Guten Tag,

bitte nimmt euch die Zeit und liest den ganzen Text durch, damit ihr mein Problem auch richtig vesteht.

Vorgeschichte:

Am Freitag Abend (vor 3 Tagen) hatte ich einen Virus, welches ich nicht beseitigen konnte mit Anti Maleware Programm und Avira Anti Vir.

Ich konnte auch nicht auf die Festplatte C: zugreifen und viele Anwendungen nicht mehr richtig ausführen. Fehlermeldungen wie "c:\resycled\boot.com ist eine unzulässige win32 anwendungen) kamen.
Dann hatte ich meine Externe Festplatte angeschlossen, um meine wichtigen Daten zu sichern bevor ich Windows Neu installieren wollte. Dabei hatte sich das Virus wohl innerhalb wenigen Minuten auch auf der Externen Festplatte intigriert. Bemerkt hat es mein Bruder als er ohne zu wissen die Externe Festplatte auf sein "sauberes" System angeschlossen hatte.

Nun hatten wir zwei infizierte Rechner und eine infizierte Festplatte.
Zum Glück hab ich noch ein Laptop, damit habe ich etwas über google rechachiert wie man das Problem beheben kann.

Das Virus hatte in meine Externe Festplatte eine Geschützte unsichtbare Datei namens "autorun.inf" und ein Ordner namens "resycled" erstellt, diese sorgen das man die Externe Festplatte nicht einfach über Arbeitsplatz öffnen kann.

Die Datein habe ich dann mit "shift + entf" gelöscht und die externe festplatte scheint wieder ganz normal zu funktionieren, das virus konnte sich dort wohl nicht verbreiten weil es dort keine Registrierungsdaten gibt und Temp Ordner.

Nun zum Hauptproblem:

Nachdem ich min. 4 mal bei mir und meinem Bruder Windows Neu aufgespielt habe und die Festplatten die infiziert wurden min. 3 mal langsam formatiert habe, bekomme ich immer wieder eine Fehlermeldung von "Spybot - Search & Destroy" das ich 2 Einträge von eome, Trojaner namens "Zlob.DNSChanger" habe.

Ich habe über Google in manchen Foren gelesen das es ein Fehler vom Spybot Search and Destroy ist, wenn man die alte Version benutzt. Ich benutze z.Z die aktuelle 1.6 Version mit allen updates und habe auch sämtliche Anleitungen beachtet, jedoch kommen diese 2 Einträge mit Zlob.DNSChanger immer wieder. Ist das möglich bzw.wie kann das sein? Ich formatiere 3 mal komplett mein Rechner und spiele Windows neu und sofort nachder Windows Aufspielung, installiere ich nur meine wichtigen PC Treiber und danach nur Spybot Search and Destroy, danach kommt die Meldung Zlob.DNSChanger, obwohl ich mich noch garnicht mit dem Internet Verbunden habe oder sonst irgendeine Datei raufgespielt habe, im Rechner ist auch nur eine Festplatte, also garnicht möglich das es von irgendwelchen anderen Daten kommt.

Nun die Frage, liegt es tatsächlich an Spybot Search and Destroy oder ist da irgendein Virus was auch nicht durch eine Neuaufspielung beseitigt wird? Also das problem haben wir 2 mal, ich und mein Bruder. Sofort nach der Windows Installation findet Spybot die 2 Einträge von dem Zlob.DNSChanger.

Ich arbeite Beruflich seit über 9 Jahren vorm PC und das ist das erste mal das ich wegen einem Virus mein System neu aufspielen musste.

Wäre nett wenn ihr mir so schnell wie möglich helfen könnt, muss nähmlich über PayPal paar Überweisungen durchführen und auf bestimmten Seiten einloggen und will es dabei nicht riskieren, das jemand mein Passwort mitbekommen, das dieses Zlob.DNSChanger irgendwas an einem Sender mitteilt.

Danke im voraus für die Antworten & Hilfen!

MfG

Hallöle can76

Wenn du nach folgendem Leitfaden neuaufsetzt ist das System danach definitv sauber!


Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist.

Master Boot Record überprüfen:

Lade dir die mbr.exe von GMER auf den Desktop und führe die Datei aus.

Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck

MBR rootkit code detected !

indiziert, musst du eine Bereinigung vornehmen.

Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.
Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig.
Dann führe die mbr.bat. durch einen Doppelklick aus.
Dabei muss sich die mbr.exe von GMER ebenfalls auf dem Desktop befinden!

Der MBR wird bereinigt und es erscheint ein log. Dieses log solltest du hier posten!

Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen.

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!

Danach würde ich Spybot NICHT aufspielen. Das Programm war mal gut ist es aber lange nicht mehr!
Nutze SUPERAntiSpyware oder Anti-Malware. Jeweils ohne Wächter.

@undoreal

Erstmal Vielen Dank für die ausführliche Antwort!

Ich habe die mbr.exe durchlaufen lassen und im Log siehts wohl sauber aus:

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
         

Danach habe ich auch SUPERAntiSpyware laufen lassen, dies hat auch nichts gefunden.

Spybot habe ich deinstalliert und ich installiere jetzt sicherheits halber nochmal Windows neu.

Mir fällt grade ein, ich benutze ja ein D-Link Router mit dem mein PC und der von mein Bruder angeschlossen ist und deswegen habe ich auch eingestellt das die DNS Adresse automatisch übermittelt wird, kann es daran liegen, das die Meldung Zlob.DNSChanger meldung bei Spybot S&S deswegen kam?

Wie dem auch sei, ich glaube nachder fünften Neu-Installation sollte ich sicher sein, nachdem ich alle Anleitungen von Ihnen befolgt habe.

Nochmal Vielen Dank für die Hilfe und die Mühe

MfG

das die DNS Adresse automatisch übermittelt wird, kann es daran liegen, das die Meldung Zlob.DNSChanger meldung bei Spybot S&S deswegen kam?

eigentlich nicht. Oder es wäre wirklich ein heftiger Bug denn die DNS Addi wird ja meistens automatisch bezogen..
Wie gesagt: Ich würde Spybot einfach nicht nutzen...