OK. Jetzt hats funktioniert.

d:\i386\pci.sy_ wird zu c:i386.pci.sys expandiert
d:\i386\pci.sy_ : 37426 Bytes zu 68224 Bytes expandiert, 82% Vergrößerung.

In C:\I386 hab ich jetzt eine Datei, PCI.SY_
die ist 37KB groß.

Die 68KB seh ich allerdings jetzt nicht.

Hi,

c:i386.pci.sys
sollte sein:
C:\i386\pci.sys, keine ....
Oder von MS:Fehlermeldung "Pci.sys fehlt oder ist beschädigt" beim Starten von Windows

chris
Ps.: Bin jetzt mal weg, auf dem Weg nach Hause... u. U. bin ich heute Abend noch Online...

super, hat funktionert. Jetzt hab ich also den Ordner

C:\I386

mit den Beiden Dateien PCI.SY_ (37KB) und PCI.SYS (67KB)

Hi,

gut, jetzt lass den Killer den Rechner neu booten...
Bin jetzt dann mal weg...

chris

Vielen Dank für Deine Bemühungen erstmal!

Ich hab den Killer nochmal scannen lassen, gefunden hat er aber nichts; dafür ist der Computer abgestürzt, läuft aber nach dem Reboot erstmal fehlerfrei.

ich habe erstens meinen Sound wieder, und zweitens ist die Taskleiste wieder normal.

Falls es von Interesse sein sollte, dies ist das Protokoll nach dem Absturz, das ich nicht zu Microsoft geschickt habe:

Das System wird nach einem schwerwiegenden Fehler wieder ausgeführt.

BCCode : 24 BCP1 : 001902FE BCP2 : F78BA3BC BCP3 : F78BA0B8
BCP4 : 00000000 OSVer : 5_1_2600 SP : 3_0 Product : 768_1

C:\DOKUME~1\XXXX\LOKALE~1\Temp\WERa93f.dir00\Mini091610-01.dmp
C:\DOKUME~1\XXXX\LOKALE~1\Temp\WERa93f.dir00\sysdata.xml

Meinst du, ich bin diese Landplage jetzt los?

Und was für möglichkeiten gibt es denn, solchen Schädlinge in Zukunft keine neue Heimat zu bieten?
Reicht es neben Avira aus, ohne administrative Rechte online zu gehen?

Ich bin wirklich begeistert von diesem Forum! Weiter so! Ich such schonmal den "Donate" Button ;)

Hi,

wir machen jetzt noch den Gegencheck mit Cureit:

http://www.trojaner-board.de/59299-a...eb-cureit.html
Nach Beendigung des Scans findes Du das Log unter %USERPROFILE%\DoctorWeb\CureIt.log.
Bevor du irgendwelche Aktionen unternimmst, kopiere bitte den Inhalt des Logs und poste ihn.
Die Log Datei ist sehr groß, ca. über 5MB Text. Benutzt einfach die Suche nach "infiziert" und kopiert betreffende Teile heraus, bevor Du sie postet.

Ich empfehle meistens noch einen verhaltensbasierten Scanner wie Threadfire (verträgt sich mit Avira gut):ThreatFire-AntiVirus - Verhaltensorientierter Schutz gegen Viren und Spyware. Da gibts dann auch eine kostenlose Variante...

chris

Hallo, da bin ich nochmal. Habe jetzt mal Dr. Web im abgesicherten Modus laufen lassen, hat wirklich lange gedauert, allerdings hat er auch wieder ne Menge gefunden. Der Report ist allerdings sehr klein, ich hoffe, es ist der richtige Report...

438c93e6-109d2493\dev/s/AdgredY.class;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\38\438c93e6-109d2493;Java.Downloader.49;;
438c93e6-109d2493;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\38;Archiv enth‰lt infizierte Objekte;Verschoben.;
509f69c4-76091c7e\dev/s/AdgredY.class;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4\509f69c4-76091c7e;Exploit.Java.87;;
509f69c4-76091c7e\dev/s/DyesyasZ.class;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4\509f69c4-76091c7e;Exploit.Java.87;;
509f69c4-76091c7e\dev/s/LoaderX.class;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4\509f69c4-76091c7e;Exploit.Java.87;;
509f69c4-76091c7e;C:\Dokumente und Einstellungen\XXXX\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\4;Archiv enth‰lt infizierte Objekte;Verschoben.;
PluginSetup.EXE\data001;C:\Dokumente und Einstellungen\XXXX\Eigene Dateien\Downloads\Videograbber2010.exe/data002/{app}\PluginSetup.EXE;BackDoor.Muma.origin;;
{app}\PluginSetup.EXE;C:\Dokumente und Einstellungen\XXXX\Eigene Dateien\Downloads\Videograbber2010.exe/data002/{app};Container enth‰lt infizierte Objekte;;
data002;C:\Dokumente und Einstellungen\XXXX\Eigene Dateien\Downloads;Container enth‰lt infizierte Objekte;;
Videograbber2010.exe;C:\Dokumente und Einstellungen\XXXX\Eigene Dateien\Downloads;Container enth‰lt infizierte Objekte;Verschoben.;
E686B5E9d01\gziped.gz;C:\Dokumente und Einstellungen\Retep\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\xayaqfq9.default\Cache\E686B;Wahrscheinlich SCRIPT.Virus;;
E686B5E9d01;C:\Dokumente und Einstellungen\Retep\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\xayaqfq9.default\Cache;Archiv enth‰lt infizierte Objekte;Verschoben.;
x55q5w.dll.vir;C:\Qoobox\Quarantine\C\WINDOWS\system32\spool\prtprocs\w32x86;Trojan.Inject.9856;Gelˆscht.;
A0071226.dll;C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP299;Trojan.Inject.9856;Gelˆscht.;
A0071227.dll;C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP299;BackDoor.Tdss.4246;Gelˆscht.;
A0074478.exe;C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP300;Trojan.MulDrop1.46285;Nicht desinfizierbar.Verschoben.;
A0074521.dll;C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP300;Trojan.Inject.9856;Gelˆscht.;
eXplorer.exe;F:\;Trojan.MulDrop1.46285;Nicht desinfizierbar.Verschoben.;

Kurios: Der letzte Fund auf F: - das ist mein Memory Stick, mit dem ich Daten vom Mac, mit dem ich gerade online bin und dem PC hin und her transferiere.
Die infizierte Datei "eXplorer" ist in wirklichkeit ein "getarntes" GMER oder ComboFix, das ich gestern herunter geladen habe.
Bedeutet das, daß die EXE schon über den Stick infiziert wurde?

Ich werde den Memory Stick jetzt gleich über den Mac formatieren, reicht das aus?

OK, hab den 14 (!) MB Log gefunden und ihn nach "infiziert" durchsucht. Das hier kann ich bieten:


C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP299\A0071226.dll infiziert mit Trojan.Inject.9856 - gelˆscht

C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP299\A0071227.dll infiziert mit BackDoor.Tdss.4246 - gelˆscht

C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP300\A0074478.exe infiziert mit Trojan.MulDrop1.46285 - nicht desinfizierbar - verschoben

C:\System Volume Information\_restore{49EE899F-E5EE-4DDB-BD64-FA052C939697}\RP300\A0074521.dll infiziert mit Trojan.Inject.9856 - gelˆscht

F:\eXplorer.exe infiziert mit Trojan.MulDrop1.46285 - nicht desinfizierbar - verschoben

Hi,

Systemwiederherstellung löschen
BSI-Faltblattt (https://www.bsi.bund.de/cln_134/ContentBSI/Publikationen/Faltblaetter/F24VirenundCo.html) und dort unter Viren entfernen
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

Führe nochmal den TDDS-Killer aus, ob die infizierte Datei tatsächlich bereinigt wurde...

Danach:
Superantispyware:
Anleitung&Download hier: http://www.trojaner-board.de/51871-a...tispyware.html

chris

Habe jetzt einen neuen Systemwiederherstellungspunkt erstellt, den alten habe ich gelöscht.

TDDS - Killer hat nichts gefunden.

Allerdings sagst du

also löschen LASSEN, soll ich das von einem Programm übernehmen lassen, oder mache ich das manuell durch Drag & Drop?

Soll ich abschließend nochmal OTL laufen lassen, ich habe ja glaube ich noch die Umleitung in die Ukraine, wenn ich ins Internet gehen möchte...

Hi,

wenn Du die Systemwiederherstellung wie angegeben ausgeschaltet hast, dann
werden alle Systemwiederherstellungspunkte automatisch gelöscht...

Das Java-Teil ist langsam nervtötend...

chris
Ps.: Bin ab heute Mittag die nächsten drei Tage unterwegs (nicht erreichbar)!

Ich hab jetzt nochmal OTL laufen lassen, sollte ja eigentlich jetzt in Ordnung sein, aber könnte ich die Logs lesen, wäre ich jetzt ja nicht bei euch im Forum :)

Was meintest du mit dem nervtötenden Java Teil? Ich bin mir nämlich 99% sicher, daß ich mir den Schädling über Java eingefangen habe, ich habe nämlich bestimmt nirgendwo draufgeklickt, sondern muss die Infektion wohl über Drive-By bekommen haben...
Kann ich mich da irgendwie schützen?

Schau bitte nochmal, ob ich immer noch via Ukraine ins Netz gehe, ansonsten wünsch ich Dir eine schöne Forenfreie Zeit. Falls es noch Probleme gibt melde ich mich nochmal Mitte der Woche und sag jetzt schonmal 1000 Dank!OTL Logfile:
--- --- ---
OTL Logfile:
--- --- ---

ich bumpe mich nochmal nach oben. Das System scheint jetzt soweit problemlos zu laufen, allerdings würde ich einen gerne auf ein finales OK warten, bevor ich wieder ruhigen gewissens online gehen kann.

Auch die Sache mit dem ukrainischen Proxy beunruhigt mich noch etwas (Seite 1)

Danke schonmal!

Hi,

das sieht soweit ok aus...

chris

Perfekt! 1000 Dank nochmal!

Dann kann der Thread wohl zu ;)