Hallo,
seit kurzer Zeit findet Kaspersky bei mir einen "Trojaner" und bringt folgende Meldung.
02.01.2011 19:06:51 Gefunden trojanisches Programm Trojan.Win32.FakeAV.tcu\Device\HarddiskVolumeShadowCopy35\Users\Mustermann\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\14\3c3320ce-5f398365 Hoch
Habe versucht diesen zu entfernen, aber irgendwie klappt das nicht. Mit Kaspersky geht das nicht, weil ich nur die Option überspringen angeboten bekomme. Kann mit diesem Fehler nicht wirklich was anfangen. Habe auch über Goggel nix brauchbares gefunden. Schicke ein Hijackfile mit von heute.
Vielen Dank schon mal.
Gremlingizmo

Hallo und

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hallo,
danke für Deine Antwort.Schicke Dir in den Anhängen die gewünschten Logfiles.
Gruß
Gremlingizmo

-> No action taken.

Hast du die Funde nicht entfernt?

Noch nicht wollte warten auf deine Antwort Prog ist aber noch offen. Funde können jederzeit entfernt werden.
Gruß

Ja bitte alles entfernen!

Hallo,
nach löschen und Neustart bekam ich dann dieses Logfile.
Gruß

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo,
habe CC-Cleaner und CF ausgeführt, wie beschrieben. Schicke Dir hier das Logfile von CF. Gib einfach dann bitte kurz Bescheid, ob nun alles ok ist.

Gruß

Bitte nun Logs mit GMER und mbrcheck erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg

Anleitung zu mbrcheck:
Downloade Dir MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur wenige Sekunden.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hallo,
Gmer hat mir kein Logfile erstellt. Das von MBRCheck hänge ich Dir an.
Gruß

PhysicalDrive0 Model Number: ExcelStorTechnologyJ9250S, Rev: GM2OA52A
PhysicalDrive2 Model Number: ST31000528AS, Rev: 
PhysicalDrive3 Model Number: FUJITSUMHV2060BH PL, Rev: 
PhysicalDrive1 Model Number: WDCWD3200JB-00KFA0, Rev: 08.05J08

      Size  Device Name          MBR Status
  --------------------------------------------
    232 GB  \\.\PhysicalDrive0   Windows 7 MBR code detected
            SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79
    931 GB  \\.\PhysicalDrive2   RE: Unknown MBR code
            SHA1: 639AC5CDF8A5CF3245975932C6A4215450A7B98F
     55 GB  \\.\PhysicalDrive3   RE: Unknown MBR code
            SHA1: 909AA1564C33E51D85A1C8D76C2859643DFA987D
    298 GB  \\.\PhysicalDrive1   Windows XP MBR code detected
            SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A
         

4 Platten im Rechner??

Wofür werden diese genutz:

PhysicalDrive2 Model Number: ST31000528AS, Rev:
PhysicalDrive3 Model Number: FUJITSUMHV2060BH PL, Rev:

die haben nämlich einen unbekannten MBR, wenn es nur Datenplatten sind (auf dem kein Betriebssystem installiert ist) ist das so ok.
Hast du Win7 und XP installiert?

Hallo,
habe Win7 installiert.
Physikal Drive2 ist eine externe 1Terra Festplatte von IOMEGA.
Physikal Drive3 ist auch eine Externe. das ist die aus meinem alten Laptop und da war XP drauf.

Was ist das für eine Datei normalerweise.$RECYCLE.BIN. Habe diese auf dieser Platte aus dem Laptop und auf meiner D-Platte ( ist eine Partion von C ).

Gruß

RECYCLE ist für den Papierkorb

Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hallo,
das dieses ein Papierkorb ist, war mir schon klar, aber was macht der auf meiner D- Partition? Auf der von meinem alten Laptop versteh ich das ja noch, weil da mal ein Betribssys. drau war, aber auf einer Partition .
Hänge die 2 Logfiles an.
Diese Meldung bei superanti sind POI finder Prog. meines Navis.

Trojan.Agent/Gen-FakeAlert
C:\DOKUMENTE UND EINSTELLUNGEN\GREMLIN\EIGENE DATEIEN\DOWNLOADS\WEBINSTALLERBECKER POI\POI FINDER 3.5 BECKER WEB DOWNLOADER.EXE
C:\DOKUMENTE UND EINSTELLUNGEN\GREMLIN\EIGENE DATEIEN\DOWNLOADS\WEBINSTALLERBECKER_1\POI FINDER 3.5 BECKER WEB DOWNLOADER.EXE

Bei denen weiß ich nicht, was das ist.

Adware.Tracking Cookie
C:\Users\Gremlin\AppData\Roaming\Microsoft\Windows\Cookies\gremlin@atdmt[1].txt

Rogue.Pallidium
(x86) HKU\S-1-5-21-2198741025-448658465-3649031003-1000\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\INTERNET SETTINGS#WARNONPOSTREDIRECT.

Gruß