Trojaner-Board - Windows wurde blockiert (black-screen)

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Windows wurde blockiert (black-screen) (https://www.trojaner-board.de/109375-windows-wurde-blockiert-black-screen.html)

Windows wurde blockiert (black-screen)

Hallo leibes Trojaner board team,
ich bin gerade ein wenig im internet rumgesurfed, da kam es
ein schwarzer screen mit kleinem fenster, oben deutschland flagge
und dick und fett "ihr windwos wurde blockiert", da ich gerade an dem selben
pc sitze kann ich die details nicht genau posten, da sonst der post weg ist.
Jedoch habe ich mich hier ein wenig schlau gemacht und gesehen das ihr schon diverse gleiche probleme gelöst habt.
ich habe mir auch otl geladen und die zwei scripte schon gemacht.
Ich hoffe ich habe alles richtig gemacht, um schnellst möglich hilfe zu erlangen.
Danke im vorraus :)

hi,
ob du alles richtig gemacht hast, kann ich dir ohne die logs nicht sagen :-)

hey,
sorry das es mit dem antworten so lange dauert, habe übersehen das ich es im save-mode with network machen sollte, habe die 1. im normalen modus gemacht, wenn diese scribts von nöten sind, sende ich sie anbei :) jedoch kann ich es hier nicht mit posten da es ztu lang wäre mit 1256599 teichen und als anhang zu groß, was soll ich jetzt tun :/??

dann hänge die datei an, bzw packe sie zb mit winzip falls zu groß.
und, lange wars doch nicht, ich hab außerdem sowieso genug zu tun, mach also ruhig :-)

ah bloed, warum ich nicht selbst auf die idee gekommen bin :) ouh mensch...
naja aber nun haben wirs ja, ich habe auch gleich falls nötig die logs des normalen windows logs also im standartisierten modus beigefügt.
schauen wir mal ob ichs richtig gemacht habe. :)

hi

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

Code:

:OTL

O4 - HKCU..\Run: [ffdwnd] C:\Users\Eddy\AppData\Local\Mozilla\Firefox\firefox.exe (3M Touch Systems, Inc.)

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nrHS0Km9IEuH7wUu.dll

[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NroqF371PwCIOfQ0.dll

[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nROUOAg4Uya6xjWn.dll

[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NRVx3KU2ZoiTD498.dll

[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Ns9149F1W8zG71kM.dll

[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Ns9cRq4l2e7f6U2X.dll

[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nSa542fLj92FVy2e.dll

[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nsHizGS65pcf8K9U.dll

[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NSs5d2rJ3G1qYu3K.dll

[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Nsw7Qrc8v09Ej1ao.dll

[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nT33bq41j4aD3811.dll

[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NT3eRP57p8h7JtEe.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nt88zqj95hCkXpWE.dll

[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Nt9iT8aQu7nvjSZe.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nTGf972fq5y9zxsK.dll

[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Nu4ykC78efY6L0Rl.dll

[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nUJcp5O6h22ob8w1.dll

[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nuk4y2aP05LW0dMs.dll

[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NUn5WhAbcUdYboEd.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NuWbV0si5umFwLpB.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nvLRIaFDYNMY4tSn.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NvmP8C27lV6iaktQ.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nvS4l76O4m7hb0Hb.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nvYp1BF602CRQUJR.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\NW2C489JIlPu112q.dll

[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\Nw2D9toFc7T56s1A.dll

[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nW5RCx9b3Uea4Vj2.dll

[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\Eddy\Local Settings\Temp\nWCjJMAWfSoox8N3.dll

 :Files

C:\Users\Eddy\AppData\Local\Mozilla\Firefox\firefox.exe

:Commands

[purity]

[EMPTYFLASH] 

[emptytemp]

[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus :)

