|
"Der Computer ist für die Verletzung der Gesetze der Bundesrepublik Deutschland ... " -Blockade Nach Surfen im Internet erschien heute ein Popup, das sich nicht mehr schließen lässt mit dem Titel "Der Computer ist für die Verletzung der Gesetze der Bundesrepublik Deutschland ..." Konnte nur nach Abmeldung des Users und Anmeldung eines neuen Users weiterarbeiten. Ich habe mit Malwarbites und OTL gescannt. Malwarebites meldet keine Infektion. Kann mir jemand helfen? Das wäre toll, viele Grüße. OTL Logfile: Code: OTL Extras logfile created on: 06.08.2012 16:43:14 - Run 1OTL Logfile: Code: OTL logfile created on: 06.08.2012 16:43:14 - Run 1Malwarebytes Anti-Malware 1.62.0.1300 www.malwarebytes.org Database version: v2012.08.06.09 Windows 7 Service Pack 1 x86 NTFS Internet Explorer 8.0.7601.17514 Paul :: USER-PC [limited] 06.08.2012 15:45:24 mbam-log-2012-08-06 (15-45-24).txt Scan type: Full scan (C:\|F:\|) Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM Scan options disabled: P2P Objects scanned: 365387 Time elapsed: 23 minute(s), 28 second(s) Memory Processes Detected: 0 (No malicious items detected) Memory Modules Detected: 0 (No malicious items detected) Registry Keys Detected: 0 (No malicious items detected) Registry Values Detected: 0 (No malicious items detected) Registry Data Items Detected: 0 (No malicious items detected) Folders Detected: 0 (No malicious items detected) Files Detected: 0 (No malicious items detected) (end) |
:hallo: Fixen mit OTL Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).
Code: :OTL
Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden. Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen! |
Hallo t'john, vielen Dank für deine Antwort. Ich habe deine Anweisungen Schritt für Schritt befolgt. Trotzdem öffnet sich leider das Trojanrefenster "Der Computer ist gesperrt für die Verletzung der Gesetze..." immer noch, sobald ich mich unter einem bestimmten Usernamen (Ulf) anmelde. Der Fehler ist also immer noch nicht behoben. Hier noch mal der aktuelle Logfile von OTL. Herzlichen Dank schon mal im Voraus. All processes killed ========== OTL ========== Service VGPU stopped successfully! Service VGPU deleted successfully! File System32\drivers\rdvgkmd.sys File not found not found. Service tsusbhub stopped successfully! Service tsusbhub deleted successfully! File system32\drivers\tsusbhub.sys File not found not found. Service Synth3dVsc stopped successfully! Service Synth3dVsc deleted successfully! File System32\drivers\synth3dvsc.sys File not found not found. Service mxmoqaov stopped successfully! Service mxmoqaov deleted successfully! File System32\drivers\xsgevamq.sys File not found not found. HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully! Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found. Registry value HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\URLSearchHooks\\{A3BC75A2-1F87-4686-AA43-5347D756017C} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A3BC75A2-1F87-4686-AA43-5347D756017C}\ not found. HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully! Registry value HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\URLSearchHooks\\{A3BC75A2-1F87-4686-AA43-5347D756017C} not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A3BC75A2-1F87-4686-AA43-5347D756017C}\ not found. HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully! Registry value HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1000\Software\Microsoft\Internet Explorer\URLSearchHooks\\{A3BC75A2-1F87-4686-AA43-5347D756017C} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A3BC75A2-1F87-4686-AA43-5347D756017C}\ not found. HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1000\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully! Registry key HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1000\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found. Registry key HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1000\Software\Microsoft\Internet Explorer\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233}\ deleted successfully. HKU\S-1-5-21-2947040781-3747238007-1981394812-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully! HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1004\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully! Registry key HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1004\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found. Registry key HKEY_USERS\S-1-5-21-2947040781-3747238007-1981394812-1004\Software\Microsoft\Internet Explorer\SearchScopes\{95B7759C-8C7F-4BF1-B163-73684A933233}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{95B7759C-8C7F-4BF1-B163-73684A933233}\ not found. HKU\S-1-5-21-2947040781-3747238007-1981394812-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully! Prefs.js: "AVG Secure Search" removed from browser.search.defaultenginename Prefs.js: "Google" removed from browser.search.selectedEngine Prefs.js: "hxxp://www.wikipedia.org/" removed from browser.startup.homepage Prefs.js: avg@igeared:7.008.031.001 removed from extensions.enabledItems Prefs.js: "hxxp://isearch.avg.com/search?cid=%7B7d23bb8c-4ff7-4da8-b304-546fcc1bd72b%7D&mid=5e8f9187164b47d6bee3d16d673fc9de-3a58832084baf1869c54c01430096f40781caa38&ds=AVG&v=11.0.0.9&lang=de&pr=fr&d=2011-12-13%2019%3A40%3A37&sap=ku&q=" removed from keyword.URL File HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\avg@toolbar: C:\ProgramData\AVG Secure Search\11.1.0.12\ not found. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\modules\skin folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\modules folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\locale\en-US folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\locale folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\components folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12\chrome folder moved successfully. C:\PROGRAMDATA\AVG SECURE SEARCH\11.1.0.12 folder moved successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{CCC7A320-B3CA-4199-B1A6-9F516DD69829} deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CCC7A320-B3CA-4199-B1A6-9F516DD69829}\ not found. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\HF_G_Jul deleted successfully. C:\Programme\AVG Secure Search\HF_G_Jul.exe moved successfully. Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ROC_roc_dec12 deleted successfully. Registry value HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully. File move failed. C:\Windows\System32\mctadmin.exe scheduled to be moved on reboot. Registry value HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully. File move failed. C:\Windows\System32\mctadmin.exe scheduled to be moved on reboot. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorAdmin deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorUser deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\EnableLinkedConnections deleted successfully. Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93} Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully. Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found. Starting removal of ActiveX control {CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA} Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}\ deleted successfully. Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}\ not found. Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\VMApplet:/pagefile deleted successfully. Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\\WebCheck deleted successfully. Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\ not found. HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully! C:\autoexec.bat moved successfully. C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job moved successfully. C:\Windows\Tasks\Adobe Flash Player Updater.job moved successfully. C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job moved successfully. C:\Users\Ulf\AppData\Roaming\hellomoto folder moved successfully. C:\Users\Ulf\AppData\Roaming\kock folder moved successfully. C:\Users\Ulf\AppData\Roaming\5017\components folder moved successfully. C:\Users\Ulf\AppData\Roaming\5017 folder moved successfully. ========== FILES ========== < ipconfig /flushdns /c > Windows-IP-Konfiguration Der DNS-Aufl”sungscache wurde geleert. C:\Users\Paul\Desktop\cmd.bat deleted successfully. C:\Users\Paul\Desktop\cmd.txt deleted successfully. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 33170 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Paul ->Temp folder emptied: 2330971 bytes ->Temporary Internet Files folder emptied: 52748668 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 147365117 bytes ->Flash cache emptied: 2764 bytes User: Public User: TEMP ->Temp folder emptied: 17865932 bytes User: Ulf ->Temp folder emptied: 214566416 bytes ->Temporary Internet Files folder emptied: 110363224 bytes ->Java cache emptied: 65404 bytes ->FireFox cache emptied: 55254336 bytes ->Flash cache emptied: 2936 bytes User: user ->Temp folder emptied: 538690424 bytes ->Temporary Internet Files folder emptied: 37694986 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 441528284 bytes ->Flash cache emptied: 3254 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 289793455 bytes RecycleBin emptied: 933557362 bytes Total Files Cleaned = 2.710,00 mb [EMPTYFLASH] User: All Users User: Default User: Default User User: Paul ->Flash cache emptied: 0 bytes User: Public User: TEMP User: Ulf ->Flash cache emptied: 0 bytes User: user ->Flash cache emptied: 0 bytes Total Flash Files Cleaned = 0,00 mb OTL by OldTimer - Version 3.2.56.0 log created on 08082012_131851 |
Tatsache, noch ein Fix: Code: :OTL |
Hallo t'john, herzlichen Dank für den zweiten Versuch. Leider öffnet sich trotzdem auch diesmal nach einigen Sekunden das verhasste Trojanerfenster (nur bei Benutzer Ulf). Über einen weiteren Versuch von deiner Seite würde ich mich sehr freuen. Das Biest muss doch irgendwie zu löschen sein. Hier ist das Logfile von OTL: User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Paul ->Temp folder emptied: 201710 bytes ->Temporary Internet Files folder emptied: 49876 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 33267912 bytes ->Flash cache emptied: 492 bytes User: Public User: TEMP ->Temp folder emptied: 0 bytes User: Ulf ->Temp folder emptied: 803927 bytes ->Temporary Internet Files folder emptied: 963775 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Flash cache emptied: 0 bytes User: user ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Flash cache emptied: 0 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 20936 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 34,00 mb OTL by OldTimer - Version 3.2.56.0 log created on 08082012_202810 |
Du hast den Fix nicht eingegeben! NOCHMAL! |
Hallo t'john, ich habe deinen zweiten Fix (von heute 8.8.2012 16:00) jetzt noch mal in das OTL Fenster eingegeben und auf "Fix" gedrückt. Das Problem besteht leider immer noch. Vielleicht habe ich beim ersten OTL-Scan meines Systems den Fehler gemacht, LOP-Prüfung und Purity-Prüfung nicht anzukklicken. Daher hier noch mal ein neuer kompletter Log-FileOTL Logfile: Code: OTL logfile created on: 08.08.2012 20:46:48 - Run 3und außerdem noch das was OTL in den MovedFiles meldet: All processes killed ========== OTL ========== C:\Users\Paul\AppData\Roaming\AVG2012\cfgall folder moved successfully. C:\Users\Paul\AppData\Roaming\AVG2012 folder moved successfully. Folder C:\Users\Ulf\AppData\Roaming\5017\ not found. C:\Users\Ulf\AppData\Roaming\AVG2012\cfgall folder moved successfully. C:\Users\Ulf\AppData\Roaming\AVG2012 folder moved successfully. C:\Users\Ulf\AppData\Roaming\hellomoto folder moved successfully. Folder C:\Users\Ulf\AppData\Roaming\kock\ not found. Folder C:\Users\Ulf\AppData\Roaming\xmldm\ not found. Folder C:\Users\user\AppData\Roaming\AVG2012\ not found. ========== COMMANDS ========== [EMPTYTEMP] User: All Users User: Default ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Default User ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes User: Paul ->Temp folder emptied: 67441 bytes ->Temporary Internet Files folder emptied: 47123 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 31065027 bytes ->Flash cache emptied: 492 bytes User: Public User: TEMP ->Temp folder emptied: 0 bytes User: Ulf ->Temp folder emptied: 697590 bytes ->Temporary Internet Files folder emptied: 963775 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Flash cache emptied: 0 bytes User: user ->Temp folder emptied: 0 bytes ->Temporary Internet Files folder emptied: 0 bytes ->Java cache emptied: 0 bytes ->FireFox cache emptied: 0 bytes ->Flash cache emptied: 0 bytes %systemdrive% .tmp files removed: 0 bytes %systemroot% .tmp files removed: 0 bytes %systemroot%\System32 .tmp files removed: 0 bytes %systemroot%\System32\drivers .tmp files removed: 0 bytes Windows Temp folder emptied: 7267 bytes %systemroot%\system32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50527 bytes %systemroot%\system32\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 743 bytes RecycleBin emptied: 0 bytes Total Files Cleaned = 31,00 mb OTL by OldTimer - Version 3.2.56.0 log created on 08082012_205530 Files\Folders moved on Reboot... PendingFileRenameOperations files... Registry entries deleted on Reboot... |
Malware mit Combofix beseitigen Lade Combofix von einem der folgenden Download-Spiegel herunter: BleepingComputer.com - ForoSpyware.com und speichere das Programm auf den Desktop, nicht woanders hin, das ist wichtig! Beachte die ausführliche Original-Anleitung. Zurzeit ist Combofix auf folgenden Windows-Versionen lauffähig:
Vorbereitung und wichtige Hinweise
Combofix nicht auf eigene Faust einsetzen. Wenn keine entsprechende Infektion vorliegt, kann das den Rechner lahmlegen und/oder nachhaltig schädigen! |
Hallo t'john, ich hatte während des Wartens auf deine letzte Antwort auch noch mal eine frisch aktualiserte Version von Malwarebites den gesamten Rechner durchscannen lassen. Diesmal hat er einen Trojaner gefunden gefunden und in Quarantäne verschoben. Jetzt öffnet sich das Trojanerfenster nicht mehr. Das Problem scheint behoben (nur scheinbar oder tatsächlich?), das heißt das Trojaner-Fenster öffnet sich nicht mehr automatisch. Ich bin jetzt unsicher, ob ich trotzdem noch das von euch empfohlene Combofix anwenden soll. Vielen Dank für deine Hilfe. Und hier noch der Logfile von Malwarebites: Malwarebytes Anti-Malware 1.62.0.1300 Malwarebytes : Free anti-malware download Datenbank Version: v2012.08.08.08 Windows 7 Service Pack 1 x86 NTFS Internet Explorer 8.0.7601.17514 user :: USER-PC [Administrator] 08.08.2012 21:10:09 mbam-log-2012-08-08 (21-10-09).txt Art des Suchlaufs: Vollständiger Suchlauf (C:\|F:\|) Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 431137 Laufzeit: 31 Minute(n), 25 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 1 C:\Users\Ulf\AppData\Local\Microsoft\Windows\757\thawbrkr.exe (Trojan.Cridex) -> Erfolgreich gelöscht und in Quarantäne gestellt. (Ende) |
