Trojaner-Board - Win7 home bootbar, aber nicht nutzbar nach PUP.Optional

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Win7 home bootbar, aber nicht nutzbar nach PUP.Optional (https://www.trojaner-board.de/184320-win7-home-bootbar-nutzbar-pup-optional.html)

Win7 home bootbar, aber nicht nutzbar nach PUP.Optional

Guten Tag,
ich kann mein Laptop mit win7 home 64bit zwar booten, aber danach nur die Maus bewegen. Es lässt sich kein Programm starten oder der Rechner normal runterfahren (Ein Klick führt zu keiner Aktion). Nach Neustart mit dem "dicken Knopf" werden Bootoptionen geboten. Arbeiten kann ich nur im abgesicherten Modus.
Hatte erst mit Malwarebytes gescannt und da kamen diverse PUP.Optional.
Die habe ich in Quarantäne verschoben, hat aber nicht geholfen.
Bitte um Hilfe!
Vielen Dank!
Gruß
Petra

:hallo:
Mein Name ist Rafael und ich werde dir bei der Bereinigung helfen.

Damit ich dir optimal helfen kann, halte dich bitte an folgende Regeln:

Bitte lies meine Posts komplett durch bevor du sie abarbeitest
Wenn ein Problem auftauchen sollte oder dir etwas unklar ist, unterbreche deine Arbeit und beschreibe es so genau wie möglich.
Bitte kein Crossposting
Installiere oder Deinstalliere keine Software ohne Aufforderung
Bitte verwende nur die Tools, welche hier im Thread erwähnt werden und führe sie nur gemäß Anweisung aus
Bitte antworte innerhalb von 24h um eine sinnvolle Bereinigung zu ermöglichen
Poste die Logs immer in CODE-Tags (#-Button), zur Not die Logs einfach aufteilen
Wichtig: Nur weil dein Problem mit einem Schritt plötzlich behoben ist, bedeutet das nicht, dass dein PC auch sauber ist. Mache solange weiter, bis ich dir sage, dass dein PC "clean" ist
Wir machen unsere Arbeit freiwillig und ehrenamtlich neben unserer normalen Beschäftigung im Leben. Dennoch, wenn ich dir nicht binnen 36h antworte, sende mir bitte eine persönliche Nachricht!

Los geht's :abklatsch:

ich habe dein Thema in Bearbeitung und melde mich gleich mit weiteren Anweisungen.

Schritt: 1
Drücke bitte die Windowstaste + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

GroupPolicy: Beschränkung <======= ACHTUNG

Task: {431D2589-C3D9-4107-B88A-9621EEE97FED} - System32\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853} => C:\users\pw\appdata\local\{B5A78~1\UNINST~1.EXE <==== ACHTUNG

C:\users\pw\appdata\local\{B5A78~1

Task: C:\Windows\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853}.job => C:\users\pw\appdata\local\{B5A78~1\UNINST~1.EXE <==== ACHTUNG

emptytemp:

Speichere diese bitte als Fixlist.txt auf deinem Desktop (oder dem Verzeichnis in dem sich FRST befindet).

Starte nun FRST erneut und klicke den Entfernen Button.
Das Tool erstellt eine Fixlog.txt.
Poste mir deren Inhalt.

Schritt: 2
Startet der PC wieder normal?

Bitte starte wieder FRST, setze den Haken bei Addition und drücke auf Untersuchen. Poste bitte wieder die beiden Textdateien, die so entstehen.

