Hallo zusammen,

ich habe folgendes Problem, das ich in dieser "Kombination" in keinem anderem Thread gefunden habe. Ich hoffe, Ihr könnt mir weiterhelfen!

Ich habe letztlich die neue Version von Avira AntiVir installiert. Nach dem ersten Suchlauf wurden direkt zwei Funde angezeigt: ADSPY/SaveNow.BV.1 und
ADSPY/SaveNow.CG. Ich habe diese gelöscht.
Später, ich hatte kurz zuvor einen USB-Stick angebracht, meldete AntiVirs Guard
zwei Trojanische Pferde: TR/Autorun.ZG.8 und TR/Crypt.TPM.Gen
Die habe ich in Quarantäne gepackt. Sie kamen ziemlich offensichtlich vom Speicherstick!

Sehr beunruhigt ob dieser Funde besuchte ich Euer Board und hab dann auch die empfohlenen Programme (CCleaner hatte ich bereits) installiert und durchlaufen lassen. Prompt fand Malwarebytes 12(!) weitere infizierte Dateien. (Scheint Adware zu sein - keine Ahnung!)
Die Report Dateien füge ich unten ein.

Meine zwei Hauptfragen:
1) Wenn ich die Malware lösche - kann ich davon ausgehen, dass mein System wieder "sauber" ist?

und (bitte nicht schreien - ich bin halt so gar kein Fachmann!):
2) Ich habe bis zu den Funden Online-Banking gemacht. Kann ich das nach Löschen der Dateien mit neuem Passwort wieder aufnehmen?

Ich danke Euch schon im Voraus für Eure Mühe!

Hier der Report von Malwarebytes:

Malwarebytes' Anti-Malware 1.40
Datenbank Version: 2722
Windows 5.1.2600 Service Pack 2

31.08.2009 22:11:53
mbam-log-2009-08-31 (22-11-53).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 153725
Laufzeit: 52 minute(s), 32 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 9
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\acm.acmfactory (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\acm.acmfactory.1 (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{43382522-a846-46f4-ac57-1f71ae6e1086} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{572fb162-c0ba-4edf-8cff-e3846153b9b0} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{72a836d1-bc00-43c0-a941-17960e4fb842} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{127df9b4-d75d-44a6-af78-8c3a8ceb03db} (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\ACM.dll (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\WUSN.1 (Adware.WhenU) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\WhenUSave (Adware.WhenU) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\Save (Adware.WhenU) -> Quarantined and deleted successfully.

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Hallo und

bitte diese Liste beachten und abarbeiten. (außer MalwareBytes, das hast Du schon ausgeführt)

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Hallo Cosinus,
vielen Dank für Deine schnelle Rückmeldung und die Willkommensgrüße!
Ich habe CCleaner laufen lassen - eine Datei in der Registry kann nicht gelöscht werden ("Ungenutzte Datei-Endunge {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79})

Das Programm erstellt aber keine Reports, oder?
Im Zip befindet sich jetzt also nur der Log File von HijackThis.

http://www.file-upload.net/download-1862034/log.zip.html

Viele Grüße,
Tintoretto

Hijackthis? In der Anleitung ist doch von RSIT die Rede! Bitte nachreichen.

Äh- sorry, das war missverständlich,
der File ist von RSIT. Ich dachte das wäre das Gleiche, weil RSIT doch HJT downloaded ?!

Ja, RSIT lädt HijackThis herunter, aber da gibts noch eine menge an anderen wichtigen Infos im Logfile von RSIT. Ich seh mir das mal eben an.

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

C:\WINDOWS\system32\drivers\mailKmd.sys
C:\WINDOWS\system32\drivers\Wbutton.sys
         

Außerdem fehlen da Updates!!

Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
         

Du MUSST mehr auf die Aktualität der Programme achten.


Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Es geht v.a. um den IE8, auch wenn Du ihn nicht nutzt.


Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.


Java-Update
Deine derzeitig installierte Version von Java ist veraltet, was ebenfalls ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alten Versionen zu löschen und auf die neuste zu aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo Cosinus,
vielen Dank für Deine umfassende Antwort und ums Kümmern allgemein !
Ich hab´nun den ersten Schritt ausgeführt und die Einstellungen so vorgenommen, dass mir alle Dateien angezeigt werden ( nach der Anleitung).

Trotzdem werden die beiden von Dir angegebenen Dateien
C:\WINDOWS\system32\drivers\mailKmd.sys
C:\WINDOWS\system32\drivers\Wbutton.sys
nicht gefunden!? Kann das sein oder hab ich womöglich irgendwas übersehen?
Ich glaube, alles gemacht zu haben...

Gruß,
Tintoretto

Dann führ mal bitte Combofix aus, bitte genau lesen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Wichtig! Bitte die combofix.exe per Rechtsklick, "Ziel speichern unter" unter smss.exe abspeichern!
Besonders hartnäckige Malware erkennt eine combofix.exe und würde sich vor ihr gezielt verstecken!

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die in smss.exe umbenannte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

[code] Hier das Logfile rein! [/code]

[/QUOTE]

Hallo Cosinus,
Habe versucht, die Schritte so auszuführen, wie beschrieben.
Erste Unsicherheit:

Bitte die combofix.exe per Rechtsklick, "Ziel speichern unter" unter smss.exe abspeichern!

- Das klappt nicht- weder, wenn die Datei in dem "Download-Ordner" angezeigt wurde, noch wenn der Button bereits auf dem Desktop ist. Ich habe sie dann umbenannt in "smss.exe", geht das auch ?!

Zweite Unsicherheit/ Problem:
Trotzdem ich Antivir sogar gelöscht und danach den Compi neu gestartet habe(?!), zeigt mir Combofix kurz nach der Ausführung die Meldung, dass noch ein Scanner von AntiVir aktiv ist und es zu Problemen kommen könnte (Diese Meldung gleich dreimal).
Ich bin daher noch nicht weiter fortgefahren.

Viele Grüße,
Tintoretto

Wenn Du sagtst "Ziel speichern" unter, erscheint doch ein Fenster wo Du den Pfad angeben und unten den Dateinamen (speichern unter) angeben musst. Und das gibts bei Dir nicht?

Das meine ich: http://img272.imageshack.us/img272/5...rnunteroi1.jpg
Bei Dateiname gleich von vornherein smss.exe eingeben!

Die Option "Ziel speichern unter" erscheint bei mir nicht per Rechtsklick.
Da kommt dann ja so ein Optionsfeld, aber "Ziel speichern unter" ist da nicht dabei.

Du klickst aber schon auf das fettgedruckte "KLICK"?

Hallo Cosinus,
ähem-ja, mit Rechtsklick auf das "KLICK" klappt es ganz wunderbar.
(Zum Glück sieht keiner meinen richtigen Namen!!)

Lustigen Gruß, Tinto

Hallo Cosinus,
Nachdem das "Ziel speichern unter" nun klappt, kommt trotzdem noch sehr flott die Meldung, dass noch drei Real-Time-Virenscanner von Antivir laufen. Ich habe AntiVir jedoch gelöscht (und zwar nicht nur die Desktop- Verknüpfung, sondern ganz regulär über "Software"). Wie stoppe ich diese Scanner?! Und warum habe ich drei davon?!Eigene Recherche hat noch nichts erbracht.

Viele Grüße,
Tintoretto