Ja, Combofix ausfuehren. |
Hallo t'john, ich habe Combofix jetzt ausgeführt. Lief problemlos. Hier ist der Logfile von Combofix. Vielen Dank und freundliche Grüße, Taraxacum. Combofix Logfile: Code: ComboFix 12-08-08.03 - user 09.08.2012 10:37:26.1.2 - x86 |
Downloade Dir bitte AdwCleaner auf deinen Desktop.
|
Hallo t'john, ich habe, wie von dir empfohlen, den AdwCleaner installiert und drüberlaufen lassen. Hier die Textdatei. Vielen Dank und beste Grüße, Taraxacum # AdwCleaner v1.800 - Logfile created 08/09/2012 at 13:30:52 # Updated 01/08/2012 by Xplode # Operating system : Windows 7 Ultimate Service Pack 1 (32 bits) # User : user - USER-PC # Running from : C:\Users\Ulf\Desktop\adwcleaner.exe # Option [Search] ***** [Services] ***** Found : vToolbarUpdater11.2.0 ***** [Files / Folders] ***** Folder Found : C:\ProgramData\AVG Secure Search Folder Found : C:\Program Files\AVG Secure Search Folder Found : C:\Program Files\Common Files\AVG Secure Search File Found : C:\Program Files\Mozilla Firefox\searchplugins\avg-secure-search.xml ***** [Registry] ***** Key Found : HKCU\Software\AVG Secure Search Key Found : HKLM\SOFTWARE\AVG Secure Search Key Found : HKLM\SOFTWARE\Classes\AppID\ScriptHelper.EXE Key Found : HKLM\SOFTWARE\Classes\AppID\ViProtocol.DLL Key Found : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI Key Found : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI.1 Key Found : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj Key Found : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj.1 Key Found : HKLM\SOFTWARE\Classes\PROTOCOLS\Handler\viprotocol Key Found : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi Key Found : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi.1 Key Found : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE Key Found : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE.1 Key Found : HKLM\SOFTWARE\MozillaPlugins\@avg.com/AVG SiteSafety plugin,version=11.0.0.1,application/x-avg-sitesafety-plugin Value Found : HKLM\SOFTWARE\Mozilla\Firefox\Extensions [Avg@toolbar] ***** [Registre - GUID] ***** Key Found : HKLM\SOFTWARE\Classes\AppID\{1FDFF5A2-7BB1-48E1-8081-7236812B12B2} Key Found : HKLM\SOFTWARE\Classes\AppID\{BB711CB0-C70B-482E-9852-EC05EBD71DBB} Key Found : HKLM\SOFTWARE\Classes\CLSID\{4E92DB5F-AAD9-49D3-8EAB-B40CBE5B1FF7} Key Found : HKLM\SOFTWARE\Classes\CLSID\{B658800C-F66E-4EF3-AB85-6C0C227862A9} Key Found : HKLM\SOFTWARE\Classes\CLSID\{CC5AD34C-6F10-4CB3-B74A-C2DD4D5060A3} Key Found : HKLM\SOFTWARE\Classes\CLSID\{F25AF245-4A81-40DC-92F9-E9021F207706} Key Found : HKLM\SOFTWARE\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217} Key Found : HKLM\SOFTWARE\Classes\Interface\{4E92DB5F-AAD9-49D3-8EAB-B40CBE5B1FF7} Key Found : HKLM\SOFTWARE\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC} Key Found : HKLM\SOFTWARE\Classes\Interface\{C401D2CE-DC27-45C7-BC0C-8E6EA7F085D6} Key Found : HKLM\SOFTWARE\Classes\TypeLib\{74FB6AFD-DD77-4CEB-83BD-AB2B63E63C93} Key Found : HKLM\SOFTWARE\Classes\TypeLib\{9C049BA6-EA47-4AC3-AED6-A66D8DC9E1D8} Key Found : HKLM\SOFTWARE\Classes\TypeLib\{C2AC8A0E-E48E-484B-A71C-C7A937FAAB94} Key Found : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} Key Found : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F25AF245-4A81-40DC-92F9-E9021F207706} Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{C6FDD0C3-266A-4DC3-B459-28C697C44CDC} Key Found : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{F25AF245-4A81-40DC-92F9-E9021F207706} ***** [Internet Browsers] ***** -\\ Internet Explorer v8.0.7601.17514 [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://isearch.avg.com/tab?cid={F51DC8F7-F2DF-4C74-A70B-F02C612EB4DB}&mid=5e8f9187164b47d6bee3d16d673fc9de-3a58832084baf1869c54c01430096f40781caa38&lang=de&ds=AVG&pr=fr&d=2012-05-30 22:20:03&v=11.1.0.12&sap=nt -\\ Mozilla Firefox v14.0.1 (de) ************************* AdwCleaner[R1].txt - [3593 octets] - [09/08/2012 13:30:52] ########## EOF - \AdwCleaner[R1].txt - [3721 octets] ########## |
