Trojaner-Board - Achtung! Ihr Computer wurde gesperrt ! Brauche Experten Rat

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Achtung! Ihr Computer wurde gesperrt ! Brauche Experten Rat (https://www.trojaner-board.de/108961-achtung-computer-wurde-gesperrt-brauche-experten-rat.html)

Achtung! Ihr Computer wurde gesperrt ! Brauche Experten Rat

Hallo, ich versuche jetzt schon seit Stunden dieses fiese Teil loszuwerden. Hier im Forum gelesen und versucht die reparaturskripte nachzuvollziehen bin aber gescheitert. Bitte helft mir Logfiles sind angehängt

Das ist das nette Teil was beim Booten aufpoppt und verlangt das ich für 100€ mit paysafe bezahle.

Vielen Dank für Eure Hilfe jetzt schoneinmal

hi
und, steht denn hier nicht deutlich, dass die scripte nicht angewendet werden sollen ohne anweisung?

falls du deinen nutzernamen unkenntlich gemacht hast, passe ihn im script an.

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

Code:

:OTL

O4 - HKU\S-1-5-21-507921405-651377827-725345543-1108..\Run: [vasja] C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\0.7413323010399653.exe (Orb Networks)

 :Files

C:\Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\0.7413323010399653.exe

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus :)

Hi, also die Datei ist unter dem Namen moltova hochgeladen, vielen dank für die schnelle hilfe bis jetzt. Und ich habe gelesen, das die Skripte individuel sind habe nur versucht zu verstehen was gemacht wird um mir evtl selber einen zu erstellen ohne jetzt die Hilfe (in diesem Fall Deine) in anspruch zu nehmen :-)

danke danke danke

danke für den upload :-)

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
Tool

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Hinweis:
Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.

Also den TrendMikro kann ich gerade nicht deaktiveren wegen einem fehlenden Passwort :-( aber ich hoffe es geht trozdem: hier der Inhalt
Combofix Logfile:

Code:

ComboFix 12-02-02.02 - Administrator 03.02.2012  13:19:06.1.2 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2037.1576 [GMT 1:00]

ausgef¸hrt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe

AV: Trend Micro Client/Server Security Agent Virenschutz *Enabled/Updated* {8FD0630A-BFB9-4CA1-B60E-79854CE60E50}

FW: Trend Micro Client-Server Security Agent Firewall *Disabled* {8FD0630A-BFB9-4CA1-B60E-79854CE60E50}

.

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!

.

.

((((((((((((((((((((((((((((((((((((   Weitere Lˆschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\windows\system32\_000003_.tmp.dll

c:\windows\system32\_000005_.tmp.dll

c:\windows\system32\_000110_.tmp.dll

D:\Autorun.inf

.

.

(((((((((((((((((((((((   Dateien erstellt von 2012-01-03 bis 2012-02-03  ))))))))))))))))))))))))))))))

.

.

2012-02-03 10:26 . 2012-02-03 10:31        --------        d-----w-        C:\_OTL

2012-02-02 11:11 . 2012-02-02 11:11        --------        d-sh--w-        c:\dokumente und einstellungen\Administrator\PrivacIE

2012-02-02 11:11 . 2012-02-02 11:11        --------        d-----w-        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Google

2012-01-20 12:18 . 2008-04-13 19:45        15104        ----a-w-        c:\windows\system32\drivers\usbscan.sys

2012-01-20 12:18 . 2008-04-13 19:45        15104        ----a-w-        c:\windows\system32\dllcache\usbscan.sys

2012-01-20 12:18 . 2001-08-18 03:54        5632        ----a-w-        c:\windows\system32\ptpusb.dll

2012-01-20 12:18 . 2008-04-14 03:22        159232        ----a-w-        c:\windows\system32\ptpusd.dll

2012-01-20 08:00 . 2008-04-13 19:45        32128        ----a-w-        c:\windows\system32\drivers\usbccgp.sys

2012-01-20 08:00 . 2008-04-13 19:45        32128        ----a-w-        c:\windows\system32\dllcache\usbccgp.sys

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-12-14 14:10 . 2011-09-20 21:28        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-11-25 21:57 . 2006-02-28 02:00        293888        ----a-w-        c:\windows\system32\winsrv.dll

2011-11-23 14:40 . 2006-02-28 02:00        1859712        ----a-w-        c:\windows\system32\win32k.sys

2011-11-20 06:12 . 2006-02-28 02:00        61952        ----a-w-        c:\windows\system32\packager.exe

2011-11-16 14:21 . 2006-02-28 02:00        354816        ----a-w-        c:\windows\system32\winhttp.dll

