Trojaner-Board - weißer Bildschirm Verbindung wird hergestellt bitte warten ...

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - weißer Bildschirm Verbindung wird hergestellt bitte warten ... (https://www.trojaner-board.de/116507-weisser-bildschirm-verbindung-hergestellt-bitte-warten.html)

weißer Bildschirm Verbindung wird hergestellt bitte warten ...

Hallo Chracks,

ich habe leider das Problem, das sich meine Tochter auf ihrem Rechner den Virus mit dem weißer Bildschirm Bitte warten Verbindung wird hergestellt eingefangen hat. Ich habe dann eine OTLPE CD erstellt und den Scan durchgeführt.
Dann habe ich folgenden fix probiert:

:OTL
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\Administrator_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\User_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.icq.com/
IE - HKU\User_ON_C\..\URLSearchHook: - Reg Error: Key error. File not found
IE - HKU\User_ON_C\..\URLSearchHook: {fc2b76fc-2132-4d80-a9a3-1f5c6e49066b} - C:\Programme\ZoneAlarm-Sicherheit\prxtbZone.dll (Conduit Ltd.)
IE - HKU\User_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\User_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
O4 - HKLM..\Run: [] File not found
O4 - HKLM..\Run: [BX6kRBeYBXtpN21] C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O4 - HKU\Administrator_ON_C..\Run: [BX6kRBeYBXtpN21] C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O4 - HKU\User_ON_C..\Run: [BX6kRBeYBXtpN21] C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O4 - Startup: C:\Dokumente und Einstellungen\User\Startmenü\Programme\Autostart\0.038006416267368004.exe.lnk = X:\I386\SYSTEM32\RUNDLL32.EXE (Microsoft Corporation)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\User_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\User_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1
O7 - HKU\User_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1
O7 - HKU\User_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O20 - HKLM Winlogon: UserInit - (C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O20 - HKU\Administrator_ON_C Winlogon: Shell - (C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O20 - HKU\Administrator_ON_C Winlogon: UserInit - (C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O20 - HKU\User_ON_C Winlogon: Shell - (C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)
O20 - HKU\User_ON_C Winlogon: UserInit - (C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe) - C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe (vGHFK)

:Files
C:\Dokumente und Einstellungen\User\Anwendungsdaten\y6drxuj c7ti.exe
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\y6drxuj c7ti.exe
C:\Dokumente und Einstellungen\User\Startmenü\Programme\Autostart\0.038006416267368004.exe.lnk
ipconfig /flushdns /c

:Commands
[purity]
[emptytemp]

Ich habe dann den Rechner händisch neu gestartet weil nach der Abfrage nichts passierte.
Den Ordner Movedfiles habe ich gezipt und angehängt.
Ich habe dann einen Systemstart ohne Bott CD versucht und hatte wieder den weißen Bildschirm mit Verbindung wird hergestellt ....

Ich habe leider wenig Ahnung,
könnt Ihr mir bitte weiterhelfen?

Vielen Dank vorab.

Zitat:

Dann habe ich folgenden fix probiert:

Was ist an diesen Hinweisen eigentlich nicht zu verstehen :balla:

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Und trotzdem versuchst du einfach ein fremdes Skript auf deinen Rechner anzuwenden! :stirn:

Hallo Arne,

du hast vollkommen recht, in meiner Verzweiflung habe ich das probiert und bin damit auf die Schnautze gefallen.
Gibt es noch eine Möglichkeit den Rechner zu retten ohne ihn komplett platt zu machen?

Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung?

Abgesicherter Modus zur Bereinigung

Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:

Hallo Arne,

das kann ich leider erst heute Abend probieren. Ich bin gerade bei der Arbeit und werde Dir heute Abend antworten sobald ich es versucht habe.

Vielen Dank schon einmal

Gruß 0815zocker

Hallo Arne,

ich habe versucht im Abgesicherten Modus zu starten, leider kommt da auch der weiße Bildschirm.
Was nun?

Hallo Arne

besteht noch irgend eine Hoffnung für den PC meiner Tochter?
Oder soll ich die Festplatte formatieren und das Betriebssystem neu instalieren?
Kann ich dann eigentlich ihre Daten erst noch auf eine externe Festplatte retten? Mit der Boot CD bin ich ja noch auf C gekommen?

