Google Suche leitet auf andere Seiten weiter
 

Hallo,

habe seit ein paar Tagen folgendes Problem:

Werde bei der Google Suche oft zu gomeo oder andere Seiten weitergeleitet. Habe seit ca. 2 Wochen den google chrome Browser installiert. Mit Morzilla hatte ich dieses Problem nie. Habe auch heute gelesen, daß der VLC Media Player probleme bereitet, deshalb habe ich ihn deinstalliert. Hier nun die Dateien, die ich über hijack und malwarebytes erhalten habe. Ich hoffe, daß Ihr mir hier helfen könnt. Die malware infizierten Dateien wurden alle von mir gelöscht, obwohl nach dem Scan nur in 2 Dateien der Haken gesetzt war. Hoffe, daß ich auch hier das richtige getan habe.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:20:27, on 31.12.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Application

Updater\ApplicationUpdater.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\system32\dgdersvc.exe
C:\WINDOWS\system32\FsUsbExService.Exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\StarMoney

7.0\ouservice\StarMoneyOnlineUpdate.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Avira\AntiVir Desktop\avmailc.exe
C:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
C:\Programme\TOSHIBA\TouchPad\TPTray.exe
C:\Programme\TOSHIBA\TOSHIBA

Zoom-Dienstprogramm\SmoothView.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Gemeinsame Dateien\Spigot\Search

Settings\SearchSettings.exe
C:\Programme\TOSHIBA\Touch and Launch\PadExe.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToo

lbarNotifier.exe
C:\WINDOWS\PCHEALTH\HELPCTR\Binaries\HelpCtr.exe
C:\Programme\Adobe\Reader 10.0\Reader\AcroRd32.exe
C:\Programme\Adobe\Reader 10.0\Reader\AcroRd32.exe
C:\Programme\Ashampoo\Ashampoo WinOptimizer

7\WO7.exe
C:\Programme\Ashampoo\Ashampoo WinOptimizer

7\Dfsdks.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Chrome\Applica

tion\chrome.exe
C:\Dokumente und Einstellungen\***\Eigene

Dateien\Downloads\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet

Explorer\Main,Start Page = hxxp://www.google.de/
R1 - HKLM\Software\Microsoft\Internet

Explorer\Main,Default_Page_URL =

hxxp://go.web.de/home
R1 - HKLM\Software\Microsoft\Internet

Explorer\Main,Default_Search_URL =

hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet

Explorer\Main,Start Page =

hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet

Explorer\SearchURL,(Default) =

hxxp://de.rd.yahoo.com/customize/ie/defaults/su/msg

r8/*hxxp://de.search.yahoo.com
R1 -

HKCU\Software\Microsoft\Windows\CurrentVersion\Inte

rnet Settings,ProxyServer = 127.0.0.1:4001
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: pdfforge Toolbar -

{B922D405-6D13-4A2B-AE89-08A030DA4402} -

C:\Programme\pdfforge

Toolbar\IE\4.1\pdfforgeToolbarIE.dll
R3 - URLSearchHook: MyAshampoo Toolbar -

{a1e75a0e-4397-4ba8-bb50-e19fb66890f4} -

C:\Programme\MyAshampoo\tbMyA0.dll
O2 - BHO: (no name) -

{02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AcroIEHelperStub -

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} -

C:\Programme\Gemeinsame

Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Conduit Engine -

{30F9B915-B755-4826-820B-08FBA6BD249D} -

C:\Programme\ConduitEngine\ConduitEngine.dll
O2 - BHO: DriveLetterAccess -

{5CA3D70E-1895-11CF-8E15-001234567890} -

C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Groove GFS Browser Helper -

{72853161-30C5-4D22-B7F9-0BBC1D38A37E} -

C:\Programme\Microsoft

Office\Office12\GrooveShellExtensions.dll
O2 - BHO: metaspinner GmbH -

{84B94901-3645-4D80-A6B7-4D0050B19455} - (no file)
O2 - BHO: MyAshampoo Toolbar -

{a1e75a0e-4397-4ba8-bb50-e19fb66890f4} -

C:\Programme\MyAshampoo\tbMyA0.dll
O2 - BHO: Google Toolbar Helper -

{AA58ED58-01DD-4d91-8333-CF10577473F7} -

C:\Programme\Google\Google

Toolbar\GoogleToolbar_32.dll
O2 - BHO: Google Toolbar Notifier BHO -

{AF69DE43-7D58-4638-B6FA-CE66B5AD205D} -

C:\Programme\Google\GoogleToolbarNotifier\5.6.5805.

1910\swg.dll
O2 - BHO: pdfforge Toolbar -

{B922D405-6D13-4A2B-AE89-08A030DA4402} -

C:\Programme\pdfforge

Toolbar\IE\4.1\pdfforgeToolbarIE.dll
O2 - BHO: metaspinner GmbH -

{CD9B7762-DFBC-42B1-BB30-02A78287B456} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper -

{DBC80044-A445-435b-BC74-9C25C1C588A9} -

C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl -

{E7E6F031-17CE-4C07-BC86-EABFE594F69C} -

C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin

.dll
O2 - BHO: metaspinner GmbH -

{E9E027BF-C3F3-4022-8F6B-8F6D39A59684} - (no file)
O3 - Toolbar: pdfforge Toolbar -

{B922D405-6D13-4A2B-AE89-08A030DA4402} -

C:\Programme\pdfforge

Toolbar\IE\4.1\pdfforgeToolbarIE.dll
O3 - Toolbar: Google Toolbar -

{2318C2B1-4965-11d4-9B18-009027A5CD4F} -

C:\Programme\Google\Google

Toolbar\GoogleToolbar_32.dll
O3 - Toolbar: MyAshampoo Toolbar -

{a1e75a0e-4397-4ba8-bb50-e19fb66890f4} -

C:\Programme\MyAshampoo\tbMyA0.dll
O4 - HKLM\..\Run: [igfxtray]

C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd]

C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers]

C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [CeEKEY]

C:\Programme\TOSHIBA\E-KEY\CeEKey.exe
O4 - HKLM\..\Run: [TPNF]

C:\Programme\TOSHIBA\TouchPad\TPTray.exe
O4 - HKLM\..\Run: [HWSetup]

C:\Programme\TOSHIBA\TOSHIBA Applet\HWSetup.exe

hwSetUP
O4 - HKLM\..\Run: [SVPWUTIL]

C:\Programme\Toshiba\Windows Utilities\SVPWUTIL.exe

SVPwUTIL
O4 - HKLM\..\Run: [SmoothView]

C:\Programme\TOSHIBA\TOSHIBA

Zoom-Dienstprogramm\SmoothView.exe
O4 - HKLM\..\Run: [Tvs]

C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [dla]

C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [avgnt]

"C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched]

"C:\Programme\Gemeinsame Dateien\Java\Java

Update\jusched.exe"
O4 - HKLM\..\Run: [SearchSettings]

"C:\Programme\Gemeinsame Dateien\Spigot\Search

Settings\SearchSettings.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher]

"C:\Programme\Adobe\Reader

10.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [PadTouch]

C:\Programme\TOSHIBA\Touch and Launch\PadExe.exe
O4 - HKLM\..\Run: [QuickTime Task]

"C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [Google Update] "C:\Dokumente und

Einstellungen\***\Lokale

Einstellungen\Anwendungsdaten\Google\Update\GoogleU

pdate.exe" /c
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE]

C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE]

C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 -

HKUS\S-1-5-21-2338043630-3754035264-2909744156-1005

\..\Run: [DriverMax] (User '?')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE]

C:\WINDOWS\system32\CTFMON.EXE (User '?')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE]

C:\WINDOWS\system32\CTFMON.EXE (User 'Default

user')
O6 - HKLM\Software\Policies\Microsoft\Internet

Explorer\Restrictions present
O6 - HKLM\Software\Policies\Microsoft\Internet

Explorer\Control Panel present
O8 - Extra context menu item: &Preispiratensuche

nach markiertem Text -

C:\\Programme\\Preispiraten3\\Preispiraten3\\preisp

iraten.html
O8 - Extra context menu item: CC Web-Interface -

hxxp://localhost:4002/cookie.cooker/loadifscript
O8 - Extra context menu item: Formulare ausfüllen

(echte Daten) -

hxxp://localhost:4002/cookie.cooker/fillscriptp
O8 - Extra context menu item: Formulare ausfüllen

(zufällig) -

hxxp://localhost:4002/cookie.cooker/fillscriptr
O8 - Extra context menu item: Google Sidewiki... -

res://C:\Programme\Google\Google

Toolbar\Component\GoogleToolbarDynamic_mui_en_E1171

2C84EA7E12B.dll/cmsidewiki.html
O8 - Extra context menu item: Nach Microsoft &Excel

exportieren -

res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel

exportieren -

res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O8 - Extra context menu item: Werbung blockieren -

hxxp://localhost:4002/cookie.cooker/scriptwerbung
O9 - Extra button: An OneNote senden -

{2670000A-7350-4f3c-8081-5663EE0C6C49} -

C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden -

{2670000A-7350-4f3c-8081-5663EE0C6C49} -

C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research -

{92780B25-18CC-41C8-B9BE-3C9C571A8263} -

C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite -

{B863453A-26C3-4e1f-A54D-A2CD196348E9} -

C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite -

{B863453A-26C3-4e1f-A54D-A2CD196348E9} -

C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) -

{e2e2dd38-d088-4134-82b7-f2ba38496583} -

C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 -

{e2e2dd38-d088-4134-82b7-f2ba38496583} -

C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger -

{FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger -

{FB5F1910-F110-11d2-BB9E-00C04F795683} -

C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} -

hxxp://download.mcafee.com/molbin/shared/mcinsctl/4

,0,0,101/mcinsctl.cab
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} -

hxxp://download.mcafee.com/molbin/shared/mcgdmgr/1,

0,0,26/mcgdmgr.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000}

(Shockwave Flash Object) -

hxxp://fpdownload2.macromedia.com/get/shockwave/cab

s/flash/swflash.cab
O16 - DPF: {DF6504AC-3EFE-4287-B259-FB299B069C95}

(WEBDE Fotoalbum Upload Control) -

https://img.web.de/v/mail/activex/fa_os_mms/upload_

1141.cab
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} -

hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.

cab
O18 - Protocol: grooveLocalGWS -

{88FED34C-F0CA-4636-A375-3CB6248B04CD} -

C:\Programme\Microsoft

Office\Office12\GrooveSystemServices.dll
O23 - Service: Avira AntiVir MailGuard

(AntiVirMailService) - Avira GmbH -

C:\Programme\Avira\AntiVir Desktop\avmailc.exe
O23 - Service: Avira AntiVir Planer

(AntiVirSchedulerService) - Avira GmbH -

C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService)

- Avira GmbH - C:\Programme\Avira\AntiVir

Desktop\avguard.exe
O23 - Service: Avira AntiVir WebGuard

(AntiVirWebService) - Avira GmbH -

C:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE
O23 - Service: Application Updater - Spigot, Inc. -

C:\Programme\Application

Updater\ApplicationUpdater.exe
O23 - Service: Defragmentation-Service (DfSdkS) -

mst software GmbH, Germany -

C:\Programme\Ashampoo\Ashampoo WinOptimizer

7\Dfsdks.exe
O23 - Service: Device Error Recovery Service

(dgdersvc) - Devguru Co., Ltd. -

C:\WINDOWS\system32\dgdersvc.exe
O23 - Service: FsUsbExService - Teruten -

C:\WINDOWS\system32\FsUsbExService.Exe
O23 - Service: Google Update Service

(gupdate1c9b78eb91e5382) (gupdate1c9b78eb91e5382) -

Google Inc. -

C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) -

Google - C:\Programme\Google\Common\Google

Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter

(JavaQuickStarterService) - Sun Microsystems, Inc.

- C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: StarMoney 7.0 OnlineUpdate - Star

Finanz - Software Entwicklung und Vertriebs GmbH -

C:\Programme\StarMoney

7.0\ouservice\StarMoneyOnlineUpdate.exe

--
End of file - 12622 bytes
-----------------------------------------------------

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5429

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

31.12.2010 21:54:43
mbam-log-2010-12-31 (21-54-43).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 154558
Laufzeit: 5 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 3
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
c:\programme\application updater\applicationupdater.exe (PUP.Dealio) -> 1512 -> Unloaded process successfully.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Application Updater (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (PUP.Dealio) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{E312764E-7706-43F1-8DAB-FCDD2B1E416D} (PUP.Dealio) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\PROGRAMME\APPLICATION UPDATER\APPLICATIONUPDATER.EXE (PUP.Dealio) -> Value: APPLICATIONUPDATER.EXE -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Value: {B922D405-6D13-4A2B-AE89-08A030DA4402} -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{B922D405-6D13-4A2B-AE89-08A030DA4402} (PUP.Dealio) -> Value: {B922D405-6D13-4A2B-AE89-08A030DA4402} -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\programme\application updater\applicationupdater.exe (PUP.Dealio) -> Quarantined and deleted successfully.
c:\programme\pdfforge toolbar\IE\4.1\pdfforgetoolbarie.dll (PUP.Dealio) -> Quarantined and deleted successfully.

LG Axel

Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten bitte

Hallo Markus,

mit dem Download bin ich direkt auf die deutsche Version gestoßen. Habe dann alles so gemacht, wie du es mir beschrieben hattest.
Muß Dir den aktuellen Stand noch mitteilen und was ich noch festgestellt habe. War gestern den ganzen Tag mit meinem Computerproblem beschäftigt. Hierbei wollte ich über Systemsteuerung auf Benutzerkonten was nicht ging. Hierbei kam die Meldung: "Falsche Anzahl an Argumenten oder ungültige Eigenschaftszuweisung". Über "Ausführen - control userpasswords2" kam ich rein und habe dann festgestellt, daß ein Benutzernamen drin war, den ich niemals angelegt hatte. Den habe ich dann sofort entfernt. Auch über die Computerverwaltung bin ich nicht in lokale Benutzer reingekommen. Dort steht ein rotes X. Habe 2 Screenshot als jpg mit angehangen.
Über Malwarebytes habe ich nun alle infizierten Dateien gelöscht, so daß hier keine Fehlermeldung mehr erscheint. Vorab DANKE für deine Hilfe.


Anhang 12059

Anhang 12060

Anhang 12070

Anhang 12058


LG Axel

wo ist die otl.txt?
und poste die logs von malwarebytes, woher soll ich sonst wissen was gefunden wurde :-)

Hallo Markus,

wenn du jetzt auf die zip gehst, dann kannst du die otl öffnen. Die infizierte Log Datei von malewarebytes hatte ich ja in meinem ersten Schreiben ganz oben gelistet. Hier nun die aktuelle von gestern, wo nichts mehr gefunden wurde.


Malwarebytes' Anti-Malware 1.50.1.1100
Malwarebytes

Datenbank Version: 5429

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

01.01.2011 13:30:45
mbam-log-2011-01-01 (13-30-45).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 154126
Laufzeit: 5 Minute(n), 14 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

ok.

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Hallo Markus,

hast du einen sicheren Link für combofix Download. Konnte diesen auf der Seite nicht finden, die Du mir gegeben hast. Oder muss ich mich dort auch zuerst registrieren?

Gruss Axel

im tutorial sind links. registrierung ist nicht nötig.

habe ich nun gemacht, aber wenn ich auf Ausführen gehe, erscheint bei mir nicht dieses Fenster. Es tut sich garnichts ! Er arbeitet im Hintergrund, aber es öffnet sich kein Fenster

lösche mal deine version und lade neu runter.
diesmal, rechtsklick auf den download link, ziehl speichern unter.
lösche
combofix.exe
den namen, und schreibe
2345.com
rein dann speichern und noch mal versuchen

Hallo Markus,

ich hatte gerade den total Absturz. Habe alles so gemacht, so wie Du es geschildert hattest. Computer ist bei "Fertiggestellt ca. 50" abgestürzt. Habe mal ein paar Screenshots angehangen. Was nun?

Anhang 12091

Anhang 12092

Anhang 12093

Anhang 12094


Gruss Axel

starte mal neu, dann f8, damit du in den abgesicherten modus kommst. bitte nicht den mit netzwerk, dort versuche erneut combofix.

Hallo Markus,

habe den Pc im abgesicherten Modus hochgefahren, also ohne Netzwerk.
Danach combofix gestartet. Habe Dir Fotos mit angehangen, was dann passiert ist. Ich weiss keinen Rat mehr. Bestünde denn die Möglichkeit, daß Du über ein Tool mal meinen Computer bedienst?

Anhang 12107

Anhang 12108

Anhang 12109

Anhang 12110

Anhang 12111

Anhang 12112

die besteht nicht.
tdss killer:
http://www.trojaner-board.de/82358-t...tml#post640150

hallo Markus,

ich hatte mal einen Rootscan gemacht...kannst Du damit was anfangen?

warum postest du das? ist es das, was ich oben geschrieben hab?

hallo Markus,

sorry !! Hier nun ein Screenshot von dem Scan.

Anhang 12128

hallo Markus,

hier der Report für Dich

hallo Markus,

nachdem ich den PC jetzt neu gestartet habe, zeigte er mir Not Found an. Also hätten wir das wohl gelöst.
Wie kriegen wir das Problem mit dem Benutzerkonto über Systemsteuerung und in computerverwaltung die lokalen Benutzer in den Griff?
Vorab schon mal DANKE für deine bisherige Hilfe. Werde Euch auch einen Betrag via paypal überweisen.

lg Axel

ok, wie läuft der pc nach neustart? google umleitung noch aktiev?

habe gerade ein paar Versuche mit dem chrome browser bei der google suche gemacht und ich konnte keine Weiterleitung feststellen.
Was mir eingefallen ist: Was hältst Du denn von einer Systemwiderherstellung? Könnte man damit vielleicht die Benutzerkonten und lokale Benutzer wieder in den Griff kriegen? Bin absoluter Leie, mache auch nur noch das, was Du mir mitteilst.

lg Axel

nein damit würden wir vllt den trojaner wieder zurück hohlen.
machst du onlinebanking /einkäufe?

Hi Markus,

ja, ich mache onlinebanking und auch Einkäufe übers Internet ! Vermute mal, daß ich mir den Trojaner in den letzten 2-3 Wochen eingefangen habe. Wenn ich die Systemwiederherstellung auf Ende Oktober setzen würde?
Ich bin Laie, Du der Spezialist. Entscheide Du !

LG Axel

eine systemwiederherstellung nützt dort nichts!
du musst die bank anrufen, online banking sperren lassen!
dann solltest du daten sichern, und neu aufsetzen. ich gebe dir ne anleitung um das system neu aufzusetzen.
du hattest ein rootkit auf dem system, damit kann ein angreifer alles mit deinem system machen was er möchte, enderungen vor nehmen die für uns nicht nachvollziehbar sind etc.
um wieder online einzukaufen und banking betreiben zu können, musst du neu aufsetzen.
wenn du deine daten gesichert hast, melde dich bitte, dann gibts weitere anleitung.

Hallo Markus,

da ich noch einen 2. Rechner habe, werde ich ausschließlich mit diesem Rechner onlinebanking tätigen. Somit muss ich ja dann auf diesem Rechner das System nicht wieder neu aufsetzen.
wie ich das rote X unter lokale Benutzer und Gruppen wegkriege, weißt Du auch nicht oder?

lg Axel

naja onlinebanking ist die eine seite, man kann aber solche infizierten pcs zu noch viel mehr verwenden, spam, und ddos angriffe etc.
das würde wiederum deinen provider auf den plan rufen, der deinen internet zugang einschrenken könnte. also ist formatieren + neuaufsetzen schon ne überlegung wert