Malwarebytes - was mach ich danach?
 

Hallo,

ich bin mir tatsächlich nicht sicher, ob das Thema woanders schon bearbeitet wurde, also entschuldigfe ich mich, falls dem so ist und bitte, mir dies mitzuteilen.

Ich habe gerade Malwarebytes über das System laufen lassen mit dem Ergebnis, dass es 11 Dateien/Infizierungen gab, die Antivir nicht gefunden hat, nachdem ich mich ratlos auf die Suche machte, warum mein Rechenr nach dem hochfahren, gleich wieder herunterfährt und neu startet und warum bei Firefox nicht mehr alles funktioniert.

Zuerst habe ich nur den Quickscan laufen lassen und den Rechner neustarten lassen. Das Ergebnis stelle ich mal ans Ende des Beitrag. Dann habe ich gelesen, dass es hier im Forum der "Lang"Scan bevorzugt wird und den laufen lassen (siehe auch Ende). Eben habe ich auch die OTL-Sache gemacht.

Was ich wissen möchte ist, war es das? Ist das, was gefunden wurde jetzt auf ewig in die Hölle der Qurantäne verbannt? Oder was muss ich jetzt tun?

Der große Scan hat noch mal zwei Infizierungen ans Licht gebracht, wurden die beim Quickscan übersehen oder haben die sich neu eingenistet?

Hier das Ergebis des Quickscans:

Infizierte Verzeichnisse: 0
Infizierte Dateien: 6

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RapportMgmtService.exe (Security.Hijack) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\RapportService.exe (Security.Hijack) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\msres (Trojan.Riern) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\helper (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{97df59e9-4a2f-01ec-b7ef-a49fba9c396d} (Trojan.ZbotR.Gen) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\.zylomisrtemp1276858004\ZylomGameITemp.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\.zylomisrtemp1278458122\ZylomGameITemp.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Lokale Einstellungen\Temp\tmp050fd6a7\rapport.exe (Spyware.Zbot) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Adobe\Update\cliat.exe (Trojan.Riern) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Adobe\Update\flacor.dat (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Helper\bin\liveu.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Hier der große Scan:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4594

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11.09.2010 17:00:38
mbam-log-2010-09-11 (17-00-38).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 222975
Laufzeit: 1 Stunde(n), 2 Minute(n), 13 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\System Volume Information\_restore{024A0C6A-BF3F-41E2-8C63-2F1415C2D4D3}\RP312\A0029921.exe (Adware.NaviPromo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Desktopicon\eBayShortcuts.exe (Adware.ADON) -> Quarantined and deleted successfully.

und die anschließende OTL-Geschichte:

erstensOTL Logfile:
--- --- ---

und hier der zweite Bericht:OTL Logfile:
--- --- ---


Ich hoffe, ich habe das jetzt so richtig gemacht, bzw. würde mich freuen, wenn mich jemand aufklären könnte, was ich jetzt weiter tun soll.

Viele Grüße,
T.

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Vielen Dank!

Hier noch der Bericht, scheint mir gut auszuschauen:-)
Besonders mag ich diesen ersten Satz.

All processes killed
========== OTL ==========
No active process named WinSys2.exe was found!
Service tle33fa stopped successfully!
Service tle33fa deleted successfully!
File C:\WINDOWS\System32\drivers\tle33fa.sys File not found not found.
Service GMSIPCI stopped successfully!
Service GMSIPCI deleted successfully!
File D:\INSTALL\GMSIPCI.SYS File not found not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\WinSys2 deleted successfully.
C:\WINDOWS\system32\WinSys2.exe moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Getdo deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e4938-a763-11dd-9412-001d9206f0bb}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{301e493b-a763-11dd-9412-001d9206f0bb}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{36cb0af8-8d8d-11de-9476-001d9206f0bb}\ not found.
File E:\autorun.exe not found.
C:\Dokumente und Einstellungen\All Users\Dokumente\ctf moved successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:8FF81EB0 deleted successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 65984 bytes
->Temporary Internet Files folder emptied: 1577026 bytes
->Flash cache emptied: 434 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 809778 bytes

User: XXX
->Temp folder emptied: 2422568195 bytes
->Temporary Internet Files folder emptied: 2213864639 bytes
->Java cache emptied: 55470978 bytes
->FireFox cache emptied: 87048241 bytes
->Google Chrome cache emptied: 5876068 bytes
->Flash cache emptied: 55821 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 35055774 bytes
%systemroot%\System32 .tmp files removed: 4182407 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 37405059 bytes
RecycleBin emptied: 3110170950 bytes

Total Files Cleaned = 7.605,00 mb


OTL by OldTimer - Version 3.2.11.0 log created on 09132010_113936


Nach dem kosmischen Prinzip der ausgleichenden Gerechtigkeit hoffe ich mich irgendwie dafür revanchieren zu können.

