Trojaner-Board - Trojan Downloader win32/renos.pp

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojan Downloader win32/renos.pp (https://www.trojaner-board.de/98437-trojan-downloader-win32-renos-pp.html)

Trojan Downloader win32/renos.pp

Hallo,
ich habe mir gestern einen Trojaner eingefangen.
Der Windows Defender hat ihn gefunden. Ich habe dann versucht ihn mit dem Defender zu entfernen. Leider hat das nicht wirklich funktioniert und nach jedem Neustart des PC´s war er wieder da. Antivir und Spybot haben ihn gar nicht entdeckt.
Dann habe ich mir Malwarebytes heruntergeladen und einen Quickscan gemacht. Das Programm hat den Trojaner auch entdeckt und entfernt bzw. erst in die Quarantäne verschoben, wo ich ihn dann gelöscht habe.

Danach habe ich die Programme Windows Defender und Malwarebyte noch einige male durchlaufen lassen, beide haben den Trojaner nicht mehr gefunden. Auch das Löschen mit dem CCleaner und Clearprog habe ich mehrmals angestossen.
Die Download Fenster, die sich immer plötzlich geöffnet haben, erscheinen nicht mehr. Deshalb hoffe ich, dass ich ihn wirklich entfernt habe.

Heute hat Malwarebyte dafür eine andere infizierte Datei gefunden Adware.ADON. Hat das was zu sagen?

Ich bin nun unsicher, ob mein PC wirklich wieder sicher ist.

Anbei die Malwarebyte Logdateien und die OTL Datei.

Es würde mich sehr freuen, wenn Sie mir helfen und sich die Dateien ansehen könnten.

Vielen Dank!

Hab die 2. OTL Logfile vergessen:

Die Scans sind schon etwas her. Bitte Malwarebytes updaten und einen neuen Vollscan machen.

So, hab Malwarebytes aktualisiert und einen Fullscan gemacht.

Hier das Ergebnis:

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]

O33 - MountPoints2\{74dcff52-f432-11de-8081-806e6f6e6963}\Shell - "" = AutoRun

O33 - MountPoints2\{74dcff52-f432-11de-8081-806e6f6e6963}\Shell\AutoRun\command - "" = E:\install.exe

[2011.04.28 19:48:12 | 000,000,310 | -HS- | M] () -- C:\windows\tasks\Heuptcj.job

[2011.04.28 19:48:12 | 000,000,308 | -HS- | M] () -- C:\windows\tasks\Aksrwz.job

[2011.04.28 19:48:12 | 000,000,302 | -HS- | M] () -- C:\windows\tasks\Uyxibg.job

@Alternate Data Stream - 142 bytes -> C:\ProgramData\Temp:4CF61E54

@Alternate Data Stream - 130 bytes -> C:\ProgramData\Temp:ABE89FFE

@Alternate Data Stream - 120 bytes -> C:\ProgramData\Temp:E1F04E8D

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

So, alles erledigt. Ich hoffe, ich hab alles richtig gemacht.

All processes killed
========== OTL ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\autoexec.bat moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{74dcff52-f432-11de-8081-806e6f6e6963}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{74dcff52-f432-11de-8081-806e6f6e6963}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{74dcff52-f432-11de-8081-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{74dcff52-f432-11de-8081-806e6f6e6963}\ not found.
File E:\install.exe not found.
C:\Windows\Tasks\Heuptcj.job moved successfully.
C:\Windows\Tasks\Aksrwz.job moved successfully.
C:\Windows\Tasks\Uyxibg.job moved successfully.
ADS C:\ProgramData\Temp:4CF61E54 deleted successfully.
ADS C:\ProgramData\Temp:ABE89FFE deleted successfully.
ADS C:\ProgramData\Temp:E1F04E8D deleted successfully.
========== COMMANDS ==========
C:\windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: ****
->Temp folder emptied: 133247 bytes
->Temporary Internet Files folder emptied: 17685778 bytes
->Java cache emptied: 23957 bytes
->Flash cache emptied: 1963536 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Public

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 1406560 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 28538 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 20.00 mb

OTL by OldTimer - Version 3.2.22.3 log created on 05062011_203502

Files\Folders moved on Reboot...
File\Folder C:\Users\****\AppData\Local\Temp\~DF2514E99C957B5959.TMP not found!
File\Folder C:\Users\****\AppData\Local\Temp\~DFA14C5D85B7402B2D.TMP not found!
File\Folder C:\Users\****\AppData\Local\Temp\~DFE9E577CBCB794964.TMP not found!
File\Folder C:\Users\****\AppData\Local\Temp\~DFF688516AEF16C4E2.TMP not found!
C:\Users\****\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\O574I9CE\98437-trojan-downloader-win32-renos-pp[1].html moved successfully.
C:\Users\****\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\O574I9CE\ads[1].htm moved successfully.
C:\Users\****\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\09R5BIKE\ads[1].htm moved successfully.
C:\Users\****\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\09R5BIKE\cm[1].htm moved successfully.
C:\Users\****\AppData\Local\Microsoft\Windows\Temporary Internet Files\AntiPhishing\2CEDBFBC-DBA8-43AA-B1FD-CC8E6316E3E2.dat moved successfully.

Registry entries deleted on Reboot...

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Vista und 7 User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

TDSS Killer sagt:
Infection not found.

Kein Log zum posten.

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Combofix Logfile:

Code:

ComboFix 11-05-06.02 - **** 06.05.2011  22:07:57.1.2 - x86

Microsoft Windows 7 Home Premium   6.1.7600.0.1252.49.1031.18.3033.2049 [GMT 2:00]

ausgeführt von:: c:\users\****\Desktop\cofi.exe

AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}

SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 * Neuer Wiederherstellungspunkt wurde erstellt

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\programdata\FullRemove.exe

c:\users\****\AppData\Roaming\.#

c:\users\****\AppData\Roaming\Adobe\plugs

c:\users\****\AppData\Roaming\Adobe\shed

c:\users\****\AppData\Roaming\Desktopicon

c:\users\****\AppData\Roaming\Desktopicon\config.ini

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-04-06 bis 2011-05-06  ))))))))))))))))))))))))))))))

.

.

2011-05-06 20:11 . 2011-05-06 20:11        --------        d-----w-        c:\users\****\AppData\Local\temp

2011-05-06 20:11 . 2011-05-06 20:11        --------        d-----w-        c:\users\Default\AppData\Local\temp

2011-05-06 18:35 . 2011-05-06 18:35        --------        d-----w-        C:\_OTL

2011-05-06 14:53 . 2011-04-11 07:04        7071056        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{9CA152FC-83CF-4E66-8574-7155257E3F36}\mpengine.dll

2011-04-29 20:05 . 2011-04-29 20:05        --------        d-----w-        c:\users\****\AppData\Roaming\Avira

2011-04-29 20:02 . 2011-04-29 20:02        --------        d-----w-        c:\programdata\Avira

2011-04-29 20:02 . 2011-04-29 20:02        --------        d-----w-        c:\program files\Avira

2011-04-29 20:02 . 2011-04-01 15:07        61960        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2011-04-29 20:02 . 2011-04-01 15:07        137656        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-04-28 17:55 . 2011-04-28 17:55        --------        d-----w-        c:\program files\Common Files\Java

2011-04-27 21:29 . 2011-04-27 21:29        --------        d-----w-        c:\users\****\AppData\Roaming\Malwarebytes

2011-04-27 21:29 . 2010-12-20 16:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-04-27 21:29 . 2011-04-27 21:29        --------        d-----w-        c:\programdata\Malwarebytes

2011-04-27 21:29 . 2011-04-27 21:29        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2011-04-27 21:29 . 2010-12-20 16:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-04-27 20:18 . 2011-05-06 20:04        --------        d-----w-        c:\programdata\Spybot - Search & Destroy

2011-04-27 20:18 . 2011-04-27 20:19        --------        d-----w-        c:\program files\Spybot - Search & Destroy

2011-04-27 18:58 . 2011-04-27 19:00        --------        d-----w-        c:\users\****\AppData\Roaming\3BB4B72A90B40679CDE57347279FDA5C

2011-04-15 16:37 . 2011-03-03 03:31        2331136        ----a-w-        c:\windows\system32\win32k.sys

2011-04-15 16:37 . 2011-02-12 05:30        191488        ----a-w-        c:\windows\system32\FXSCOVER.exe

2011-04-15 16:37 . 2011-02-24 05:32        288256        ----a-w-        c:\windows\system32\XpsGdiConverter.dll

2011-04-15 16:37 . 2011-03-08 05:38        740864        ----a-w-        c:\windows\system32\inetcomm.dll

2011-04-15 16:37 . 2011-03-11 05:40        1164288        ----a-w-        c:\windows\system32\mfc42u.dll

2011-04-15 16:37 . 2011-03-11 05:40        1137664        ----a-w-        c:\windows\system32\mfc42.dll

2011-04-15 16:37 . 2011-02-23 05:05        221696        ----a-w-        c:\windows\system32\drivers\mrxsmb10.sys

2011-04-15 16:37 . 2011-02-23 05:05        95744        ----a-w-        c:\windows\system32\drivers\mrxsmb20.sys

2011-04-15 16:37 . 2011-02-23 05:05        123392        ----a-w-        c:\windows\system32\drivers\mrxsmb.sys

2011-04-15 16:37 . 2011-02-23 05:05        69632        ----a-w-        c:\windows\system32\drivers\bowser.sys

2011-04-14 01:39 . 2011-04-14 01:39        103864        ----a-w-        c:\program files\Internet Explorer\Plugins\nppdf32.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-02-19 05:33 . 2011-03-08 19:22        802304        ----a-w-        c:\windows\system32\FntCache.dll

2011-02-19 05:32 . 2011-03-08 19:22        1074176        ----a-w-        c:\windows\system32\DWrite.dll

2011-02-19 05:32 . 2011-03-08 19:22        739840        ----a-w-        c:\windows\system32\d2d1.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"SpybotSD TeaTimer"="c:\program files\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2009-11-21 8092192]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2009-10-10 1578280]

"UpdateLBPShortCut"="c:\program files\CyberLink\LabelPrint\MUITransfer\MUIStartMenu.exe" [2009-05-19 222504]

"CLMLServer"="c:\program files\CyberLink\Power2Go\CLMLSvc.exe" [2009-06-03 103720]

"UpdateP2GoShortCut"="c:\program files\CyberLink\Power2Go\MUITransfer\MUIStartMenu.exe" [2009-05-19 222504]

"UpdatePDRShortCut"="c:\program files\CyberLink\PowerDirector\MUITransfer\MUIStartMenu.exe" [2008-01-04 222504]

"RemoteControl8"="c:\program files\CyberLink\PowerDVD8\PDVD8Serv.exe" [2009-04-15 91432]

"PDVD8LanguageShortcut"="c:\program files\CyberLink\PowerDVD8\Language\Language.exe" [2009-04-15 50472]

"UpdatePPShortCut"="c:\program files\CyberLink\PowerProducer\MUITransfer\MUIStartMenu.exe" [2008-12-03 218408]

"UpdatePSTShortCut"="c:\program files\CyberLink\DVD Suite\MUITransfer\MUIStartMenu.exe" [2009-07-21 210216]

"APLangApp"="c:\program files\AnyPC Client\APLangApp.exe" [2009-10-20 13312]

"UCam_Menu"="c:\program files\CyberLink\YouCam\MUITransfer\MUIStartMenu.exe" [2009-05-19 222504]

"Easy-PrintToolBox"="c:\program files\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 409600]

"Mouse Suite 98 Daemon"="ICO.EXE" [2004-07-14 57344]

"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-09-08 421888]

"NeroCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-08-25 136216]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-08-25 171032]

"Persistence"="c:\windows\system32\igfxpers.exe" [2010-08-25 170520]

"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2010-10-29 249064]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2011-03-28 281768]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 0 (0x0)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableLUA"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

"PromptOnSecureDesktop"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Security Packages        REG_MULTI_SZ           kerberos msv1_0 schannel wdigest tspkg pku2u livessp

.

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 gupdate;Google Update Service (gupdate);c:\program files\Google\Update\GoogleUpdate.exe [2010-06-13 136176]

R3 gupdatem;Google Update-Dienst (gupdatem);c:\program files\Google\Update\GoogleUpdate.exe [2010-06-13 136176]

R3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [2009-07-13 139776]

S1 SABI;SAMSUNG Kernel Driver For Windows 7;c:\windows\system32\Drivers\SABI.sys [2009-05-28 10752]

S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]

S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2011-03-28 136360]

S2 OberonGameConsoleService;Oberon Media Game Console service;c:\program files\Samsung Casual Games\GameConsole\OberonGameConsoleService.exe [2009-08-13 44312]

S2 SBSDWSCService;SBSD Security Center Service;c:\program files\Spybot - Search & Destroy\SDWinSec.exe [2009-01-26 1153368]

S3 CryptOSD;Phoenix CryptOSD Device Driver;c:\windows\system32\DRIVERS\CryptOSD.sys [2009-05-01 384896]

S3 IntcHdmiAddService;Intel(R) High Definition Audio HDMI;c:\windows\system32\drivers\IntcHdmi.sys [2009-07-10 122880]

S3 vwifimp;Microsoft Virtual WiFi Miniport Service;c:\windows\system32\DRIVERS\vwifimp.sys [2009-07-13 14336]

S3 yukonw7;NDIS6.2 Miniport Driver for Marvell Yukon Ethernet Controller;c:\windows\system32\DRIVERS\yk62x86.sys [2009-09-28 315392]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - KLMD25

*Deregistered* - klmd25

.

Inhalt des "geplante Tasks" Ordners

.

2011-05-06 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-06-13 12:46]

.

2011-05-06 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-06-13 12:46]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.com/ig/redirectdomain?brand=smsn&bmod=smsn

uDefault_Search_URL = hxxp://www.google.com/ie

uSearchAssistant = hxxp://www.google.com/ie

uSearchURL,(Default) = hxxp://www.google.com/search?q=%s

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: Easy-WebPrint - Drucken - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_Print.html

IE: Easy-WebPrint - Schnelldruck - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html

IE: Easy-WebPrint - Vorschau - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html

IE: Easy-WebPrint - Zu Druckliste hinzufügen - c:\program files\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html

IE: Google Sidewiki... - c:\program files\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000

DPF: {34DC6011-88B5-4EA9-BA7A-DC7B4F4437FE} - hxxp://photoservice.fujicolor.eu/ips-opdata/objects/jordan.cab

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

Toolbar-Locked - (no file)

HKLM-Run-zzzHPSETUP - E:\Setup.exe

SafeBoot-mcmscsvc

SafeBoot-MCODS

.

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

Zeit der Fertigstellung: 2011-05-06  22:13:00

ComboFix-quarantined-files.txt  2011-05-06 20:12

.

Vor Suchlauf: 12 Verzeichnis(se), 120.915.247.104 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 120.820.953.088 Bytes frei

.

- - End Of File - - 64638F3E820186C8FA3B2D90B3DB7ABF

--- --- ---

Müssen wir noch viel machen?
Bin nämlich ab morgen 2 Wochen nicht online.

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

Folder::

c:\users\****\AppData\Roaming\3BB4B72A90B40679CDE57347279FDA5C

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo, da bin ich wieder.

Habe nun versucht, nach obiger Anleitung Combofix zu scripten, bekomme aber nun den Hinweis, dassCombofix nicht mehr aktuell bzw. abgelaufen ist.

Muss ich jetzt alles wieder von vorne machen?

Starte Windows neu, lösch die alte cofi.exe, lade CF neu als cofi.exe runter und probier es bitte nochmal. Nach einer bestimmten Zeit muss man CF neu runterladen.

So, anbei nun die neue Combofix Log Datei. Allerdings bin ich nicht nach einem Neustart gefragt worden.
Hab ich was falsch gemacht?

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes