Hi,
ersteinmal Lob an alle Helfer auf der Seite. Ihr macht das echt Klasse.

Zum Problem:
Vor ein paar Tagen beim Surfen habe ich mich Malware eingefangen. Nachdem ich merkte dass etwas nicht stimmte (Bufferoverflow?), habe ich sofort (10-15sek) nach öffnen der Seite die Internetverbindung getrennt. Dann habe ich Antivir meinen Rechner checken lassen und es fand sich im temp Ordner von JAVA die Malware Agent.M.1 und Agent.M.3. Beide liesen sich entfernen. Im Ereignisprotokoll habe ich gesehen, dass zum Zeitpunkt der Infektion irgendetwas den Volumenschattenkopie Dienst ausgeführt hat, dieser jedoch unterbrochen wurde, da "ein Speicher nicht erweitert werden konnte (oder so ähnlich)".
Trotzem habe ich mit meiner Windows Recovery DVD Windows neu aufgesetzt (ohne zu formatieren).
Dabei sind alle meine Daten auf C: verloren gegangen (so wies sein soll), auf meiner D: Partition habe ich jedoch nichts verändert.

Nach dem Neuistallation habe ich, nach der Anleitung hier, Malwarebytes Antimalware runtergeladen und ausgeführt.
Sowohl Schnell- als Kurzcheck fanden nichts.
Danach habe ich den ESET-Online Check durchgeführt -> 2 Funde auf D:\

D:\REST\\Mathematica\emwin71010.iso           prabably a variant of WIN32/TrojanDownloader.Agent.JFSMHIC trojan       deleted - quarantined
D:\REST\\Spektroskopie\autorun.inf     INF/Autorun virus    deleted - quarantined
         

1. Fund: recht unwahrscheinlich, dass das wirklich etwas ist
2. Fund: ka, wie da ein autorun hingekommen ist, und hab leider vergessen zu schaun was darin steht.

Ich habe noch versucht GMER-Scans laufen zu lassen, aber diese haben sich zweimal bei unterschiedlichen Dateien aufgehängt.

Meine Frage ist jetzt:
Reicht das um sicher zu sein, dass ich frei von malware bin?

Oder ist es möglich, dass sich noch etwas auf meinem Rechner befindet (weil meine D-Partition unverändert ist und ich nur eine Recovery von Windows erstellt habe).

Viele Grüsse und schonmal danke.


PS: was ist der unterschied zwischen "Formatieren und dann Windows installieren" und "eine Recovery von Windows erstellen"?

D:\REST\\Mathematica\emwin71010.iso prabably a variant of WIN32/TrojanDownloader.Agent.JFSMHIC trojan deleted - quarantined
D:\REST\\Spektroskopie\autorun.inf INF/Autorun virus deleted - quarantined

Sieht eher nach Fehlalarmen aus. Poste mal die Logs von Malwarebytes auch wenn nicht gefunden wurde.

Log des Quick-Scans

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4505

Windows 6.0.6000
Internet Explorer 7.0.6000.16386

30.08.2010 11:54:27
mbam-log-2010-08-30 (11-54-27).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 125663
Laufzeit: 19 Minute(n), 4 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

Log des vollständigen Scans

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4505

Windows 6.0.6000
Internet Explorer 7.0.6000.16386

30.08.2010 14:57:07
mbam-log-2010-08-30 (14-57-07).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 322048
Laufzeit: 3 Stunde(n), 1 Minute(n), 56 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

Noch Probleme oder weitere Funde in der Zwischenzeit?

Nicht direkt...
Ich bin umgezogen und bin jetzt in einem neuen Netzwerk, wobei das Internet von einem Unternehmen bereitgestellt wird.

Als ich das erste Mal connectet habe, bekam ich von Norton die Meldung.

Details: Attempted Intrusion "Portscan" against your machine was detected and blocked.
Intruder: 125.45.109.166(12200).
Risk Level: Medium.
Protocol: TCP.
Attacked IP: ***.
Attacked Port: 8090.
         

Aber seitdem bekomme ich, wenn ich Firefox öffne, zusätzlich die Meldung

Details: Unused port blocking has blocked communications.
Inbound TCP connection.
Remote address,local service is (***,http(80)).
         

Wobei *** der Name meines Rechners ist

Und immerwieder zwischendurch sowas:

Details: Unused port blocking has blocked communications.
Inbound TCP connection.
Remote address,local service is (41.236.125.3,telnet(23)).
         

Diese Meldungen kommen erst seitdem ich im neuen Netzwerk bin.

Als ich das erste Mal connectet habe, bekam ich von Norton die Meldung.

Norton Internet Security? Deinstallier den Schrott.

Lies einfach mal hier, ich denke dann sollte es etwas klarer werden:

Die Vertrauensbrecher c't Editorial über Internet Security Suites und warum sie idR nichts taugen
Oberthal online: Personal Firewalls: Sinnvoll oder sinnfrei?
personal firewalls ? Wiki ? ubuntuusers.de
NT-Dienste sicher konfigurieren und abschalten (Windows 2000/XP) - www.ntsvcfg.de
microsoft.public.de.security.heimanwender FAQ

Dann wirst Du feststellen, dass es einfach nur unnötig ist, sich das System mit einer weiteren "Schutzkomponente" zu verhunzen...

Malwarebefall vermeiden kannst Du sowieso nur, wenn Du selbst Dein verhalten in den Griff bekommst => Kompromittierung unvermeidbar?

Norton wurde bei der Recovery automatisch mitinstalliert.
Aber danke für die Links.