Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Security Shield auf eingeschränktem Konto (https://www.trojaner-board.de/118627-security-shield-eingeschraenktem-konto.html)

etstudent 05.07.2012 18:23
Security Shield auf eingeschränktem Konto
 
Hallo,

habe ein Problem mit einem Rechner.
Es sind zwei Benutzerkonten vorhanden eins mit und eins ohne Admin-Rechte.
Das ohne Admin-Rechte, welches auch regelmäßig benutzt wird hat den Security Shield Trojaner abbekommen.

Bin nach dieser Anleitung vorgegangen: http://www.trojaner-board.de/89160-m...entfernen.html
Allerdings konnte rkill auf dem eingeschränkten Konto nichts ausrichten.
Habe im abgesicherten Modus folgende Log von MBAM bekommen.

Code:
Malwarebytes Anti-Malware (Trial) 1.61.0.1400
www.malwarebytes.org

Database version: v2012.04.04.08

Windows XP Service Pack 3 x86 NTFS (Safe Mode)
Internet Explorer 7.0.5730.13
Alexander :: DGL-01 [limited]

Protection: Disabled

05.07.2012 18:05:14
mbam-log-2012-07-05 (18-58-31)_abgesichert.txt

Scan type: Full scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 180762
Time elapsed: 46 minute(s), 11 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 1
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\WEB.DE SmartSurfer (Heuristics.Shuriken) -> No action taken.

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 2
C:\Programme\Internet\WEB.DE SmartSurfer\Uninstall.exe (Heuristics.Shuriken) -> No action taken.
D:\RECYCLER\S-1-5-21-1343024091-583907252-839522115-1003\Dd41.scr (Trojan.Menti) -> No action taken.

(end)


(end)
Danke Gruß

cosinus 09.07.2012 14:44
Code:
Database version: v2012.04.04.08
Wie soll Malwarebytes mit solch alten Signaturen denn was finden? Entweder kannst du mit diesem Rechner nicht ins Internet oder du hast konsquent alle Hinweise bzw. der wichtigen Aktualisierung von Malwarebytes ignoriert :confused:
Und ja, das geht natürlich nicht am abgesicherten Modus aber dafür im normalen Modus oder im abgesicherten mit Netzwerktreiber


Bitte erstmal routinemäßig einen neuen Vollscan mit malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Die Funde mit Malwarebytes bitte alle entfernen, sodass sie in der Quarantäne von Malwarebytes aufgehoben werden! NICHTS voreilig aus der Quarantäne entfernen!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!



ESET Online Scanner

  • Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
  • Lade und starte Eset Online Scanner
  • Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
  • Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
  • Klicke auf Starten.
  • Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Klicke am Ende des Suchlaufs auf Fertig stellen.
  • Schließe das Fenster von ESET.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset





Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:
hier steht das Log

etstudent 10.07.2012 17:56
Hallo,

komisch ich dachte ich hätte die Signaturen aktualisiert. Nun ja hier nochmal ein MalwareByte Bericht:

Code:
Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.07.10.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 7.0.5730.13
Alexander :: DGL-01 [limitiert]

Schutz: Aktiviert

10.07.2012 17:20:57
mbam-log-2012-07-10 (17-20-57).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 153164
Laufzeit: 3 Minute(n), 57 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)
Komischerweise hatte mein Vater sein Avira nicht mehr auf dem Rechner. Kann es Schadprogramme geben, die das deinstallieren können?
Naja allerdings, scheint der Rechner nach wie vor Probleme zu haben, da sein Outlook Spam-Mails verschickt.
Das ist der Avira-Bericht von dem Scan, mit dem der Security-Shield entfernt wurde:

Code:


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Donnerstag, 5. Juli 2012  19:25

Es wird nach 3841399 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - Free Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : DGL-01

