Windows XP Laptop möglicherweise infiziert?
 

Guten Abend liebe Leute,

nachdem ich den PC meines Bruder leider nicht mehr retten konnte
(siehe mein anderes Problem http://www.trojaner-board.de/126859-...tml#post955768
habe ich nun die Befürchtung, dass bei dieser Rettungsaktion mein eigener Laptop Schaden davon getragen hat.

Es gibt keine Anzeichen für einen Befall, jedoch wie man aus meinem anderen Thema erkenne kann, ist der PC meines Bruders ein extrem hoffnungsloser Fall. :heulen:

Mein Laptop ist mit Kasperky Pure 2.0 geschützt und ich habe jedesmal, wenn ich mit dem USB Logfiles von dem befallenen PC (Internetverbindung kann man auf dem PC keine mehr ausführen) auf den Laptop übertragen habe, eine vollständige Untersuchung des Sticks durchgeführt - Es wurden keine Bedrohungen angezeigt.

Dennoch bin ich verunsichert und bitte um eure Hilfe.

Kurzinfos zu meinem Laptop:
System: Microsoft Windows XP Media Center Edition, Version 2002, Service Pack 3
Hersteller: HP
Prozessor: Intel Core 2 CPU T5500, 1,66 Ghz, 1,00 GB RAM

Vielen Danke für eure Hilfe & Support schon mal im Voraus!

Liebe Grüße
Kathi

Hallo und :hallo:

Bevor wir uns an die Arbeit machen, möchte ich dich bitten, folgende Punkte vollständig und aufmerksam zu lesen.

• Lies dir meine Anleitungen, die ich im Laufe dieses Strangs hier posten werde, aufmerksam durch. Frag umgehend nach, wenn dir irgendetwas unklar sein sollte, bevor du anfängst meine Anleitungen umzusetzen.
  
  
• Solltest du bei einem Schritt Probleme haben, stoppe dort und beschreib mir das Problem so gut du kannst. Manchmal erfordert ein Schritt den vorhergehenden.
  
  
• Bitte nur Scans durchführen zu denen du von einem Helfer aufgefordert wurdest! Installiere / Deinstalliere keine Software ohne Aufforderung!
  
  
• Poste die Logfiles direkt in deinen Thread (bitte in CODE-Tags) und nicht als Anhang, ausser du wurdest dazu aufgefordert. Logs in Anhängen erschweren mir das Auswerten!
  
  
• Beachte bitte auch => Löschen von Logfiles und andere Anfragen

Note:
Sollte ich drei Tage nichts von mir hören lassen, so melde dich bitte in diesem Strang => Erinnerung an meinem Thread.
Nervige "Wann geht es weiter" Nachrichten enden mit Schließung deines Themas. Auch ich habe ein Leben abseits des Trojaner-Boards.


Nochmal zur Info: Ich bin da eingeschritten und hab Screenshots entfernt, die euren Windows-Lizenzschlüssel zeigten. Diesen sollte man niemals öffentlich machen!

Schon irgendwelche Scans mit anderen Tools gemacht? Log mit Funden da? Siehe => http://www.trojaner-board.de/125889-...tml#post941520

Bitte keine neuen Virenscans machen sondern erst nur schon vorhandene Logs posten!

Hallo cosinus, vielen dank für deine Antwort.

Nein ich habe noch keine Logs bzw. Andere scans als mit kaspersky bei diesem gerät durchgeführt. Soll ich Otl und defogger ausführen?
Lg kathi

Wenn es so noch KEINE Hinweise gibt, würde ich nur Scans mit MBAM und ESET empfehlen:
Mach bitte zur Kontrolle einen Quickscan mit Malwarebytes - denk bitte vorher daran, Malwarebytes über den Updatebutton zu aktualisieren anschließend führst du das hier aus

ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Hallo Cosinus,

alles klar - hab jetzt schon mal den Quickscan von Malewarebytes durchlaufen lassen und 4 Objekte wurden gefunden (siehe untenstehende Logdatei)

Da mir schon die Augen zufallen, werde ich das mit dem Eset Online Scanner morgen machen, wenn das ok ist?

Lg und Gute Nacht!

Kathi

Das sind nur Reste. Mach bitte mit ESET weiter

Hallo cosinus,

lang hats gedauert (und ich bin dabei eingeschlafen :) ) aber untenstehend nun auch das ESET logfile:

lg
Kathi

Vermüllte Software von Softonic scheint gerade stark in Mode zu sein! :stirn:

Finger weg von Softonic!! :pfui:

Softonic ist eine Toolbar- und Adwareschleuder! Finger weg! Software lädt man sich mit oberster Priorität direkt vom Hersteller oder von Filepony aber nicht von solchen Toolbarklitschen wie Softonic!

Browsercache und Temp leeren (Datenträgerbereinigung)

Grüß dich!

Beim Durchstöbern und Lesen sämtlicher Beiträge auf eurem Board, ist mir schon aufgefallen, dass Softonic nicht so wirklich der Burner ist. Im Hinterkopf hab ich schon gewusst, dass ich irgendwann irgendwas von dort heruntergeladen hab, nur wusste ich nicht, dass ich davon noch was oben hab :headbang:

Sonst muss ich nix machen? Danach ist alles gut und im grünen Bereich?
Die gefundenen Sachen verschwinden dann auch?

lg Kathi

Naja wir können tiefer graben

Bitte nun Logs mit GMER (<<< klick für Anleitung) und aswMBR (Anleitung etwas weiter unten) erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim zweiten Mal nicht will, lass es einfach weg und führ nur aswMBR aus.

aswMBR-Download => aswMBR.exe - speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe Vista und Win7 User mit Rechtsklick "als Admininstartor starten"
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen) Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort. Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte es erneut nicht klappen teile mir das bitte mit.

Noch ein Hinweis: Sollte aswMBR abstürzen und es kommt eine Meldung wie "aswMBR.exe funktioniert nicht mehr, dann mach Folgendes:
Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

Guten Abend,

untenstehend das Gmer Log (hat ganz ohne Probleme und gleich von Anfang an funktioniert)

aswmbr folgt dann morgen.
lg und Gute Nacht,
Kathi

Bitte poste nach Möglichkeit alle Logs in einem Rutsch

anbei der aswmbr log:

Wir sollten den MBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht.

Hinweis: Mach bitte NICHT den MBR-Fix, wenn du noch andere Betriebssysteme wie zB Ubuntu installiert hast, ein MBR-Fix mit Windows-Tools macht ein parallel installiertes (Dualboot) Linux unbootbar.
Mach den Fix auch dann nicht, wenn du zB mit TrueCrypt oder anderen Verschlüsselungsprogrammen eine Vollverschlüsselung der Windowspartition bzw. gesamten Festplatte hast

Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR.

Hinweis: Bitte den Virenscanner abstellen bevor du aswMBR ausführst, denn v.a. Avira meldet darin oft einen Fehalalrm!

Anschließend Windows neu starten und ein neues Log mit aswMBR machen.

oje - was hat er denn?
wenn ich auf den fixmbr button drücke kommt die meldung von aswmbr, dass ich dadurch meine partitionen schädigen kann und ob ich das wirklich will - ist diese meldung normal? hab meine wichtigsten dateien auf meine externe fp gespeichert - reicht das?

lg

ja mach bitte den MBR-Fix!

Guten Morgen,

anbei der Fix Log und der Scan Log von aswmbr:

Fix Log:


Neuer Scan Log:

lg
Kathi

Ok, mach auch bitte ein neues Log mit GMER

Hallo cosinus,

untenstehend findest du den neuen Gmer Log:

lg
Kathi

GMER meldet immer noch was

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hello,

untenstehend der Combofix log (hat einwandfrei funktioniert):

lg

Bitte nun (im normalen Windows-Modus) dieses Tool von Kaspersky (TDSS-Killer) ausführen und das Log posten Anleitung und Downloadlink hier => http://www.trojaner-board.de/82358-t...entfernen.html

Hinweis: Bitte den Virenscanner abstellen bevor du den TDSS-Killer ausführst, denn v.a. Avira meldet im TDSS-Tool oft einen Fehlalarm!

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

Wenn du das Log nicht findest oder den Inhalt kopieren und in dein Posting übertragen kannst, dann schau bitte direkt auf deiner Windows-Systempartition ( meistens Laufwerk C: ) nach, da speichert der TDSS-Killer seine Logs.

Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten!

http://saved.im/mtg4nzy0ywy5/settings_2012-09-04.png

anbei das TDSS log

Da ist och etwas, aber der TDSS-Killer sieht es nicht

Live-System PartedMagic / GParted

1. Lade Dir ISO-Image von PartedMagic
   
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
   
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist
   
4. Du müsstest ein Symbol PartitionEditor auf dem Desktop finden, das doppelklicken
   
5. Wenn das Tool die Partitionen aufgelistet hat, bitte einen Screenshot mit Hilfe der Taste DRUCK auf der Tastatur erstellen, diesen Screenshot hier posten (idR hast du einen Internetzugang mit PartedMagic, wenn nicht einfach den Screenshot auf einem Stick abspeichern und unter Windows hier posten)

also irgendwas mach ich falsch - hab jetzt schon 2mal versucht das parted magic bei imagefunktion von nero starsmart zu brennen und von der cd zu booten (bootreihenfolge hab ich geändert) und es passiert genau nix - der pc startet ganz normal mit windows.
der 1. versuch war, dass ich parted magic entpackt hab und dann eine bootfähige cd erstellt hab - hat nicht funktioniert
2. versuch: die gezippte version als image auf cd gebrennt - hat auch nicht funktioniert - was mach ich falsch?

