Trojaner-Board - Erst Exploit.2010-0840.BC aus Avira, dann Trojan.KillAV aus Malwarebytes

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Erst Exploit.2010-0840.BC aus Avira, dann Trojan.KillAV aus Malwarebytes (https://www.trojaner-board.de/105257-erst-exploit-2010-0840-bc-avira-dann-trojan-killav-malwarebytes.html)

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

ich schaue jetzt seit etwa 10 Minuten auf die Eieruhr und warte darauf, dass ComboFix startet. Ist das normal? Weiter warten? Oder beenden und neu starten?
Irgendwie geht aber auch gar nichts einfach :killpc:

abbrechen und dann neu starten hat auch funktioniert - jetzt läufts

so, jetzt gehts weiter

Combofix Logfile:

Code:

ComboFix 11-11-25.02 - Admin 25.11.2011  19:42:30.1.1 - x86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.959.567 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\Admin\Desktop\ComboFix.exe

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Avira AntiVir PersonalEdition Classic *Disabled/Updated* {805020EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Outdated* {00000000-0000-0000-0000-000000000000}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD0EC-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00DA-0D24-347CA8A3377C}

AV: Avira AntiVir PersonalEdition Classic *Enabled/Updated* {804FD2B8-FFA4-00EB-0D24-347CA8A3377C}

FW: ZoneAlarm Firewall *Disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\Admin\WINDOWS

c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP

c:\dokumente und einstellungen\Matthias\WINDOWS

c:\dokumente und einstellungen\Stephan\WINDOWS

c:\windows\IsUn0407.exe

c:\windows\pi.exe

c:\windows\ST6UNST.000

c:\windows\SYSTEM32\RtlGina\RtlGina.DLL

c:\windows\system32\zip32.dll

c:\windows\unin0407.exe

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-10-25 bis 2011-11-25  ))))))))))))))))))))))))))))))

.

.

2011-11-23 22:43 . 2011-11-23 22:43    --------    d-----w-    c:\programme\Gemeinsame Dateien\Java

2011-11-23 22:42 . 2011-11-23 22:42    73728    ----a-w-    c:\windows\system32\javacpl.cpl

2011-11-22 20:30 . 2011-11-22 20:30    --------    d-----w-    c:\programme\ESET

2011-11-20 11:00 . 2011-11-20 11:00    --------    d-----w-    c:\dokumente und einstellungen\Admin\Anwendungsdaten\Malwarebytes

2011-11-20 10:57 . 2011-11-20 10:57    --------    d-----w-    c:\dokumente und einstellungen\Admin\Anwendungsdaten\Apple Computer

2011-11-20 07:23 . 2011-11-20 07:23    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-11-20 07:23 . 2011-11-22 20:29    --------    d-----w-    c:\programme\MWB'Anti-Malware

2011-11-20 07:23 . 2011-08-31 16:00    22216    ----a-w-    c:\windows\system32\drivers\mbam.sys

2011-11-20 07:10 . 2010-12-27 18:23    400384    ----a-w-    c:\programme\JavaRa.exe

2011-11-14 15:17 . 2011-11-14 15:17    --------    d-----w-    c:\dokumente und einstellungen\Matthias\Anwendungsdaten\Apple Computer

2011-11-13 12:41 . 2011-11-13 12:41    --------    d-----w-    c:\dokumente und einstellungen\Stephan\.jfreereport

2011-11-07 20:10 . 2011-11-07 20:10    --------    d-----w-    c:\dokumente und einstellungen\Dorothe\Anwendungsdaten\Apple Computer

2011-11-07 20:08 . 2011-11-07 20:09    159744    ----a-w-    c:\programme\Mozilla Firefox\plugins\npqtplugin.dll

2011-11-07 20:07 . 2011-11-23 21:15    --------    d-----w-    c:\programme\QuickTime

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Apple

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\programme\Apple Software Update

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple

2011-11-07 20:06 . 2011-11-07 20:06    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Apple Computer

2011-11-07 19:58 . 2011-11-07 19:58    --------    d-----w-    c:\dokumente und einstellungen\Dorothe\Lokale Einstellungen\Anwendungsdaten\Apple Computer

2011-10-29 20:24 . 2011-10-29 20:24    --------    d-----w-    c:\programme\Multimedia Keyboard & Mouse Driver

2011-10-29 17:54 . 2011-10-29 17:54    --------    d-----w-    c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Google

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-23 22:41 . 2010-04-19 05:52    472808    ----a-w-    c:\windows\system32\deployJava1.dll

2011-11-19 06:50 . 2011-05-19 16:38    414368    ----a-w-    c:\windows\system32\FlashPlayerCPLApp.cpl

2011-10-22 11:50 . 2011-10-22 11:50    21361    ----a-w-    c:\windows\system32\drivers\AegisP.sys

2011-10-10 14:22 . 2006-06-07 14:38    692736    ----a-w-    c:\windows\system32\inetcomm.dll

2011-09-28 07:06 . 2004-08-04 12:00    604160    ----a-w-    c:\windows\system32\crypt32.dll

2011-09-26 09:41 . 2008-07-29 18:59    614912    ----a-w-    c:\windows\system32\uiautomationcore.dll

2011-09-26 09:41 . 2004-08-04 12:00    23040    ----a-w-    c:\windows\system32\oleaccrc.dll

2011-09-26 09:41 . 2004-08-04 12:00    220160    ----a-w-    c:\windows\system32\oleacc.dll

2011-09-06 14:10 . 2004-08-04 12:00    1859072    ----a-w-    c:\windows\system32\win32k.sys

2011-11-08 18:06 . 2011-03-22 20:19    134104    ----a-w-    c:\programme\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ccleaner"="c:\programme\CCleaner\ccleaner.exe" [2011-08-25 2622784]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2010-06-28 1043968]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2011-04-21 281768]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-06-09 254696]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

LevelOne Wireless LAN Utility.lnk - c:\programme\LevelOne\LevelOne Wireless LAN Utility\RtWLan.exe [2011-10-22 933888]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"NoResolveTrack"= 1 (0x1)

"NoFileAssociate"= 0 (0x0)

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"MaxRecentDocs"= 11 (0xb)

"GreyMSIAds"= 1 (0x1)

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]

BootExecute    REG_MULTI_SZ       autocheck autochk *\0DfSDKBt

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]

@=""

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"ctfmon.exe"=c:\windows\system32\ctfmon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"SoundMan"=SOUNDMAN.EXE

"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe"

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" -atboottime

"APSDaemon"="c:\programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe"

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"c:\\Programme\\FlashGet\\flashget.exe"=

"c:\\WINDOWS\\system32\\ZoneLabs\\vsmon.exe"=

"c:\\Programme\\Gemeinsame Dateien\\Apple\\Apple Application Support\\WebKit2WebProcess.exe"=

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3540:UDP"= 3540:UDP:Peer Name Resolution-Protokoll (PNRP)

"1542:TCP"= 1542:TCP:Realtek WPS TCP Prot

"1542:UDP"= 1542:UDP:Realtek WPS UDP Prot

"53:UDP"= 53:UDP:Realtek AP UDP Prot

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)

"AllowInboundTimestampRequest"= 0 (0x0)

"AllowInboundMaskRequest"= 0 (0x0)

"AllowInboundRouterRequest"= 0 (0x0)

"AllowOutboundDestinationUnreachable"= 0 (0x0)

"AllowOutboundSourceQuench"= 0 (0x0)

"AllowOutboundParameterProblem"= 0 (0x0)

"AllowOutboundTimeExceeded"= 0 (0x0)

"AllowRedirect"= 0 (0x0)

"AllowOutboundPacketTooBig"= 0 (0x0)

.