Sehr gut! :daumenhoc
danach: Malware-Scan mit Emsisoft Anti-Malware Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm. Lade über Jetzt Updaten die aktuellen Signaturen herunter. Wähle den Freeware-Modus aus. Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers. Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten. Anleitung: http://www.trojaner-board.de/103809-...i-malware.html |
Hallo t'john, als ich gerade den AdwCleaner mit der Taste "Delete" laufen ließ, meldete mein AVG Antivirenprogramm: "Bdrohung gefunden.adwcleaner.exe Wahrscheinlich Rogue-Sicherheitssoftware. Rogue Sicherheitssoftwar ist eine Art Computer-Malware, die vorgibt, Malware zu entfernen und dafür eine Gebühr berechnet oder ander Malware installiert. In Quarantäne verschieben (empfohlen) Zulassen Die Datei bleibt in ihrem jetzigen Zustand." Was ist denn jetzt los? Ist AdwCleaner jetzt etwa auch eine Malware? Was mache ich jetzt? Grüße, Taraxacum |
Nein adwCleaner ist ein Spezialtool. Deaktiviere AVG und versuche es erneut. |
Hallo t'john, hier ist die Text-Datei, die AdwCleaner nach "Delete" ausgibt. Vielen Dank und Grüße, Taraxacum # AdwCleaner v1.800 - Logfile created 08/09/2012 at 14:06:39 # Updated 01/08/2012 by Xplode # Operating system : Windows 7 Ultimate Service Pack 1 (32 bits) # User : user - USER-PC # Running from : C:\Users\Ulf\Desktop\adwcleaner.exe # Option [Delete] ***** [Services] ***** Stopped & Deleted : vToolbarUpdater11.2.0 ***** [Files / Folders] ***** Folder Deleted : C:\ProgramData\AVG Secure Search Deleted on reboot : C:\Program Files\AVG Secure Search Deleted on reboot : C:\Program Files\Common Files\AVG Secure Search File Deleted : C:\Program Files\Mozilla Firefox\searchplugins\avg-secure-search.xml ***** [Registry] ***** Key Deleted : HKCU\Software\AVG Secure Search Key Deleted : HKLM\SOFTWARE\AVG Secure Search Key Deleted : HKLM\SOFTWARE\Classes\AppID\ScriptHelper.EXE Key Deleted : HKLM\SOFTWARE\Classes\AppID\ViProtocol.DLL Key Deleted : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI Key Deleted : HKLM\SOFTWARE\Classes\AVG Secure Search.BrowserWndAPI.1 Key Deleted : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj Key Deleted : HKLM\SOFTWARE\Classes\AVG Secure Search.PugiObj.1 Key Deleted : HKLM\SOFTWARE\Classes\PROTOCOLS\Handler\viprotocol Key Deleted : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi Key Deleted : HKLM\SOFTWARE\Classes\ScriptHelper.ScriptHelperApi.1 Key Deleted : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE Key Deleted : HKLM\SOFTWARE\Classes\ViProtocol.ViProtocolOLE.1 Key Deleted : HKLM\SOFTWARE\MozillaPlugins\@avg.com/AVG SiteSafety plugin,version=11.0.0.1,application/x-avg-sitesafety-plugin Value Deleted : HKLM\SOFTWARE\Mozilla\Firefox\Extensions [Avg@toolbar] ***** [Registre - GUID] ***** Key Deleted : HKLM\SOFTWARE\Classes\AppID\{1FDFF5A2-7BB1-48E1-8081-7236812B12B2} Key Deleted : HKLM\SOFTWARE\Classes\AppID\{BB711CB0-C70B-482E-9852-EC05EBD71DBB} Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{4E92DB5F-AAD9-49D3-8EAB-B40CBE5B1FF7} Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{B658800C-F66E-4EF3-AB85-6C0C227862A9} Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{CC5AD34C-6F10-4CB3-B74A-C2DD4D5060A3} Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{F25AF245-4A81-40DC-92F9-E9021F207706} Key Deleted : HKLM\SOFTWARE\Classes\Interface\{03E2A1F3-4402-4121-8B35-733216D61217} Key Deleted : HKLM\SOFTWARE\Classes\Interface\{4E92DB5F-AAD9-49D3-8EAB-B40CBE5B1FF7} Key Deleted : HKLM\SOFTWARE\Classes\Interface\{9E3B11F6-4179-4603-A71B-A55F4BCB0BEC} Key Deleted : HKLM\SOFTWARE\Classes\Interface\{C401D2CE-DC27-45C7-BC0C-8E6EA7F085D6} Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{74FB6AFD-DD77-4CEB-83BD-AB2B63E63C93} Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{9C049BA6-EA47-4AC3-AED6-A66D8DC9E1D8} Key Deleted : HKLM\SOFTWARE\Classes\TypeLib\{C2AC8A0E-E48E-484B-A71C-C7A937FAAB94} Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{E7DF6BFF-55A5-4EB7-A673-4ED3E9456D39} Key Deleted : HKLM\SOFTWARE\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{F25AF245-4A81-40DC-92F9-E9021F207706} Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{C6FDD0C3-266A-4DC3-B459-28C697C44CDC} Key Deleted : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{F25AF245-4A81-40DC-92F9-E9021F207706} ***** [Internet Browsers] ***** -\\ Internet Explorer v8.0.7601.17514 Replaced : [HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURls - Tabs] = hxxp://isearch.avg.com/tab?cid={F51DC8F7-F2DF-4C74-A70B-F02C612EB4DB}&mid=5e8f9187164b47d6bee3d16d673fc9de-3a58832084baf1869c54c01430096f40781caa38&lang=de&ds=AVG&pr=fr&d=2012-05-30 22:20:03&v=11.1.0.12&sap=nt --> hxxp://www.google.com -\\ Mozilla Firefox v14.0.1 (de) ************************* AdwCleaner[S1].txt - [3720 octets] - [09/08/2012 14:06:39] AdwCleaner[R1].txt - [3720 octets] - [09/08/2012 13:30:52] ########## EOF - \AdwCleaner[S1].txt - [3908 octets] ########## |
gut! :daumenhoc Emsisoft Scan? |
Hallo t'john, das hier sagt der Emisoft Scan: Emsisoft Anti-Malware - Version 6.6 Letztes Update: 09.08.2012 15:29:48 Scan Einstellungen: Scan Methode: Detail Scan Objekte: Rootkits, Speicher, Traces, C:\, F:\ Archiv Scan: An ADS Scan: An Scan Beginn: 09.08.2012 15:47:19 Gescannt 639453 Gefunden 0 Scan Ende: 09.08.2012 16:25:52 Scan Zeit: 0:38:33 |
Sehr gut! :daumenhoc Deinstalliere: Emsisoft Anti-Malware ESET Online Scanner Vorbereitung
|
Hallo t'john, das Scannen mit Eset hat ein bisschen länger gedauert, aber hier schließlich der Logile, Grüße, Taraxacum ESETSmartInstaller@High as downloader log: all ok # version=7 # OnlineScannerApp.exe=1.0.0.1 # OnlineScanner.ocx=1.0.0.6583 # api_version=3.0.2 # EOSSerial=da949ccb70051f4c968e5fd7740cc1ee # end=finished # remove_checked=true # archives_checked=true # unwanted_checked=true # unsafe_checked=false # antistealth_checked=true # utc_time=2012-08-09 08:18:21 # local_time=2012-08-09 10:18:21 (+0100, Mitteleuropäische Sommerzeit) # country="Germany" # lang=1033 # osver=6.1.7601 NT Service Pack 1 # compatibility_mode=1024 16777215 100 0 6129934 6129934 0 0 # compatibility_mode=5893 16776574 100 94 44970104 96170180 0 0 # compatibility_mode=8192 67108863 100 0 183 183 0 0 # scanned=282178 # found=4 # cleaned=4 # scan_time=4511 F:\Eigene Dateien\Ulf\Internetfiles\Antivir\Avast Antivirusprogramm\SoftonicDownloader_fuer_avast-free-antivirus.exe a variant of Win32/SoftonicDownloader.A application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C F:\Eigene Dateien\Ulf\Internetfiles\Rar-Entpacker\SoftonicDownloader_fuer_free-rar-extract-frog.exe a variant of Win32/SoftonicDownloader.A application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C K:\Eigene Dateien\Ulf\Internetfiles\Antivir\Avast Antivirusprogramm\SoftonicDownloader_fuer_avast-free-antivirus.exe a variant of Win32/SoftonicDownloader.A application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C K:\Eigene Dateien\Ulf\Internetfiles\Rar-Entpacker\SoftonicDownloader_fuer_free-rar-extract-frog.exe a variant of Win32/SoftonicDownloader.A application (cleaned by deleting - quarantined) 00000000000000000000000000000000 C |
Java aktualisieren Dein Java ist nicht mehr aktuell. Älter Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.
