Hi,

Du solltest kein Log erstellen, sondern mit dem Fix den DNS-Cache löschen,
bitte noch mal lesen und durchführen....

chris

tschuldigung

Laie am Rande der Möglichkeiten, ich kann zwar alles konstruieren, im CAD, kann dir alles 5-achsig Fräsen, aber wenns hinter die Kulissen des Bedieners geht, ... naja, du siehst es ja.

Error: Unable to interpret <OTL EXTRAS Logfile:
--- --- ---
> in the current context!

OTL by OldTimer - Version 3.2.31.0 log created on 02132012_211753

Äh,

ja; Du solltest das hier:
in die Fix-Box vom OTL kopiern und dann ausführen lassen (Run Fix).

Dann noch mal prüfen ob die Umleitung weg ist...

chris

hey chris
Bin am vierten versuch, der rechner hängt sich jedes mal auf.
Hab jetzt sicher 15 Min gewartet

Killing processes. Do not interrupt

(ich hab jetzt den Rechner gewechselt)

raus komm ich nur mit entfernen des akkus. Task manager wird auch blockiert.

Hi,

das sieht so aus, als ob immer noch ein Rootkit aktiv ist. Wenn jetzt der Taskmanager nicht mehr geht, dann ist er wieder abgeschaltet worden...

Probiere jetzt mal Hitmann...

Sonst lassen wir den Rechner von aussen Scannen, das dauert aber die ganze Nacht:
Dr. Web-Live-CD
Lade Dir das Abbild (Dr.Web CureIt! &mdash;) runter (jeweils die neuste Version, z. Z. http://download.geo.drweb.com/pub/dr...livecd-600.iso) und brenne es auf CD/DVD (mit einem Brennprogramm das ISO versteht (Nero, ImageBurn). Stelle dann im BIOS die Bootreihenfolge um (zuerst von CD booten), boote dann von der erstellten CD und starte Dr. Web Live CD (default). Lass dann alle Festplatten untersuchen...
Bei Funden bitte Name und Pfad notieren, bevor du sie von Dr. Web beseitigen lässt...
Weiter Anweisungen: Dr.Web CureIt! &mdash;

ISO-Datei brennen:
Du mußt das Image mit z.B. mit Imageburn (ImgBurn, Download bei heise) auf die CD brennen... Dabei wird es dann ausgepackt und es entsteht eine boodfähige CD...Nicht einfach das IMAGE als File auf die CD brennen!

chris

Nachdem ich das endlich kapiert hab, wie das mit der Firewall klappt, konnte ich Hitman arbeiten lassen ;-).
Nach dem Booten fand er alllerdings beim erneuten Scan wieder 6 Objekte. Nach einem weiteren durchlauf und Neustart hat er beim Scan nichts mehr gefunden. Bis jetzt meckert auch das Programm Malwarebytes nicht.

Soll ich noch einmal mit dem ersten Schritt anfangen, um das System zu testen?

Grüsse luk

Hi,

poste bitte das Log von Hitmann...

Lass noch mal den Killer laufen, auch das Log posten...
Schauen wir uns noch den MBR an...

MBR-Check
Lade Dir http://ad13.geekstogo.com/MBRCheck.exe und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.

• Vista und Win7 User mit Rechtsklick "als Administrator starten"

• Das Tool braucht nur eine Sekunde.

• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste bitte den Inhalt des .txt Dokumentes

chris

kannst Du mir bitte sagen, wo ich das Logfile vom Hitman finde?
Ich habe die Datei gesucht im Explorer, sehe da aber nirgends eine *.txt Datei

Hi,

wenn dann sollte es eine XML-Datei sein...

chris

- <Quarantine lastId="4">
- <Item type="Malware" malwareName="Trojan" score="111.0" status="PendingDelete" id="1" title="afgmp50.dll" subtitle="c:\windows\system32\" action="Deleted" dt="2012-02-14T19:45:57">
- <Scanners>
<Scanner id="G Data" name="Trojan.Sirefef.BV (Engine A)" />
<Scanner id="Ikarus" name="Trojan.Sirefef!IK" />
</Scanners>
<File path="c:\windows\system32\afgmp50.dll" hash="EEAEB1506D805271B5147CE911DF9C264D63E4D229DE4464EF879A83FB225A40" />
</Item>
- <Item type="Malware" malwareName="Malware" score="153.0" status="PendingDelete" id="2" title="i8042prt.sys" subtitle="C:\WINDOWS\system32\DRIVERS\" action="Deleted" dt="2012-02-14T19:45:57">
- <Scanners>
<Scanner id="G Data" name="Gen:Variant.Sirefef.22 (Engine A)" />
<Scanner id="DrWeb" name="BackDoor.Maxplus.69" />
<Scanner id="Ikarus" name="Trojan-Dropper.Win32.Sirefef!IK" />
</Scanners>
<File path="C:\WINDOWS\system32\DRIVERS\i8042prt.sys" hash="E70CD49110636D9497B5C5CB645F523AFBF2C07FF3B4FA3B8AB98C6D6FE3588C" />
</Item>
- <Item type="Malware" malwareName="Malware" score="153.0" status="PendingDelete" id="3" title="ipsec.sys" subtitle="C:\WINDOWS\system32\DRIVERS\" action="Deleted" dt="2012-02-14T19:51:22">
- <Scanners>
<Scanner id="G Data" name="Gen:Variant.Sirefef.22 (Engine A)" />
<Scanner id="DrWeb" name="BackDoor.Maxplus.69" />
<Scanner id="Ikarus" name="Trojan-Dropper.Win32.Sirefef!IK" />
</Scanners>
<File path="C:\WINDOWS\system32\DRIVERS\ipsec.sys" hash="529A5C385551EB6D35CB726DC7F947A95CB9036A492260C9A2EE13EF12DEB68E" />
</Item>
- <Item type="Malware" malwareName="Trojan" score="111.0" status="PendingDelete" id="4" title="ms_mpu401.dll" subtitle="c:\windows\system32\" action="Deleted" dt="2012-02-14T19:51:22">
- <Scanners>
<Scanner id="G Data" name="Trojan.Sirefef.BV (Engine A)" />
<Scanner id="Ikarus" name="Trojan.Sirefef!IK" />
</Scanners>
<File path="c:\windows\system32\ms_mpu401.dll" hash="EEAEB1506D805271B5147CE911DF9C264D63E4D229DE4464EF879A83FB225A40" />
</Item>
</Quarantine>

Hi,

unter anderem ein Backdoor, da solltest Du Dir das Neuaufsetzen nochmal überlegen...

Was sagt der Killer/Mbrcheck...

chris

der report ist zu gross um ihn zu posten, aber ich hab angst, dass der wieder weg ist, wenn ich close drück, speichert der sich irgendwo ab?

Hi,

abkopieren, notepad starten und dann reinkopieren, speichern/packen und posten
(der vom Killer?)

chris

aber als Fazit meint Killer das da:



21:49:14.0656 3968 ViaIde (3b3efcda263b8ac14fdf9cbdd0791b2e) C:\WINDOWS\system32\DRIVERS\viaide.sys
21:49:14.0656 3968 ViaIde - ok
21:49:14.0671 3968 VolSnap (a5a712f4e880874a477af790b5186e1d) C:\WINDOWS\system32\drivers\VolSnap.sys
21:49:14.0687 3968 VolSnap - ok
21:49:14.0734 3968 Wanarp (e20b95baedb550f32dd489265c1da1f6) C:\WINDOWS\system32\DRIVERS\wanarp.sys
21:49:14.0734 3968 Wanarp - ok
21:49:14.0796 3968 Wdf01000 (bbcfeab7e871cddac2d397ee7fa91fdc) C:\WINDOWS\system32\Drivers\wdf01000.sys
21:49:14.0796 3968 Wdf01000 - ok
21:49:14.0796 3968 WDICA - ok
21:49:14.0843 3968 wdmaud (6768acf64b18196494413695f0c3a00f) C:\WINDOWS\system32\drivers\wdmaud.sys
21:49:14.0859 3968 wdmaud - ok
21:49:14.0890 3968 WpdUsb (cf4def1bf66f06964dc0d91844239104) C:\WINDOWS\system32\DRIVERS\wpdusb.sys
21:49:14.0906 3968 WpdUsb - ok
21:49:14.0906 3968 WS2IFSL (6abe6e225adb5a751622a9cc3bc19ce8) C:\WINDOWS\System32\drivers\ws2ifsl.sys
21:49:14.0921 3968 WS2IFSL - ok
21:49:14.0953 3968 WSTCODEC (c98b39829c2bbd34e454150633c62c78) C:\WINDOWS\system32\DRIVERS\WSTCODEC.SYS
21:49:14.0953 3968 WSTCODEC - ok
21:49:15.0062 3968 WudfPf (f15feafffbb3644ccc80c5da584e6311) C:\WINDOWS\system32\DRIVERS\WudfPf.sys
21:49:15.0062 3968 WudfPf - ok
21:49:15.0125 3968 WudfRd (28b524262bce6de1f7ef9f510ba3985b) C:\WINDOWS\system32\DRIVERS\wudfrd.sys
21:49:15.0125 3968 WudfRd - ok
21:49:15.0156 3968 MBR (0x1B8) (8f558eb6672622401da993e1e865c861) \Device\Harddisk0\DR0
21:49:15.0343 3968 \Device\Harddisk0\DR0 - ok
21:49:15.0343 3968 Boot (0x1200) (5d05f5ce6d0bef8c9ffd5317226b9f29) \Device\Harddisk0\DR0\Partition0
21:49:15.0343 3968 \Device\Harddisk0\DR0\Partition0 - ok
21:49:15.0343 3968 ============================================================
21:49:15.0343 3968 Scan finished
21:49:15.0343 3968 ============================================================
21:49:15.0343 2652 Detected object count: 0
21:49:15.0343 2652 Actual detected object count: 0