R1 SSHDRV84;SSHDRV84;c:\windows\system32\drivers\SSHDRV84.sys [09.09.2006 16:09 76800]

R1 SSHDRV86;SSHDRV86;c:\windows\system32\drivers\SSHDRV86.sys [22.06.2006 19:02 81408]

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [24.07.2011 23:13 136360]

R2 TuneUp.UtilitiesSvc;TuneUp Utilities Service;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe [15.07.2011 10:38 1052480]

R3 RTL8192su;LevelOne N Wireless USB Adapter;c:\windows\system32\drivers\RTL8192su.sys [22.10.2011 12:49 589312]

R3 TuneUpUtilitiesDrv;TuneUpUtilitiesDrv;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys [24.02.2010 13:41 10064]

S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.03.2010 13:16 130384]

S3 DTAG;Teledat Fast Ethernet 100 PCI Windows Driver;c:\windows\system32\drivers\DTAGND51.sys [11.07.2006 15:19 38528]

S3 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [18.05.2010 18:09 136176]

S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [18.05.2010 18:09 136176]

S3 nosGetPlusHelper;getPlus(R) Helper 3004;c:\windows\System32\svchost.exe -k nosGetPlusHelper [04.08.2004 13:00 14336]

S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.03.2010 13:16 753504]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

p2psvc    REG_MULTI_SZ       p2psvc p2pimsvc p2pgasvc PNRPSvc

nosGetPlusHelper    REG_MULTI_SZ       nosGetPlusHelper

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

UxTuneUp

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

IE: &Alles mit FlashGet laden - c:\programme\FlashGet\jc_all.htm

IE: &Mit FlashGet laden - c:\programme\FlashGet\jc_link.htm

IE: { - c:\programme\Messenger\msmsgs.exe

TCP: DhcpNameServer = 192.168.2.1

DPF: Garmin Communicator Plug-In - hxxps://static.garmincdn.com/gcp/ie/2.9.3.0/GarminAxControl.CAB

FF - ProfilePath - c:\dokumente und einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\hjywwj0h.default\

FF - user.js: network.http.max-persistent-connections-per-server - 4

FF - user.js: content.max.tokenizing.time - 1800000

FF - user.js: content.notify.interval - 600000

FF - user.js: content.switch.threshold - 600000

FF - user.js: nglayout.initialpaint.delay - 600

FF - user.js: browser.blink_allowed - true

FF - user.js: network.prefetch-next - true

FF - user.js: layout.spellcheckDefault - 1

FF - user.js: browser.urlbar.autoFill - false

FF - user.js: browser.search.openintab - false

FF - user.js: browser.tabs.closeButtons - 1

FF - user.js: browser.tabs.opentabfor.middleclick - true

FF - user.js: browser.tabs.tabMinWidth - 100

FF - user.js: browser.urlbar.hideGoButton - false

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

BHO-{e9911ec6-1bcc-40b0-9993-e0eea7f6953f} - (no file)

Toolbar-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)

Toolbar-{e9911ec6-1bcc-40b0-9993-e0eea7f6953f} - (no file)

WebBrowser-{CCC7A320-B3CA-4199-B1A6-9F516DD69829} - (no file)

WebBrowser-{D4027C7F-154A-4066-A1AD-4243D8127440} - (no file)

AddRemove-Adobe Acrobat 5.0 - c:\windows\ISUN0407.EXE

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-11-25 20:29

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(2404)

c:\windows\system32\webcheck.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\netdde.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\windows\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

c:\programme\Avira\AntiVir Desktop\avshadow.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\windows\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\locator.exe

c:\windows\system32\tcpsvcs.exe

c:\windows\System32\snmp.exe

c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-11-25  21:31:18 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-11-25 20:31

.

Vor Suchlauf: 9 Verzeichnis(se), 13.043.834.880 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 13.239.984.128 Bytes frei

.

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /noexecute=optin /noguiboot

.

