Trojaner-Board - Weißer Bildschirm bei Windows 7

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Weißer Bildschirm bei Windows 7 (https://www.trojaner-board.de/144543-weisser-bildschirm-windows-7-a.html)

Weißer Bildschirm bei Windows 7

Guten Morgen,

nach der normalen Anmeldung wird der Bildschirm des Sony VAIO VGN-NS212 weiß und kann nicht mehr bedient werden.
Zwar komme ich mit strg+c+entf auf den Task-Manager, aber dann führt jeder weitere Klick nur wieder zum weißen Schirm.

Da ich wenig Ahnung von der Materie habe und kaum das Fachvokabular beherrsche, wäre ich für eine präzise Schritt-für-Schritt-Anleitung sehr dankbar. Von den Schritten, die auf diesen Seiten für Neulinge vorgestellt werden, habe ich noch keinen unternommen.

Wenn das möglich ist, würde ich eine telefonische Begleitung begrüßen.

Für Fragen stehe ich gern zur Verfügung.

Ich würde mich freuen, bald von einem Helfer zu hören und sage schon mal herzlich:
Vielen Dank im Voraus!

Ihr
Solneman

hi,

Scan mit Farbar's Recovery Scan Tool (Recovery Mode - Windows Vista, 7, 8)

Hinweise für Windows 8-Nutzer: Anleitung 1 (FRST-Variante) und Anleitung 2 (zweiter Teil)

Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick: FRST 32-Bit | FRST 64-Bit

Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.

Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:

Über den Boot Manager:

Starte den Rechner neu.

Während dem Hochfahren drücke mehrmals die F8 Taste

Wähle nun Computer reparieren.

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Mit Windows CD/DVD (auch bei Windows 8 möglich):

Lege die Windows CD in dein Laufwerk.

Starte den Rechner neu und starte von der CD.

Wähle die Spracheinstellungen und klicke "Weiter".

Klicke auf Computerreparaturoptionen !

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Wähle in den Reparaturoptionen: Eingabeaufforderung

Gib nun bitte notepad ein und drücke Enter.

Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer.
Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt, merke ihn dir.

Schließe Notepad wieder

Gib nun bitte folgenden Befehl ein.
e:\frst.exe bzw. e:\frst64.exe
Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks, den du dir gemerkt hast. Gegebenfalls anpassen.

Akzeptiere den Disclaimer mit Ja und klicke Untersuchen

Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier nach Möglichkeit in Code-Tags (Anleitung).

Logfile nach FRST-Scan

FRST Logfile:

Code:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 14-11-2013

Ran by SYSTEM on MININT-A89TOQL on 15-11-2013 10:47:51

Running from F:\

Windows 7 Home Premium (X86) OS Language: German Standard

Internet Explorer Version 10

Boot Mode: Recovery
 

The current controlset is ControlSet001
 ATTENTION!:=====> If the system is bootable FRST could be run from normal or Safe mode to create a complete log.
 

==================== Registry (Whitelisted) ==================
 

HKLM\...\Run: [Adobe ARM] - C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [958576 2013-04-04] (Adobe Systems Incorporated)

HKLM\...\Run: [APSDaemon] - C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe [59720 2013-01-28] (Apple Inc.)

HKLM\...\Run: [Ocs_SM] - C:\Users\Reikowski\AppData\Roaming\OCS\SM\SearchAnonymizer.exe [106496 2012-05-04] (OCS)

HKLM\...\Run: [MSC] - C:\Program Files\Microsoft Security Client\msseces.exe [995176 2013-08-12] (Microsoft Corporation)

HKLM\...\Run: [SunJavaUpdateSched] - C:\Program Files\Common Files\Java\Java Update\jusched.exe [252296 2012-01-17] (Sun Microsystems, Inc.)

HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [152392 2013-02-20] (Apple Inc.)

HKLM\...\Run: [DATAMNGR] - C:\Program Files\Windows Searchqu Toolbar\Datamngr\datamngrUI.exe [1890744 2012-09-02] (Bandoo Media, inc)

HKLM\...\Run: [SearchProtectAll] - C:\Program Files\SearchProtect\bin\cltmng.exe [3470624 2013-09-22] (Conduit)

HKU\Reikowski\...\Run: [Google Update] - C:\Users\Reikowski\AppData\Local\Google\Update\GoogleUpdate.exe [ 2012-06-12] (Google Inc.)

HKU\Reikowski\...\Run: [Skype] - C:\Program Files\Skype\Phone\Skype.exe [ 2013-10-02] (Skype Technologies S.A.)

HKU\Reikowski\...\Run: [SearchProtect] - C:\Users\Reikowski\AppData\Roaming\SearchProtect\bin\cltmng.exe [ 2013-09-22] (Conduit)

HKU\Reikowski\...\Winlogon: [Shell] explorer.exe,C:\Users\Reikowski\AppData\Roaming\cache.dat [ 2013-08-29] () <==== ATTENTION 

AppInit_DLLs: C:\PROGRA~1\WIA6EB~1\Datamngr\datamngr.dll C:\PROGRA~1\WIA6EB~1\Datamngr\IEBHO.dll  [ 2012-09-02] (Bandoo Media, inc)
 

========================== Services (Whitelisted) =================
 

S2 CltMngSvc; C:\Program Files\SearchProtect\bin\CltMngSvc.exe [97056 2013-05-08] (Conduit)

S2 GhosteryStatsUpdater; C:\Users\Reikowski\AppData\LocalLow\GhosteryStats\IE\GhosteryStatsUpdater.exe [18432 2012-02-28] ()

S3 McComponentHostService; C:\Program Files\McAfee Security Scan\3.0.318\McCHSvc.exe [235216 2013-02-05] (McAfee, Inc.)

S2 MsMpSvc; c:\Program Files\Microsoft Security Client\MsMpEng.exe [22208 2013-08-12] (Microsoft Corporation)

S3 NisSrv; c:\Program Files\Microsoft Security Client\NisSrv.exe [295376 2013-08-12] (Microsoft Corporation)

S2 SearchAnonymizer; C:\Users\Reikowski\AppData\Roaming\OCS\SM\SearchAnonymizerHelper.exe [40960 2012-05-04] ()

S2 Skype C2C Service; C:\ProgramData\Skype\Toolbars\Skype C2C Service\c2c_service.exe [3063968 2012-04-09] (Skype Technologies S.A.)

S2 TGCM_ImportWiFiSvc; C:\Program Files\o2\Mobile Connection Manager\ImpWiFiSvc.exe [200624 2010-09-29] (Telefónica I+D)
 

==================== Drivers (Whitelisted) ====================
 

S0 MpFilter; C:\Windows\System32\DRIVERS\MpFilter.sys [211560 2013-06-18] (Microsoft Corporation)
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 

2013-11-15 10:47 - 2013-11-15 10:47 - 00000000 ____D C:\FRST

2013-10-28 23:05 - 2013-10-29 08:08 - 00000004 _____ C:\Users\Reikowski\AppData\Roaming\cache.ini

2013-10-28 23:03 - 2013-10-28 23:03 - 00099328 _____ C:\Users\Reikowski\Downloads\video_720p.exe

2013-10-28 23:03 - 2013-10-28 23:03 - 00099328 _____ C:\Users\Reikowski\Downloads\video_720p(1).exe

2013-10-20 10:13 - 2013-10-20 10:13 - 00000000 ____D C:\SearchProtect
 

==================== One Month Modified Files and Folders =======
 

2013-11-15 10:47 - 2013-11-15 10:47 - 00000000 ____D C:\FRST

2013-10-29 08:08 - 2013-10-28 23:05 - 00000004 _____ C:\Users\Reikowski\AppData\Roaming\cache.ini

2013-10-29 08:07 - 2009-07-14 05:39 - 00113305 _____ C:\Windows\setupact.log

2013-10-29 07:15 - 2012-04-27 17:11 - 01206932 _____ C:\Windows\WindowsUpdate.log

2013-10-29 07:15 - 2009-07-14 05:34 - 00013216 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2013-10-29 07:15 - 2009-07-14 05:34 - 00013216 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

2013-10-29 07:12 - 2012-04-27 17:40 - 01498742 _____ C:\Windows\System32\PerfStringBackup.INI

2013-10-28 23:27 - 2012-05-02 18:09 - 00000000 ____D C:\Users\Reikowski\AppData\Roaming\Skype

2013-10-28 23:03 - 2013-10-28 23:03 - 00099328 _____ C:\Users\Reikowski\Downloads\video_720p.exe

2013-10-28 23:03 - 2013-10-28 23:03 - 00099328 _____ C:\Users\Reikowski\Downloads\video_720p(1).exe

2013-10-20 14:06 - 2009-07-14 03:37 - 00000000 ____D C:\Windows\rescache

2013-10-20 10:13 - 2013-10-20 10:13 - 00000000 ____D C:\SearchProtect

2013-10-19 09:33 - 2012-05-02 18:09 - 00000000 ___RD C:\Program Files\Skype

2013-10-19 09:33 - 2012-05-02 18:09 - 00000000 ____D C:\ProgramData\Skype

2013-10-18 09:13 - 2012-04-27 20:17 - 00000000 ____D C:\ProgramData\McAfee Security Scan

2013-10-18 09:13 - 2012-04-27 20:17 - 00000000 ____D C:\Program Files\McAfee Security Scan

2013-10-18 09:13 - 2009-07-14 09:56 - 00000000 ___RD C:\Users\Public\Recorded TV

2013-10-18 09:13 - 2009-07-14 03:37 - 00000000 ____D C:\Windows\System32\wfp

2013-10-18 09:13 - 2009-07-14 03:37 - 00000000 ____D C:\Windows\registration

2013-10-18 09:13 - 2009-07-14 03:37 - 00000000 ____D C:\Windows\AppCompat

2013-10-18 09:07 - 2012-04-27 17:42 - 00000000 ____D C:\users\Reikowski

2013-10-18 09:06 - 2009-07-14 03:37 - 00000000 ____D C:\Windows\System32\LogFiles
 

Files to move or delete:

====================

C:\Users\Reikowski\AppData\Roaming\cache.dat

C:\Users\Reikowski\AppData\Roaming\cache.ini
 
 

Some content of TEMP:

====================

C:\Users\Reikowski\AppData\Local\Temp\DataCard_Setup.exe

C:\Users\Reikowski\AppData\Local\Temp\installhelper.dll

C:\Users\Reikowski\AppData\Local\Temp\nsiFBED.exe

C:\Users\Reikowski\AppData\Local\Temp\nsn6453.exe

C:\Users\Reikowski\AppData\Local\Temp\nssA01.exe

C:\Users\Reikowski\AppData\Local\Temp\nst44C0.exe

C:\Users\Reikowski\AppData\Local\Temp\nstC07.exe

C:\Users\Reikowski\AppData\Local\Temp\nsx4BF3.exe

C:\Users\Reikowski\AppData\Local\Temp\ResetDevice.exe

C:\Users\Reikowski\AppData\Local\Temp\SecondStepInstaller.exe

C:\Users\Reikowski\AppData\Local\Temp\SetupDataMngr_Searchqu.exe

C:\Users\Reikowski\AppData\Local\Temp\SkypeSetup.exe

C:\Users\Reikowski\AppData\Local\Temp\SPStub.exe

C:\Users\Reikowski\AppData\Local\Temp\SRAssetsHelper.dll

C:\Users\Reikowski\AppData\Local\Temp\ToolbarHelper.exe
 
 

==================== Known DLLs (Whitelisted) ============
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\explorer.exe => MD5 is legit

C:\Windows\System32\winlogon.exe => MD5 is legit

C:\Windows\System32\wininit.exe => MD5 is legit

C:\Windows\System32\svchost.exe => MD5 is legit

C:\Windows\System32\services.exe => MD5 is legit

C:\Windows\System32\User32.dll => MD5 is legit

C:\Windows\System32\userinit.exe => MD5 is legit

C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit
 

==================== EXE ASSOCIATION =====================
 

HKLM\...\.exe: exefile => OK

HKLM\...\exefile\DefaultIcon: %1 => OK

HKLM\...\exefile\open\command: "%1" %* => OK
 

==================== Restore Points  =========================
 

8

Restore point made on: 2013-10-01 04:53:04

Restore point made on: 2013-10-04 07:17:24

Restore point made on: 2013-10-08 06:51:51

Restore point made on: 2013-10-10 05:39:56

Restore point made on: 2013-10-13 19:44:49

Restore point made on: 2013-10-18 21:10:38

Restore point made on: 2013-10-22 17:25:07

Restore point made on: 2013-10-26 07:44:29
 

==================== Memory info =========================== 
 

Percentage of memory in use: 11%

Total physical RAM: 4063.04 MB

Available physical RAM: 3597.01 MB

Total Pagefile: 4061.31 MB

Available Pagefile: 3606.79 MB

Total Virtual: 2047.88 MB

Available Virtual: 1945.9 MB
 

==================== Drives ================================
 

Drive c: () (Fixed) (Total:288.28 GB) (Free:119.32 GB) NTFS ==>[Drive with boot components (obtained from BCD)]

Drive d: (Recovery) (Fixed) (Total:9.81 GB) (Free:0.84 GB) NTFS ==>[System with boot components (obtained from reading drive)]

Drive f: () (Removable) (Total:3.75 GB) (Free:1.37 GB) FAT32

Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS
 

==================== MBR & Partition Table ==================
 

========================================================

Disk: 0 (MBR Code: Windows 7 or 8) (Size: 298 GB) (Disk ID: AD9C10E4)

Partition 1: (Not Active) - (Size=10 GB) - (Type=27)

Partition 2: (Active) - (Size=288 GB) - (Type=07 NTFS)
 

========================================================

Disk: 1 (Size: 4 GB) (Disk ID: 00000000)

Partition 1: (Active) - (Size=4 GB) - (Type=06)
 
 

LastRegBack: 2013-10-21 05:24
 

==================== End Of Log ============================

--- --- ---

Drücke bitte die

+ R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

HKU\Reikowski\...\Winlogon: [Shell] explorer.exe,C:\Users\Reikowski\AppData\Roaming\cache.dat [ 2013-08-29] () <==== ATTENTION 

C:\Users\Reikowski\AppData\Roaming\cache.dat

C:\Users\Reikowski\AppData\Roaming\cache.ini

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

Starte deinen Rechner erneut in die Reparaturoptionen
Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Rechner normal starten.

Weißer Bildschirm bei Windows 7 - Nachfrage

Guten Morgen, Schrauber,

vielen Dank bisher!

Etwas verstehe ich nicht:

"Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster."
ICh komme beim kranken Rechner nicht auf dieses Windows-Symbol. Soll ich das beim gesunden Rechner machen?

Dann:
"Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument"

Ich komme beim kranken Rechner nicht in Word. Welches Textdokument ist gemeint?
WO finde ich die Code-Box?

Kann ich den Text in der Box aus deiner Antwort nicht als .txt auf dem USB-Stick speichern und fortfahren wie beschrieben?

Ich bin etwas hilflos, wie gesagt, aber zuversichtlich, dass wir meinen Rechner wieder sauber kriegen :-)

Schönen Gruß
Andreas

Zitat:

Kann ich den Text in der Box aus deiner Antwort nicht als .txt auf dem USB-Stick speichern und fortfahren wie beschrieben?

Genau das steht auch oben ;). Achte drauf die Zeilen genau so in das Textfile zu packen, Zeile für Zeile :)

Negativ, leider.

Das Reparatuirprogramm akzeptiert nicht das von mir nach Anweisung erstellte Textdokument.

Ich habe es probiert mit dem Dateinamen "fixlist.txt" sowohl als auch nur mit "fixlist" in dem Glauben, das Kürzel ".txt" würde von selbst erstellt.

Ich komme also leider nicht weiter ...

Schönen Gruß
Andreas

Welches Reparaturprogramm? Was genau pasiert? ich sitze nicht vorm Rechner.

Weißer Bildschirm bei Windows 7 - Fixlog ist da!

Guten Tag, Schrauber,

nun hat es doch noch geklappt. Bitte sehr, wie gewünscht:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 14-11-2013
Ran by SYSTEM at 2013-11-20 16:30:01 Run:1
Running from F:\
Boot Mode: Recovery

==============================================

Content of fixlist:
*****************
HKU\Reikowski\...\Winlogon: [Shell] explorer.exe,C:\Users\Reikowski\AppData\Roaming\cache.dat [ 2013-08-29] () <==== ATTENTION
C:\Users\Reikowski\AppData\Roaming\cache.dat
C:\Users\Reikowski\AppData\Roaming\cache.ini
*****************

HKU\Reikowski\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell => Value deleted successfully.
C:\Users\Reikowski\AppData\Roaming\cache.dat => Moved successfully.
C:\Users\Reikowski\AppData\Roaming\cache.ini => Moved successfully.

==== End of Fixlog ====

Gruß
Andreas

Startet der Rechner jetzt normal?

Lieber Schrauber,

verblüfft stehe ich vor einem klaren Fall von Zauberei: Mein Rechner tut's wieder!

Vielen, vielen herzlichen Dank für die Mühe und die Geduld mit mir!

Euch kann man wirklich weiterempfehlen!

Schönen Gruß aus Stuttgart
Andreas

Kontrollscans im normalen Modus :)

Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
Drücke eine beliebige Taste, um das Tool zu starten.
Je nach System kann der Scan eine Weile dauern.
Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)