Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000003d

Kernel Drivers (total 121):
0x804D7000 \WINDOWS\system32\ntoskrnl.exe
0x806EF000 \WINDOWS\system32\hal.dll
0xF7987000 \WINDOWS\system32\KDCOM.DLL
0xF7897000 \WINDOWS\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINDOWS\System32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINDOWS\System32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74D7000 ftdisk.sys
0xF798B000 dmload.sys
0xF74B1000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7499000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINDOWS\System32\DRIVERS\CLASSPNP.SYS
0xF7479000 fltmgr.sys
0xF7467000 sr.sys
0xF7647000 PxHelp20.sys
0xF7450000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF7423000 NDIS.sys
0xF7717000 SISAGPX.sys
0xF789B000 RecAgent.sys
0xF7409000 Mup.sys
0xF7677000 \SystemRoot\System32\DRIVERS\amdk7.sys
0xBAE58000 \SystemRoot\System32\DRIVERS\ati2mtag.sys
0xBAE44000 \SystemRoot\System32\DRIVERS\VIDEOPRT.SYS
0xF7687000 \SystemRoot\System32\DRIVERS\i8042prt.sys
0xF7737000 \SystemRoot\System32\DRIVERS\mouclass.sys
0xF7747000 \SystemRoot\System32\DRIVERS\kbdclass.sys
0xF7697000 \SystemRoot\System32\DRIVERS\imapi.sys
0xF76A7000 \SystemRoot\System32\DRIVERS\cdrom.sys
0xF76B7000 \SystemRoot\System32\DRIVERS\redbook.sys
0xBAE21000 \SystemRoot\System32\DRIVERS\ks.sys
0xF792B000 \SystemRoot\System32\drivers\GEARAspiWDM.sys
0xBACD1000 \SystemRoot\system32\drivers\cmuda.sys
0xBACAD000 \SystemRoot\system32\drivers\portcls.sys
0xF76C7000 \SystemRoot\system32\drivers\drmk.sys
0xF776F000 \SystemRoot\System32\DRIVERS\usbohci.sys
0xBAC89000 \SystemRoot\System32\DRIVERS\USBPORT.SYS
0xF7777000 \SystemRoot\System32\DRIVERS\usbehci.sys
0xF777F000 \SystemRoot\System32\DRIVERS\sisnic.sys
0xBAC26000 \SystemRoot\system32\DRIVERS\slntamr.sys
0xF793F000 \SystemRoot\system32\DRIVERS\SlWdmSup.sys
0xBAC07000 \SystemRoot\system32\DRIVERS\Mtlmnt5.sys
0xF7797000 \SystemRoot\System32\Drivers\Modem.SYS
0xF77A7000 \SystemRoot\System32\DRIVERS\fdc.sys
0xF76D7000 \SystemRoot\System32\DRIVERS\serial.sys
0xBAFFC000 \SystemRoot\System32\DRIVERS\serenum.sys
0xBABCB000 \SystemRoot\System32\DRIVERS\parport.sys
0xBAFF4000 \SystemRoot\System32\DRIVERS\gameenum.sys
0xF7AA8000 \SystemRoot\System32\DRIVERS\audstub.sys
0xF76E7000 \SystemRoot\System32\DRIVERS\rasl2tp.sys
0xBAFEC000 \SystemRoot\System32\DRIVERS\ndistapi.sys
0xBABB4000 \SystemRoot\System32\DRIVERS\ndiswan.sys
0xF76F7000 \SystemRoot\System32\DRIVERS\raspppoe.sys
0xF7586000 \SystemRoot\System32\DRIVERS\raspptp.sys
0xF77C7000 \SystemRoot\System32\DRIVERS\TDI.SYS
0xF77D7000 \SystemRoot\System32\DRIVERS\ptilink.sys
0xF77E7000 \SystemRoot\System32\DRIVERS\raspti.sys
0xBAAE4000 \SystemRoot\System32\DRIVERS\rdpdr.sys
0xF7576000 \SystemRoot\System32\DRIVERS\termdd.sys
0xF7991000 \SystemRoot\System32\DRIVERS\swenum.sys
0xBAA86000 \SystemRoot\System32\DRIVERS\update.sys
0xBAF2C000 \SystemRoot\System32\DRIVERS\mssmbios.sys
0xF7536000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xF7526000 \SystemRoot\System32\DRIVERS\usbhub.sys
0xF7997000 \SystemRoot\System32\DRIVERS\USBD.SYS
0xF791F000 \SystemRoot\system32\drivers\MODEMCSA.sys
0xF7807000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xF799B000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7A75000 \SystemRoot\System32\Drivers\Null.SYS
0xF799F000 \SystemRoot\System32\Drivers\Beep.SYS
0xAE9A9000 \SystemRoot\system32\DRIVERS\ehdrv.sys
0xF773F000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF774F000 \SystemRoot\System32\drivers\vga.sys
