Trojaner-Board - Windows Defender: Problem beim Entfernen von Trojan:Win32/Necurs.A und Trojan:WinNT/Necurs.A unter Windows 7

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Windows Defender: Problem beim Entfernen von Trojan:Win32/Necurs.A und Trojan:WinNT/Necurs.A unter Windows 7 (https://www.trojaner-board.de/150675-windows-defender-problem-beim-entfernen-trojan-win32-necurs-a-trojan-winnt-necurs-a-windows-7-a.html)

Windows Defender: Problem beim Entfernen von Trojan:Win32/Necurs.A und Trojan:WinNT/Necurs.A unter Windows 7

Liebes Trojaner-Board Team!

Mein Rechner wurde, vermutlich durch eine mit Schadsoftware befallene Internetseite, mit Malware infiziert. Aufmerksam wurde ich durch eine E-Mail vom Abuse Team der Telekom, dass von meinem Internetanschluss SPAM Mails versendet würden. Der Befall bestätigte sich durch ein Scan mit der unter Windows 7 vorhandenen Software Windows Defender: "Auf dem Computer wurden Programme gefunden, die Ihre Privatshpäre gefährden oder den Computer schädigen können. Warnstufe: Schwerwiegend/Hoch. Zu meiner Schande muss ich gestehen, dass weder das Betriebssystem noch diverse Programme (ich bin sicher, ihr werdet sie alle finden ;-) wie auch der IE nicht "aktuell" sind. Bisher war ich der Meinung, dass eine Portion gesunder Menschenverstand und aktuelle Virensignaturen beim Surfen im Internet ausreichend schützen. Manchmal muss man seine Meinung ändern. Wieder was gelernt! Auch ein Backup zu haben ist sicher nicht schlecht. Aber es nützt wenig, wenn es zu alt ist: Noch was gelernt!

Eine erste Schnellüberprüfung des Systems meldete einen Befall mit Trojan:Win32/Necurs.A. Da ich nicht alles falsch machen und Spuren verwischen wollte, habe ich zunächst versucht, den Schädling unter Quarantäne zu stellen. Zugegeben mit begrenztem Erfolg: Fehler Code 0x8007054f. Interner Fehler. Alles klar? Naja, dann versuche ich halt ihn zu entfernen, dachte ich mir. Zunächst machte ich jedoch einen zweiten Scan, da ich noch nicht so ganz an einen erfolglosen ersten Versuch glauben konnte, oder sagen wir lieber wollte. Das Ergebnis eines zweiten Schnellscans: Befall mit Trojan:Win32/Necurs.A (leider immer noch da) und Trojan:WinNT/Necurs.A auch mit Warnstufe Schwerwiegend/Hoch. Diesmal hatte ich weniger Geduld und versuchte, beide Schädlinge zu entfernen. Windows Defender meldete den Status "Erfolgreich" für WinNT/Necurs.A, jedoch für Win32/Necurs.A mit Status "Fehlerhaft" den zweiten erfolglosen Versuch. Es folgte der Hinweis: "Der Computer muss neu gestartet werden um das entfernen von Spyware und anderer unerwünschter Software abzuschließen."

Bevor ich das tat, fragte ich mich, warum G Data InternetSecurity den Befall eigentlich nicht gemeldet hatte? Ich ahnte Schlimmes und versuchte, es zu starten. Der Splash blieb zunächst beim Initialisieren hängen, bevor G Data AntiVirus sich nach einigen Minuten Wartezeit mit dem Hinweis meldete: "G Data Antivirus kann nicht gestartet werden, weil nicht alle Komponenten initialisiert werden konnten. Bitte starten Sie den Rechner neu." Ich bestätigte mit "OK" und erhielt eine weitere Meldung: "Die RootKit-Prüfung kann nicht mit eingeschränkten Berechtigungen durchgeführt werden." Aha, so ist das also.

Mit einem zugegeben etwas unguten Gefühl startete ich meinen Rechner neu. Dieser bootete träger als sonst und startete mit einem Programm "Systemstartreparatur" und dem Hinweis: "Der Computer konnte nicht gestartet werden. Starthilfe überprüft, ob im System Probleme vorliegen." Für mich begannen bange Minuten, die scheinbar nicht enden wollten. Nach ca. 30 Minuten Wartezeit dann die Bestätigung: "Windows kann diesen Computer nicht automatisch reparieren." Die Diagnose- und Reparatur-Detailinformationen zeigten zum Problemereignis "StartupRepairOffline" einige Problemsignaturen (z.B. 07: CoruptFile) an. Außerdem hieß es: "Wenden Sie sich an den Systemadministrator oder den Computerhersteller, wenn diese Meldung weiterhin angezeigt wird. Klicken Sie auf "Fertig stellen", um den Vorgang zu beenden und den Computer herunterzufahren." Herunterfahren und das war's dann wohl.

Ich gab die Hoffnung noch nicht ganz auf und versuchte einen (normalen) Systemstart. Der Rechner begann zu booten, startete sein Betriebssystem und ist seitdem immer noch hochgefahren. Ein erneuter Scan warnte vor den zwei schon bekannten Trojanern.

Aufgrund der oben geschilderten Erfahrung beim Systemstart scheue ich mich, den Rechner herunterzufahren und/oder neu zu starten. Um nichts falsches zu tun, möchte ich gerne wissen, was ich tun soll bzw. welche Eurer Anleitungen ich verwenden soll. Auf jeden Fall wird es spätestens jetzt Zeit für professionelle Hilfe. Ich weiß, dass kontrovers darüber diskutiert wird: Wenn möglich würde ich mit Eurer Unterstützung gerne versuchen, das Rootkit erfolgreich zu entfernen, um das System zu erhalten und anschließend sicherer zu machen.

Hier noch einige Informationen, die u.U. hilfreich sein können:

- Trojan:Win32/Necurs.A C:\Windows\Installer\{49DD8...ABCE}\syshost.exe Dienst: syshost32
- Trojan:WinNT/Necurs.A C:\Windows\System32\Drivers\2af40...d782.sys Probleme mit Nicht-PnP-Treibern?
- Regkey [HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\services\syshost32] ImagePath="C:\Windows\Installer\{49DD8...ABCE}\syshost.exe" /service
- Ein USB-Stick kann nicht verwendet werden (Treiberproblem ;-)
- CD/DVD-Laufwerk ist verfügbar
- G Data InternetSecurity ist an der Ausführung verhindert
- Zugriff auf bestimmte verdächtige Dateien/Verzeichnisse ist nicht möglich oder erfordert administrative Rechte

Die Internetverbindung habe ich vorsichtshalber zunächst temporär deaktiviert.

Sofern das Euch weiterhilft, kann ich das Logfile des Windows Defenders posten. Wenn ja, sagt mir bitte, wo ich es finde. Mit anderen Malware-Tools habe ich bisher noch nicht gearbeitet, nehme aber an, es wird nicht mehr lange dauern ...

Vielen Dank im Voraus für Eure Unterstützung :-)

:hallo:

Ich habe dein Thema in Arbeit und melde mich so schnell als möglich mit weiteren Anweisungen.

Bitte beachte, dass alle meine Antworten zuerst von einem Ausbilder freigegeben werden müssen, bevor ich diese hier posten darf. Dies garantiert, dass Du Hilfe von einem ausgebildeten Helfer bekommst.

Ich bedanke mich für deine Geduld :)

:hallo:

Mein Name ist Jürgen und ich werde Dir bei Deinem Problem behilflich sein. Zusammen schaffen wir das! :abklatsch:

Bitte arbeite alle Schritte der Reihe nach ab.
Lese die Anleitungen sorgfältig durch bevor Du beginnst. Wenn es Probleme gibt oder Du etwas nicht verstehst, dann stoppe mit Deiner Ausführung und beschreibe mir das Problem.
Führe bitte nur Scans durch zu denen Du von mir aufgefordert wirst.
Bitte kein Crossposting (posten in mehreren Foren).
Installiere oder deinstalliere während der Bereinigung keine Software, außer Du wurdest dazu aufgefordert.
Speichere alle unsere Toosl auf dem Desktop ab.
Poste die Logfiles direkt in deinen Thread in Code-Tags.
Bedenke, dass wir hier alle während unserer Freizeit tätig sind, wenn du innerhalb von 2 Tagen nichts von mir hörst, dann schreibe mir bitte eine PM.

Achtung:
Rootkit-Warnung
Dein Computer wurde mit einem besonderen Schädling infiziert, der sich vor herkömmlichen Virenscannern und dem Betriebssystem selbst verstecken kann. Zusätzlich hat so ein Schädling meist auch Backdoor-Funktionalität, reißt also ganz bewußt Löcher durch alle Schutzmaßnahmen, damit er weiteren Schadcode nachladen oder die Daten, die er so sammelt, an die "bösen Jungs" weiterleiten kann. Was heißt das jetzt für dich?

Entscheide bitte ganz bewußt, ob du mit der Bereinigung fortfahren möchtest. Ein einmal derartig kompromittiertes System kann man niemals mit 100%iger Sicherheit wieder absichern. Auch wenn wir gute Chancen haben, deinen Computer zu bereinigen, kann es dennoch möglich sein, dass uns am Ende nur die Neuinstallation bleibt.
Wenn du mit diesem Computer beispielsweise Onlinebanking machst, dann solltest du zumindest dein Passwort von deiner Bank ändern lassen, wenn du ein ansonsten sicheres Verfahren wie beispielsweise "chip-TAN-comfort" nutzt. Hast du noch alte TAN-Bögen auf Papierbasis? Dann ist es höchste Zeit dich bei deiner Bank zu melden und notfalls das Konto temporär sperren zu lassen. Der Sperrnotruf 116 116 von www.sperr-notruf.de kann Tag und Nacht dafür benutzt werden.
Hast du ansonsten sensible Daten auf deinem Computer, dann solltest du auch darüber nachdenken, wie du damit umgehst, da sie sich praktisch "jeder" ansehen konnte.

Teile mir also mit, wie du dich entschieden hast.

Hinweise: Ich kann Dir niemals eine Garantie geben, dass wir alle schädlichen Dateien finden werden. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis Dir jemand vom Team sagt, dass Du clean :daumenhoc bist.

Bitte beachte, dass alle meine Antworten zuerst von einem Ausbilder freigegeben werden müssen, bevor ich diese hier posten darf. Dies garantiert, dass Du Hilfe von einem ausgebildeten Helfer bekommst. Siehe hier...

Ich bedanke mich für Deine Geduld! :)

Schritt 1 (Scan mit FRST)
Bitte lade dir die passende Version von Farbar's Recovery Scan Tool auf deinen Desktop:

FRST 32-Bit | FRST 64-Bit
(Wenn du nicht sicher bist: Lade beide Versionen oder unter Start > Computer (Rechtsklick) > Eigenschaften nachschauen)

Starte jetzt FRST.
Ändere ungefragt keine der Checkboxen und klicke auf Untersuchen.
Die Logdateien werden nun erstellt und befinden sich danach auf deinem Desktop.
Poste mir die FRST.txt und nach dem ersten Scan auch die Addition.txt in deinem Thread (#-Symbol im Eingabefenster der Webseite anklicken)

Schritt 2 (Scan mit GMER)
Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Bitte poste mir in Deiner nächsten Antwort den Inhalt der Logdateien von:
- FRST (FRST.txt und Addition.txt)
- GMER (Gmer.txt)

Lesestoff:
Posten in CODE-Tags
Die Logfiles anzuhängen oder sogar vorher in ein ZIP, RAR, 7Z-Archive zu packen erschwert mir massiv die Arbeit, es sei denn natürlich die Datei wäre ansonsten zu gross für das Forum. Um die Logfiles in eine CODE-Box zu stellen gehe so vor:

Markiere das gesamte Logfile (geht meist mit STRG+A) und kopiere es in die Zwischenablage mit STRG+C.
Klicke im Editor auf das #-Symbol. Es erscheinen zwei Klammerausdrücke [CODE] [/CODE].
Setze den Curser zwischen die CODE-Tags und drücke STRG+V.
Klicke auf Erweitert/Vorschau, um so prüfen, ob du es richtig gemacht hast. Wenn alles stimmt ... auf Antworten.

http://www.trojaner-board.de/picture...&pictureid=307

Hallo Jürgen,

vielen Dank für Deine Unterstützung. Zu Deiner Frage wg. Rootkit-Warnung:

Ja, wir sollten versuchen, zu bereinigen. Ich denke auch: Zusammen schaffen wir das! Es schaut ja auch immer noch einer der Ausbilder mit dabei und kann unterstützen, wenn es drauf ankommt, oder?

Es sein denn, Ihr wisst aus Erfahrung, dass bei den (bisher) gefundenen Schädlingen, ein Clean noch nie möglich gewesen ist. Noch ein Hinweis, der hilfreich sein könnte: Bis auf das Thema SPAM ist mir (und nach deren Aussage auch dem Abuse Team der Telekom) kein weiterer Missbrauch bekannt geworden. Da man das aber nie ausschließen kann, habe ich sensible Zugangsdaten, die möglicherweise betroffen sein könnten von einem sauberen System aus geändert. M.E. ist die Infektion am 02.02.14 gewesen, aber warten wir die Logs mal ab.

Da ich den Computer z.Zt. nicht im Zugriff habe, melde ich mich wieder, sobald Du mir geantwortet hast und ich loslegen kann.

Einige Fragen noch, bevor ich starte:

1. Der Computer ist immer noch hochgefahren (vgl. meine Infos hierzu in meinem letzten Post). Ich starte nicht neu (wenn doch, wie?) und versuche ohne Neustart wie beschrieben mit FRST und GMER zu installieren?

2. Muss bei FRST zunächst auch der Virenscanner (G Data) deaktiviert werden? Wenn ja, muss ich sehen, ob ich das schaffe (läuft ja nicht mehr).

3. Muss nach Ausführen von FRST und vor Ausführen von GMER gebootet werden? Wenn ja, wie? Bzgl. GMER soll ich lt. Anleitung den Virenscanner deaktivieren. Wie und ob das geht, muss ich sehen. Notfalls frage ich vorher nochmal nach und hoffe, wir kriegen das dann gemeinsam hin.

