Hallo,
Am Donnerstag beim Surfen mit meinem Laptop habe ich mir was eingefangen. Im Browser (Firefox) kam eine Meldung, dass sie 100 Euro per paysafecard wollen (ähnlich diese BKA Gema Trojaner, ich denke diesmal war von BSI). Es war nur der Browser betrofen. Ich habe nicht mal richtig gelesen und zu gemacht. Danach Avira laufen lassen. Sie hat den "Yontoo.Gen" gefunden. Danach war alles ok.

Am nächsten Tag dann die böse Überraschung: Wenn man sich anmeldet, startet automatisch einen Explorer-Fenster/arbeitsplatz und darunter ist der Bildschirm schwarz. Ich kann auf meine Daten zugreifen. Die Programme, die einen Shortcut auf dem Desktop haben, kann ich startet. Installieren/ Deinstalliren geht auch. Nicht alles läuft aber richtig. Avira kann ich nicht richtig startet. Wenn ich Avira starte, zeigt der Task-Manager, dass sie läuft. Aber der Fenster mit dem Suchfortschritt ist nicht sichtbar.

Vor einpaar Jahren habe ich ein ähnliches Problem (Diese Trojaner, die den ganzen Rechner sperren) mir Kaspersky Rescue Disk gelöst. Gestern hat er nichts gefunden. Bitdefender -OnlineScan findet auch nichts.

ICh habe die hier Empfohlen Schritte und Programme durchlaufen. Ich habe den yontoo*****.exe im Temp-Ordner gefunden. Es ist aber von 02.2013. Ein anderes altes Problem ist KSEmulator. Avira hat ihm früher gemeldet und jedes Mal in Quarantene gesteckt. Anscheinend lebt er noch (Lange nichts von ihm gehört).

Jetzt weiß ich nicht weiter und bevor alles platt gemacht wird, warte ich auf eure Hilfe. Vieln Dank im voraus!

Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.


Bitte beachte folgende Hinweise:

• Falls wir Hinweise auf illegal erworbene Software finden, werden wir den Support unterbrechen bis jegliche Art von illegaler Software vom Rechner entfernt wurde.
• Lies dir die Anleitungen sorgfältig durch. Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
• Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo.
  Solltest du einmal länger abwesend sein, so gib mir bitte Bescheid!
• Während der Bereinigung bitte nichts installieren oder deinstallieren, außer ich bitte dich darum!
• Alle zu verwendenen Programme sind auf dem Desktop abzuspeichern und von dort zu starten!

Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab und poste alle Logdateien in CODE-Tags:

So funktioniert es:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert deinem Helfer massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu groß für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

• Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
• Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
• Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
• Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

Danke für deine Mitarbeit!



hast du FRST auch von dem infizierten Benutzerkonto ausgeführt? Sieht nämlich nicht so aus....

zudem hast du FRST nicht als Administrator ausgeführt... jedoch benötigen alle unsere Tools Administratorrechte...


Vergewissere dich, dass du im richtigen Benutzerkonto eingeloggt bist und führe FRST neu aus:

• Starte die FRST.exe erneut. Setze einen Haken vor Addition und drücke auf Scan.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Vielen vielen Dank für die schnelle Antwort erstmal!!

Es sind alle Konten betroffen, auch im abgesicherten Modus. ( Das Problem trifft nach dem Anmelden)

Ich habe zwei Konten. User2 ist das ohne Adminrechte und hier hat das Problem zuerst aufgetretten (infizierung auch hier).

Jetzt habe ich nochmal von User2 gestartet, aber diesmal beachtet mit Adminrechte (rechter Mausklick)

Servus,



ComboFix und alle folgenden Tools vom infizierten Konto mit Adminrechten (Rechtsklick > Als Administrator ausführen) starten!



Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Es hat geholfen!
Windows startet jetzt noramal. Ich habe nicht alles ausprobiert, aber vorerst alles ok!
Was ist da Problem gewesen? Oder was ist die Ursache?

Was bedeutet alle folgenden Tools? ich habe nur ComboFix ausgeführt!

Zitat von AnnoMK

Es hat geholfen!
Windows startet jetzt noramal. Ich habe nicht alles ausprobiert, aber vorerst alles ok!
Was ist da Problem gewesen? Oder was ist die Ursache?

Kann ich nicht genau sagen, wahrscheinlich waren ein paar Startwerte verschiedener Werte falsch gesetzt, ComboFix hat sie repariert.

Zitat von AnnoMK

Was bedeutet alle folgenden Tools? ich habe nur ComboFix ausgeführt!

Wir sind ja auch noch nicht fertig.




Schritt 1
Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2
Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 3

• Starte die FRST.exe erneut. Setze einen Haken vor Addition.txt und drücke auf Scan.
• FRST erstellt wieder zwei Logdateien (FRST.txt und Addition.txt).
• Poste mir beide Logdateien mit deiner nächsten Antwort.

Bitte poste mit deiner nächsten Antwort

• die Logdatei von AdwCleaner,
• die Logdatei von MBAM,
• die beiden neuen Logdateien von FRST.