Hallo zusammen,

seit Kurzem (ungefähr Samstag, 11.09.2010) kommt auf meinem Rechner (Windows XP) nach dem Start die Windows Service Alert Meldung.
Diese verhindert, dass ich alle Programme öffnen kann und sagt, dass die ausgewählte Datei infiziert ist.
Ich habe schon andere Beiträge genau zu diesem Problem gefunden (dieser hier beschreibt mein Problem eigentlich exakt: http://www.trojaner-board.de/88043-w...are-alert.html) und habe Malwarebytes und OTL nach der Beschreibung in diesem Beitrag laufen lassen.
Malwarebytes hat 6 Objekte gefunden und erfolgreich gelöscht.

Nachdem Malwarebytes gelaufen ist und die Dateien gelöscht hat, habe ich den Rechner neu gestartet (im normalen Modus) und dann kam die Windows Alert Meldung nicht mehr und ich kann auch die Programme wieder starten.

Da ich mir aber nicht 100% sicher bin, ob meine Log-Dateien den anderen gleichen und bevor ich irgendwas falsch mache, frage ich euch lieber was ich jetzt tun soll. ;-)

Die einzelnen Logs (mbam-Logfile, otl.txt und Extras.txt) habe ich hoch geladen.

Was genau muss ich jetzt als nächstes tun?

Schon mal vielen Dank für eure Hilfe und einen schönen Abend noch,
Katrin

Art des Suchlaufs: Quick-Scan

Hallo und

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Hallo,

habe jetzt den Fullscan durchgeführt - es wurden noch mal 4 Funde gefunden.
Allerdings ist mir die Aktualiesierung von Malware vorher abgebrochen.
Ich hoffe, dass ihr mit den Logs jetzt schon was anfangen könnt.
Ich starte noch mal im abgesicherten Modus und lasse den Scan einfach noch mal laufen.

Bis dahin schon mal danke und viele Grüße
Katrin

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

:OTL
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = http=127.0.0.1:6092
O32 - AutoRun File - [2004.01.29 15:54:59 | 000,000,000 | ---- | M] () - E:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2004.01.20 15:50:52 | 000,020,480 | ---- | M] (TARGA GmbH) - F:\AUTORUN.EXE -- [ FAT32 ]
O32 - AutoRun File - [2004.01.15 10:25:14 | 000,000,053 | ---- | M] () - F:\AUTORUN.INF -- [ FAT32 ]
O33 - MountPoints2\F\Shell\AutoRun\command - "" = F:\AUTORUN.EXE -- [2004.01.20 15:50:52 | 000,020,480 | ---- | M] (TARGA GmbH)
:Commands
[purity]
[resethosts]
[emptytemp]
         

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo Arne,

danke für die Antwort.
Kann ich das im normalen Modus machen?
Momentan läuft Malwarebytes noch, hat aber bisher keine infizierten Objekte gefunden. Kann ich das auch abbrechen oder soll ich das lieber laufen lassen?

Warte ab bis es durch ist. Ich war da schon etwas vorschnell. Poste das Log und wenn ich ok sage kannst Du das mit OTL machen.

Alles klar, mach ich.

So, Malware ist jetzt fertig.
Hat nichts gefunden. Hier der Log.
Soll ich OTL auch noch mal laufen lassen?

Ist ok, mach das mit OTL

Ist das normal dass das Runterfahren von Windows nach dem Klick auf OK länger dauert?
Der Rechner steht jetzt schon seit ca. 5 Minuten wenn nicht sogar noch länger auf "Windwos wird heruntergefahren...."

Der Rechner fährt immernoch runter...?
Soll ich den einfach mal über Nacht anlassen?

Der Fix mit OTL war eigentlich durchgelaufen, dann kam die Meldung dass mit OK der Rechner neugestartet wird... und dann bleibt´s beim Herunterfahren hängen... :-(

Ich war jetzt mal ganz radikal und habe (nachdem der Rechner nach einer halben Stunde immernoch nicht neugestartet wurde) das Knöpfchen gedrückt und den PC manuell aus- und angeschaltet.

Windows scheint normal gestartet zu sein - zumindest kam keine Fehlermeldung oder Hinweismeldung und der log aus dem OTL-Fix wurde angezeigt:

All processes killed
========== OTL ==========
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer| /E : value set successfully!
E:\AUTOEXEC.BAT moved successfully.
F:\AUTORUN.EXE moved successfully.
F:\AUTORUN.INF moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\F\ deleted successfully.
File F:\AUTORUN.EXE not found.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 3358522 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Mein Computer
->Temp folder emptied: 50774963 bytes
->Temporary Internet Files folder emptied: 572360822 bytes
->FireFox cache emptied: 39493052 bytes
->Flash cache emptied: 47075 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2148906 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 2722246 bytes
RecycleBin emptied: 15628984 bytes

Total Files Cleaned = 655,00 mb


OTL by OldTimer - Version 3.2.12.0 log created on 09142010_230814

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...



Was muss ich jetzt noch tun?
Danke und gute Nacht,
Katrin

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Beim Abbarbeiten des CCleaner Programms kommt jetzt bei den Registryeinträge angehängte Meldungen. Kann ich die auch einfach löschen/beheben?
Ausserdem fragt er vorher, ob ich die Änderungen in der Registry speichern möchte. Soll ich das tun?

Ja bitte alles löschen und ein backup vorher der Registry machen. also das was CCleaner vorschlägt!