FRST-Fix

Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft!

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {2AB6ACB9-161E-4889-8A3F-A00C87B703CD} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {A0D64377-9E9F-4024-ACC7-F8F38B13A802} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {E421A340-388A-4253-A18A-E517AB25411C} URL = 
EmptyTemp:
         

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.

hier die Fixlog.txt

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 11-03-2015
Ran by aw4138 at 2015-03-30 11:25:58 Run:1
Running from C:\Users\AW4138\Desktop\FRST
Loaded Profiles: aw4138 (Available profiles: aw4138)
Boot Mode: Normal
==============================================

Content of fixlist:
*****************
CHR HKLM\SOFTWARE\Policies\Google: Policy restriction <======= ATTENTION
HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer: Policy restriction <======= ATTENTION
HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main,Start Page = about:blank
HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
SearchScopes: HKU\.DEFAULT -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-19 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-20 -> DefaultScope {0633EE93-D776-472f-A0FF-E1416B8B2E3A} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {2AB6ACB9-161E-4889-8A3F-A00C87B703CD} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {A0D64377-9E9F-4024-ACC7-F8F38B13A802} URL = 
SearchScopes: HKU\S-1-5-21-1292428093-838170752-682003330-2192 -> {E421A340-388A-4253-A18A-E517AB25411C} URL = 
EmptyTemp:
         
*****************

"HKLM\SOFTWARE\Policies\Google" => Key deleted successfully.
"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Policies\Microsoft\Internet Explorer" => Key deleted successfully.
HKLM\Software\\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.
HKLM\Software\Wow6432Node\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.
HKU\S-1-5-21-1292428093-838170752-682003330-2192\Software\Microsoft\Internet Explorer\Main\\Start Page => Value was restored successfully.
HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.
HKU\S-1-5-19\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.
HKU\S-1-5-20\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope => value deleted successfully.
"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{2AB6ACB9-161E-4889-8A3F-A00C87B703CD}" => Key deleted successfully.
HKCR\CLSID\{2AB6ACB9-161E-4889-8A3F-A00C87B703CD} => Key not found. 
"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{A0D64377-9E9F-4024-ACC7-F8F38B13A802}" => Key deleted successfully.
HKCR\CLSID\{A0D64377-9E9F-4024-ACC7-F8F38B13A802} => Key not found. 
"HKU\S-1-5-21-1292428093-838170752-682003330-2192\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{E421A340-388A-4253-A18A-E517AB25411C}" => Key deleted successfully.
HKCR\CLSID\{E421A340-388A-4253-A18A-E517AB25411C} => Key not found. 
EmptyTemp: => Removed 3.3 GB temporary data.


The system needed a reboot. 

==== End of Fixlog 11:28:05 ====
         

Okay, dann Kontrollscans mit MBAM und ESET bitte:

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Habe die Kontrollscans durchgeführt, hier die LOG-Dateien

MBAM

 Malwarebytes Anti-Malware 
www.malwarebytes.org

Suchlauf Datum: 30.03.2015
Suchlauf-Zeit: 12:13:46
Logdatei: mbam.txt
Administrator: Ja

Version: 2.01.4.1018
Malware Datenbank: v2015.03.30.04
Rootkit Datenbank: v2015.03.26.01
Lizenz: Testversion
Malware Schutz: Aktiviert
Bösartiger Webseiten Schutz: Aktiviert
Selbstschutz: Deaktiviert

Betriebssystem: Windows 7 Service Pack 1
CPU: x64
Dateisystem: NTFS
Benutzer: aw4138

Suchlauf-Art: Bedrohungs-Suchlauf
Ergebnis: Abgeschlossen
Durchsuchte Objekte: 438702
Verstrichene Zeit: 36 Min, 35 Sek

Speicher: Aktiviert
Autostart: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

Prozesse: 0
(Keine schädliche Elemente gefunden)

Module: 0
(Keine schädliche Elemente gefunden)

Registrierungsschlüssel: 0
(Keine schädliche Elemente gefunden)

Registrierungswerte: 0
(Keine schädliche Elemente gefunden)

Registrierungsdaten: 1
PUM.Hijack.Drives, HKU\S-1-5-21-1292428093-838170752-682003330-328077\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\POLICIES\EXPLORER|NoDrives, 2, Gut: (0), Schlecht: (2),Ersetzt,[1e8e75d6c5c50333e8bc9d57887d47b9]

Ordner: 0
(Keine schädliche Elemente gefunden)

Dateien: 0
(Keine schädliche Elemente gefunden)

Physische Sektoren: 0
(Keine schädliche Elemente gefunden)


(end)
         

ESET

ESETSmartInstaller@High as downloader log:
all ok
# product=EOS
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.7623
# api_version=3.0.2
# EOSSerial=8ce20f02a95c1d4ab02000b91a6fbd61
# engine=23151
# end=finished
# remove_checked=true
# archives_checked=false
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2015-03-30 05:09:45
# local_time=2015-03-30 07:09:45 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1031
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode_1=''
# compatibility_mode=5893 16776574 100 94 53143386 179365235 0 0
# scanned=263604
# found=6
# cleaned=6
# scan_time=15356
sh=65B93179F675F8F13FC51C17528D2B859DD680AC ft=1 fh=20bf4e8e2273813b vn="möglicherweise unbekannter Virus NewHeur_PE Virus (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Program Files\Siemens\UCMS\Plugins\UCMS-Inventory\mosaicInventory.exe"
sh=65B93179F675F8F13FC51C17528D2B859DD680AC ft=1 fh=20bf4e8e2273813b vn="möglicherweise unbekannter Virus NewHeur_PE Virus (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Program Files\Siemens\UCMSInstaller\LastKnownGood\UCMS\Plugins\UCMS-Inventory\mosaicInventory.exe"
sh=3638F1D11F58F7137E8F43AE07EA1992FCEE7F4D ft=1 fh=cb61311e4fc959c7 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\FotoSketcher - CHIP-Installer.exe"
sh=21D5038C418227482763267E49D6E929CF6D0DE6 ft=1 fh=fa63bdaec253dbcb vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\IrfanView Plug ins - CHIP-Installer.exe"
sh=E12AF6DF1AFA1C0E845117B86CF1FC477D0F6D70 ft=1 fh=903d112774f15995 vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Quarantäne kopiert)" ac=C fn="C:\Users\AW4138\Downloads\Luminance HDR - CHIP-Installer.exe"
sh=DCD158BFA29CE6CE6FDD2C5E1C050C3ECC24F2A4 ft=1 fh=3a33e38e7164ebbe vn="Variante von Win32/DownloadSponsor.C evtl. unerwünschte Anwendung (gelöscht - in Q
         

Die Funde im S-Ordner sehen nach Fehlalarmen aus. Ich finde es aber schon etwas bedenklich, wenn dir ein Firmenrechner mit so einer Software überlassen wird. Wer weiß was da noch an Daten drauf schlummert. Aber das ist ein anderes Thema.

FRST-Fix

Virenscanner jetzt bitte komplett deaktivieren, damit sichergestellt ist, dass der Fix sauber durchläuft!

Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

C:\Users\AW4138\Downloads\FotoSketcher - CHIP-Installer.exe

C:\Users\AW4138\Downloads\IrfanView Plug ins - CHIP-Installer.exe

C:\Users\AW4138\Downloads\Luminance HDR - CHIP-Installer.exe
EmptyTemp:
         

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

• Starte nun FRST erneut und klicke den Entfernen Button.
• Das Tool erstellt eine Fixlog.txt.
• Poste mir deren Inhalt.