- - End Of File - - DCE9766B49B1237FBA4DB30584E198B3

--- --- ---

Bis bald.

LG
Stephan

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Also - alles so durchgeführt, wie du es angegeben hast.
GMER ist zweimal abgetürzt bzw. hat den Rechner neu gestartet. Eine Log-Datei finde ich nicht.

OSAM ist gelaufen, hier das Log:
OSAM Logfile:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 15:56:26 on 26.11.2011
 

OS: Windows XP Home Edition Service Pack 3 (Build 2600)

Default Browser: Mozilla Corporation Firefox 8.0
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Boot Execute]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Session Manager )-----

"BootExecute" - ? - DfSDKBt  (File not found)
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"alsndmgr.cpl" - ? - C:\WINDOWS\system32\alsndmgr.cpl  (File signed by Microsoft | File found, but it contains no detailed information)

"bdeadmin.cpl" - ? - C:\WINDOWS\system32\bdeadmin.cpl

"CAMCPL.CPL" - "FotoNation inc." - C:\WINDOWS\system32\CAMCPL.CPL

"ddbaccpl.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbaccpl.cpl

"ddbacctm.cpl" - "DataDesign AG" - C:\WINDOWS\system32\ddbacctm.cpl

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl

"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl

"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl

"nvcpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvcpl.cpl

"nvtuicpl.cpl" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvtuicpl.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"ACEDRV05" (ACEDRV05) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\ACEDRV05.sys

"ACEDRV07" (ACEDRV07) - "Protect Software GmbH" - C:\WINDOWS\system32\drivers\ACEDRV07.sys

"AEGIS Protocol (IEEE 802.1x) v3.7.5.0" (AegisP) - "Cisco Systems, Inc." - C:\WINDOWS\System32\DRIVERS\AegisP.sys

"catchme" (catchme) - ? - C:\ComboFix\catchme.sys  (File not found)

"GEAR ASPI Filter Driver" (GEARAspiWDM) - "GEAR Software Inc." - C:\WINDOWS\System32\Drivers\GEARAspiWDM.sys

"LevelOne N Wireless USB Adapter" (RTL8192su) - "Realtek Semiconductor Corporation                           " - C:\WINDOWS\System32\DRIVERS\RTL8192su.sys

"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)

"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\WINDOWS\System32\Drivers\PxHelp20.sys

"SSHDRV84" (SSHDRV84) - ? - C:\WINDOWS\system32\drivers\SSHDRV84.sys

"SSHDRV86" (SSHDRV86) - ? - C:\WINDOWS\system32\drivers\SSHDRV86.sys

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys

"TuneUpUtilitiesDrv" (TuneUpUtilitiesDrv) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys

"U3sHlpDr" (U3sHlpDr) - ? - C:\WINDOWS\System32\Drivers\U3sHlpDr.sys  (File found, but it contains no detailed information)

"UIM Drive Backup Image Plugin" (Uim_IM) - "Paragon" - C:\WINDOWS\System32\Drivers\Uim_IM.sys

"Universal Image Mounter Controller" (UimBus) - "Windows (R) 2000 DDK provider" - C:\WINDOWS\System32\DRIVERS\UimBus.sys

"vsdatant" (vsdatant) - "Check Point Software Technologies LTD" - C:\WINDOWS\System32\vsdatant.sys
 

[Explorer]

-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----

{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - c:\WINDOWS\system32\Rundll32.exe c:\WINDOWS\system32\mscories.dll,Install

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

-----( HKLM\Software\Classes\Protocols\Filter )-----

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll

{34F4B935-17DC-4885-8BC9-CCD1ADF42F93} "CISORecorderContextMenu Object" - "Alex Feinman" - C:\Programme\Alex Feinman\ISO Recorder\ISORecorder.dll

{1CDB2949-8F65-4355-8456-263E7C208A5D} "Desktop Explorer" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{1E9B04FB-F9E5-4718-997B-B8DA88302A47} "Desktop Explorer Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{88895560-9AA2-1069-930E-00AA0030EBC8} "Erweiterung für HyperTerminal-Icons" - ? -   (File not found | COM-object registry key not found)

{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - c:\WINDOWS\system32\mscoree.dll

{73B24247-042E-4EF5-ADC2-42F62E6FD654} "ICQ Lite Shell Extension" - ? -   (File not found | COM-object registry key not found)

{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)

{D9872D13-7651-4471-9EEE-F0A00218BEBB} "Multiscan" - ? -   (File not found | COM-object registry key not found)

{1E9B04FB-F9E5-4718-997B-B8DA88302A48} "nView Desktop Context Menu" - "NVIDIA Corporation" - C:\WINDOWS\system32\nvshell.dll

{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - ? -   (File not found | COM-object registry key not found)

{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)

{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\WINDOWS\system32\dfshim.dll

{4838CD50-7E5D-4811-9B17-C47A85539F28} "TuneUp Disk Space Explorer Shell Extension" - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\DseShExt-x86.dll

{4858E7D9-8E12-45a3-B6A3-1CD128C9D403} "TuneUp Shredder Shell Extension" - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\SDShelEx-win32.dll

{44440D00-FF19-4AFC-B765-9A0970567D97} "TuneUp Theme Extension" - "TuneUp Software" - C:\WINDOWS\System32\uxtuneup.dll
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBarLayout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

Garmin Communicator Plug-In "Garmin Communicator Plug-In" - ? -   (File not found | COM-object registry key not found) / https://static.garmincdn.com/gcp/ie/2.9.3.0/GarminAxControl.CAB

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab

{31E68DE2-5548-4B23-88F0-C51E6A0F695E} "Microsoft PID Sniffer" - "Microsoft" - C:\WINDOWS\system32\odc.dll / https://support.microsoft.com/OAS/ActiveX/odc.cab

{74DBCB52-F298-4110-951D-AD2FF67BC8AB} "NVIDIA Smart Scan" - "NVIDIA" - C:\WINDOWS\DOWNLO~1\NVIDIA~1.OCX / hxxp://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab

{17492023-C23A-453E-A040-C7C580BBF700} "Windows Genuine Advantage Validation Tool" - "Microsoft Corporation" - C:\WINDOWS\system32\LegitCheckControl.DLL / hxxp://download.microsoft.com/download/C/0/C/C0CBBA88-A6F2-48D9-9B0E-1719D1177202/LegitCheckControl.cab

{54BE6B6F-3056-470B-97E1-BB92E051B6C4} "{54BE6B6F-3056-470B-97E1-BB92E051B6C4}" - ? -   (File not found | COM-object registry key not found) / hxxp://h30155.www3.hp.com/ediags/dd/install/HPDriverDiagnosticsxp2k.cab

{8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}" - ? -   (File not found | COM-object registry key not found) / hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

"FlashGet" - "FlashGet.com" - C:\Programme\FlashGet\FlashGet.exe

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----

{E0E899AB-F487-11D5-8D29-0050BA6940E3} "FlashGet Bar" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

{2F364306-AA45-47B5-9F9D-39A8B94E7EF7} "FGCatchUrl" - "www.flashget.com" - C:\Programme\FlashGet\jccatch.dll

{F156768E-81EF-470C-9057-481BA8380DBA} "FlashGet GetFlash Class" - "www.flashget.com" - C:\Programme\FlashGet\getflash.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll

{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
 

[Logon]

-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini

"LevelOne Wireless LAN Utility.lnk" - "Realtek Semiconductor Corp." - C:\Programme\LevelOne\LevelOne Wireless LAN Utility\RtWLan.exe  (Shortcut exists | File exists)

-----( %UserProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\Admin\Startmenü\Programme\Autostart\desktop.ini

