Trojaner-Board - Computer funktioniert nur mehr im abgesicherten Modus

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Computer funktioniert nur mehr im abgesicherten Modus (https://www.trojaner-board.de/89933-computer-funktioniert-nur-mehr-abgesicherten-modus.html)

Computer funktioniert nur mehr im abgesicherten Modus

Guten Tag!

Ich habe seit heute ein großes Problem!

Mein PC funktioniert im normalen Modus nicht mehr bzw. kaum. Online Anwendungen gehen sowieso nicht und Offline Anwendungen werden entweder ständig abgebrochen/unterbrochen.

Nach ewig langem Warten hab ich es dann geschafft AVG Antivir zu starten allerdings wurde nichts gefunden.

Hoffe ihr habt eine Lösung für das Problem! Danke schon mal für die Mühe im Voraus.

LG

Anbei mein Hijack File:

HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:43:50, on 24.08.2010

Platform: Windows Vista SP2 (WinNT 6.00.1906)

MSIE: Internet Explorer v8.00 (8.00.6001.18943)

Boot mode: Safe mode with network support

 

Running processes:

C:\Windows\Explorer.EXE

C:\Program Files\Mozilla Firefox\firefox.exe

C:\Users\Stefan\Downloads\HiJackThis(2).exe

 

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O1 - Hosts: ::1 localhost

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\ProgramData\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Program Files\AVG\AVG9\avgssie.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll

O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide

O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe"

O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "C:\Program Files\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript

O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')

O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O13 - Gopher Prefix: 

O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Program Files\AVG\AVG9\avgpp.dll

O20 - AppInit_DLLs: avgrsstx.dll

O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgemc.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Program Files\AVG\AVG9\avgwdsvc.exe

O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe

 

--

End of file - 3803 bytes

--- --- ---

hast du malwarebytes genutzt? dann poste bitte das scan log, zu finden unter logdateien.

Zitat:

Zitat von markusg (Beitrag 559262)

hast du malwarebytes genutzt? dann poste bitte das scan log, zu finden unter logdateien.

Hi!

Ich habs im normalen Modus versucht allerdings ging es nicht! Für die Anzahl an Objekten die im abgesicherten Modus wenige Minuten gebraucht hat brauchte er im Normalen 30 Minuten und danach ging wieder nichts mehr.

---

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4469

Windows 6.0.6002 Service Pack 2 (Safe Mode)
Internet Explorer 8.0.6001.18943

24.08.2010 16:27:50
mbam-log-2010-08-24 (16-27-50).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 126269
Laufzeit: 6 Minute(n), 45 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

LG

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Ich hab das jetzt im abgesicherten Modus gestartet allerdings bin ich dann nach dem automatischen Neustart in den Normalen gekommen und seit mehr als 20 Minuten hab ich nun ein blaues Fenster mit "Bereite LogDatei vor" vor mir ...

hmm dann schließ das mal und versuche combofix jetzt noch mal zu starten im normal modus.

Das hat leider auch nicht funktioniert, da im normale Modus Combofix nicht einmal gestartet hat!

Gibts vielleicht irgendeine Möglichkeit einzustellen dass man bei jedem Neustart gefragt werden will in welchen Modus man will oder alternativ automatisch in den abgesicherten Modus (mit Netzwerkverbindung) kommt?

naja du könntest halt bei pc start die f8taste oder welche das auch immer bei dir ist, drücken und dann abges.modus wählen.

Hi!

Danke! Das hab dann wohl ich verpfuscht beim 1. Mal.

---

ComboFix 10-08-23.05 - Stefan 24.08.2010 20:56:05.1.2 - x86 NETWORK
Microsoft® Windows Vista™ Home Premium 6.0.6002.2.1252.43.1031.18.1791.1387 [GMT 2:00]
ausgeführt von:: C:\Users\Stefan\Desktop\ComboFix.exe
SP: Windows Defender *enabled* (Updated) {D68DDC3A-831F-4FAE-9E44-DA132C1ACF46}
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\driVERs\jcpuaxx.sys . . . . Nicht in der Lage zu löschen
.
---- Vorheriger Suchlauf -------
.
c:\windows\system32\driVERs\jcpuaxx.sys . . . . Nicht in der Lage zu löschen

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_jcpuaxx
-------\Service_jcpuaxx
-------\Legacy_jcpuaxx
-------\Service_jcpuaxx
-------\Legacy_jcpuaxx
-------\Service_jcpuaxx
-------\Legacy_jcpuaxx
-------\Service_jcpuaxx

ich brauch schon alles
also das ganze log

Zitat:

Zitat von markusg (Beitrag 559556)

ich brauch schon alles
also das ganze log

Meinst du den Catchlog?

---

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:18
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:25
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:48
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:21
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:53
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:54
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:31:58
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:32:01
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:32:05
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:32:06
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-24 21:32:07
Windows 6.0.6002 Service Pack 2 NTFS

scanning hidden files ...

scan completed successfully
hidden files: 0

---

Unter ComboFix.txt steht nicht mehr drinnen, allerdings öffnete sich die Datei auch nicht wie in der BEschreibung beschrieben automatisch.

ok
start programme zubehör, editor, kopiere rein:

stepdel::
Killall::
Rootkit::
c:\windows\system32\driVERs\jcpuaxx.sys
Driver::
jcpuaxx

Datei speichern unter, typ alle dateien, name cfscript.txt
abspeichern wo sich combofix.exe befindet, ziehe cfscript auf combofix, programm startet, drauf achten das du wieder in den abges. modus startest, log posten.

Zitat:

Zitat von markusg (Beitrag 559579)

Es hat sich leider nichts verändert!

Nach dem Fenster dass es vorbereitet wird kommt weiterhin nichts mehr!

hast du ihn im abgesicherten modus gestartet und dann als er neu startete den abgesicherten modus ausgewählt? wenn ja versuchen wir ein anderes programmdownload den avenger und sieh dir die anleitung an:
Avenger
Kopiere folgendes script ein:

Drivers to disable:
jcpuaxx
Drivers to delete:
jcpuaxx
Files to delete:
c:\windmows\system32\driVERs\jcpuaxx.sys

führe das script wie beschrieben aus, pc wird neu starten, du musst beim start wieder f8 drücken, oder welche taste es bei dir auch ist, und den abgesicherten modus auswählen, log posten.

Zitat:

Zitat von markusg (Beitrag 559704)

hast du ihn im abgesicherten modus gestartet und dann als er neu startete den abgesicherten modus ausgewählt?

Ja hab ich!

Danke werd das Andere jetzt versuchen!

btw. F8 ist die richtige Taste