CD Laufwerk hab ich jetzt auch nochmal getestet (mit einer stinknormalen audio cd) - das hat funktioniert - irgendwas schmeckt ihm nicht.
bitte um hilfe bzw. weitere anweisung
danke und lg
kathi

EDIT: hat sich erledigt habs jetzt mit dem imgburn gebrannt - Screenshot hat leider auch nicht funktioniert - deswegen hab ich mim Handy Fotos gemacht siehe anbei

lg

Wir sollten den MBR reparieren. Sichere für den Fall der Fälle jetzt alle wichtigen Daten.

Hast Du noch andere Betriebssystem außer WinXP drauf?

Wenn nicht, also WinXP das einzige installierte System ist: Starte den Rechner neu und wähle im Bootmenü die Wiederherstellungskonsole (Recovery Console) aus.
Tipp dort den Befehl fixmbr ein (dann Enter, mit j bestätigen) danach den Befehl fixboot (dann Enter, mit j bestätigen)
Mit exit (dann enter drücken) wird der Rechner neu gestartet. Führe im normalen Windowsmodus MBRcheck bzw. aswmbr (je nachdem welches Tool ich dir vorhin aufgab) und wenn es geht GMER nochmals aus und poste die neuen Logs.

Hi,

ich wüsste nicht, dass da noch ein anderes Betriebssystem oben ist - löscht sich das Parted Magic denn nach der Verwendung wieder automatisch von der Platte?

Wie komm ich denn in das Bootmenü? Bzw. ist dass daselbe Menü, wo ich auch die Bootreihenfolge auf CD ändern musste?

Nachdem ja Combofix eine Wiederherstellungskonsole erstellt hat, kommt (wie von Combofix angekündigt) beim Hochfahren ganz kurz eine Auflistung, welche Optionen man zum Hochfahren hat: Windows Wiederherstellungskonsole, defogger (enabled - dort steht, dass mans nicht drücken soll) und eben windows xp - wo kommt denn bitte der defogger her? ich hab ihn zwar für den PC meines Bruders heruntergeladen, aber nicht auf dem Laptop ausgeführt!

Kann man denn schon sagen, was der Laptop für ein Problem hat?

lg
Kathi

Da ist nichts auf Platte installiert! Live-System, läuft direkt von der CD ohne etwas auf die Platte zu kopieren

Und genau da sollst du hin!

Oh man - also ich bin jetzt auf diese wiederherrstellungskonsole gegangen
und jetzt wurde mir folgende Frage gestellt:

Mit welcher Windows Installation möchten Sie sich anmelden?
1: C:\WINDOWS
2: D:\MiniNT
3: F:\WINDOWS

Drücken Sie die Eingabetaste, um den Vorgang abzubrechen

:crazy:

Was mach ich jetzt?

Nimm Installation 1: C:\WINDOWS

so - ich hab da jetzt genau neben C:\ WINDOWS> fixmbr eingtippt und dann enter
Dann kommt da eine Megawarnung:
Der MBR scheint ungültig oder nicht standardmäßig zu sein

Wenn Sie diesen Vorgang fortsetzen, wird FIXMBR wird möglicherweise die Partitionstabellen beschädigen.

Das kann dazu führen, dass auf keine Partition auf der aktuellen Festplatte zugegriffen werden kann etc. etc.
Sind Sie sicher, dass Sie einen neuen MBR schreiben möchten?

Sorry, dass ich da so oft nachfrage, aber das ist echt Neuland für mich und solche Warnmeldungen machen mir etwas Angst :confused:

Ja du bist sicher den MBR neu zu schreiben :D

mah bin total umsonst so nervös gewesen :)
also die letzen scanner die ich ausgeführt habe waren: TDSS (letze), Gmer (vorletze) und aswmbr (vorvorletzte) - welchen soll ich jetzt als erstes drüberrattern lassen?

lg

Erstmal nur GMER und aswMBR bitte

ok
anbei nun aswmbr - GMER kann ich erst wieder am Abend ausführen:

Sollte ok sein, man sieht aber auch kaum einen Unterschied zum vorherigen Log von aswmbr

Guten Morgen,

untenstehend nun auch der neue GMER log:

Hm, das angebliche MBR-Rootkit ist immer noch da :wtf:

Kennst du diese Partition? Sie wird in GParted als /dev/sda3 bezeichnet und hat eine Größe von etwa 1 GB (1027 MB)


Geh auch mal bitte in die Datenträgerverwaltung (klick auf Start/Ausführen, diskmgmt.msc eintippen und ok), maximiere das Fenster, erstell dann einen Screenshot und poste ihn hier.


Hier ein Beispiel wie die Datenträgerverwaltung aussieht:

http://www.administrator.de/images/a...0e4-iscsi5.jpg

hello,

nein - also ich hab sicher keine eigene partition erstellt. :eek: :confused:

wo kommt die her?
gibt es viren / trojaner die eine eigene partition erstellen können? Bzw. wie kann ich erkennen was da drauf ist?

Mir fällt grad ein, dass vor 2 - 3 Jahren mein Laptop ziemlich im Eimer gewesen ist (konnte nicht mehr hochfahren bzw. irgendwas auf dem ding steuern) und da ich das trojaner board damals nicht kannte, hat mein Mann gemeint, dass sein Freund (arbeitet in der IT Abteilung in einem großen Unternehmen) sich das Teil mal ansieht und versuchen könnte Daten zu retten. Daten wurden nur teilweise gerettet (falls das mal in den logfiles aufgetaucht ist - das sind die Ordner auf C die sich "Daten recovered" nennen) Ich schließe es aber aus, dass er eine Partition erstellt hat, weil er hätte es mir ja gesagt bzw. dem Ding wenigstens einen Namen gegeben.

anbei mal der screenshot

Das wird ja immer mysteriöser

NACHTRAG: hab jetzt mal versucht mit der rechten Maustaste die Eigenschaften dieser ominösen Partition anzuklicken - Fehlanzeige! Die Eigenschaften sind nicht anklickbar!!

ja gibt es, mir wäre es aber neu, dass die eine Partition mit satten 1000 MB erstellen :balla:
Ich habe bisher gesehen, dass v.a. Rootkits eine kleine (10 MB) Partition erstellen und diese als aktiv/bootfähig kennzeichnen. Normalerweise ist eine von Windows erstellte Partition aktiv und hat das bootflag. Wenn aber die Rootkit-Partition das hat, wird von ihr gebootet mit der Konsequenz, dass der Schädling schon aktiv wird bevor Windows gebootet ist

Lösch diese 1 GB Partition bitte, mach danach einen Neustart und einen neuen Screenshot der Datenträgerverwaltung und bitte auch einen neuen Scan mit GMER
Wenn du Recover-Discs hast bzw. eine normale WindowsXP-Installations-Disc XP, dann kannst du auch die RECOVERY Partition löschen

oh mann, das wird ja immer besser :/
so ich wollt das Ding jetzt löschen und jetzt schiebt windows folgende meldung:

Die gewählte Partition wurde nicht erstellt und enthält möglicherweise Daten die von anderen Betriebssystemen verwendet werden. Soll diese Partition gelöscht werden?

Ja lösch die ruhig mal

guti - hab ich gemacht und danach einen restart und nun anbei der neue screenshot.
vielleicht ist mir das jetzt nur so vorgekommen, weil ich während des neustartens kurz draußen war, aber mir kommt irgendwie vor, dass der kleine läppi etwas länger als gewohnt braucht - ist mir eigentlich schon aufgefallen, nachdem der combofix diese wiederherstellungsconsole erstellt hat - außerdem heizt sich der Kleine extrem auf :wtf:

EDIT
Oh mein Gott ich glaub jetzt hats ihn gschossen... Wollte mit Kaspersky eine schwachstellenüberprüfung machen, die hat sich nach 1 % aufghängt, dann hat meine i-net verbidnug auf einmal gemeldet, dass sie unsicher ist und ich hab daraufhin sofort das WLAN abgedreht, wollte wieder andrehen und dann ist er eingefroren. Hab, brutal wie ich bin, das knopfal gedrückt und in ausgeschalten. 1 min später nochmal an und jetzt geht nix mehr. Kurz bevor die anmeldemaske hätte kommen sollen, ist nun ein blauer ein XP Bildschirm und es wird gemeldet, dass das dateisytem c überprüft wird und das von CHKDSK - bei den indezes ist er hängen geblieben und zwar beim Index der Datei 33039 . Da soll irgend ein Fehler berichtigt werden... Gott was isn jetzt los???

