Hallöchen Gemeinde...

also die letzten jahre konnte ich mich aktiv und erfolgreich gegen sämtliche plagegeister wehren! aber gestern muss ich mir was eingefangen habe, was ich anscheinend net wegbekomme!

nach dem ausführen einer keygen.exe (ja ich weiß, ich depp ) meldete mein Avast Pro alarm! Ok, dachte ich mir...löscht du mal die Bedrohung und machst n Scan! Gesagt getan. Doch mein Avast löschte wohl mehr Datein als es eig. sollte...und schwupps fing der rechner an zu zicken! Dh, ich konnte nicht mehr online Daddeln (COD 4-->Corrupt File) Tasktleiste war verschwunden und ich konnte nur noch via Taskmanager agieren bis hin zu, dass er mich beim Neustart nach einem Passwort für meine Konto fragt (hatte nie eins erstellt). Es wurde mein Catalyst Control Center ausser Kraft gesetzt, also es konte nicht mehr geladen werden!

Nun, habe dann einige wichtige Daten gesichert auf meine 2te Partition und Windoof neu gemacht! Nach dem einigermaßen wieder richtig installierten PC und eines erneuten Neustarts zwecks Softwareinstallation, fuhr er net mehr hoch...er hing inna Schleife fest! Immer bis zu nem Gewissen punkt hochgefahren und wieder runter, wieder hoch usw.

also Windoof nochmal neuinstalliert! auch wieder alles ok..aber jezze will er schonwieder n Passwort für mein Konto! Avast hat auch ein Wurm gemeldet in meinem Temp Ordner! Ich gehe mal davon aus, dass dieser Plagegeist nicht richtig von meinem System runter ist...Hab auch schon A-Squared drüber laufen lassen...ehr niedrige Risiken!

So, dazu die Vorgeschichte! Ich wollte eig. mit nem Logfile vllt geklärt bekommen, was eig. los is mit meiner Maschine hier

Logfile of HijackThis v1.99.1
Scan saved at 18:18:11, on 15.03.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\a-squared Free\a2service.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\QIP Infium psYNovA-Edition\infium.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Tino\LOKALE~1\Temp\Rar$EX00.203\HijackThis.exe

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsu...?1237135601250
O17 - HKLM\System\CCS\Services\Tcpip\..\{E3C24247-7A7A-479D-919D-A29834809CDA}: NameServer = 217.237.151.51 217.237.149.205
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)


für JEDE hilfe bin ich echt Dankbar

Hallo White_Rebel


lade dir mal die mbr.exe runter führe das Programm mit Adminrechten aus.

Poste das Ergebnis.

So, hab wieder das problem, dass ich nur noch durch den Taskmanager agieren kann! Ich gehe mal davon aus, dass meine "gesaved" datein ebenfalls befallen sind! Ich muss wohl oder übel die gesamte Festplatte räumen...ich hoffe das Dauert nich allzulang

danach meld ich mich nochmal...super Sonntag abend

bis nachher

EDIT: hab jezze nach wiederholtem Neustart ne Taskleiste...ich lad mir mal eben dein Proggi da runter und poste sofort! vielleicht kann ich einer nochmaligen neuinstall. umgehen!

geht der Abgesicherte Modus?
darin kannste auch Scannen.Lade dir auch mal das Avira Anti Root kit runter
und auch Malware Antibytes kannste mal Probieren.
Wenn du damit scannst auch bitte die Log-Datei hier Posten.


MfG

Ghost1975

Sorry für Doppelpost! aber das stand nur in der Textdatei (kenn das proggi ja nicht)


Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK


EDIT: hi Ghost, habe ehrlich gesagt bammel davor, nochma neuzustarten! dann geht wieder nix! gestern hab ich bestimmt 50 mal neui gebootet und es bleib dabei, dass ich nur den Taskmanager hatte! jezze ist es wohl zufall! aber ich lad mir auch ma die o.g proggis von dir

Der abgesicherte Modus war nur für den Fall das du beim normalboot nicht reinkommst

ah ok, hätte ich auch selber drauf kommen können

naja bin zz etwas durchn wind...ist besch*** wenn der rechner net läuft, brauch den zum arbeiten!

also der erste Scan mit dem AntiRootKit ist durch

Avira AntiRootkit Tool - Beta (1.0.1.17)

========================================================================================================
- Scan started Sonntag, 15. März 2009 - 19:39:05
========================================================================================================

--------------------------------------------------------------------------------------------------------
Configuration:
--------------------------------------------------------------------------------------------------------
- [X] Scan files
- [X] Scan registry
- [X] Scan processes
- [ ] Fast scan
- Working disk total size : 179.96 GB
- Working disk free size : 167.91 GB (93 %)
--------------------------------------------------------------------------------------------------------

Scan task finished. No hidden objects detected!

--------------------------------------------------------------------------------------------------------
Files: 0/48685
Registry items: 0/133297
Processes: 0/39
Scan time: 00:06:19
--------------------------------------------------------------------------------------------------------
Active processes:
- ggbginys.exe (PID 49480) (Avira AntiRootkit Tool - Beta)
- IEXPLORE.EXE (PID 105256)
- System (PID 4)
- smss.exe (PID 952)
- csrss.exe (PID 1004)
- winlogon.exe (PID 1036)
- services.exe (PID 1080)
- lsass.exe (PID 1096)
- ati2evxx.exe (PID 1264)
- svchost.exe (PID 1284)
- svchost.exe (PID 1352)
- svchost.exe (PID 1520)
- svchost.exe (PID 1672)
- svchost.exe (PID 1708)
- ati2evxx.exe (PID 1860)
- spoolsv.exe (PID 1928)
- ndetect.exe (PID 1420)
- explorer.exe (PID 1444)
- RTHDCPL.EXE (PID 2032)
- reader_s.exe (PID 144)
- ctfmon.exe (PID 148)
- a2service.exe (PID 2000)
- PnkBstrA.exe (PID 380)
- firefox.exe (PID 1172)
- svchost.exe (PID 360)
- svchost.exe (PID 368)
- svchost.exe (PID 324)
- svchost.exe (PID 468)
- svchost.exe (PID 1144)
- svchost.exe (PID 3616)
- cmd.exe (PID 21196)
- services.exe (PID 21724)
- wuauclt.exe (PID 32208)
- infium.exe (PID 4448)
- Xfire.exe (PID 4616)
- reader_s.exe (PID 7260)
- msnmsgr.exe (PID 25000)
- mbam.exe (PID 54220)
- avirarkd.exe (PID 55328)
========================================================================================================
- Scan finished Sonntag, 15. März 2009 - 19:45:24
========================================================================================================