Malwarebytes - was mach ich danach?
 

Hallo,

ich bin mir tatsächlich nicht sicher, ob das Thema woanders schon bearbeitet wurde, also entschuldigfe ich mich, falls dem so ist und bitte, mir dies mitzuteilen.

Ich habe gerade Malwarebytes über das System laufen lassen mit dem Ergebnis, dass es 11 Dateien/Infizierungen gab, die Antivir nicht gefunden hat, nachdem ich mich ratlos auf die Suche machte, warum mein Rechenr nach dem hochfahren, gleich wieder herunterfährt und neu startet und warum bei Firefox nicht mehr alles funktioniert.

Zuerst habe ich nur den Quickscan laufen lassen und den Rechner neustarten lassen. Das Ergebnis stelle ich mal ans Ende des Beitrag. Dann habe ich gelesen, dass es hier im Forum der "Lang"Scan bevorzugt wird und den laufen lassen (siehe auch Ende). Eben habe ich auch die OTL-Sache gemacht.

Was ich wissen möchte ist, war es das? Ist das, was gefunden wurde jetzt auf ewig in die Hölle der Qurantäne verbannt? Oder was muss ich jetzt tun?

Der große Scan hat noch mal zwei Infizierungen ans Licht gebracht, wurden die beim Quickscan übersehen oder haben die sich neu eingenistet?

Hier das Ergebis des Quickscans:

Infizierte Verzeichnisse: 0
Infizierte Dateien: 6

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RapportMgmtService.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RapportService.exe (Security.Hijack) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msres (Trojan.Riern) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\helper (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{97df59e9-4a2f-01ec-b7ef-a49fba9c396d} (Trojan.ZbotR.Gen) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\.zylomisrtemp1276858004\ZylomGameITemp.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\.zylomisrtemp1278458122\ZylomGameITemp.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\tmp050fd6a7\rapport.exe (Spyware.Zbot) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Adobe\Update\cliat.exe (Trojan.Riern) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Adobe\Update\flacor.dat (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Helper\bin\liveu.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Hier der große Scan:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4594

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11.09.2010 17:00:38
mbam-log-2010-09-11 (17-00-38).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 222975
Laufzeit: 1 Stunde(n), 2 Minute(n), 13 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\System Volume Information\_restore{024A0C6A-BF3F-41E2-8C63-2F1415C2D4D3}\RP312\A0029921.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Desktopicon\eBayShortcuts.exe (Adware.ADON) -> Quarantined and deleted successfully.

und die anschließende OTL-Geschichte:

erstensOTL Logfile:
--- --- ---

und hier der zweite Bericht:OTL Logfile:
--- --- ---


Ich hoffe, ich habe das jetzt so richtig gemacht, bzw. würde mich freuen, wenn mich jemand aufklären könnte, was ich jetzt weiter tun soll.

Viele Grüße,
T.

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Vielen Dank!

Hier noch der Bericht, scheint mir gut auszuschauen:-)
Besonders mag ich diesen ersten Satz.

All processes killed
========== OTL ==========
No active process named WinSys2.exe was found!
Service tle33fa stopped successfully!
Service tle33fa deleted successfully!
File C:\WINDOWS\System32\drivers\tle33fa.sys File not found not found.
Service GMSIPCI stopped successfully!
Service GMSIPCI deleted successfully!
File D:\INSTALL\GMSIPCI.SYS File not found not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\WinSys2 deleted successfully.
C:\WINDOWS\system32\WinSys2.exe moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Getdo deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
File E:\autorun.exe not found.
C:\Dokumente und Einstellungen\All Users\Dokumente\ctf moved successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:8FF81EB0 deleted successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 65984 bytes
->Temporary Internet Files folder emptied: 1577026 bytes
->Flash cache emptied: 434 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 809778 bytes

User: XXX
->Temp folder emptied: 2422568195 bytes
->Temporary Internet Files folder emptied: 2213864639 bytes
->Java cache emptied: 55470978 bytes
->FireFox cache emptied: 87048241 bytes
->Google Chrome cache emptied: 5876068 bytes
->Flash cache emptied: 55821 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 35055774 bytes
%systemroot%\System32 .tmp files removed: 4182407 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 37405059 bytes
RecycleBin emptied: 3110170950 bytes

Total Files Cleaned = 7.605,00 mb


OTL by OldTimer - Version 3.2.11.0 log created on 09132010_113936


Nach dem kosmischen Prinzip der ausgleichenden Gerechtigkeit hoffe ich mich irgendwie dafür revanchieren zu können.

Viele Grüße,
R

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Guten Morgen,

sorry, dass ich mich erst heute wieder melde.
Scheint alles nicht gar zu leicht zu sein.

Bevor ich CF ausführe: Windows fragt mich erst gar nicht wo ich es abspeichern und wie benennen soll, daher frage ich vorsichtig, ob es in Ordnung ist, wenn ich die Datei manuell aus dem Downloadordner auf den Destop ziehe und über Mausklick rechts umbenenne.

Grüße,
R.

Geht denn kein Rechtsklick => Ziel speichern unter?

doch geht...

aber andere Frage:

ist zwar schön, wenn man vom CCleaner die neueste Version bekommt, die Anleitung ist leider nicht auf dem neuesten Stand:


Internet Explorer -> "Eingabefeld Verlauf" existiert nicht, dafür "Formulardaten", nicht anklicken?

Windows Explorer -> "Thumbnail Cache" existiert nicht

System

"DNS Cache" ist hinzugekommen, ankreuzen?

Grüße,
R

Wir können doch nicht jeden Tag die Anleitung aktualisieren. Betrachte die Anleitung als Leitfaden.

Entschuldigung, wenn es so rüber kam, ich meinte es nicht als Kritik, sondern als Feststellung.
Ich bin durchaus etwas verunsichert und will nichts falsch machen, deshalb die Nachfrage.

Ich bin froh und dankbar für die Hilfe und hoffe, wir vertragen uns wieder.

Grüße,
R

Es war auch nicht böse gemeint, wollte nur sagen, dass bei den vielen Updateintervallen wir keine ständige Aktualisierung der Anleitung machen können ;)

Formulardaten können raus. Dann sind aber im IE zB bei Webmailern eingetragene E-Mailadressen weg, Du müsstest beim nächsten Login diese wieder manuell eintragen. Betrifft sämtliche Formulardaten.
Thumnail Cache ignorieren
DNS-Cache kannste halten wie ein Dachdecker. Lösch es einfach :D

trotz leichter Verunsicherung, voilà:

der Cofi-Log


ComboFix 10-09-13.02 - XXX 14.09.2010 12:34:14.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2047.1606 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\XXX\Anwendungsdaten\Desktopicon
c:\windows\system32\Thumbs.db

.
((((((((((((((((((((((( Dateien erstellt von 2010-08-14 bis 2010-09-14 ))))))))))))))))))))))))))))))
.

2010-09-14 08:27 . 2010-09-14 08:27 -------- d-----w- c:\programme\CCleaner
2010-09-13 09:39 . 2010-09-13 09:39 -------- d-----w- C:\_OTL
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Malwarebytes
2010-09-11 12:21 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-09-11 12:21 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-09-10 13:45 . 2010-09-10 13:45 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Zylom
2010-09-09 22:33 . 2010-09-09 22:33 -------- d-----r- c:\dokumente und einstellungen\LocalService\Favoriten
2010-09-09 22:33 . 2010-09-09 22:33 -------- d-sh--w- c:\dokumente und einstellungen\LocalService\IETldCache
2010-09-09 14:44 . 2010-09-09 14:44 -------- d-sh--w- c:\dokumente und einstellungen\XXX\IECompatCache
2010-09-08 13:13 . 2010-09-08 13:13 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Magic3
2010-09-07 16:45 . 2010-09-07 16:45 -------- d-sh--w- c:\dokumente und einstellungen\XXX\PrivacIE
2010-09-07 16:41 . 2010-09-07 16:41 -------- d-sh--w- c:\dokumente und einstellungen\XXX\IETldCache
2010-09-07 16:38 . 2010-06-18 11:39 16896 -c----w- c:\windows\system32\dllcache\iecompat.dll
2010-09-07 16:38 . 2010-09-08 00:30 -------- d-----w- c:\windows\ie8updates
2010-09-07 16:37 . 2010-06-24 15:51 11077120 -c----w- c:\windows\system32\dllcache\ieframe.dll
2010-09-07 16:37 . 2010-06-24 12:22 12800 -c----w- c:\windows\system32\dllcache\xpshims.dll
2010-09-07 16:37 . 2010-06-24 12:21 599040 -c----w- c:\windows\system32\dllcache\msfeeds.dll
2010-09-07 16:37 . 2010-06-24 12:21 55296 -c----w- c:\windows\system32\dllcache\msfeedsbs.dll
2010-09-07 16:37 . 2010-06-24 12:21 1986560 -c----w- c:\windows\system32\dllcache\iertutil.dll
2010-09-07 16:37 . 2010-06-24 12:21 247808 -c----w- c:\windows\system32\dllcache\ieproxy.dll
2010-09-07 16:37 . 2010-06-24 12:21 743424 -c----w- c:\windows\system32\dllcache\iedvtool.dll
2010-09-07 16:36 . 2010-09-07 16:37 -------- dc-h--w- c:\windows\ie8
2010-09-07 16:13 . 2010-09-07 16:40 -------- d-----w- c:\windows\system32\de-de
2010-09-07 16:13 . 2010-09-07 16:13 -------- d-----w- c:\windows\system32\de
2010-09-07 16:13 . 2010-09-07 16:13 -------- d-----w- c:\windows\system32\bits
2010-09-05 22:03 . 2010-09-05 22:03 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Nevosoft Games
2010-09-03 11:43 . 2010-09-03 11:43 -------- d-----w- c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Astar Games
2010-09-01 21:16 . 2010-09-01 21:16 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\YoudaGames
2010-08-27 23:14 . 2010-08-27 23:14 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Helper
2010-08-26 22:07 . 2010-08-26 22:07 -------- d-----w- c:\programme\Gemeinsame Dateien\Java

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-13 18:20 . 2009-12-30 13:49 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-09-13 09:08 . 2007-12-10 17:07 33488 ----a-w- c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-09-10 00:25 . 2009-10-23 20:43 -------- d-----w- c:\programme\Zylom Games
2010-09-08 00:28 . 2003-04-02 12:00 79910 ----a-w- c:\windows\system32\perfc007.dat
2010-09-08 00:28 . 2003-04-02 12:00 448470 ----a-w- c:\windows\system32\perfh007.dat
2010-09-07 16:14 . 2007-12-10 16:57 86327 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-09-07 08:34 . 2009-10-13 21:56 -------- d---a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2010-08-31 19:22 . 2009-10-23 13:45 -------- d-----w- c:\programme\Mozilla Thunderbird
2010-08-31 19:22 . 2009-10-23 13:45 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Thunderbird
2010-08-31 18:04 . 2009-10-24 09:23 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Skype
2010-08-30 18:32 . 2009-10-29 12:17 -------- d-----w- c:\programme\ICQ6.5
2010-08-26 22:07 . 2009-11-15 11:58 -------- d-----w- c:\programme\Java
2010-08-11 22:19 . 2010-08-11 22:19 -------- d-----w- c:\programme\VLCPortable
2010-08-04 09:43 . 2010-08-04 09:43 503808 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\msvcp71.dll
2010-08-04 09:43 . 2010-08-04 09:43 499712 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\jmc.dll
2010-08-04 09:43 . 2010-08-04 09:43 348160 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\msvcr71.dll
2010-08-04 09:41 . 2010-08-04 09:41 61440 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-2ece025d-n\decora-sse.dll
2010-08-04 09:41 . 2010-08-04 09:41 12800 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-2ece025d-n\decora-d3d.dll
2010-08-03 11:27 . 2009-06-18 09:26 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Diunbe
2010-08-02 11:07 . 2008-07-17 17:55 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Giit
2010-07-29 08:55 . 2010-07-29 08:55 -------- d-----w- c:\dokumente und einstellungen\LocalService\Anwendungsdaten\McAfee
2010-07-17 03:00 . 2010-05-03 18:47 423656 ----a-w- c:\windows\system32\deployJava1.dll
2010-06-30 12:28 . 2004-08-03 22:57 149504 ----a-w- c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2004-08-03 22:57 916480 ----a-w- c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2004-08-03 22:46 1852032 ----a-w- c:\windows\system32\win32k.sys
2010-06-21 15:27 . 2004-08-03 21:14 354304 ----a-w- c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2004-08-03 22:57 80384 ----a-w- c:\windows\system32\iccvid.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2007-06-27 152872]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2007-05-10 16342528]
"SW20"="c:\windows\system32\sw20.exe" [2006-12-15 208896]
"SW24"="c:\windows\system32\sw24.exe" [2006-12-15 69632]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-14 39792]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-02-15 417792]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-06 8523776]
"nwiz"="nwiz.exe" [2007-11-06 1626112]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^abcHood Pager 1.0.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\abcHood Pager 1.0.lnk
backup=c:\windows\pss\abcHood Pager 1.0.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Action Manager 32.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Action Manager 32.lnk
backup=c:\windows\pss\Action Manager 32.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Audible Download Manager.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Audible Download Manager.lnk
backup=c:\windows\pss\Audible Download Manager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CamAppSTI.exe]
2009-01-04 14:26 28672 ----a-w- c:\programme\AVEO\AVEO USB2.0 PC Camera\CamAppSTI.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:22 1695232 ----a-w- c:\programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mxomssmenu]
2007-09-06 13:53 169264 ----a-w- c:\programme\Maxtor\OneTouch Status\MaxMenuMgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-01 14:57 153136 ----a-w- c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-02-15 17:50 417792 ----a-w- c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RealTray]
2009-07-25 11:49 26112 ----a-w- c:\programme\Real\RealPlayer\realplay.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite]
2005-10-26 16:17 159744 ----a-r- c:\programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\usmt\\migwiz.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero Home\\NeroHome.exe"=
"c:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Ahead\\Nero Web\\SetupX.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Mozilla Thunderbird\\thunderbird.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [15.09.2009 01:50 108289]
R2 BulkUsb;Plustek USB Scanner;c:\windows\system32\drivers\usbscan.sys [06.05.2008 15:38 15104]
S2 gupdate1ca542d934eca1a;Google Update Service (gupdate1ca542d934eca1a);c:\programme\Google\Update\GoogleUpdate.exe [24.10.2009 00:10 133104]
S3 AVEO;AVEO USB2.0 PC Camera;c:\windows\system32\drivers\aveodcnt.sys [25.07.2009 13:58 281600]
.
Inhalt des "geplante Tasks" Ordners

2010-09-08 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

2010-09-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-10-23 22:09]

2010-09-14 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-10-23 22:09]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.***.de/
FF - ProfilePath - c:\dokumente und einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\1nl9me36.default\
FF - prefs.js: browser.startup.homepage - hxxps://www.***.de/csc
FF - plugin: c:\programme\Google\Update\1.2.183.23\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-14 12:37
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2010-09-14 12:38:46
ComboFix-quarantined-files.txt 2010-09-14 10:38

Vor Suchlauf: 16 Verzeichnis(se), 199.271.170.048 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 199.303.495.680 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /usepmtimer /basevideo

- - End Of File - - FA6B6E5D1207AC83DF24836D08A441

in meinem fall end of nervs;-)

würde mich freuen, wenn´s das war.

Vielen Dank,
R

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

Anschließend den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Hallo,

wusst ich´s doch, da kommt noch was.

Im Anschluiss schon mal (hoffentlich das richtige) Log von GMER.

Mit Osam bin ich grade überfordert, denn wenn ich auf Osam.exe klicke kommt die Meldung dass die Komponente osam_gui.dll nicht gefunden wird. Aber sie ist doch da...

Grüße,
R

GMER Logfile:
--- --- ---

ok, habs hingekriegt, bin nur nervös...

OSAM Logfile:
--- --- ---

Viele Grüße,
R

Und der Bootkit Remover?