2011-11-16 14:21 . 2006-02-28 02:00        152064        ----a-w-        c:\windows\system32\schannel.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Eintr‰ge & legitime Standardeintr‰ge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2007-11-26 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2007-11-26 166424]

"Persistence"="c:\windows\system32\igfxpers.exe" [2007-11-26 137752]

"RTHDCPL"="RTHDCPL.EXE" [2007-12-12 16859136]

"SetRefresh"="c:\programme\Compaq\SetRefresh\SetRefresh.exe" [2003-11-20 525824]

"OfficeScanNT Monitor"="c:\programme\Trend Micro\Client Server Security Agent\pccntmon.exe" [2007-04-27 399048]

"Synchronization Manager"="c:\windows\system32\mobsync.exe" [2008-04-14 144384]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\dokumente und einstellungen\user\Startmen¸\Programme\Autostart\

dicomPACS.lnk - \\BILDSERVER\dicomPIC1\dicomPACS\StartUp\dicomPACS.exe [N/A]

.

c:\dokumente und einstellungen\All Users\Startmen¸\Programme\Autostart\

Verkn¸pfung mit netuse.lnk - c:\bdt\netuse.cmd [2009-7-28 248]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LightScribe Control Panel]

2009-05-18 15:56        2363392        ----a-w-        c:\programme\Gemeinsame Dateien\LightScribe\LightScribeControlPanel.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PDF Complete]

2008-04-07 05:10        318488        ----a-w-        c:\programme\PDF Complete\pdfsty.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Recguard]

2006-05-12 10:50        1138688        ----a-w-        c:\windows\SMINST\Recguard.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Reminder]

2006-03-31 12:44        761856        ----a-w-        c:\windows\CREATOR\Remind_XP.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Scheduler]

2006-07-10 08:53        872448        ----a-w-        c:\windows\SMINST\Scheduler.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]

2011-09-20 22:11        39408        ----a-w-        c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Synchronization Manager]

2008-04-14 02:22        144384        ----a-w-        c:\windows\system32\mobsync.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\TrendAntiVirus]

"DisableMonitoring"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\TrendFirewall]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\WINDOWS\\SMINST\\Scheduler.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

.

R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [28.07.2009 09:20 721904]

R1 FSLX;FSLX;c:\windows\system32\drivers\fslx.sys [11.07.2008 13:44 191872]

R1 SLEE_16_DRIVER;Steganos Live Encryption Engine 16 [Driver];c:\windows\system32\drivers\sleen16.sys [11.10.2007 11:24 79104]

R2 pdfcDispatcher;PDF Document Manager;c:\programme\PDF Complete\pdfsvc.exe [07.05.2009 07:49 576024]

R2 TmFilter;Trend Micro Filter;c:\programme\Trend Micro\Client Server Security Agent\tmxpflt.sys [22.05.2009 00:02 230928]

R2 TmPreFilter;Trend Micro PreFilter;c:\programme\Trend Micro\Client Server Security Agent\tmpreflt.sys [22.05.2009 00:00 36368]

S2 0133871248790318mcinstcleanup;McAfee Application Installer Cleanup (0133871248790318);c:\dokume~1\ADMINI~1\LOKALE~1\Temp\013387~1.EXE c:\progra~1\GEMEIN~1\McAfee\INSTAL~1\cleanup.ini -cleanup -nolog -service --> c:\dokume~1\ADMINI~1\LOKALE~1\Temp\013387~1.EXE c:\progra~1\GEMEIN~1\McAfee\INSTAL~1\cleanup.ini -cleanup -nolog -service [?]

S3 Wibukey2;Wibukey2;c:\windows\system32\drivers\Wibukey2.sys [28.07.2009 09:05 17408]

.

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]

2009-05-18 15:54        451872        ----a-w-        c:\programme\Gemeinsame Dateien\LightScribe\LSRunOnce.exe

.

Inhalt des "geplante Tasks" Ordners

.

.

------- Zus‰tzlicher Suchlauf -------

.

uStart Page = hxxp://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iehome&locale=de_de&c=93&bd=all&pf=cmdt

IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_6CE5017F567343CA.dll/cmsidewiki.html

TCP: Interfaces\{57474BE8-D877-4DDF-A9C3-9C990C7F58E2}: NameServer = 192.168.1.100,192.168.1.1

DPF: {B07F54E6-0806-47DB-B5D8-398F240776F2} - file:///E:/viewer/ORDcmViewCD.ocx

DPF: {DE625294-70E6-45ED-B895-CFFA13AEB044} - hxxp://popa.datacom.bg/activex/AMC.cab

.

- - - - Entfernte verwaiste Registrierungseintr‰ge - - - -

.

