Polizeivirus Österreich
 

Hallo
Ich habe heute Morgen auf meinem privaten PC mit Windows XP die Meldung"Landespolizeidirection Bundesministerium Polizei Österreich" mit Foto eines Polizisten bekommen. Habe dann gegoogelt und versucht den Rechner im abgesicherten Modus hochzufahren. Geht nicht, da er immer wieder auf die Abfrage zurückspringt. Dann habe ich mir die Kaspersky Notfall CD heruntergeladen. Diese hat 2 Fehler gefunden, die aber nicht bereinigt wurden. Habe desshalb die Dateien gelöscht. Der Rechner funktioniert leider noch nicht. Habe noch Fotodaten am Rechner.
Franz

Hallo und :hallo:

Ich bin Christoph und möchte dir bei deinem Problem helfen.
Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scans durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting (Posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software außer Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen außer ich fordere Dich dazu auf. Erschwert mir nämlich das Auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass dein PC clean ist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.


Erstellen einer UBCD4Win-CD und Scan mit FRST (Windows XP)

Die folgenden Schritte sind sehr komplex, daher druckst du dir die Anleitung besser aus. Außerdem brauchst du:

• Einen funktionierenden Computer mit DVD/CD-Brenner
• Einen CD-Rohling.
• Einen USB-Stick.

Falls du bei den folgenden Schritten eine Fehlermeldung bekommst, gib mir bitte Bescheid und gib an, an welcher Stelle das genau passiert ist.

A) Lade dir bitte die Ultimate Boot CD für Windows

• Speichere es auf deinen Desktop und doppelklicke die UBCD4Win.EXE.
• Folge den Anweisungen auf dem Bildschirm.
• Wichtig:
  • Installiere es nicht in einen Ordner mit Leerzeichen!
  • Dein Virusscanner könnte anschlagen, wenn die Dateien entpackt werden. Dies sind aber Fehlalarme.

B) Lege deine Windows XP CD mit SP1/SP2/SP3 (Servicepacks) in dein CD-Laufwerk

• Doppelklicke die UBCD4WinBuilder.exe im Ordner c:\ubcd4win, falls du nicht gleich vom Setup dorthin gesprungen bist.
• Unter Windows Vista / 7 / 8 musst du den Builder mit Rechtsklick > Als Administrator starten.
• Klicke Ich stimme zu, bei der nächsten Frage: Nein
• Im folgenden Menü mache folgende Einstellungen:
  • Quelle: Klicke "..." und wähle das Laufwerk aus.
  • Zusätzliches: Lass das hier leer.
  • Zielordner: Hier steht "BartPE", lass das so.
  • Bootmedium: "ISO-Image erstellen" sollte angewählt sein - belasse dies so.
  Hinweis: Falls deine XP-CD das Service Pack 1 enthält (nur dann), mache bitte folgendes:
  • Klicke auf Plugins.
  • Deaktiviere !Critical: DComLaunch Service
  • Aktiviere !Critical: LargeIDE Fix
  • Klicke: Schliessen
  Hinweis: Falls du eine Installations-CD von Dell hast, dann folge bitte diesem Link für weitere Hinweise.

C) Klicke jetzt auf den Start-Button

• Klicke zum Erstellen des Verzeichnisses auf Ja.
• Klicke auf "Ich stimme zu", warte einige Minuten während das Image erstellt wird und dann auf schliessen > Beenden.

D) Brenne das ISO-Image auf den CD-Rohling: Anleitung

E) Lade Farbar's Recovery Scan Tool auf den sauberen Rechner und speichere es auf den USB-Stick.

F) Schließe den USB-Stick an den infizierten Rechner an, lege die UBCD4Win-CD ein und starte ihn.

• Sorge dafür, dass der Computer von CD startet. (Anleitung)
• Es erscheint ein Fenster in dem du die Ultimate Boot CD für Windows auswählst und Enter drücken sollst. Dies kann eine Weile dauern, sei einfach geduldig.
• Wenn der Desktop erscheint, wird eine Nachricht erscheinen: Do you want to start Network support? Antworte mit Ja, wenn du sofort online gehen willst, um dein Logfile zu posten.
• Es erscheint ein blauer Desktop mit grüner Schrift und einigen Icons auf der linken Seite.

G) Klicke auf das Computersymbol oben links, finde Farbar's Recovery Scan Tool (FRST.exe) auf deinem USB-Stick.

• Starte FRST mit einem Doppelklick.
• Bestätige die Abfrage.
• Klicke auf Scan
• Ein Logfile namens FRST.txt wird erstellt. Poste es hier in deinem Thema, möglichst in CODE-Tags (#-Symbol im Editor).

