Ich brauch die beiden Quarantäneordner von Combofix und OTL. Bitte folgendes machen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinflussen!
2.) Ordner MovedFiles in C:\_OTL in eine Datei zippen
3.) Ordner Quarantine in C:\Qoobox in eine Datei zippen
4.) Beide erstellten ZIP-Dateien hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html

Hinweis: Die Dateien bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Dateien hier als Anhang in den Thread posten!

5.) Wenns erfolgreich war Bescheid sagen
6.) Erst dann wieder den Virenscanner einschalten

C_OLT ->

Keine Schwierigkeiten, ist hochgeladen.

Qoobox ->

Kann den Inhalt von C:\Qoobox\BackEnv\* nicht lesen.
C:\Qoobox.zip: Konnte Qoobox.zip nicht erstellen.
Zugriff verweigert

Nicht Qoobox komplett, sondern nur den Ordner Qurantine innerhalb von Qoobox!

Mein Fehler, entschuldige. Die Datei ist hochgeladen.

Bitte noch mal frische Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS-Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

GMER -> "Keine Rückmeldung"
aswMBR-> Quickscan im Anhang
OSAM->OSAM Logfile:
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Das bitte mit OSAM deaktivieren und löschen.
Windows neu starten, neue Logs mit OSAM/GMER/aswMBR bitte machen (GMER versuchen)

OSAM:

OSAM Logfile:
--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

aswMBR:

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-16 18:26:11
-----------------------------
18:26:11.121 OS Version: Windows 6.0.6001 Service Pack 1
18:26:11.121 Number of processors: 4 586 0xF0B
18:26:11.121 ComputerName: PAUL-PC UserName:
18:26:40.137 Initialize success
18:26:47.375 AVAST engine defs: 11111501
18:27:21.477 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP2T0L0-2
18:27:21.477 Disk 0 Vendor: WDC_WD5000AAKS-07YGA0 12.01C02 Size: 476940MB BusType: 3
18:27:23.505 Disk 0 MBR read successfully
18:27:23.505 Disk 0 MBR scan
18:27:23.505 Disk 0 Windows VISTA default MBR code
18:27:23.505 Disk 0 scanning sectors +976771072
18:27:23.599 Disk 0 scanning C:\Windows\system32\drivers
18:27:36.375 Service scanning
18:27:37.732 Modules scanning
18:27:44.534 Disk 0 trace - called modules:
18:27:44.581 ntoskrnl.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll ataport.SYS intelide.sys PCIIDEX.SYS atapi.sys dxgkrnl.sys nvlddmkm.sys watchdog.sys tcpip.sys NETIO.SYS
18:27:44.581 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85176ac8]
18:27:44.596 3 CLASSPNP.SYS[88360745] -> nt!IofCallDriver -> [0x842ffc10]
18:27:44.596 5 acpi.sys[8823d6a0] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP2T0L0-2[0x841dcba0]
18:27:47.077 AVAST engine scan C:\Windows
18:27:54.440 AVAST engine scan C:\Windows\system32
18:30:53.247 AVAST engine scan C:\Windows\system32\drivers
18:31:14.822 AVAST engine scan C:\Users\Heimanwender
18:34:48.292 Disk 0 MBR has been saved successfully to "C:\Users\Heimanwender\Desktop\MBR.dat"
18:34:48.308 The log file has been saved successfully to "C:\Users\Heimanwender\Desktop\aswMBR3.txt"

GMER:

GMER Logfile:
--- --- ---

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!


Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Malwarebytes:


Datenbank Version: 8178

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.19088

16.11.2011 23:14:45
mbam-log-2011-11-16 (23-14-30).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 285215
Laufzeit: 2 Stunde(n), 28 Minute(n), 55 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 5

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\CLSID\{C689C99E-3A8C-4c87-A79C-C80DC9C81632} (Trojan.Banker) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{C689C99E-3A8C-4C87-A79C-C80DC9C81632} (Trojan.Banker) -> No action taken.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Malware.Gen) -> Bad: (C:\Users\Heimanwender\AppData\Roaming\appconf32.exe) Good: () -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\Users\heimanwender\AppData\Roaming\appconf32.exe (Malware.Gen) -> No action taken.
c:\Users\heimanwender\AppData\Roaming\acroiehelpe.dll (Trojan.Banker) -> No action taken.
c:\Users\Gast\documents\downloads\installer_supertux_3_0_deutsch_deutsch.exe (PUP.SmsPay.pns) -> No action taken.
c:\Users\Gast\documents\downloads\unconfirmed 14534.download (PUP.SmsPay.pns) -> No action taken.
c:\Users\heimanwender\AppData\LocalLow\Sun\Java\deployment\cache\6.0\19\49696ed3-36ff0a2a (Malware.Gen) -> No action taken.

und


Malwarebytes' Anti-Malware 1.51.2.1300
www.malwarebytes.org

Datenbank Version: 8178

Windows 6.0.6001 Service Pack 1
Internet Explorer 8.0.6001.19088

17.11.2011 11:14:52
mbam-log-2011-11-17 (11-14-52).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 473027
Laufzeit: 2 Stunde(n), 50 Minute(n), 26 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Office\Word\Addins\HostOL.MailAnim (Adware.Hotbar) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{77D6DDFA-7834-4541-B2B3-A8B0FB0E3924} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Settings\{055FD26D-3A88-4E15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{055FD26D-3A88-4E15-963D-DC8493744B1D} (Trojan.BHO) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\program files\icqtoolbar\toolbaru.dll (Trojan.BHO) -> Quarantined and deleted successfully.

SUPERAntiSpyware erkennt insgesamt 726 schädliche Dateien, die sich alle auf meine Cookies beziehen, auch wenn es sich dabei um Websites handelt, die sich von dieser nicht unterscheiden. Auch wenn ich die Meinung der Gefährlichkeit, was der Besuch dieser gewöhnlichen Internetseiten nicht teile, bin ich den Anweisungen des Programms, was die Entfernung anbetrifft, gefolgt. Die Logdatei enthält nahezu jede Internetseite, die ich den vergangen Tagen besucht habe. Ich hoffe es ist möglich zu respektieren, dass ich diese aus privaten Gründen nicht veröffentlichen möchte.

Trotzdem ein kleiner Ausschnitt, um einen Eindruck von der Art der Fehler gewinnen zu können:

Adware.Tracking Cookie
C:\Users\Heimanwender\AppData\Roaming\Microsoft\Windows\Cookies\heimanwender@accounts.google[1].txt [ /accounts.google ]
C:\Users\Heimanwender\AppData\Roaming\Microsoft\Windows\Cookies\heimanwender@ad.yieldmanager[1].txt [ /ad.yieldmanager ]

-> yieldmanager habe ich beispielsweise nie besucht, da es schon von meinem Browser als gefährlich eingestuft wird. Warum ist so etwas trotzdem in den Cookies vermerkt?

C:\SANDBOX\HEIMANWENDER\DEFAULTBOX\USER\CURRENT\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\COOKIES ]
.axelspringer.122.2o7.net [
www.elitepvpers.de [ C:\SANDBOX\HEIMANWENDER\DEFAULTBOX\USER\CURRENT\APPDATA\LOCAL\GOOGLE\CHROME\USER DATA\DEFAULT\COOKIES ]

DATA\DEFAULT\COOKIES ]
.webmasterplan.com [ C:\USERS\GAST\APPDATA\LOCAL\GOOGLE\CHROME\USER

Also ich weiß nicht ob das so eine gute Idee bei dem Rechner war zu bereinigen http://cheesebuerger.de/images/midi/froehlich/a048.gif
MBAM hatte doch noch einige fiese Kandidaten gefunden obwohl das nur noch Kontrollscans waren - normalerweise findet man max. noch harmlose/isolierte Überreste oder Cookies bei den Kontrollscans.

Wie läuft der Rechner denn mittlerweile? :confused:

Das hört sich ja gar nicht gut an :(

Der Rechner läuft stabil und ohne Einschränkungen. Ich habe keinen zeitlichen Vergleich vorgenommen, aber ich meine, dass sich der Startvorgang beschleunigt hat. Momentan bin ich ohne Antivirprogramm unterwegs, aber dessen Funktionalität konnte ja nach den ersten Bereinigungsversuchen wieder hergestellt werden.

Seitdem die Firewall und das Antivirprogramm also in ihrer Aktivität nicht mehr beschränkt wurden, konnte ich nicht feststellen, dass ich infiziert wäre, auch wenn das ja offensichtlich der Fall ist/gewesen ist.

Ok, wenn der Rechner deiner Meinung nach wieder ok ist, dann kannste ihn ja so lassen.

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. CF kann über Start, Ausführen mit combofix /uninstall entfernt werden. Melde dich falls es da Fehlermeldungen zu gibt.
Malwarebytes zu behalten ist kein Fehler. Kannst ja 1x im Monat damit scannen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink:

Mozilla und andere Browser => http://filepony.de/?q=Flash+Player
Internet Explorer => http://fpdownload.adobe.com/get/flas..._player_ax.exe

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Das hört man gerne. Aber bevor ich in Euphorie verfalle:

Der Rechner war für mich seit der ersten Bereinigung augenscheinlich nicht mehr infiziert. Die letzten Überprüfungen haben jedoch gezeigt, dass nach wie vor schädliche Dateien, auch wenn ich von deren Aktivitäten keine Auswirkungen feststellen konnte, vorhanden waren. Von daher ist hauptsächlich nicht meine Meinung, sondern deine interessant, um letztlich sagen zu können, ob der Rechner wieder gesäubert ist.

Was meinst du, ist die derzeitige Situation auf meinem Rechner zufriedenstellend?