Mach bitte neue Logs mit GMER und aswMBR

Hallo,

untenstehend der Gmer log:

irgendwie ist da immer noch was :/
aswmbr folgt
lg

so und nun auch der neue aswmbr log:

Das MBR-Teil wird immer noch von GMER angezeigt, lass uns mal den MBR mit aswMBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht.

Hinweis: Mach bitte NICHT den MBR-Fix, wenn du noch andere Betriebssysteme wie zB Ubuntu installiert hast, ein MBR-Fix mit Windows-Tools macht ein parallel installiertes (Dualboot) Linux unbootbar.
Mach den Fix auch dann nicht, wenn du zB mit TrueCrypt oder anderen Verschlüsselungsprogrammen eine Vollverschlüsselung der Windowspartition bzw. gesamten Festplatte hast

Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR.

Hinweis: Bitte den Virenscanner abstellen bevor du aswMBR ausführst, denn v.a. Avira meldet darin oft einen Fehalalrm!

Anschließend Windows neu starten und ein neues Log mit aswMBR und GMER machen.

Hello untenstehend der fix log von aswmbr und die neuen scan logs von aswmbr und gmer. Gmer meldet trotz dem Fix von aswmbr immer noch was :(

fixlog:

Logile aswmbr:

logile Gmer:

was nun?

lg

Hm, das Teil hält sich hartnäckig :balla:

Mach bitte mal einen Durchgang mit MBAR => http://www.trojaner-board.de/126981-...tml#post956070

also ich glaub, das Programm mag mich nicht.
Habs wie in der Anleitung beschrieben heruntergeladen und entpackt und mbar.exe lässt sich von mir nicht starten (siehe Screenshots anbei)

mbar problem 1: diese Fehlermeldung kommt, wenn ich ganz normal auf die exe Datei doppelklicke
mbar problem 2: diese fehlermeldung kommt, wenn ichs über Rechtsklick - Ausführen als - und dann mit meinem User versuche

Da mein Konto ein Adminkonto ist, kann ich das nicht ganz verstehen - was tun?
lg
Kathi

Hast du es wirklich komplett entpackt?
Entpacke es bitte mit 7zip über Rechtsklick auf die ZIP-Datei => 7zip => hier entpacken

Oder hast es so gemacht?

ich bin mit rechtsklick auf den zip ordner, dann "Alle extrahieren" und dann kommt der automatische Windows extrahier assistent und hats extrahiert. Soll ich mir 7.zip jetzt trotzdem herunter laden?

Untenstehend auch ein Screenshot von dem Extrahierten Ordner.

Ja, bitte mit 7zip mal entpacken, der Windows-Funktion trau ich nicht immer jede ZIP-Datei zu ;)

Wenn es immer noch nicht geht: neuen Windows-Benutzer über die Systemsteuerung mal anlegen (natürlich mit Adminrechten), ausloggen, mit neuen User rein und dann MBAR nochmal probieren

so hab 7zip herunter geladen und das teil ein 2. mal extrahiert.
Doppelklick - und es geht nicht - bekomm wieder meldung wegen der adminrechte
dann hab ich mir ein 2. adminkonto eingerichtet, den zip ordner von meinen desktop auf den "dummyadmin" desktop verschoben, mit 7zip extrahiert, doppelklick auf die exe datei - kommt da auch die adminfehlermeldung :schrei:

sakra haxn - wwarum geht das nicht? :heulen:

kanns vielleicht daran liegen, weil die windows firewall und der kaspersky noch rennen?
lg
Kathi

Verdammt mir gehen so langsam die Ideen aus...MBAR war meine letzte Rettung wegen des Rootkits, was GMER noch anzeigt :balla:

Probier MBAR bitte im abgesicherten Modus mit Netzwerktreibern aus:


Abgesicherter Modus zur Bereinigung

• Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
• Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:
  
  

Nicht verzweifeln :)
Im abgesicherten mod. Funktioniert mbar und das mit meinem adminuser
Aber jetzt kommt der überhammer: beim anmelden hatte ich plötzlich 3 Konten zur Auswahl: meines, dass neu erstellte dummyadminkonto uuund ADMINISTRATOR!!! Ich glaub mich knutscht ein Elch! Wo kommt das her? Ich hab das nicht erstellt!!!:balla:

Das ist völlig normal ;)

Den "Administrator" hat jedes Windows, das ist der vordefinierte und "unlöschbare" Adminaccount
Im normalen Modus unter WindowsXP wird der nur nicht angezeigt.

achsooo - na und ich hab schon weiß gott was geglaubt :rofl:
so mbar ist durch und hat nix gefunden - siehe log:

kann es vielleicht sein, dass Gmer ein false / positive meldung gemacht hat?

Damit hätte ich das ja auch abgetan, aber leider hat CF ja auch Erkennungen in dieser Richtung gehabt :(

Hier ein Auszug

Wobei man aber anmerken muss, dass CF Bestandteile von GMER verwendet. Vllt könnten GMER/CF wohl nur deswegen "spinnen", weil noch eine Kopie des eigentlich MBR auf Sektor1 liegt.
Alle anderen MBR/Rootkitscanner melden ja keinen Befall mehr....


Wenn du wirklich ganz sicher gehen willst, müssten wir eigentlich mal zwei Dumps der ersten beiden Festplattensektoren erstellen. Und die dann vergleichen bzw. analysieren.

Traust du dir das zu? Da müssten wir wieder mit einem Live-Linux (zB PartedMagic wieder) arbeiten und in eine Rootshell Befehle eintippern. Vertippst du dich ist dein Windows aus und vorbei, also sichere bitte alle Daten, mach am besten ein Image zB mit Drivesnaphot aller internen Festplatten, Imagedatei auf externe Platte speichern

huiuiui hört sich ja heftig an, aber ich bin neugierig und mutig und wills probieren :)
außerdem hast du mich bisher so super betreut - da kann ja eigentlich gar nix schief gehen ;) Dafür nochmal danke

Bzgl. Image von den Festplatten hätt ich noch eine Frage: wie groß müsst denn die externe Platte sein, wo das Image dann abgespeichert wird? Hab daweil nur die eine, die wir ja auch schon untersucht habe (und da sind bereits alle wichtigen persönliche Ordner & Dateien von diesem Laptop und von unserem PC gesichert)...

Das ist eine gute Frage :)
Ich habe bisher die Erfahrung, dass Drivesnapshot alles zu in etwa 2:1 komprimiert.
Beispiel: Deine 100 GB C Partition ist mit 80 GB Daten belegt. Dann wird das Snapshot-Image etwa 40 GB groß sein. Es wandern nur wirklich wichtige Daten ins Image, sowas wie pagefile.sys und hiberfile.sys ignoriert snapshot, das spart gerade bei heutigen Speichermonstern einiges...

hmm alles klar... wenns morgen nicht zu stressig ist, dann versuch ich das mit dem image morgen nebenbei in der arbeit zu machen. Wenns fertig ist, meld ich mich wieder und dann bin ich bereit für "operation läppi" :kloppen: :)

Ok, mach das ;)

Guten Morgen,

bin grad dabei mir das Handbuch von Snapshot durchzulesen und irgendwie versteh ich das mit dem "Backup mit VSS" nicht ganz - soll ich das Backup mit VSS oder ohne machen? Was meinst du?

lg
Kathi

Findest du doch nur in den erweiterten Einstellungen, lass es einfach in der Standardeinstellung!

achsooo - ich wollts scho wieder kompliziert machen :crazy:
na jetzt läuft das ding schon - mir fällt jetzt nur auf, dass der bildschirm dezent flackert :/ Hoff, das liegt jetzt nur an dem Programm :wtf:

Das Image speicherst du aber auf eine externen Platte oder?
Diese bitte abklemmen wenn wir mit Linux arbeiten

Hi,

ja wird auf meine externe Platte gespeichert. (bin schon bei 82%)
Ich hoffe nur, dass ich es richtig gemacht habe - habe nämlich Laufwerk C & D (Recovery von HP) ausgewählt und dann einen eigenen Ordner auf der externen FP erstellt und dort den Dateinamen des Image beginnend mit $disk abgespeichert...

alles klar - werd ich machen

Wenn du alle Partitionen der internen Platte in ein Image speicherst kannst du nicht viel falsch machen ;)

sodaaa - image erstellung ist erledigt.

Die Sache mit Parted Magic kann ich entweder heute erst spät am Abend oder Morgen machen (hab nämlich gscheiter Weise die Parted Magic CD zu Hause liegen lassen :headbang: )

Ok, dann melde dich wenn du bereit bist. Einen Internetzugang unter PartedMagic hast du ja?

nein leider nicht - beim letzten mal war kein i-net zugang möglich - deswegen hab ich ja auch die Fotos mit dem Handy gemacht und dann von einem anderen PC gepostet.

Was hast du denn für eine Internetverbindung? Kabel, WLAN? Provider?
Es ist schon von Vorteil eine Internetverbindung unter PartedMagic zu haben oder hast du einen zweiten PC? Sonst müsstest du ja ständig hoch und runterfahren um hier rein zu schauen :balla:

Hi - hab WLAN mit dem 3 Webcube - und beim letzten Mal mit Parted Magic hat die Kontrollleuchte von meinem integrierten WLAN eben rot (für ausgschalten) statt blau geleuchtet.

Hab nen 2. PC (Standpc) - der rennt auch über WLAN Router und Webcube :)

Ich stell dann einfach den Läppi daneben auf und dann geht da schon ;)
und im allerschlimmsten Fall schau ich halt übers Handy ins Forum :)

Ok, hauptsache du kannst parallel schauen
Wie gesagt melde dich wenn du bereit bist

Guten Morgen cosinus,

heute am späten Nachmittag / Abend (so gegen halb 6) könnt ich mit der Operation läppi loslegen - wenn das für dich ok ist? Soll ich dann am Abend den Laptop gleich mit der parted Magic CD booten?

Lg kathi

Ja boote nachher mal davon und starte das Terminal. Tipp ein

und poste die Ausgabe

Hallihallo,

habe nun mit parted magic gebootet und da dieses Tool für mich absolutes neuland ist, steh ich jetzt schon vor dem 1. Problem:
Wer oder was ist der Terminal und wo finde ich den? Im Startmenü gibt es keine Punkt der so benannt ist und auf Google hab ich auch nichts gefunden :(

lg

EDIT: das Einzige, was mir logisch vorkäme wäre "Command Line File Manager" - aber da ich mir nicht sicher bin, warte ich lieber auf deine Rückinfo

Das Terminal sollte unten in der Quicklaunch als schwarzer Monitor erkennbar sein. Klick es an. Eine schwarze Konsole öffnet sich. Tipp dort den Befehl ein (du solltest root@partedmagic in der Zeile lesen können)

Das Zeichen nach dem Bindestrich ist übrigens ein kleines L und nicht die Zahl "eins"

ok - das ist schon mal klar - aber anscheinend dürfte die Tastenbelegung in parted magic anders sein als normal - Bindestrich ist nicht gleich Bindestrich *heul*

EDIT bin schon draufgekommen - hab einfach mal wild ausprobiert *lol* Da das mit dem Screenshot beim letzten Mal leider nicht funktioniert hat und ich auch keine Plan habe, wie ich die Ausgabe auf meinen USB Stick speichern / übertragen soll, schick ich dir mal wieder ein Foto vom Handy - ich hoff das passt so

Ok, ich überleg zwar gerade ob das wirklich was bringen kann aber versuchen wir es mal.
Dann gib mal folgende Befehle ein:

Befehl1, Sektor0 auslesen:
Befehl2, Sektor1 auslesen:
Navigiere dann bitte mit dem Filemanager ins Dateisystem nach /tmp
(Note: Bei UNIX/Linux gibt es keine Laufwerkwerksbuchstaben)

Kopiere die beiden dmp-Dateien bitte auf deinen USB-Stick, wenn das klappt bitte diese Dateien zippen und hier anhängen.


Edit nur so als Hintergrundinfo: die beiden dmp-Dateien sind sector0.dmp und sector1.dmp wobei sector0.dmp ein Abbild des allersten Sektors und die sector1.dmp ein Abbild des genau darauffolgenden Sektors auf deiner internen 100GB-Festplatte ist, computer fangen bei der Null an zu zählen ;)
Ob die beiden Dumpdateien was bringen weiß ich leider noch nicht.... :(

juhu es hat funktioniert :) ich hab mich zwar beim filemanager einmal vertan, weil ich aus gewohnheit den usbstick mit doppelklick geöffnet habe (zum glück ist aber nix passiert) und beim 2. versuch hats geklappt.

Anbei nun die Zip Datei - ich hoff die dateien bringen was :)

Hast du gut gemacht :daumenhoc
Aber ich glaube ich komm nicht so weiter wie ich mir das erst durch diese Idee erhofft habe :crazy:

Übrigens sagt auch TDSS-Killer und ja auch aswMBR der MBR sei ok, vllt hat GMER tatsächlich nur eine falschen Alarm....zudem haben wir den MBR ja neugeschrieben ;)

Machen wir einfach mal weiter

Downloade dir bitte Farbar's Service Scanner

• Starte das Tool mit Doppelklick auf die FSS.exe
• Gehe sicher, dass folgende Optionen angehakt sind.
  • Internet Services
  • Windows Firewall
  • System Restore
  • SecurityCenter / ActionCenter
• Klicke auf Scan.
• Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

Dankeschön :Boogie: aber ohne deine Hilfe hätt ichs nicht zusammengebracht.

Schade dass es jetzt nicht so gelaufen ist, wie du es dir erhofft hast

Der Scan mit Farbar hat heiße 5 Sekunden gedauert und war fertig :)

Es ist schon richtig gewesen, nur dachte ich seh ich in den Dumps der ersten beiden Sektoren mehr :(

adwCleaner - Toolbars und ungewollte Start-/Suchseiten aufspüren

Downloade Dir bitte AdwCleaner auf deinen Desktop.

Falls der adwCleaner schon mal in der runtergeladen wurde, bitte die alte adwcleaner.exe löschen und neu runterladen!!

• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Suche.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[Rx].txt. (x=fortlaufende Nummer)

heyho,

untenstehend der Log vom adwarecleaner - ich hab gestern übrigens über die windows suche "softonic" gesucht und alles was gefunden wurde gelöscht
Hat diese Babylontoolbar eigentlich etwas mit der blöden Claro Search zu tun, oder ist das wieder was anderes?

lg

adwCleaner - Toolbars und ungewollte Start-/Suchseiten entfernen

• Schließe alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[Sx].txt. (x=fortlaufende Nummer)

Anmerkung: ClaroSearch ist leider noch nicht ganz verschwunden - wenn ich im FF ein neues Tab öffne, ist das Ding wieder da :(

Mach bitte einen CustomScan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop. Falls schon vorhanden, bitte die ältere vorhandene Datei durch die neu heruntergeladene Datei ersetzen, damit du auch wirklich mit einer aktuellen Version von OTL arbeitest.

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Setze oben mittig den Haken bei Scanne alle Benutzer
• Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox von OTL - wenn OTL auf deutsch ist wird sie mit http://larusso.trojaner-board.de/Images/otlfix.jpg beschriftet

• Schliesse bitte nun alle Programme. (Wichtig)
• Klicke nun bitte auf den Quick Scan Button.
• Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
• Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

es wurde auch eine Extras.txt erstellt - brauchst du die nicht?
lg

Fixen mit OTL

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

• Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
• Schließe bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

sodala:

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle einen Quickscan mit Malwarebytes - denk bitte vorher daran, Malwarebytes über den Updatebutton zu aktualisieren

Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

untenstehend der log von mam - eset kann ich erst morgen liefern

lg und schönen Freitag noch :)

Guten Morgen,

untenstehend jetzt auch der ESET Log - wie kann es sein, dass dieses doofe Softonic immer noch da ist - hab doch bereits manuell alles gelöscht *grrrr*

lg und schönen Samstag :)
Kathi

Sieht soweit ok aus, die ESET-Funde sind nur Rest in der Systemwiederherstellung

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Info: Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Hello,

muss ich irgendetwas spezielles machen, damit die funde aus der Systemwiederherstellung verschwinden? Ich will ja nicht den Teufel an die Wand malen, aber falls ich mal in den Genuss komme und die Systemwiederherstellung benötige, stelle ich dann nicht auch diese nervigen Dinger wieder her?

ich werd dann mal die Option mit dem "Browserverlauf & Cookies automatisch nach Beendigung der Sitzung" wählen.

Ansonsten rennt das Ding einwandfrei und die nervige Clarosearch Sache ist ja nun auch komplett weg.

Danke für deine tolle Unterstützung und deine Zeit :taenzer: :applaus: :Boogie:

Kann ich jetzt eigentlich die ganze Programme (Combofix, OTL, MBAR, FSS, adwcleaner, tdss, GMER und aswmbr) löschen bzw. deinstallieren?

Malewarebytes werde ich mir sicherheitshalber behalten.

lg
Kathi

In System Volume Information sind die Dateien für Wiederherstellungspunkte gespeichert.

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.
Das Deaktivieren der SWH löscht alle Wiederherstellungspunkte. Wenn das erledigt ist, sollte sie unbedingt wieder aktiviert werden.



Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. Mit Hilfe von OTL kannst du auch viele Tools entfernen:

Starte bitte OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.


Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.


Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate
Windows XP:Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.
Windows Vista/7: Start, Systemsteuerung, Windows-Update


PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:
Prüfen => Adobe - Flash Player
Downloadlinks findest du hier => Browsers and Plugins - FilePony.de

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallihallo,

habe so ziemlich alles entfernt / upgedatet wie von dir beschrieben.

Jetzt hab ich noch eine Frage:

Auf dem Desktop wurde eine MBR Datei erstellt (von malewarebytes oder einem anderen Tool) - kann ich das auch löschen? (siehe Screenshot anbei)

lg
Kathi

Die kann weg, aswMBR hat die Datei erstellt

achso - na guti

:abklatsch: Danke nochmal für deine Hilfe :)
Wenn dann mal der Weihnachtsstress vorbei ist, werde ich mich mal unserem Desktop PC widmen - der ist nämlich (auch) nicht ganz sauber.

Wünsch dir jetzt schon mal schöne (und vor allem stressfreie) Weihnachten!

lg
Kathi