All processes killed
Error: Unable to interpret <O4 - HKCU..\Run: [ffdwnd] C:\Users\****\AppData\Local\Mozilla\Firefox\firefox.exe (3M Touch Systems, Inc.)> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nrHS0Km9IEuH7wUu.dll> in the current context!
Error: Unable to interpret <[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NroqF371PwCIOfQ0.dll> in the current context!
Error: Unable to interpret <[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nROUOAg4Uya6xjWn.dll> in the current context!
Error: Unable to interpret <[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NRVx3KU2ZoiTD498.dll> in the current context!
Error: Unable to interpret <[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Ns9149F1W8zG71kM.dll> in the current context!
Error: Unable to interpret <[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Ns9cRq4l2e7f6U2X.dll> in the current context!
Error: Unable to interpret <[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nSa542fLj92FVy2e.dll> in the current context!
Error: Unable to interpret <[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nsHizGS65pcf8K9U.dll> in the current context!
Error: Unable to interpret <[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NSs5d2rJ3G1qYu3K.dll> in the current context!
Error: Unable to interpret <[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Nsw7Qrc8v09Ej1ao.dll> in the current context!
Error: Unable to interpret <[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nT33bq41j4aD3811.dll> in the current context!
Error: Unable to interpret <[2011.01.11 09:29:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NT3eRP57p8h7JtEe.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nt88zqj95hCkXpWE.dll> in the current context!
Error: Unable to interpret <[2011.01.25 16:09:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Nt9iT8aQu7nvjSZe.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nTGf972fq5y9zxsK.dll> in the current context!
Error: Unable to interpret <[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Nu4ykC78efY6L0Rl.dll> in the current context!
Error: Unable to interpret <[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nUJcp5O6h22ob8w1.dll> in the current context!
Error: Unable to interpret <[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nuk4y2aP05LW0dMs.dll> in the current context!
Error: Unable to interpret <[2011.02.15 12:36:08 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NUn5WhAbcUdYboEd.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NuWbV0si5umFwLpB.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nvLRIaFDYNMY4tSn.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NvmP8C27lV6iaktQ.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nvS4l76O4m7hb0Hb.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nvYp1BF602CRQUJR.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\NW2C489JIlPu112q.dll> in the current context!
Error: Unable to interpret <[2011.03.22 10:37:50 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\Nw2D9toFc7T56s1A.dll> in the current context!
Error: Unable to interpret <[2011.02.08 09:20:44 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nW5RCx9b3Uea4Vj2.dll> in the current context!
Error: Unable to interpret <[2011.02.17 09:30:02 | 000,078,848 | ---- | M] () -- C:\Users\****\Local Settings\Temp\nWCjJMAWfSoox8N3.dll> in the current context!
========== FILES ==========
C:\Users\****\AppData\Local\Mozilla\Firefox\firefox.exe moved successfully.
========== COMMANDS ==========

[EMPTYFLASH]

User: All Users

User: Default

User: Default User

User: ****
->Flash cache emptied: 120745 bytes

User: Public

Total Flash Files Cleaned = 0,00 mb

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: ****
->Temp folder emptied: 1928237846 bytes
->Temporary Internet Files folder emptied: 218327948 bytes
->Java cache emptied: 10455250 bytes
->FireFox cache emptied: 108558881 bytes
->Google Chrome cache emptied: 382107385 bytes
->Flash cache emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 200704 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 129211635 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67697 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 2.649,00 mb

OTL by OldTimer - Version 3.2.31.0 log created on 02082012_170933

Files\Folders moved on Reboot...
C:\Users\****\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

Registry entries deleted on Reboot...

hoffentlich war das korrekt, das ich es es einfach hier gepostet habe, und ich habe es jetzt einfach auch im normal modus mit otl gefixed und nicht im save-network, denn da komme ich nicht ins netz :)
so wie es sehe ( mit meinem anfänger blick ) scheint der trojaner deleted worden zu sein
ich danke schoneinmal vielmals von herzen, :) ihr seit ein super team, bless bless!
falls ich noch etwas beachten oder noch einige schritte tuen sollte, kann ich dem erst heute abend nachgehen. :)
danke nochmal für die bemühungen :)

kannst du das script noch mal probieren, ab :OTL startet es,
und den upload nicht vergessen

Alles klar, habe das script nochmal durchlaufen lassen, und wie man sieht sind die dll's weg :), danke schon einmal dafür, den upload werde ich natürlich sofort tätigen, dachte nur der wäre dafür, falls ich keine symbole mehr aufm screen hätte, sorry dafür :)

[EMPTYTEMP]

User: All Users

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: ****
->Temp folder emptied: 12179 bytes
->Temporary Internet Files folder emptied: 1902607 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 0 bytes
->Google Chrome cache emptied: 0 bytes
->Flash cache emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 77080 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 2,00 mb

OTL by OldTimer - Version 3.2.31.0 log created on 02082012_202734

Files\Folders moved on Reboot...
C:\Users\****\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.

Registry entries deleted on Reboot...

hi,
danke für den upload

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
Tool

http://www.bleepingcomputer.com/comb...x-benutzt-wird
Hinweis:
Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.