Bitte um kurze Antwort.
Vielen Dank vorab.

Sry du glaubst leider garnicht was hier los ist :balla:
Ich schau mir dein OTLPE Log gleich an.

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O4 - HKLM..\Run: []  File not found

O4 - HKLM..\Run: [L1QtW710QzepO1Z] C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O4 - HKU\HP_Administrator_ON_C..\Run: [L1QtW710QzepO1Z] C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1

O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\HP_Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\HP_Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDesktop = 1

O7 - HKU\HP_Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableTaskMgr = 1

O7 - HKU\HP_Administrator_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1

O7 - HKU\LocalService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O7 - HKU\NetworkService_ON_C\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145

O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe) - C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O20 - HKLM Winlogon: UserInit - (C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe) - C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O20 - HKU\HP_Administrator_ON_C Winlogon: Shell - (C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe) - C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O20 - HKU\HP_Administrator_ON_C Winlogon: UserInit - (C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe) - C:\Dokumente und Einstellungen\HP_Administrator\Anwendungsdaten\WinArchiver.exe ()

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2010/06/02 09:25:39 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]

@Alternate Data Stream - 122 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Temp:A8ADE5D8

@Alternate Data Stream - 121 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Temp:DFC5A2B2

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang in den Thread posten!

4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

Hallo Arne,

ich habe alles ausgeführt und Windows startet wieder.
Leider ist der komplette desktop leer. Alle icons sind verschwunden.
Ich habe den Inhalt von Movedfiles hochgeladen.
Ich hoffe ich habe alles richtig gemacht.
Erst mal vielen Dank für Deine Hilfe. Vielleicht kannst Du mir ja für die Zukunft noch einige Tips geben damit mir oder besser gesagt meiner Tochter so etwas nicht noch einmal passiert?

Vielen Dank.

Bitte erstmal routinemäßig einen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

hier steht das Log

Hallo Arne,

leider melde ich mich erst jetzt. Ich hatte einfach keine Zeit.
Ich habe die beiden scans durchgeführt und hoffe das ich das mit den code-tags richtig mache.

Code:

 Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.06.17.05
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

HP_Administrator :: PCJANINE [Administrator]
 

Schutz: Aktiviert
 

17.06.2012 14:47:39

mbam-log-2012-06-17 (14-47-39).txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 269352

Laufzeit: 1 Stunde(n), 3 Minute(n), 27 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 1

C:\RECYCLER\S-1-5-21-2847343302-3763920045-1868071958-1006\Dc18\HP_Administrator\Anwendungsdaten\WinArchiver.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

und das zweite file

Code:

ESETSmartInstaller@High as CAB hook log:

OnlineScanner.ocx - registred OK

# version=7

# iexplore.exe=8.00.6001.18702 (longhorn_ie8_rtm(wmbla).090308-0339)

# OnlineScanner.ocx=1.0.0.6583

# api_version=3.0.2

# EOSSerial=14916dd52c25c445a0a70ce421350531

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=true

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2012-06-17 05:46:07

# local_time=2012-06-17 07:46:07 (+0100, Westeuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=5.1.2600 NT Service Pack 3

# compatibility_mode=1797 16775141 100 93 12176 76485810 4913 0

# compatibility_mode=3588 16777174 85 90 64461292 88794780 0 0

# compatibility_mode=8192 67108863 100 0 260 260 0 0

# scanned=68000

# found=0

# cleaned=0

# scan_time=6215

Egal wie es weiter geht vielen Dank schon einmal für Deine Super Hilfe.

Gruß Stephan

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

Also ich habe gestern keine Probleme im normalen Modus gehabt. Ich habe die beiden Programme heruntergeladen und die scans durchgeführt. Mir ist nichts aufgefallen. Ich habe auch nichts im Startmenü vermißt. Nach dem Fix waren die ganzen Icons vom Desktop ausgeblendet aber nachdem ich sie wider eingeblendet habe war eigentlich alles normal. Ich kann heute Abend aber gerne noch einmal nachschauen und mich dann noch einmal melden.
Warum fragst Du? Bist Du der Meinung, das etwas fehlen müßte?

Wenn etwas fehlt muss ich das wissen, damit man zB unhide ausführen kann

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

hier steht das Log

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Setze oben mittig den Haken bei Scanne alle Benutzer
Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread