Hallo!

Nach stundenlangem und erfolgslosem rumgegoogle hoffe ich, dass ihr mir als Laie mit meinem Trojanerproblem weiterhelfen könnt:
Vor einigen Wochen hat sich mein USB Stick über einen Fachhochschulrechner mit einem Trojaner infiziert. Ohne es zu wissen habe ich ihn an meinen Laptop angeschlossen, doch AVG hat nichts erkannt. Nun habe ich den Stick in einen anderen Rechner gesteckt und hier hat AVG ihn entdeckt. Erst deaktiviert sich die Windows Firewall, dann steckte AVG die infizierten Dateien NDS.exe, Klog.exe etc. automatisch in Quarantäne. Nach dem Entfernen der Dateien und Leeren der Quarantäne geht der Spaß von vorne los, sobald ich den Rechner neustarte, egal was ich mache :/


Habt vielen Dank im Voraus!!

Hallo und

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hier nun die OLT logs und die Vollscanversion mit Malwarebytes (Festplatte + infizierter USB Stick)

Gibt es noch weitere Logs von Malwarebytes? Wenn ja bitte alle posten, die in Malwarebytes im Reiter Logdateien sichtbar sind.

neben dem folgenden gibt es keine weiteren malwarebyte logs, sry :/

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

:OTL
PRC - C:\WINDOWS\usr\svchost.exe ()
O4 - HKLM..\Run: [farstone]  File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2005.08.30 16:06:35 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O32 - AutoRun File - [2010.07.28 15:42:04 | 000,000,179 | -H-- | M] () - E:\autorun.inf -- [ FAT32 ]
O33 - MountPoints2\{013070dc-0f8b-11e0-b9b8-00137702b4d6}\Shell - "" = AutoRun
O33 - MountPoints2\{013070dc-0f8b-11e0-b9b8-00137702b4d6}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{013070dc-0f8b-11e0-b9b8-00137702b4d6}\Shell\AutoRun\command - "" = E:\LGAutoRun.exe
O33 - MountPoints2\{c32835fe-9ff1-11df-b915-00137702b4d6}\Shell\AutoRun\command - "" = G:\.Autorun\835694854683549385398626893468946\usbbackup.exe
O33 - MountPoints2\{c32835fe-9ff1-11df-b915-00137702b4d6}\Shell\open\command - "" = G:\.Autorun\835694854683549385398626893468946\usbbackup.exe
O33 - MountPoints2\{ff34faca-e9bf-11df-b97c-00137702b4d6}\Shell - "" = AutoRun
O33 - MountPoints2\{ff34faca-e9bf-11df-b97c-00137702b4d6}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{ff34faca-e9bf-11df-b97c-00137702b4d6}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL Start.hta
[2010.12.31 17:25:27 | 002,648,064 | ---- | C] () -- C:\WINDOWS\System32\dvmsg.dll
:Commands
[purity]
[resethosts]
[emptytemp]
         

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Das Betriebssystem startet nach 60sec neu, es öffnet sich kein "OK-Fenster" aus dem das Log entspringt :/ das einzige was nach dem Neustart bleibt ist "Thumbs.db" das aber nicht im Editor lesbar ist, da es aus komischen Hieroglyphen zusammengesetzt ist.

Startet es jetzt immer neu oder nur nach dem Fix mit OTL?

Nene, nur nach dem Fix mit OTL. Läuft sonst alles wie immer.

Ich brauch den Quarantäneordner von OTL. Bitte folgendes machen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf da nicht rummurksen!
2.) Ordner C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

_OTL Zipdatei ist hochgeladen, hier noch die Logdatei

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hier die ComboFix LogDatei



Combofix Logfile:

ComboFix 11-01-31.02 - 04.02.2011  20:57:14.1.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.510.252 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Family\Desktop\cofi.exe
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\drivers\npf.sys
c:\windows\system32\Packet.dll
c:\windows\system32\WanPacket.dll
c:\windows\system32\wpcap.dll

.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF
-------\Service_NPF


(((((((((((((((((((((((   Dateien erstellt von 2011-01-04 bis 2011-02-04  ))))))))))))))))))))))))))))))
.

2011-02-03 22:14 . 2011-02-03 22:14	--------	d-----w-	c:\dokumente und einstellungen\Family\Anwendungsdaten\AVG10
2011-02-03 22:13 . 2011-02-03 22:13	--------	d--h--w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Common Files
2011-02-03 22:09 . 2011-02-04 19:49	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\AVG10
2011-02-03 22:07 . 2011-02-03 22:09	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\MFAData
2011-02-03 21:55 . 2011-02-03 22:02	--------	d-----w-	C:\_OTL
2011-02-02 20:16 . 2011-02-02 20:16	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\DivX
2011-02-02 19:37 . 2011-02-02 19:37	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\McAfee
2011-02-01 18:12 . 2011-02-01 18:12	--------	d-----w-	c:\dokumente und einstellungen\Family\Anwendungsdaten\Malwarebytes
2011-02-01 18:12 . 2010-12-20 17:09	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-02-01 18:12 . 2011-02-01 18:12	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes
2011-02-01 18:11 . 2010-12-20 17:08	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-02-01 18:11 . 2011-02-01 18:12	--------	d-----w-	c:\programme\Malwarebytes' Anti-Malware
2011-01-29 17:48 . 2011-01-29 17:52	--------	d-----w-	c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2011-01-29 17:48 . 2011-01-29 17:52	--------	d-----w-	c:\programme\Spybot - Search & Destroy
2011-01-29 14:27 . 2011-01-29 14:27	--------	d-----w-	C:\Documents and settings
2011-01-29 14:27 . 2010-09-13 17:02	--------	d--h--w-	c:\windows\usr

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-11-18 18:12 . 2006-03-17 21:56	86016	----a-w-	c:\windows\system32\isign32.dll
2010-11-09 14:51 . 2004-08-04 12:00	249856	----a-w-	c:\windows\system32\odbc32.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\DTLite.exe" [2010-04-01 357696]
"Skype"="c:\programme\Skype\Phone\Skype.exe" [2010-10-11 14940040]
"rfxsrvtray"="c:\programme\Tobit Radio.fx\Client\rfx-tray.exe" [2010-01-13 686344]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
"SunJavaUpdateSched"="c:\programme\Java\jre1.5.0\bin\jusched.exe" [2006-03-17 36972]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-07-08 5562368]
"nwiz"="nwiz.exe" [2005-07-08 1495040]
"Verknüpfung mit der High Definition Audio-Eigenschaftenseite"="HDAShCut.exe" [2005-01-07 61952]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2005-05-19 925696]
"SynTPLpr"="c:\programme\Synaptics\SynTP\SynTPLpr.exe" [2005-02-02 102492]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2005-02-02 692316]
"AGRSMMSG"="AGRSMMSG.exe" [2005-05-20 88204]
"LtMoh"="c:\programme\ltmoh\Ltmoh.exe" [2004-08-16 184320]
"RemoteControl"="c:\programme\CyberLink\PowerDVD\PDVDServ.exe" [2004-03-17 32768]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IfxSecurePlatformIndication"="c:\programme\Infineon\Security Platform Software\SpTNA.exe" [2004-07-15 167936]
"OmniPass"="c:\programme\Softex\OmniPass\scureapp.exe" [2005-06-01 1875968]
"MagicKeyboard"="c:\programme\SAMSUNG\MagicKBD\PreMKBD.exe" [2005-04-11 151552]
"BatteryManager"="c:\programme\Samsung\Samsung Battery Manager\BatteryManager.exe" [2005-07-28 1933312]
"RestoreIT!"="c:\programme\Phoenix Technologies Ltd\RecoverPro_XP\VBPTASK.EXE" [2004-09-22 114688]
"WLAN Quick-Starter"="c:\programme\WLAN Quick-Starter\WLAN Quick-Starter.exe" [2005-10-10 1318912]
"wlconfig"="c:\programme\WLAN Monitor\WLConfig.exe" [2005-09-28 1347584]
"OpwareSE2"="c:\programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe" [2003-05-08 49152]
"UpdateServicePack"="c:\windows\usr\Adobe.exe" [2010-09-12 52987]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 10.0\Reader\Reader_sl.exe" [2010-11-10 35736]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-11-10 932288]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users.WINDOWS\Startmen�\Programme\Autostart\
BTTray.lnk - c:\programme\WIDCOMM\Bluetooth Software\BTTray.exe [2005-7-7 577597]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\IfxWlxEN]
2004-05-24 01:39	360448	----a-w-	c:\windows\system32\IfxWlxEN.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\OPXPGina]
2005-06-01 13:03	49152	----a-w-	c:\programme\Softex\OmniPass\OPXPGina.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\Tobit Radio.fx\\Server\\rfx-server.exe"=
"c:\\Programme\\Tobit Radio.fx\\Client\\rfx-client.exe"=
"c:\\Documents and settings\\Family\\Adobe\\tftp.exe"=

R0 RITCPT;RITCPT;c:\windows\system32\drivers\RITCPT.SYS [17.03.2006 23:43 43512]
R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [05.04.2010 12:39 691696]
R0 VVBackd5;VVBackd5;c:\windows\system32\drivers\VVBackd5.sys [17.03.2006 23:56 183159]
R2 accsvc;AccSys WiFi Component;c:\programme\Gemeinsame Dateien\AccSys\accsvc.exe [07.03.2006 13:28 147456]
R2 acedrv09;acedrv09;c:\windows\system32\drivers\acedrv09.sys [18.06.2007 14:10 373568]
R2 acehlp09;acehlp09;c:\windows\system32\drivers\acehlp09.sys [30.05.2007 17:54 201696]
R2 DOSMEMIO;MEMIO;c:\windows\system32\MEMIO.SYS [17.03.2006 23:42 4300]
R2 FBAPI;FBAPI;c:\windows\system32\drivers\FBAPI.sys [17.03.2006 23:43 5088]
R2 LGScsiCommandService;LG SCSI command service;c:\windows\system32\LGScsiCommandService.exe [24.12.2010 19:24 47616]
R2 Radio.fx;Radio.fx Server;c:\programme\Tobit Radio.fx\Server\rfx-server.exe [31.12.2010 17:25 2450696]
R2 SNM WLAN Service;SNM WLAN Service;c:\programme\Samsung\Samsung Network Manager\SNMWLANService.exe [28.05.2005 08:35 36864]
R2 SRS_PostInstaller;SRS PostInstaller Service;c:\programme\SRS Labs\WOWXT and TSXT Driver\SRS_PostInstaller.exe [11.07.2005 09:01 31744]
R3 IFXTPM;IFXTPM;c:\windows\system32\drivers\ifxtpm.sys [12.05.2004 23:58 32640]
R3 wowfilter;WOW XT Filter Driver;c:\windows\system32\drivers\WOWFilter.sys [11.07.2005 10:02 17536]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [08.11.2010 21:33 135664]
S3 SUEPD;SUE NDIS Protocol Driver;c:\windows\system32\drivers\SUE_PD.sys [05.04.2010 11:15 19840]
.
Inhalt des "geplante Tasks" Ordners

2011-02-04 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-11-08 20:32]

2011-02-04 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-11-08 20:32]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.arcor.de/
mWindow Title = Arcor AG & Co. KG
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
FF - ProfilePath - c:\dokumente und einstellungen\Family\Anwendungsdaten\Mozilla\Firefox\Profiles\m6uztg09.default\
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Skype extension: {AB2CE124-6272-4b12-94A9-7303C7397BD1} - c:\programme\Mozilla Firefox\extensions\{AB2CE124-6272-4b12-94A9-7303C7397BD1}
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

Toolbar-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-02-04 21:05
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(872)
c:\programme\Softex\OmniPass\opxpgina.dll
c:\windows\system32\IfxWlxEN.dll

- - - - - - - > 'explorer.exe'(3956)
c:\programme\Tobit Radio.fx\Client\rfx-helper.dll
c:\programme\ScanSoft\OmniPageSE2.0\ophookSE2.dll
c:\programme\Softex\OmniPass\SCUREDLL.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
c:\windows\system32\IFXSPMGT.exe
c:\windows\system32\IFXTCS.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Softex\OmniPass\Omniserv.exe
c:\programme\Samsung\Samsung Update Plus\SLUBackgroundService.exe
c:\windows\system32\wdfmgr.exe
c:\programme\Softex\OmniPass\OPXPApp.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\rundll32.exe
c:\windows\AGRSMMSG.exe
c:\programme\SAMSUNG\MagicKBD\MagicKBD.exe
c:\documents and settings\Family\Adobe\svchost.exe
c:\dokume~1\Family\LOKALE~1\Temp\pigrxutk.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\usr\svchost.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-02-04  21:09:14 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2011-02-04 20:09

Vor Suchlauf: 9 Verzeichnis(se), 39.040.233.472 Bytes frei
Nach Suchlauf: 14 Verzeichnis(se), 39.051.276.288 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

- - End Of File - - 1FFBCA0D35BB0A68367C38B37442035B
         

--- --- ---



Grüße

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Folder::
C:\Documents and settings
c:\windows\usr

Registry::
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"UpdateServicePack"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

File::
c:\dokume~1\Family\LOKALE~1\Temp\pigrxutk.exe
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!