4. Was soll ich mit den Windows 7 Bordmitteln Defender, Firewall und ggf. anderen tun (welche sind das noch?) vor Starten von FRST und GMER? Andere Third-Party Tools habe ich nicht installiert.

5. Wo finde ich im Editor das #-Symbol für's Einfügen der Logs (Will das ja richtig machen)?

Bedanke mich auch für Deine Geduld und Lesebereitschaft (meine Posts sind vllt. auch ohne Logs länger als mancher andere ;-)

Gruß Jo

Hallo Jo,
gerne beantworte ich Dir Deine Fragen folgendermaßen:

ad 1.)
Ich verstehe nicht ganz was Du meinst! :confused:
Es ist erforderlich, dass Du in normaler und gewohnter Weise Windows starten kannst.
Auch solltest Du auf den Desktop gelangen und via Browser aufs Internet zugreifen können.
Sollte das nicht möglich sein, teile es mir bitte mit.

ad 2.)
Es ist ausreichend, wenn GDATA offensichtlich nicht aktiv ist - auch wenn es sich dabei um eine malwarebedingte Nebenwirkung handelt. Es sollte aber gesichert sein, dass jegliche Scandienste inaktiv sind. (Ggf. im Task-Manager nachschauen)

ad 3.)
NEIN!

ad 4.)
Hier ist keine Aktion erforderlich.

ad 5.)
Das Symbol befindet sich in der oberen, rechten Hälfte der Antwortbox hier im Forumsthread. Such mal danach wenn Du mir eine Antwort schreibst. ;)
Schau auch nochmal bei meinem Post oben unter Lesestoff. Dort auf dem Bild, der rote Pfeil zeigt auf das Symbol.
Kopiere zwischen die beiden Klammer-Gruppen den gesamten Text der Logfiles. Jeder Logfiletext in eine Klammergruppe, damit Du drei Codeboxen erhältst.

Code:

Hier steht dann der Logfiletext

Durch Strg+A, Strg+C, Strg+V oder eben über das Kontextmenü der rechten Maustaste. Drücke im Threadfenster unten auf Vorschau bevor Du antwortest um zu prüfen ob alles OK ist.

Hallo Jürgen,

ich habe zunächst mal FRST laufen lassen (ich habe vorher keine Internetverbindung hergestellt) Hier die beiden Logs:

FRST.txt

FRST Logfile:

Code:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 07-03-2014

Ran by Jörg (administrator) on BEETHOVEN on 07-03-2014 22:08:03

Running from C:\Users\Jörg\Desktop

Microsoft Windows 7 Home Premium  (X86) OS Language: German Standard

Internet Explorer Version 8

Boot Mode: Normal
 
 
 

==================== Processes (Whitelisted) =================
 

(G Data Software AG) C:\Program Files\Common Files\G Data\GDScan\GDScan.exe

() C:\Program Files\G Data\InternetSecurity\AVK\AVKWCtl.exe

(AMD) C:\Windows\system32\atiesrxx.exe

(AMD) C:\Windows\system32\atieclxx.exe

(Apple Inc.) C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

(G Data Software AG) C:\Program Files\Common Files\G Data\AVKProxy\AVKProxy.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\AVK\AVKService.exe

(Apple Inc.) C:\Program Files\Bonjour\mDNSResponder.exe

() C:\ProgramData\DatacardService\DCService.exe

(Deutsche Telekom AG) C:\Program Files\Netzmanager\NMInfraIS2\Netzmanager_Service.exe

(Huawei Technologies Co., Ltd.) C:\ProgramData\DatacardService\DCSHelper.exe

(shbox.de) C:\Program Files\FreePDF_XP\fpassist.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\AVKTray\AVKTray.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\Firewall\GDFirewallTray.exe

(Synaptics, Inc.) C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

(Sun Microsystems, Inc.) C:\Program Files\Common Files\Java\Java Update\jusched.exe

(Nokia) C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe

(Apple Inc.) C:\Program Files\iTunes\iTunesHelper.exe

(Microsoft Corporation) C:\Program Files\Microsoft Office\Office14\ONENOTEM.EXE

(Nokia Corp.) C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe

(Apple Inc.) C:\Program Files\iPod\bin\iPodService.exe

(Synaptics, Inc.) C:\Program Files\Synaptics\SynTP\SynTPHelper.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\Firewall\GDFwSvc.exe

(Microsoft Corporation) C:\Windows\system32\taskmgr.exe

(Microsoft Corporation) C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE

(Microsoft Corporation) C:\Windows\system32\mmc.exe

(Microsoft Corporation) C:\Windows\system32\cmd.exe

(Microsoft Corporation) C:\Windows\system32\prevhost.exe

(Microsoft Corporation) C:\Windows\System32\cmd.exe

(Microsoft Corporation) C:\Windows\System32\cmd.exe
 
 

==================== Registry (Whitelisted) ==================
 

HKLM\...\Run: [FreePDF Assistant] - C:\Program Files\FreePDF_XP\fpassist.exe [370176 2010-06-17] (shbox.de)

HKLM\...\Run: [G Data AntiVirus Tray Application] - C:\Program Files\G Data\InternetSecurity\AVKTray\AVKTray.exe [996936 2010-08-26] (G Data Software AG)

HKLM\...\Run: [GDFirewallTray] - C:\Program Files\G Data\InternetSecurity\Firewall\GDFirewallTray.exe [1538120 2010-08-26] (G Data Software AG)

HKLM\...\Run: [SynTPEnh] - C:\Program Files\Synaptics\SynTP\SynTPEnh.exe [1348904 2008-08-14] (Synaptics, Inc.)

HKLM\...\Run: [SunJavaUpdateSched] - C:\Program Files\Common Files\Java\Java Update\jusched.exe [248040 2010-02-18] (Sun Microsystems, Inc.)

HKLM\...\Run: [BCSSync] - C:\Program Files\Microsoft Office\Office14\BCSSync.exe [91520 2010-03-13] (Microsoft Corporation)

HKLM\...\Run: [DataCardMonitor] - C:\Program Files\Telekom\InternetManager_H\DataCardMonitor.exe [253952 2011-04-22] (Huawei Technologies Co., Ltd.)

HKLM\...\Run: [APSDaemon] - C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe [59720 2013-09-13] (Apple Inc.)

HKLM\...\Run: [Nokia Tray Application] - C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe [425984 2003-01-03] (Nokia)

HKLM\...\Run: [CanonMyPrinter] - C:\Program Files\Canon\MyPrinter\BJMyPrt.exe [2567272 2011-07-19] (CANON INC.)

HKLM\...\Run: [CanonSolutionMenuEx] - C:\Program Files\Canon\Solution Menu EX\CNSEMAIN.EXE [1637496 2011-08-04] (CANON INC.)

HKLM\...\Run: [IJNetworkScannerSelectorEX] - C:\Program Files\Canon\IJ Network Scanner Selector EX\CNMNSST.exe [468112 2011-07-25] (CANON INC.)

HKLM\...\Run: [QuickTime Task] - C:\Program Files\QuickTime\QTTask.exe [421888 2013-05-01] (Apple Inc.)

HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [152392 2013-11-02] (Apple Inc.)

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {391dea39-7420-11e0-85dc-001e337fa516} - F:\AutoRun.exe

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {9648ae83-6b89-11e0-ad8d-001e337fa516} - F:\AutoRun.exe

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {9648ae8f-6b89-11e0-ad8d-001e337fa516} - F:\AutoRun.exe

Startup: C:\Users\Jörg\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk

ShortcutTarget: OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk -> C:\Program Files\Microsoft Office\Office14\ONENOTEM.EXE (Microsoft Corporation)
 

==================== Internet (Whitelisted) ====================
 

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 0x131F0EDEDC2BCF01

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de

BHO: G Data WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\InternetSecurity\WebFilter\AvkWebIE.dll (G Data Software AG)

BHO: Office Document Cache Handler - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Program Files\Microsoft Office\Office14\URLREDIR.DLL (Microsoft Corporation)

BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll (Sun Microsystems, Inc.)

Toolbar: HKLM - G Data WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\InternetSecurity\WebFilter\AvkWebIE.dll (G Data Software AG)

DPF: {82774781-8F4E-11D1-AB1C-0000F8773BF0} https://transfers.ds.microsoft.com/FTM/TransferSource/grTransferCtrl.cab

DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://javadl-esd.sun.com/update/1.6.0/jinstall-6u20-windows-i586.cab

DPF: {BF3CD111-6278-11D2-9EA3-00A0C9251384} hxxp://www.o2c.de/download/O2CPlayer.CAB

DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

Winsock: Catalog5 07 C:\Program Files\Bonjour\mdnsNSP.dll [121704] (Apple Inc.)

Tcpip\Parameters: [DhcpNameServer] 192.168.2.1
 

========================== Services (Whitelisted) =================
 

R2 AVKProxy; C:\Program Files\Common Files\G Data\AVKProxy\AVKProxy.exe [1178184 2010-08-27] (G Data Software AG)

R2 AVKService; C:\Program Files\G Data\InternetSecurity\AVK\AVKService.exe [410696 2010-03-31] (G Data Software AG)

R2 AVKWCtl; C:\Program Files\G Data\InternetSecurity\AVK\AVKWCtl.exe [1330792 2010-08-25] ()

R2 DCService.exe; C:\ProgramData\DatacardService\DCService.exe [229376 2010-08-19] ()

R3 GDFwSvc; C:\Program Files\G Data\InternetSecurity\Firewall\GDFwSvc.exe [1607344 2010-08-25] (G Data Software AG)

R3 GDScan; C:\Program Files\Common Files\G Data\GDScan\GDScan.exe [340552 2010-08-25] (G Data Software AG)

R2 Netzmanager Service; C:\Program Files\Netzmanager\NMInfraIS2\Netzmanager_Service.exe [2635776 2012-07-20] (Deutsche Telekom AG)

R2 syshost32; C:\Windows\Installer\{49DD8FF3-6331-EFC6-FD30-0817DCDEABCE}\syshost.exe [70144 2014-02-02] ()
 

==================== Drivers (Whitelisted) ====================
 

S0 GDBehave; C:\Windows\System32\drivers\GDBehave.sys [33480 2011-01-04] (G Data Software AG)

S1 GDMnIcpt; C:\Windows\system32\drivers\MiniIcpt.sys [62024 2011-01-04] (G Data Software AG)

S3 GDPkIcpt; C:\Windows\system32\drivers\PktIcpt.sys [47560 2011-01-04] (G Data Software AG)

S1 gdwfpcd; C:\Windows\System32\drivers\gdwfpcd32.sys [40904 2011-01-04] (G DATA Software AG)

S1 GRD; C:\Windows\system32\drivers\GRD.sys [29992 2011-01-04] (G Data Software)

S1 HookCentre; C:\Windows\system32\drivers\HookCentre.sys [38856 2011-01-04] (G Data Software AG)

R1 RDPREFMP; C:\Windows\System32\drivers\rdprefmp.sys [7168 2009-07-14] ()

S3 RDPWD; C:\Windows\system32\Drivers\RDPWD.sys [177152 2009-07-14] ()

R0 rdyboost; C:\Windows\System32\drivers\rdyboost.sys [173648 2009-07-14] ()

R2 rismxdp; C:\Windows\System32\DRIVERS\rixdptsk.sys [37376 2006-11-14] ()

R2 rspndr; C:\Windows\System32\DRIVERS\rspndr.sys [60928 2009-07-14] ()

R3 RTL8167; C:\Windows\System32\DRIVERS\Rt86win7.sys [275048 2010-06-23] ()

S3 sbp2port; C:\Windows\system32\DRIVERS\sbp2port.sys [85568 2009-07-14] ()

S3 scfilter; C:\Windows\System32\DRIVERS\scfilter.sys [26624 2009-07-14] ()

R3 sdbus; C:\Windows\system32\DRIVERS\sdbus.sys [84992 2009-10-10] ()

R2 secdrv; C:\Windows\system32\Drivers\secdrv.sys [20480 2009-07-13] ()

S3 Serenum; C:\Windows\system32\DRIVERS\serenum.sys [17920 2009-07-14] ()

S3 Serial; C:\Windows\system32\DRIVERS\serial.sys [83456 2009-07-14] ()

S3 sermouse; C:\Windows\system32\DRIVERS\sermouse.sys [19968 2009-07-14] ()

S3 sffdisk; C:\Windows\System32\DRIVERS\sffdisk.sys [11264 2009-07-14] ()

S3 sffp_mmc; C:\Windows\system32\DRIVERS\sffp_mmc.sys [12288 2009-07-14] ()

S3 sffp_sd; C:\Windows\System32\DRIVERS\sffp_sd.sys [12800 2009-10-10] ()

S3 sfloppy; C:\Windows\system32\DRIVERS\sfloppy.sys [13824 2009-07-14] ()

S3 sisagp; C:\Windows\system32\DRIVERS\sisagp.sys [52304 2009-07-14] ()

S3 SiSRaid2; C:\Windows\system32\DRIVERS\SiSRaid2.sys [40016 2009-07-14] ()

S3 SiSRaid4; C:\Windows\system32\DRIVERS\sisraid4.sys [77888 2009-07-14] ()

S3 Smb; C:\Windows\System32\DRIVERS\smb.sys [71168 2009-07-14] ()

R0 spldr; C:\Windows\system32\Drivers\spldr.sys [17472 2009-07-14] ()

R3 srv; C:\Windows\System32\DRIVERS\srv.sys [310784 2010-08-27] ()

R3 srv2; C:\Windows\System32\DRIVERS\srv2.sys [308736 2010-08-27] ()

R3 srvnet; C:\Windows\System32\DRIVERS\srvnet.sys [113664 2010-08-27] ()

S3 stexstor; C:\Windows\system32\DRIVERS\stexstor.sys [21072 2009-07-14] ()

R3 swenum; C:\Windows\System32\DRIVERS\swenum.sys [12240 2009-07-14] ()

R3 SynTP; C:\Windows\System32\DRIVERS\SynTP.sys [203312 2008-08-14] ()

R0 Tcpip; C:\Windows\System32\drivers\tcpip.sys [1286016 2010-06-14] ()

