Hallo Leute,

habe leider die unliebsame Aufgabe, einen befallenen PC für einen User zu "reinigen". Eine Neuinstallation soll zur Zeit wegen verschiedener Gründe möglichst nicht erfolgen, obwohl ich natürlich dazu geraten habe.

Befall mit dem "beliebten" Antimalware Doctor, habe mehrmals mit Antimalware-Software gescannt, teilweise von Boot-CDs: Norton 360, Kaspersky AV, Avira AV, MBAM, Autoruns, Blacklight, Spybot S&D, catchme, Exterminate It.
Erstaunlich, dass jedes Programm immer mal wieder etwas anderes gefunden hat, Avira wollte sogar ungefährliche, aber zentrale Systemdateien wie explorer.exe und winlogon.exe löschen. Eine Überprüfung bei virustotal.com ergab aber nichts.

Ich hoffe, das System ist sauber, bin mir aber durchaus nicht sicher.
1. Der User hat sein System auch mit Browser-Toolbars und zahlreichen System-Utilities zugemüllt, die er auch benutzen möchte.
2. Was ich merkwürdig finde, ich muss Programme wie MBAM und Spybot S&D umbenennen, um sie starten zu können. Liegt das vielleicht am installierten Norton 360, der warscheinlich auch den Setup-Prozess von Ad-Aware (auch bei Deaktiverung - Norton eben ;-) abschmieren lässt (Systemauslastung durch Norton-Task).

Die drei Logdateien habe ich als Anhang hochgeladen, hoffe, es hat funktioniert.

Vielen Dank schon einmal für eure Hilfe,

TB-User

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle davon posten. Du findest diese im Reiter Logdateien in Malwarebytes.

Ja, gerne, es gibt noch drei Logs, im ältesten werden zwei Trojaner entfernt.

Mittlerweile hat Norton Power Eraser noch die "isapnp.sys" gefunden, die laut virustotal.com tatsächlich nicht die ursprüngliche war, sondern infiziert. Unter den Dateieigenschaften fehlte auch verdächtigerweise die Reiterkarte "Version".

Ich lade auch noch einen ComboFix-Log hoch, hier wurde die "encapi.dll" entdeckt, ich hatte aber keine Gelegenheit, dies zu überprüfen, ComboFix hat sie gleich gelöscht und sie ist durch die Windows-Systemüberwachung sofort ersetzt worden.

Meine Güte, ob ich mich noch einmal auf so eine Frickelarbeit einlasse ...
:-/

Danke, TB-User

CF soll eigentlich NICHT ausgeführt werden, wenn es keine Anweisung dazu gab!!

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

File::
c:\windows\Azajafofoceqozu.bin

Folder::
c:\programme\MyAshampoo

FCopy::
c:\windows\ServicePackFiles\i386\winlogon.exe | c:\windows\system32\winlogon.exe
c:\windows\explorer.exe | c:\windows\ServicePackFiles\i386\explorer.exe
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hier das Ergebnis. Die Ashampoo-Toolbar musste nun wohl doch daran glauben ...

TB-User

Die Ashampoo-Toolbar musste nun wohl doch daran glauben ...

Was will man damit auch?

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur wenige Sekunden.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Ja, ich persönlich benötige diese Toolbars bestimmt nicht ... ;-)

GMER hat ewig gescannt, aber es lief beim zweiten Mal.

Euer Uploader hat die OSAM- und GMER-Dateien nur im .TXT-Format angenommen.

Danke, TB-User

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hier noch der Scan von SUPERAntiSpyware, MBAM schaffe ich nicht mehr, die Zeit läuft mir davon ...

TB-User

Sieht mir nach Fehlalarmen und Cookies aus. Harmlos.
Mach den Check mit MBAM wenn du Zeit hast.

Hallo Arne,

den Rechner habe ich heute Abend wieder dem Besitzer übergeben, etwas "entmüllt" und mit Firefox + AddBlock/NoScript und Sandboxie. Ich habe dem User dringend gebeten, gleich ein System-Image mit Acronis anzufertigen, denn eine anderes Imaging-Programm von MAGIX hat bei der Wiederherstellung versagt, sonst wäre diese ganze Arbeit nicht notwendig gewesen ...

Ich bedanke mich recht herzlich für deine Hilfe und finde es toll, dass es so etwas überhaupt gibt.

Ein schönes Wochenende,

TB-User