0xF79A5000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79A9000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF775F000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF7787000 \SystemRoot\System32\Drivers\Npfs.SYS
0xBABFB000 \SystemRoot\System32\DRIVERS\rasacd.sys
0xAE976000 \SystemRoot\System32\DRIVERS\ipsec.sys
0xBAFC8000 \SystemRoot\System32\DRIVERS\msgpc.sys
0xAE91D000 \SystemRoot\System32\DRIVERS\tcpip.sys
0xAE8F5000 \SystemRoot\System32\DRIVERS\netbt.sys
0xAE8C5000 \SystemRoot\System32\DRIVERS\ipnat.sys
0xBAFB8000 \SystemRoot\System32\DRIVERS\wanarp.sys
0xAE8AC000 \SystemRoot\system32\DRIVERS\epfwtdir.sys
0xAE88A000 \SystemRoot\System32\drivers\afd.sys
0xBAFA8000 \SystemRoot\System32\DRIVERS\netbios.sys
0xAE7BF000 \SystemRoot\System32\DRIVERS\rdbss.sys
0xAE74F000 \SystemRoot\System32\DRIVERS\mrxsmb.sys
0xBAF88000 \SystemRoot\System32\Drivers\Fips.SYS
0xBAF58000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xAE737000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79B1000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xAEA3E000 \SystemRoot\System32\drivers\Dxapi.sys
0xF77F7000 \SystemRoot\System32\watchdog.sys
0xBF9C4000 \SystemRoot\System32\drivers\dxg.sys
0xF7AAB000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF9D6000 \SystemRoot\System32\ati2dvag.dll
0xBFA38000 \SystemRoot\System32\ati3d2ag.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xAE52B000 \SystemRoot\system32\DRIVERS\eamon.sys
0xAE5FB000 \SystemRoot\System32\DRIVERS\ndisuio.sys
0xAE2E6000 \SystemRoot\system32\drivers\wdmaud.sys
0xAE87A000 \SystemRoot\system32\drivers\sysaudio.sys
0xADFE3000 \SystemRoot\System32\DRIVERS\mrxdav.sys
0xF7993000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xF7995000 \SystemRoot\System32\Drivers\ASCTRM.SYS
0xAE263000 \SystemRoot\System32\Drivers\DgivEcp.Sys
0xADF3C000 \SystemRoot\System32\DRIVERS\srv.sys
0xAE020000 \SystemRoot\system32\DRIVERS\mdmxsdk.sys
0xAD9FB000 \SystemRoot\System32\Drivers\HTTP.sys
0xAD7ED000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 33):
0 System Idle Process
4 System
324 C:\WINDOWS\system32\smss.exe
376 csrss.exe
404 C:\WINDOWS\system32\winlogon.exe
448 C:\WINDOWS\system32\services.exe
460 C:\WINDOWS\system32\lsass.exe
620 C:\WINDOWS\system32\ati2evxx.exe
640 C:\WINDOWS\system32\svchost.exe
716 svchost.exe
760 C:\WINDOWS\system32\svchost.exe
820 svchost.exe
896 svchost.exe
976 C:\WINDOWS\system32\spoolsv.exe
1252 C:\WINDOWS\system32\ati2evxx.exe
1312 C:\WINDOWS\explorer.exe
1436 svchost.exe
1496 C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe
1528 C:\Programme\Java\jre6\bin\jqs.exe
1584 C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
1648 C:\WINDOWS\htpatch.exe
1696 C:\WINDOWS\system32\slserv.exe
1732 C:\WINDOWS\system32\svchost.exe
1744 C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
1776 C:\Programme\Scansoft\PaperPort\pptd40nt.exe
1812 C:\Programme\ESET\ESET NOD32 Antivirus\egui.exe
1824 wdfmgr.exe
1860 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
1896 C:\Programme\DivX\DivX Update\DivXUpdate.exe
2112 alg.exe
2664 C:\WINDOWS\system32\wuauclt.exe
3688 C:\Programme\Mozilla Firefox\firefox.exe
356 C:\Dokumente und Einstellungen\Privat\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x00000009`c3dcd400 (NTFS)

PhysicalDrive0 Model Number: Maxtor6Y120L0, Rev: YAR41BW0

Size Device Name MBR Status
--------------------------------------------
114 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11


Done!

114 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Malewarebytes war ok, Superantispy wurde fündig, log poste ich separat


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4737

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

04.10.2010 11:59:09
mbam-log-2010-10-04 (11-59-09).txt

Art des Suchlaufs: Vollständiger Suchlauf (A:\|C:\|D:\|G:\|)
Durchsuchte Objekte: 239553
Laufzeit: 2 Stunde(n), 52 Minute(n), 0 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

hier der scan von superantispy:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 10/04/2010 at 01:07 PM

Application Version : 4.43.1000

Core Rules Database Version : 5624
Trace Rules Database Version: 3436

Scan type : Complete Scan
Total Scan Time : 03:52:45

Memory items scanned : 445
Memory threats detected : 0
Registry items scanned : 6172
Registry threats detected : 0
File items scanned : 95935
File threats detected : 4

Trojan.Agent/Gen-HackPatch
C:\PROGRAMME\1.0-HIDPI_PRIVAT\HIDEYOURIPADDRESSV10_BY__LEWAYE\HIDE.YOUR.IP.ADDRESS.1.0-PATCH.EXE
G:\BACKUPPROGRAMME\1.0-HIDPI_PRIVAT\HIDEYOURIPADDRESSV10_BY__LEWAYE\HIDE.YOUR.IP.ADDRESS.1.0-PATCH.EXE

Trojan.Downloader-Gen/A
C:\PROGRAMME\MOZILLA FIREFOX\A.EXE
G:\BACKUPPROGRAMME\MOZILLA FIREFOX\A.EXE

Trojan.Agent/Gen-HackPatch
C:\PROGRAMME\1.0-HIDPI_PRIVAT\HIDEYOURIPADDRESSV10_BY__LEWAYE\HIDE.YOUR.IP.ADDRESS.1.0-PATCH.EXE
G:\BACKUPPROGRAMME\1.0-HIDPI_PRIVAT\HIDEYOURIPADDRESSV10_BY__LEWAYE\HIDE.YOUR.IP.ADDRESS.1.0-PATCH.EXE

Was soll der Quatsch?

C:\PROGRAMME\MOZILLA FIREFOX\A.EXE

Bitte diese Datei bei Virustotal auswerten lassen und den Ergebnislink posten. Falls Du die Datei nicht siehst, musst Du sie evtl. vorher sichtbar machen.
Wenn die Datei schon ausgewertet sein sollte, bitte eine weitere Auswertung starten.

das wurde mir mal empfohlen, um nicht so offen im Internet zu surfen. Habs aber nie benutzt. Keine Ahnung, ob das was taugt. Kann man löschen.

Habe alle Anweisungen befolgt, versteckte Ordner zu finden, trotzdem ist a.exe im Order Mozilla Firefox nicht zu finden., weder im Ordner noch mit nem Suchlauf..

Wenn man firefox einfach komplett löscht? Oder geht das nicht so einfach.

Ich suche auf alle Fälle weiter...

kann es sein, dass die Datei "a.exe" in der Quarantäne steckt von Superantispy?

Ja, kann sein, dass die a.exe von SUPERAntiSpyware in die Quarantäne gesteckt wurde....
Noch Probleme oder weitere Funde in der Zwischenzeit?

wobei ich sie noch nicht gelöscht habe, steckt also noch in Quarantäne. soll ich sie da mal löschen?

Nein, habe seit zwei Tagen nix mehr gemerkt...

das hide ip ding soll ich auch löschen?

wobei ich sie noch nicht gelöscht habe, steckt also noch in Quarantäne. soll ich sie da mal löschen?

Du weißt, was eine Quarantäne ist? Ob da die schädliche Datei drinbleibt oder nicht, das hat keine Auswirkungen. Schädlinge in der Quarantäne können nichts mehr anrichten, sie sind dort isoliert. Du solltest grundsätzlich mit der Quarantäne arbeiten, denn falls der Virenscanner durch einen Fehlalarm was wichtiges löscht, kannst Du notfalls noch über die Quarantäne an die Datei ran.

das hide ip ding soll ich auch löschen?

Ja, lösch diesen Unsinn.

Dann wären wir auch soweit durch...

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

alles klar, merci vielmals