Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Virus mit Malwarebytes entfernt, heute neuer fund (https://www.trojaner-board.de/126596-virus-malwarebytes-entfernt-heute-neuer-fund.html)

fckfan 06.11.2012 17:11
Virus mit Malwarebytes entfernt, heute neuer fund
 
Hallo Leute :crazy:
habe mir letzten Freitag leider Viren eingefangen. Habe dann mehrfach mit Malwarebytes gescannt und dann auch alles entfernt. Heute habe ich wieder einen Scan gemacht, leider wurde wieder was gefunden.
Ich hoffe ihr könnt mir helfen.
OTL Scan hab ich gemacht. Hab allerding nur die OTL.txt und nicht die Extra.txt erhalten. Gmer hat sich leider jedes mal aufgehangen :confused:
Hatte zwischen Freitag und heute jeden Tag scans gemacht aber ohne was zu finden und war mir jetzt bisschen Arbeit alles zu posten, aber ihr wisst ja wie ein Log ohne Fund aussieht.
Anbei OTL.txt und die Malwarebyte logs.
Vielen Dank für die Hilfe :bussi:
Edit: Achja was ich noch ergänzen möchte ist, dass der Virus anscheinend Windows update deaktiviert hatte und es erst nach einer Systemwiederherstellung wieder ging.
Außerdem wollte der Virus Flash ka was als Admin installieren, hab natürlich immer nein gedrückt und erstmal im abgesichterten Modus mit Malwarebytes gescannt.

markusg 06.11.2012 17:36
hi nutzt du den pc für onlinebanking, zum einkaufen, für sonstige zahlungsabwicklungen, oder ähnlich wichtigem, wie beruflichem?

fckfan 06.11.2012 17:53
Nur für die Schule und zum Spielen, zum kaufen und sonstigem benutze ich einen anderen.

markusg 06.11.2012 18:13
hi
du hast ein gefährliches rootkit auf diesem pc (zero access)
dieses kann weitere malware nachladen.
ich persönlich würde, da man dieses nicht 100 %ig sicher los wird, diesen pc neu aufsetzen.
weiterer vorteil währe, dass wir diesen pc gleich vernünftig (sicher) konfigurieren würden, und man den dann gefahrlos fürs onlinebanking nutzen könnte.
1. Datenrettung:2. Formatieren, Windows neu instalieren:3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
ich werde außerdem noch weitere punkte dazu posten.
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

fckfan 06.11.2012 18:17
Ich kann es sehr gut verstehn, dass du auf nummer sicher gehen möchtest.
Aber können wir nicht bitte vorher andere Schritte zum Entfernen ausführen.
In dem Pc steckt einfach eine Menge arbeit insgesamt mit vielen Programmen, Spielen und änliches. Es würde mir einfach zu lange dauern bis ich alles neu gemacht habe.
Wäre es nicht wirklich möglich mir so zu helfen? Falls es dann nicht anders gehn sollte, kann man wohl nichts mehr machen, aber ich wäre dir wirklich sehr dankbar, wenn wir erstmal versuchen das Rootkit zu entfernen ohne den PC neu auf zu setzen.
Geht ja auch alles auf meine Gefahr.

markusg 07.11.2012 16:27
naja.
man kann nur die malware entfernen die wir finden.
und überlege mal, wenn wir jetzt arbeit reinstecken, dauert das auch lange, und wenn wir am ende feststellen, dass der pc nicht zu retten ist, müsstest du dann trotzdem neu aufsetzen, und hättest das doppelte an arbeit.
wenn wir malware übersehen, kann es sein, dass dein pc für straftaten missbraucht wird, und dein internet zugang eingeschrenkt wird, und im schlimmsten falle der pc von der polizei zu weiteren untersuchungen eingezogen wird.
wenn in dem pc so viel arbeit steckt, warum hast du kein backup, was machst du zb, wenn die festplatte kaputt geht, dass kostet einige hundert € wenn man dann die, so wichtigen daten, retten wollte.

fckfan 07.11.2012 23:19
ja du hast schon recht...
ich hätte halt füher backups machen sollen.
die arbeit die malware versuchen zu entfernen nehme ich jetzt erstmal lieber.
wenn wir "fertig" sind und ich sollte noch etwas auffälliges merken oder ähnliches werde ich mich sofort melden und ihn neu aufsetzen. das risiko ist es mir wert.

markusg 07.11.2012 23:22
hi
das ist ja das problem, man muss es nicht merken, bis es zu spät ist.
aber ist deine sache :-)
Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.
Downloade dir bitte Combofix von einem dieser Downloadspiegel

Link 1
Link 2


WICHTIG - Speichere Combofix auf deinem Desktop
  • Deaktiviere bitte all deine Anti Viren sowie Anti Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.


Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Zitat:
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

fckfan 08.11.2012 15:58
Vielen vielen Dank, dass du mir hilfst.
Ich weiß nicht ob es so geschickt war, jedenfalls hab ich gestern einige male "rogue killer" durchlaufen lassen. Die Logs hab ich hochgeladen.
Combofix habe ich ausgeführt.
Hier ist die Logdatei:
Code:
ComboFix 12-11-08.01 - *** 08.11.2012  15:44:21.2.4 - x86
Microsoft Windows 7 Home Premium  6.1.7601.1.1252.49.1031.18.3063.2157 [GMT 1:00]
ausgeführt von:: c:\users\Gl÷ckner\Desktop\Trojanerboard\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\windows\system32\muzapp.exe
c:\windows\system32\System32\MASetupCleaner.exe
c:\windows\system32\System32\muzapp.exe
.
.
(((((((((((((((((((((((  Dateien erstellt von 2012-10-08 bis 2012-11-08  ))))))))))))))))))))))))))))))
.
.
2012-11-08 14:51 . 2012-11-08 14:51        --------        d-----w-        c:\users\***\AppData\Local\temp
2012-11-08 14:51 . 2012-11-08 14:51        --------        d-----w-        c:\users\Public\AppData\Local\temp
2012-11-08 14:51 . 2012-11-08 14:51        --------        d-----w-        c:\users\Gl”ckner\AppData\Local\temp
2012-11-08 14:51 . 2012-11-08 14:51        --------        d-----w-        c:\users\Default\AppData\Local\temp
2012-11-07 14:50 . 2012-11-07 14:51        --------        d-----w-        c:\programdata\HitmanPro
2012-11-06 19:51 . 2012-11-06 19:51        --------        d-----w-        c:\program files\Mozilla Maintenance Service
2012-11-06 18:08 . 2012-11-06 18:08        --------        d-----w-        C:\TDSSKiller_Quarantine
2012-11-06 17:34 . 2012-08-24 17:05        136560        ----a-w-        c:\windows\system32\drivers\ksecpkg.sys
2012-11-06 17:34 . 2012-08-24 17:02        369856        ----a-w-        c:\windows\system32\drivers\cng.sys
2012-11-06 17:34 . 2012-08-24 16:57        247808        ----a-w-        c:\windows\system32\schannel.dll
2012-11-06 17:34 . 2012-08-24 16:57        220160        ----a-w-        c:\windows\system32\ncrypt.dll
2012-11-06 17:34 . 2012-08-24 16:56        1039360        ----a-w-        c:\windows\system32\lsasrv.dll
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-10-14 18:43 . 2012-04-11 13:04        696760        ----a-w-        c:\windows\system32\FlashPlayerApp.exe
2012-10-14 18:43 . 2011-10-26 13:41        73656        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
2012-09-29 17:54 . 2010-08-23 12:34        22856        ----a-w-        c:\windows\system32\drivers\mbam.sys
2012-08-24 06:59 . 2012-09-23 01:00        1800704        ----a-w-        c:\windows\system32\jscript9.dll
2012-08-24 06:51 . 2012-09-23 01:00        1129472        ----a-w-        c:\windows\system32\wininet.dll
2012-08-24 06:51 . 2012-09-23 01:00        1427968        ----a-w-        c:\windows\system32\inetcpl.cpl
2012-08-24 06:47 . 2012-09-23 01:00        142848        ----a-w-        c:\windows\system32\ieUnatt.exe
2012-08-24 06:47 . 2012-09-23 01:00        420864        ----a-w-        c:\windows\system32\vbscript.dll
2012-08-24 06:43 . 2012-09-23 01:00        2382848        ----a-w-        c:\windows\system32\mshtml.tlb
2012-08-22 17:16 . 2012-09-12 18:03        1292144        ----a-w-        c:\windows\system32\drivers\tcpip.sys
2012-08-22 17:16 . 2012-09-12 18:03        712048        ----a-w-        c:\windows\system32\drivers\ndis.sys
2012-08-22 17:16 . 2012-09-12 18:03        240496        ----a-w-        c:\windows\system32\drivers\netio.sys
2012-08-22 17:16 . 2012-09-12 18:03        187760        ----a-w-        c:\windows\system32\drivers\FWPKCLNT.SYS
2012-08-21 20:12 . 2012-09-28 12:29        245760        ----a-w-        c:\windows\system32\OxpsConverter.exe
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2012-08-08 348664]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"EnableLinkedConnections"= 1 (0x1)
"FilterAdministratorToken"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro36]
@=""
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro36.sys]
@=""
.
[HKLM\~\startupfolder\C:^Users^***^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk]
path=c:\users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
backup=c:\windows\pss\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk.Startup
backupExtension=.Startup
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2012-01-03 13:10        843712        ----a-w-        c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeAAMUpdater-1.0]
2010-11-01 12:26        500208        ----a-w-        c:\program files\Common Files\Adobe\OOBE\PDApp\UWA\updaterstartuputility.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AdobeCS5ServiceManager]
2010-07-22 21:10        402432        ----a-w-        c:\program files\Common Files\Adobe\CS5ServiceManager\CS5ServiceManager.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ChangeFilterMerit]
2007-06-08 14:27        51280        ----a-w-        c:\program files\NewSoft\Presto! PVR\ChangeFilterMerit.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DivXUpdate]
2011-07-28 23:08        1259376        ----a-w-        c:\program files\DivX\DivX Update\DivXUpdate.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
2009-02-26 17:36        30040        ----a-w-        c:\program files\Microsoft Office\Office12\GrooveMonitor.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
2010-04-28 13:06        142120        ----a-w-        c:\program files\iTunes\iTunesHelper.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KiesHelper]
2012-02-22 05:57        943504        ----a-w-        c:\program files\Samsung\Kies\KiesHelper.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KiesPDLR]
2012-03-06 13:13        21416        ----a-w-        c:\program files\Samsung\Kies\External\FirmwareUpdate\KiesPDLR.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KiesTrayAgent]
2012-02-22 05:57        3508624        ----a-w-        c:\program files\Samsung\Kies\KiesTrayAgent.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Malwarebytes' Anti-Malware (reboot)]
2012-09-29 17:54        981656        ----a-w-        c:\program files\Malwarebytes' Anti-Malware\mbam.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBAgent]
2010-03-26 08:52        1234216        ----a-w-        c:\program files\Nero\Nero 10\Nero BackItUp\NBAgent.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OpwareSE4]
2007-02-04 10:02        79400        ----a-w-        c:\program files\ScanSoft\OmniPageSE4\OpWareSE4.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Presto! PVR Monitor]
2009-02-20 16:48        157520        ----a-w-        c:\program files\NewSoft\Presto! PVR\Monitor.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2010-03-17 19:53        421888        ----a-w-        c:\program files\QuickTime\QTTask.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RtHDVCpl]
2010-01-19 18:10        8452640        ----a-w-        c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SSBkgdUpdate]
2006-10-25 07:03        210472        ----a-w-        c:\program files\Common Files\ScanSoft Shared\SSBkgdUpdate\SSBkgdUpdate.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
2012-01-18 13:02        254696        ----a-w-        c:\program files\Common Files\Java\Java Update\jusched.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\VirtualCloneDrive]
2011-03-07 13:33        89456        ----a-w-        c:\program files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\XboxStat]
2007-09-27 01:05        734264        ----a-w-        c:\program files\Microsoft Xbox 360 Accessories\XBoxStat.exe
.
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"KiesTrayAgent"=
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\setup\disabledrunkeys]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
.
R1 ntiomin;ntiomin; [x]
R3 a2acc;a2acc;c:\program files\EMSISOFT ANTI-MALWARE\a2accx86.sys [x]
R3 dg_ssudbus;SAMSUNG Mobile USB Composite Device Driver (DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudbus.sys [x]
R3 dgderdrv;dgderdrv;c:\windows\system32\drivers\dgderdrv.sys [x]
R3 FsUsbExDisk;FsUsbExDisk;c:\windows\system32\FsUsbExDisk.SYS [x]
R3 ggflt;SEMC USB Flash Driver Filter;c:\windows\system32\DRIVERS\ggflt.sys [x]
R3 SCREAMINGBDRIVER;Screaming Bee Audio;c:\windows\system32\drivers\ScreamingBAudio.sys [x]
R3 sscebus;SAMSUNG USB Composite Device V2 driver (WDM);c:\windows\system32\DRIVERS\sscebus.sys [x]
R3 sscemdfl;SAMSUNG Mobile Modem V2 Filter;c:\windows\system32\DRIVERS\sscemdfl.sys [x]
R3 sscemdm;SAMSUNG Mobile Modem V2 Drivers;c:\windows\system32\DRIVERS\sscemdm.sys [x]
R3 ssceserd;SAMSUNG Mobile Modem Diagnostic Serial Port V2 (WDM);c:\windows\system32\DRIVERS\ssceserd.sys [x]
R3 ssudmdm;SAMSUNG  Mobile USB Modem Drivers (DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudmdm.sys [x]
R3 ssudserd;SAMSUNG Mobile USB Diagnostic Serial Port(DEVGURU Ver.);c:\windows\system32\DRIVERS\ssudserd.sys [x]
R3 tapoas;TAP-Win32 Adapter OAS;c:\windows\system32\DRIVERS\tapoas.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 WatAdminSvc;Windows-Aktivierungstechnologieservice;c:\windows\system32\Wat\WatAdminSvc.exe [x]
R4 a2AntiMalware;Emsisoft Anti-Malware 5.0 - Service;c:\program files\Emsisoft Anti-Malware\a2service.exe [x]
R4 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]
R4 FsUsbExService;FsUsbExService;c:\windows\system32\FsUsbExService.Exe [x]
R4 NAUpdate;Nero Update;c:\program files\Nero\Update\NASvc.exe [x]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]
S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [x]
S3 seehcri;Sony Ericsson seehcri Device Driver;c:\windows\system32\DRIVERS\seehcri.sys [x]
.
.
Inhalt des "geplante Tasks" Ordners
.
2012-11-07 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-11 18:43]
.
2010-12-21 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-07-04 13:03]
.
2010-12-21 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2010-07-04 13:03]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
uInternet Settings,ProxyOverride = local
IE: add to &BOM - c:\\PROGRA~1\\BIET-O~1\\\\AddToBOM.hta
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
IE: {{7578ADEA-D65F-4C89-A249-B1C88B6FFC20} - c:\program files\ICQ7.5\ICQ.exe
IE: {{77F665FD-3F60-4B0A-AE14-EC124B7A7FCE} - c:\program files\ICQ7.7\ICQ.exe
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\users\***\AppData\Roaming\Mozilla\Firefox\Profiles\gh233ysl.default\
FF - prefs.js: browser.startup.homepage - www.google.de
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
SafeBoot-14210736.sys
SafeBoot-95694891.sys
MSConfigStartUp-Adobe Reader Speed Launcher - c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe
MSConfigStartUp-ICQ - c:\program files\ICQ7.6\ICQ.exe
MSConfigStartUp-SUPERAntiSpyware - c:\program files\SUPERAntiSpyware\SUPERAntiSpyware.exe
AddRemove-05_Sloan - c:\program files\Samsung\USB Drivers\05_Sloan\Uninstall.exe
AddRemove-06_Spencer - c:\program files\Samsung\USB Drivers\06_Spencer\Uninstall.exe
AddRemove-08_EMPChipset - c:\program files\Samsung\USB Drivers\08_EMPChipset\Uninstall.exe
AddRemove-17_EMP_Chipset2 - c:\program files\Samsung\USB Drivers\17_EMP_Chipset2\Uninstall.exe
AddRemove-18_Zinia_Serial_Driver - c:\program files\Samsung\USB Drivers\18_Zinia_Serial_Driver\Uninstall.exe
AddRemove-19_VIA_driver - c:\program files\Samsung\USB Drivers\19_VIA_driver\Uninstall.exe
AddRemove-20_NXP_Driver - c:\program files\Samsung\USB Drivers\20_NXP_Driver\Uninstall.exe
AddRemove-21_Searsburg - c:\program files\Samsung\USB Drivers\21_Searsburg\Uninstall.exe
AddRemove-22_WiBro_WiMAX - c:\program files\Samsung\USB Drivers\22_WiBro_WiMAX\Uninstall.exe
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\S-1-5-21-3129020582-5442418-3358701914-1000\Software\SecuROM\License information*]
"datasecu"=hex:25,2a,88,0c,de,35,b1,ac,85,fd,c3,84,dc,80,62,38,4e,80,0f,f5,eb,
  19,d1,3e,33,61,22,4d,75,ac,b2,09,6f,2f,94,90,0a,c2,d2,6d,f6,a5,c9,db,e2,86,\
"rkeysecu"=hex:51,d6,aa,31,05,04,81,c7,33,e7,cb,51,9f,ca,f7,93
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0002\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0003\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0004\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0005\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0006\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0007\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0008\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0009\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0010\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0011\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0012\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0013\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0014\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0015\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0016\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0017\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0018\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0019\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2012-11-08  15:52:34
ComboFix-quarantined-files.txt  2012-11-08 14:52
ComboFix2.txt  2011-08-09 19:21
.
Vor Suchlauf: 23 Verzeichnis(se), 1.148.314.583.040 Bytes frei
Nach Suchlauf: 24 Verzeichnis(se), 1.148.262.375.424 Bytes frei
.
- - End Of File - - 64424A1FDCB1286BAC16CDF4531989C7

markusg 08.11.2012 18:18
hi
ja, du hast einige tools laufen lassen, die nicht angewiesen waren, und nach deren, evtl. unsachgemäßem einsatz, der pc hätte noch mehr schaden nemen können.
öffne c:
poste tdss-killer-version-datum.txt
poste hitmanpro logs.

fckfan 08.11.2012 20:36
Also Tdss killer hab ich einfach so öfters zur sicherheit laufen lassen.
Kann einfach mal alle Logs die ich davon hab hochladen.
Sind halt enorm viele.
Hitman Pro hab ich keine Logs.
FSS hab ich noch ein log.
lad ich einfach mit hoch.

markusg 08.11.2012 20:54
das ist doch quark, einen remover so oft laufen zu lassen. ich guck jetzt nicht die ganzen logs durch.
außerdem ist das gefährlich
Trojaner-Board Upload Channel
packe und lade die tdss killer quarantäne da hoch

markusg 09.11.2012 00:39
danke fürs hochladen
nutzt du den pc für onlinebanking, zum einkaufen, für sonstige zahlungsabwicklungen oder ähnlich wichtigem, wie beruflichem?

fckfan 09.11.2012 00:48
nein wie vorher schon gesagt nur für die schule und zum spielen.
wollte ja auf jeden fall als erstes probieren alle viren zu entfernen und dann falls es nicht klappt neu aufsetzen. wie gesagt auf eigene gefahr bei mir

markusg 09.11.2012 00:50
aja, sorry, vergessen.
du hattest schon mindestens 2 mal ne rootkit infektion, das system ist nicht mehr zu retten.
1. Datenrettung:2. Formatieren, Windows neu instalieren:3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
ich werde außerdem noch weitere punkte dazu posten.
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

fckfan 09.11.2012 00:54
sorry, dass ich nochmal nachfrage aber kannst du mir vllt mal erkären wieso es nicht mehr zu retten ist. ich meine wenn das rootkit mit tdsskiller entfernt wurde?
Kann man da wirklich nichts machen?
will ja nix sagen aber ihr seid wohl wirklich sehr übervorsichtig hier?
oder kann man sagen, dass ich sowas nie wieder losbekomme?

markusg 09.11.2012 20:00
nicht nur einmal wurde ein rootkit entfernt, sondern 2mal, das, und die zusätzlichen malware funde, sollten dir zeigen, dass dein system so häufig infiziert war, dass es nicht mehr zu retten ist.
ich bin nicht über vorsichtig, du bist unvorsichtig, solche Systeme wie deines, werden, wie oben schon gesagt, zum Spam versand, und schlimmerem verwendet.
und, wenn ich mich recht erinnere, habe ich diesen pc schon letztes jahr mit dir bereinigt, also hat er eine lange infektions geschichte hinter sich, es wird also mal zeit, nicht dauernd irgendwelche bereinigungen daran durchzuführen, sondern neu anzufangen und das system endlich vernünftig zu konfigurieren.


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:24 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19