Trotz Löschen von Viren ist System langsam
 

Liebe Experten,
vor einer Woche habe ich einen schwachsinnigen Fehler begangen und einen allzu offensichtlichen Virus in mein System gelassen. Ich habe einen dieser MSN-Messenger-Würmern akzeptiert. Mein Antivir hat diesen sofort erkannt und ich habe ihn gelöscht. Doch zwei Tage darauf wurde das System langsamer und Antivir schlug wieder mit Warnungen an, dieses Mal im 15-Sekundentakt.
Schliesslich gab ich den Namen des Wurms (den ich leider leider nicht mehr weiss) in Google ein und lud mir auf Empfehlungen "Malwarebytes Antimalware" herunter. Dieses fand dann auch drei Viren, die ich dann gleich über dasselbe Programm gelöscht habe.
Nun findet weder Malewarebytes noch Antivir Viren, doch das System ist immer noch viel langsamer. Ausserdem hat sich der Internet Explorer mehrere Male beim Start automatisch geöffnet, bis ich ihn aus dem Autostart wieder entfernt habe.

Nun schicke ich Euch meinen Hijackthis-Log, in der Hoffnung, dass Ihr mir mehr dazu sagen könnt. Vielen Dank schon einmal für dieses grossartige Forum mit seinen grossartigen Freiwilligen!
Leider weiss ich nicht, wie man Codetags erstellt...

Hier der Bericht:

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\RunServices: [Internet Explorer] iexplore.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Free Download Manager] H:\Sicherungen\Programme\Free Download Manager\fdm.exe -autorun
O4 - HKCU\..\Run: [DriverUpdaterPro] C:\Programme\XPC Tools\Driver Updater Pro\DriverUpdaterPro.exe -t
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: Alles mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Auswahl mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Datei mit FDM herunterladen - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Videos mit FDM herunterladen - file://C:\Programme\Free Download Manager\dlfvideo.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.com/de/
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/spanish/kavwebscan_unicode.cab
O16 - DPF: {193C772A-87BE-4B19-A7BB-445B226FE9A1} (ewidoOnlineScan Control) - http://downloads.ewido.net/ewidoOnlineScan.cab
O16 - DPF: {5D6F45B3-9043-443D-A792-115447494D24} (UnoCtrl Class) - http://messenger.zone.msn.com/ES-MX/a-UNO1/GAME_UNO1.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Adobe Active File Monitor (AdobeActiveFileMonitor) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: EvtEng - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Maxtor Service (Maxtor Sync Service) - Seagate Technology LLC - C:\Programme\Maxtor\Sync\SyncServices.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Photoshop Elements Device Connect (PhotoshopElementsDeviceConnect) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
O23 - Service: RegSrvc - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Spectrum24 Event Monitor (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Programme\Sony\VAIO Event Service\VESMgr.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 9211 bytes

Hallo und :hallo:

Logfiles sollten immer vollständig gepostet werden. Codetags zu erstellen sind einfach, markiere den Text, der mit Codetags umschlossen werden soll und klick oben auf den #-Button.

Acker diese Punkte für weitere Analysen ab, auch wenn Du schon einige Tools zuvor ausgeführt haben solltest:

1.) Poste ein neues Hijackthis Logfile, nimm dazu diese umbenannte hijackthis.exe

2.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.

3.) Führe dieses MBR-Tool aus und poste die Ausgabe

4.) Blacklight und Malwarebytes Antimalware ausführen und Logfiles posten

5.) Führe Silentrunners nach dieser Anleitung aus und poste das Logfile (mit Codetags umschlossen), falls es zu groß sein sollte kannst Du es (gezippt) bei file-upload.net hochladen und hier verlinken.

6.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste alle Logfiles bitte mit Codetags umschlossen (#-Button) also so:

7.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Hallo und vielen Dank für die schnelle Antwort!

Hier die Daten:
der Log von Hijackthis

Die Systemwiederherstellung habe ich deaktiviert.
Das MBR-Tool öffnet sich leider nicht richtig. Ich sehe für den Bruchteil einer Sekunde ein schwarzes Fenster und dann ist es wieder weg.
Blacklight sagt nur: "No hidden items found".

Hier der Log von Malwarebytes Antimalware:
Hier der Silentrunner-Log:
Den Combofix werde ich heute später ausführen.
Hier noch das von Euch angeforderte Listing. Ich bin mir aber nicht sicher, ob es das Richtige ist, da es sich in meinem Internet-Browser unter Eurem Link geöffnet hat. Ausserdem war es auch nicht wirklich gross:
http://www.file-upload.net/download-1116512/listing8.cmd.html

Das wars ersteinmal. Ich hoffe, dass mein Beitrag nach all den neuen Postings nicht übersehen wird und hoffe auf schnelle Hilfe. Vielen, vielen Dank schon einmal.
Euer Maxico
:dankeschoen:

Hallo,
jetzt wollte ich den Combofix ausführen, aber der "wichtige Hinweis" von root24 hat mich aber jetzt doch ein bisschen verunsichert. Du hast geschrieben, dass ich das Programm nur ausführen sollte, falls dies ausdrücklich empfohlen wird. Empfiehlst Du mir das denn nun?
Danke und bis bald!
Maxico

Ja tut er, sonst hätte er es wohl kaum geschrieben, oder? :confused:

Klingt doch logisch, find ich. :D

Weiss nicht.
Ich finde es nicht logisch, dass dann die Warnung mitgeschickt wurde. Aber vieleicht gilt das dann für die anderen User, die den Beitrag nur lesen.
Hoffe auf Aufklärung!
Grüße!:rolleyes:

Klar solltest Du CF ausführen. Ich habs ja ausdrücklich in die todo-Liste mit aufgenommen. Der hinweis ist wie Du schon richtig gedacht hattest für "heimliche Mitleser" des Strangs, die dann auch mal eben meinen auf die Schnelle CF ausführen zu müssen... :twak:

Das listing ist das falsche, aber Du bist nicht der erste der damit Probleme schon hatte :)

Versuch es so: Geh in Arbeitsplatz / Extras / Ordneroptionen / Ansicht - dort den Haken rausnehmen bei "Erweiterungen bei bekannten Dateitypen ausblenden", fortan werden Dir bei (fast) allen Dateien auch die Endungen angezeigt.

Stell dann sicher, dass mein CMD-Scrript auch tatsächlich dann die Endung .CMD hat und kein .TXT oder so. Sie sollte dann dieses Symbol haben

http://mitglied.lycos.de/efunction/tb/img/cmdsymbol.PNG

Danach sollte durch ein Doppelklick das Script auch ausgeführt werden.

Vielen Dank!
Das Script führt sich nach Deiner Beschreibung aus, aber es öffnet sich in einem DOS-Fenster, erstellt alle möglichen Zeilen und schliesst sich dann aber wieder nach einer Sekunde, so dass ich nicht einmal Zeit habe, es zu lesen.
Was kann ich tun? Hast Du denn bereits in den anderen logs etwas verdächtiges finden können?
Liebe Grüße, Max

Jetzt habe ich es doch noch geschafft!

:dummguck:
Hier das listing:

Was ist das für ein Ordner??

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Leider weiss ich nicht, um was es sich für einen Ordner handelt. Ich habe ihn in Google eingegeben und ihn auch nur in anderen Logs ohne weitere Beschreibung gefunden.

Danke für die Einladung. Hier das, hoffentlich dieses Mal korrekte Listing:
File-Upload.net - listing.txt

Anbei die Seiten der Auswertung von virustotal.com.
File-Upload.net - Virustotal-Auswertungen.zip

Ich konnte folgende Datei nicht finden: CF23889.exe

Hoffe, dass wir wieder einen Schritt weitergekommen sind.
Vielen Dank für die Geduld,
Max

Ich weiss leider nicht, was der von Dir angegebene Ordner ist. In Google habe ich ihn nur in anderen Foren in Logs gefunden.

Leider habe ich zwei der Dateien nicht gefunden, aber anbei sende ich Dir die anderen Auswertungen von virustotal.com:
File-Upload.net - Virustotal-Auswertungen.zip

Vielen Dank für Deine Geduld und Hilfe!
Max

Leider weiss ich nicht, um was für einen Ordner es sich hier handelt. Ich habe ihn auf Google gesucht und ihn aber nur in anderen logs gefunden, aber ohne Auswertung.
Anbei endlich die verlangten virustotal-Auswertungen!
Danke für die Geduld und viele Grüße,
Max

Hi
Combofix

Zonelalarm

Combofix Folgen, Kopien von cmd.exe

B's Recorder GOLD

Gruß, Karl

Hallo Karlkarl,
Du sitzt also auch in Mexiko-Stadt? Ich wohne auch hier und wollte Dir erst einmal für Deine Hilfe danken.
Nur weiss ich leider nicht, was ich mit den von Dir geposteten Dateinamen machen soll!
Ich werde sie mal durch die Analyse von Virustotal jagen.
Vieleicht könnten wir uns ja hier mal treffen!
Que opinas?
Grüße,
Maxmax