Arbeiten mit regedit.

Starte den Rechner im abgesicherten Modus

Start->ausführen-> " regedit "->#ENTER# drücken!

Datei->exportieren->speichern an einem Platz wo du sie wiederfindest..

Die Datei die erstellt wurde dient als Sicherung falls etwas bei der Bearbeitung der Registrierung schief geht kannst du sie durch die Import-Funktion wiederherstellen.

Dann navigierst du links zu den folgenden Schlüsseln und löscht sie:

HKLM\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\p3p\history\gator.com
HKCU\Software\Microsoft\Windows\CurrentVersion\Int ernet Settings\p3p\history\gator.com
hkcu\software\lanconfig
hkcr\xttb00001.ietoolbar
hklm\software\microsoft\windows\currentversion\uni nstall\xttb00001.xttb00001toolbar
hklm\software\microsoft\windows\currentversion\app management\arpcache\xttb00001.xttb00001toolbar
hkcu\software\microsoft\systemcertificates\trusted publisher\certificates\62119ef862c6b3a0d853419b87e b3e2f6c78640a
hkcr\xttb00001.ietoolbar.1
hkcr\xttb00001.xttb00001.1
hkcr\toolband.xttbpos00.1
hkcu\software\wget/plg1
hkcr\xttb00001.xttb00001
hkcu\software\xttb00001
hkcr\toolband.xttbpos00
C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsg8a.tmp\installoptions.dll
C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsi87.tmp\installoptions.dll
hklm\software\wget
hkcu\software\wget
hkcu\software\wget/plg1

Danach lasse cCleaner dein System bereinigen. Die Registry (blaues Bauklotz-Symbol links) musst du merhmals durchsuchen und bereinigen lassen bis nichts mehr gefunden wird.



Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:






2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist. (Natürlich nicht das "Input script here"-Textfeld abschreiben!

Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here")

Files to delete:
C:\WINDOWS\server.exe
C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsg8a.tmp\installoptions.dll
C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsi87.tmp\installoptions.dll
C:\WINDOWS\system32\plugin1.dat

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem ausführen des Avengers wird das System neu gestartet.


4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.


Dann startest du den Rechner im normalen Modus neu.

ich bin mir nicht sicher ob ich das mit dem avenger richtig gemacht habe abe rich postes mal!

Logfile of The Avenger Version 2.0, (c) by Swandog46
Swandog46's Public Anti-Malware Tools

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\WINDOWS\server.exe" deleted successfully.

Error: file "C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsg8a.tmp\installoptions.dll" not found!
Deletion of file "C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsg8a.tmp\installoptions.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: file "C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsi87.tmp\installoptions.dll" not found!
Deletion of file "C:\Dokumente und Einstellungen\brothergang\Lokale Einstellungen\temp\nsi87.tmp\installoptions.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\system32\plugin1.dat" deleted successfully.

Error: file "c:\windows\badfile.dll" not found!
Deletion of file "c:\windows\badfile.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: registry key "\Registry\Machine\System\CurrentControlSet\Services\SomeBadDriver" not found!
Deletion of driver "SomeBadDriver" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: could not delete registry value "HKLM\Software\LegitimateKey|BadValue"
Deletion of registry value "HKLM\Software\LegitimateKey|BadValue" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

Error: file "c:\windows\badfile.dll" not found!
Deletion of file "c:\windows\badfile.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: registry key "\Registry\Machine\System\CurrentControlSet\Servic es\SomeBadDriver" not found!
Deletion of driver "SomeBadDriver" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Error: could not delete registry value "HKLM\Software\LegitimateKey|BadValue"
Deletion of registry value "HKLM\Software\LegitimateKey|BadValue" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)

Was hab' ich denn hier extra geschrieben?

(Natürlich nicht das "Input script here"-Textfeld abschreiben!

^^ ist abe rnicht so schlimm!

Alles wichtige wurde gelöscht. Hast du die Reg Einträge ebenfalls löschen können?

Hast du noch Probleme?

ja die reg einträge ließen sich alle löschen und es öffnet sich auch nichts mehr von automatisch oder sonstwas...bin seit vorhin "clean" würdich mal behaupten^^

vielen dank für eure(deine) hilfe!!

aber was ich noch anmerken dürfte...ich weis nicht ob ichs mir einbilde, aber seitdem bzw seit heute ist mein intrnetbrowser laaaaahhhm wie sonstwas manchmal gehts normal und ab und zu dauerts jahre ne seite zu öffnen (selbst ne goggle seite )

Poste bitte nochmal ein frisches HJT log.

Logfile of Trend Micro HijackThis v2.0.2

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]