Mach bitte neue Kontrollscans mit MBAM und ESET

Hallo Cosinus,
super Danke für's Weitermachen. Diesmal habe ich Deinen letzten Beitrag übersehen, habe nicht gemerkt, daß eine neue Seite hier im Forum angelegt war, hatte stupide immer auf die Seite 3 geklickt, anstatt auf letzte Seite.
Bei MBAM habe ich nur deine empfohlene Einstellung gesetzt, nicht wie beim ersten Mal Unwanted Applications und Unsafe Applikations. Am Ende des Beitrags hier, habe ich noch eine Frage an Dich.
Hier erstmal die Ergebnisse:

 Malwarebytes Anti-Malware 
www.malwarebytes.org

Suchlauf Datum: 07.04.2014
Suchlauf-Zeit: 02:02:17
Logdatei: mbam.txt
Administrator: Ja

Version: 2.00.1.1004
Malware Datenbank: v2014.04.06.10
Rootkit Datenbank: v2014.03.27.01
Lizenz: Testversion
Malware Schutz: Aktiviert
Bösartiger Webseiten Schutz: Aktiviert
Chameleon: Deaktiviert

Betriebssystem: Windows 7 Service Pack 1
CPU: x64
Dateisystem: NTFS
Benutzer: Markus

Suchlauf-Art: Bedrohungs-Suchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 306660
Verstrichene Zeit: 23 Min, 48 Sek

Speicher: Aktiviert
Autostart: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Aktiviert
Shuriken: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

Prozesse: 0
(No malicious items detected)

Module: 0
(No malicious items detected)

Registrierungsschlüssel: 0
(No malicious items detected)

Registrierungswerte: 0
(No malicious items detected)

Registrierungsdaten: 0
(No malicious items detected)

Ordner: 0
(No malicious items detected)

Dateien: 0
(No malicious items detected)

Physische Sektoren: 0
(No malicious items detected)


(end)
         

Hier die Eset Online Scanner Ergebnisse:

C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\American Pride v2.zip	a variant of Win32/Flooder.IM.VB.D trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\Client Killer V6.6.6.zip	a variant of Win32/Flooder.IM.VB.A trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\{A8B0DDE0-0B44-449D-95DB-4776FE183805}\American Pride v2.zip	a variant of Win32/Flooder.IM.VB.D trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{4A566749-92DB-4AEA-A4AB-140D3F9D1A0D}\Attachments\DCIM_20131121.rar	Win32/Cridex.AA worm
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{5CA5F54F-ED55-4F97-BD10-CD9F12711DCD}\Attachments\video.zip	Win32/TrojanDownloader.Wauchos.X trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\3\{74C1EF69-1040-4348-A631-A01C4C7648AA}\Attachments\Payment.zip	Win32/Injector.AFWO trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\4\{058FB920-A51F-4F71-870F-D9A02D094963}\Attachments\Persönliche_Information.zip	Win32/TrojanDropper.Agent.QDG trojan
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\6\{43825230-A848-41C4-86CF-5B496949DDA5}\Attachments\Verify.Account.zip	HTML/Phishing.Gen trojan
         

Nur Reste von E-Mail-Anhängen die im IncrediMail verwaltet wurden.

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\American Pride v2.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\Client Killer V6.6.6.zi
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\{A8B0DDE0-0B44-449D-95DB-4776FE183805}\American Pride v2.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{4A566749-92DB-4AEA-A4AB-140D3F9D1A0D}\Attachments\DCIM_20131121.rar
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{5CA5F54F-ED55-4F97-BD10-CD9F12711DCD}\Attachments\video.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\3\{74C1EF69-1040-4348-A631-A01C4C7648AA}\Attachments\Payment.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\4\{058FB920-A51F-4F71-870F-D9A02D094963}\Attachments\Persönliche_Information.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\6\{43825230-A848-41C4-86CF-5B496949DDA5}\Attachments\Verify.Account.zip
         

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

Leider sind die 60min Editierungszeit abgelaufen, daher kommt es doch als neuer Beitrag, nicht am Ende des letzten Beitrags.
Zu den drei Fragen habe ich einmal zwei und einmal vier Screenshots gemacht.
Zur ersten Frage habe ich die drei ersten Screens. Das erste zeigt in eine Suche in C: nach "drhmsr", weil ich trotz sauberer Deinstallation von Dr Hardware vor einem halben Jahr direkt in C: eine Textdatei habe, wie man auch im zweiten Screen sehen kann. Die letzten 3 Ergebnisse von den insgesamt 5 kann man ja vergessen, bzw bedenkenlos löschen, da es sich definitiv um temporäre Dateien, sowie eine html-Seite, handelt. Ich denke, daß ich auch die drhmsr64.sys (in C:\Windows\System32\drivers) und die drhmsr64.txt (in C löschen kann, doch wollte ich Dich zur Sicherheit diesbezüglich fragen.
Dann wäre die msdia80.dll, was tut eine .dll Datei im Ordner C: ? Die müsste doch in system32/driver oder irgendwo im Windows Ordner sein?







Jetzt kommen wir zu einem echten Problem. Komischweise wird meine Fritzbox in den Netzwerkeinstellungen gleich 3 mal angezeigt. Alle 5min, oder nach 15min, es sind unregelmässige Intervalle flackern auch zwei Symbole davon, und zwar das untere und das rechts oben, aber beide gleichzeitig.
Da ich nicht ganz so dumm bin, hoffe ich zumindest, habe ich mit Rechtsklick draufgeklickt und bin in die Eigenschaften gegangen. Und sie haben auch einen Unterschied. Die eine rechts-oben.jpg hat als IPV6-Adresse ein %-Zeichen, das da überhaupt nicht drin sein darf. Es dürfen bekanntlich ja nur Zahlen und Buchstaben sein.
Habe zur Veranschaulichung und als Beweis drei weitere Screens angehängt, wo Du das genau nachverfolgen kannst. Stimmt da was nicht? Liegt eine Fehlkonfiguration vor, oder ist das normal?

Das ganze hat rein garnix mehr mit Bereinigung von Malware zu tun. Wenn dich die Dateien nerven einfach mal ein Ordner C:\DOOF oder C:\TMP erstellen und den Kram da hinverschieben.

Was ist mit dem FRST Fix?

Hier das Ergebnis von FRST:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 13-03-2014
Ran by Markus at 2014-04-07 13:31:39 Run:1
Running from C:\Users\Markus\Desktop
Boot Mode: Normal
==============================================

Content of fixlist:
*****************
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\American Pride v2.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\Client Killer V6.6.6.zi
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\{A8B0DDE0-0B44-449D-95DB-4776FE183805}\American Pride v2.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{4A566749-92DB-4AEA-A4AB-140D3F9D1A0D}\Attachments\DCIM_20131121.rar
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{5CA5F54F-ED55-4F97-BD10-CD9F12711DCD}\Attachments\video.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\3\{74C1EF69-1040-4348-A631-A01C4C7648AA}\Attachments\Payment.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\4\{058FB920-A51F-4F71-870F-D9A02D094963}\Attachments\Persönliche_Information.zip
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\6\{43825230-A848-41C4-86CF-5B496949DDA5}\Attachments\Verify.Account.zip      
*****************

C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\American Pride v2.zip => Moved successfully.
"C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\Client Killer V6.6.6.zi" => File/Directory not found.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Attachments\{A8B0DDE0-0B44-449D-95DB-4776FE183805}\American Pride v2.zip => Moved successfully.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{4A566749-92DB-4AEA-A4AB-140D3F9D1A0D}\Attachments\DCIM_20131121.rar => Moved successfully.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\1\{5CA5F54F-ED55-4F97-BD10-CD9F12711DCD}\Attachments\video.zip => Moved successfully.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\3\{74C1EF69-1040-4348-A631-A01C4C7648AA}\Attachments\Payment.zip => Moved successfully.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\4\{058FB920-A51F-4F71-870F-D9A02D094963}\Attachments\Persönliche_Information.zip => Moved successfully.
C:\Users\Markus\AppData\Local\IM\Identities\{4316D7D6-A371-4F90-866F-A9E0381B8DEF}\Message Store\Messages\6\{43825230-A848-41C4-86CF-5B496949DDA5}\Attachments\Verify.Account.zip => Moved successfully.

==== End of Fixlog ====
         

Ok, was ist jetzt noch offen an Problemen die mit Malware und/oder Adware zu tun haben?

Hallo Cosinus,
sonst nichts. Wenn sich sonst nirgendwo etwas versteckt ist alles wunderbar. Erkennbare Probleme habe ich keine.
Viele Grüsse

TFC - Temp File Cleaner

Lade dir TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.

• Öffne die TFC.exe.
  Vista und Win 7 User mit Rechtsklick "als Administrator starten".
• Schließe alle anderen Programme.
• Drücke auf den Button Start.
• Falls du zu einem Neustart aufgefordert wirst, bestätige diesen.

Dann wären wir durch!


Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board

Die Programme, die hier zum Einsatz kamen, können alle deinstalliert werden.

Helfen kann dir dabei delfix:


Die Reihenfolge ist hier entscheidend.

1. Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
2. Falls Combofix benutzt wurde: (Alternativ in uninstall.exe umbenennen und starten)
   • Windowstaste + R > Combofix /Uninstall (eingeben) > OK
   • Alternative: Combofix.exe in uninstall.exe umbenennen und starten
   • Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
3. Downloade Dir bitte auf jeden Fall DelFix auf deinen Desktop:
   • Schließe alle offenen Programme.
   • Starte die delfix.exe mit einem Doppelklick.
   • Setze vor jede Funktion ein Häkchen.
   • Klicke auf Start.
   • Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
   • Starte deinen Rechner abschließend neu.
4. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Bitte abschließend noch die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo Cosinus,
vielen, vielen Dank sage ich Dir und dem Team von Trojaner Board für die super Hilfe und Anleitungen. Wünsche Euch auch weiterhin viel Erfolg.
Weiss, daß ich Dich sehr beansprucht habe, grade bei dem was ich tue, ist es absolut wichtig sicher und frei von allen Gefahren zu sein.
Klasse gelöst!
Alles Gute