S3 TCPIP6; C:\Windows\System32\DRIVERS\tcpip.sys [1286016 2010-06-14] ()

R1 tcpipBM; C:\Windows\system32\drivers\tcpipBM.sys [24192 2009-12-15] ()

R2 tcpipreg; C:\Windows\System32\drivers\tcpipreg.sys [34816 2009-07-14] ()

S3 TDPIPE; C:\Windows\System32\drivers\tdpipe.sys [17920 2009-07-14] ()

S3 TDTCP; C:\Windows\System32\drivers\tdtcp.sys [24064 2009-07-14] ()

R1 tdx; C:\Windows\System32\DRIVERS\tdx.sys [74240 2009-07-14] ()

S3 TelekomNM3; C:\Program Files\Netzmanager\NMInfraIS2\Driver\TelekomNM3.sys [35040 2010-09-16] ()

R1 TermDD; C:\Windows\System32\DRIVERS\termdd.sys [51776 2009-07-14] ()

S3 tssecsrv; C:\Windows\System32\DRIVERS\tssecsrv.sys [30208 2009-07-14] ()

R3 tunnel; C:\Windows\System32\DRIVERS\tunnel.sys [108544 2009-07-14] ()

R0 TVALZ; C:\Windows\System32\DRIVERS\TVALZ_O.SYS [23640 2007-11-09] ()

S3 uagp35; C:\Windows\system32\DRIVERS\uagp35.sys [55888 2009-07-14] ()

R4 udfs; C:\Windows\System32\DRIVERS\udfs.sys [246784 2009-07-14] ()

S3 uliagpkx; C:\Windows\system32\DRIVERS\uliagpkx.sys [57424 2009-07-14] ()

R3 umbus; C:\Windows\System32\DRIVERS\umbus.sys [39936 2009-07-14] ()

S3 UmPass; C:\Windows\system32\DRIVERS\umpass.sys [8192 2009-07-14] ()

S3 USBAAPL; C:\Windows\System32\Drivers\usbaapl.sys [45056 2012-12-13] ()

R3 usbccgp; C:\Windows\System32\DRIVERS\usbccgp.sys [75264 2009-07-14] ()

S3 usbcir; C:\Windows\system32\DRIVERS\usbcir.sys [86016 2009-07-14] ()

R3 usbehci; C:\Windows\System32\DRIVERS\usbehci.sys [41472 2009-07-14] ()

R3 usbhub; C:\Windows\System32\DRIVERS\usbhub.sys [258560 2009-07-14] ()

S3 usbohci; C:\Windows\system32\DRIVERS\usbohci.sys [20480 2009-07-14] ()

S3 usbprint; C:\Windows\system32\DRIVERS\usbprint.sys [19968 2009-07-14] ()

S3 USBSTOR; C:\Windows\System32\DRIVERS\USBSTOR.SYS [74752 2009-07-14] ()

R3 usbuhci; C:\Windows\System32\DRIVERS\usbuhci.sys [24064 2009-07-14] ()

S3 usbvideo; C:\Windows\System32\Drivers\usbvideo.sys [146304 2010-03-04] ()

R0 vdrvroot; C:\Windows\System32\DRIVERS\vdrvroot.sys [32832 2009-07-14] ()

S3 vga; C:\Windows\System32\DRIVERS\vgapnp.sys [26112 2009-07-14] ()

R1 VgaSave; C:\Windows\System32\drivers\vga.sys [25088 2009-07-14] ()

S3 vhdmp; C:\Windows\system32\DRIVERS\vhdmp.sys [159824 2009-07-14] ()

S3 viaagp; C:\Windows\system32\DRIVERS\viaagp.sys [53328 2009-07-14] ()

S3 ViaC7; C:\Windows\system32\DRIVERS\viac7.sys [52736 2009-07-14] ()

S3 viaide; C:\Windows\system32\DRIVERS\viaide.sys [16976 2009-07-14] ()

R0 volmgr; C:\Windows\System32\DRIVERS\volmgr.sys [53312 2009-07-14] ()

R0 volmgrx; C:\Windows\System32\drivers\volmgrx.sys [297040 2009-07-14] ()

R0 volsnap; C:\Windows\System32\DRIVERS\volsnap.sys [245328 2009-07-14] ()

S3 vsmraid; C:\Windows\system32\DRIVERS\vsmraid.sys [141904 2009-07-14] ()

R3 vwifibus; C:\Windows\System32\DRIVERS\vwifibus.sys [19968 2009-07-14] ()

R1 vwififlt; C:\Windows\System32\DRIVERS\vwififlt.sys [48128 2009-07-14] ()

R3 vwifimp; C:\Windows\System32\DRIVERS\vwifimp.sys [14336 2009-07-14] ()

S3 WacomPen; C:\Windows\system32\DRIVERS\wacompen.sys [21632 2009-07-14] ()

S3 WANARP; C:\Windows\System32\DRIVERS\wanarp.sys [63488 2009-07-14] ()

R1 Wanarpv6; C:\Windows\System32\DRIVERS\wanarp.sys [63488 2009-07-14] ()

S3 Wd; C:\Windows\system32\DRIVERS\wd.sys [19024 2009-07-14] ()

R0 Wdf01000; C:\Windows\System32\drivers\Wdf01000.sys [445008 2009-07-14] ()

R1 WfpLwf; C:\Windows\System32\DRIVERS\wfplwf.sys [9728 2009-07-14] ()

S3 WIMMount; C:\Windows\System32\drivers\wimmount.sys [19008 2009-07-14] ()

S3 WinUsb; C:\Windows\System32\DRIVERS\WinUsb.sys [34944 2009-07-14] ()

S3 WmiAcpi; C:\Windows\system32\DRIVERS\wmiacpi.sys [11264 2009-07-14] ()

S4 ws2ifsl; C:\Windows\system32\drivers\ws2ifsl.sys [16384 2009-07-14] ()

R3 WudfPf; C:\Windows\System32\drivers\WudfPf.sys [92672 2009-07-14] ()

S3 WUDFRd; C:\Windows\System32\DRIVERS\WUDFRd.sys [132224 2009-07-14] ()

U5 2af407cd8554d782; C:\Windows\System32\Drivers\2af407cd8554d782.sys [61952 2014-02-02] ()

U5 ewusbnet; C:\Windows\System32\Drivers\ewusbnet.sys [208896 2010-08-31] (Huawei Technologies Co., Ltd.)
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 

2014-03-07 22:08 - 2014-03-07 22:08 - 00015096 _____ () C:\Users\Jörg\Desktop\FRST.txt

2014-03-07 22:06 - 2014-03-07 13:57 - 01145344 _____ (Farbar) C:\Users\Jörg\Desktop\FRST.exe

2014-03-07 22:05 - 2014-03-07 22:08 - 00000000 ____D () C:\FRST

2014-03-04 15:10 - 2014-03-04 15:26 - 232837912 _____ () C:\Users\Jörg\Documents\Documents.7z

2014-03-01 16:35 - 2014-03-04 10:32 - 00000000 ____D () C:\Users\Jörg\Desktop\2014-03-01 Necurs.A
 

==================== One Month Modified Files and Folders =======
 

2014-03-07 22:08 - 2014-03-07 22:08 - 00015096 _____ () C:\Users\Jörg\Desktop\FRST.txt

2014-03-07 22:08 - 2014-03-07 22:05 - 00000000 ____D () C:\FRST

2014-03-07 19:31 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\NDF

2014-03-07 13:57 - 2014-03-07 22:06 - 01145344 _____ (Farbar) C:\Users\Jörg\Desktop\FRST.exe

2014-03-04 16:06 - 2012-02-13 20:46 - 00000000 ____D () C:\Users\Jörg\Documents\Mein Steuer-Sparbuch Heute

2014-03-04 15:26 - 2014-03-04 15:10 - 232837912 _____ () C:\Users\Jörg\Documents\Documents.7z

2014-03-04 12:55 - 2009-07-14 05:34 - 00013216 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2014-03-04 12:55 - 2009-07-14 05:34 - 00013216 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

2014-03-04 10:32 - 2014-03-01 16:35 - 00000000 ____D () C:\Users\Jörg\Desktop\2014-03-01 Necurs.A

2014-03-03 15:11 - 2014-01-19 16:24 - 00000000 ____D () C:\Users\Jörg\Desktop\desk und URL 14

2014-03-02 17:57 - 2013-08-02 15:50 - 00000000 ____D () C:\test

2014-03-02 14:58 - 2010-12-28 00:00 - 00000000 ____D () C:\Users\Jörg

2014-02-28 20:33 - 2010-12-27 23:53 - 01761089 _____ () C:\Windows\WindowsUpdate.log

2014-02-28 20:28 - 2009-07-14 05:53 - 00000006 ____H () C:\Windows\Tasks\SA.DAT

2014-02-28 20:28 - 2009-07-14 05:39 - 00048924 _____ () C:\Windows\setupact.log

2014-02-28 20:10 - 2011-01-23 22:31 - 00000000 ____D () C:\Users\Jörg\AppData\Local\Microsoft Help

2014-02-28 20:10 - 2009-07-14 09:56 - 00000000 ___RD () C:\Users\Public\Recorded TV

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\wfp

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\registration

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\AppCompat

2014-02-28 20:08 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\LogFiles

2014-02-22 22:19 - 2010-12-28 13:06 - 00000000 ____D () C:\ProgramData\FreePDF

2014-02-07 17:02 - 2010-12-28 00:03 - 01472002 _____ () C:\Windows\system32\PerfStringBackup.INI

2014-02-05 19:10 - 2011-12-17 15:49 - 00000000 ____D () C:\Users\Jörg\Desktop\Emma
 

Some content of TEMP:

====================

C:\Users\Jörg\AppData\Local\Temp\2SKKKKKKK.exe

C:\Users\Jörg\AppData\Local\Temp\FileSystemView.dll

C:\Users\Jörg\AppData\Local\Temp\jre-7u40-windows-i586-iftw.exe

C:\Users\Jörg\AppData\Local\Temp\MSETUP4.EXE

C:\Users\Jörg\AppData\Local\Temp\uninstall.exe
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\explorer.exe => MD5 is legit

C:\Windows\system32\winlogon.exe => MD5 is legit

C:\Windows\system32\wininit.exe => MD5 is legit

C:\Windows\system32\svchost.exe => MD5 is legit

C:\Windows\system32\services.exe => MD5 is legit

C:\Windows\system32\User32.dll => MD5 is legit

C:\Windows\system32\userinit.exe => MD5 is legit

C:\Windows\system32\rpcss.dll => MD5 is legit

C:\Windows\system32\Drivers\volsnap.sys

[2009-07-14 00:11] - [2009-07-14 02:19] - 0245328 ____A () D41D8CD98F00B204E9800998ECF8427E
 

C:\Windows\system32\Drivers\volsnap.sys IS INFECTED. <===== ATTENTION!
 
 
 

LastRegBack: 2014-02-28 23:39
 

==================== End Of Log ============================

--- --- ---

Addition.txt

Code:

Additional scan result of Farbar Recovery Scan Tool (x86) Version: 07-03-2014

Ran by Jörg at 2014-03-07 22:08:26

Running from C:\Users\Jörg\Desktop

Boot Mode: Normal

==========================================================
 
 

==================== Security Center ========================
 

AV: G Data InternetSecurity 2011 (Enabled - Out of date) {54ACC2FC-837E-E665-7A92-5352D560D5EF}

AS: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

FW: G Data Personal Firewall (Enabled) {6C9743D9-C911-E73D-51CD-FA672BB39294}
 

==================== Installed Programs ======================
 

32 Bit HP CIO Components Installer (Version: 8.1.1 - Hewlett-Packard) Hidden

7-Zip 9.20 (HKLM\...\7-Zip) (Version:  - )

Adobe Flash Player 11 ActiveX (HKLM\...\Adobe Flash Player ActiveX) (Version: 11.5.502.135 - Adobe Systems Incorporated)

Ant Renamer (HKLM\...\Ant Renamer 2_is1) (Version: 2.10.0 - Ant Software)

Apple Application Support (HKLM\...\{46F044A5-CE8B-4196-984E-5BD6525E361D}) (Version: 2.3.6 - Apple Inc.)

Apple Mobile Device Support (HKLM\...\{0592EF96-69D8-4E4B-9CC9-88F58EA86F01}) (Version: 7.0.0.117 - Apple Inc.)

Apple Software Update (HKLM\...\{789A5B64-9DD9-4BA5-915A-F0FC0A1B7BFE}) (Version: 2.1.3.127 - Apple Inc.)

Bonjour (HKLM\...\{79155F2B-9895-49D7-8612-D92580E0DE5B}) (Version: 3.0.0.10 - Apple Inc.)

Canon Easy-PhotoPrint EX (HKLM\...\Easy-PhotoPrint EX) (Version:  - )

Canon IJ Network Scanner Selector EX (HKLM\...\Canon_IJ_Network_Scanner_Selector_EX) (Version:  - )

Canon IJ Network Tool (HKLM\...\Canon_IJ_Network_UTILITY) (Version:  - )

Canon Kurzwahlprogramm (HKLM\...\Speed Dial Utility) (Version:  - )

Canon MP Navigator EX 5.1 (HKLM\...\MP Navigator EX 5.1) (Version:  - )

Canon MX890 series Benutzerregistrierung (HKLM\...\Canon MX890 series Benutzerregistrierung) (Version:  - )

Canon MX890 series MP Drivers (HKLM\...\{1199FAD5-9546-44f3-81CF-FFDB8040B7BF}_Canon_MX890_series) (Version:  - )

Canon MX890 series On-screen Manual (HKLM\...\Canon MX890 series On-screen Manual) (Version:  - )

Canon My Printer (HKLM\...\CanonMyPrinter) (Version:  - )

Canon Solution Menu EX (HKLM\...\CanonSolutionMenuEX) (Version:  - )

FreePDF (Remove only) (HKLM\...\FreePDF_XP) (Version:  - )

G Data InternetSecurity 2011 (HKLM\...\{C670480D-10CE-4E2E-929E-EE453EDE6BE2}) (Version: 21.0.0.0 - G Data Software AG)

GPL Ghostscript 8.64 (HKLM\...\GPL Ghostscript 8.64) (Version:  - )

iTunes (HKLM\...\{C197BC08-3D82-4651-8886-E68C21578A38}) (Version: 11.1.3.8 - Apple Inc.)

Java Auto Updater (Version: 2.0.2.1 - Sun Microsystems, Inc.) Hidden

Java(TM) 6 Update 20 (HKLM\...\{26A24AE4-039D-4CA4-87B4-2F83216020FF}) (Version: 6.0.200 - Sun Microsystems, Inc.)

Microsoft Office Access MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Excel MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Groove MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office InfoPath MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office OneNote MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Outlook MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office PowerPoint MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Professional Plus 2010 (HKLM\...\Office14.PROPLUSR) (Version: 14.0.4763.1000 - Microsoft Corporation)

Microsoft Office Professional Plus 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Proof (English) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Proof (French) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Proof (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Proof (Italian) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Proofing (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Publisher MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Shared MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Office Word MUI (German) 2010 (Version: 14.0.4763.1000 - Microsoft Corporation) Hidden

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17 (HKLM\...\{9A25302D-30C0-39D9-BD6F-21E6EC160475}) (Version: 9.0.30729 - Microsoft Corporation)

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148 (HKLM\...\{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}) (Version: 9.0.30729.4148 - Microsoft Corporation)

Microsoft Visual C++ 2010  x86 Redistributable - 10.0.40219 (HKLM\...\{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}) (Version: 10.0.40219 - Microsoft Corporation)

Microsoft WSE 3.0 Runtime (HKLM\...\{E3E71D07-CD27-46CB-8448-16D4FB29AA13}) (Version: 3.0.5305.0 - Microsoft Corp.)

Netzmanager (HKLM\...\Netzmanager) (Version: 1.071 - Deutsche Telekom AG)

Netzmanager (Version: 1.071 - Deutsche Telekom AG, Marmiko IT-Solutions GmbH) Hidden

Nokia PC Suite 4.88 (HKLM\...\{BCB8B85E-E28A-424F-AE81-A7553DAA32A4}) (Version:  - )

PDF-Viewer (HKLM\...\{A278382D-4F1B-4D47-9885-8523F7261E8D}_is1) (Version: 2.5.190.0 - Tracker Software Products Ltd)

QuickTime (HKLM\...\{B67BAFBA-4C9F-48FA-9496-933E3B255044}) (Version: 7.74.80.86 - Apple Inc.)

Ravensburger tiptoi (HKLM\...\Ravensburger tiptoi) (Version:  - )

RedMon - Redirection Port Monitor (HKLM\...\Redirection Port Monitor) (Version:  - )

Synaptics Pointing Device Driver (HKLM\...\SynTPDeinstKey) (Version: 11.2.4.0 - Synaptics)

Telekom Internet Manager (HKLM\...\Telekom Internet Manager) (Version: 11.301.05.05.748 - Huawei Technologies Co.,Ltd)

VLC media player 1.1.8 (HKLM\...\VLC media player) (Version: 1.1.8 - VideoLAN)

WISO Sparbuch 2010 (HKLM\...\{46B70DEB-97B3-4E38-B746-EC16905E6A8F}) (Version: 17.00.6531 - Buhl Data Service GmbH)

WISO Steuer-Sparbuch 2011 (HKLM\...\{02F0B8AE-7501-4333-AFBE-6BAABFEC7637}) (Version: 18.09.7121 - Buhl Data Service GmbH)

WISO Steuer-Sparbuch 2012 (HKLM\...\{0CC1DAFB-40C8-4903-953D-471E541477C7}) (Version: 19.00.7303 - Buhl Data Service GmbH)

WISO Steuer-Sparbuch 2013 (HKLM\...\{D6CC2FAF-F827-4091-96A1-D32CC9B69C79}) (Version: 20.00.8137 - Buhl Data Service GmbH)
 

==================== Restore Points  =========================
 
 

==================== Hosts content: ==========================
 

2009-07-14 03:04 - 2009-06-10 22:39 - 00000824 ____A C:\Windows\system32\Drivers\etc\hosts
 

==================== Scheduled Tasks (whitelisted) =============
 

Task: {9C31B752-9308-4229-A5BA-A7044D24CE7A} - System32\Tasks\Apple\AppleSoftwareUpdate => C:\Program Files\Apple Software Update\SoftwareUpdate.exe [2011-06-01] (Apple Inc.)
 

==================== Loaded Modules (whitelisted) =============
 

2009-07-14 00:11 - 2009-07-14 02:15 - 00038912 _____ () C:\Windows\system32\CSRSRV.dll

2009-07-14 00:11 - 2009-07-14 02:16 - 00033280 _____ () C:\Windows\system32\pcwum.dll

2009-07-14 00:11 - 2009-07-14 02:16 - 00033280 _____ () c:\windows\system32\pcwum.DLL

2011-01-04 01:03 - 2010-08-25 23:28 - 01330792 _____ () C:\Program Files\G Data\InternetSecurity\AVK\AVKWCtl.exe

2009-07-14 00:11 - 2009-07-14 02:16 - 00033280 _____ () c:\windows\system32\pcwum.dll

2010-12-28 13:06 - 2010-06-17 21:56 - 00116224 _____ () C:\Windows\System32\redmonnt.dll

2012-02-20 20:29 - 2012-02-20 20:29 - 00087912 _____ () C:\Program Files\Common Files\Apple\Apple Application Support\zlib1.dll

2012-02-20 20:28 - 2012-02-20 20:28 - 01242472 _____ () C:\Program Files\Common Files\Apple\Apple Application Support\libxml2.dll

2010-08-19 09:52 - 2010-08-19 09:52 - 00229376 _____ () C:\ProgramData\DatacardService\DCService.exe

2011-01-04 01:03 - 2010-08-25 23:38 - 00211016 _____ () C:\Program Files\G Data\InternetSecurity\Firewall\PktIcpt2.dll
 

==================== Alternate Data Streams (whitelisted) =========
 
 

==================== Safe Mode (whitelisted) ===================
 
 

==================== Disabled items from MSCONFIG ==============
 
 

==================== Faulty Device Manager Devices =============
 

Name: GDBehave

Description: GDBehave

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: GDBehave

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: GDMnIcpt

Description: GDMnIcpt

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: GDMnIcpt

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: GDPkIcpt

Description: GDPkIcpt

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: GDPkIcpt

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: G DATA WFP CD

Description: G DATA WFP CD

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: gdwfpcd

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: G Data Rootkit Detector Driver

Description: G Data Rootkit Detector Driver

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: GRD

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: Base System Device

Description: Base System Device

Class Guid: 

Manufacturer: 

Service: 

Problem: : The drivers for this device are not installed. (Code 28)

Resolution: To install the drivers for this device, click "Update Driver", which starts the Hardware Update wizard.
 

Name: HookCentre

Description: HookCentre

Class Guid: {8ECC055D-047F-11D1-A537-0000F8753ED1}

Manufacturer: 

Service: HookCentre

Problem: : This device is not present, is not working properly, or does not have all its drivers installed. (Code 24)

Resolution: The device is installed incorrectly. The problem could be a hardware failure, or a new driver might be needed.

Devices stay in this state if they have been prepared for removal.

After you remove the device, this error disappears.Remove the device, and this error should be resolved.
 

Name: Base System Device

Description: Base System Device

Class Guid: 

Manufacturer: 

Service: 

Problem: : The drivers for this device are not installed. (Code 28)

Resolution: To install the drivers for this device, click "Update Driver", which starts the Hardware Update wizard.
 

Name: 

Description: 

Class Guid: 

Manufacturer: 

Service: 

Problem: : The drivers for this device are not installed. (Code 28)

Resolution: To install the drivers for this device, click "Update Driver", which starts the Hardware Update wizard.
 

Name: 

Description: 

Class Guid: 

Manufacturer: 

Service: 

Problem: : The drivers for this device are not installed. (Code 28)

Resolution: To install the drivers for this device, click "Update Driver", which starts the Hardware Update wizard.
 

Name: USB-Massenspeichergerät

Description: USB-Massenspeichergerät

Class Guid: {36fc9e60-c465-11cf-8056-444553540000}

Manufacturer: Kompatibles USB-Speichergerät

Service: USBSTOR

Problem: : Windows cannot load the device driver for this hardware. The driver may be corrupted or missing. (Code 39)

Resolution: Reasons for this error include a driver that is not present; a binary file that is corrupt; a file I/O problem, or a driver that references an entry point in another binary file that could not be loaded.

Uninstall the driver, and then click "Scan for hardware changes" to reinstall or upgrade the driver.
 
 

==================== Event log errors: =========================
 

Application errors:

==================

Error: (03/04/2014 05:15:35 PM) (Source: Application Hang) (User: )

Description: Programm Ribbons.scr, Version 6.1.7600.16385 kann nicht mehr unter Windows ausgeführt werden und wurde beendet. Überprüfen Sie den Problemverlauf in der Wartungscenter-Systemsteuerung, um nach weiteren Informationen zum Problem zu suchen.
 

Prozess-ID: cb4
 

Startzeit: 01cf37c489828e36
 

Endzeit: 14652
 

Anwendungspfad: C:\Windows\system32\Ribbons.scr
 

Berichts-ID: f8778adc-a3b7-11e3-827a-001e337fa516
 

Error: (03/04/2014 02:44:59 PM) (Source: Application Error) (User: )

Description: Name der fehlerhaften Anwendung: POWERPNT.EXE, Version: 14.0.4754.1000, Zeitstempel: 0x4b967cf0

Name des fehlerhaften Moduls: ppcore.dll, Version: 14.0.4754.1000, Zeitstempel: 0x4b967d28

Ausnahmecode: 0xc0000005

Fehleroffset: 0x0017bd88

ID des fehlerhaften Prozesses: 0x61c

Startzeit der fehlerhaften Anwendung: 0xPOWERPNT.EXE0

Pfad der fehlerhaften Anwendung: POWERPNT.EXE1

Pfad des fehlerhaften Moduls: POWERPNT.EXE2

Berichtskennung: POWERPNT.EXE3
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 38624772
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledEvent 38624772
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: Continuously busy for more than a second
 

Error: (03/04/2014 05:25:22 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 21611303
 

Error: (03/04/2014 05:25:22 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledEvent 21611303
 

Error: (03/04/2014 05:25:21 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: Continuously busy for more than a second
 

Error: (03/04/2014 05:25:20 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 21610226
 

Error: (03/04/2014 05:25:20 AM) (Source: Bonjour Service) (User: )

Description: Task Scheduling Error: m->NextScheduledEvent 21610226
 
 

System errors:

=============

Error: (03/07/2014 09:31:13 PM) (Source: DCOM) (User: )

Description: {BCB3CC02-761B-4C74-8B04-891A31034D19}
 

Error: (03/04/2014 02:33:49 PM) (Source: DCOM) (User: Beethoven)

Description: ComputerstandardLokalAktivierung{9BA05972-F6A8-11CF-A442-00A0C90A8F39}{9BA05972-F6A8-11CF-A442-00A0C90A8F39}BeethovenJörgS-1-5-21-3956389187-1643806333-1776510576-1000LocalHost (unter Verwendung von LRPC)
 

Error: (03/04/2014 02:08:05 PM) (Source: DCOM) (User: Beethoven)

Description: ComputerstandardLokalAktivierung{9BA05972-F6A8-11CF-A442-00A0C90A8F39}{9BA05972-F6A8-11CF-A442-00A0C90A8F39}BeethovenJörgS-1-5-21-3956389187-1643806333-1776510576-1000LocalHost (unter Verwendung von LRPC)
 

Error: (03/04/2014 10:08:55 AM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/04/2014 05:25:15 AM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/03/2014 08:45:58 PM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/03/2014 06:54:52 PM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/03/2014 02:35:23 PM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/03/2014 00:33:49 PM) (Source: atikmdag) (User: )

Description: Display is not active
 

Error: (03/03/2014 11:08:39 AM) (Source: atikmdag) (User: )

Description: Display is not active
 
 

Microsoft Office Sessions:

=========================

Error: (03/04/2014 05:15:35 PM) (Source: Application Hang)(User: )

Description: Ribbons.scr6.1.7600.16385cb401cf37c489828e3614652C:\Windows\system32\Ribbons.scrf8778adc-a3b7-11e3-827a-001e337fa516
 

Error: (03/04/2014 02:44:59 PM) (Source: Application Error)(User: )

Description: POWERPNT.EXE14.0.4754.10004b967cf0ppcore.dll14.0.4754.10004b967d28c00000050017bd8861c01cf37afdfd58327C:\PROGRA~1\MICROS~2\Office14\POWERPNT.EXEC:\PROGRA~1\MICROS~2\Office14\ppcore.dll2cf43315-a3a3-11e3-827a-001e337fa516
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 38624772
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledEvent 38624772
 

Error: (03/04/2014 10:08:55 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: Continuously busy for more than a second
 

Error: (03/04/2014 05:25:22 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 21611303
 

Error: (03/04/2014 05:25:22 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledEvent 21611303
 

Error: (03/04/2014 05:25:21 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: Continuously busy for more than a second
 

Error: (03/04/2014 05:25:20 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledSPRetry 21610226
 

Error: (03/04/2014 05:25:20 AM) (Source: Bonjour Service)(User: )

Description: Task Scheduling Error: m->NextScheduledEvent 21610226
 
 

==================== Memory info =========================== 
 

Percentage of memory in use: 34%

Total physical RAM: 3070 MB

Available physical RAM: 1999.45 MB

Total Pagefile: 6138.28 MB

Available Pagefile: 4601.27 MB

Total Virtual: 2047.88 MB

Available Virtual: 1907.91 MB
 

==================== Drives ================================
 

Drive c: (Win 7) (Fixed) (Total:148.89 GB) (Free:73.74 GB) NTFS ==>[Drive with boot components (obtained from BCD)]

Drive d: (Data) (Fixed) (Total:147.73 GB) (Free:90.12 GB) NTFS
 

==================== MBR & Partition Table ==================
 

========================================================

Disk: 0 (MBR Code: Windows 7 or 8) (Size: 298 GB) (Disk ID: D39222F7)
 

Partition: GPT Partition Type.
 

==================== End Of Log ============================

Zur Vorbereitung von Schritt "Scan mit GMER": Die G Data GUI funktioniert ja wie gesagt nicht. Es sind laut Dienstekonsole einige G Data Dienste gestartet, die m.E. mit Scanvorgängen zu tun haben könnten: z.B. G Data Scanner = GDScan, G Data Dateisystem Wächter = AVKWCtl, G Data AntiVirus Proxy = AVKProxy. Ich habe deren Eigenschaften mal mit sc query <Dienstname> mal abgefragt.

Das sieht dann z.B. so aus:

C:>sc query gdscan

SERVICE_NAME: gdscan
TYPE : 10 WIN32_OWN_PROCESS
STATE : 4 RUNNING
(NOT_STOPPABLE, NOT_PAUSABLE, IGNORES_SHUTDOWN)
WIN32_EXIT_CODE : 0 (0x0)
SERVICE_EXIT_CODE : 0 (0x0)
CHECKPOINT : 0x0
WAIT_HINT : 0x0

Soll ich versuchen, diese Dienste über die Dienstekonsole zu beenden und wenn das nicht funktioniert, die Dienste einfach ignorieren bevor ich mit den Scan per GMER starte?

Vielen Dank vorab.
Gruß Jo

Hallo Jo,
:daumenhoc hast Du gut gemacht....

Bitte führe den GMER-Scan einfach aus...

Hallo Jürgen,

ich habe alle G Data Dienste so gelassen. Es sind alle anderen Programme geschlossen und keine Internetverbindung hergestellt. Ich bekomme beim Start von GMER eine Fehlermeldung:

"Load Driver(C:\Users\JRG~1\AppData\Local\Temp\fwlyapow.sys) error 0xC0000001: Ein an das System angeschlossenes Gerät funktioniert nicht."

Ich kann nur mit "OK" bestätigen.

Es ist noch ein USB-Stick (ohne Daten) an meinem Computer angeschlossen. Den habe ich seitdem ich die Schadsoftware bemerkt habe angeschlossen gelassen (eigentlich wollte ich auf den Stick seinerzeit noch einige Dateien sichern). Der Zugriff darauf war allerdings nicht möglich (vgl. Mein erster Post, Treiberproblem). Kann die Fehlermeldung damit zusammen hängen?

Was soll ich tun? Danke

Gruß Jo

Bestätige und führe den Scan durch.

Habe mit "OK" bestätigt. GUI von GMER ist jetzt da, allerdings mit Fehlermeldung:

C:\Windows\system32\config\system: Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird.

Habe wieder mit "OK" bestätigt und mit "Scan" versucht, den Scan zu starten.

Es erscheint wieder die Fehlermeldung "C:\Windows\system32\config\system: Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird." Mit "OK" bestätigen bringt diese Meldung noch dreimal.

Dann kommt eine Hinweismeldung "GMER hasn't found any System modifications." Mit "OK" bestätigt.

Nochmal ein Versuch mit "Scan" zu starten. Dann kommt wieder die Fehlermeldung "C:\Windows\system32\config\system: Der Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet wird." Gleiches Vorgehen wie oben ...

Habe GMER beendet.

Habe dann mal versucht, auf den config-Ordner unter "C:\Windows\system32" zuzugreifen. Es kommt eine Warnmeldung: "Sie verfügen momentan nicht über die Berechtigung des Zugriffs auf diesen Ordner." Man könnte zwar auf "Fortsetzen" klicken, aber ich habe es hier mit "Abbrechen" erst mal sein lassen.

Was soll ich jetzt tun?

Danke und Gruß
Jo

Jo, kein Problem. Breche den GMER-Scan ab.

Das Rootkit hat uns lange genug geärgert, jetzt schießen wir zurück.

Schritt 1 (Necurs-Cleaner)
Lade Dir bitte von hier den Necurs-Cleaner herunter.
Starte ihn und drücke "Y" wenn Du gefragt wirst

Zitat:

"Do you want to remove the rootkit"

Wenn das Rootkit entfernt wurde, bestätige die Meldung zum Reboot.
Poste mir den Inhalt des ESETNecursCleaner.exe_***.log

Wie verhält sich der Rechner jetzt?

Hallo Jürgen!

Sorry, hatte Deine Nachricht zu spät gelesen. Geht aber jetzt weiter mit ESET Necurs-Cleaner. Muss die exe nur noch ausführen. Ist vorher sonst noch was spezielles zu beachten (Scan-Dienste, Internetverbindung etc.)?

Nein, Feuer frei! ;)

Habe das so gemacht. Win32/Necurs gefunden und removed. Neustart. Die ESETNecursCleaner.exe_***.log will zum Öffnen ein Kennwort. Kennst Du es?

Achso, noch was: Gerade meldet Windows Defender den Fund von Trojan:Win32/Necurs.A

Habe mal vorab zwei Sachen angeschaut: Der verdächtige Dienst "syshost32" ist im Taskmanager immer noch vorhanden (Status: "Wird ausgeführt"). Auf den USB-Stick kann ich aber jetzt wieder zugreifen :-)

Bekommen wir schon hin Jo! ;)

Starte jetzt nochmal FRST.
Ändere keine der Checkboxen und klicke auf Scan.
Die Logdatei wird nun erstellt und befindet sich danach im gleichen Verzeichnis wie FRST.
Poste mir bitte den Inhalt der FRST.txt in deinen Thread (#-Symbol im Eingabefenster der Webseite anklicken).

Habe das FRST-Log auf dem (noch :-) infizierten Rechner und bin gerade dabei es zu posten, da ...

lebt G Data wieder und meldet mit syshost.exe ein vermutlich bösartiges Programm und schlägt die Entfernung vor. Seitdem es versucht, auch noch aktuelle Signaturen zu laden (was ja eigentlich richtig ist), ich das aber erstmal unterbinden und fertig posten wollte, kommt ich irgendwie nicht mehr ins Internet (Beim Versuch erneut ins Internet zu verbinden kommt: Fehler beim Speichern des Drahtlosprofils. Die Gruppe oder Ressource haben für diesen Vorgang nicht den richtigen Zustand.) Vermutlich war das zu viel aufeinmal. Würde ja gerne mal neu starten, aber das lasse ich zunächst noch.

Ich schreibe gerade vom sauberen System. Die G Data Meldung mit der Bedrohung auf dem infizierten Rechner ist ständig oben und bietet verschiedene Aktionen an. Ich würde Dir trotzdem gerne zunächst das FRST-Log posten. Soll ich G Data unsanft beenden oder was soll ich machen?

Hi Jo,
versuche GDATA die Bedrohungen beseitigen zu lassen (Quarantäne? Löschen? Was bietet er an?) und mache anschließend ein neues FRST-Log OK? ;)

Es bietet folgende Aktionen an:

1. Immer erlauben
2. Erlauben
3. Programm anhalten
4. Programm anhalten und in Quarantäne verschieben

Welche nehme ich?

4. gemacht. G Data will Neustart. A). Erst noch FRST und dann Neustart oder B). Neustart und dann FRST?

:daumenhoc

Erst Neustart und dann bitte FRST posten! :)

Ok, das neue FRST bekommst Du gleich. Willst Du auch das FRST von vor dem Entfernen mit G Data, was ich vorhin schon posten sollte?

Ändere den Namen vom FRST.txt vor dem "Löschen" von GDATA in "vorher.txt" um und hebe es auf. Poste mir nur das neue nach dem Löschen und dem Reboot. ;)

Hier die nach dem "Löschen" mit G Data und Reboot erstellte

FRST.txt (Die von "vorher" hab' ich gut weggelegt)

FRST Logfile:

Code:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 07-03-2014

Ran by Jörg (administrator) on BEETHOVEN on 10-03-2014 20:39:57

Running from C:\Users\Jörg\Desktop

Microsoft Windows 7 Home Premium  (X86) OS Language: German Standard

Internet Explorer Version 8

Boot Mode: Normal
 
 
 

==================== Processes (Whitelisted) =================
 

(G Data Software AG) C:\Program Files\Common Files\G Data\GDScan\GDScan.exe

() C:\Program Files\G Data\InternetSecurity\AVK\AVKWCtl.exe

(AMD) C:\Windows\system32\atiesrxx.exe

(AMD) C:\Windows\system32\atieclxx.exe

(Apple Inc.) C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

(G Data Software AG) C:\Program Files\Common Files\G Data\AVKProxy\AVKProxy.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\AVK\AVKService.exe

(Apple Inc.) C:\Program Files\Bonjour\mDNSResponder.exe

() C:\ProgramData\DatacardService\DCService.exe

(Deutsche Telekom AG) C:\Program Files\Netzmanager\NMInfraIS2\Netzmanager_Service.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\Firewall\GDFwSvc.exe

(Huawei Technologies Co., Ltd.) C:\ProgramData\DatacardService\DCSHelper.exe

(shbox.de) C:\Program Files\FreePDF_XP\fpassist.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\AVKTray\AVKTray.exe

(G Data Software AG) C:\Program Files\G Data\InternetSecurity\Firewall\GDFirewallTray.exe

(Synaptics, Inc.) C:\Program Files\Synaptics\SynTP\SynTPEnh.exe

(Sun Microsystems, Inc.) C:\Program Files\Common Files\Java\Java Update\jusched.exe

(Nokia) C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe

(CANON INC.) C:\Program Files\Canon\MyPrinter\BJMYPRT.EXE

(CANON INC.) C:\Program Files\Canon\Solution Menu EX\CNSEMAIN.EXE

(CANON INC.) C:\Program Files\Canon\IJ Network Scanner Selector EX\CNMNSST.exe

(Apple Inc.) C:\Program Files\iTunes\iTunesHelper.exe

() C:\Program Files\WISO\Steuersoftware 2013\mshaktuell.exe

(Nokia Corp.) C:\Program Files\Common Files\Nokia\Services\ServiceLayer.exe

(Microsoft Corporation) C:\Program Files\Microsoft Office\Office14\ONENOTEM.EXE

(Synaptics, Inc.) C:\Program Files\Synaptics\SynTP\SynTPHelper.exe

(Apple Inc.) C:\Program Files\iPod\bin\iPodService.exe

(Microsoft Corporation) C:\Windows\system32\PrintIsolationHost.exe
 
 

==================== Registry (Whitelisted) ==================
 

HKLM\...\Run: [FreePDF Assistant] - C:\Program Files\FreePDF_XP\fpassist.exe [370176 2010-06-17] (shbox.de)

HKLM\...\Run: [G Data AntiVirus Tray Application] - C:\Program Files\G Data\InternetSecurity\AVKTray\AVKTray.exe [996936 2010-08-26] (G Data Software AG)

HKLM\...\Run: [GDFirewallTray] - C:\Program Files\G Data\InternetSecurity\Firewall\GDFirewallTray.exe [1538120 2010-08-26] (G Data Software AG)

HKLM\...\Run: [SynTPEnh] - C:\Program Files\Synaptics\SynTP\SynTPEnh.exe [1348904 2008-08-14] (Synaptics, Inc.)

HKLM\...\Run: [SunJavaUpdateSched] - C:\Program Files\Common Files\Java\Java Update\jusched.exe [248040 2010-02-18] (Sun Microsystems, Inc.)

HKLM\...\Run: [BCSSync] - C:\Program Files\Microsoft Office\Office14\BCSSync.exe [91520 2010-03-13] (Microsoft Corporation)

HKLM\...\Run: [DataCardMonitor] - C:\Program Files\Telekom\InternetManager_H\DataCardMonitor.exe [253952 2011-04-22] (Huawei Technologies Co., Ltd.)

HKLM\...\Run: [APSDaemon] - C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe [59720 2013-09-13] (Apple Inc.)

HKLM\...\Run: [Nokia Tray Application] - C:\Program Files\Common Files\Nokia\NCLTools\NclTray.exe [425984 2003-01-03] (Nokia)

HKLM\...\Run: [CanonMyPrinter] - C:\Program Files\Canon\MyPrinter\BJMyPrt.exe [2567272 2011-07-19] (CANON INC.)

HKLM\...\Run: [CanonSolutionMenuEx] - C:\Program Files\Canon\Solution Menu EX\CNSEMAIN.EXE [1637496 2011-08-04] (CANON INC.)

HKLM\...\Run: [IJNetworkScannerSelectorEX] - C:\Program Files\Canon\IJ Network Scanner Selector EX\CNMNSST.exe [468112 2011-07-25] (CANON INC.)

HKLM\...\Run: [QuickTime Task] - C:\Program Files\QuickTime\QTTask.exe [421888 2013-05-01] (Apple Inc.)

HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [152392 2013-11-02] (Apple Inc.)

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {391dea39-7420-11e0-85dc-001e337fa516} - F:\AutoRun.exe

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {9648ae83-6b89-11e0-ad8d-001e337fa516} - F:\AutoRun.exe

HKU\S-1-5-21-3956389187-1643806333-1776510576-1000\...\MountPoints2: {9648ae8f-6b89-11e0-ad8d-001e337fa516} - F:\AutoRun.exe

Startup: C:\Users\Jörg\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk

ShortcutTarget: OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk -> C:\Program Files\Microsoft Office\Office14\ONENOTEM.EXE (Microsoft Corporation)
 

==================== Internet (Whitelisted) ====================
 

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?ocid=iehp

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = 0x131F0EDEDC2BCF01

HKCU\Software\Microsoft\Internet Explorer\Main,Start Page Redirect Cache AcceptLangs = de

BHO: G Data WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\InternetSecurity\WebFilter\AvkWebIE.dll (G Data Software AG)

BHO: Office Document Cache Handler - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Program Files\Microsoft Office\Office14\URLREDIR.DLL (Microsoft Corporation)

BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll (Sun Microsystems, Inc.)

Toolbar: HKLM - G Data WebFilter - {0124123D-61B4-456f-AF86-78C53A0790C5} - C:\Program Files\G Data\InternetSecurity\WebFilter\AvkWebIE.dll (G Data Software AG)

DPF: {82774781-8F4E-11D1-AB1C-0000F8773BF0} https://transfers.ds.microsoft.com/FTM/TransferSource/grTransferCtrl.cab

DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://javadl-esd.sun.com/update/1.6.0/jinstall-6u20-windows-i586.cab

DPF: {BF3CD111-6278-11D2-9EA3-00A0C9251384} hxxp://www.o2c.de/download/O2CPlayer.CAB

DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab

DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

Winsock: Catalog5 07 C:\Program Files\Bonjour\mdnsNSP.dll [121704] (Apple Inc.)
 

========================== Services (Whitelisted) =================
 

R2 AVKProxy; C:\Program Files\Common Files\G Data\AVKProxy\AVKProxy.exe [1178184 2010-08-27] (G Data Software AG)

R2 AVKService; C:\Program Files\G Data\InternetSecurity\AVK\AVKService.exe [410696 2010-03-31] (G Data Software AG)

R2 AVKWCtl; C:\Program Files\G Data\InternetSecurity\AVK\AVKWCtl.exe [1330792 2010-08-25] ()

R2 DCService.exe; C:\ProgramData\DatacardService\DCService.exe [229376 2010-08-19] ()

R3 GDFwSvc; C:\Program Files\G Data\InternetSecurity\Firewall\GDFwSvc.exe [1607344 2010-08-25] (G Data Software AG)

R3 GDScan; C:\Program Files\Common Files\G Data\GDScan\GDScan.exe [340552 2010-08-25] (G Data Software AG)

R2 Netzmanager Service; C:\Program Files\Netzmanager\NMInfraIS2\Netzmanager_Service.exe [2635776 2012-07-20] (Deutsche Telekom AG)

S2 syshost32; "C:\Windows\Installer\{49DD8FF3-6331-EFC6-FD30-0817DCDEABCE}\syshost.exe" /service [X]
 

==================== Drivers (Whitelisted) ====================
 

R0 GDBehave; C:\Windows\System32\drivers\GDBehave.sys [33480 2011-01-04] (G Data Software AG)

R1 GDMnIcpt; C:\Windows\system32\drivers\MiniIcpt.sys [62024 2011-01-04] (G Data Software AG)

R3 GDPkIcpt; C:\Windows\system32\drivers\PktIcpt.sys [47560 2011-01-04] (G Data Software AG)

R1 gdwfpcd; C:\Windows\System32\drivers\gdwfpcd32.sys [40904 2011-01-04] (G DATA Software AG)

R1 GRD; C:\Windows\system32\drivers\GRD.sys [29992 2011-01-04] (G Data Software)

R1 HookCentre; C:\Windows\system32\drivers\HookCentre.sys [38856 2011-01-04] (G Data Software AG)

S3 TelekomNM3; C:\Program Files\Netzmanager\NMInfraIS2\Driver\TelekomNM3.sys [35040 2010-09-16] (Deutsche Telekom AG AG, Marmiko IT-Solutions GmbH)

U5 ewusbnet; C:\Windows\System32\Drivers\ewusbnet.sys [208896 2010-08-31] (Huawei Technologies Co., Ltd.)
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 

2014-03-10 20:39 - 2014-03-10 20:39 - 00008966 _____ () C:\Users\Jörg\Desktop\FRST.txt

2014-03-10 19:05 - 2014-03-10 19:05 - 00013421 _____ () C:\Users\Jörg\Desktop\2014-03-10 1st FRST.txt

2014-03-10 18:28 - 2014-03-10 18:29 - 00021343 _____ () C:\Users\Jörg\Desktop\ESETNecursCleaner.exe_20140310.182841.5004.zip

2014-03-10 18:28 - 2014-03-10 18:29 - 00006806 _____ () C:\Users\Jörg\Desktop\ESETNecursCleaner.exe_20140310.182841.5004.log

2014-03-10 18:13 - 2014-03-10 19:04 - 00000000 ____D () C:\Users\Jörg\Desktop\FRST GMER

2014-03-10 18:13 - 2014-03-09 00:49 - 00251584 _____ (ESET) C:\Users\Jörg\Desktop\ESETNecursCleaner.exe

2014-03-07 22:06 - 2014-03-07 13:57 - 01145344 _____ (Farbar) C:\Users\Jörg\Desktop\FRST.exe

2014-03-07 22:05 - 2014-03-10 20:39 - 00000000 ____D () C:\FRST

2014-03-04 15:10 - 2014-03-04 15:26 - 232837912 _____ () C:\Users\Jörg\Documents\Documents.7z
 

==================== One Month Modified Files and Folders =======
 

2014-03-10 20:40 - 2014-03-10 20:39 - 00008966 _____ () C:\Users\Jörg\Desktop\FRST.txt

2014-03-10 20:39 - 2014-03-07 22:05 - 00000000 ____D () C:\FRST

2014-03-10 20:36 - 2009-07-14 05:53 - 00000006 ____H () C:\Windows\Tasks\SA.DAT

2014-03-10 20:36 - 2009-07-14 05:39 - 00049036 _____ () C:\Windows\setupact.log

2014-03-10 20:35 - 2010-12-27 23:53 - 01802020 _____ () C:\Windows\WindowsUpdate.log

2014-03-10 20:05 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\NDF

2014-03-10 19:12 - 2009-07-14 05:34 - 00013216 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2014-03-10 19:12 - 2009-07-14 05:34 - 00013216 ____H () C:\Windows\system32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

2014-03-10 19:05 - 2014-03-10 19:05 - 00013421 _____ () C:\Users\Jörg\Desktop\2014-03-10 1st FRST.txt

2014-03-10 19:04 - 2014-03-10 18:13 - 00000000 ____D () C:\Users\Jörg\Desktop\FRST GMER

2014-03-10 18:34 - 2010-12-28 00:03 - 01472002 _____ () C:\Windows\system32\PerfStringBackup.INI

2014-03-10 18:33 - 2012-02-13 20:46 - 00000000 ____D () C:\Users\Jörg\Documents\Mein Steuer-Sparbuch Heute

2014-03-10 18:29 - 2014-03-10 18:28 - 00021343 _____ () C:\Users\Jörg\Desktop\ESETNecursCleaner.exe_20140310.182841.5004.zip

2014-03-10 18:29 - 2014-03-10 18:28 - 00006806 _____ () C:\Users\Jörg\Desktop\ESETNecursCleaner.exe_20140310.182841.5004.log

2014-03-09 00:49 - 2014-03-10 18:13 - 00251584 _____ (ESET) C:\Users\Jörg\Desktop\ESETNecursCleaner.exe

2014-03-07 13:57 - 2014-03-07 22:06 - 01145344 _____ (Farbar) C:\Users\Jörg\Desktop\FRST.exe

2014-03-04 15:26 - 2014-03-04 15:10 - 232837912 _____ () C:\Users\Jörg\Documents\Documents.7z

2014-03-03 15:11 - 2014-01-19 16:24 - 00000000 ____D () C:\Users\Jörg\Desktop\desk und URL 14

2014-03-02 17:57 - 2013-08-02 15:50 - 00000000 ____D () C:\test

2014-03-02 14:58 - 2010-12-28 00:00 - 00000000 ____D () C:\Users\Jörg

2014-02-28 20:10 - 2011-01-23 22:31 - 00000000 ____D () C:\Users\Jörg\AppData\Local\Microsoft Help

2014-02-28 20:10 - 2009-07-14 09:56 - 00000000 ___RD () C:\Users\Public\Recorded TV

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\wfp

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\registration

2014-02-28 20:10 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\AppCompat

2014-02-28 20:08 - 2009-07-14 03:37 - 00000000 ____D () C:\Windows\system32\LogFiles

2014-02-22 22:19 - 2010-12-28 13:06 - 00000000 ____D () C:\ProgramData\FreePDF
 

Some content of TEMP:

====================

C:\Users\Jörg\AppData\Local\Temp\2SKKKKKKK.exe

C:\Users\Jörg\AppData\Local\Temp\FileSystemView.dll

C:\Users\Jörg\AppData\Local\Temp\jre-7u40-windows-i586-iftw.exe

C:\Users\Jörg\AppData\Local\Temp\MSETUP4.EXE

C:\Users\Jörg\AppData\Local\Temp\uninstall.exe
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\explorer.exe => MD5 is legit

C:\Windows\system32\winlogon.exe => MD5 is legit

C:\Windows\system32\wininit.exe => MD5 is legit

C:\Windows\system32\svchost.exe => MD5 is legit

C:\Windows\system32\services.exe => MD5 is legit

C:\Windows\system32\User32.dll => MD5 is legit

C:\Windows\system32\userinit.exe => MD5 is legit

C:\Windows\system32\rpcss.dll => MD5 is legit

C:\Windows\system32\Drivers\volsnap.sys => MD5 is legit
 
 

LastRegBack: 2014-03-10 00:09
 

==================== End Of Log ============================

--- --- ---

--- --- ---

--- --- ---

--- --- ---

:daumenhoc

Na Jo, sieht doch nicht so schlecht aus... ;)

Könntest Du bitte diese Datei mit dem Editor oder dem Notepad öffnen und den Inhalt wie gewohnt posten?

Code:

C:\Users\Jörg\Desktop\ESETNecursCleaner.exe_20140310.182841.5004.log

Sieht gut aus, Top Sache. Respekt :-)

Hier die ESETNecursCleaner.exe_20140310.182841.5004.log

Code:

[2014.03.10 18:28:41.515] - 

[2014.03.10 18:28:41.515] -     ....................................

[2014.03.10 18:28:41.515] -   ..::::::::::::::::::....................

[2014.03.10 18:28:41.515] -   .::EEEEEE:::SSSSSS::..EEEEEE..TTTTTTTT..    Win32/Necurs

[2014.03.10 18:28:41.515] -  .::EE::::EE:SS:::::::.EE....EE....TT......   Version: 2.1.0.1

[2014.03.10 18:28:41.515] -  .::EEEEEEEE::SSSSSS::.EEEEEEEE....TT......   Built: Sep 17 2013

[2014.03.10 18:28:41.515] -  .::EE:::::::::::::SS:.EE..........TT......

[2014.03.10 18:28:41.515] -   .::EEEEEE:::SSSSSS::..EEEEEE.....TT.....    Copyright (c) ESET, spol. s r.o.

[2014.03.10 18:28:41.515] -   ..::::::::::::::::::....................    1992-2013. All rights reserved.

[2014.03.10 18:28:41.515] -     ....................................

[2014.03.10 18:28:41.515] - 

[2014.03.10 18:28:41.515] - --------------------------------------------------------------------------------

[2014.03.10 18:28:41.515] - 

[2014.03.10 18:28:41.515] - INFO: OS: 6.1.7600 SP0

[2014.03.10 18:28:41.515] - INFO: Product Type: Workstation

[2014.03.10 18:28:41.531] - INFO: WoW64: False

[2014.03.10 18:28:41.531] - INFO: Machine guid: FD8681DB-618A-40BA-A9A0-AAFDF4D62A7C 

[2014.03.10 18:28:41.531] - 

[2014.03.10 18:28:52.124] - INFO: Scanning for system infection...

[2014.03.10 18:28:52.124] - --------------------------------------------------------------------------------

[2014.03.10 18:28:52.124] - 

[2014.03.10 18:28:52.124] - INFO: Found suspicious service - 2af407cd8554d782

[2014.03.10 18:28:52.343] - INFO: modulePath - \??\C:\Windows\system32\Drivers\null.sys

[2014.03.10 18:28:52.343] - ERROR: DT09a... - 5

[2014.03.10 18:28:52.343] - INFO: Rootkit's service key - 2af407cd8554d782

[2014.03.10 18:28:52.343] - INFO: Rootkit's path - \SystemRoot\System32\Drivers\2af407cd8554d782.sys

[2014.03.10 18:28:52.374] - INFO: Win32/Necurs found

[2014.03.10 18:29:10.002] - INFO: necurs time creation: 2014-2-2 20:29:30

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2010-6-17 19:56:44

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2011-1-4 0:3:23

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2011-1-4 0:3:23

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2008-8-14 8:40:36

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2010-2-18 10:43:18

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2010-3-13 13:54:26

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2011-4-22 13:2:57

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2013-9-13 17:51:6

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2012-6-3 16:36:32

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2013-5-1 1:59:4

[2014.03.10 18:29:10.002] - INFO: autorun app time creation: 2013-11-1 23:29:44

[2014.03.10 18:29:11.780] - INFO: Cleaning status: 2

[2014.03.10 18:29:50.172] - 

[2014.03.10 18:29:50.172] - --------------------------------------------------------------------------------

[2014.03.10 18:29:50.172] - INFO: System is rebooting...

[2014.03.10 18:29:50.344] - --------------------------------------------------------------------------------

[2014.03.10 18:29:50.344] - INFO: Logging finished successfully...

[2014.03.10 18:29:50.344] - --------------------------------------------------------------------------------

Super gemacht Jo! :abklatsch:

:daumenhoc

Stay tuned! ;)

Wir sind noch nicht fertig.... ;)

:daumenhoc:daumenhoc:daumenhoc

Trotzdem schonmal DANKE !

Bin dabei ... und gespannt, wie's weiter geht ...

Schritt 1
Downloade Dir bitte

Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 2

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 3
Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Bitte poste mir also in Deiner nächsten Antwort den Inhalt der Logdateien wie gewohnt in Code Tags von:

- Malwarebytes
- ESET
- checkup.txt

Hi Jürgen, MBAM läuft seit ca. 10 Min. Log kommt gleich ...

Registry-Key und -Value von syshost32 mit MBAM entfernt. Neustart.

Dazu das Log:

Code:

Malwarebytes Anti-Malware (Test) 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2014.03.11.09
 

Windows 7 x86 NTFS

Internet Explorer 8.0.7600.16385

Jörg :: BEETHOVEN [Administrator]
 

Schutz: Aktiviert
 

11.03.2014 21:56:38

mbam-log-2014-03-11 (21-56-38).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 209957

Laufzeit: 8 Minute(n), 15 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 1

HKLM\SYSTEM\CURRENTCONTROLSET\SERVICES\SYSHOST32 (Trojan.Agent) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Registrierungswerte: 1

HKLM\SYSTEM\CurrentControlSet\Services\syshost32|ImagePath (Trojan.Agent) -> Daten: "C:\Windows\Installer\{49DD8FF3-6331-EFC6-FD30-0817DCDEABCE}\syshost.exe" /service -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Sehr gut :daumenhoc

Bitte auch die anderen Scans machen. Eset kann länger dauern.... ;)

Moin Jürgen

Das hat es :kaffee:

Ich warte mal noch weitere Instruktionen ab, bevor wir mit Schritt 3 (SecurityCheck) weitermachen.

Gruß Jo

Code:

ESETSmartInstaller@High as downloader log:

Can not open internetESETSmartInstaller@High as downloader log:

Can not open internet# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=155b678b61526c4c9e80ee23fc9458a9

# engine=17403

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2014-03-12 03:11:53

# local_time=2014-03-12 04:11:53 (+0100, Mitteleuropäische Zeit)

# country="Germany"

# lang=1033

# osver=6.1.7600 NT 

# compatibility_mode=5893 16776573 100 94 24502 147032656 0 0

# scanned=176325

# found=7

# cleaned=0

# scan_time=18682

sh=E6CC9113684CEA514F2C083164C2F644B19EEE4A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="C:\$Recycle.Bin\S-1-5-21-3956389187-1643806333-1776510576-1000\$R2V6F1D\jar_cache4719067408113836257.tmp"

sh=E6CC9113684CEA514F2C083164C2F644B19EEE4A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp"

sh=E6CC9113684CEA514F2C083164C2F644B19EEE4A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="D:\$RECYCLE.BIN\S-1-5-21-3956389187-1643806333-1776510576-1000\$RM3ZJPV\jar_cache4719067408113836257.tmp"

sh=E6CC9113684CEA514F2C083164C2F644B19EEE4A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="D:\2014-03-01 Necurs.A\jar_cache4719067408113836257_tmp.txt"

sh=E6CC9113684CEA514F2C083164C2F644B19EEE4A ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="D:\2014-03-01 Necurs.A\CUsersJörgAppDataLocalTemp\jar_cache4719067408113836257.tmp"

sh=EC9CC8F0660929918F3DFBD7F2D1BE36A6E47C58 ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="D:\BACKUP\2014-03-01 Necurs.A.7z"

sh=2E145585AE3794A279CF4C95CFF941931AFD2A9E ft=1 fh=e9adecc6d0beb833 vn="INF/Autorun.gen worm" ac=I fn="D:\BeehovenUnderVista\Sicherung Beethoven\Desktop\Daten Jörg\S-CDB_DEMO-Windows-2.9.8-SL035.exe"

Hallo Jo,

weißt Du wofür diese Datei ist? Wenn Du sie nicht kennst oder benötigst, dann lösche sie bitte.

Code:

D:\BeehovenUnderVista\Sicherung Beethoven\Desktop\Daten Jörg\S-CDB_DEMO-Windows-2.9.8-SL035.exe

Schritt 1
Lade dir

TFC (TempFileCleaner von Oldtimer) herunter und speichere es auf den Desktop.

Öffne die TFC.exe.
Vista und Win 7 User mit Rechtsklick "als Administrator starten".
Schließe alle anderen Programme.
Drücke auf den Button Start.
Falls du zu einem Neustart aufgefordert wirst, bestätige diesen.

Dann bitte wie geplant den Securitycheck durchführen. Anschließend werden wir Dein System auf den neuesten Stand bringen und absichern. ;)

Schritt 2
Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Hallo Jürgen,

ich kenne die Datei S-CDB_DEMO-Windows-2.9.8-SL035.exe (ist in einer Sicherung als "Beethoven" noch Vista als OS hatte) und wird seit einigen Jahren nicht mehr benutzt. Das ist eine Demoversion einer Anwendung. Man hat das ja schon mal das bestimmte "Muster" eine potenzielle Gefahr darstellen. Ich schließe das aber aus.

Ich wollte ggf. später (sofern die Zeit dafür da ist) mit Dir noch den Infektionszeitpunkt und die mögliche Ursache anschauen. Ich denke, Datum und Uhrzeit habe ich bereits sicher gefunden. Da ich die Windows Ereignisanzeige schon vor den ersten Clearing Maßnahmen stunden-/tagelang auf den Kopf gestellt habe, ist das Einfallstor des Schädlings gut eingrenzbar.

Wenn ich TFC ausführe wird z.B. "jar_cache4719067408113836257.tmp" gelöscht obwohl diese Datei zeitlich zum engen Kreis der verdächtigen Kandidaten gehört. Von dieser Java-Datei und einer "2SKKKKKKK.exe" habe ich, wie Du im ESET OnlineScanner Log siehst, seinerzeit mal eine Sicherung für weitere Analysen gemacht (z.B. Upload bei virustotal.com).

Treffer, beim Versuch diese Datei nochmal anzusehen, meldet G Data gerade einen :pfui:

Virus: Java:Malware-gen [Trj] (Engine-B)
Datei: jar_cache4719067408113836257.tmp
Verzeichnis: C:\Users\Jörg\AppData\Local\Temp
Prozess: Explorer.EXE

Habe die Datei zunächst in Quaratäne verschoben. Gleich mehr (muss mal vom sauberen Computer auf Beethoven wechseln) ...

Hier das G Data Log:

Code:

Die Datei wurde in die Quarantäne verschoben.
 

Datei: C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp

Virus: Java:Malware-gen [Trj] (Engine-B)

Und hier der schäbige schädliche Rest:

Code:

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->Bfudghw3q.class" wurde der Virus "Java:Malware-gen [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->C_ADFERss.class" wurde der Virus "Java:Nuclear-D [Kit] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->D_A_sdwfeqefdwefwfef.class" wurde der Virus "Java:Nuclear-A [Kit] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->E_Dfbegr4refd.class" wurde der Virus "Java:CVE-2013-1493-FQ [Expl] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->G_sadswg3wqfew.class" wurde der Virus "Java:Downloader-PF [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->XTTP.class" wurde der Virus "Java:CVE-2012-1723-BVU [Expl] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->Ydsfsdfdsfdsf.class" wurde der Virus "Java:Agent-HKT [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp->zdfs55.class" wurde der Virus "Java:Malware-gen [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp" wurde der Virus "Other:Malware-gen [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

Beim Öffnen der Datei "C:\Users\Jörg\AppData\Local\Temp\jar_cache4719067408113836257.tmp" wurde der Virus "Java:Malware-gen [Trj] (2x), Java:Nuclear-D [Kit], Java:Nuclear-A [Kit], Java:CVE-2013-1493-FQ [Expl], Java:Downloader-PF [Trj], Java:CVE-2012-1723-BVU [Expl], Java:Agent-HKT [Trj], Other:Malware-gen [Trj] (Engine-B)" entdeckt. Zugriff verweigert.

:stirn: Entschuldige bitte Jürgen. Ich hoffe, ich habe mich mit meiner Neugier bei Dir nicht disqualifiziert. :confused:

Und ich habe wieder was gelernt!

Jetzt doch schnell TFC ausführen oder erst nochmal was anderes?

Hi Jo,
also die Infektion stammt vermutlich vom Black Hole Exploit Kit - auf verseuchten Seiten holt man sich da schnell was. Gerade Deine veraltete Java-Version ist anfällig. Zeit was dagegen zu tun. ;)
Bitte TFC und Securitycheck ausführen, damit wir schnell zur Absicherung des PCs übergehen können. :)

So, TFC ist durch. Nun noch SecurityCheck.

checkup.txt

Code:

 Results of screen317's Security Check version 0.99.80  

 Windows 7  x86 (UAC is enabled)  

 Out of date service pack!! 
 ``````````````Antivirus/Firewall Check:`````````````` 

G Data InternetSecurity 2011   

 Antivirus up to date!   
 `````````Anti-malware/Other Utilities Check:````````` 

 Malwarebytes Anti-Malware Version 1.75.0.1300  

 Java(TM) 6 Update 20  

 Java version out of Date! 
 ````````Process Check: objlist.exe by Laurent````````  

 Malwarebytes Anti-Malware mbamservice.exe  

 Malwarebytes Anti-Malware mbamgui.exe  

 Malwarebytes' Anti-Malware mbamscheduler.exe   

 G Data InternetSecurity Firewall GDFwSvc.exe 

 G Data InternetSecurity Firewall GDFirewallTray.exe 
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C:  
 ````````````````````End of Log``````````````````````

Hi Jo,
wie Du am Securitycheck siehst, sind wir noch nicht fertig und machen uns daher jetzt an die Absicherung des Systems.

Schritt 1
Windows 7 Service Pack 1 installieren.
Hier findest Du nähere Informationen dazu.

Meiner Meinung nach, ist das Runterladen und direkte Installieren des Service Pack empfehlenswert. Hier kannst Du Dir den SP1 für Windows herunterladen.
Falls es Probleme gibt, dann installiere Dir bitte dieses Tool.
Sollte die Installation erfolgreich gewesen sein, stelle anschließend sicher, dass die Windows Update-Funktion aktiviert ist. Eine Anleitung dazu findest Du hier. Installiere damit alle verfügbaren Updates.

Sind diese Punkte erledigt folgt

Schritt 2
Sicherheitsrelevante Software aktualisieren.
Besuche bitte die Update Seiten von Java und Flashplayer.
Achte bitte bei der Installation strikt darauf, dass keinerlei "Toolbars" & Co. mitgeladen werden. Dies erreichst Du durch Entfernen der Haken bei den optionalen "Angeboten". ;)

Schritt 3
Jetzt bitte ein frisches FRST-Log. :)

Nabend Jürgen,

soll ich bei der Service Pack 1 Installation MBAM bzw. andere der installierten Malware-Tools (ggf. auch G Data) temporär deaktivieren?

Gruß Jo

Hallo Jo,
es kann nicht schaden, wenn Du zu Beginn der Installation den Echtzeitschutz der Scanner temporär deaktivierst. Jedoch werden nach einem Neustart diese Schutzmodule erneut gestartet. Da würde ich sie dann aktiviert lassen. Meiner Erfahrung nach gibt es während der Updatevorgänge keine Probleme... :)

Zitat:

Zitat von deeprybka (Beitrag 1267461)

Schritt 3
Jetzt bitte ein frisches FRST-Log. :)

Bitte setze auch den Haken bei Addition.txt... ;)

Hallo Jürgen,

hurra, nach gefühlten 2.735 Updates auf einem zickigen Windows 7 ist jetzt auch SP1 installiert. ;)

Der Rest kommt auch noch :pfeiff:

Gruß Jo

;)

Das freut mich....

Nabend Jürgen,

die restlichen Windows 7 Updates (Empfohlene und Wichtige) sind nun alle installiert. :abklatsch:

Wie gehe ich in Schritt 2 vor:

- Java:

Code:

C:\Users\Jörg>java -version

java version "1.6.0_20"

Java(TM) SE Runtime Environment (build 1.6.0_20-b02)

Java HotSpot(TM) Client VM (build 16.3-b01, mixed mode, sharing)

Soll ich Java 6 deinstallieren und dann Java 7 installieren oder wie mach' ich es richtig?

- Flash: Habe z.Zt. 11.5 installiert. Soll ich den Flash Player über Adobe einfach drüber installieren oder soll ich deinstallieren bevor ich die aktuelle Version 12.0.0.77 installiere?

Gruß Jo

Zitat:

Zitat von EmmaTiger (Beitrag 1269793)

:daumenhoc

Hi Jo, deinstalliere zuerst die alten Versionen. Installiere Dir dann von den angegeben Links die neuesten Versionen und paß bitte auf, dass keine "optionalen Angebote" mitinstalliert werden... :)

Dann noch FRST-Scan wie beschrieben....

Hallo Jürgen,

habe die alten Versionen von Java und Flash Player deinstalliert und die aktuellen Versionen installiert, ohne die :crazy: optionalen Angebote (Toolbars etc.)

Die beiden FRST Logs sind zu groß (zu viele Zeichen). Ich erhalte beim Versuch, den Inhalt der Logs über die Code-Tags einzufügen, folgende Meldung:

"Logs bitte als Archiv an den Beitrag anhängen!"

Ist das ok oder mache ich mit FRST noch was falsch? :confused:

Danke und Gruß
Jo

Zitat:

Zitat von EmmaTiger (Beitrag 1270403)

"Logs bitte als Archiv an den Beitrag anhängen!"
Ist das ok oder mache ich mit FRST noch was falsch? :confused:
Danke und Gruß
Jo

Hi Jo,
Nein Du machst das prima! :daumenhoc
Durch die ganzen Updates hat sich einiges auf dem PC getan... ;)
Daher sind die Logs auch größer. Hänge sie einfach an. Ich schaue sie mir dann so an. Wir sind sowieso fast fertig, also noch ein wenig Aufmerksamkeit und Mitarbeit und wir haben es geschafft! :abklatsch:

;)

Hier die Logs als Anhang "FRST.7z"

Sehr gute Arbeit Jo!
Macht der Rechner noch irgendwelche Probleme? Fällt Dir was auf? Ansonsten... :)

>>clean<<
Wir haben es geschafft! :abklatsch:
Die Logs sehen für mich im Moment sauber aus. :daumenhoc

Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen und hier sagen, ob Du mit mir und meiner Hilfe zufrieden warst....:aufsmaul: ;)
Es bleibt mir nur noch, Dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Epilog: Tipps, Dos & Don'ts

Aktualität von System und Software

Das Betriebsystem Windows muss zwingend immer auf dem neusten Stand sein. Stelle sicher, dass die automatischen Updates aktiviert sind:

Windows Vista/7/8: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren

Auch die installierte Software sollte immer in der aktuellsten Version vorliegen.
Speziell gilt das für den Browser, Java, Flash-Player und PDF-Reader, denn bekannte Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim blossen Besuch einer präparierten Website per Drive-by Download Malware zu installieren. Das kann sogar auf normalerweise legitimen Websites geschehen, wenn es einem Angreifer gelungen ist, seinen Code in die Seite einzuschleusen, und ist deshalb relativ unberechenbar.

Mit diesem kleinen Plugin-Check kannst du regelmässig diese Komponenten auf deren Aktualität überprüfen.
Achte auch darauf, dass alte, nicht mehr verwendete Versionen deinstalliert sind.
Optional: Das Programm Secunia Personal Software Inspector kann dich dabei unterstützen, stets die aktuellen Versionen sämtlicher installierter Software zu nutzen.

Sicherheits-Software

Eine Bemerkung vorneweg: Jede Softwarelösung hat ihre Schwächen. Die gesamte Verantwortung für die Sicherheit auf Software zu übertragen und einen Rundum-Schutz zu erwarten, wäre eine gefährliche Illusion. Bei unbedachtem oder bewusst risikoreichem Verhalten wird auch das beste Programm früher oder später seinen Dienst versagen (z.B. ein Virenscanner, der eine infizierte Datei nicht erkennt).
Trotzdem ist entsprechende Software natürlich wichtig und hilft dir in Kombination mit einem gut gewarteten (up-to-date) System und durchdachtem Verhalten, deinen Rechner sauber zu halten.

Nutze einen Virenscanner mit Hintergrundwächter mit stets aktueller Datenbank. Welches Produkt gewählt wird, spielt keine so entscheidende Rolle. Wenn du ein kommerzielles Programm kaufen möchtest, kann ich dir Emsisoft Anti-Malware empfehlen (die Freeware-Version davon reicht aber nicht, denn die hat keinen Hintergrundwächter). Bevorzugst du ein kostenloses Produkt, dann ist Avast! Free Antivirus eine gute Alternative.
Betreibe aber keinesfalls zwei Wächter parallel, die würden sich gegenseitig behindern.
Aktiviere eine Firewall. Die in Windows integrierte genügt im Normalfall völlig.
Zusätzlich zum Virenscanner kannst du dein System regelmässig mit einem On-Demand Antimalwareprogramm scannen. Empfehlenswert ist die Free-Version von Malwarebytes Anti-Malware. Vor jedem Scan die Datenbank updaten.
Optional: Das Programm Sandboxie führt Anwendungen in einer isolierten Umgebung ("Sandkasten") aus, so dass keine Änderungen am System vorgenommen werden können. Wenn du deinen Browser darin startest, vermindert sich die Chance, dass beim Surfen eingefangene Malware sich dauerhaft im System festsetzen kann.
Optional: Das Addon WOT (web of trust) warnt dich vor einer als schädlich gemeldeten Website, bevor sie geladen wird. Für verschiedene Browser erhältlich.
Optional: Browser-in-the-box kombiniert die virtuelle, isolierte Umgebung und die Sicherheit eines Linux Betriebssystems.

Es liegt in der Natur der Sache, dass die am weitesten verbreitete Anwendungs-Software auch am häufigsten von Malware-Autoren attackiert wird. Es kann daher bereits einen kleinen Sicherheitsgewinn darstellen, wenn man alternative Software (z.B. einen alternativen PDF Reader) benutzt.
Anstelle des Internet Explorers kann man beispielsweise den Mozilla Firefox einsetzen, für welchen es zwei nützliche Addons zur Empfehlung gibt:

NoScript verhindert standardmässig das Ausführen von aktiven Inhalten (Java, JavaScript, Flash, ..) für sämtliche Websites. Du kannst selber nach dem Prinzip einer Whitelist festlegen, welchen Seiten du vertrauen und Scripts erlauben willst, auch temporär.
Adblock Plus blockt die meisten Werbebanner weg. Solche Banner können nebst ihrer störenden Erscheinung auch als Infektionsherde fungieren.

(Un-)Sicheres Verhalten im Internet

Nebst unbemerkten Drive-by Installationen wird Malware aber auch oft mehr oder weniger aktiv vom Benutzer selbst installiert.

Der Besuch zwielichtiger Websites kann bereits Risiken bergen. Und Downloads aus dubiosen Quellen sind immer russisches Roulette. Auch wenn der Virenscanner im Moment darin keine Bedrohung erkennt, muss das nichts bedeuten.

Illegale Cracks, Keygens und Serials sind ein ausgesprochen einfacher (und ein beliebter) Weg, um Malware zu verbreiten.
Bei Dateien aus Peer-to-Peer- und Filesharingprogrammen oder von Filehostern kannst du dir nie sicher sein, ob auch wirklich drin ist, was drauf steht.

Oft wird auch versucht, den Benutzer mit mehr oder weniger trickreichen Methoden dazu zu bringen, eine für ihn verhängnisvolle Handlung selbst auszuführen (Überbegriff Social Engineering).

Surfe mit Vorsicht und lass dich nicht von irgendwie interessant erscheinenden Elementen zu einem vorschnellen Klick verleiten. Lass dich nicht von Popups täuschen, die aussehen wie System- oder Virenmeldungen.
Sei skeptisch bei unerwarteten E-Mails, insbesondere wenn sie Anhänge enthalten. Auch wenn sie auf den ersten Blick authentisch wirken, persönliche Daten von dir enthalten oder vermeintlich von einem bekannten Absender stammen: Lieber nochmals in Ruhe überdenken oder nachfragen, anstatt einfach mal Links oder ausführbare Anhänge öffnen oder irgendwo deine Daten eingeben.
Auch in sozialen Netzwerken oder über Instant Messaging Systeme können schädliche Links oder Dateien die Runde machen. Erhältst du von einem deiner Freunde eine Nachricht, die merkwürdig ist oder so sensationell interessant oder skandalös tönt, dass man einfach draufklicken muss, dann hat bei ihm/ihr wahrscheinlich Neugier über Verstand gesiegt und du solltest nicht denselben Fehler machen.
Lass die Dateiendungen anzeigen, so dass du dich nicht täuschen lässt, wenn eine ausführbare Datei über ein doppelte Dateiendung kaschiert wird, z.B. Nacktfoto.jpg.exe.

Nervige Adware (Werbung) und unnötige Toolbars werden auch meist durch den Benutzer selbst mitinstalliert.

Lade Software in erster Priorität immer direkt vom Hersteller herunter. Viele Softwareportale (z.B. Softonic) packen noch unnützes Zeug mit in die Installation. Alternativ dazu wähle ein sauberes Portal wie Filepony oder heise.
Wähle beim Installieren von Software immer die benutzerdefinierte Option und entferne den Haken bei allen optional angebotenen Toolbars oder sonstigen fürs Programm irrelevanten Ergänzungen.

Allgemeine Hinweise

Abschliessend noch ein paar grundsätzliche Bemerkungen:

Dein Benutzerkonto für den alltäglichen Gebrauch sollte nicht über Administratorenrechte verfügen. Nutze ein Konto mit eingeschränkten Rechten bzw. aktiviere die Benutzerkontensteuerung (UAC) auf der höchsten Stufe (Windows Vista/7/8 ).
Erstelle regelmässig Backups deiner Daten und Dokumente auf externen Datenträgern, bei wichtigen Dateien mindestens zweifach. Nicht nur ein Malwarebefall kann schmerzhaften Datenverlust nach sich ziehen sondern auch ein gewöhnlicher Festplattendefekt.
Die Autorun/Autoplay-Funktion stellt ein Risiko dar, denn sie ermöglicht es, dass beispielsweise beim Einstecken eines entsprechend infizierten USB-Sticks der Befall auf den Rechner überspringt. Überlege dir, ob du diese Funktion nicht besser deaktivieren möchtest.
Wähle deine Passwörter gemäss den gängigen Regeln, um besser gegen Brute-Force- und Wörterbuchattacken gewappnet zu sein. Benutze jedes deiner Passwörter nur einmal und ändere sie regelmässig.
Der Nutzen von Registry-Cleanern zur Performancesteigerung ist umstritten. Auf jeden Fall lässt sich damit grosser Schaden anrichten, wenn man nicht weiss, was man tut. Wir empfehlen deshalb, die Finger von der Registry zu lassen. Um von Zeit zu Zeit die temporären Dateien zu löschen, genügt TFC.

Hallo Jürgen :daumenhoc

Ich bin beeindruckt von Deiner kompetenten Unterstützung und ausdauernden Hilfe. Vielen Dank! "Rest" folgt. :abklatsch:

Der Rechner macht z.Zt. keine Probleme und es gibt keine Auffälligkeiten. Ich werde sicherheitshalber beim Abuse Team der Telekom aber auch nochmal nachhören, ob es noch irgendwelche Anhaltspunkte für einen aktuellen Missbrauch (SPAM) gibt und dann nochmal berichten.

Was ich in jeden Fall noch machen werde, ist ein Firmware Update auf meinem WLAN Router und das Ändern der Passwörter (aus aktuellem Anlass: Speedport/AVM). Empfiehlt es sich, zusätzlich zum Gerätepasswort auch das Passwort für den Internetzugang zu ändern?

Den "Epilog: Tipps, Dos & Don'ts" (vielen Dank!) muss ich noch durcharbeiten. Bzgl. Software vorab ein paar Fragen:

1. Der Plugin-Check auf tools.trojaner-board.de/plugincheck.html liefert mir "•Java ist nicht Installiert oder nicht aktiviert." Java ist aber installiert. Wie kann das sein?

2. Was macht eigentlich das ominöse "Java Plug-In (2) SSV Helper" im IE?

3. Ich habe überlegt, ggf. ganz auf Java zu verzichten. Ist das heutzutage überhaupt noch möglich bzw. praktikabel, was denkst Du?

4. IE 11 fragt mich bei der Einrichtung nach SmartScreen-Filter und Do Not Track-Anforderungen (vgl. Anhang "IE 11 einrichten.png"). Was stelle ich ein?

5. Ich denke, neben aktuellen Virensignaturen wäre ein Update der Programmversion von G Data 2011 auch empfehlenswert?

6. Sollte/muss ich den ESET Online Scanner deinstallieren?

7. Bei Malwarebytes Anti-Malware habe ich seinerzeit wohl eine Trial (Test) der Vollversion installiert. Habe nun noch 4 Tage bis zum Ablauf. Wenn ich nicht sofort kaufen, aber zunächst gerne die Free Version nutzen möchte, muss ich dann zwingend deinstallieren oder läuft MBAM dann automatisch als Free Version weiter? Wenn deinstallieren, dann in jeden Fall mit dem Deinstallationstool oder nur dann, wenn es Probleme gibt?

Vorab Danke für Deine Antwort.

Gruß Jo

Hi Jo,

1. Der Plugintest bezieht sich nur auf den Browser. Das schadet nicht, wenn kein Plugin aktiv ist, eher im Gegenteil. Wie deaktiviere ich Java in meinem Webbrowser?

2. Es ist ein Teil von Java und wird benötigt um innerhalb des Browsers Java-Anwendungen z.b. von Webseiten zu verarbeiten.

3. Es kommt darauf an, was Du alles machst im Internet. Manche Anwendungen erfordern es. Probiere es einfach mal aus...ohne...;)
Die Sicherheit wird auf jeden Fall erhöht wenn Du auf Java verzichtest.

4. So wie auf Deinem Bild ist das schon OK!

5. Kommt darauf an. Wie lange läuft denn noch die Lizenz? Sicher bedienen sich ältere Programmversionen von der gleichen Signaturendatenbank. Aber neuere Modelle haben evtl. auch bessere Schutzmodule. Vielleicht nimmst Du nur folgende Lösung: Ein Antivirus und die Windowsfirewall anstatt einer Internet Security Suite. Ich selber benutze aber auch eine, die von Bullguard.

6. ESET kannst Du behalten und ab und zu einen Scan machen. Wenn Du willst kannst Du es aber auch deinstallieren.

7. MBAM ist sehr empfehlenswert. Es ist zu überlegen ob sich nicht eine Lizenz lohnt. :)
Läuft die Testphase ab, dann verlierst Du nur den Echtzeitschutz, kannst aber ganz normal Scanvorgänge durchführen.

Hallo Jürgen,

sorry für die Verspätung, trotzdem vielen Dank für Deine Antworten. Ich denke, es sieht alles gut aus. Abschließend möchte ich gern noch folgendes wissen:

Zu 5.: Meine G Data Internet Security Lizenz läuft noch bis 30.03.2015. Ich habe die 2011er letztes Jahr mal verlängert, um weiterhin neue Signaturen zu bekommen. Ich habe bloß die Programmversion noch nicht auf 2013 upgedated. Im "Epilog: Tipps, Dos & Don'ts" wird unter "Sicherheits-Software" Emsisoft AntiMalware empfohlen. Dieses Tool kenne ich bisher nicht. Wo kann man nachlesen, wie es sich von den anderen am Markt bekannten Scannern unterscheidet?

Zu 7.: Ich denke, werde mir MBAM mal anschaffen. Wie unterscheidet sich dieses Tool eigentlich von einem klassischen Antivirenprogramm (wie z.B. G Data Antivirus, o.a.)?

Bzgl. der Infektion seinerzeit sprachst Du vom Blackhole Exploit-Kit. Woran konntest Du das erkennen/vermuten bzw. was sind Anhaltspunkte dafür?

Vielen Dank und Gruß Jo
:party:

Hallo Jo,
gerne beantworte ich Dir Deine abschließenen Fragen.

Infos über Emsisoft findest Du z.B. auf der Herstellerseite bzw. z.B. hier.

Zum anderen möchte ich anmerken, dass ich persönlich auf Testergebnisse von Computerzeitschriften etc. nicht viel gebe, sondern auf meine eigenen Erfahrungen zurückgreife. Daher handelt es sich ja auch nur um eine persönliche Empfehlung.
Bezüglich MBAM verweise ich auf diese Information.
Bezüglich des Blackhole-Exploit-Kits: Necurs wurde hauptsächlich darüber verteilt. Retrospektiv den Infektionsherd auszumachen ist praktisch nicht möglich.

Ich hoffe Du bist mit dem PC jetzt zufrieden?! :)

Bitte gib mir eine kurze Rückmeldung ob ich diesen Thread aus meinen Abos löschen kann. ;)

Danke und Alles Gute!

Hinweis: Ich habe das Thema aus meinen Abos gelöscht und werde daher über Änderungen oder Beiträge nicht weiter informiert. Wenn Du noch weiterführende Hilfe benötigst, dann schreib mir einfach eine PM.

:dankeschoen: