Worm.Win32.Pinit.gen ??
 

DelfInject.gen!AA oder Worm.Win32.Pinit.gen oder sowas machen mir seit eben Ärger!!!
Generiert jedenfalls irgendwelche test1.exe und q7.exe, verknüpft googleseiten falsch, antivir stürzt ab
ICh hab bisher nichts gutes gelesen bis jetzt- komme aber leider nicht weiter udn hab auch so kaum Ahnung . Hier mein Hijack-logfile
Bitte bitte helft mir.
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:06:33, on 02.08.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
D:\WINDOWS\system32\csrss.exe
D:\WINDOWS\system32\winlogon.exe
D:\WINDOWS\system32\services.exe
D:\WINDOWS\system32\lsass.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\System32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\Ati2evxx.exe
D:\WINDOWS\system32\spoolsv.exe
D:\Programme\Avira\AntiVir Desktop\sched.exe
D:\WINDOWS\Explorer.EXE
D:\WINDOWS\msa.exe
D:\Programme\QuickTime\QTTask.exe
D:\Programme\Java\jre6\bin\jusched.exe
D:\Programme\Avira\AntiVir Desktop\avgnt.exe
D:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
D:\Programme\Avira\AntiVir Desktop\avguard.exe
D:\Programme\Pinnacle\Shared Files\Programs\StrmServer\StrmServer.exe
D:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
D:\Programme\Java\jre6\bin\jqs.exe
D:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\ctfmon.exe
D:\Programme\Mozilla Firefox\firefox.exe
D:\WINDOWS\system32\svchost.exe
D:\WINDOWS\system32\taskmgr.exe
D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
D:\DOKUME~1\***\LOKALE~1\Temp\b.exe
D:\Programme\Trend Micro\HijackThis\HijackThis.exe
D:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=D:\WINDOWS\system32\userinit.exe,D:\WINDOWS\system32\sdra64.exe,
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - D:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: XML module - {500BCA15-57A7-4eaf-8143-8C619470B13D} - D:\WINDOWS\system32\msxml71.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - D:\Programme\Google\GoogleToolbarNotifier\5.1.1309.15642\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - D:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - D:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [NeroCheck] D:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Kopie von KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [QuickTime Task] "D:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [StartCCC] "D:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [SunJavaUpdateSched] "D:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [net] "D:\WINDOWS\system32\net.net"
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [odby] D:\WINDOWS\odb.exe
O4 - HKLM\..\Run: [netc] D:\WINDOWS\svc.exe
O4 - HKLM\..\Run: [lsass] D:\WINDOWS\lsass.exe
O4 - HKLM\..\Run: [UpdateWin] D:\WINDOWS\system32\actskn45d.exe
O4 - HKLM\..\Run: [15535004] D:\Dokumente und Einstellungen\All Users\Anwendungsdaten\15535004\15535004.exe
O4 - HKLM\..\Run: [amoumain] D:\WINDOWS\amoumain.exe
O4 - HKLM\..\Run: [netw] D:\WINDOWS\svw.exe
O4 - HKLM\..\Run: [wdmon] D:\WINDOWS\wdmon.exe
O4 - HKLM\..\Run: [netx] D:\WINDOWS\svx.exe
O4 - HKLM\..\Run: [vlc] D:\WINDOWS\vlc.exe
O4 - HKLM\..\Run: [servicelayer] D:\WINDOWS\servicelayer.exe
O4 - HKLM\..\Run: [ctfmon] D:\WINDOWS\ctfmon.exe
O4 - HKLM\..\RunServices: [UpdateWin] D:\WINDOWS\system32\actskn45d.exe
O4 - HKCU\..\Run: [swg] D:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [ctfmon.exe] D:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [EA Core] "D:\Programme\Electronic Arts\EADM\Core.exe" -silent
O4 - HKCU\..\Run: [PMCLoader] D:\Programme\Pinnacle\TVCenter Pro\PMCLoader.exe -checktasks
O4 - HKCU\..\Run: [Monopod] D:\DOKUME~1\Rena\LOKALE~1\Temp\b.exe
O4 - HKCU\..\Run: [UpdateWin] D:\WINDOWS\system32\actskn45d.exe
O4 - HKCU\..\RunServices: [UpdateWin] D:\WINDOWS\system32\actskn45d.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] D:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = D:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = D:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Pinnacle Streaming Server.lnk = D:\Programme\Pinnacle\Shared Files\Programs\StrmServer\StrmServer.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - D:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: *.antimalwareguard.com
O15 - Trusted Zone: *.gomyhit.com
O15 - Trusted Zone: *.antimalwareguard.com (HKLM)
O15 - Trusted Zone: *.gomyhit.com (HKLM)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - D:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - D:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - D:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Update Service (gupdate1c9fc0dee6b6f84) (gupdate1c9fc0dee6b6f84) - Google Inc. - D:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - D:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - D:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - D:\Programme\Java\jre6\bin\jqs.exe

--
End of file - 7308 bytes

:hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite bitte folgendes ab.

