Hallo,
ich habe ein großes Problem. Meine Email Adresse verschickt Spam Mails an teilweise nicht existierende Adressen, aber auch an meine Privarkontakte. Ich hatte kein Antivirus Programm installiert, weil ich den Laptop erst bekommen habe. Nun habe ich ein AntiVirus System installiert. Jedoch kann das ja nicht mehr mein Problem beheben, da ich den Virus auf dem Pc habe.
Eine Gefahr erkennt das von mir installierte Programm übrigens nicht ...
Oh je.. :/ ich kenne mich kaum aus und weiß auch absolut nicht , was ich nun am besten machen sollte. Ich danke euch um jede kleine Hilfe .
Danke

Hi,

was für ein Antivirenlösung hast Du denn installiert...?

Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
* Lade Random's System Information Tool (RSIT) herunter (http://filepony.de/download-rsit/)
* speichere es auf Deinem Desktop.
* Starte mit Doppelklick die RSIT.exe.
* Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
* Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
* In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
* Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
* Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
* Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
* Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Gmer:
http://www.trojaner-board.de/74908-a...t-scanner.html
Den Downloadlink findest Du links oben (http://www.gmer.net/#files), dort dann
auf den Button "Download EXE", dabei wird ein zufälliger Name generiert (den und den Pfad wo Du sie gespeichert hast bitte merken).
Starte GMER und schaue, ob es schon was meldet. Macht es das, bitte alle Fragen mit "nein" beantworten, auf den Reiter "rootkit" gehen, wiederum die Frage mit "nein" beantworten und mit Hilfe von copy den Bericht in den Thread einfügen. Meldet es so nichts, gehe auf den Reiter Rootkit und mache einen Scan. Ist dieser beendet, wähle Copy und füge den Bericht ein.

chris

Ich habe nun Nod32 Antivirus 4 installiert. Mit diesem Programm habe ich den Computer auch schon geprüft, jedoch bekomme ich keine Meldung , dass eine Gefahr besteht bzw dass Viren u.ä. erkannt werden.

Zusätzlich habe ich auch noch Antivir Guard installiert.

Ich habe außerdem noch das McAfee Security Center auf dem Pc, welches ich allerdings nicht richtig installiert habe. Möchte ich nun mein Abonnenment aktivieren, wird dies geblockt, indem ich Virus Meldungen bekomme von Antivir Guard. Klicke ich auf Zugriff verweigern , oder in Quarantäne verschieben, bewirkt dies nichts und das Fenster geht erneut auf.
Folgendes steht dort: Es handelt sich um einen heuristischen Treffer. und : Enthält verdächtigen Code: HEUR/HTML.Malware

sorry das ich mich einklicke,habe das gleiche problem hab free av drauf ,und mein email adressbuch hat spam mails an alle aus meinem adressbuch geschickt,habe malwarebyte,rsit,,,,alles gemacht , logfiles alle in ordnung,,,aber trotzdem seltsam,scheint aber alles in ordnung zu sein!!lg nadine(habe alles mit cosinus hier durchgeschaut,vielen dank nochmaljetzt muss ich wohl abwarten ob doch noch was passiert!!hoffe nicht!

@scheinwelt
Poste bitte ein GMER-Log...
Es gibt einen neue Spammaschine, die aber noch keiner richtig kennt, sie scheint legitime Windowskomponenten zu verwenden und einen vollständigen Server zu umfassen... Das kann/wird "haarig" werden, sonst bleibt nur der Weg über Neuaufsetzten!
chris

Wenn ich Gmer öffne und einen Scan durchführe stürzt windows nach einer gewissen zeit ab.. hab es nun mehrfach versucht, aber es wird immer abgebrochen.

Hi,

versuche GMER im abgesicherten Modus (F8 beim Booten) zu starten...
Wäre wichtig, das GMER versteckte Sachen (Files, Reg.Keys etc. -> Rootkits) anzeigen kann. In letzter Zeit häufen sich allerdings die Fälle, wo es der Malware es gelingt, GMER auszubremsen...

Hast Du eine aktuelle Datensicherung bzw. eine XP-CD zur Hand?

chris

Gut, ich werde gleich versuchen nen scan durchzuführen.

noch eine frage: würde ich einfach meinen email account löschen, würde dies nicht den virus vernichten oder ..weil der sozusagen das ganze system angreift?

eine datensicherungs cd habe ich bisher noch nicht erstellt. da aber der laptop ganz neu ist, ist auch noch nichts wichtiges vorhanden.

ich kenne mich leider nur wenig aus...
würde ich jetzt den pc nochmal ganz neuaufsetzen, wäre dann auch das betriebssystem weg , wenn ich vorher keine sicherungs cd erstellt habe ?und wenn ich jetzt eine sicherungs cd erstelle, wird der virus dann nicht auch darauf "gespeichert"?

Edit: konnte den scan auch nicht im abgesicherten modus durchführen. wurde sofort abgebrochen, da wohl ein problem aufgetreten ist.

Hi,

beim Neuaufsetzten (http://www.trojaner-board.de/51262-a...sicherung.html) wird das Betriebssystem komplett überschrieben, so wie alle vorhandenen Daten und wieder in den "Auslieferungszustand" zurückversetzt. Dazu liegt den meisten Notebooks eine entsprechende "Recovery-CD" bei oder ein entsprechende Anweisung (bei Acer-Notebooks ist dafür eine spezielle Partition definiert, dort drückt man z. B. beim Booten "F10" -> http://www.acer-userforum.de/aspire-...ecksetzen.html)...

Ein Löschen des Accounts bringt nichts, die Malware hat alles notwendige "an Board" und ist auf Deinen Account nicht angewiesen...

Würde gerne noch einige Sachen probieren, wenn Du Zeit hast,
werde dann auch noch Kollegen um Hilfe bitten, der ein russisches Tool besser kennt als ich...

MBR-Rootkit
Lade den MBR-Rootkitscanner von GMER auf Deine Bootplatte:
http://www2.gmer.net/mbr/mbr.exe
Merke Dir das Verzeichnis wo Du ihn runtergeladen hast;
Start->Ausführen->cmd
Wechsle in das Verzeichnis des Downloads und starte durch Eingabe
von mbr das Programm...

Das Ergebnis sollte so aussehen:

D:\Downloads>mbr
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

In dem Verzeichnis wo mbr.exe liegt findest Du das Log, poste es im Thread;

Avira-Antirootkit
Downloade Avira Antirootkit und Scanne dein system, poste das logfile.
http://dl.antivir.de/down/windows/antivir_rootkit.zip

Dr. Web-Live-CD
Lade Dir das Abbild (http://freedrweb.com/livecd) runter (jeweils die neuste Version, z. Z. ftp://ftp.drweb.com/pub/drweb/livecd/20091231042002/) und brenne es auf CD/DVD. Stelle dann im BIOS die Bootreihenfolge um (zuerst von CD booten), boote dann von der erstellten CD und starte Dr. Web Live CD (default). Lass dann alle Festplatten untersuchen...
Bei Funden bitte Name und Pfad notieren, bevor du sie von Dr. Web beseitigen lässt...
Weiter Anweisungen: http://www.freedrweb.com/livecd/how_it_works/

chris

Danke schonmal für die Hilfe!

Mbr-Rootkit:

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: error reading MBR
kernel: MBR read successfully

Avira-Antirootkit:

vira AntiRootkit Tool (1.1.0.1)

========================================================================================================
- Scan started Freitag, 15. Januar 2010 - 18:27:25
========================================================================================================

--------------------------------------------------------------------------------------------------------
Configuration:
--------------------------------------------------------------------------------------------------------
- [X] Scan files
- [X] Scan registry
- [X] Scan processes
- [ ] Fast scan
- Working disk total size : 223.12 GB
- Working disk free size : 172.27 GB (77 %)
--------------------------------------------------------------------------------------------------------

Results:
Hidden key : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing\eventthrottlelastreported
Hidden key : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing\eventthrottlestate
Hidden value : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing -> eventthrottleflushperiodms
Hidden value : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing -> eventthrottlemaxevents
Hidden value : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing -> eventthrottleblockperiodms
Hidden value : HKEY_LOCAL_MACHINE\Software\Microsoft\Windows Search\Tracing -> eventthrottlemaxcontrolperiodms
Hidden key : HKEY_LOCAL_MACHINE\System\ControlSet001\Control\WMI\Autologger\SQMLogger\{2ff3e6b7-cb90-4700-9621-443f389734ed}
Hidden key : HKEY_LOCAL_MACHINE\System\ControlSet002\Control\WMI\Autologger\SQMLogger\{2ff3e6b7-cb90-4700-9621-443f389734ed}

--------------------------------------------------------------------------------------------------------
Files: 0/119634
Registry items: 8/318480
Processes: 0/85
Scan time: 00:15:00
--------------------------------------------------------------------------------------------------------
Active processes:
- System (PID 4)
- ePowerSvc.exe (PID 2044)
- mcmscsvc.exe (PID 2228)
- iexplore.exe (PID 5120)
- iexplore.exe (PID 5208)
- McProxy.exe (PID 524)
- mcsysmon.exe (PID 3432)
- svchost.exe (PID 1740)
- McNASvc.exe (PID 3016)
- AcerVCM.exe (PID 3716)
- iexplore.exe (PID 4552)
- svchost.exe (PID 1488)
- ODDPWR.exe (PID 4028)
- MpfSrv.exe (PID 1172)
- smss.exe (PID 472)
- svchost.exe (PID 1184)
- avguard.exe (PID 1976)
- RtHDVCpl.exe (PID 3004)
- McSACore.exe (PID 504)
- svchost.exe (PID 1164)
- csrss.exe (PID 544)
- SynTPEnh.exe (PID 3028)
- wininit.exe (PID 588)
- csrss.exe (PID 596)
- winlogon.exe (PID 628)
- services.exe (PID 672)
- lsm.exe (PID 696)
- rundll32.exe (PID 464)
- Mcshield.exe (PID 652)
- lsass.exe (PID 688)
- ePowerEvent.exe (PID 2688)
- iexplore.exe (PID 3036)
- ICQ.exe (PID 5868)
- msksrver.exe (PID 1376)
- svchost.exe (PID 872)
- svchost.exe (PID 948)
- mwlDaemon.exe (PID 3564)
- SearchIndexer.exe (PID 2756)
- explorer.exe (PID 2720)
- taskeng.exe (PID 4016)
- WmiPrvSE.exe (PID 3736)
- SkypeNames.exe (PID 5072)
- svchost.exe (PID 1128)
- GoogleToolbarUser_32.exe (PID 5196)
- audiodg.exe (PID 1272)
- taskeng.exe (PID 2616)
- svchost.exe (PID 1292)
- SLsvc.exe (PID 1316)
- unsecapp.exe (PID 3840)
- svchost.exe (PID 1364)
- MWLService.exe (PID 1444)
- spoolsv.exe (PID 1688)
- sched.exe (PID 1720)
- WmiPrvSE.exe (PID 3508)
- IScheduleSvc.exe (PID 1952)
- dsiwmis.exe (PID 2020)
- FlashUtil10b.exe (PID 5816)
- igfxext.exe (PID 3768)
- avirarkd.exe (PID 3416)
- SchedulerSvc.exe (PID 2136)
- SynTPHelper.exe (PID 3676)
- igfxext.exe (PID 4044)
- ODDPWRSvc.exe (PID 2344)
- svchost.exe (PID 2400)
- RS_Service.exe (PID 2416)
- svchost.exe (PID 2452)
- mcagent.exe (PID 3532)
- svchost.exe (PID 2692)
- igfxsrvc.exe (PID 3876)
- dwm.exe (PID 2732)
- BackupManagerTray.exe (PID 3560)
- IAANTmon.exe (PID 2872)
- ePowerTray.exe (PID 3320)
- IAAnotif.exe (PID 2964)
- igfxtray.exe (PID 2980)
- hkcmd.exe (PID 2988)
- igfxpers.exe (PID 2996)
- PLFSetI.exe (PID 3020)
- avgnt.exe (PID 3180)
- GoogleToolbarNotifier.exe (PID 2956)
- LManager.exe (PID 4004)
- igfxsrvc.exe (PID 3620)
- EgisUpdate.exe (PID 3844)
- zztkbyjn.exe (PID 5748) (Avira AntiRootkit Tool)
- conime.exe (PID 3156)
========================================================================================================
- Scan finished Freitag, 15. Januar 2010 - 18:42:26
========================================================================================================

Hi,
weißt du zufällig, wie du dir den Virus eingefangen hast?
Vielen Dank schonmal für die Antwort.

Hi,

nichts gefunden.
Damit wir uns richtig verstehen, die Emails werden von Deinem Rechner aus versendet, nicht nur mit Deinem (ev. dann gefälschten) Absender versehen, und einige der Empfänger stammen nachweislich aus Deinem Adressbuch?

Laut dem Log von AviraAntiRootkit läuft bei Dir Avira und McAfee?

Versuchen wir statt RSIT OTL:
OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop

* Doppelklick auf die OTL.exe
* Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
* Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
* Unter Extra Registry, wähle bitte Use SafeList
* Klicke nun auf Run Scan links oben
* Wenn der Scan beendet wurde werden 2 Logfiles erstellt
* Poste die Logfiles hier in den Thread.

Was hat der Scan mit Dr. Web ergeben?

Danke&Gruß,
chris

Guten Abend,

Bei Dr. Web hatte ich das Problem, dass ich auf anonym geklickt habe mit Eingabe der EMailadresse. Jedoch war damit die Anmeldung nicht möglich.

Und ja, die Mails werden von meinem Rechner aus verschickt. Ein angelegtes Adressbuch habe ich nicht, jedoch werden frühere Kontakte aufgegriffen, mit denen ein Nachrichtenaustausch stattfand/stattfindet. Der Absender dieser Mails entspricht exakt dem meinen. Habe auch selbst schon welche erhalten und weiß deshalb , dass sich in den vom Virus verschickten Nachrichten ein Link befindet (sicherlich um den Virus zu verbreiten).

McAFee war bereits auf dem Rechner, habe das jedoch nie aktualisiert bzw das Abonnement gestartet. Deshalb hatte ich mir Avira installiert.#

Es sind ja zwei logfiles entstanden. Die eine Datei ist leider viel zu groß , 214 kb, ums die hier in einer nachricht zu posten.


@videotuner: Nein, ich habe keine Ahnung, wie es dazu gekommen ist.

Nabend.

Erstelle bitte zwei AVZ logs.

Hi,

und poste das OTL-Log hierüber:

Fileuplod:
http://www.file-upload.net/, hochladen und den Link (mit Löschlink) als "PrivateMail" an mich...

Vielleicht können wir dem Teil ja doch auf den Grund gehen...
(Hi undoreal und danke!)

chris
Ps.: Bitte MBR.exe mit Adminrechten starten, d.h. die Konsole muss Adminrechte haben->Achtung! Vista und Win7-User müssen mbr.exe als "Administrator"
ausführen. Dazu muss die Console mit Adminrechten ausgestattet sein,
am Besten einen Link auf dem Desktop wie folgt erstellen:
Rechtsklick auf den Desktop, Neu-Verknüpfung erstellen, Ziel:
C:\Windows\System32\cmd.exe Name eingeben, Fertig.
Dann Rechtsklick auf die neu erstellte Verknüpfung und "Ausführen als
Administrator" auswählen, UAC abnicken und wie beschrieben verfahren....