AddRemove-DAEMON Tools Toolbar - c:\programme\DAEMON Tools Toolbar\uninst.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2012-02-03 13:22

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteintr‰ge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\pdfcDispatcher]

"ImagePath"="c:\programme\PDF Complete\pdfsvc.exe /startedbyscm:66B66708-40E2BE4D-pdfcService"

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-3360260474-1005893733-3681221421-500\Software\Microsoft\Internet Explorer\User Preferences]

@Denied: (2) (Administrator)

"88D7D0879DAB32E14DE5B3A805A34F98AFF34F5977"=hex:01,00,00,00,d0,8c,9d,df,01,15,

   d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,bf,12,17,8e,02,66,c1,4c,b2,58,34,\

"2D53CFFC5C1A3DD2E97B7979AC2A92BD59BC839E81"=hex:01,00,00,00,d0,8c,9d,df,01,15,

   d1,11,8c,7a,00,c0,4f,c2,97,eb,01,00,00,00,bf,12,17,8e,02,66,c1,4c,b2,58,34,\

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'winlogon.exe'(772)

c:\windows\system32\igfxdev.dll

.

Zeit der Fertigstellung: 2012-02-03  13:23:37

ComboFix-quarantined-files.txt  2012-02-03 12:23

.

Vor Suchlauf: 13 Verzeichnis(se), 282.196.742.144 Bytes frei

Nach Suchlauf: 19 Verzeichnis(se), 284.223.111.168 Bytes frei

.

- - End Of File - - 03B2D046C14DE7B537EE9E4F72C97866

--- --- ---

ist das ein firmen gerät oder warum kennst du das passwort nicht...

Ja, leider ich helfe da gerade einem Bekannten der total betrogen worden ist mal (eben schnell) aus der Klemme und dann kam diese Aktion jetzt auch noch dazu. Der Trendmikro ist die nächste Baustelle. Bin hier total am rotieren (aber was tut man nicht alles...... :-( )

du meinst computer betrug oder wie?
wenn es relevant sein könnte, zb das geld vom online banking konto geklaut wurde, etc währen solche infos ganz nützlich, weil man dann
1. noch tiefgreifender gucken muss.
2. evtl. eine neu instalation mit absicherung in frage käme.

nene, nicht falsch verstehen..... auf dem Rechner wird nur mit einer verknüpften gesicherten Datenbank gearbeitet, da sind keinerlei Kredikarten sachen etc gespeichert....

ok, wollte nur sicher gehen das nicht noch mehr vorgefallen ist was zb mit onlinebanking problemen etc zu tun haben könnte.
lieber einmal mehr fragen, möchte ja das alle probleme beseitigt werden, dafür muss ich sie aber kennen :-)

malwarebytes:
Downloade Dir bitte Malwarebytes

Installiere
das Programm in den vorgegebenen Pfad.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Starte Malwarebytes, klicke auf Aktualisierung --> Suche
nach Aktualisierung
Wenn das Update beendet wurde, aktiviere vollständiger Scan durchführen und drücke auf Scannen.
Wenn der Scan beendet
ist, klicke auf Ergebnisse anzeigen.
Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
Poste
das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter "Log Dateien" finden.

danke werde es sofort ausführen, bin echt froh das du mir gerade hilfst :-)

update:
Malwarebytes Anti-Malware (Test) 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.02.03.05

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Administrator :: VORBEREITUNG [Administrator]

Schutz: Aktiviert

03.02.2012 14:14:43
mbam-log-2012-02-03 (14-14-43).txt

Art des Suchlaufs: Vollst‰ndiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 248690
Laufzeit: 33 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Registrierungsschl¸ssel: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bˆsartigen Objekte gefunden)

Infizierte Dateien: 1
C:\_OTL\MovedFiles\02032012_112629\C_Dokumente und Einstellungen\user\Lokale Einstellungen\Temp\0.7413323010399653.exe (Trojan.VUPX.ON) -> Erfolgreich gelˆscht und in Quarant‰ne gestellt.

(Ende)

Es scheint alles geklappt zu haben, das System ist wieder sauber und läuft einwandfrei,

VIELEN VIELEN DANK :-)

hi,
lade den CCleaner standard:
CCleaner Download - CCleaner 3.15.1643
falls der CCleaner
bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

hi, Danke für den Tipp, ist nichts unbekanntes drin, nur die Standard Software und das Installierte :-)

Der Rechner macht seinen Dienst wieder, vielen vielen Dank nocheinmal

ich benötige die liste trotzdem, schon allein wegen möglicherweise fehlender updates.

Zitat:

Zitat von markusg (Beitrag 764694)

ich benötige die liste trotzdem, schon allein wegen möglicherweise fehlender updates.

Achso, ok, werde gucken ob ich die am Montag nocheinmal gepostet bekomme :-) wünsche schoneinmal ein schönes Wochenende