Google Redirect...
 

Also ich habe das gleiche problem wie dieser arme Mensch und habe mich daher schon durch seinen Thread gelesen, eigentlich brauche ich (glaub ich x)) nur noch das mit Combofix ;)

Meine Logs:

HJT:


Installed Apps:

GMER (Abgebrochen nach Fund und 3 Std langem Scannen ohne weiteren Fund):

http://blkchockr.dk-serv.de/GMER.txt

Ich hoffe auf schnelle Hilfe und schon mal Danke im Voraus :daumenhoc

MfG, BlkChockr

Edit: Achja ich musste Hijackthis umbennen, konnte sonst nicht ausgeführt werden... =/

Hallo und nochmal :hallo:

Mit dem wird Combofix fertig.

1.) Systemdetails mit RSIT prüfen

• Lade Random's System Information Tool (RSIT) von random/random herunter,
• speichere es auf Deinem Desktop.
• Starte mit Doppelklick die RSIT.exe.
• Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
• Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
• Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
• Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

2.) Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Achtung: Die Anleitung ist veraltet. Den Teil mit der Systemwiederherstellungskonsole nicht ausführen. Die wird bei Internetverbindung automatisch installiert.

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  
  Sollte sich ComboFix nicht starten lassen, dann benenne es um in cofi.exe und versuche es nocheinmal.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

log.txt:

http://blkchockr.dk-serv.de/log.txt

info.txt:

http://blkchockr.dk-serv.de/log.txt

Combofix:

http://blkchockr.dk-serv.de/combofix.txt

Du sparst dir eine Menge Zeit, wenn du folgenden Weg wählst: http://www.trojaner-board.de/51262-a...sicherung.html

Falls du lieber bereinigen möchtest, dann:

1.) Die log.txt gibt es zweimal, die info.txt fehlt.

2.) Wozu brauchst du dieses Programm: C:\Programme\No-IP\DUC20.exe?

3.) Deinstalliere:

• Bonjour
• TuneUp Utilities

4.) Lade die Dateien
bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html. Die Dateien sind nicht sichtbar. Markiere jeweils eine Zeile, kopiere sie und füge sie im Uploadchannel ein.

5.) Klicke auf "Für alle Neuen" in meiner Signatur, lies alles aufmerksam und arbeite die Unterpunkte a und b unter Punkt 2 ab.

ciao, andreas

Ups, naja aber auf http://blkchockr.dk-serv.de/info.txt lag sie schon ;)

Ehm ich brauche es um eine DNS-IP für den auf meinem PC laufenden Teamspeak-Server erhalten zu können.

Bonjour ist mir egal, aber warum soll ich denn TuneUp deinstallieren? Sehe den Sinn darin nicht so ganz, tut mir leid...

Aber eigentlich ist der Redirecter schon weg, meinst du es sind noch "Reste" auf meinem System vorhanden oder warum soll ich die Dateien hochladen?

Das sind keine Reste, das sind aktive Schädlinge, zumindest einige davon, aber um den Beweis zu haben, musst du sie erst hochladen.

Wenn du TuneUp behalten möchtest, dann musst du die Logs lesen, mir ist das zu mühsam. :)

BTW: Lies hier (letzter Satz): http://www.trojaner-board.de/433943-post8.html

ciao, andreas

Ich hab sie schon hochgeladen, aber nur die ersten beiden Dateien waren vorhanden (jaa auch mit veränderter Ordneransicht und bei TotalCommander xP)

TuneUp deinstalliere Ich nur ungern, da ich damit regelmäßig vor allem meine Startups checke, da ich mir des öfteren .bats für den Autostarts schreibe... Wenns aber ZWINGEND ist um die Schädlinge loszuwerden, werde ich dieses Opfer aber auch bringen...

Lade dir Lop S&D herunter.

Mausklick rechts auf Lop S&D.exe => Ausführen als Administrator.
Wähle die Sprache deiner Wahl und anschließend die Option 1 (Suche)
Warte bis der Scanbericht erstellt wird (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen)

ciao, andreas

Hmmm ich habs jetzt ein paar mal versucht, aber wenn ich D oder E eingebe, schließt sich das Programm immer. (Ja, ich habs natürlich als Admin ausgeführt ^^)

32 oder 64bit?

ciao, andreas

32 Bit....

Da sollte das eigentlich laufen. Versuchen wir es anders:

Erstelle ein Filelisting.