Poste bitte alle Logfiles in Code-Tags.
Klicke antworten --> #
danach [code]text[/code]
So sollte das dann hier aussehen nach dem antworten:
schritt 1

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
Also gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Filter" klicken
• dann auf "Ergebnisse"
• das Ergebnis (wie Du es bekommst )
  komplett markieren und hier rein kopieren

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen


schritt 2

• Lade das SDFix (erstellt von AndyManchesta) herunter und speichere es auf deinem Desktop.

• Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
• Starte deinen Rechner neu auf, in den abgesicherten Modus (Tipps & Tricks: TIPP 4).
• Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
• Gib ein Y ein, um den Reinigungsprozess zu beginnen.
• Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
• Nun wirst du darum gebeten, einen Taste zu drücken, damit dein Rechner neu aufstarten kann.
• Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
• Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
• Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
• Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
• Kopiere den Inhalt dieses Report.txt und poste ihn.

schritt 3

Wende bitte Malwarebytes nach Anleitung an.


schritt 4

• Lade Random's System Information Tool (RSIT) herunter,
• speichere es auf Deinem Desktop.
• Starte mit Doppelklick die RSIT.exe.
• Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
• Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
• Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
• Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt

schritt 5

• alle anderen Scanner gegen Viren, Spyware, usw. deaktiviert sein,
• keine Verbindung zu einem Netzwerk/Internet bestehen (WLAN nicht vergessen),
• nichts am Rechner getan werden,
• nach jedem Scan der Rechner neu gestartet werden.

Gmer scannen lassen

• Lade Dir Gmer von dieser Seite herunter
  (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
• Gmer ist geeignet für => NT/W2K/XP/VISTA.
• Alle anderen Programme sollen geschlossen sein.
• Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
• Vista-User mit Rechtsklick und als Administrator starten.
• Sollte sich ein Fenster mit folgender Warnung öffnen:
  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?
  Unbedingt auf "No" klicken.
• Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird Gmer beendet.
• Füge das Log aus der Zwischenablage in Deine Antwort hier ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

HI, heute morgen geht nur noch der internet Explorer. Und auch der will immer abbrechen. Andere SOftware, darunter auch Hijackmeldet mein pc als infected und will mir windows security software verkaufen.
Ich würde ja alles abarbeiten..
SInd eigentlich alle Partitionen befallen wenn man soviel würmer und spyware hat (nach windows security check hab ich 38!! Würmer, trojaner und Spyware). Ich bin jetzt sehr verunsichert.

hm ich kann zwar den log nicht mehr öffnen von gestern aber überprüfen ging noch. "Ergebnisse hab ich nicht gefunden zum klicken. Ist das hier richtig?

Allerdings war gestern alles noch gängiger- erst heute hab ich Alarm auf dem WIndowshintergrund "Your PC is infected.." und ständige Warnungen.
GErade: System has detected potential hazard (TrojanSPM/LX) on your computer

Hallo,

Sorry fürs Einmischen, Larusso.

@studentin11 Ich würde dir ein neuaufsetzen deines PCs anraten, dein Computer ist so tiefgreifend infiziert, dass man da tagelang dran sitzt um es zu bereinigen.

Ich kann dir den Hilfelink geben: http://www.trojaner-board.de/51262-a...sicherung.html

Du solltest deine Passwörter sicherheitshalber nach dem neuaufsetzen ändern.

Keine Angst, in Panik geraten ist nicht gut, gehe alles durch, notiere dir alles.
Bleib ganz ruhig, das kriegen wir schon hin :)

MfG :heilig:

Angel, wenn Du schon reinpostest, darfst Du auch fertig machen

ich bin raus

@studentin

du hast die Datei hijackthis.log empfangen 2009.08.02 10:42:59 hochgeladen, und nicht die Datei was ich sehen wollte, sonst hat alles gepasst ;)

Und die Software was man Dir da verkaufen will ist ne Fake Software :)
Mit 38 Würmern usw wäre Dein Rechner im A

Ah jetzt kapier ich!! Ja die exe datei hat ja siogar das logo vom windows security warning--
kann ichs jetzt eigentlich reparieren oder muß ich das zum laden bringen. Ich hab gehört wenn man windows neu aufsetzt, ist der wurm trotzdem irgendwo im motherboard registriert.

also hier erstmal der scan von der richtigen datei:

Völliger Unfug, wer erzählt Leuten bloß so einen Schrott?

Keine Angst er bleibt nirgends hängen, setz am besten neu auf, beim neuaufsetzen wird dei FP komplett neugeschrieben.

Da kann dir am wenigsten passieren ;)

Okay , danke für dei Hilfe.
Ich hätte noch 3 Fragen:
1.) kann ich den jetzt übergangsweise etwas tun? zb diese komische security exe löschen?
2.) Wie böse ist denn meine Infektion? Ich meine, hab ich kritisches daß meine Daten raubt? Kann ich noch email browsen oder ist das allein schon verhängnisvoll in irgendeiner Weise?
3.) Muß ich alle Partitionen neu aufsetzen? Kann ich einen ecternal hard drive dranmachen, um meine Dateien zu speichern ohne daß sie sich infiziert?

Setz so schnell es geht neu auf. Wieso erkläre ich jetzt.

Du hast einen Keylogger drauf, mehrere Backdoor-Varianten udn höchstwahrscheinlich ein File Infector.
Der Keylogger kann all deine Passwörter etc. mitschneiden (alle Tastatureingaben) und abspeichern und einem Fremden zum Zugriff geben.
Der Backdoor verleit dem Unbefugten einen Remote-Zugriff. Er kann deinen PC Fernseteuern wie er möchte.

Der File Infector - den du aller Wahrscheinlichkeit nach auch hast infiziert exe Datein.

Langt eigentlich nur C, aber wenn du sicher gehen willst dann tu alles platt machen ohne Gnade.

Bitte immer nur per SHIFT taste gedrückt anstecken dranmachen. Das verhindert den Autostart.

ich hab immernoch keine WindowsCD und auch meine Daten noch nicht gesichert.. an die Hardwareinformation komm ich auch gar nicht weil das eine exe datei ist udn die ja nicht mehr funktionieren.
Ich denke ich kann aber alle Treiber im Netzt finden?!?

Jedenfalls wollte ich für die Übergangszeit wenigstens tun was geht ( schließlich stürzt der rechner alle 10min ab) und die Anweisungen von Laruso befolgen.
Ich bin bis Schritt 2gekommen:nur dann passiert nichts mehr. ich fürchte das stürzt also auch ab. einen report oder nafrage auf neustart erhalte ichnicht.
Kann ich da etwas machen, kann ich nicht ienen teil entfernen?

Wie komme ich jetzt anmeine Hardwareinformationenn?

Hallo,

dann übernehme ich.

1.) http://www.trojaner-board.de/74910-a...tion-tool.html

2.) Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

ciao, andreas

hier die info.txt - zeichen waren zu lang ich hab 20 Zeilen gelöscht (die sich wiederholen: AV: Avira AntiVir PersonalEdition Classic)

hier die log.txt.

fortsetzung folgt..

Hi, dankeschön!!!
Also ich habe Schritt1 befolgt, allerdings:
Vorher mußte ich im Safe modevon Windows einige Sachen im Autostart deaktivieren. Sonst hätte RSIT weder ausführen können noch irgendein logfile öffnen können. Windows meldet alle .exe-Dateien als infiziert. Dazu gehören auch der Task-Manager oder msconfig. Folgende Dateien hab ich rausgenommen aus Autostart:
15535004
amoumain
avgnt
ctfmon in WINDOWS/ctfmon.exe
ctfmon in WINDOWS/system32/ctfmon.exe
b
actskn45d
servicelayer
svc
svw
svx
googletoolbarnotifyer
PMCLoader (TV)
PinnacleStreamer (T)

dafür hab ich jetzt keine Bildchen mehr im Netz (????)
und ich hsab jetzt just-in-time-debuggen.

system security sprigt dann oft wieder an wennich eine Datei ausführen will.
hier Rest vom logfile


wenn der jetzt nicht hilft gibt es immernoch den ersten den ich mit hijackthis gemacht habe. Leider kann ich den nicht mehr nachträglich als code einfügen.

Hi, habe alle Schritte durchgeführt.! Allerdings ließ sich AVguard überhaupt nicht ausschalten. Ich habe ein paar Trojaner die avguard gefunden hat gelöscht, weil ich den Eindruck hatte, daß cofi daran hängengeblieben ist.. AVguard meldet auch jetzt wieder eines der gelöschten trojaner.
Was muß ich denn noch tun??
Kann ich die Trojaner löschen?


cofi hat übrigens gemeldet, daß windows script host odeaktiviert ist und die microsoft Wiederherstellungskonsole fehlt. Hat mich dann als es downloaden wollte gefragt ob ich xp Home hab, hab nein gedrückt, folglich gings nicht mit tiefer Sicherheitsstufe. (wenn ich das jetzt alles richtig in Erinnerung habe)

Hier das logfile von cofi:

1.) Deinstalliere (falls möglich):

• Adobe Acrobat and Reader 8.1.2 Security Update 1 (KB403742)
• Adobe Flash Player 10 Plugin
• Adobe Flash Player 9 ActiveX
• Adobe Flash Player ActiveX
• Adobe Reader 8.1.2
• Adobe Shockwave Player
• Advertisement Service
• Apple Software Update
• AutostartAdministrator 2.0
• Google Update Helper
• Google Updater
• Java(TM) 6 Update 13
• Java(TM) 6 Update 2
• Java(TM) 6 Update 3
• Java(TM) 6 Update 5
• Java(TM) 6 Update 7
• Java(TM) SE Runtime Environment 6 Update 1
• Norton Security Scan (Symantec Corporation)
• Norton Security Scan
• SpyHunter
• VideoLAN VLC media player 0.8.1
• Windows Internet Explorer 7

2.) Download und Ausführung des Norton-Entfernungsprogramms

3.) Erstelle ein Filelisting.

• Lade die Datei listing1.bat auf deinen Desktop
• Doppelklicke auf listing1.bat
• Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. Datei Upload, Bilder hochladen, Datei Hosting auf Materialordner.de) hochladen und hier den Link posten.

4.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Mensch danke für die Mühe! Ich mach das jetzt, ich bin schon froh daß wieder ienbißchen geht! Und ich habe das gefunden, falls es Arbeit spart
Quarantänedateien löschen - HijackThis.de Support Board
der hatte den gleichen mist wie ich:-P

Nein, bei dir sieht es weitaus schlimmer aus. Du hattest gleich drei von den fiesen Rootkits, dazu noch ein Backdoorbot und Keylogger, der brav alles protokolliert hat, was du per Tastatur eingegeben hast. Ich würde dem Rechner nicht mehr vertrauen.

Mit UACD.sys hatte ich schon häufiger zu tun.
http://www.trojaner-board.de/75830-w...light=uacd.sys
http://www.trojaner-board.de/71068-p...light=uacd.sys
http://www.trojaner-board.de/74097-b...light=uacd.sys
http://www.trojaner-board.de/71672-p...light=uacd.sys
http://www.trojaner-board.de/71716-g...light=uacd.sys

Das waren nur die ersten 5, die ich mit der Boardsuche gefunden habe. :)

Versuche beim nächsten Durchgang erneut die Wiederherstellungskonsole zu installieren.

ciao, andreas

Hi, wow okay:-)
hier schonmal der Link:

Datei Upload, Bilder hochladen, Datei Hosting auf Materialordner.de

So wie es aussieht, hast du dich am 2.8. um ca. 2:40 Uhr infiziert. Weißt du noch, was da vorgefallen ist?

Warum hast du heute nachmittag mit Norton rumgepfuscht? Bitte nur die Programme starten, die wir nennen und sonst keine.

ciao, andreas

Hm, also ja klar hab ich mitgekrigt daß ich mich dainfiziert hab oder halt bzw daß da irgendwas aktiv geworden ist. Ist ja alle rasant in a.. gegangen.
Hab aber nichts besonderes gemacht. Browsergame gezoggt und, das weiß ich noch genau, sone musik gesucht von Talking Heads: videoclip auf irgendner komischen Seite (niht Youtube) angesehen. vll hab ich auch grade irgendwelche Toolseiten für das Spiel geöffnet. .. Des wars aber glaube ich an nachtaktivität..

wegen norton-- keine ahnung, hab ich?!? würd ich glatt dementieren aber du hast ja die daten:-)
aber hab nichts gemacht seit ich wieder konkrete Hilfe hab.

logfile 1. Teil

2.Teil

3.Teil

Sorry, hab mich vertan, das waren die Deinstallationslogs von Norton.

1.) Deaktiviere den Wächter von Avira.

2.) Packe den Ordner D:\qoobox mit Zip oder Rar, lade ihn bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als Private Nachricht.

3.) Aktiviere den Wächter von Avira.

4.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Du hast beim zweiten Mal das falsche Skript genommen. Lade dir den Anhang auf deinen Desktop und ziehe den dann auf das ComboFix-Symbol. Das ist das längste Script, dass ich jemals erstellt habe. :)

Das Log wird sehr groß werden, du kannst es auch bei einem Filehoster hochladen und hier den Link posten.

Die Datei, die du mir zugeschickt hast, liess sich leider nicht entpacken.

1.) Lade dir http://filepony.de/download-winrar/

2.) Installiere Winrar.

3.) Deaktiviere den Wächter von Avira.

4.) Starte den Windowsexplorer, navigiere zu D:\qoobox, Mausklick rechts auf den Ordner => Add to "qoobox.rar" => Lade das Archiv bei einem Filehoster hoch und schicke mir den Link als PN.

5.) Aktiviere den Wächter von Avira.

ciao, andreas

Hi Andreas, ich hoffe ich habs jetzt richtig gemacht. Habs log hochgeladen:
Datei Upload, Bilder hochladen, Datei Hosting auf Materialordner.de
LG
Rena

Gibt es mittlerweile eine Besserung?

ciao, andreas

Ja, schon seit dem ersten script! Aber ich sehe gerade, daß der Kram aus dem Autostart verschwunden ist. Ich hab alle Befallsmeldungen von antivir aufgeschrieben. Muß ich da nochmal nachchecken?
Bin ich jetzt clean???

:daumenhoc
Das war Absicht, jetzt bootet dein Rechner schneller und die Programme funktionieren weiterhin. Falls du wirklich etwas vermisst, dann kann ich das wieder reinscripten.
Avira hat ein ziemliches Chaos in deiner Registry angerichtet. Das müssen wir erstmal richten.
Nein, die Scans kommen gleich im Anschluss.
:D Träum weiter. Das war nur der erste Schritt, jetzt wird ein Scanner nach dem nächsten gestartet, um alles zu finden, das nachgeladen wurde. Dann wird die Software in Ordnung gebracht und zum Schluß das HJT-Log. Säuberungen dauern immer länger als Neuaufsetzen, deshalb verstehe ich die Leute ja auch nicht wirklich.

1.) Start => Ausführen => combofix /u => OK

2.) Deinstalliere Avira.

3.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

4.) Lade und starte http://dlpro.antivir.com/down/window...cleaner_de.zip

5.) Lade und installiere http://filepony.de/download-antivir/

6.) Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Online Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

7.) Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte.

ciao, andreas

soll er alle Hkeys durchsuchen? Was stelle ich mit den Funden an?Löschen?

Ja. Ja.

ciao, andreas

Hallo. Ich weiß nicht, was ich falsch mache:
Ich habe IE 8 runtergeladen udn will auf Wunschvon Kaspersky das erforderliche ActiveX zulassen, werde dann aber immer nur auf die Kaspersky Online Scanner seite (ohne auswahl) vom OnlineScan weitergeleitet. Ich bin ratlos- wie blöd an sowas zu hängen :mad:

Ich habe den neulich selbst getestet und der ließ sich nur mit Hängen und Würgen zum Laufen bewegen. :(

Dann nehmen wir halt Panda, der zickt nicht so herum.

Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

ciao, andreas

1.) Installiere (Toolbars immer abwählen, Haken weg):

• Downloaddetails: Windows Internet Explorer 8 für Windows XP
• Download der Java-Software von Sun Microsystems
• Adobe Reader oder besser FoxIt Reader
• Adobe - Adobe Flash Player
  Adobe - Adobe Shockwave Player
• VLC media player - Overview oder besser KMPlayer

2.) Starte den MSIE und rufe folgende Adresse auf => Microsoft Windows Update
Benutzerdefinierte Installation => Alle Sicherheitsupdates und Treiberupdates durchführen, die optionalen Updates nicht durchführen!

ciao, andreas

FETTES DANKESCHÖN!!

DAs hat mir alles sehr geholfen!!!

SPecial danke für john doe!



(sry die verspätung!)

1.) Start => Ausführen => combofix /u => OK

2.) Alle Programme, die wir eingesetzt haben, deinstallieren/löschen.

3.) Du bist entlassen.

ciao, andreas