ok bis später.

Ok, tut mir leid, hat doch etwas länger gedauert.

Der infizierte Laptop hat jedoch nichts weiter geschafft. Heißt, er steht immer noch bei dem Scan mit dem Startfenster (im Safe-Mode)

Also, ich habe es nun in allen Möglichen Kombinationen aus Modus und Benutzer (Admin und infizierter User) ausprobiert. Es geht nie weiter als bis zu diesem einen Fenster.

lösche mal deine kopie von combofix.
dann lade erneut runter, wie folgt:
rechtsklick auf download link, ziehl speichern unter
lösche
combofix.exe
aus dateinamen
und schreibe
2345.com
dann speichern und erneut im abgesicherten modus starten.
wenns nicht erfolgreich ist, nicht lange probieren, einfach bescheid geben :-)

Guten Morgen,

Ich habe die combofix.exe Datei gelöscht und neu runtergeladen.
Auch davor umbenannt und gespeichert.

Auch im Safemode ausgeführt. Es funktioniert leider trotzdem nicht!

ok.
lade den CCleaner slim:
Piriform - Builds
falls der CCleaner bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Also ok, ich hab das durchgeführt.

Hier der Inhalt:

Adobe Flash Player 10 ActiveX (nötig)
Adobe Reader 9.3 - Deutsch (nötig)
Adobe Shockwave Player 11.5 (nötig)
Apple Application Support (unbekannt)
Apple Mobile Device Support (unbekannt)
Apple Software Update (unbekannt)
Avira AntiVir Personal - Free Antivirus (nötig)
Bonjour (unbekannt)
Compatibility Pack for the 2007 Office system (unbekannt)
eBay Toolbar (unnötig)
Google Toolbar for Internet Explorer (unnötig)
HP Product Detection (unbekannt)
HP PSC & OfficeJet 6.1.A (unbekannt)
ICQ Toolbar (unnötig)
ICQ7 (nötig)
Intel(R) Graphics Media Accelerator Driver for Mobile (nötig?)
Intel(R) PROSet/Wireless WiFi-Software (nötig?)
iTunes (nötig)
Java(TM) 6 Update 18 (nötig)
Malwarebytes' Anti-Malware (nötig?)
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft Compression Client Pack 1.0 for Windows XP
Microsoft Office Professional Edition 2003 (Ende)
Microsoft Silverlight
Microsoft User-Mode Driver Framework Feature Pack 1.0
Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
Microsoft-Basissmartcard-Kryptografiedienstanbieterpaket
Nero OEM (nötig)
PowerDVD (nötig)
QuickTime (nötig)
SoundMAX (unbekannt)
ThinkPad Bluetooth with Enhanced Data Rate Software
ThinkPad Integrated 56K Modem
ThinkPad Power Management Driver
ThinkPad UltraNav Driver
Windows Genuine Advantage Validation Tool (KB892130)
Windows Internet Explorer 8
Windows Media Format 11 runtime
Windows Media Player 11
Windows XP Service Pack 3

Für zukünftige Posts, soll ich die Files eig hochladen oder so reinstellen?

Für Microsoft, ThinkPad und Windows sollte eig alles nötig sein, da kenne ich mich aber zu wenig aus. Dort wo ich ein (nötig?) habe denke ich, dass es benötigt wird, aber das wirst du ja dann wissen.
Es ist wiegesagt nicht mein Laptop, aber ich denke, dass das so passen sollte.

Adobe Reader 9
ersetzen:
Adobe - Adobe Reader herunterladen - Alle Versionen

bitte den mcafee security scan nicht mit instalieren.
öffne den adobe reader, bearbeiten, voreinstellungen, javascript, dort den haken raus, internet, ebenfalls alle haken raus.
so werden keine pdfs mehr automatisch geladen und es kann dir kein schadcode mehr auf diese weise untergeschoben werden.
unter allgemein, nur zertifizierte zusatzmodule verwenden anhaken.
unter update, auf instalieren stellen.
klicke übernehmen /ok

deinstaliere:
Bonjour
eBay Toolbar
Google Toolbar
ICQ Toolbar
bereinige dann mit dem CCleaner dateien + registry.
na wenns lange texte sind, wie otl logs zb kannst die schon hochladen :-)
avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.
bitte auch unter verwaltung, planer, scan auftrag, darauf achten, das dieser über lokale laufwerke läuft! sonst werden die einstellungen nicht gültig.
den update auftrag auf 1x pro tag einstellen.
und "nachhohlen falls zeit überschritten" auswählen

So hallo noch mal,

ich habe alle Schritte durchgeführt:
-Adobe Reader X
-alle Deinstallationen
-Avira Update und Konfiguration und Scan

Es hat alles bestens funktioniert, wenn auch jetzt etwas länger gedauert.
Hier das Avira Logfile:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Dienstag, 4. Januar 2011 15:10

Es wird nach 2323606 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : ****
Computername : IT-DAIP52H23K9O

Versionsinformationen:
BUILD.DAT : 10.0.0.609 31824 Bytes 13.12.2010 09:29:00
AVSCAN.EXE : 10.0.3.5 435368 Bytes 27.12.2010 12:58:07
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 11:42:16
LUKE.DLL : 10.0.3.2 104296 Bytes 27.12.2010 12:58:07
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 11:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 06:35:52
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 12:58:05
VBASE002.VDF : 7.11.0.1 2048 Bytes 14.12.2010 12:58:05
VBASE003.VDF : 7.11.0.2 2048 Bytes 14.12.2010 12:58:05
VBASE004.VDF : 7.11.0.3 2048 Bytes 14.12.2010 12:58:05
VBASE005.VDF : 7.11.0.4 2048 Bytes 14.12.2010 12:58:05
VBASE006.VDF : 7.11.0.5 2048 Bytes 14.12.2010 12:58:05
VBASE007.VDF : 7.11.0.6 2048 Bytes 14.12.2010 12:58:05
VBASE008.VDF : 7.11.0.7 2048 Bytes 14.12.2010 12:58:05
VBASE009.VDF : 7.11.0.8 2048 Bytes 14.12.2010 12:58:05
VBASE010.VDF : 7.11.0.9 2048 Bytes 14.12.2010 12:58:05
VBASE011.VDF : 7.11.0.10 2048 Bytes 14.12.2010 12:58:05
VBASE012.VDF : 7.11.0.11 2048 Bytes 14.12.2010 12:58:05
VBASE013.VDF : 7.11.0.52 128000 Bytes 16.12.2010 12:58:05
VBASE014.VDF : 7.11.0.91 226816 Bytes 20.12.2010 12:58:05
VBASE015.VDF : 7.11.0.122 136192 Bytes 21.12.2010 12:58:05
VBASE016.VDF : 7.11.0.156 122880 Bytes 24.12.2010 12:58:06
VBASE017.VDF : 7.11.0.185 146944 Bytes 27.12.2010 13:07:16
VBASE018.VDF : 7.11.0.228 132608 Bytes 30.12.2010 12:53:32
VBASE019.VDF : 7.11.1.5 148480 Bytes 03.01.2011 12:53:25
VBASE020.VDF : 7.11.1.6 2048 Bytes 03.01.2011 12:53:25
VBASE021.VDF : 7.11.1.7 2048 Bytes 03.01.2011 12:53:25
VBASE022.VDF : 7.11.1.8 2048 Bytes 03.01.2011 12:53:25
VBASE023.VDF : 7.11.1.9 2048 Bytes 03.01.2011 12:53:25
VBASE024.VDF : 7.11.1.10 2048 Bytes 03.01.2011 12:53:25
VBASE025.VDF : 7.11.1.11 2048 Bytes 03.01.2011 12:53:25
VBASE026.VDF : 7.11.1.12 2048 Bytes 03.01.2011 12:53:25
VBASE027.VDF : 7.11.1.13 2048 Bytes 03.01.2011 12:53:25
VBASE028.VDF : 7.11.1.14 2048 Bytes 03.01.2011 12:53:25
VBASE029.VDF : 7.11.1.15 2048 Bytes 03.01.2011 12:53:26
VBASE030.VDF : 7.11.1.16 2048 Bytes 03.01.2011 12:53:26
VBASE031.VDF : 7.11.1.20 29184 Bytes 04.01.2011 12:53:26
Engineversion : 8.2.4.134
AEVDF.DLL : 8.1.2.1 106868 Bytes 27.12.2010 12:58:06
AESCRIPT.DLL : 8.1.3.51 1286524 Bytes 31.12.2010 12:53:43
AESCN.DLL : 8.1.7.2 127349 Bytes 27.12.2010 12:58:06
AESBX.DLL : 8.1.3.2 254324 Bytes 27.12.2010 12:58:06
AERDL.DLL : 8.1.9.2 635252 Bytes 27.12.2010 12:58:06
AEPACK.DLL : 8.2.4.7 512375 Bytes 31.12.2010 12:53:42
AEOFFICE.DLL : 8.1.1.10 201084 Bytes 27.12.2010 12:58:06
AEHEUR.DLL : 8.1.2.60 3158392 Bytes 31.12.2010 12:53:40
AEHELP.DLL : 8.1.16.0 246136 Bytes 27.12.2010 12:58:06
AEGEN.DLL : 8.1.5.0 397685 Bytes 27.12.2010 12:58:06
AEEMU.DLL : 8.1.3.0 393589 Bytes 27.12.2010 12:58:06
AECORE.DLL : 8.1.19.0 196984 Bytes 27.12.2010 12:58:06
AEBB.DLL : 8.1.1.0 53618 Bytes 27.12.2010 12:58:06
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 11:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 11:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 16:47:40
AVREG.DLL : 10.0.3.2 53096 Bytes 27.12.2010 12:58:06
AVSCPLR.DLL : 10.0.3.2 84328 Bytes 27.12.2010 12:58:07
AVARKT.DLL : 10.0.22.6 231784 Bytes 27.12.2010 12:58:06
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 09:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 12:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 15:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 14:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 13:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 27.12.2010 12:58:05

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Festplatten
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\alldiscs.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +APPL,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Dienstag, 4. Januar 2011 15:10

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SMAgent.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HPZipm12.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPLpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DLG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxpers.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hkcmd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'igfxtray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SMax4PNP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ibmpmsvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1681' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\_OTL\MovedFiles.zip
[0] Archivtyp: ZIP
[FUND] Ist das Trojanische Pferd TR/FakeSysdef.A.38
--> MovedFiles/01022011_212740/C_Dokumente und Einstellungen/All Users/Anwendungsdaten/usOYKYjJhLIkjsj.dll
[FUND] Ist das Trojanische Pferd TR/FakeSysdef.A.38
--> MovedFiles/01022011_212740/C_Dokumente und Einstellungen/All Users/Anwendungsdaten/VtEBhBGvHKFVrdI.exe
[FUND] Ist das Trojanische Pferd TR/Kazy.6946.3
C:\_OTL\MovedFiles\01022011_212740\C_Dokumente und Einstellungen\All Users\Anwendungsdaten\usOYKYjJhLIkjsj.dll
[FUND] Ist das Trojanische Pferd TR/FakeSysdef.A.38

Beginne mit der Desinfektion:
C:\_OTL\MovedFiles\01022011_212740\C_Dokumente und Einstellungen\All Users\Anwendungsdaten\usOYKYjJhLIkjsj.dll
[FUND] Ist das Trojanische Pferd TR/FakeSysdef.A.38
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '47e89554.qua' verschoben!
C:\_OTL\MovedFiles.zip
[FUND] Ist das Trojanische Pferd TR/Kazy.6946.3
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '5f94ba8f.qua' verschoben!


Ende des Suchlaufs: Dienstag, 4. Januar 2011 15:40
Benötigte Zeit: 27:19 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

6521 Verzeichnisse wurden überprüft
181817 Dateien wurden geprüft
3 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
2 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
181814 Dateien ohne Befall
1308 Archive wurden durchsucht
0 Warnungen
2 Hinweise
34566 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden

ich nehme an, keine probleme mehr?

Vielen Dank für die tollepräzise und schnelle Unterstützung!

Eine Frage habe ich allerdings noch
Die Dateien, die Avira findet müssen nicht gelöscht werden, es reicht die Quarantäne?

reinige mit otcleanit:
http://oldtimer.geekstogo.com/OTM.exe
Klicke cleanup!
dein pc wird evtl. neu starten
programm löscht sich selbst, + die verwendeten tools
bei interesse würd ich noch das system mit dir absichern wollen.

Otcleanit hat einwandfrei gearbeitet.

Ich würde gerne das System absichern! Ich muss allerdings in einer Stunde für eine Zeit lang gehen.

kein problem, das forum soll heute nicht geschlossen werden :-)

http://www.trojaner-board.de/96344-a...-rechners.html

Danke für die Tips. Ich werde wohl aber noch ein wenig brauchen, bis ich das alles umgesetzt habe (Vielleicht schaffe ich das ja bis heut abend oder morgen)

Also ich habe noch nie mit Opera gearbeitet, sondern eig nur mit FF und werde es mir einmal anschauen und dementsprechend einrichten.