Versionsinformationen:
BUILD.DAT      : 12.0.0.1125    41829 Bytes  02.05.2012 16:34:00
AVSCAN.EXE    : 12.3.0.15    466896 Bytes  01.05.2012 22:48:48
AVSCAN.DLL    : 12.3.0.15      66256 Bytes  02.05.2012 00:02:50
LUKE.DLL      : 12.3.0.15      68304 Bytes  01.05.2012 23:31:47
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  01.05.2012 22:13:36
AVREG.DLL      : 12.3.0.17    232200 Bytes  05.07.2012 17:14:24
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF  : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF  : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF  : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF  : 7.11.26.44  4329472 Bytes  28.03.2012 10:43:53
VBASE005.VDF  : 7.11.34.116  4034048 Bytes  29.06.2012 17:14:12
VBASE006.VDF  : 7.11.34.117    2048 Bytes  29.06.2012 17:14:12
VBASE007.VDF  : 7.11.34.118    2048 Bytes  29.06.2012 17:14:12
VBASE008.VDF  : 7.11.34.119    2048 Bytes  29.06.2012 17:14:12
VBASE009.VDF  : 7.11.34.120    2048 Bytes  29.06.2012 17:14:12
VBASE010.VDF  : 7.11.34.121    2048 Bytes  29.06.2012 17:14:12
VBASE011.VDF  : 7.11.34.122    2048 Bytes  29.06.2012 17:14:12
VBASE012.VDF  : 7.11.34.123    2048 Bytes  29.06.2012 17:14:12
VBASE013.VDF  : 7.11.34.124    2048 Bytes  29.06.2012 17:14:12
VBASE014.VDF  : 7.11.34.201  169472 Bytes  02.07.2012 17:14:13
VBASE015.VDF  : 7.11.35.19    122368 Bytes  04.07.2012 17:14:14
VBASE016.VDF  : 7.11.35.20      2048 Bytes  04.07.2012 17:14:14
VBASE017.VDF  : 7.11.35.21      2048 Bytes  04.07.2012 17:14:14
VBASE018.VDF  : 7.11.35.22      2048 Bytes  04.07.2012 17:14:14
VBASE019.VDF  : 7.11.35.23      2048 Bytes  04.07.2012 17:14:14
VBASE020.VDF  : 7.11.35.24      2048 Bytes  04.07.2012 17:14:14
VBASE021.VDF  : 7.11.35.25      2048 Bytes  04.07.2012 17:14:14
VBASE022.VDF  : 7.11.35.26      2048 Bytes  04.07.2012 17:14:15
VBASE023.VDF  : 7.11.35.27      2048 Bytes  04.07.2012 17:14:15
VBASE024.VDF  : 7.11.35.28      2048 Bytes  04.07.2012 17:14:15
VBASE025.VDF  : 7.11.35.29      2048 Bytes  04.07.2012 17:14:15
VBASE026.VDF  : 7.11.35.30      2048 Bytes  04.07.2012 17:14:15
VBASE027.VDF  : 7.11.35.31      2048 Bytes  04.07.2012 17:14:15
VBASE028.VDF  : 7.11.35.32      2048 Bytes  04.07.2012 17:14:15
VBASE029.VDF  : 7.11.35.33      2048 Bytes  04.07.2012 17:14:15
VBASE030.VDF  : 7.11.35.34      2048 Bytes  04.07.2012 17:14:15
VBASE031.VDF  : 7.11.35.64    93696 Bytes  05.07.2012 17:14:16
Engineversion  : 8.2.10.104
AEVDF.DLL      : 8.1.2.8      106867 Bytes  05.07.2012 17:14:23
AESCRIPT.DLL  : 8.1.4.32      455034 Bytes  05.07.2012 17:14:23
AESCN.DLL      : 8.1.8.2      131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.12      606578 Bytes  05.07.2012 17:14:24
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL    : 8.2.16.22    807288 Bytes  05.07.2012 17:14:23
AEOFFICE.DLL  : 8.1.2.40      201082 Bytes  05.07.2012 17:14:22
AEHEUR.DLL    : 8.1.4.64    5009782 Bytes  05.07.2012 17:14:22
AEHELP.DLL    : 8.1.23.2      258422 Bytes  05.07.2012 17:14:18
AEGEN.DLL      : 8.1.5.30      422261 Bytes  05.07.2012 17:14:17
AEEXP.DLL      : 8.1.0.60      86388 Bytes  05.07.2012 17:14:24
AEEMU.DLL      : 8.1.3.0      393589 Bytes  20.01.2012 23:21:29
AECORE.DLL    : 8.1.25.10    201080 Bytes  05.07.2012 17:14:17
AEBB.DLL      : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  01.05.2012 22:59:21
AVPREF.DLL    : 12.3.0.15      51920 Bytes  01.05.2012 22:44:31
AVREP.DLL      : 12.3.0.15    179208 Bytes  01.05.2012 22:13:35
AVARKT.DLL    : 12.3.0.15    211408 Bytes  01.05.2012 22:21:32
AVEVTLOG.DLL  : 12.3.0.15    169168 Bytes  01.05.2012 22:28:49
SQLITE3.DLL    : 3.7.0.1      398288 Bytes  16.04.2012 21:11:02
AVSMTP.DLL    : 12.3.0.15      63440 Bytes  01.05.2012 22:51:35
NETNT.DLL      : 12.3.0.15      17104 Bytes  01.05.2012 23:33:29
RCIMAGE.DLL    : 12.3.0.15    4447952 Bytes  02.05.2012 00:03:51
RCTEXT.DLL    : 12.3.0.15      98512 Bytes  02.05.2012 00:03:51