Schritt 1:

Entferungsergebnis von Farbar Recovery Scan Tool (x64) Version: 05-02-2017
durchgeführt von PW (10-02-2017 10:10:56) Run:1
Gestartet von C:\Users\PW\Downloads
Geladene Profile: PW (Verfügbare Profile: UpdatusUser & PW)
Start-Modus: Safe Mode (with Networking)
==============================================

fixlist Inhalt:
*****************
GroupPolicy: Beschränkung <======= ACHTUNG
Task: {431D2589-C3D9-4107-B88A-9621EEE97FED} - System32\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853} => C:\users\pw\appdata\local\{B5A78~1\UNINST~1.EXE <==== ACHTUNG
C:\users\pw\appdata\local\{B5A78~1
Task: C:\Windows\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853}.job => C:\users\pw\appdata\local\{B5A78~1\UNINST~1.EXE <==== ACHTUNG
emptytemp:

*****************

C:\Windows\system32\GroupPolicy\Machine => erfolgreich verschoben
C:\Windows\system32\GroupPolicy\GPT.ini => erfolgreich verschoben
C:\Windows\SysWOW64\GroupPolicy\GPT.ini => erfolgreich verschoben
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Plain\{431D2589-C3D9-4107-B88A-9621EEE97FED} => Schlüssel erfolgreich entfernt
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tasks\{431D2589-C3D9-4107-B88A-9621EEE97FED} => Schlüssel erfolgreich entfernt
C:\Windows\System32\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853} => erfolgreich verschoben
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Schedule\TaskCache\Tree\{8A4827E5-FFA0-4441-9FC6-9063A789C853} => Schlüssel erfolgreich entfernt
"C:\users\pw\appdata\local\{B5A78~1" => nicht gefunden.
C:\Windows\Tasks\{8A4827E5-FFA0-4441-9FC6-9063A789C853}.job => erfolgreich verschoben

=========== EmptyTemp: ==========

BITS transfer queue => 0 B
DOMStore, IE Recovery, AppCache, Feeds Cache, Thumbcache, IconCache => 97585980 B
Java, Flash, Steam htmlcache => 24231356 B
Windows/system/drivers => 2114446025 B
Edge => 0 B
Chrome => 54070477 B
Firefox => 439326806 B
Opera => 0 B

Temp, IE cache, history, cookies, recent:
Users => 0 B
Default => 0 B
Public => 0 B
ProgramData => 0 B
systemprofile => 39926930 B
systemprofile32 => 106124 B
LocalService => 0 B
NetworkService => 0 B
UpdatusUser => 0 B
Pewaves.Notebook_PW => 120744 B
PW => 2983375208 B

RecycleBin => 0 B
EmptyTemp: => 5.4 GB temporäre Dateien entfernt.

================================

Das System musste neu gestartet werden.

==== Ende von Fixlog 10:14:02 ====

Schritt 2: Rechner erscheint wie vorher. Er bootet, ich kann auch die Maus bewegen, aber es startet kein Programm.

----------------------------------------------------------------------------
CrystalDiskInfo 7.0.5 (C) 2008-2016 hiyohiyo
Crystal Dew World : hxxp://crystalmark.info/
----------------------------------------------------------------------------

OS : Windows 7 Home Premium SP1 [6.1 Build 7601] (x64)
Date : 2017/02/10 20:26:48

-- Controller Map ----------------------------------------------------------
+ Intel(R) Mobile Express Chipset SATA AHCI Controller [ATA]
- SAMSUNG HN-M101MBB
- TSSTcorp CDDVDW SN-208BB

-- Disk List ---------------------------------------------------------------
(1) SAMSUNG HN-M101MBB : 1000,2 GB [0/0/0, pd1]

----------------------------------------------------------------------------
(1) SAMSUNG HN-M101MBB
----------------------------------------------------------------------------
Model : SAMSUNG HN-M101MBB
Firmware : 2AR10001
Serial Number : S2R8J1DB803122
Disk Size : 1000,2 GB (8,4/137,4/1000,2/1000,2)
Buffer Size : 8192 KB
Queue Depth : 32
# of Sectors : 1953525168
Rotation Rate : 5400 RPM
Interface : Serial ATA
Major Version : ATA8-ACS
Minor Version : ATA8-ACS version 6
Transfer Mode : SATA/300 | SATA/300
Power On Hours : 2427 Std.
Power On Count : 1749 mal
Temperature : 31 C (87 F)
Health Status : Vorsicht
Features : S.M.A.R.T., APM, AAM, 48bit LBA, NCQ
APM Level : 0080h [OFF]
AAM Level : FE00h [OFF]
Drive Letter : C: D:

-- S.M.A.R.T. --------------------------------------------------------------
ID Cur Wor Thr RawValues(6) Attribute Name
01 100 100 _51 0000000004A8 Lesefehlerrate
02 252 252 __0 000000000000 Datendurchsatz-Leistung
03 _89 _89 _25 000000000D81 Mittlere Anlaufzeit
04 _98 _98 __0 000000000A79 Start/Stopp-Zyklen der Spindel
05 252 252 _10 000000000000 Wiederzugewiesene Sektoren
07 252 252 _51 000000000000 Suchfehler
08 252 252 _15 000000000000 Güte der Suchoperationen
09 100 100 __0 00000000097B Betriebsstunden
0A 252 252 _51 000000000000 Misslungene Spindelanläufe
0B _98 _98 __0 000000000827 Nnotwendige Rekalibrierungen
0C _99 _99 __0 0000000006D5 Geräte-Einschaltvorgänge
B5 100 100 __0 00000105C422 Herstellerspezifisch
BF 100 100 __0 0000000002D1 Beschleunigungssensor-Fehlerrate
C0 252 252 __0 000000000000 Ausschaltungsabbrüche
C2 _64 _54 __0 0030000E001F Temperatur
C3 100 100 __0 000000000000 Hardware-ECC wiederhergestellt
C4 252 252 __0 000000000000 Wiederzuweisungsereignisse
C5 100 100 __0 000000000001 Aktuell ausstehende Sektoren
C6 252 252 __0 000000000000 Nicht korrigierbare Sektoren
C7 200 200 __0 000000000000 UltraDMA-CRC-Fehler
C8 100 100 __0 000000000AD5 Schreibfehlerrate
DF _98 _98 __0 000000000827 Laden/Entladen-Wiederholungen
E1 _98 _98 __0 000000005E97 Laden/Entladen-Zyklen

-- IDENTIFY_DEVICE ---------------------------------------------------------
0 1 2 3 4 5 6 7 8 9
000: 0040 3FFF C837 0010 0000 0000 003F 0000 0000 0000
010: 5332 5238 4A31 4442 3830 3331 3232 2020 2020 2020
020: 0000 4000 0004 3241 5231 3030 3031 5341 4D53 554E
030: 4720 484E 2D4D 3130 314D 4242 2020 2020 2020 2020
040: 2020 2020 2020 2020 2020 2020 2020 8010 4000 2F00
050: 4000 0200 0200 0007 3FFF 0010 003F FC10 00FB 0110
060: FFFF 0FFF 0000 0007 0003 0078 0078 0078 0078 0000
070: 0000 0000 0000 0000 0000 001F 1D06 0004 004C 004C
080: 01FF 0028 746B 7F69 6123 7469 BC41 6123 407F 0069
090: 0069 0080 FFFE 0000 FE00 0000 0000 0000 0000 0000
100: 6DB0 7470 0000 0000 0000 0000 4000 0000 5002 4E90
110: 0507 1A5D 0000 0000 0000 0000 0000 0000 0000 401C
120: 401C 0000 0000 0000 0000 0000 0000 0000 0029 0000
130: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
140: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
150: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
160: 0000 0000 0000 0000 0000 0000 0000 0000 0003 0000
170: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
180: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
190: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
200: 0000 0000 0000 0000 0000 0000 003F 0000 0000 0000
210: 0000 0000 0000 0000 0000 0000 0000 1518 0000 0000
220: 0000 0000 103F 0000 0000 0000 0000 0000 0000 0000
230: 0000 0000 0000 0000 0001 0400 0000 0000 0000 0000
240: 0000 0000 0000 0000 0000 0000 0000 0000 0000 0000
250: 0000 0000 0000 0000 0000 EBA5

-- SMART_READ_DATA ---------------------------------------------------------
+0 +1 +2 +3 +4 +5 +6 +7 +8 +9 +A +B +C +D +E +F
000: 10 00 01 2F 00 64 64 A8 04 00 00 00 00 00 02 26
010: 00 FC FC 00 00 00 00 00 00 00 03 23 00 59 59 81
020: 0D 00 00 00 00 00 04 32 00 62 62 79 0A 00 00 00
030: 00 00 05 33 00 FC FC 00 00 00 00 00 00 00 07 2E
040: 00 FC FC 00 00 00 00 00 00 00 08 24 00 FC FC 00
050: 00 00 00 00 00 00 09 32 00 64 64 7B 09 00 00 00
060: 00 00 0A 32 00 FC FC 00 00 00 00 00 00 00 0B 32
070: 00 62 62 27 08 00 00 00 00 00 0C 32 00 63 63 D5
080: 06 00 00 00 00 00 B5 22 00 64 64 22 C4 05 01 00
090: 00 00 BF 22 00 64 64 D1 02 00 00 00 00 00 C0 22
0A0: 00 FC FC 00 00 00 00 00 00 00 C2 02 00 40 36 1F
0B0: 00 0E 00 30 00 00 C3 3A 00 64 64 00 00 00 00 00
0C0: 00 00 C4 32 00 FC FC 00 00 00 00 00 00 00 C5 32
0D0: 00 64 64 01 00 00 00 00 00 00 C6 30 00 FC FC 00
0E0: 00 00 00 00 00 00 C7 36 00 C8 C8 00 00 00 00 00
0F0: 00 00 C8 2A 00 64 64 D5 0A 00 00 00 00 00 DF 32
100: 00 62 62 27 08 00 00 00 00 00 E1 32 00 62 62 97
110: 5E 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
120: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
130: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
140: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
150: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
160: 00 00 00 00 00 00 00 00 00 00 00 00 90 33 00 5B
170: 03 00 01 00 02 DC 00 00 00 00 00 00 00 00 00 00
180: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
190: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1A0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1B0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1C0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1D0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1E0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1F0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 2F

-- SMART_READ_THRESHOLD ----------------------------------------------------
+0 +1 +2 +3 +4 +5 +6 +7 +8 +9 +A +B +C +D +E +F
000: 10 00 01 33 00 00 00 00 00 00 00 00 00 00 02 00
010: 00 00 00 00 00 00 00 00 00 00 03 19 00 00 00 00
020: 00 00 00 00 00 00 04 00 00 00 00 00 00 00 00 00
030: 00 00 05 0A 00 00 00 00 00 00 00 00 00 00 07 33
040: 00 00 00 00 00 00 00 00 00 00 08 0F 00 00 00 00
050: 00 00 00 00 00 00 09 00 00 00 00 00 00 00 00 00
060: 00 00 0A 33 00 00 00 00 00 00 00 00 00 00 0B 00
070: 00 00 00 00 00 00 00 00 00 00 0C 00 00 00 00 00
080: 00 00 00 00 00 00 B5 00 00 00 00 00 00 00 00 00
090: 00 00 BF 00 00 00 00 00 00 00 00 00 00 00 C0 00
0A0: 00 00 00 00 00 00 00 00 00 00 C2 00 00 00 00 00
0B0: 00 00 00 00 00 00 C3 00 00 00 00 00 00 00 00 00
0C0: 00 00 C4 00 00 00 00 00 00 00 00 00 00 00 C5 00
0D0: 00 00 00 00 00 00 00 00 00 00 C6 00 00 00 00 00
0E0: 00 00 00 00 00 00 C7 00 00 00 00 00 00 00 00 00
0F0: 00 00 C8 00 00 00 00 00 00 00 00 00 00 00 DF 00
100: 00 00 00 00 00 00 00 00 00 00 E1 00 00 00 00 00
110: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
120: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
130: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
140: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
150: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
160: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
170: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
180: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
190: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1A0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1B0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1C0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1D0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1E0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00
1F0: 00 00 00 00 00 00 00 00 00 00 00 00 00 00 00 86