-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----

"ccleaner" - "Piriform Ltd" - "C:\Programme\CCleaner\ccleaner.exe" /AUTO

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

"ZoneAlarm Client" - "Check Point Software Technologies LTD" - "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
 

[Print Monitors]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----

"Redirected Port" - ? - C:\WINDOWS\system32\redmonnt.dll  (File found, but it contains no detailed information)
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

"getPlus(R) Helper 3004" (nosGetPlusHelper) - "NOS Microsystems Ltd." - C:\Programme\NOS\bin\getPlus_Helper_3004.dll

"Google Update Service (gupdate)" (gupdate) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe

"Imapi Helper" (Imapi Helper) - "Alex Feinman" - C:\Programme\Alex Feinman\ISO Recorder\ImapiHelper.exe

"InstallDriver Table Manager" (IDriverT) - "Macrovision Corporation" - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe

"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe

"Net.Tcp-Portfreigabedienst" (NetTcpPortSharing) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe

"TrueVector Internet Monitor" (vsmon) - "Check Point Software Technologies LTD" - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

"TuneUp Designerweiterung" (UxTuneUp) - "TuneUp Software" - C:\WINDOWS\System32\uxtuneup.dll

"TuneUp Drive Defrag-Dienst" (TuneUp.Defrag) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpDefragService.exe

"TuneUp Utilities Service" (TuneUp.UtilitiesSvc) - "TuneUp Software" - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe

"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe

"Windows Presentation Foundation Font Cache 4.0.0.0" (WPFFontCache_v0400) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe
 

[Winlogon]

-----( HKCU\Control Panel\Desktop )-----

"SCRNSAVE.EXE" - ? - H:\OTL.scr  (File not found)

-----( HKCU\Control Panel\IOProcs )-----

"MVB" - ? - mvfs32.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----

{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----

"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---
If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru[/QUOTE]

aswMBR ist auch gelaufen, auch dazu ein Log:

Zitat:

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-26 16:29:05
-----------------------------
16:29:05.921 OS Version: Windows 5.1.2600 Service Pack 3
16:29:05.921 Number of processors: 1 586 0x1C00
16:29:05.921 ComputerName: STE_CHEF UserName: Admin
16:29:06.828 Initialize success
16:33:26.171 AVAST engine defs: 11112600
16:33:45.093 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-4
16:33:45.093 Disk 0 Vendor: WDC_WD800BB-60JKC0 05.01C05 Size: 76319MB BusType: 3
16:33:45.093 Disk 1 \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP0T1L0-c
16:33:45.093 Disk 1 Vendor: WDC_WD2000BB-14GUA0 08.02D08 Size: 190782MB BusType: 3
16:33:45.125 Disk 0 MBR read successfully
16:33:45.125 Disk 0 MBR scan
16:33:45.203 Disk 0 Windows XP default MBR code
16:33:45.203 Disk 0 scanning sectors +156280320
16:33:45.312 Disk 0 scanning C:\WINDOWS\system32\drivers
16:34:06.875 Service scanning
16:34:08.359 Service vsdatant C:\WINDOWS\System32\vsdatant.sys **LOCKED** 32
16:34:08.890 Modules scanning
16:34:37.437 Disk 0 trace - called modules:
16:34:37.453 ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys
16:34:37.453 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85978ab8]
16:34:37.453 3 CLASSPNP.SYS[f757cfd7] -> nt!IofCallDriver -> \Device\0000006e[0x859907c8]
16:34:37.453 5 ACPI.sys[f7412620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-4[0x85934d98]
16:34:37.937 AVAST engine scan C:\WINDOWS
16:34:49.484 AVAST engine scan C:\WINDOWS\system32
16:41:19.109 AVAST engine scan C:\WINDOWS\system32\drivers
16:41:44.406 AVAST engine scan C:\Dokumente und Einstellungen\Admin
16:42:45.359 AVAST engine scan C:\Dokumente und Einstellungen\All Users
16:45:43.390 Scan finished successfully
16:46:19.843 Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Admin\Desktop\MBR.dat"
16:46:19.859 The log file has been saved successfully to "C:\Dokumente und Einstellungen\Admin\Desktop\aswMBR.txt"

auf ein Neues
LG
Stephan

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hat ganz schön lange gebraucht, die angegebenen Scans durchzuführen. Also dann, hier die Logs:

1. Malwarebytes

Zitat:

Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 8251

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

27.11.2011 11:44:44
mbam-log-2011-11-27 (11-44-44).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 322481
Laufzeit: 2 Stunde(n), 58 Minute(n), 58 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

2. SASW

Zitat:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 11/27/2011 at 05:52 PM

Application Version : 5.0.1136

Core Rules Database Version : 7988
Trace Rules Database Version: 5800

Scan type : Complete Scan
Total Scan Time : 04:07:45

Operating System Information
Windows XP Home Edition 32-bit, Service Pack 3 (Build 5.01.2600)
Administrator

Memory items scanned : 473
Memory threats detected : 0
Registry items scanned : 36610
Registry threats detected : 0
File items scanned : 140590
File threats detected : 6

Adware.Tracking Cookie
boypornclips.com [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
hottraffic.nl [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
s0.2mdn.net [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]
www.ardmediathek.de [ C:\DOKUMENTE UND EINSTELLUNGEN\DOROTHE\ANWENDUNGSDATEN\MACROMEDIA\FLASH PLAYER\#SHAREDOBJECTS\LKL5GQKW ]

Trojan.Agent/Gen-Nullo[Short]
C:\SYSTEM VOLUME INFORMATION\_RESTORE{45BE423C-E279-4689-B562-55A65F958635}\RP850\A0350613.EXE

Trojan.Agent/Gen-SoftonicDownloader
D:\SYSTEM VOLUME INFORMATION\_RESTORE{45BE423C-E279-4689-B562-55A65F958635}\RP853\A0350992.EXE

:pfeiff:manchmal sieht man dann Sachen, die will man gar nicht sehen

3. ESET

Zitat:

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=1471b91f07e1604d943066303fd488fb
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-11-23 12:28:17
# local_time=2011-11-23 01:28:17 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=1797 16775125 100 93 313054 58526357 13887 0
# compatibility_mode=8192 67108863 100 0 4249 4249 0 0
# compatibility_mode=9217 16777214 75 66 40951798 44271724 0 0
# scanned=94613
# found=3
# cleaned=0
# scan_time=13607
D:\Daten\Dorothe\install_video2615_avi.exe a variant of Win32/Kryptik.UMB trojan (unable to clean) 00000000000000000000000000000000 I
D:\Downloads\Programme\registrybooster.exe Win32/RegistryBooster application (unable to clean) 00000000000000000000000000000000 I
D:\Downloads\Programme\SoftonicDownloader_fuer_polyglot-3000.exe a variant of Win32/SoftonicDownloader.A application (unable to clean) 00000000000000000000000000000000 I
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=1471b91f07e1604d943066303fd488fb
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-11-27 08:25:13
# local_time=2011-11-27 09:25:13 (+0100, Westeuropäische Normalzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 0 0 0 0
# compatibility_mode=8192 67108863 100 0 422882 422882 0 0
# compatibility_mode=9217 16777214 75 66 41370431 44690357 0 0
# scanned=97701
# found=0
# cleaned=0
# scan_time=12388

LG
Stephan

Nur Cookies und ein paar Überreste.
Rechner soweit wieder im Lot?

Im Prinzip ja. :daumenhoc

Ich muss ja gestehen, dass ich nicht viel verstanden habe von dem, was wir gemacht haben, sondern immer nur deine Anweisungen ausgeführt habe. Also, mit meinem Laienverstand sieht das so aus:
Wir haben immer wieder andere (neue) Tests durchgeführt - welchen, wann und warum ist mir unklar. Hat sicher was zu tun mit den Logs, die du ausgewertet hast.

Muss ich jetzt abschließend noch mal was mit dem Defogger machen? Soweit ich das verstanden habe, sind da Dienste oder Prozesse gestoppt oder abgeschaltet worden. Muss ich davon irgendetwas wieder einschalten?

Generell: Die etwas ausführlichere Beschäftigung (Lesen, Lesen, Lesen) mit dem Thema Sicherheit hat mich jetzt dazu gebracht, die ZA-Firewall zu deinstallieren und mit der Windows-Firewall weiter zu arbeiten, Avira zu deinstallieren und Avast zu testen, später vielleicht auch mal MSE. Tune-Up ist auch runter vom Rechner. Was bleibt, ist Revo Uninstaller und CCleaner.

Die Blockierung einzelner Ports und Protokolle über Windows Firewall ist zwar grundsätzlich möglich, allerdings ist mir da nicht hinreichend klar, welche ich brauche und welche ich blockieren könnte. Wo kann ich dazu was lesen? Was meinen beschränkten User-Verstand nicht überfordert.

LG
Stephan

Zitat:

Muss ich davon irgendetwas wieder einschalten?

Hast du überhaupt virtuelle Laufwerke eingerichtet also sowas wie DaemonTools installiert?

Zitat:

mit dem Thema Sicherheit hat mich jetzt dazu gebracht, die ZA-Firewall zu deinstallieren

Das ist schon ein richtiger und wichtiger Schritt. ZA hat rein garnichts mit Sicherheit zu tun.

Zitat:

Die Blockierung einzelner Ports und Protokolle über Windows Firewall ist zwar grundsätzlich möglich

Wie wärs wenn du nur einfach das erlaubst was man auch wirklich benötigt?
Meistens langt das, wenn man die Windows-Firewall auf "keine Ausnahmen zulassen" stellt. Es sei denn du willst irgendwelche Dateifreigaben von deinem Rechner ermöglichen. Wenn du hinter einem Router bist, benötigst du idR nichtmal die Windows-Firewall.

Na dann, für diesmal Tausend Dank, du hast dir echt viel viel Mühe gemacht und ich habe ein wenig lernen können. :abklatsch:

Spende ans TB kommt noch - ist Ehrensache.

Liebe Grüße
Stephan

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Zitat:

Zitat von cosinus (Beitrag 726491)

Dann wären wir durch! :abklatsch:

Hmmm - jetzt gibt es doch ein Problem. bis dahin war alles so easy. Also, äh, man traut sich kaum, es zu sagen, aber: Mein Rechner startet nicht richtig:confused:. Nach der üblichen Windows-Anmeldung sehe ich nach einiger Zeit meinen üblichen Desktop mit allen Icons, auch denen, die wir hier installiert haben. Die blaue Windows-Leiste unten bleibt blau, ohne alle Icons, Virensanner etc. wird auch nicht angezeigt. Die Maus kann ich bewegen, aber keine Aktionen damit ausführen.

Was ist das?

Zitat:

Melde dich falls es da Fehlermeldungen zu gibt.

Hiermit geschehen.

Zitat:

Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

wollte ich sowieso, aber danke für den Hinweis

Zitat:

kannst du zB Secunia PSI verwenden.

auf dem Laptop schon installiert, auf dem Desktop-Rechner ... siehe oben

Zitat:

möglichst alle Passwörter ändern.

kommt dann auch noch

Zitat:

Windows XP: ...
PDF-Reader aktualisieren ...
... Aktualität des Flashplayers ..
... Firefox aktuell...
Java-Update ...

ist auch schon geschehen

Aber was mach ich, um die Kiste wieder an den Start zu kriegen?

LG
Stephan

Zitat:

Die Maus kann ich bewegen, aber keine Aktionen damit ausführen.

Was bedeutet Aktionen? Keine Reaktion auf Tastendruck?