Dann so einstellen: http://www.trojaner-board.de/105213-...tellungen.html |
Hallo t'john, ich habe Java jetzt auf den neuesten Stand gebracht und so eingestellt, wie von euch vorgeschlagen. Ist jetzt alles wieder gut? Der Rechner läuft zumindest wieder einwandfrei. Vielen Dank und beste Grüße, Taraxacum |
Sehr gut! :daumenhoc damit bist Du sauber und entlassen! :) adwCleaner entfernen
Tool-Bereinigung mit OTL Wir werden nun die CleanUp!-Funktion von OTL nutzen, um die meisten Programme, die wir zur Bereinigung installiert haben, wieder von Deinem System zu löschen.
Zurücksetzen der Sicherheitszonen Lasse die Sicherheitszonen wieder zurücksetzen, da diese manipuliert wurden um den Browser für weitere Angriffe zu öffnen. Gehe dabei so vor: http://www.trojaner-board.de/111805-...ecksetzen.html Systemwiederherstellungen leeren Damit der Rechner nicht mit einer infizierten Systemwiederherstellung erneut infiziert werden kann, muessen wir diese leeren. Dazu schalten wir sie einmal aus und dann wieder ein: Systemwiederherstellung deaktivieren Tutorial fuer Windows XP, Windows Vista, Windows 7 Danach wieder aktivieren. Aufräumen mit CCleaner Lasse mit CCleaner (Download) (Anleitung) Fehler in der
Lektuere zum abarbeiten: http://www.trojaner-board.de/90880-d...tallation.html http://www.trojaner-board.de/105213-...tellungen.html PluginCheck http://www.trojaner-board.de/96344-a...-rechners.html Secunia Online Software Inspector http://www.trojaner-board.de/71715-k...iendungen.html http://www.trojaner-board.de/83238-a...sschalten.html PC wird immer langsamer - was tun? |
Hallo t'john, 1. Habe ich alles gemacht. Combofix ist allerdings noch auf dem Desktop. Ich habe keine spezielle Funktion zum Deinstallieren gefunden und in Systemsteuerung Programme ist Combofix auch nicht aufgeführt. Lösche ich das Ding einfach durch Rechtsklick auf das Desktopsymbol und dann Löschen oder wie kriege ich das wieder weg? 2. Vielen vielen Dank! Ich bin heilfroh, dass ich und mein Rechner wieder sauber sind. Du bist für mich ein Held und deine Kollegen natürlich auch, ganz ehrlich. Tolle Arbeit, die ihr hier so unentgeltlich und unermüdlich anbietet! Werde mich mit einer kleinen Spende erkenntlich zeigen. Seid ihr als gemeinnützig anerkannt, d.h. kann man die Spnde steuerlich geltend machen? Viele Grüße, Taraxacum |
Zitat:
Combofix deinstallieren Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking (Norton) und Anti-Malware Programme deaktivieren. Start => Ausführen => dort reinschreiben ComboFix /Uninstall => Enter drücken Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch daraus die Schädlinge verschwinden. Es wird ein neuer Systemwiederherstellungspunkt erstellt. Gleichzeitig setzt Combofix die Zeiteinstellungen wieder auf die Ursprungseinstellungen, und setzt die Systemeinstellungen wieder so zurück, dass Dateierweiterungen und Systemdateien versteckt sind, was Du bei Bedarf im Explorer unter Extras => Ordneroptionen aber wieder ändern bzw. Deinen persönlichen Vorlieben entsprechend anpassen kannst. Zitat:
Zitat:
|
| Alle Zeitangaben in WEZ +1. Es ist jetzt 17:56 Uhr. |
Copyright ©2000-2025, Trojaner-Board