Hallo Jens,

der TDSSkiller ist dreimal gelaufen. Hattest Du den Scan beim ersten Mal unterbrochen? Wie dem auch sei, der Scan erbrachte keine neuen Erkenntnisse. Lasse uns noch eins probieren:

Malware mit Combofix beseitigen

Lade Combofix von einem der folgenden Download-Spiegel herunter:

BleepingComputer.com - ForoSpyware.com

und speichere das Programm auf den Desktop, nicht woanders hin, das ist wichtig!
Beachte die ausführliche Original-Anleitung.

Zurzeit ist Combofix auf folgenden Windows-Versionen lauffähig:

• Windows XP (nur 32-bit)
• Windows Vista (32-bit/64-bit)
• Windows 7 (32-bit/64-bit)

Vorbereitung und wichtige Hinweise

• Bitte während des Scans mit Combofix Antiviren- sowie Antispy-Programme, die Firewall und evtl. vorhandenes Skript-Blocking (Norton) deaktivieren.
• Liste der zu deaktivierenden Programme.
  Bei Unklarheiten bitte fragen.

• ComboFix wird Deine Einstellungen in Bezug auf den Bildschirmschoner zurücksetzen.
• Diese Einstellungen kannst Du nach Beendigung unserer Bereinigung wieder ändern.
• {b]Mache nichts anderes[/b], wenn es Dir nicht gelungen ist, Combofix laufen zu lassen.
• Teile uns das mit und warte auf unsere Anweisungen.

• Doppelklicke auf die ComboFix.exe und folge den Anweisungen.
  Vista- und Windows 7-User starten die Combofix.exe mit Rechtsklick => Als Administrator ausführen
• Während des Laufs von Combofix nichts anderes am Computer machen!
• Akzeptiere die Bedingungen (Disclaimer) mit "Ja".

Kurzanleitung zur Installation der Wiederherstellungskonsole unter XP

• ComboFix wird schauen, ob die Microsoft-Windows-Wiederherstellungskonsole installiert ist.
  Dies ist Teil des Prozesses. Angesichts der Art von Malware Infizierungen, die es heute gibt, wird dringend empfohlen, diese Wiederherstellungskonsole auf dem PC installiert zu haben, bevor jegliche Reinigung von Malware durchgeführt wird.
• Folge den Anweisungen, um ComboFix das Herunterladen und Installieren der Wiederherstellungskonsole zu ermöglichen und stimme dem Lizenzvertrag (EULA) zu, sobald Du dazu aufgefordert wirst.

** Zur Information: Sollte die Wiederherstellungskonsole schon installiert sein, so wird ComboFix seine Malware-Entfernungsprozedur normal fortfahren.

http://i94.photobucket.com/albums/l8...eWHKonsole.jpg

Sobald die Wiederherstellungskonsole durch ComboFix installiert wurde, solltest Du folgende Nachricht sehen:

http://i94.photobucket.com/albums/l8...nstalliert.jpg

• Sollte Combofix eine aktuellere Version anbieten, Downlaod erlauben.
• Klicke "Ja", um mit dem Suchlauf nach Malware fortzufahren.
• Es erscheint eine blaue Eingabeaufforderung, Combofix wird für den Suchlauf vorbereitet.
• Bitte nicht in dieses Combofix-Fenster klicken.
• Das könnte Dein System einfrieren oder hängen bleiben lassen.
• Es wird ein Backup Deiner Registry erstellt.
• Nun werden die einzelnen Stufen des Programms abgearbeitet, das kann eine Weile dauern.

• Wenn ComboFix fertig ist, wird es ein Log erstellen (bitte warten, das dauert einen Moment).
• Unbedingt warten, bis sich das Combofix-Fenster geschlossen hat und das Logfile im Editor erscheint.
• Bitte poste die Log-Dateien C:\ComboFix.txt und C:\Qoobox\Add-Remove Programs.txt in Code-Tags hier in den Thread.

• Hinweis: Combofix macht aus verschiedenen Gründen den Internet Explorer zum Standard-Browser und erstellt ein IE-Icon auf dem Desktop.
• Das IE-Desktop-Icon kannst Du nach der Bereinigung wieder löschen und Deinen bevorzugten Browser wieder als Standard-Browser einstellen.

