschaut und musste mit Entsetzen festellen,
dass irgendein 2. OS=Chrome OS? installiert wurde, diverse Fonts und .ico´s ausgetauscht
wurden. Auch wurde ein "Editor für benutzerdefinierte Zeichen" installiert, wo man mit
Schriftarten koppeln kann an einen Programmaufruf koppeln kann? Weiterhin sind diverse
Rechte verletzt in &appdata% (kein Zugriff z.B. auf FXSAPIDebugLogFile.txt). Da muss
irgendwas geladen werden per irgendeinem Treiber? ) und es liegt dort allerlei Kram (ASP)
der niemals von mir stammen kann wie z.B. "ASP NET MMC Extensions":
[AspNet_State.Reg]
HKLM,System\CurrentControlSet\Services\aspnet_state\Parameters,"Port",0x00010001,42424
HKLM,System\CurrentControlSet\Services\aspnet_state\Parameters,"AllowRemoteConnection",0x00010001,0

Weil ich dann noch mehr Angst bekommen habe, habe ich mir Whatsrunning gezogen und mir die Ports mit
den zugehörigen Applikatione und auch Parent ID´s angesehen: Es sieh auf den ersten Blick hin
alles OK aus, ist es aber nicht: wininit.exe hat eine 468 Parent ID. Diesen kann ich aber nicht finden.
Weiterhin war dieser ja auch mehrmals? im HijackThis Log auf meine ich mich zu erinnern.
Zu dieser ominösen von mir nicht gefundenen 468er root ID führen führen diverse andere taks
via nur einem winnnit.exe (gestartet sind 2 winit.exe) ,so auch der wohl kompromitierte nvidia driver und Druckertreiber?: Per Zufall habe ich noch gesehen, dass ich
2 Fontcache Services drauf habe, wovon einer mit dem Namen "FontCache" von der Gruppe "AudioGroup"
geladen wird. Fonts haben wenig mit Audio zu tun (zumindest nach meinen Erfahrungen

)

Weiterhin als Service meines Erachtens auffallend (seltsamer Name):
<Service_Name>clr_optimization_v2.0.50727_32</Service_Name>
audiodg.exe ohne Namen und ohne Grösse wird via einem svchost gestartet (nicht immer?).
Ausserdem ist es unisichtbar und auf dem Desktop nirgends zu finden, wohl aber 2 desktop.ini´s?
LocalizedResourceName=@%SystemRoot%\system32\shell32.dll,-21769
IconResource=%SystemRoot%\system32\imageres.dll,-183
Wird dort das kompromitierte Fontsystem geladen und läd das audiodg.exe .
Ach bevor ichs vergesse: Es wurden auch Programme nachinstalliert, btw. verändert, wie z.B. PepperFlash
anstelle des von mir verwendeten FlashPlayers ... Es kann also gut sein, dass auch die ganzen VirenScanner
und Tools ausgetauscht wurden. Nur so als Hinweis, ich trau denen alles zu. Ausserdem zeigen neu
installierte Porgramme, wenn man sie instaölliert, japanische Zeichen an = japansche Version?
Falls gewünscht kann ich den ganzen Process/Task Tree irgendwohin uploaden und es Dir zukommen lassen.

Danke nochmalfür Deine Mühe, ich bin hier wirklich etwas ratlos.
Ich warte auf auf Instruktionen, LG

Code:

ATTFilter

 Results of screen317's Security Check version 0.99.63  
 Windows 7 Service Pack 1 x64 (UAC is enabled)  
 Internet Explorer 9  
``````````````Antivirus/Firewall Check:`````````````` 
 WMI entry may not exist for antivirus; attempting automatic update. 
`````````Anti-malware/Other Utilities Check:````````` 
 Malwarebytes Anti-Malware Version 1.75.0.1300  
 Adobe Flash Player 11.7.700.202  
 Mozilla Firefox (21.0) 
 Mozilla Thunderbird (17.0.6) 
 Google Chrome 27.0.1453.94  
````````Process Check: objlist.exe by Laurent````````  
`````````````````System Health check````````````````` 
 Total Fragmentation on Drive C:  
````````````````````End of Log``````````````````````

t'john · 26.05.2013, 15:31

steht alles hier: http://www.trojaner-board.de/134660-...ml#post1070531

t'john · 27.05.2013, 12:09

Wie hast du denn den Rechner neuaufgesetzt?

Vorher formatiert oder Recovery benutzt?

bmell · 30.05.2013, 10:16

Formatiert und weil mein Sohn das vor Jahren schonmal hatte mit so einem Primzahlenüberschreibungstool überschrieben, sprich also ganz neu. Der PC hing aber am kurrzeitig Netz da er derzeit gerne "daddelt" wie er sich ausdrückt. Soll ich ein GMER Log evtl. erstellen?

t'john · 30.05.2013, 10:35

Nein.

Systemscan mit OTL (bebilderte Anleitung)

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)- Doppelklick auf die OTL.exe

Vista und Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
Wähle Scanne Alle Benuzer
Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimale Ausgabe
Unter Extra Registrierung, wähle bitte Benutze SafeList
Klicke nun auf Scan links oben
Wenn der Scan beendet wurde werden 2 Logfiles erstellt
Poste die Logfiles hier in den Thread.

Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

24.05.2013, 10:15	#7
t'john /// Helfer-Team	Nach Neuaufsetzen Grafikfehler, PC langsam der Link von heise stimmt so. Wo ist der ESET Scan? Bitte nichts mehr ausfuehren, ohne Anweisung! __________________ Mfg, t'john Das TB unterstützen

26.05.2013, 15:31	#12
t'john /// Helfer-Team	Nach Neuaufsetzen Grafikfehler, PC langsam steht alles hier: http://www.trojaner-board.de/134660-...ml#post1070531 __________________ Mfg, t'john Das TB unterstützen

27.05.2013, 12:09	#13
t'john /// Helfer-Team	Nach Neuaufsetzen Grafikfehler, PC langsam Wie hast du denn den Rechner neuaufgesetzt? Vorher formatiert oder Recovery benutzt? __________________ Mfg, t'john Das TB unterstützen

Nach Neuaufsetzen Grafikfehler, PC langsam

Log-Analyse und Auswertung: Nach Neuaufsetzen Grafikfehler, PC langsam