Zitat:

C5 100 100 __0 000000000001 Aktuell ausstehende Sektoren

Deine Festplatte ist defekt, bitte umgehend Daten sichern und ersetzen da es sonst zu Datenverlust kommen kann.

Du kannst versuchen auf eine neue Festplatte mit Hilfe eines Image umzuziehen, meine Empfehlung dafür wäre DriveSnapShot. Es können aber je nach Beschädigung danach Probleme auftreten. Eine neue Installation wäre die sauberste Lösung.

PUP.Optional.Visicom

ok, mache ich! Schnell mal eine Festplatte anschliessen!

Diese Nacht hat Malwarebytes wohl nochmal einen scan gemacht (ich dachte, der Rechner wäre aus, weil zugeklappt, scheint aber beim abgesicherten Modus nicht zu gelten)... und da gab es wieder einen:
PUP.Optional.Visicom

Malwarebytes
www.malwarebytes.com

-Protokolldetails-
Scan-Datum: 11.02.17
Scan-Zeit: 02:25
Protokolldatei:
Administrator: Ja

-Softwaredaten-
Version: 3.0.6.1469
Komponentenversion: 1.0.50
Version des Aktualisierungspakets: 1.0.1230
Lizenz: Testversion

-Systemdaten-
Betriebssystem: Windows 7 Service Pack 1
CPU: x64
Dateisystem: NTFS
Benutzer: System

-Scan-Übersicht-
Scan-Typ: Bedrohungs-Scan
Ergebnis: Abgeschlossen
Gescannte Objekte: 467394
Abgelaufene Zeit: 26 Min., 26 Sek.

-Scan-Optionen-
Speicher: Aktiviert
Start: Aktiviert
Dateisystem: Aktiviert
Archive: Aktiviert
Rootkits: Deaktiviert
Heuristik: Aktiviert
PUP: Aktiviert
PUM: Aktiviert

-Scan-Details-
Prozess: 0
(keine bösartigen Elemente erkannt)

Modul: 0
(keine bösartigen Elemente erkannt)

Registrierungsschlüssel: 0
(keine bösartigen Elemente erkannt)

Registrierungswert: 0
(keine bösartigen Elemente erkannt)

Registrierungsdaten: 0
(keine bösartigen Elemente erkannt)

Daten-Stream: 0
(keine bösartigen Elemente erkannt)

Ordner: 0
(keine bösartigen Elemente erkannt)

Datei: 1
PUP.Optional.Visicom, C:\PROGRAMDATA\YAHOO!\YAU\{1F73C360-0C75-44BB-BF94-DD736E9BC8D5}\YTB_8.6.2.24_MAIL_BTS_PUB_US_SETUP_2013.07.15.01.EXE, Keine Aktion durch Benutzer, [2126], [368958],1.0.1230

Physischer Sektor: 0
(keine bösartigen Elemente erkannt)

(end)

ja is nicht so wild - neue Festplatte verbauen und dann können wir weiterschauen falls du das alte Image übernommen hast.

Ich habe ein Image vom auslieferungszustand. Das werde ich wohl nehmen. Die wichtigsten Daten habe ich gesichert. Dann werde ich wohl eine neue Platte kaufen.
Puh, das war knapp. (Meine 1. kaputte Festplatte...!)

Ich denke, dann kann das Thema geschlossen werden.
Oder muss ich doch was machen?

Ich danke dir sehr herzlich für deine Hilfe, Rafael ! :dankeschoen:

passt, gerne, alles Gute!