Combofix nicht auf eigene Faust einsetzen. Wenn keine entsprechende Infektion vorliegt, kann das den Rechner lahmlegen und/oder nachhaltig schädigen!

hi habe den scan nicht unterbrochen, als er fertig war konnte man ihn nochmal starten, und beim drittenmal habe ich gemerkt das ich 3 mal das gleiche gescannt habe.

hier nun die combofix

Hallo Jens,

im folgenden Fix gehe ich davon aus, dass Trojan Killer und TuneUp nicht mehr installiert sind. Falls doch, sage mir vor der Ausführung des Skriptes Bescheid.

Und auch diesen fraglichen Dienst j:\Fxdrv.sys haue ich jetzt raus.
Da Dr.Web nicht funktionierte, lösche ich das auch.


===== Punkt 1 =====

Combofix mit Skript laufen lassen

• Denke daran, während des Laufs von Combofix Dein Antiviren-Programm und die Firewall temporär abzustellen.
  Danach wieder anstellen nicht vergessen!
• Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
  Dies kann dazu führen, dass ComboFix sich aufhängt.

Anwendung

1. Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument:
   
   Code:

   ---

   ClearJavaCache::
Folder::
c:\dokumente und einstellungen\Jens Kaiser\DoctorWeb
c:\dokumente und einstellungen\Jens Kaiser\Anwendungsdaten\TuneUp Software
c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
c:\dokumente und einstellungen\All Users\Anwendungsdaten\{32364CEA-7855-4A3C-B674-53D8E9B97936}
c:\programme\GridinSoft Trojan Killer

Driver::
FXDRV

   ---

2. Speichere dies als CFScript.txt auf Deinem Desktop. Achte darauf, dass bei Dateityp "All types" aktiv ist.
   .
   http://i94.photobucket.com/albums/l8...Script_ani.gif
   .
3. In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
4. Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt.
   Unbedingt warten, bis sich das Combofix-Fenster geschlossen hat und das Logfile im Editor erscheint.
   Bitte füge es hier als Antwort ein.

Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.


===== Punkt 2 =====

msconfig - Wie handhaben?

Hier ein paar grundsätzliche Informationen zur Systemkonfiguration. Die Systemkonfiguration wird wie folgt aufgerufen:

XP: Start => ausführen => msconfig (reinschreiben) => ok.
Vista und Windows 7: Start => msconfig (ins Suchfeld schreiben) => [Enter]

Grundsätzlich gilt:
Dienste oder Prozesse nicht über msconfig langfristig deaktivieren oder vom Systemstart ausschließen.
msconfig nur nutzen, wenn kurzfristig etwas getestet werden soll.

Wenn ein Dienst oder ein Prozess langfristig deaktiviert oder vom Systemstart ausgeschlossen werden soll, wie folgt vorgehen:

Dienste immer über services.msc deaktivieren.

XP: Start => ausführen => services.msc (reinschreiben) => ok.
Vista und Windows 7: Start => services.msc (ins Suchfeld schreiben) => [Enter]

Suche im Fenster der Dienste den zu deaktivierenden Dienst und mache einen Doppelklick darauf, schaue Dir die Beschreibung an, damit klar wird, wozu dieser Dienst benötigt wird. Achte auf den Reiter Abhängigkeiten. Wenn Du sicher bist, dass dieser Dienst nicht benötigt wird, beende im aufpoppenden Eigenschafts-Fenster des Dienstes den Dienststatus und stelle bei Starttyp auf Deaktiviert um.

Prozesse immer über die Einstellungen/Optionen des Programmes selbst vom Systemstart ausschließen. Dazu das entsprechende Programm starten, im Menü Einstellungen bzw. Optionen aufrufen und die Einstellung deaktivieren, dass das Programm beim Systemstart mitstarten soll. Meistens reicht es, den Haken zu entfernen und diese Einstellungen zu übernehmen.

Solltest Du Dienste oder Prozesse über msconfig deaktiviert oder vom Systemstart ausgeschlossen haben, gehe wie folgt vor:

Programme über msconfig aus dem Systemstart genommen?

Du hast einige Prozesse über msconfig oder ein ähnliches Tool vom Systemstart ausgeschlossen. Wie oben erklärt, sollte das grundsätzlich nicht getan werden und ist zudem gefährlich, wenn es sich dabei um Schädlinge handelt. Daher werden wir diese Einträge komplett aus msconfig entfernen, gehe dazu wie folgt vor:

Deaktivierte Dienste und vom Systemstart ausgeschlossene Prozesse wieder aktivieren:

• Start => ausführen.
• msconfig (reinschreiben) => Enter drücken.
  Vista und Windows7-User schreiben msconfig ins Suchfeld => Enter drücken.
• Es öffnet sich das Fenster des Systemkonfigurationsprogramms.
• Wähle den Reiter Systemstart.
• Mache einen Haken bei allen Einträgen.
• Drücke OK.
• Wähle den Reiter Dienste.
• Mache einen Haken bei allen Einträgen.
• Drücke OK.

Wenn schädliche (also Malware-Einträge) in msconfig vorhanden sind:
Den Computer nicht neustarten, auch wenn Du dazu aufgefordert wirst.
Erstelle ein neues HijackThis-Logfile und poste es im Forum. Erstmal stoppen, bis Du von dem Helfer neue Anweisungen erhälst.

Wenn keine Malware-Einträge vorhanden sind, kannst Du nun den Computer neu starten und wie folgt fortfahren:

Deinstalliere nun über Systemsteuerung => Software die nicht mehr benötigten Programme.

Starte erneut msconfig und prüfe, welche Prozesse und Dienste Du deaktivieren bzw. vom Systemstart ausschließen möchtest und mache das wie oben beschrieben über services.msc und/oder in den Einstellungen/Optionen des Programms.

Sollte sich ein Prozess nicht über die entsprechenden Programm-Optionen vom Systemstart ausschließen lassen, frage im Forum.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

zu punkt 1

Punkt 2 kappier ich nicht so ganz

seh ich das richtig alles was in services.msc im jeweiligen diesnst bei der abhängigkeit etwas drin steh darf nicht deaktiviert werden?

soll ich dir mal die dateien von msconfig die bei dienste und die bei systemstart drin sind mal hier posten?

Hallo Jens,

zu Punkt 2: jo, vielleicht habe ich das etwas umständlich erklärt - da muss ich wohl mal meinen Textbaustein überarbeiten ^^

Ich versuche es mal anders: folgende Programme sind von Dir über msconfig vom Systemstart ausgeschlossen worden.

Was ich klarmachen wollte: Es ist besser, die Programme vom Systemstart auszuschließen, indem man das entweder in den Programm-Optionen selbst macht oder den entsprechenden Dienst (so es ein Dienst ist und nicht nur ein Prozess) über die Dienste-Konfiguration vom Systemstart auszuschließen.

Prüfe also mal in den obigen Programmen, ob es dort in den Einstellungen/Optionen eine Möglichkeit gibt, die Programme vom Systemstart auszuschließen.


Berichte mir außerdem, wie der Rechner nun nach unseren Aktionen läuft und welche Probleme er noch macht.

pc läuft sehr stabil, und startet etwas schneller wie sonst

die obigen programme habe ich nun vom systemstart rausgenommen

Hallo Jens,

nur damit wir uns nicht falsch verstehen. Vom Systemstart waren obige Programme schon über msconfig rausgenommen.

Noch eine Frage: Ist der Computer nach dem Combofix-Durchlauf mit dem letzten Skript schneller geworden oder lief er auch vorher schon schneller? Interessiert mich, weil ich sehen möchte, ob das Rausnehmen des FXDRV-Dienstes eine Rolle spielt.


===== Punkt 1 =====

Welche Java-Version ist installiert?

Kontrolliere über Systemsteuerung => Programme, welche Java-Version installiert ist.
Falls es nicht Java Version 7 Update 4 ist:
Systemsteuerung => Java => Aktualisierung => Jetzt aktualisieren.

Unter Systemsteuerung => Java => Aktualisierung einstellen:
Benachrichtigung ausgeben => Vor der Installation
Haken bei Automatisch nach Aktualisierung suchen machen und unter Erweitert auf "Wöchentlich" einstellen.

Eventuell vorhandene ältere Versionen von Java über Systemsteuerung => Programme deinstallieren und ggfs. auch im Firefox unter Addons => Erweiterungen die alten Java-Versionen entfernen.