Viele Grüße,
R

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Guten Morgen,

sorry, dass ich mich erst heute wieder melde.
Scheint alles nicht gar zu leicht zu sein.

Bevor ich CF ausführe: Windows fragt mich erst gar nicht wo ich es abspeichern und wie benennen soll, daher frage ich vorsichtig, ob es in Ordnung ist, wenn ich die Datei manuell aus dem Downloadordner auf den Destop ziehe und über Mausklick rechts umbenenne.

Grüße,
R.

Geht denn kein Rechtsklick => Ziel speichern unter?

doch geht...

aber andere Frage:

ist zwar schön, wenn man vom CCleaner die neueste Version bekommt, die Anleitung ist leider nicht auf dem neuesten Stand:


Internet Explorer -> "Eingabefeld Verlauf" existiert nicht, dafür "Formulardaten", nicht anklicken?

Windows Explorer -> "Thumbnail Cache" existiert nicht

System

"DNS Cache" ist hinzugekommen, ankreuzen?

Grüße,
R

Wir können doch nicht jeden Tag die Anleitung aktualisieren. Betrachte die Anleitung als Leitfaden.

Entschuldigung, wenn es so rüber kam, ich meinte es nicht als Kritik, sondern als Feststellung.
Ich bin durchaus etwas verunsichert und will nichts falsch machen, deshalb die Nachfrage.

Ich bin froh und dankbar für die Hilfe und hoffe, wir vertragen uns wieder.

Grüße,
R

Es war auch nicht böse gemeint, wollte nur sagen, dass bei den vielen Updateintervallen wir keine ständige Aktualisierung der Anleitung machen können ;)

Formulardaten können raus. Dann sind aber im IE zB bei Webmailern eingetragene E-Mailadressen weg, Du müsstest beim nächsten Login diese wieder manuell eintragen. Betrifft sämtliche Formulardaten.
Thumnail Cache ignorieren
DNS-Cache kannste halten wie ein Dachdecker. Lösch es einfach :D

trotz leichter Verunsicherung, voilà:

der Cofi-Log


ComboFix 10-09-13.02 - XXX 14.09.2010 12:34:14.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2047.1606 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\XXX\Anwendungsdaten\Desktopicon
c:\windows\system32\Thumbs.db

.
((((((((((((((((((((((( Dateien erstellt von 2010-08-14 bis 2010-09-14 ))))))))))))))))))))))))))))))
.

2010-09-14 08:27 . 2010-09-14 08:27 -------- d-----w- c:\programme\CCleaner
2010-09-13 09:39 . 2010-09-13 09:39 -------- d-----w- C:\_OTL
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Malwarebytes
2010-09-11 12:21 . 2010-04-29 13:39 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-09-11 12:21 . 2010-09-11 12:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-09-11 12:21 . 2010-04-29 13:39 20952 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-09-10 13:45 . 2010-09-10 13:45 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Zylom
2010-09-09 22:33 . 2010-09-09 22:33 -------- d-----r- c:\dokumente und einstellungen\LocalService\Favoriten
2010-09-09 22:33 . 2010-09-09 22:33 -------- d-sh--w- c:\dokumente und einstellungen\LocalService\IETldCache
2010-09-09 14:44 . 2010-09-09 14:44 -------- d-sh--w- c:\dokumente und einstellungen\XXX\IECompatCache
2010-09-08 13:13 . 2010-09-08 13:13 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Magic3
2010-09-07 16:45 . 2010-09-07 16:45 -------- d-sh--w- c:\dokumente und einstellungen\XXX\PrivacIE
2010-09-07 16:41 . 2010-09-07 16:41 -------- d-sh--w- c:\dokumente und einstellungen\XXX\IETldCache
2010-09-07 16:38 . 2010-06-18 11:39 16896 -c----w- c:\windows\system32\dllcache\iecompat.dll
2010-09-07 16:38 . 2010-09-08 00:30 -------- d-----w- c:\windows\ie8updates
2010-09-07 16:37 . 2010-06-24 15:51 11077120 -c----w- c:\windows\system32\dllcache\ieframe.dll
2010-09-07 16:37 . 2010-06-24 12:22 12800 -c----w- c:\windows\system32\dllcache\xpshims.dll
2010-09-07 16:37 . 2010-06-24 12:21 599040 -c----w- c:\windows\system32\dllcache\msfeeds.dll
2010-09-07 16:37 . 2010-06-24 12:21 55296 -c----w- c:\windows\system32\dllcache\msfeedsbs.dll
2010-09-07 16:37 . 2010-06-24 12:21 1986560 -c----w- c:\windows\system32\dllcache\iertutil.dll
2010-09-07 16:37 . 2010-06-24 12:21 247808 -c----w- c:\windows\system32\dllcache\ieproxy.dll
2010-09-07 16:37 . 2010-06-24 12:21 743424 -c----w- c:\windows\system32\dllcache\iedvtool.dll
2010-09-07 16:36 . 2010-09-07 16:37 -------- dc-h--w- c:\windows\ie8
2010-09-07 16:13 . 2010-09-07 16:40 -------- d-----w- c:\windows\system32\de-de
2010-09-07 16:13 . 2010-09-07 16:13 -------- d-----w- c:\windows\system32\de
2010-09-07 16:13 . 2010-09-07 16:13 -------- d-----w- c:\windows\system32\bits
2010-09-05 22:03 . 2010-09-05 22:03 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Nevosoft Games
2010-09-03 11:43 . 2010-09-03 11:43 -------- d-----w- c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Astar Games
2010-09-01 21:16 . 2010-09-01 21:16 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\YoudaGames
2010-08-27 23:14 . 2010-08-27 23:14 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Helper
2010-08-26 22:07 . 2010-08-26 22:07 -------- d-----w- c:\programme\Gemeinsame Dateien\Java

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-09-13 18:20 . 2009-12-30 13:49 664 ----a-w- c:\windows\system32\d3d9caps.dat
2010-09-13 09:08 . 2007-12-10 17:07 33488 ----a-w- c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-09-10 00:25 . 2009-10-23 20:43 -------- d-----w- c:\programme\Zylom Games
2010-09-08 00:28 . 2003-04-02 12:00 79910 ----a-w- c:\windows\system32\perfc007.dat
2010-09-08 00:28 . 2003-04-02 12:00 448470 ----a-w- c:\windows\system32\perfh007.dat
2010-09-07 16:14 . 2007-12-10 16:57 86327 ----a-w- c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-09-07 08:34 . 2009-10-13 21:56 -------- d---a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2010-08-31 19:22 . 2009-10-23 13:45 -------- d-----w- c:\programme\Mozilla Thunderbird
2010-08-31 19:22 . 2009-10-23 13:45 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Thunderbird
2010-08-31 18:04 . 2009-10-24 09:23 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Skype
2010-08-30 18:32 . 2009-10-29 12:17 -------- d-----w- c:\programme\ICQ6.5
2010-08-26 22:07 . 2009-11-15 11:58 -------- d-----w- c:\programme\Java
2010-08-11 22:19 . 2010-08-11 22:19 -------- d-----w- c:\programme\VLCPortable
2010-08-04 09:43 . 2010-08-04 09:43 503808 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\msvcp71.dll
2010-08-04 09:43 . 2010-08-04 09:43 499712 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\jmc.dll
2010-08-04 09:43 . 2010-08-04 09:43 348160 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\4\7ec4bf04-10fe560c-n\msvcr71.dll
2010-08-04 09:41 . 2010-08-04 09:41 61440 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-2ece025d-n\decora-sse.dll
2010-08-04 09:41 . 2010-08-04 09:41 12800 ----a-w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Sun\Java\Deployment\SystemCache\6.0\42\4488892a-2ece025d-n\decora-d3d.dll
2010-08-03 11:27 . 2009-06-18 09:26 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Diunbe
2010-08-02 11:07 . 2008-07-17 17:55 -------- d-----w- c:\dokumente und einstellungen\XXX\Anwendungsdaten\Giit
2010-07-29 08:55 . 2010-07-29 08:55 -------- d-----w- c:\dokumente und einstellungen\LocalService\Anwendungsdaten\McAfee
2010-07-17 03:00 . 2010-05-03 18:47 423656 ----a-w- c:\windows\system32\deployJava1.dll
2010-06-30 12:28 . 2004-08-03 22:57 149504 ----a-w- c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2004-08-03 22:57 916480 ----a-w- c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2004-08-03 22:46 1852032 ----a-w- c:\windows\system32\win32k.sys
2010-06-21 15:27 . 2004-08-03 21:14 354304 ----a-w- c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2004-08-03 22:57 80384 ----a-w- c:\windows\system32\iccvid.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2007-06-27 152872]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2007-05-10 16342528]
"SW20"="c:\windows\system32\sw20.exe" [2006-12-15 208896]
"SW24"="c:\windows\system32\sw24.exe" [2006-12-15 69632]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-14 39792]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-02-15 417792]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-06 8523776]
"nwiz"="nwiz.exe" [2007-11-06 1626112]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^abcHood Pager 1.0.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\abcHood Pager 1.0.lnk
backup=c:\windows\pss\abcHood Pager 1.0.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Action Manager 32.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Action Manager 32.lnk
backup=c:\windows\pss\Action Manager 32.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Audible Download Manager.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Audible Download Manager.lnk
backup=c:\windows\pss\Audible Download Manager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CamAppSTI.exe]
2009-01-04 14:26 28672 ----a-w- c:\programme\AVEO\AVEO USB2.0 PC Camera\CamAppSTI.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:22 1695232 ----a-w- c:\programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mxomssmenu]
2007-09-06 13:53 169264 ----a-w- c:\programme\Maxtor\OneTouch Status\MaxMenuMgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-01 14:57 153136 ----a-w- c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-02-15 17:50 417792 ----a-w- c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RealTray]
2009-07-25 11:49 26112 ----a-w- c:\programme\Real\RealPlayer\realplay.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Sony Ericsson PC Suite]
2005-10-26 16:17 159744 ----a-r- c:\programme\Sony Ericsson\Mobile2\Application Launcher\Application Launcher.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\usmt\\migwiz.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero Home\\NeroHome.exe"=
"c:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Ahead\\Nero Web\\SetupX.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Mozilla Thunderbird\\thunderbird.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [15.09.2009 01:50 108289]
R2 BulkUsb;Plustek USB Scanner;c:\windows\system32\drivers\usbscan.sys [06.05.2008 15:38 15104]
S2 gupdate1ca542d934eca1a;Google Update Service (gupdate1ca542d934eca1a);c:\programme\Google\Update\GoogleUpdate.exe [24.10.2009 00:10 133104]
S3 AVEO;AVEO USB2.0 PC Camera;c:\windows\system32\drivers\aveodcnt.sys [25.07.2009 13:58 281600]
.
Inhalt des "geplante Tasks" Ordners

2010-09-08 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

2010-09-14 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-10-23 22:09]

2010-09-14 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-10-23 22:09]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.***.de/
FF - ProfilePath - c:\dokumente und einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\1nl9me36.default\
FF - prefs.js: browser.startup.homepage - hxxps://www.***.de/csc
FF - plugin: c:\programme\Google\Update\1.2.183.23\npGoogleOneClick8.dll
FF - plugin: c:\programme\Java\jre6\bin\new_plugin\npdeployJava1.dll

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-09-14 12:37
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2010-09-14 12:38:46
ComboFix-quarantined-files.txt 2010-09-14 10:38

Vor Suchlauf: 16 Verzeichnis(se), 199.271.170.048 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 199.303.495.680 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /usepmtimer /basevideo

- - End Of File - - FA6B6E5D1207AC83DF24836D08A441

in meinem fall end of nervs;-)

würde mich freuen, wenn´s das war.

Vielen Dank,
R

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

Anschließend den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Hallo,

wusst ich´s doch, da kommt noch was.

Im Anschluiss schon mal (hoffentlich das richtige) Log von GMER.

Mit Osam bin ich grade überfordert, denn wenn ich auf Osam.exe klicke kommt die Meldung dass die Komponente osam_gui.dll nicht gefunden wird. Aber sie ist doch da...

Grüße,
R

GMER Logfile:
--- --- ---

ok, habs hingekriegt, bin nur nervös...

OSAM Logfile:
--- --- ---

Viele Grüße,
R

Und der Bootkit Remover?

