GVU Trojaner Windows Vista business- Abgesicherter Modus geht nicht

rico777 · 22.07.2013, 07:38

Hallo,
seit Samstag besteht mein Problem, der GVU Trojaner.
Abgesicherter Modus und Takmanager deaktiviert.
Ich habe schon mal hier etwas quergelesen und mein Logfile via OTLPE erstellt.
Ich hoffe ihr könnt mir helfen.

Mein Betriebsystem: Windows Vista
Fehler: seit Samstag 20.7.13

Kann mir jemand helfen?

Code:

ATTFilter

OTL logfile created on: 7/22/2013 1:23:56 PM - Run 
OTLPE by OldTimer - Version 3.1.48.0     Folder = X:\Programs\OTLPE
Windows Vista (TM) Business Service Pack 2 (Version = 6.0.6002) - Type = System
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2.00 Gb Total Physical Memory | 2.00 Gb Available Physical Memory | 83.00% Memory free
2.00 Gb Paging File | 2.00 Gb Available in Paging File | 95.00% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 230.93 Gb Total Space | 160.58 Gb Free Space | 69.54% Space Free | Partition Type: NTFS
Drive H: | 1.95 Gb Total Space | 1.75 Gb Free Space | 89.46% Space Free | Partition Type: NTFS
Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS
 
Computer Name: REATOGO | User Name: SYSTEM
Boot Mode: Normal | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
Using ControlSet: ControlSet002
 
========== Win32 Services (SafeList) ==========
 
SRV - [2013/07/04 09:19:59 | 000,117,144 | ---- | M] (Mozilla Foundation) [On_Demand] -- C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe -- (MozillaMaintenance)
SRV - [2013/06/12 04:17:16 | 000,256,904 | ---- | M] (Adobe Systems Incorporated) [On_Demand] -- C:\WINDOWS\System32\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc)
SRV - [2013/05/10 03:57:22 | 000,065,640 | ---- | M] (Adobe Systems Incorporated) [Auto] -- C:\Program Files\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)
SRV - [2013/01/27 06:11:46 | 000,295,232 | ---- | M] (Microsoft Corporation) [On_Demand] -- C:\Program Files\Microsoft Security Client\NisSrv.exe -- (NisSrv)
SRV - [2013/01/27 06:11:46 | 000,020,456 | ---- | M] (Microsoft Corporation) [Auto] -- C:\Program Files\Microsoft Security Client\MsMpEng.exe -- (MsMpSvc)
SRV - [2012/12/14 05:17:04 | 003,467,768 | ---- | M] (TeamViewer GmbH) [Auto] -- C:\Program Files\TeamViewer\Version8\TeamViewer_Service.exe -- (TeamViewer8)
SRV - [2011/05/24 05:33:30 | 001,840,128 | ---- | M] (MAGIX AG) [Auto] -- C:\Program Files\Common Files\MAGIX Services\Database\bin\FABS.exe -- (Fabs)
SRV - [2011/04/26 08:54:12 | 002,702,848 | ---- | M] (MAGIX®) [On_Demand] -- C:\Program Files\Common Files\MAGIX Services\Database\bin\fbserver.exe -- (FirebirdServerMAGIXInstance)
SRV - [2010/03/11 09:06:06 | 000,193,824 | ---- | M] (Protexis Inc.) [Auto] -- C:\Program Files\Common Files\Protexis\License Service\PsiService_2.exe -- (PSI_SVC_2)
SRV - [2009/11/23 07:58:40 | 000,618,144 | ---- | M] (Seagate) [Auto] -- C:\Program Files\Common Files\Seagate\Schedule2\schedul2.exe -- (SgtSch2Svc)
SRV - [2008/01/18 18:38:26 | 000,272,952 | ---- | M] (Microsoft Corporation) [Auto] -- C:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)
SRV - [2007/08/07 05:59:50 | 000,540,184 | ---- | M] (PDF Complete Inc) [Auto] -- C:\Program Files\PDF Complete\pdfsvc.exe -- (pdfcDispatcher)
 
 
========== Driver Services (SafeList) ==========
 
DRV - File not found [Kernel | On_Demand] --  -- (NwlnkFwd)
DRV - File not found [Kernel | On_Demand] --  -- (NwlnkFlt)
DRV - File not found [Kernel | On_Demand] --  -- (IpInIp)
DRV - [2013/01/20 10:59:04 | 000,100,328 | ---- | M] (Microsoft Corporation) [Kernel | Auto] -- C:\WINDOWS\System32\drivers\NisDrvWFP.sys -- (NisDrv)
DRV - [2012/12/14 02:48:13 | 000,971,552 | ---- | M] (Acronis) [Kernel | Boot] -- C:\WINDOWS\System32\drivers\tdrpm174.sys -- (tdrpman174) Acronis Try&Decide and Restore Points filter (build 174)
DRV - [2012/12/14 02:48:10 | 000,568,384 | ---- | M] (Acronis) [Kernel | Boot] -- C:\WINDOWS\System32\drivers\timntr.sys -- (timounter)
DRV - [2012/12/14 02:48:00 | 000,134,272 | ---- | M] (Acronis) [Kernel | Boot] -- C:\WINDOWS\System32\drivers\snman380.sys -- (snapman380) Acronis Snapshots Manager (Build 380)
DRV - [2012/11/08 08:47:22 | 000,044,032 | ---- | M] (Siemens Home and Office Communication Devices GmbH & Co. KG) [Kernel | On_Demand] -- C:\WINDOWS\System32\drivers\GigasetGenericUSB.sys -- (GigasetGenericUSB)
DRV - [2007/08/08 05:55:08 | 000,122,880 | ---- | M] (Promise Technology, Inc.) [Kernel | Boot] -- C:\Windows\system32\drivers\ahcix86s.sys -- (ahcix86s)
DRV - [2007/02/02 10:09:42 | 002,385,920 | ---- | M] (ATI Technologies Inc.) [Kernel | On_Demand] -- C:\WINDOWS\System32\drivers\atikmdag.sys -- (R300)
DRV - [2006/11/01 09:42:14 | 000,033,280 | ---- | M] (AMD, Inc.) [Kernel | On_Demand] -- C:\WINDOWS\System32\drivers\AmdLLD.sys -- (AmdLLD)
DRV - [2006/10/30 06:22:26 | 000,008,192 | ---- | M] (ATI Technologies Inc.) [Kernel | Boot] -- C:\WINDOWS\System32\drivers\AtiPcie.sys -- (AtiPcie) ATI PCI Express (3GIO)
DRV - [2006/05/18 03:48:50 | 000,047,249 | ---- | M] (FTDI Ltd.) [Kernel | On_Demand] -- C:\WINDOWS\System32\drivers\ebro_bus.sys -- (FTDIBUS)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=74&bd=smb&pf=desktop
IE - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=DE_DE&c=74&bd=smb&pf=desktop
 
 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
IE - HKU\Mämecke_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.t-online.de/
IE - HKU\Mämecke_ON_C\Software\Microsoft\Internet Explorer\Main,StartPageCache = 1
IE - HKU\Mämecke_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\Mämecke_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
 
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\System32\Macromed\Flash\NPSWF32_11_7_700_224.dll ()
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Program Files\iTunes\Mozilla Plugins\npitunes.dll ()
FF - HKLM\Software\MozillaPlugins\@Google.com/GoogleEarthPlugin: C:\Program Files\Google\Google Earth\plugin\npgeplugin.dll (Google)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: C:\Program Files\Microsoft Silverlight\5.1.20513.0\npctrl.dll ( Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\Program Files\Microsoft Office\Office14\NPAUTHZ.DLL (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeLive,version=1.5: C:\Program Files\Microsoft\Office Live\npOLW.dll (Microsoft Corp.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/SharePoint,version=14.0: C:\Program Files\Microsoft Office\Office14\NPSPWRAP.DLL (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WLPG,version=15.4.3502.0922: C:\Program Files\Windows Live\Photo Gallery\NPWLPG.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WLPG,version=15.4.3555.0308: C:\Program Files\Windows Live\Photo Gallery\NPWLPG.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.153\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\passworddepot@acebit.com: C:\Program Files\AceBIT\Password Depot 6\Firefox\ [2013/01/05 06:05:46 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 22.0\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2013/07/04 09:19:06 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 22.0\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins
 
[2013/07/04 09:19:06 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files\Mozilla Firefox\browser\extensions
[2013/07/04 09:20:01 | 000,000,000 | ---D | M] (Default) -- C:\Program Files\Mozilla Firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
 
O1 HOSTS File: ([2006/09/18 17:41:30 | 000,000,761 | ---- | M]) - C:\WINDOWS\System32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O1 - Hosts: ::1             localhost
O2 - BHO: (Password Depot 6) - {9F79B165-70F7-4C46-B1A5-8828E2FF21F9} - C:\Program Files\AceBIT\Password Depot 6\pdIEAddOn32.dll ()
O2 - BHO: (Office Document Cache Handler) - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Program Files\Microsoft Office\Office14\URLREDIR.DLL (Microsoft Corporation)
O4 - HKLM..\Run: [AcronisTimounterMonitor] C:\Program Files\Seagate\BlackArmorBackup\TimounterMonitor.exe (Seagate)
O4 - HKLM..\Run: [amd_dc_opt] C:\Program Files\AMD\Dual-Core Optimizer\amd_dc_opt.exe (AMD)
O4 - HKLM..\Run: [APSDaemon] C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [BlackArmorBackupMonitor.exe] C:\Program Files\Seagate\BlackArmorBackup\BlackArmorBackupMonitor.exe (Seagate)
O4 - HKLM..\Run: [MSC] C:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation)
O4 - HKLM..\Run: [PDF Complete] C:\Program Files\PDF Complete\pdfsty.exe (PDF Complete Inc)
O4 - HKLM..\Run: [RtHDVCpl] C:\Windows\RtHDVCpl.exe (Realtek Semiconductor)
O4 - HKLM..\Run: [Seagate Scheduler2 Service] C:\Program Files\Common Files\Seagate\Schedule2\schedhlp.exe (Seagate)
O4 - HKLM..\Run: [SetRefresh] C:\Program Files\HP\SetRefresh\SetRefresh.exe (Hewlett-Packard Company)
O4 - HKLM..\Run: [Windows Defender] C:\Program Files\Windows Defender\MSASCui.exe (Microsoft Corporation)
O4 - HKU\LocalService_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\System32\oobefldr.dll (Microsoft Corporation)
O4 - HKU\Mämecke_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\Mämecke\AppData\Local\Temp\mudddimpbtbmsglui.exe (Cisco Systems, Inc.)
O4 - HKU\NetworkService_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\System32\oobefldr.dll (Microsoft Corporation)
O4 - Startup: Error locating startup folders.
O9 - Extra Button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll (Microsoft Corporation)
O9 - Extra 'Tools' menuitem : An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll (Microsoft Corporation)
O9 - Extra Button: Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll (Microsoft Corporation)
O9 - Extra 'Tools' menuitem : Verknüpfte &OneNote-Notizen - {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll (Microsoft Corporation)
O9 - Extra Button: Password Depot 6 - {9F79B165-70F7-4C46-B1A5-8828E2FF21F9} - C:\Program Files\AceBIT\Password Depot 6\PasswordDepot.exe (AceBIT GmbH)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files\Bonjour\mdnsNSP.dll (Apple Inc.)
O13 - gopher Prefix: missing
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_21-windows-i586.cab (Java Plug-in 1.6.0_21)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKU\Mämecke_ON_C Winlogon: Shell - (cmd.exe) - C:\Windows\System32\cmd.exe (Microsoft Corporation)
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2006/09/18 17:43:36 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2013/07/21 07:34:07 | 000,000,000 | -HSD | C] -- C:\RECYCLER
[2013/07/10 21:09:05 | 002,382,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\mshtml.tlb
[2013/07/10 21:09:05 | 000,420,864 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\vbscript.dll
[2013/07/10 21:09:03 | 000,176,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieui.dll
[2013/07/10 21:09:03 | 000,065,024 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jsproxy.dll
[2013/07/10 21:09:02 | 000,607,744 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\msfeeds.dll
[2013/07/10 21:09:02 | 000,142,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieUnatt.exe
[2013/07/10 21:09:01 | 000,717,824 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jscript.dll
[2013/07/10 21:09:00 | 001,800,704 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jscript9.dll
[2013/07/10 21:09:00 | 000,231,936 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\url.dll
[2013/07/10 21:08:58 | 001,427,968 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\inetcpl.cpl
[2013/07/09 23:28:06 | 002,049,024 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\win32k.sys
[2013/07/09 23:27:52 | 001,069,056 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\DWrite.dll
[2013/07/09 23:27:51 | 001,172,480 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10warp.dll
[2013/07/09 23:27:51 | 001,029,120 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10.dll
[2013/07/09 23:27:51 | 000,683,008 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d2d1.dll
[2013/07/09 23:27:51 | 000,486,400 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10level9.dll
[2013/07/09 23:27:51 | 000,219,648 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10_1core.dll
[2013/07/09 23:27:51 | 000,189,952 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10core.dll
[2013/07/09 23:27:51 | 000,160,768 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\d3d10_1.dll
[2013/07/09 23:27:49 | 000,505,344 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\qedit.dll
[2013/07/09 23:27:48 | 001,548,288 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\WMVDECOD.DLL
[2013/07/04 09:19:06 | 000,000,000 | ---D | C] -- C:\Program Files\Mozilla Firefox
[2013/02/19 10:58:41 | 000,465,264 | ---- | C] (Corel) -- C:\Program Files\Common Files\AppFramework.dll
[2013/02/19 10:58:41 | 000,332,144 | ---- | C] (Corel) -- C:\Program Files\Common Files\MediaOrganizer.dll
[2013/02/19 10:58:41 | 000,033,136 | ---- | C] (Corel-V1E) -- C:\Program Files\Common Files\FlickrProvider.dll
 
========== Files - Modified Within 30 Days ==========
 
[2013/07/21 18:46:54 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2013/07/21 18:46:39 | 000,000,012 | ---- | M] () -- C:\Windows\bthservsdp.dat
[2013/07/21 18:45:16 | 000,001,096 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job
[2013/07/21 18:45:09 | 000,003,168 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
[2013/07/21 18:45:09 | 000,003,168 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
[2013/07/21 18:44:54 | 2011,516,928 | -HS- | M] () -- C:\hiberfil.sys
[2013/07/21 15:11:50 | 000,353,992 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2013/07/20 07:42:01 | 000,001,100 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2013/07/20 07:16:59 | 000,000,884 | ---- | M] () -- C:\Windows\tasks\Adobe Flash Player Updater.job
[2013/07/20 04:13:02 | 000,163,051 | ---- | M] () -- C:\ProgramData\2433f433
[2013/07/20 04:13:02 | 000,163,036 | ---- | M] () -- C:\Users\Mämecke\AppData\Roaming\2433f433
[2013/07/20 04:13:02 | 000,162,993 | ---- | M] () -- C:\Users\Mämecke\AppData\Local\2433f433
[2013/07/18 07:08:08 | 000,632,004 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2013/07/18 07:08:08 | 000,598,702 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2013/07/18 07:08:08 | 000,127,072 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2013/07/18 07:08:08 | 000,104,716 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2013/07/15 23:13:35 | 000,000,000 | ---D | M] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\HP
[2013/07/15 05:31:26 | 000,048,491 | ---- | M] () -- C:\Users\Mämecke\Desktop\imbissangebote.pdf
[2013/07/15 05:27:19 | 000,042,618 | ---- | M] () -- C:\Users\Mämecke\Desktop\wochenangebote.pdf
[2013/07/11 00:19:42 | 000,001,752 | -H-- | M] () -- C:\Users\Mämecke\Documents\Default.rdp
[2013/07/10 23:00:51 | 000,001,145 | ---- | M] () -- C:\Users\Mämecke\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk
[2013/07/10 21:02:29 | 000,000,000 | ---D | M] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Silverlight
[2013/07/06 07:45:15 | 000,001,893 | ---- | M] () -- C:\Users\Mämecke\Desktop\Entfernen des Avira DE-Cleaners.lnk
[2013/07/06 07:45:15 | 000,001,822 | ---- | M] () -- C:\Users\Mämecke\Desktop\Avira DE-Cleaner.lnk
[2013/07/06 07:11:10 | 000,000,004 | ---- | M] () -- C:\Users\Mämecke\AppData\Roaming\skype.ini
[2013/06/28 10:50:04 | 000,000,000 | R--D | M] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
[2013/06/28 09:46:50 | 000,240,363 | R--- | M] () -- C:\Users\Mämecke\Desktop\Webseite Paletti Park.jpg
 
========== Files Created - No Company Name ==========
 
[2013/07/21 15:18:11 | 2011,516,928 | -HS- | C] () -- C:\hiberfil.sys
[2013/07/20 04:13:02 | 000,163,051 | ---- | C] () -- C:\ProgramData\2433f433
[2013/07/20 04:13:02 | 000,163,036 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\2433f433
[2013/07/20 04:13:02 | 000,162,993 | ---- | C] () -- C:\Users\Mämecke\AppData\Local\2433f433
[2013/07/10 23:00:51 | 000,001,145 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk
[2013/07/06 07:45:15 | 000,001,893 | ---- | C] () -- C:\Users\Mämecke\Desktop\Entfernen des Avira DE-Cleaners.lnk
[2013/07/06 07:45:15 | 000,001,822 | ---- | C] () -- C:\Users\Mämecke\Desktop\Avira DE-Cleaner.lnk
[2013/07/05 23:24:06 | 000,000,004 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\skype.ini
[2013/06/28 09:46:00 | 000,240,363 | R--- | C] () -- C:\Users\Mämecke\Desktop\Webseite Paletti Park.jpg
[2013/06/27 06:23:38 | 000,719,825 | ---- | C] () -- C:\Users\Mämecke\Desktop\Obstplatte.jpg
[2013/06/02 09:07:02 | 000,353,992 | ---- | C] () -- C:\Windows\System32\FNTCACHE.DAT
[2013/02/19 10:58:41 | 000,402,800 | ---- | C] () -- C:\Program Files\Common Files\facebook.dll
[2013/02/19 10:58:41 | 000,148,177 | ---- | C] () -- C:\Program Files\Common Files\BookViewer.xap
[2013/02/19 10:58:41 | 000,130,416 | ---- | C] () -- C:\Program Files\Common Files\PluginCommon.dll
[2013/02/19 10:27:46 | 000,000,848 | -HS- | C] () -- C:\ProgramData\KGyGaAvL.sys
[2013/02/19 07:10:44 | 000,036,864 | ---- | C] () -- C:\Windows\Security.exe
[2013/02/11 08:44:40 | 000,188,416 | ---- | C] () -- C:\Windows\System32\ebro_unin.exe
[2013/02/11 08:44:40 | 000,000,257 | ---- | C] () -- C:\Windows\System32\ebro_un2k.ini
[2013/01/22 09:39:06 | 000,000,012 | ---- | C] () -- C:\Windows\bthservsdp.dat
[2012/12/14 04:20:58 | 000,163,445 | ---- | C] () -- C:\Windows\hpwins18.dat
[2012/12/14 04:12:43 | 000,011,418 | ---- | C] () -- C:\Windows\hpwscr18.dat
[2012/12/14 04:12:43 | 000,001,198 | ---- | C] () -- C:\Windows\hpwmdl18.dat
[2012/12/13 14:30:24 | 003,107,788 | ---- | C] () -- C:\Windows\System32\atiumdva.dat
[2012/12/13 14:30:24 | 000,159,744 | ---- | C] () -- C:\Windows\System32\atitmmxx.dll
[2012/12/13 14:30:23 | 000,128,813 | ---- | C] () -- C:\Windows\System32\atiicdxx.dat
[2012/12/13 12:33:17 | 000,000,400 | ---- | C] () -- C:\Windows\ODBC.INI
[2012/12/13 10:28:21 | 000,009,728 | ---- | C] () -- C:\Users\Mämecke\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2012/12/13 10:06:06 | 000,081,408 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\skype.dat.vir
[2012/12/13 07:51:48 | 000,062,976 | ---- | C] () -- C:\Windows\System32\PrintBrmUi.exe
[2012/12/13 07:51:41 | 000,117,248 | ---- | C] () -- C:\Windows\System32\EhStorAuthn.dll
[2012/12/13 07:51:20 | 000,107,612 | ---- | C] () -- C:\Windows\System32\StructuredQuerySchema.bin
[2012/12/13 07:51:20 | 000,018,904 | ---- | C] () -- C:\Windows\System32\StructuredQuerySchemaTrivial.bin
[2012/12/13 06:23:07 | 000,049,152 | ---- | C] () -- C:\Windows\System32\ChCfg.exe
[2010/10/21 09:18:46 | 000,303,104 | ---- | C] () -- C:\Windows\System32\dnt27VC8.dll
[2010/10/21 09:16:58 | 000,143,360 | ---- | C] () -- C:\Windows\System32\dntvmc27VC8.dll
[2010/10/21 09:16:34 | 000,086,016 | ---- | C] () -- C:\Windows\System32\dntvm27VC8.dll
[2007/04/27 04:43:58 | 000,120,200 | ---- | C] () -- C:\Windows\System32\DLLDEV32i.dll
[2006/11/02 11:42:41 | 000,632,004 | ---- | C] () -- C:\Windows\System32\perfh007.dat
[2006/11/02 11:42:41 | 000,290,748 | ---- | C] () -- C:\Windows\System32\perfi007.dat
[2006/11/02 11:42:41 | 000,127,072 | ---- | C] () -- C:\Windows\System32\perfc007.dat
[2006/11/02 11:42:41 | 000,036,916 | ---- | C] () -- C:\Windows\System32\perfd007.dat
[2006/11/02 08:56:48 | 000,067,584 | --S- | C] () -- C:\Windows\bootstat.dat
[2006/11/02 06:33:01 | 000,598,702 | ---- | C] () -- C:\Windows\System32\perfh009.dat
[2006/11/02 06:33:01 | 000,287,440 | ---- | C] () -- C:\Windows\System32\perfi009.dat
[2006/11/02 06:33:01 | 000,104,716 | ---- | C] () -- C:\Windows\System32\perfc009.dat
[2006/11/02 06:33:01 | 000,030,674 | ---- | C] () -- C:\Windows\System32\perfd009.dat
[2006/11/02 06:23:21 | 000,215,943 | ---- | C] () -- C:\Windows\System32\dssec.dat
[2006/11/02 04:58:30 | 000,043,131 | ---- | C] () -- C:\Windows\mib.bin
[2006/11/02 04:19:00 | 000,000,741 | ---- | C] () -- C:\Windows\System32\NOISE.DAT
[2006/11/02 03:40:29 | 000,013,750 | ---- | C] () -- C:\Windows\System32\pacerprf.ini
[2006/11/02 03:25:31 | 000,673,088 | ---- | C] () -- C:\Windows\System32\mlang.dat
 
========== LOP Check ==========
 
[2013/01/05 06:06:09 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\AceBIT
[2012/12/13 10:33:58 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\DataDesign
[2012/12/14 04:07:15 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\ETAXbeleg
[2012/12/17 05:36:18 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\InterVideo
[2012/12/14 02:41:24 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\Leadertech
[2012/12/13 10:31:40 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\Lexware
[2012/12/13 10:34:42 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\LibreOffice
[2013/01/26 04:56:53 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\MAGIX
[2012/12/13 08:34:56 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\pdfforge
[2012/12/14 04:14:06 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\Seagate
[2013/01/10 23:59:48 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\TeamViewer
[2013/05/09 07:10:48 | 000,000,000 | ---D | M] -- C:\Users\Mämecke\AppData\Roaming\TuneUp Software
[2013/06/22 08:31:28 | 000,000,000 | ---D | M] -- C:\ProgramData\188F1432-103A-4ffb-80F1-36B633C5C9E1
[2006/11/09 18:24:10 | 000,000,000 | -HSD | M] -- C:\ProgramData\Anwendungsdaten
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Application Data
[2013/01/24 06:27:37 | 000,000,000 | ---D | M] -- C:\ProgramData\Cached Installations
[2013/05/09 07:09:52 | 000,000,000 | -H-D | M] -- C:\ProgramData\Common Files
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Desktop
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Documents
[2006/11/09 18:24:10 | 000,000,000 | -HSD | M] -- C:\ProgramData\Dokumente
[2013/02/11 08:14:02 | 000,000,000 | ---D | M] -- C:\ProgramData\Ebro
[2012/12/14 03:52:51 | 000,000,000 | ---D | M] -- C:\ProgramData\eurodata
[2006/11/09 18:24:10 | 000,000,000 | -HSD | M] -- C:\ProgramData\Favoriten
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Favorites
[2013/07/20 02:43:04 | 000,000,000 | ---D | M] -- C:\ProgramData\firebird
[2013/01/22 10:02:36 | 000,000,000 | ---D | M] -- C:\ProgramData\Gigaset QuickSync
[2012/12/13 09:53:14 | 000,000,000 | ---D | M] -- C:\ProgramData\Lexware
[2013/01/26 04:56:53 | 000,000,000 | ---D | M] -- C:\ProgramData\MAGIX
[2012/12/14 02:51:45 | 000,000,000 | ---D | M] -- C:\ProgramData\Seagate
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Start Menu
[2006/11/09 18:24:10 | 000,000,000 | -HSD | M] -- C:\ProgramData\Startmenü
[2006/11/02 09:02:24 | 000,000,000 | -HSD | M] -- C:\ProgramData\Templates
[2013/05/09 07:10:48 | 000,000,000 | ---D | M] -- C:\ProgramData\TuneUp Software
[2012/12/13 09:20:29 | 000,000,000 | ---D | M] -- C:\ProgramData\Ulead Systems
[2006/11/09 18:24:10 | 000,000,000 | -HSD | M] -- C:\ProgramData\Vorlagen
[2013/05/27 06:50:21 | 000,000,000 | ---D | M] -- C:\ProgramData\WindowsSearch
[2012/12/13 09:51:55 | 000,000,000 | ---D | M] -- C:\ProgramData\World Money
[2013/05/09 07:17:39 | 000,000,000 | -HSD | M] -- C:\ProgramData\{C4ABDBC8-1C81-42C9-BFFC-4A68511E9E4F}
[2013/07/21 18:46:40 | 000,032,600 | ---- | M] () -- C:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 
< End of report >

schrauber · 22.07.2013, 08:17

Hi,

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

ATTFilter

:OTL
O4 - HKU\Mämecke_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\Mämecke\AppData\Local\Temp\mudddimpbtbmsglui.exe (Cisco Systems, Inc.)
[2013/07/20 04:13:02 | 000,163,051 | ---- | C] () -- C:\ProgramData\2433f433
[2013/07/20 04:13:02 | 000,163,036 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\2433f433
[2013/07/20 04:13:02 | 000,162,993 | ---- | C] () -- C:\Users\Mämecke\AppData\Local\2433f433
[2012/12/13 10:06:06 | 000,081,408 | ---- | C] () -- C:\Users\Mämecke\AppData\Roaming\skype.dat.vir

:Commands
[emptytemp]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

neu booten

rico777 · 22.07.2013, 09:34

System startet erstmal wieder, aber mit cmd, ist das korrekt?

hier der Inhalt von C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)

Code:

ATTFilter

========== OTL ==========
Registry value HKEY_USERS\Mämecke_ON_C\Software\Microsoft\Windows\CurrentVersion\Run\\qcgce2mrvjq91kk1e7pnbb19m52fx deleted successfully.
C:\Users\Mämecke\AppData\Local\Temp\mudddimpbtbmsglui.exe moved successfully.
C:\ProgramData\2433f433 moved successfully.
C:\Users\Mämecke\AppData\Roaming\2433f433 moved successfully.
C:\Users\Mämecke\AppData\Local\2433f433 moved successfully.
C:\Users\Mämecke\AppData\Roaming\skype.dat.vir moved successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Mämecke
 
User: Public
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 22639 bytes
 
Total Files Cleaned = 0.00 mb
 
 
OTLPE by OldTimer - Version 3.1.48.0 log created on 07222013_150845

schrauber · 22.07.2013, 10:48

Nee wir sind noch nicht fertig. Kannst also noch nicht normal booten? Wenn nein:

Scan mit Farbar's Recovery Scan Tool (Recovery Mode - Windows Vista, 7, 8)

Hinweise für Windows 8-Nutzer: Anleitung 1 (FRST-Variante) und Anleitung 2 (zweiter Teil)

Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick: FRST 32-Bit | FRST 64-Bit

Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.

Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:

Über den Boot Manager:

Starte den Rechner neu.

Während dem Hochfahren drücke mehrmals die F8 Taste

Wähle nun Computer reparieren.

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Mit Windows CD/DVD (auch bei Windows 8 möglich):

Lege die Windows CD in dein Laufwerk.

Starte den Rechner neu und starte von der CD.

Wähle die Spracheinstellungen und klicke "Weiter".

Klicke auf Computerreparaturoptionen !

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Wähle in den Reparaturoptionen: Eingabeaufforderung

Gib nun bitte notepad ein und drücke Enter.

Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer.
Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt, merke ihn dir.

Schließe Notepad wieder

Gib nun bitte folgenden Befehl ein.
e:\frst.exe bzw. e:\frst64.exe
Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks, den du dir gemerkt hast. Gegebenfalls anpassen.

Akzeptiere den Disclaimer mit Ja und klicke Untersuchen

Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier nach Möglichkeit in Code-Tags (Anleitung).

rico777 · 22.07.2013, 11:17

Booten klappt jetzt einwandfrei, hatte nur die falschen Nutzernamen geschrieben.
Sieht alles erstmal aus wie vorher, habe jetzt bei Software entfernen eine Toolbar deinstalliert und Adwarecleaner läuft gerade.

________________
Gruß Rico

schrauber · 22.07.2013, 13:33

Kontrollscans im normalen Modus:

Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
Drücke eine beliebige Taste, um das Tool zu starten.
Je nach System kann der Scan eine Weile dauern.
Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

GVU Trojaner Windows Vista business- Abgesicherter Modus geht nicht

Log-Analyse und Auswertung: GVU Trojaner Windows Vista business- Abgesicherter Modus geht nicht