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: AVGuardAsyncScan
Konfigurationsdatei...................: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\AVGUARD_4ff5cb90\guard_slideup.avp
Protokollierung.......................: standard
Primäre Aktion........................: reparieren
Sekundäre Aktion......................: quarantäne
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: aus
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: aus
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: vollständig

Beginn des Suchlaufs: Donnerstag, 5. Juli 2012  19:25

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'IWatch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'FriFax32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'reader_sl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'tccargo.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NOTEPAD.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbam.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NOTEPAD.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avconfig.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'setup.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'presetup.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avira_free_antivirus_de.exe' - '1' Modul(e) wurden durchsucht
  Modul ist OK -> <C:\Dokumente und Einstellungen\Alex\Eigene Dateien\Downloads\avira_free_antivirus_de.exe>
  [WARNUNG]  Die Datei ist kennwortgeschützt
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RUNDLL32.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SmurfService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamservice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Anwendungsdaten\jzteomnu.exe'
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Anwendungsdaten\jzteomnu.exe
  [FUND]      Ist das Trojanische Pferd TR/Winwebsec.A.3114
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '53056f8b.qua' verschoben!


Ende des Suchlaufs: Donnerstag, 5. Juli 2012  19:27
Benötigte Zeit: 02:01 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

      0 Verzeichnisse wurden überprüft
    732 Dateien wurden geprüft
      1 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      1 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
    731 Dateien ohne Befall
    13 Archive wurden durchsucht
      1 Warnungen
      1 Hinweise

Und hier der Avira-Bericht von dem Scan einen Tag später:
Code:


Avira Free Antivirus
Erstellungsdatum der Reportdatei: Freitag, 6. Juli 2012  09:42

Es wird nach 3841399 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - Free Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : DGL-01

Versionsinformationen:
BUILD.DAT      : 12.0.0.1125    41829 Bytes  02.05.2012 16:34:00
AVSCAN.EXE    : 12.3.0.15    466896 Bytes  01.05.2012 22:48:48
AVSCAN.DLL    : 12.3.0.15      66256 Bytes  02.05.2012 00:02:50
LUKE.DLL      : 12.3.0.15      68304 Bytes  01.05.2012 23:31:47
AVSCPLR.DLL    : 12.3.0.14      97032 Bytes  01.05.2012 22:13:36
AVREG.DLL      : 12.3.0.17    232200 Bytes  05.07.2012 17:14:24
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF  : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF  : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF  : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF  : 7.11.26.44  4329472 Bytes  28.03.2012 10:43:53
VBASE005.VDF  : 7.11.34.116  4034048 Bytes  29.06.2012 17:14:12
VBASE006.VDF  : 7.11.34.117    2048 Bytes  29.06.2012 17:14:12
VBASE007.VDF  : 7.11.34.118    2048 Bytes  29.06.2012 17:14:12
VBASE008.VDF  : 7.11.34.119    2048 Bytes  29.06.2012 17:14:12
VBASE009.VDF  : 7.11.34.120    2048 Bytes  29.06.2012 17:14:12
VBASE010.VDF  : 7.11.34.121    2048 Bytes  29.06.2012 17:14:12
VBASE011.VDF  : 7.11.34.122    2048 Bytes  29.06.2012 17:14:12
VBASE012.VDF  : 7.11.34.123    2048 Bytes  29.06.2012 17:14:12
VBASE013.VDF  : 7.11.34.124    2048 Bytes  29.06.2012 17:14:12
VBASE014.VDF  : 7.11.34.201  169472 Bytes  02.07.2012 17:14:13
VBASE015.VDF  : 7.11.35.19    122368 Bytes  04.07.2012 17:14:14
VBASE016.VDF  : 7.11.35.20      2048 Bytes  04.07.2012 17:14:14
VBASE017.VDF  : 7.11.35.21      2048 Bytes  04.07.2012 17:14:14
VBASE018.VDF  : 7.11.35.22      2048 Bytes  04.07.2012 17:14:14
VBASE019.VDF  : 7.11.35.23      2048 Bytes  04.07.2012 17:14:14
VBASE020.VDF  : 7.11.35.24      2048 Bytes  04.07.2012 17:14:14
VBASE021.VDF  : 7.11.35.25      2048 Bytes  04.07.2012 17:14:14
VBASE022.VDF  : 7.11.35.26      2048 Bytes  04.07.2012 17:14:15
VBASE023.VDF  : 7.11.35.27      2048 Bytes  04.07.2012 17:14:15
VBASE024.VDF  : 7.11.35.28      2048 Bytes  04.07.2012 17:14:15
VBASE025.VDF  : 7.11.35.29      2048 Bytes  04.07.2012 17:14:15
VBASE026.VDF  : 7.11.35.30      2048 Bytes  04.07.2012 17:14:15
VBASE027.VDF  : 7.11.35.31      2048 Bytes  04.07.2012 17:14:15
VBASE028.VDF  : 7.11.35.32      2048 Bytes  04.07.2012 17:14:15
VBASE029.VDF  : 7.11.35.33      2048 Bytes  04.07.2012 17:14:15
VBASE030.VDF  : 7.11.35.34      2048 Bytes  04.07.2012 17:14:15
VBASE031.VDF  : 7.11.35.64    93696 Bytes  05.07.2012 17:14:16
Engineversion  : 8.2.10.104
AEVDF.DLL      : 8.1.2.8      106867 Bytes  05.07.2012 17:14:23
AESCRIPT.DLL  : 8.1.4.32      455034 Bytes  05.07.2012 17:14:23
AESCN.DLL      : 8.1.8.2      131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.12      606578 Bytes  05.07.2012 17:14:24
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL    : 8.2.16.22    807288 Bytes  05.07.2012 17:14:23
AEOFFICE.DLL  : 8.1.2.40      201082 Bytes  05.07.2012 17:14:22
AEHEUR.DLL    : 8.1.4.64    5009782 Bytes  05.07.2012 17:14:22
AEHELP.DLL    : 8.1.23.2      258422 Bytes  05.07.2012 17:14:18
AEGEN.DLL      : 8.1.5.30      422261 Bytes  05.07.2012 17:14:17
AEEXP.DLL      : 8.1.0.60      86388 Bytes  05.07.2012 17:14:24
AEEMU.DLL      : 8.1.3.0      393589 Bytes  20.01.2012 23:21:29
AECORE.DLL    : 8.1.25.10    201080 Bytes  05.07.2012 17:14:17
AEBB.DLL      : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  01.05.2012 22:59:21
AVPREF.DLL    : 12.3.0.15      51920 Bytes  01.05.2012 22:44:31
AVREP.DLL      : 12.3.0.15    179208 Bytes  01.05.2012 22:13:35
AVARKT.DLL    : 12.3.0.15    211408 Bytes  01.05.2012 22:21:32
AVEVTLOG.DLL  : 12.3.0.15    169168 Bytes  01.05.2012 22:28:49
SQLITE3.DLL    : 3.7.0.1      398288 Bytes  16.04.2012 21:11:02
AVSMTP.DLL    : 12.3.0.15      63440 Bytes  01.05.2012 22:51:35
NETNT.DLL      : 12.3.0.15      17104 Bytes  01.05.2012 23:33:29
RCIMAGE.DLL    : 12.3.0.15    4447952 Bytes  02.05.2012 00:03:51
RCTEXT.DLL    : 12.3.0.15      98512 Bytes  02.05.2012 00:03:51

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Freitag, 6. Juli 2012  09:42

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'D:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf nach versteckten Objekten wird begonnen.
c:\windows\system32\tlntsvr.exe
c:\WINDOWS\system32\tlntsvr.exe
  [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'WINWORD.EXE' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'OUTLOOK.EXE' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'tv_w32.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'IWatch.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'FriFax32.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '122' Modul(e) wurden durchsucht
Durchsuche Prozess 'tccargo.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamgui.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeamViewer.exe' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeamViewer_Service.exe' - '70' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamservice.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '77' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '85' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '167' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1993' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\Alex\Eigene Dateien\Downloads\avira_free_antivirus_de.exe
  [WARNUNG]  Die Datei ist kennwortgeschützt
C:\Dokumente und Einstellungen\Alexander\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\32ef47d7-3b7f58d0
  [0] Archivtyp: ZIP
  --> CL3.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/2008-5353.CP
C:\Dokumente und Einstellungen\Alexander\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\63\5cfea03f-5f4c206b
  [0] Archivtyp: ZIP
  --> apps/MyApplet.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/2010-0840.KG
  --> apps/MyLoader.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/JAVA.Loader.Gen
  --> apps/MyWorker.class
      [FUND]      Enthält Erkennungsmuster des Exploits EXP/JAVA.Vedenbi.Gen
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temp\jar_cache14072.tmp
  [WARNUNG]  Der Archivheader ist defekt
C:\Programme\System\WinRAR\rarnew.dat
  [WARNUNG]  Das Archiv ist unbekannt oder defekt
C:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102841.exe
  [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.aezuc
C:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102867.exe
  [FUND]      Ist das Trojanische Pferd TR/Winwebsec.A.3114
C:\WINDOWS\system32\Macromed\Flash\uninstall_activeX.exe
  [WARNUNG]  Unerwartetes Dateiende erreicht
Beginne mit der Suche in 'D:\' <Daten>
D:\Downloads\install_flashplayer11x32_mssa_aih.exe
  [WARNUNG]  Die Datei ist kennwortgeschützt
D:\Downloads\install_reader10_de_mssa_aih.exe
  [WARNUNG]  Die Datei ist kennwortgeschützt
D:\Downloads\vm327.exe
  [WARNUNG]  Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt  (multiple volume)
D:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102849.scr
  [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.aezuc

Beginne mit der Desinfektion:
D:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102849.scr
  [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.aezuc
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '536300d5.qua' verschoben!
C:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102867.exe
  [FUND]      Ist das Trojanische Pferd TR/Winwebsec.A.3114
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4bf42f72.qua' verschoben!
C:\System Volume Information\_restore{3B4FB618-4256-4D32-BF74-91355993937F}\RP1118\A0102841.exe
  [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Bifrose.aezuc
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '19ab759a.qua' verschoben!
C:\Dokumente und Einstellungen\Alexander\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\63\5cfea03f-5f4c206b
  [FUND]      Enthält Erkennungsmuster des Exploits EXP/2010-0840.KG
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '7fe73a94.qua' verschoben!
C:\Dokumente und Einstellungen\Alexander\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\23\32ef47d7-3b7f58d0
  [FUND]      Enthält Erkennungsmuster des Exploits EXP/2008-5353.CP
  [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '3a641779.qua' verschoben!


Ende des Suchlaufs: Freitag, 6. Juli 2012  10:39
Benötigte Zeit: 39:54 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

  5963 Verzeichnisse wurden überprüft
 274154 Dateien wurden geprüft
      9 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      5 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 274145 Dateien ohne Befall
  8839 Archive wurden durchsucht
      7 Warnungen
      6 Hinweise
 236615 Objekte wurden beim Rootkitscan durchsucht
      1 Versteckte Objekte wurden gefunden
Hier der ESET Bericht:

Code:
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=8ae27efa787c9a488509c2b5321a2f89
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-10 04:40:36
# local_time=2012-07-10 06:40:36 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 76663725 76663725 0 0
# compatibility_mode=1792 16777175 100 0 426007 426007 0 0
# compatibility_mode=8192 67108863 100 0 209 209 0 0
# scanned=65096
# found=4
# cleaned=0
# scan_time=4079
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3AAC7DD0\mail_ru-0tveti_com[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\75YB6530\mail_ru-otveti2_cc[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Customer notice - instructions for client [Mon, 31 Jan 2005 14_19_58 -0700]_437_20080215_103944_859.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Washington Mutual Customer Notice_ Details Confirmation_408_20080215_103941_500.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I
Einen Full-Scan mit Malware-Bytes würde ich noch nachreichen, sobald er fertig ist.
Danke
Hier der versprochene Scan:

Code:
Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.07.10.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 7.0.5730.13
Alexander :: DGL-01 [limitiert]

Schutz: Aktiviert

10.07.2012 18:57:20
mbam-log-2012-07-10 (18-57-20).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 194423
Laufzeit: 22 Minute(n), 17 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

cosinus 10.07.2012 21:57
Zitat:
Alexander :: DGL-01 [limitiert]
Ohne Adminrechte bringt das ganze eigentlich auch wenig bis garnichts :confused:

etstudent 11.07.2012 06:08
Heisst das ich soll die Scans noch mal mit dem Admin-Konto machen?

cosinus 11.07.2012 10:35
Ja was denn sonst :confused: wenn man als nicht Admin nicht alles lesen und bereinigen kann ist das ganz doch irgendwie sinnfrei oder nicht?

etstudent 11.07.2012 19:17
Also nochmal als Administrator:
MalwareBytes
Code:
Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.07.11.08

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 7.0.5730.13
Alex :: DGL-01 [Administrator]

Schutz: Aktiviert

11.07.2012 18:00:12
mbam-log-2012-07-11 (18-00-12).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 271596
Laufzeit: 46 Minute(n), 6 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Code:
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=8ae27efa787c9a488509c2b5321a2f89
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-10 04:40:36
# local_time=2012-07-10 06:40:36 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 76663725 76663725 0 0
# compatibility_mode=1792 16777175 100 0 426007 426007 0 0
# compatibility_mode=8192 67108863 100 0 209 209 0 0
# scanned=65096
# found=4
# cleaned=0
# scan_time=4079
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3AAC7DD0\mail_ru-0tveti_com[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\75YB6530\mail_ru-otveti2_cc[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Customer notice - instructions for client [Mon, 31 Jan 2005 14_19_58 -0700]_437_20080215_103944_859.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Washington Mutual Customer Notice_ Details Confirmation_408_20080215_103941_500.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I
ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6583
# api_version=3.0.2
# EOSSerial=8ae27efa787c9a488509c2b5321a2f89
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2012-07-11 06:08:51
# local_time=2012-07-11 08:08:51 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=512 16777215 100 0 76755551 76755551 0 0
# compatibility_mode=1792 16777175 100 0 517833 517833 0 0
# compatibility_mode=8192 67108863 100 0 92035 92035 0 0
# scanned=65367
# found=4
# cleaned=0
# scan_time=3948
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3AAC7DD0\mail_ru-0tveti_com[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
C:\Dokumente und Einstellungen\Alexander\Lokale Einstellungen\Temporary Internet Files\Content.IE5\75YB6530\mail_ru-otveti2_cc[1].htm        HTML/Hoax.Agent.H.Gen application (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Customer notice - instructions for client [Mon, 31 Jan 2005 14_19_58 -0700]_437_20080215_103944_859.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I
D:\temp\Posteingang\Washington Mutual Customer Notice_ Details Confirmation_408_20080215_103941_500.eml        HTML/Phishing.gen trojan (unable to clean)        00000000000000000000000000000000        I

cosinus 12.07.2012 10:01
Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus von Windows (wieder) uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

etstudent 12.07.2012 19:24
1) Windows läuft als wenn nichts wäre. Wie gesagt, nachdem Avira diese jzteomnu.exe gelöscht hatte, war der Security Shield Dreck weg, und Windows lief auch wieder normal.
2) Im Startmenü ist alles so wie es sein sollte, nichts ungewöhnliches.

cosinus 12.07.2012 19:47
adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.
  • Starte die adwcleaner.exe mit einem Doppelklick.
  • Klicke auf Search.
  • Nach Ende des Suchlaufs öffnet sich eine Textdatei.
  • Poste mir den Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

etstudent 13.07.2012 20:20
Code:
# AdwCleaner v1.702 - Logfile created 07/13/2012 at 21:18:46
# Updated 13/07/2012 by Xplode
# Operating system : Microsoft Windows XP Service Pack 3 (32 bits)
# User : Alex - DGL-01
# Running from : C:\Dokumente und Einstellungen\Alex\Desktop\adwcleaner0.exe
# Option [Search]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****


***** [Registre - GUID] *****

Key Found : HKLM\SOFTWARE\Classes\CLSID\{A3F2A195-0D11-463b-96BB-D2FF1B7490A1}
Key Found : HKLM\SOFTWARE\Classes\CLSID\{ECD0ECC6-DCA4-4013-A915-12355AB70999}

***** [Internet Browsers] *****

-\\ Internet Explorer v7.0.5730.13

[OK] Registry is clean.

*************************

AdwCleaner[R1].txt - [702 octets] - [13/07/2012 21:18:46]

########## EOF - C:\AdwCleaner[R1].txt - [829 octets] ##########

cosinus 13.07.2012 22:00
adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen
  • Schließe alle offenen Programme und Browser.
  • Starte die adwcleaner.exe mit einem Doppelklick.
  • Klicke auf Delete.
  • Bestätige jeweils mit Ok.
  • Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
  • Poste mir den Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

etstudent 18.07.2012 07:32
Code:
# AdwCleaner v1.702 - Logfile created 07/17/2012 at 19:53:58
# Updated 13/07/2012 by Xplode
# Operating system : Microsoft Windows XP Service Pack 3 (32 bits)
# User : Alex - DGL-01
# Running from : C:\Dokumente und Einstellungen\Alex\Desktop\adwcleaner0.exe
# Option [Delete]


***** [Services] *****


***** [Files / Folders] *****


***** [Registry] *****


***** [Registre - GUID] *****

Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{A3F2A195-0D11-463b-96BB-D2FF1B7490A1}
Key Deleted : HKLM\SOFTWARE\Classes\CLSID\{ECD0ECC6-DCA4-4013-A915-12355AB70999}

***** [Internet Browsers] *****

-\\ Internet Explorer v7.0.5730.13

[OK] Registry is clean.

*************************

AdwCleaner[R1].txt - [829 octets] - [13/07/2012 21:18:46]
AdwCleaner[S1].txt - [765 octets] - [17/07/2012 19:53:58]

########## EOF - C:\AdwCleaner[S1].txt - [892 octets] ##########

cosinus 18.07.2012 19:19
Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:
hier steht das Log
CustomScan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.
Code:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

etstudent 03.08.2012 12:30
Sorry war im Urlaub,

und jetzt geht der Downloadlink für OTL nicht mehr.
Grüße

cosinus 03.08.2012 19:29
Probier den => http://www.itxassociates.com/OT-Tools/OTL.exe
Ich weiß aber nicht ob das auch aktuell ist.
Aktuell müsste Version 3.2.55.0 sein


Alle Zeitangaben in WEZ +1. Es ist jetzt 14:01 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131