Sorry, ich das kommt erst... ok tada:

Bootkit Remover
(c) 2009 eSage Lab
www.esagelab.com

Program version: 1.2.0.0
OS Version: Microsoft Windows XP Professional Service Pack 3 (build 2600)

System volume is \\.\C:
\\.\C: -> \\.\PhysicalDrive0 at offset 0x00000000`00007e00
Boot sector MD5 is: 5ddc20efcc4d1dab37c348c7db7289cf

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Unknown boot code

Unknown boot code has been found on some of your physical disks.
To inspect the boot code manually, dump the master boot sector:
remover.exe dump <device_name> [output_file]
To disinfect the master boot sector, use the following command:
remover.exe fix <device_name>


Done;
Press any key to quit...


hmpf, mir schwant was..
Grüße,
R

Die Prüfsumme kenn ich mittlerweile, die ist ok, aber lass uns sichergehen:

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Ok, das ging mal echt flott:-)


MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000001d

Kernel Drivers (total 119):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E5000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBA0B8000 MountMgr.sys
0xB9F48000 ftdisk.sys
0xBA5AC000 dmload.sys
0xB9F22000 dmio.sys
0xBA330000 PartMgr.sys
0xBA0C8000 VolSnap.sys
0xB9F0A000 atapi.sys
0xBA0D8000 disk.sys
0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9EEA000 fltmgr.sys
0xB9ED8000 sr.sys
0xB9EC1000 KSecDD.sys
0xB9E34000 Ntfs.sys
0xB9E07000 NDIS.sys
0xB9DED000 Mup.sys
0xBA318000 \SystemRoot\system32\DRIVERS\AmdK8.sys
0xBA118000 \SystemRoot\system32\DRIVERS\serial.sys
0xBA59C000 \SystemRoot\system32\DRIVERS\serenum.sys
0xBA3F8000 \SystemRoot\system32\DRIVERS\fdc.sys
0xBA400000 \SystemRoot\system32\DRIVERS\usbohci.sys
0xB9D81000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA408000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB9D59000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xBA128000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBA138000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xBA148000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9D36000 \SystemRoot\system32\DRIVERS\ks.sys
0xB9D1E000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xB9608000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB95F4000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xBA5A4000 \SystemRoot\system32\DRIVERS\usbscan.sys
0xBA5D2000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBA6C3000 \SystemRoot\system32\DRIVERS\audstub.sys
0xBA158000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xB9DC9000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB95DD000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xBA188000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xBA168000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA410000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB95CC000 \SystemRoot\system32\DRIVERS\psched.sys
0xBA178000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA418000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA420000 \SystemRoot\system32\DRIVERS\raspti.sys
0xBA5D6000 \SystemRoot\System32\Drivers\RootMdm.sys
0xBA428000 \SystemRoot\System32\Drivers\Modem.SYS
0xB959C000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xBA198000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA430000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA438000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBA5D8000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB9516000 \SystemRoot\system32\DRIVERS\update.sys
0xB9DA9000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB730C000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB72FC000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xB4E96000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB4E72000 \SystemRoot\system32\drivers\portcls.sys
0xB72EC000 \SystemRoot\system32\drivers\drmk.sys
0xBA4A0000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xBA64E000 \SystemRoot\system32\DRIVERS\SE27wh.sys
0xBA650000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA7F0000 \SystemRoot\System32\Drivers\Null.SYS
0xBA652000 \SystemRoot\System32\Drivers\Beep.SYS
0xB0587000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xB057F000 \SystemRoot\System32\drivers\vga.sys
0xBA654000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA656000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xB0577000 \SystemRoot\System32\Drivers\Msfs.SYS
0xB056F000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB4DC1000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xABBFC000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xABBA3000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xABB7B000 \SystemRoot\system32\DRIVERS\netbt.sys
0xABB55000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xAF26A000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xABA93000 \SystemRoot\System32\drivers\afd.sys
0xAF25A000 \SystemRoot\system32\DRIVERS\netbios.sys
0xB055F000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xABA2B000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xAB9BB000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xAF23A000 \SystemRoot\System32\Drivers\Fips.SYS
0xBA5C4000 \SystemRoot\system32\DRIVERS\SE27cm.sys
0xAB711000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xBA5AE000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xBA6F2000 \SystemRoot\system32\DRIVERS\se27cr.sys
0xB5E3C000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xB4E25000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xA9405000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBA2A8000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xBA468000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0xB48CA000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xAB0DD000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xA6A73000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xA7791000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xABA6B000 \SystemRoot\System32\drivers\Dxapi.sys
0xB419E000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xBA7A9000 \SystemRoot\System32\drivers\dxgthk.sys
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xA685F000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xB48CE000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xA6813000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xA67BE000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xA6781000 \SystemRoot\system32\drivers\wdmaud.sys
0xA7132000 \SystemRoot\system32\drivers\sysaudio.sys
0xA64FA000 \SystemRoot\system32\DRIVERS\srv.sys
0xA6121000 \SystemRoot\System32\Drivers\HTTP.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 29):
0 System Idle Process
4 System
616 C:\WINDOWS\system32\smss.exe
844 csrss.exe
868 C:\WINDOWS\system32\winlogon.exe
912 C:\WINDOWS\system32\services.exe
924 C:\WINDOWS\system32\lsass.exe
1128 C:\WINDOWS\system32\svchost.exe
1176 svchost.exe
1320 C:\WINDOWS\system32\svchost.exe
1448 svchost.exe
1548 svchost.exe
1700 C:\WINDOWS\system32\spoolsv.exe
1748 C:\Programme\Avira\AntiVir Desktop\sched.exe
1812 svchost.exe
172 C:\WINDOWS\explorer.exe
436 C:\WINDOWS\RTHDCPL.exe
464 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
656 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
672 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
748 C:\Programme\Avira\AntiVir Desktop\avguard.exe
824 C:\Programme\Java\jre6\bin\jqs.exe
128 C:\Programme\Maxtor\Sync\SyncServices.exe
1760 C:\WINDOWS\system32\svchost.exe
2144 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
2448 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
2504 alg.exe
3756 C:\Programme\Mozilla Firefox\firefox.exe
2628 C:\Dokumente und Einstellungen\XXX\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: SAMSUNGHD250HJ, Rev: FH100-05

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11


Done!

Wünsche einen angenehmen Feierabend,
R

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

ich werde die Nacht unter dem Bodhi-Baum meditieren müssen...

Hier schon mal das Ergebnis von Malwarebytes

droi noie troioner....

ohm

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4623

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

16.09.2010 00:07:28
mbam-log-2010-09-16 (00-07-28).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|)
Durchsuchte Objekte: 206920
Laufzeit: 43 Minute(n), 59 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\System Volume Information\_restore{024A0C6A-BF3F-41E2-8C63-2F1415C2D4D3}\RP343\A0037671.exe (Trojan.KillProc) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{024A0C6A-BF3F-41E2-8C63-2F1415C2D4D3}\RP343\A0037675.exe (Trojan.KillProc) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{024A0C6A-BF3F-41E2-8C63-2F1415C2D4D3}\RP343\A0037680.exe (Adware.ADON) -> Quarantined and deleted successfully.


om, ich werde ganz ruhig bleiben heiter und gelassen, om

viele Grüße,
Rainer

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.

Mach dann mit SASW weiter.

Tadaaa:daumenhoc

SUPERAntiSpyware Scann-Protokoll
hxxp://www.superantispyware.com

Generiert 09/16/2010 bei 04:21 PM

Version der Applikation : 4.42.1000

Version der Kern-Datenbank : 5516
Version der Spur-Datenbank : 3328

Scan Art : kompletter Scann
Totale Scann-Zeit : 01:01:25

Gescannte Speicherelemente : 444
Erfasste Speicher-Bedrohungen : 0
Gescannte Register-Elemente : 7095
Erfasste Register-Bedrohungen : 0
Gescannte Datei-Elemente : 70154
Erfasste Datei-Elemente : 0


Bis hierhin noch mal vielen Dank!
Auch wenn es das noch nicht gewesen sein sollte.

Viele Grüße,
R

Sieht ok aus.
Noch Probleme oder weitere Funde in der Zwischenzeit?

Hallo Arne,

entrschuldige, dass ich mich soi lange nicht gemeldet habe:
Bis jetzt scheint alles in Ordnung zu sein und prima zu laufen.
Deshalb sage ich noch mal ganz besonders herzlich Danke (dem Forum im Allgemeinen und) Dir (im Besonderen).

:dankeschoen:

Irgendwann werde ich mich wohl auch mal das Notebook vorknöpfen...

Viele Grüße,
R.

Dann wären wir durch! :abklatsch:

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

ok,

wenn auch mal wieder nach längerer Zeit:

Auch dies ist erledigt. Ich danke nochmal herzlich und hoffe mein bescheidener Be(i)trag unterstützt Euch.

Viele Grüße,
R