• Lade die Datei listing0.bat auf deinen Desktop
• Doppelklicke auf listing0.bat
• Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. Materialordner.de) hochladen und hier den Link posten.

Lasse dich nicht von den Fehlermeldungen verunsichern, das liegt an Vista.

ciao, andreas

Die bat sieht aus wie für Linux geschrieben....

ciao, andreas

LoL Sorry, dachte nicht das das noch weitergeht, weil sich halt 30 Sek oder 1 Min nix tat in der Kommandozeile...

Sry das es so lange gedauert hat, musste noch die MSN Adressen rausnehmen...

http://blkchockr.dk-serv.de/listing.txt

PS: Warum suchst du in der Datei nach *crack*, *patch*, *key* usw? Find ich nicht richtig zu versuchen Einsicht in solche Sachen zu bekommen. (Auch wenn sich dort des öfteren Viren verstecken xP)

a.) Hast du dir die Frage selbst beantwortet:
b.) Kann ich noch genauer werden, wenn du mir folgende Frage beantwortest: Wie hast du den Rootkit bekommen?

Die Quelle für tdssserv.sys (war übrigens ein Keygen, wie überraschend :)) habe ich gefunden, bei gxvxcserv.sys bin ich noch auf der Suche.

1.) Poste den Inhalte der Dateien:
2.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Mein FTP is iwie gerade off, deswegen hier: File-Upload.net - combofix_neu.txt

Das wird nicht das letzte sein. :D

Es fehlt noch Punkt 1 dieser Liste.

Du hast kein Antivirenprogramm?

1.) Deinstalliere LopSD.

2.) Packe den Ordner c:\qoobox mit Zip oder Rar, lade ihn beim Filehoster hoch und schicke mir den Link als PN.

3.) GMER - Rootkit Detection

http://pic.leech.it/i/ab0bc/635985fgmer60.jpg

• Lade Trallala von file-upload.net
• Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
• Doppelklick auf Trallala.exe
• Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
• nach Beendigung des Scan, drücke "Copy"
• nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
• Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

Hmmmm O.o hier einmal Qoobox: Deposit Files

Aber irgendwie is mein pc jetzt ZIEMLICH langsam (explorer stürzt ab, usw...) GMER stürzt leider auch bei unstersuchung von Device\Harddiskshadowcopy oder so ähnlich ab >.< Was nun?

Achja, von mir verdächtigter Prozess: csrss.exe (kann nicht mit Taskmanager bearbeiten werden, auch nicht mit Admin rechten)

So, dann haben wir den Punkt erreicht, der ein Neuaufsetzen zwingend erforderlich macht. Bevor du startest würde ich dir allerdings empfehlen, das hier zu lesen (Absatz 2 und 3) => http://www.trojaner-board.de/441392-post20.html

Bei dir findet sich die Adobe Master Collection gleich zweimal. :)

Bevor du neuinstallierst, lasse noch folgende Programme bei VT auswerten (mittlerweile ist mir auch klar, warum du kein AVP benutzt :)) und überlege dir dreimal, ob du den neuinstallierten Rechner gleich wieder versauen möchtest.
Vor diesem Programm wird sogar ausdrücklich gewarnt:
Mal ganz abgesehen davon, dass Cheater für mich etwa gleichbedeutend wie Maden sind. :)

Es gibt Anzeichen dafür, dass dein Vista nicht so ganz legal ist. Den Beweis bleibe ich dir schuldig.

Du bist entlassen und ich bin raus,
andreas

Mein Problem ist, das ich seit Anfang des Jahres Vista schon 3 mal neu aufgesetzt habe... und jetzt im Moment läuft es eigentlich wieder ganz gut, kann es vielleicht sein, dass meine Freunde, die auf der gestrigen LAN-Party z.B. Warsow oder FEAR Combat von meinem PC gezogen haben, damit es sich nicht jeder wieder neu von der Website downloaden muss, diesen Leistungseinbruch zu tragen haben? (Mein vorheriger Beitrag wurde nämlich zu der Zeit eingetragen) :rolleyes:

Ist csrss.exe denn wirklich bösartig? Denn ich meine, normalerweise findet man die Datei doch auch in system32 an, oder? :confused:

Außerdem gefällt mir meine Systemkonfiguration grad so gut :aplaus: