Auch bei den ersten Scans nicht.

Aber der Scan von ESET sieht noch nicht so gut aus. Zumindest die C Dateien und das WindowsBackup:

C:\Program Files\debutsetup_v1.64.exe	Variante von Win32/Toolbar.Conduit.H evtl. unerwünschte Anwendung
C:\Program Files\uninst.exe	Variante von Win32/Toolbar.Conduit.H evtl. unerwünschte Anwendung
D:\Desktop\WinHTTrack - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Opera - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\WinHTTrack (Webseiten herunterladen).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Brenner - Audio\DeepBurner.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Brenner - Audio\Nero.9.Reloaded.v9.4.17.0.MULTiLANGUAGE.DVD-RESTORE\nero94170rld\nero94170rld.iso	Win32/Toolbar.AskSBar evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\DVD brennen\Funktioniert\FreeVideoToDVDConverter16.exe	Variante von Win32/Toolbar.Conduit.B evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\IPhone - Pad\NEU für IPad Sicherungen iDevice Manager - funktionert nicht\iDevice Manager iPhone Explorer - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Outlook Backups\MOBackup - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\PDF\GPL Ghostscript 64 Bit (für pdfCreator zur Berarbeitung von PDFs).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\PDF\pdfcreator 1.7.1 (druck in allen programmen).exe	Variante von Win32/DownloadGuide.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Screenshots\ashampoo_magical (KOSTET Screenshots).exe	Variante von Win32/Toolbar.Conduit.B evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Video + Audio\Camtasia Studio - kostet wie ulleadvideo studio SEHR GUT.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Video + Audio\cdex_151 (wandelt CDs in MP3s um).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Video + Audio\Bildschirm abfilmen\CamStudio.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\Video + Audio\Bildschirm abfilmen\debut video capture\Debut Software NCH.exe	Variante von Win32/Toolbar.Conduit.H evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Files\Joe 4.0 letzte Freeware Version.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Grafik\NexusFont (Fontmanager).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\Freebie Notes.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\Microsoft OneDrive SkyDrive - CHIP-Downloader.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\Unlocker1.9.2.exe	Variante von Win32/Toolbar.Babylon.E evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\Fences Letzte Freeware Version - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\00 nich so gut\ObjectDock - kostet (mac symbolleiste).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\00 nich so gut\3d innen desktop\Bumptop\BumpTop-2.1-6225_CB-DL-Manager.exe	Variante von Win32/InstallCore.OY evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\00 nich so gut\3d innen desktop\RealDesktop - zu langsam\Real Desktop - Setup.exe	Win32/Somoto.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\00 nich so gut\shock-4way 3d (zu alt)\Shock 4Way 3D - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\custo pack - windows design ändern zB mac\CustoPack Tools - komplettes design aendern, zb mac.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\_mac symbolleiste\nexus\Nexus - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\_mac symbolleiste\rocket dock (mac leiste) auf 2. monitor\RocketDock.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\_Ordner HG ändern\AveFolderBG 64 Bit - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\_Ordner HG ändern\Windows 7 Folder Background Changer - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_organisation + anwendungen\_desktop\_windows 7 design ändern - Themes\Universal Theme Patcher - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\LogMeIn Hamachi (VPN - versuchen).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\Steganos Privacy Suite (Daten verschlüsseln, bis 60GB, als Festplatte).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\Tor Browser Paket - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\WOT_web_of_trust_wot-20131118-fx - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\XPAntiSpy (verhindert datensendung an ms).exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\deinstalliert programme vollständig\Revo Uninstaller - CHIP-Installer.exe	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\04 Installationsprogramme\_Sicherheit, System & Schnelligkeit\Pc Scan Systemfehler\registrybooster.exe	Variante von Win32/RegistryBooster evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\Eigene Dokumente\_Programme und Sicherungen\Firefox Lesezeichen\7otfhij7.default\extensions\{EB9394A3-4AD6-4918-9537-31A1FD8E8EDF}\chrome\content\dealply.xul	Win32/DealPly.J evtl. unerwünschte Anwendung
E:\Dokumente - Bilder - Work - Inst\Eigene Dokumente\_Programme und Sicherungen\Firefox Profil\Profiles\7otfhij7.default\extensions\{EB9394A3-4AD6-4918-9537-31A1FD8E8EDF}\chrome\content\dealply.xul	Win32/DealPly.J evtl. unerwünschte Anwendung
E:\User-PC\Backup Set 2014-06-06 205132\Backup Files 2014-06-06 205132\Backup files 26.zip	Variante von Win32/DownloadSponsor.A evtl. unerwünschte Anwendung
E:\User-PC\Backup Set 2014-06-06 205132\Backup Files 2014-06-08 080001\Backup files 2.zip	Variante von Win32/Toolbar.Conduit.H evtl. unerwünschte Anwendung
E:\User-PC\Backup Set 2014-06-06 205132\Backup Files 2014-06-22 080001\Backup files 4.zip	HTML/ScrInject.B.Gen Virus
E:\User-PC\Backup Set 2014-06-06 205132\Backup Files 2014-06-22 080001\Backup files 5.zip	Win32/Somoto.G evtl. unerwünschte Anwendung
         

Aber der Scan von ESET sieht noch nicht so gut aus.

Auf die Pfade und Art der Schädlinge hast du wohl nicht geachtet? Was fällt dir auf zB CHIP-Installer?

In Zukunft lädst du einfach nichts mehr von Chip oder gar Softonic runter. Benutze das Portal FilePony.de, wird von unserem TB-Admin betreut, dort wird die Software direkt von originalen Quellen runtergeladen und da kommt auch keine Toolbar und Adware Scheiße mit.

Trotzdem muss immer jede Software benutzerdefiniert ("custom") installiert werden (falls angeboten). Lass dich von in Klammern geschriebenen Warnungen wie zB "benutzerdefiniert (nur für Profis!)" nicht abschrecken. Nur bei einer benutzerdefinierten Installationsmethode hast du überhaupt die Chance in die Optionen einzugreifen und etwaigen Schrott wie Toolbars abzuwählen.

Programmsetups von Freeware solltest du auch nicht ewig aufbewahren, es macht einfach keinen Sinn. Die kann man sich jederzeit neu runterladen und das sollte man auch tun wenn man sie wieder braucht, da man sonst eine veraltete Version installiert.

Filepony habe ich mir schon in meinen Favoriten gespeichert.

Ich dachte eigentlich immer, dass Chip noch eine der sichersten Seiten ist. Aber seit es diesen chip Installer gibt, find ich das auch nicht mehr so toll. Denn wie du schon sagst, wenn man dort nicht auf benutzerdefinierte Installation geht, lädt man sich jedes Mal diverse Toolbars, oä herunter.

Vielleicht kannst du mir noch ein bisschen Klarheit verschaffen, hätte da noch ein paar Fragen


Ich lade immer alles vor der Installation bei https://www.virustotal.com hoch. Kannst du die Seite befürworten?

Verstehe ich das jetzt richtig, die geposteten Meldungen von ESET sind keine Gefahren? Denn laut der Anleitung habe ich diese ja nicht löschen lassen.

Also mein PC ist jetzt definitiv Trojaner-Frei?

Woher wusstest du was in die Fixlist rein muss?
Wenn ich mir die Liste ansehe, ist es logisch, dass das keine brauchbaren Dateien sein können, hast du die manuell zusammengestellt? Denn als ich auf C geschaut habe, sind mir einige von denen aufgefallen, besonders noch weil das Erstellungsdatum der selbige Tag war. Doch hab ich mich nicht getraut sie zu löschen.

eine Datei gibt es noch auf C, bzw. zwei, die ich nicht zuordnen kann. Folgendes Verzeichnis C:\ProgramData\doyaoqq\hkpr.mjb und orkbw.iia das Erstellungsdatum ist von dem Tag, an dem ich mir den Trojaner eingefangen habe.


muss ich jetzt all meine Passwörter ändern?
hatte der Trojaner auch Zugriff auf die im Outlook gespeicherten Passwörter? Oder sieht der nur die, die ich eingebe? z.B. hatte ich zu dem Zeitpunkt als der kam auch die Ebay Seite offen (eingeloggt).

und ich möchte mich schon mal ganz herzlich bei dir/euch für die Hilfe bedanken. Gibt es eine Möglichkeit euer Board zu unterstützen, ich würd mich gern revanchieren. Denn ich sehe das nicht als selbstverständlich an, besonders unter den gegebenen Umständen.

Ich lade immer alles vor der Installation bei https://www.virustotal.com hoch. Kannst du die Seite befürworten?

Kann man machen. Ist aber nicht wirklich praktikabel und auch nicht immer möglich. Virustoal erlaubt nur Dateien bis zu einer max. Größe, du kannst da nicht beliebig große Dateien hochladen zur Auswertung.

Verstehe ich das jetzt richtig, die geposteten Meldungen von ESET sind keine Gefahren? Denn laut der Anleitung habe ich diese ja nicht löschen lassen.

Ist alles Werbung.

Also mein PC ist jetzt definitiv Trojaner-Frei?

"definitiv" schreit nach 100 % - und das gibt es nirgends

Woher wusstest du was in die Fixlist rein muss?

Erfahrung und Wissen

eine Datei gibt es noch auf C, bzw. zwei, die ich nicht zuordnen kann. Folgendes Verzeichnis C:\ProgramData\doyaoqq\hkpr.mjb und orkbw.iia das Erstellungsdatum ist von dem Tag, an dem ich mir den Trojaner eingefangen habe.

Ist ein Rest. Einfach den Order "doyaoqq" löschen

muss ich jetzt all meine Passwörter ändern?

Dazu später mehr

TFC - Temp File Cleaner

Lade dir TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.

• Öffne die TFC.exe.
  Vista und Win 7 User mit Rechtsklick "als Administrator starten".
• Schließe alle anderen Programme.
• Drücke auf den Button Start.
• Falls du zu einem Neustart aufgefordert wirst, bestätige diesen.

Sieht soweit ok aus

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat. Ist aber nur optional. Um Usertracking zu verhindern kann man gut die Firefox-Erweiterung Ghostery verwenden.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Okay, TFC habe ich laufen lassen - Ergebnis 32MB

MVPS Hosts File hab ich auch nach Anleitung ausgeführt. Der DNS Client bleib auf Beendet und Manuell richtig? Mich irritiert ein wenig, dass dort steht: Wenn der Dienst deaktiviert ist, können alle explizit von ihm abhängigen Dienste nicht gestartet werden.

Ghostery ist hinzugefügt

CookieCuller gibts für Chrome nicht, hast du eine gute Alternative für Chrome?
Da ich Passwörter generell nicht speicher, kann ich eigentlich auch einstellen, dass die Cookies direkt gelöscht werden. Wichtig ist mir nur, dass die eingegebenen URLs immer zur Verfügung stehen.

CookieCuller gibts für Chrome nicht, hast du eine gute Alternative für Chrome?

Kenn ich nicht. Wer zwingt dich, Chrome zu benutzen?
Ist zwar Geschmackssache, aber den Firefox nutze ich nicht nur weil der mir persönlich besser gefällt, sondern weil ich ihn mit Erweiterungen austatten kann, welche es für Chrome nicht gibt.

Ich bin auf Chrome umgestiegen, weil der deutlich schneller ist. Bis dato gabs auch alle Erweiterungen wie zB WOT, AdBlock, etc. für Chrome. Aber ich schätze auch, dass du als Experte einiges mehr an Erweiterungen hast....

Wie siehts jetzt mit den Passwörtern aus?

Dann wären wir durch!


Falls du noch Lob oder Kritik loswerden möchtest => Lob, Kritik und Wünsche - Trojaner-Board

Die Programme, die hier zum Einsatz kamen, können alle deinstalliert werden. Es empfiehlt sich Malwarebytes Anti-Malware zu behalten und damit wöchentlich nach Malware zu scannen.

Helfen kann dir dabei delfix:


Die Reihenfolge ist hier entscheidend.

1. Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
2. Falls Combofix benutzt wurde: (Alternativ in uninstall.exe umbenennen und starten)
   • Windowstaste + R > Combofix /Uninstall (eingeben) > OK
   • Alternative: Combofix.exe in uninstall.exe umbenennen und starten
   • Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
3. Downloade Dir bitte auf jeden Fall DelFix auf deinen Desktop:
   • Schließe alle offenen Programme.
   • Starte die delfix.exe mit einem Doppelklick.
   • Setze vor jede Funktion ein Häkchen.
   • Klicke auf Start.
   • Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
   • Starte deinen Rechner abschließend neu.
4. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Bitte abschließend noch die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Alle Plugins im Firefox-Browser kannst du auch ganz einfach hier auf Aktualität prüfen => https://www.mozilla.org/de/plugincheck

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein großes Sicherheitsrisiko, daher solltest Du die alten Versionen deinstallieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software (bzw. Programme und Funktionen) und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

okay, vielen Dank!!!

Aber eins noch:

muss ich jetzt all meine Passwörter ändern?
hatte der Trojaner auch Zugriff auf die im Outlook gespeicherten Passwörter? Oder sieht der nur die, die ich eingebe? z.B. hatte ich zu dem Zeitpunkt als der kam auch die Ebay Seite offen (eingeloggt).

Steht doch da: "Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern."