Hallo alle zusammen.

Bin hier neu im Trojaner-Board und hab ein Problem seit letzter Zeit auf einem anderen, alten Computer. Unser alter Computer hat zwei Festplatten. Eine ist meine, die andere von meinen Eltern. (Hab inzwischen meinen eigenen Computer.) Auf meiner Festplatte habe ich Windows XP Professional, meine Eltern haben Windows XP Home Edition. An einem Morgen kommt mein Vater zu mir und bittet mich um Hilfe, da irgendetwas nicht funktioniere. Da hab ich mich gefragt, was das ist. Ich gehe ins Zimmer und sehe da plötzlich was Schrekliches: Das Desktop von der Festplatte meiner Eltern ist komplett leer! Nur das Hintergrundbild ist zu sehen. Kein Explorer, keine Verknüpfungen, keine Taskleiste. Noch nicht einmal der Task-Manager funktioniert! Ich drücke Strg + Alt + Entf, am Cursor erscheint die Sanduhr und es passiert gar nichts. Auch die Kombination zum Herunterfahren funktioniert nicht, also Alt + F4. Sogar der abgesicherte Modus geht nicht, es bleibt einfach ein schwarzer Bildschirm mit der Aufschrift "Abgesicherter Modus" in jeder Ecke des Bildschirms. Da musste ich den Rechner mit dem Netzschalter ausschalten und meine Festplatte laden, die noch glücklicherweise funktioniert. Als sie geladen war, klickte ich erstmal auf die Festplatte meiner Eltern, um mir das WINDOWS Verzeichnis anzuschauen. Und bevor ich auf den Ordner "WINDOWS" klickte, bemerkte ich eine seltsame Datei namens "U.EXE". Ich überprüfte sie mit Avira AntiVir Free Antivirus (Version 9). Avira schlug Alarm und meinte, es sei im Temp Ordner meiner Festplatte ein "TR/Dldr.Piker.alf" [trojan] in der Datei "gqcipb.dll" gefunden worden. Also hat diese *.EXE Datei diese *.dll Datei entpackt, war meine Vermutung. Ich hab die Datei löschen lassen. Danach machte ich eine vollständige Prüfung mit Avira und am Ende meldete Avira zwei Funde auf der Festplatte meiner Eltern, nämlich im Ordner "C:WINDOWS\system32". Die Dateien hießen "h.dll" und "ztlwzv.dll". Ich hab sie auch gelöscht und als ich dann den Computer neu startete, funktionierte die andere Festplatte. Der Explorer war da, die Verknüpfungen. Der Desktop erschien wieder. Aber am nächsten Tag funktionierte die Festplatte wieder nicht. Kein Explorer, rein gar nichts wieder. Da hab ich meine Festplatte wieder geladen und auf der anderen Festplatte befand sich wieder die Datei "U.EXE". Ich löschte sie und seitdem erschien sie nie wieder (also die letzten Tage). Aber die Festplatte meiner Eltern funktioniert immer noch nicht. Ich hab auf meiner noch einen vollständigen Scan durchgeführt und da wurden im Ordner der Systemwiederherstellung "System Volume Information" zwei *.dll Dateien gefunden, verseucht durch diesen "TR/Dldr.Piker.alf". Es waren also meiner Meinung nach Kopien von "h.dll" und "ztlwzv.dll". Sie wurden von mir entfernt und seitdem meldete Avira nichts mehr. Ich hab auch den ganzen Computer mit der Avira AntiVir Rescue-System CD (3.6.9) mit den neuesten Updates überprüft, aber nichts wurde gefunden. Hab auch einige Rootkit Programme beide Festplatten überprüfen lassen, wie Sophos Anti-Rootkit 1.5 oder AVG Anti-Rootkit Free. Ich glaube, dass da irgendetwas in der Registry die Festplatte nicht starten lässt oder es irgendwelche andere *.dll Dateien sind. Ich glaube auch, dass "Dldr" für "Downloader" steht. Ich kann deshalb auch keinen HiJackThis-Log File posten, da die Festplatte nicht funktioniert. Ich kann gern einen von meiner Festplatte machen, wenn nötig.

Steckt irgendetwas im Master Boot Record? Ich hoffe, Ihr könnt mir helfen.
Danke.

Hallo und

Ich mag ausführliche Postings, aber keine Romane, bitte auf das Wesentlichste kürzen und auch ab und zu mal einen Absatz darfst Du auch machen

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!! )

Wichtig für Benutzer mit Windows Vista und Windows 7: Bitte alle Tools per Rechtsklick => Als Admin ausführen!

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Sorry für den Roman, ging irgendwie nicht kürzer. Hast Recht mit den Absätzen, hab ich vergessen. Danke für die Antwort, nur aber kann ich die ganzen Programme ja nicht auf der Festplatte meiner Eltern ausführen, da sich ja nichts öffnet und der Desktop leer ist. Soll ich dann alles auf meiner Festplatte durchführen?

Ob Du das von Deiner Platte, der von den Eltern oder der CD Deines Schwippschwagers ausführst ist völlig egal - Hauptsache Du führst es auf dem verseuchten PC auch aus

Öffnet sich weder HijackThis noch RSIT? Was passiert wenn Du die Programm zuvor umbeneannst, hijackthis.exe zB in pruefhjt.com und rsit.exe in pruefung.com ?

Ich kann ja nichts auf der Platte der Eltern durchführen. Alles funktioniert super auf meiner Platte, deshalb frage ich ja. Bloß meine Platte ist nicht verseucht, nur die meiner Eltern. Hat es dann einen Sinn das alles auf meiner Platte durchzuführen? Kann ich irgendwie in die Registry der anderen Festplatte von meiner aus eingreifen?

Es ist völlig egal von welchem medium was geladen wird. Was Du wohl meinst, ist dass in der verseuchten Umgebung (der Platte Deiner Eltern) keine Ausführung mehr möglich ist.

Ich würde nicht empfehlen, DEINE Platte da reinzuhängen und DEIN OS auf nem ganz anderen PC mit andere Hardware zu starten, ist ne schlechte Idee.

Was ist mit meinen Fragen in Posting #4?

Ja, genau. Es ist keine Ausführung mehr möglich, deshalb wollte ich ja wissen, ob ich die Scans mit den Programmen aus der Liste auf meiner Platte durchführen soll. Das mit den Fragen verstehe ich nicht ganz: Wozu soll ich denn die Dateien von z.B. *.exe nach *.com umbenennen, wenn die doch ausgeführt werden können ohne umbenannt zu werden? :S

Wir brauchen Scans heraus wenn das Programm aus dem verseuchten System aus gestartet wird; oder willst Du DEIN OS verarzten?

Das Umbenennen von .exe nach .com ist eine Vorsichtsmaßnahme, falls eben einer wie Du Probleme hat beim Ausführen von .exe

Aber ich kann ja von der Platte meiner Eltern aus nichts ausführen!? Was soll ich denn jetzt machen? Ich bin ehrlich gesagt verwirrt.

Du sollst ja auch die Programme umbenennen VOR dem Ausführen!
Alternativ Malwarebytes "von Deiner Platte" (wie Du so schön sagst ) ausführen und auf die Platte der Eltern losgehen - Log posten!!!

Ach so!!! Okay, mach ich, danke für die Antwort. War halt etwas verwirrt, sorry.