Die Offline-Version von Java Version 7 Update 4 von Oracle findest Du hier. Achte bei der Installation darauf, eventuell angebotene Toolbars nicht mitzuinstallieren, also während der Installation den Haken bei der Toolbar entfernen.

User mit 64Bit-System sollten die 32Bit-Version installieren. Es hat sich mehrfach gezeigt, dass die 64Bit-Version Probleme bereitet.


Java-Cache leeren

Start => Systemsteuerung => Java => Allgemein => Temporäre Internet-Dateien "Einstellungen" => Dateien löschen => Haken bei "Anwendungen und Applets" sowie bei "Verfolgungs- und Protokolldateien" setzen => OK

ja ich finde nach dem letzten combofix läuft er besser

Punkt 1 auch erledigt

Hallo Jens,

===== Punkt 1 =====

lasse bitte jetzt erneut den TDSSKiller laufen und posten mir das Logfile.


===== Punkt 2 =====

Combofix deinstallieren

Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking (Norton) und Anti-Malware Programme deaktivieren.

Start => Ausführen

=> dort reinschreiben

ComboFix /Uninstall => Enter drücken

Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch daraus die Schädlinge verschwinden. Es wird ein neuer Systemwiederherstellungspunkt erstellt. Gleichzeitig setzt Combofix die Zeiteinstellungen wieder auf die Ursprungseinstellungen, und setzt die Systemeinstellungen wieder so zurück, dass Dateierweiterungen und Systemdateien versteckt sind, was Du bei Bedarf im Explorer unter Extras => Ordneroptionen aber wieder ändern bzw. Deinen persönlichen Vorlieben entsprechend anpassen kannst.

Zu Punkt 1

Punkt 2 auch erledigt

Prima, wenn es keine Probleme mehr gibt, können wir dann auch zu den Schlussarbeiten kommen:

===== Punkt 1 =====

Tool-Bereinigung mit OTL

Wir werden nun die CleanUp!-Funktion von OTL nutzen, um die meisten Programme, die wir zur Bereinigung installiert haben, wieder von Deinem System zu löschen.

• Bitte lade Dir (falls noch nicht vorhanden) OTL von OldTimer herunter.
• Speichere es auf Deinem Desktop.
• Doppelklick auf OTL.exe um das Programm auszuführen.
  Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
• Klicke auf den Button "Bereinigung"
• OTL fragt eventuell nach einem Neustart.
  Sollte es dies tun, so lasse dies bitte zu.

Anmerkung: Nach dem Neustart werden OTL und andere Helferprogramme, die Du im Laufe der Bereinigung heruntergeladen hast, nicht mehr vorhanden sein. Sie wurden entfernt. Es ist daher Ok, wenn diese Programme nicht mehr vorhanden sind. Sollten noch welche übrig geblieben sein, lösche sie manuell.



===== Punkt 2 =====

Nachsorge XP und Vista

Im Anschluss gebe ich Dir einige Tipps und Hinweise, die Dir helfen werden, Dein System abzusichern und in Zukunft frei von Malware zu halten. Wenn Dein System infiziert war, rate ich Dir, alle Deine Passwörter zu ändern.

Bitte betrachte die folgenden Tipps als Vorschläge und nicht als Nonplusultra.


FileHippo Update Checker

Lade den FileHippo Update Checker herunter und installiere ihn.
Während der Installation den Haken bei "Run at Startup" entfernen.
Lasse den Update Checker prüfen, welche Updates nötig sind und aktualisiere die gemeldeten Programme.
Die meisten Programme können gleich von dort aus heruntergeladen werden.
Mache das alle 14 Tage.
Eine bebilderte und ausführliche Anleitung findest Du hier.


Absicherung

Falls noch nicht installiert, solltest Du die folgenden Programme installieren:

Malwarebytes' Anti-Malware ist ein gutes Programm, welches schädliche Software sucht und unschädlich macht. Lasse Malwarebytes' Anti-Malware in regelmäßigen Abständen (z. B. einmal pro Woche) laufen und lasse vor der Überprüfung immer nach Updates suchen. Eine ausführliche Anleitung findest Du hier.

Um Dein System frei von temporären Dateien zu halten, empfehlen wir CCleaner, (Toolbar nicht mitinstallieren) eine Freeware-Software zur Optimierung und zum Aufräumen von Windows, Einzelheiten siehe unsere Anleitung.

Von Java immer nur die aktuellste Version auf dem Rechner haben, alle anderen deinstallieren.

Verwende einen alternativen Browser, ich empfehle Firefox. Es gibt eine große Anzahl von Erweiterungen, wie z. B. Adblock Plus und NoScript. Mit der Erweiterung IE Tab 2 ist sogar das Windows- und Office-Upate über Firefox möglich. Die Erweiterung QuickJava sorgt dafür, dass Du Java und Java-Skript nur bei Bedarf einschalten kannst. Hier kannst Du checken, ob die Plugins im Firefox aktuell sind.

Eine alternatives E-Mail-Programm ist Thunderbird. Auch dafür gibt es viele sehr gute Erweiterungen.

Als Alternative für die ganzen Messenger kommen Pidgin, Miranda-IM oder Trillian infrage, da sie mit den wichtigsten Protokollen wie AIM, ICQ, IRC, MSN oder Yahoo zurechtkommen. Mit einem dieser Instant-Messenger kannst mit Deinen Chatfreunden über ein einziges Programm Chat-Kontakt halten, ohne x verschiedene Messenger installieren und starten zu müssen.

"Wie konnte die Malware auf meinen Rechner kommen?", ist die wohl am häufigsten gestellte Frage. Malware gelangt in erster Linie über sogenannte Browser Exploits auf einen Rechner, also über Sicherheitslücken im Browser selbst. Weitere Schleusen sind E-Mail-Anhänge, Lecks im Betriebssystem und Programmen oder über Dateidownloads aus unsicheren Quellen.


Durch Einsatz Deines Köpfchens und folgende simple Maßnahmen kannst Du den Schutz optimieren:

• Betriebssystem und Software immer auf dem aktuellsten Stand halten.
• Programme wenn möglich "benutzerdefiniert" installieren und Toolbars und Sponsoren abwählen.
• Internet Explorer sicher konfigurieren, siehe auch hier und hier.
• Nur Original-Software nutzen und auf Programme aus dubiosen Quellen konsequent verzichten.
• Programme, die Du nicht mehr nutzt, über Systemsteuerung => Software/Programme entfernen/deinstallieren.
• Nicht alles anklicken, wo klickmich draufsteht!
• Gesunden Menschenverstand und Vorsicht walten lassen,
• insbesondere bei Dateien, die Du Dir auf den PC holst, also E-Mails, Downloads etc.,
• am besten auf Filesharing über P2P-Programme ganz verzichten.
• Router durch Vergabe eines Kennwortes vor Änderungen von außen schützen.
• Nicht benötigte Dienste und Programme gar nicht erst starten.
  Bezüglich der Dienste ist es allerdings nötig, sich damit ausführlich zu beschäftigen, ansonsten die Dienste lieber lassen, wie sie sind.
• Nicht benötigte "Ports" (am eventuell vorhandenen DSL-Router), Freigaben u. ä. schließen.
• Port-Scan-Test.
• DNS-Einstellungen online bei dns-changer.eu prüfen.
• WLAN absichern.
• Sichere Passwörter vergeben und nicht auf dem Computer speichern.
• Nicht mehr als einen Virenscanner mit Hintergrundwächter installieren.
• Nicht mehr als ein Antispyware-Programm mit Hintergrundwächter ständig laufen lassen.
• Das System hin und wieder zusätzlich mit einem dieser kostenlosen Online Scanner überprüfen.
• Datensicherung nicht vergessen!
  Wichtige Dokumente und Dateien (z. B. Fotos) auf externen Medien sichern.
  Immer eine saubere Datensicherung als zurückspielbares Image (z. B. mit Acronis True Image erstellen) auf Lager haben.
• Poste im Internet nur Angaben und Fotos, die problemlos am nächsten Tag in der Zeitung stehen dürften,
  das gilt auch für sog. geschützte Räume in Online-Netzwerken.

Punkt 1 und Punkt 2 erledigt

vielen vielen dank für die nette unterstützung

mfg jens