Hallo Christoph
Jetzt komme ich schon nicht mehr weiter. Habe alle Schritte ausgeführt.
Das Verzeichnis UBCD4Win mit Unterverzeichnis BartPe gibt es auch. Aber wo ist die
ISO Image Datei die ich brennen soll?
Danke

Hallo Christoph
Hab´s nicht anders geschafft.

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 13-03-2013 (ATTENTION: FRST version is 18 days old)
Ran by SYSTEM at 31-03-2013 13:48:43
Running from F:\
Microsoft Windows XP Service Pack 2 (X86) OS Language: Georgian
The current controlset is ControlSet003

==================== Registry (Whitelisted) ===================

HKLM\...\Run: [CmUCRRun] C:\WINDOWS\system32\CmUCReye.exe [237568 2005-08-04] ()
HKLM\...\Run: [CHotkey] mHotkey.exe [x]
HKLM\...\Run: [ledpointer] CNYHKey.exe [x]
HKLM\...\Run: [MedionVFD] "C:\Programme\Medion Info Display\MdionLCM.exe" [126976 2005-10-11] (Dritek System Inc.)
HKLM\...\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup [7282688 2005-09-22] (NVIDIA Corporation)
HKLM\...\Run: [nwiz] nwiz.exe /install [x]
HKLM\...\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit [x]
HKLM\...\Run: [HP Lamp] C:\Programme\Hewlett-Packard\HP PrecisionScan\PrecisionScan\HPLamp.exe [42496 1998-11-24] ()
HKLM\...\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb01.exe [192512 2000-09-05] (HP)
HKLM\...\Run: [RemoteControl] "C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe" [32768 2004-11-02] (Cyberlink Corp.)
HKLM\...\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe" [139264 2005-10-28] (CyberLink Corp.)
HKLM\...\Run: [RTHDCPL] RTHDCPL.EXE [x]
HKLM\...\Run: [Alcmtr] ALCMTR.EXE [x]
HKLM\...\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe [155648 2001-07-09] (Ahead Software Gmbh)
HKLM\...\Run: [BabylonToolbar] "C:\Programme\BabylonToolbar\BabylonToolbar\1.4.19.19\BabylonToolbarsrv.exe" /md I [286720 2010-11-07] (Babylon Ltd.)
HKLM\...\Run: [] [x]
HKLM\...\Run: [ApnUpdater] "C:\Programme\Ask.com\Updater\Updater.exe" [1644680 2013-02-08] (Ask)
HKLM\...\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [254896 2012-09-17] (Sun Microsystems, Inc.)
HKLM\...\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min [345312 2013-03-19] (Avira Operations GmbH & Co. KG)
HKLM\...\Run: [NitfEZXYwtjYCu5] C:\Dokumente und Einstellungen\Besitzer.WORKS\Lokale Einstellungen\Anwendungsdaten\~tmp9160656623953896881.exe [136704 2013-03-30] ()
Tcpip\Parameters: [DhcpNameServer] 10.0.0.138 10.0.0.138

==================== Services (Whitelisted) ===================

2 AntiVirSchedulerService; "C:\Programme\Avira\AntiVir Desktop\sched.exe" [86752 2013-02-25] (Avira Operations GmbH & Co. KG)
2 AntiVirService; "C:\Programme\Avira\AntiVir Desktop\avguard.exe" [110816 2013-02-25] (Avira Operations GmbH & Co. KG)
2 CLCapSvc; "C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe" [258146 2005-10-28] ()
2 CLSched; "C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe" [114784 2005-10-28] ()
2 CyberLink Media Library Service; "C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe" [1081344 2005-10-28] (Cyberlink)
2 Eventlog; C:\Windows\System32\services.exe [111104 2009-02-09] (Microsoft Corporation)
2 Garmin Core Update Service; "C:\Programme\Garmin\Core Update Service\Garmin.Cartography.MapUpdate.CoreService.exe" [185176 2013-03-07] (Garmin Ltd or its subsidiaries)
3 ose; "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE" [89136 2003-07-28] (Microsoft Corporation)
2 RichVideo; "C:\Programme\CyberLink\Shared Files\RichVideo.exe" [167936 2005-10-28] ()
3 WMPNetworkSvc; "C:\Programme\Windows Media Player\WMPNetwk.exe" [920576 2006-10-24] (Microsoft Corporation)
3 x10nets; C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe [20480 2001-11-12] (X10)
3 AppMgmt; C:\Windows\System32\appmgmts.dll [x]
2 JavaQuickStarterService; "C:\Programme\Java\jre6\bin\jqs.exe" -service -config "C:\Programme\Java\jre6\lib\deploy\jqs\jqs.conf" [x]

==================== Drivers (Whitelisted) ====================

3 3xHybrid; C:\Windows\System32\DRIVERS\3xHybrid.sys [826112 2005-10-17] (Philips Semiconductors GmbH)
2 AegisP; C:\Windows\System32\DRIVERS\AegisP.sys [19915 2011-09-07] (Meetinghouse Data Communications)
2 avgntflt; C:\Windows\System32\DRIVERS\avgntflt.sys [84744 2013-02-27] (Avira Operations GmbH & Co. KG)
1 avipbb; C:\Windows\System32\DRIVERS\avipbb.sys [135136 2013-02-27] (Avira Operations GmbH & Co. KG)
1 avkmgr; C:\Windows\System32\DRIVERS\avkmgr.sys [37352 2013-03-06] (Avira Operations GmbH & Co. KG)
3 CCDECODE; C:\Windows\System32\DRIVERS\CCDECODE.sys [17024 2008-04-13] (Microsoft Corporation)
3 CMISTOR; C:\Windows\System32\DRIVERS\cmiucr.SYS [69248 2005-08-03] (C-Media Corporation)
3 HDAudBus; C:\Windows\System32\DRIVERS\HDAudBus.sys [144384 2008-04-13] (Windows (R) Server 2003 DDK provider)
3 MPE; C:\Windows\System32\DRIVERS\MPE.sys [15232 2008-04-13] (Microsoft Corporation)
3 NABTSFEC; C:\Windows\System32\DRIVERS\NABTSFEC.sys [85248 2008-04-13] (Microsoft Corporation)
3 NdisIP; C:\Windows\System32\DRIVERS\NdisIP.sys [10880 2008-04-13] (Microsoft Corporation)
3 NuidFltr; C:\Windows\System32\DRIVERS\NuidFltr.sys [14736 2009-05-08] (Microsoft Corporation)
3 qcusbser; C:\Windows\System32\DRIVERS\qcusbser.sys [111464 2009-12-19] (QUALCOMM Incorporated)
3 RT2500USB; C:\Windows\System32\DRIVERS\rt2500usb.sys [241536 2005-07-14] (Ralink Technology Inc.)
3 rtl8139; C:\Windows\System32\DRIVERS\RTL8139.SYS [20992 2004-08-03] (Realtek Semiconductor Corporation)
3 SLIP; C:\Windows\System32\DRIVERS\SLIP.sys [11136 2008-04-13] (Microsoft Corporation)
1 ssmdrv; C:\Windows\System32\DRIVERS\ssmdrv.sys [28520 2012-08-27] (Avira GmbH)
3 streamip; C:\Windows\System32\DRIVERS\StreamIP.sys [15232 2008-04-13] (Microsoft Corporation)
3 WSTCODEC; C:\Windows\System32\DRIVERS\WSTCODEC.SYS [19200 2008-04-13] (Microsoft Corporation)
3 XUIF; C:\Windows\System32\Drivers\x10ufx2.sys [17408 2004-01-16] (X10 Wireless Technology, Inc.)
4 Abiosdsk; [x]
4 abp480n5; [x]
4 adpu160m; [x]
4 Aha154x; [x]
4 aic78u2; [x]
4 aic78xx; [x]
4 AliIde; [x]
4 amsint; [x]
4 asc; [x]
4 asc3350p; [x]
4 asc3550; [x]
2 ASPI32; [x]
4 Atdisk; [x]
4 cd20xrnt; [x]
1 Changer; [x]
4 CmdIde; [x]
4 Cpqarray; [x]
4 dac2w2k; [x]
4 dac960nt; [x]
4 dpti2o; [x]
4 hpn; [x]
1 i2omgmt; [x]
4 i2omp; [x]
4 ini910u; [x]
4 IntelIde; [x]
1 lbrtfdc; [x]
4 mraid35x; [x]
1 PCIDump; [x]
3 PDCOMP; [x]
3 PDFRAME; [x]
3 PDRELI; [x]
3 PDRFRAME; [x]
4 perc2; [x]
4 perc2hib; [x]
4 ql1080; [x]
4 Ql10wnt; [x]
4 ql12160; [x]
4 ql1240; [x]
4 ql1280; [x]
0 rseb; [x]
4 Simbad; [x]
4 Sparrow; [x]
4 symc810; [x]
4 symc8xx; [x]
4 sym_hi; [x]
4 sym_u3; [x]
4 TosIde; [x]
4 ultra; [x]
4 ViaIde; [x]
3 WDICA; [x]

==================== NetSvcs (Whitelisted) ===================


==================== One Month Created Files and Folders ========

2013-03-30 15:22 - 2013-03-30 17:35 - 00000000 ___AD C:\Kaspersky Rescue Disk 10.0
2013-03-29 18:26 - 2013-03-06 14:13 - 00037352 ____A (Avira Operations GmbH & Co. KG) C:\Windows\System32\Drivers\avkmgr.sys
2013-03-29 18:26 - 2013-02-27 11:22 - 00135136 ____A (Avira Operations GmbH & Co. KG) C:\Windows\System32\Drivers\avipbb.sys
2013-03-29 18:26 - 2013-02-27 11:22 - 00084744 ____A (Avira Operations GmbH & Co. KG) C:\Windows\System32\Drivers\avgntflt.sys
2013-03-29 18:26 - 2012-08-27 13:50 - 00028520 ____A (Avira GmbH) C:\Windows\System32\Drivers\ssmdrv.sys
2013-03-23 02:01 - 2013-03-23 02:01 - 00000000 __HDC C:\Windows\$NtUninstallKB2807986$
2013-03-23 02:00 - 2013-03-23 02:01 - 00017362 ____A C:\Windows\KB2807986.log
2013-03-22 17:08 - 2013-02-12 00:32 - 00012928 ____C (Microsoft Corporation) C:\Windows\System32\dllcache\usb8023.sys
2013-03-13 17:23 - 2013-03-13 17:24 - 00053682 ____A C:\Windows\KB2809289-IE8.log


==================== One Month Modified Files and Folders ========

2013-03-31 13:48 - 2013-03-31 13:48 - 00000000 ____D C:\FRST
2013-03-31 10:17 - 2011-11-19 08:51 - 00000232 ____A C:\Windows\Tasks\Scheduled Update for Ask Toolbar.job
2013-03-31 10:17 - 2011-05-14 06:56 - 00000424 ___AH C:\Windows\Tasks\User_Feed_Synchronization-{0BCFCD37-2D0A-4A6E-97FE-33000B3D6B1B}.job
2013-03-31 10:17 - 2011-03-07 18:10 - 00032578 ____A C:\Windows\SchedLgU.Txt
2013-03-31 10:17 - 2011-03-07 18:10 - 00000006 ___AH C:\Windows\Tasks\SA.DAT
2013-03-31 10:17 - 2011-03-07 18:05 - 01539976 ____A C:\Windows\WindowsUpdate.log
2013-03-31 10:17 - 2011-03-07 18:00 - 00000216 ____A C:\Windows\wiadebug.log
2013-03-31 10:17 - 2011-03-07 18:00 - 00000050 ____A C:\Windows\wiaservc.log
2013-03-31 10:17 - 2011-03-07 17:57 - 01159626 ____A C:\Windows\System32\PerfStringBackup.INI
2013-03-31 10:16 - 2012-03-29 15:49 - 00000664 ____A C:\Windows\System32\d3d9caps.dat
2013-03-31 10:16 - 2005-10-09 09:50 - 00000000 ____D C:\Windows\System32\Lang
2013-03-31 10:15 - 2011-03-07 18:20 - 00037469 ____A C:\Windows\System32\nvapps.xml
2013-03-30 17:35 - 2013-03-30 15:22 - 00000000 ___AD C:\Kaspersky Rescue Disk 10.0
2013-03-29 18:25 - 2005-10-08 21:52 - 00000000 ___RD C:\Programme
2013-03-29 18:15 - 2012-03-14 14:32 - 00112202 ____A C:\Windows\setupapi.log
2013-03-29 18:03 - 2005-10-08 20:56 - 00000000 ____D C:\Windows\Registration
2013-03-29 17:28 - 2011-04-05 15:34 - 00083018 ____A C:\Windows\setupact.log
2013-03-29 17:22 - 2004-08-04 12:00 - 00002206 ____A C:\Windows\System32\wpa.dbl
2013-03-29 17:04 - 2006-08-18 06:00 - 00000000 ____D C:\Windows\System32\NtmsData
2013-03-23 02:01 - 2013-03-23 02:01 - 00000000 __HDC C:\Windows\$NtUninstallKB2807986$
2013-03-23 02:01 - 2013-03-23 02:00 - 00017362 ____A C:\Windows\KB2807986.log
2013-03-23 02:01 - 2011-03-07 17:57 - 01923766 ____A C:\Windows\FaxSetup.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00944563 ____A C:\Windows\ocgen.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00743795 ____A C:\Windows\tsoc.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00545267 ____A C:\Windows\comsetup.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00327730 ____A C:\Windows\ntdtcsetup.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00302034 ____A C:\Windows\iis6.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00096884 ____A C:\Windows\msgsocm.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00086733 ____A C:\Windows\ocmsn.log
2013-03-23 02:01 - 2011-03-07 17:57 - 00001374 ____A C:\Windows\imsins.log
2013-03-23 02:00 - 2005-10-08 13:36 - 00000000 ___HD C:\Windows\$hf_mig$
2013-03-13 17:24 - 2013-03-13 17:23 - 00053682 ____A C:\Windows\KB2809289-IE8.log
2013-03-13 17:24 - 2011-04-17 14:04 - 69796088 ____A (Microsoft Corporation) C:\Windows\System32\MRT.exe
2013-03-13 17:24 - 2011-04-09 15:39 - 00232703 ____A C:\Windows\updspapi.log
2013-03-13 17:24 - 2011-03-07 17:57 - 00001374 ____A C:\Windows\imsins.BAK
2013-03-13 17:23 - 2011-05-14 06:52 - 00000000 ____D C:\Windows\ie8updates
2013-03-11 17:40 - 2009-01-18 11:22 - 00000481 ____A C:\stub.log
2013-03-11 17:24 - 2011-03-07 18:31 - 00001080 ____A C:\Windows\AUTOLNCH.REG
2013-03-06 14:13 - 2013-03-29 18:26 - 00037352 ____A (Avira Operations GmbH & Co. KG) C:\Windows\System32\Drivers\avkmgr.sys
2013-03-01 02:28 - 2004-08-04 12:00 - 06011392 ____C (Microsoft Corporation) C:\Windows\System32\dllcache\mshtml.dll
2013-03-01 02:28 - 2004-08-04 12:00 - 06011392 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.dll

==================== Known DLLs (Whitelisted) =================


==================== Bamital & volsnap Check =================

C:\Windows\explorer.exe
[2004-08-04 12:00] - [2008-04-14 02:22] - 1036800 ____A (Microsoft Corporation) 418045a93cd87a352098ab7dabe1b53e

C:\Windows\System32\winlogon.exe
[2004-08-04 12:00] - [2008-04-14 02:23] - 0513024 ____A (Microsoft Corporation) f09a527b422e25c478e38caa0e44417a

C:\Windows\System32\svchost.exe
[2004-08-04 12:00] - [2008-04-14 02:23] - 0014336 ____A (Microsoft Corporation) 4fbc75b74479c7a6f829e0ca19df3366

C:\Windows\System32\services.exe
[2004-08-04 12:00] - [2009-02-09 11:21] - 0111104 ____A (Microsoft Corporation) a3edbe9053889fb24ab22492472b39dc

C:\Windows\System32\User32.dll
[2004-08-04 12:00] - [2008-04-14 02:22] - 0580096 ____A (Microsoft Corporation) b0050cc5340e3a0760dd8b417ff7aebd

C:\Windows\System32\userinit.exe
[2004-08-04 12:00] - [2008-04-14 02:23] - 0026624 ____A (Microsoft Corporation) 788f95312e26389d596c0fa55834e106

C:\Windows\System32\Drivers\volsnap.sys
[2004-08-04 12:00] - [2008-04-14 01:52] - 0053760 ____A (Microsoft Corporation) a5a712f4e880874a477af790b5186e1d


==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points (XP) =====================

RP: -> 2013-03-29 18:02 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP383

RP: -> 2013-03-29 17:23 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP382

RP: -> 2013-03-29 17:23 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP381

RP: -> 2013-03-29 17:20 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP380

RP: -> 2013-03-27 17:09 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP379

RP: -> 2013-03-27 17:08 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP378

RP: -> 2013-03-27 17:01 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP377

RP: -> 2013-03-26 10:13 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP376

RP: -> 2013-03-24 06:19 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP375

RP: -> 2013-03-23 02:00 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP374

RP: -> 2013-03-22 17:52 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP373

RP: -> 2013-03-19 10:53 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP372

RP: -> 2013-03-17 17:50 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP371

RP: -> 2013-03-16 06:59 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP370

RP: -> 2013-03-13 17:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP369

RP: -> 2013-03-13 17:19 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP368

RP: -> 2013-03-13 04:53 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP367

RP: -> 2013-03-11 16:08 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP366

RP: -> 2013-03-10 11:01 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP365

RP: -> 2013-03-09 10:09 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP364

RP: -> 2013-03-07 16:38 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP363

RP: -> 2013-03-04 15:16 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP362

RP: -> 2013-03-03 07:53 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP361

RP: -> 2013-03-01 15:23 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP360

RP: -> 2013-02-25 16:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP359

RP: -> 2013-02-24 16:16 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP358

RP: -> 2013-02-23 14:45 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP357

RP: -> 2013-02-22 14:17 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP356

RP: -> 2013-02-21 14:03 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP355

RP: -> 2013-02-20 08:55 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP354

RP: -> 2013-02-18 16:18 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP353

RP: -> 2013-02-16 06:54 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP352

RP: -> 2013-02-13 18:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP351

RP: -> 2013-02-10 13:28 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP350

RP: -> 2013-02-09 12:42 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP349

RP: -> 2013-02-08 11:54 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP348

RP: -> 2013-02-06 12:45 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP347

RP: -> 2013-02-05 12:14 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP346

RP: -> 2013-01-30 13:29 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP345

RP: -> 2013-01-28 14:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP344

RP: -> 2013-01-27 10:36 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP343

RP: -> 2013-01-26 07:01 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP342

RP: -> 2013-01-23 13:54 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP341

RP: -> 2013-01-22 12:36 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP340

RP: -> 2013-01-20 10:23 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP339

RP: -> 2013-01-19 06:49 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP338

RP: -> 2013-01-15 19:42 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP337

RP: -> 2013-01-15 18:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP336

RP: -> 2013-01-14 18:17 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP335

RP: -> 2013-01-13 12:32 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP334

RP: -> 2013-01-12 11:12 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP333

RP: -> 2013-01-10 19:55 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP332

RP: -> 2013-01-10 18:50 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP331

RP: -> 2013-01-07 19:43 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP330

RP: -> 2013-01-07 19:26 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP329

RP: -> 2013-01-02 10:42 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP328

RP: -> 2013-01-02 09:22 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP327

RP: -> 2012-12-30 08:42 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP326

RP: -> 2012-12-29 07:55 - 024576 _restore{7C478976-06C2-4557-91FC-0BDD818EE2BC}\RP325

RP: -> 2011-01-07 12:08 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP791

RP: -> 2011-01-05 15:09 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP790

RP: -> 2011-01-03 11:40 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP789

RP: -> 2010-12-30 14:53 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP788

RP: -> 2010-12-29 13:03 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP787

RP: -> 2010-12-28 10:25 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP786

RP: -> 2010-12-26 06:37 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP785

RP: -> 2010-12-23 13:23 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP784

RP: -> 2010-12-21 19:21 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP783

RP: -> 2010-12-18 20:50 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP782

RP: -> 2010-12-17 20:19 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP781

RP: -> 2010-12-17 14:46 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP780

RP: -> 2010-12-17 14:41 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP779

RP: -> 2010-12-12 08:26 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP778

RP: -> 2010-12-11 06:59 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP777

RP: -> 2010-12-09 18:07 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP776

RP: -> 2010-12-08 12:56 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP775

RP: -> 2010-12-07 12:11 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP774

RP: -> 2010-12-06 10:44 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP773

RP: -> 2010-12-05 08:00 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP772

RP: -> 2010-11-28 21:03 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP771

RP: -> 2010-11-27 18:50 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP770

RP: -> 2010-11-26 18:02 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP769

RP: -> 2010-11-23 17:46 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP768

RP: -> 2010-11-21 10:02 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP767

RP: -> 2010-11-20 09:54 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP766

RP: -> 2010-11-16 11:59 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP765

RP: -> 2010-11-14 17:08 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP764

RP: -> 2010-11-13 16:41 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP763

RP: -> 2010-11-13 06:49 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP762

RP: -> 2010-11-11 15:12 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP761

RP: -> 2010-11-09 17:24 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP760

RP: -> 2010-11-08 17:16 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP759

RP: -> 2010-11-06 07:52 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP758

RP: -> 2010-11-02 19:49 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP757

RP: -> 2010-11-02 16:25 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP756

RP: -> 2010-11-02 04:47 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP755

RP: -> 2010-11-02 04:45 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP754

RP: -> 2010-11-01 21:03 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP753

RP: -> 2010-11-01 11:49 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP752

RP: -> 2010-10-31 11:07 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP751

RP: -> 2010-10-30 05:53 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP750

RP: -> 2010-10-27 13:42 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP749

RP: -> 2010-10-26 13:16 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP748

RP: -> 2010-10-24 19:11 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP747

RP: -> 2010-10-23 13:00 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP746

RP: -> 2010-10-22 12:39 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP745

RP: -> 2010-10-21 12:09 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP744

RP: -> 2010-10-19 13:55 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP743

RP: -> 2010-10-18 12:21 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP742

RP: -> 2010-10-17 08:49 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP741

RP: -> 2010-10-16 08:04 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP740

RP: -> 2010-10-12 16:19 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP739

RP: -> 2010-10-11 13:10 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP738

RP: -> 2010-10-10 06:47 - 028672 _restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP737


==================== Memory info ===========================

Percentage of memory in use: 40%
Total physical RAM: 1022.42 MB
Available physical RAM: 609.76 MB
Total Pagefile: 905.8 MB
Available Pagefile: 623.76 MB
Total Virtual: 2047.88 MB
Available Virtual: 2001.32 MB

==================== Partitions =============================

1 Drive b: (RAMDisk) (Fixed) (Total:0.25 GB) (Free:0.25 GB) FAT
2 Drive c: (BOOT) (Fixed) (Total:177.87 GB) (Free:98.11 GB) NTFS ==>[Drive with boot components (Windows XP)]
3 Drive d: (DATEN & PROGRAMME) (Fixed) (Total:148.14 GB) (Free:133.23 GB) NTFS
4 Drive e: (RECOVER) (Fixed) (Total:9.32 GB) (Free:4.38 GB) FAT32
5 Drive f: () (Removable) (Total:3.73 GB) (Free:3.73 GB) FAT32
7 Drive x: (UBCD4Windows) (CDROM) (Total:0.62 GB) (Free:0 GB) CDFS

Auf Computer: MININT-JVC
Datentr. Status GrӇe Frei Dyn GPT
-------- ---------- ------- ------- --- ---
0 Online 335 GB 0 B

============================== MBR Partition Table ==================

==================== End Of Log ============================

Hi

gut gemacht :daumenhoc

Schritt 1

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Fix Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.


Du solltest nun wieder in den normalen Modus starten können. Mache dort bitte Folgendes:

Schritt 2

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)

• Doppelklick auf die OTL.exe
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort

• Fixlog.txt
• OTL.txt & Extras.txt

Er läuft
Unglaublich, lauter Zahlen und Buchstaben, das verstehe ich nicht.
Großartig.




Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 13-03-2013
Ran by SYSTEM at 2013-03-31 23:07:30 Run:1
Running from F:\

==============================================

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\NitfEZXYwtjYCu5 Value deleted successfully.
C:\Dokumente und Einstellungen\Besitzer.WORKS\Lokale Einstellungen\Anwendungsdaten\~tmp9160656623953896881.exe moved successfully.

==== End of Fixlog ====
OTL Logfile:
--- --- ---
OTL Logfile:
--- --- ---

Hi

Du hast mir 2 mal die OTL.txt gepostet, ich würde aber gern die Extras.txt sehen ;)

Mache bitte außerdem Folgendes:

Schritt 1

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 2

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Schritt 3

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
  Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und aktzeptiere die Endbenutzer-Lizenz.
  Bei heutiger Malware ist dies sehr empfehlenswert, da diese uns eine Möglichkeit bietet, dein System zu reparieren, falls etwas schief geht.
  Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
  Hinweis: Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es eine Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Bitte poste in deiner nächsten Antwort

• Extras.txt
• AdwCleaner-Log & JRT.txt
• Combofix.txt

Hallo Christoph
Ich hoffe, jetzt passt es.
Danke


OTL EXTRAS Logfile:
--- --- ---
AdwCleaner Logfile:
--- --- ---


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 4.7.8 (03.31.2013:1)
OS: Microsoft Windows XP x86
Ran by Besitzer on 01.04.2013 at 18:20:31,42
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Registry Values

Successfully repaired: [Registry Value] hkey_local_machine\software\microsoft\internet explorer\searchscopes\{0633ee93-d776-472f-a0ff-e1416b8b2e3a}\\DisplayName
Successfully repaired: [Registry Value] hkey_local_machine\software\microsoft\internet explorer\searchscopes\{0633ee93-d776-472f-a0ff-e1416b8b2e3a}\\URL



~~~ Registry Keys

Successfully deleted: [Registry Key] hkey_local_machine\software\classes\installer\upgradecodes\f928123a039649549966d4c29d35b1c9



~~~ Files



~~~ Folders

Successfully deleted: [Folder] "C:\Dokumente und Einstellungen\Besitzer.WORKS\Anwendungsdaten\babylontoolbar"



~~~ FireFox

Successfully deleted: [File] C:\Dokumente und Einstellungen\Besitzer.WORKS\Anwendungsdaten\mozilla\firefox\profiles\pxwsuw4o.default\searchplugins\askcom.xml
Successfully deleted: [Folder] C:\Dokumente und Einstellungen\Besitzer.WORKS\Anwendungsdaten\mozilla\firefox\profiles\pxwsuw4o.default\extensions\ffxtlbr@babylon.com
Successfully deleted: [Folder] C:\Dokumente und Einstellungen\Besitzer.WORKS\Anwendungsdaten\mozilla\firefox\profiles\pxwsuw4o.default\extensions\toolbar@ask.com
Successfully deleted the following from C:\Dokumente und Einstellungen\Besitzer.WORKS\Anwendungsdaten\mozilla\firefox\profiles\pxwsuw4o.default\prefs.js

user_pref("browser.babylon.HPOnNewTab", "search.babylon.com");
user_pref("browser.search.defaultengine", "Ask.com");
user_pref("browser.search.defaultenginename", "Search the web (Babylon)");
user_pref("browser.search.order.1", "Ask.com");
user_pref("browser.search.selectedEngine", "Search the web (Babylon)");
user_pref("browser.startup.homepage", "hxxp://search.babylon.com/?babsrc=HP_Prot");
user_pref("extensions.BabylonToolbar.admin", false);
user_pref("extensions.BabylonToolbar.aflt", "orgnl");
user_pref("extensions.BabylonToolbar.bbDpng", 31);
user_pref("extensions.BabylonToolbar.cntry", "AT");
user_pref("extensions.BabylonToolbar.dfltLng", "de");
user_pref("extensions.BabylonToolbar.dfltSrch", false);
user_pref("extensions.BabylonToolbar.excTlbr", false);
user_pref("extensions.BabylonToolbar.firstRun", false);
user_pref("extensions.BabylonToolbar.hdrMd5", "F0608D558F84C7B9260E01914B66DA41");
user_pref("extensions.BabylonToolbar.hmpg", false);
user_pref("extensions.BabylonToolbar.id", "e10ba86c11574b05b31e92b539037a28");
user_pref("extensions.BabylonToolbar.instlDay", "15205");
user_pref("extensions.BabylonToolbar.lastActv", "3");
user_pref("extensions.BabylonToolbar.lastDP", 31);
user_pref("extensions.BabylonToolbar.lastVrsnTs", "");
user_pref("extensions.BabylonToolbar.mntrFFxVrsn", "10.0");
user_pref("extensions.BabylonToolbar.newTab", false);
user_pref("extensions.BabylonToolbar.newTabUrl", "hxxp://search.babylon.com/?babsrc=NT_bb");
user_pref("extensions.BabylonToolbar.noFFXTlbr", false);
user_pref("extensions.BabylonToolbar.propectorlck", 103324469);
user_pref("extensions.BabylonToolbar.prtkDS", 1);
user_pref("extensions.BabylonToolbar.prtkHmpg", 1);
user_pref("extensions.BabylonToolbar.ptch_0717", true);
user_pref("extensions.BabylonToolbar.sid", "e10ba86c11574b05b31e92b539037a28");
user_pref("extensions.BabylonToolbar.smplGrp", "azb");
user_pref("extensions.asktb.ff-original-keyword-url", "hxxp://search.babylon.com/?babsrc=adbartrp&AF=10588&q=");





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 01.04.2013 at 18:27:18,20
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~



Combofix Logfile:
--- --- ---

Das Log ist sauber.

Um dem Frieden wirklich trauen zu können, müssen wir noch Kontrollen durchführen:

Schritt 1


Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 2


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 3

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.


Bitte poste in deiner nächsten Antwort

• Malwarebytes-Log
• Eset-Log
• checkup.txt

Hallo Christoph
Habe alles erledigt
Danke
Franz


Malwarebytes Anti-Malware (Test) 1.70.0.1100
Malwarebytes : Free anti-malware download

Datenbank Version: v2013.04.02.10

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Besitzer :: WORKS [Administrator]

Schutz: Aktiviert

02.04.2013 17:57:07
mbam-log-2013-04-02 (17-57-07).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 357761
Laufzeit: 8 Minute(n), 47 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)





Malwarebytes Anti-Malware (Test) 1.70.0.1100
Malwarebytes : Free anti-malware download

Datenbank Version: v2013.04.02.10

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Besitzer :: WORKS [Administrator]

Schutz: Aktiviert

02.04.2013 17:57:07
mbam-log-2013-04-02 (17-57-07).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 357761
Laufzeit: 8 Minute(n), 47 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)



Results of screen317's Security Check version 0.99.59
Windows XP Service Pack 3 x86
Internet Explorer 8
``````````````Antivirus/Firewall Check:``````````````
Avira Free Antivirus
Avira successfully updated!
`````````Anti-malware/Other Utilities Check:`````````
Malwarebytes Anti-Malware Version 1.70.0.1100
Java(TM) 6 Update 37
Java version out of Date!
Adobe Flash Player 11.3.300.270
Adobe Reader 7 Adobe Reader out of Date!
Mozilla Firefox 10.0.2 Firefox out of Date!
Google Chrome 8.0.552.215
Google Chrome 8.0.552.224
````````Process Check: objlist.exe by Laurent````````
Malwarebytes Anti-Malware mbamservice.exe
Malwarebytes Anti-Malware mbamgui.exe
Avira Antivir avgnt.exe
Avira Antivir avguard.exe
Malwarebytes' Anti-Malware mbamscheduler.exe
`````````````````System Health check`````````````````
Total Fragmentation on Drive C::
````````````````````End of Log``````````````````````

Du hast 2mal das Malwarebytes-Log gepostet ;)

Hallo Christoph
Ein neuer Versuch mit Eset und checkup
Hat leider gestern nicht geklappt.
Franz


ESETSmartInstaller@High as downloader log:
all ok
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6920
# api_version=3.0.2
# EOSSerial=909256c171537f48a22de6464293ee70
# engine=13541
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=false
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2013-04-03 05:25:42
# local_time=2013-04-03 07:25:42 (+0100, Westeuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=5.1.2600 NT Service Pack 3
# compatibility_mode=1281 16774142 0 0 107904930 107904930 0 0
# compatibility_mode=1799 16775165 100 97 10729 230433232 3466 0
# scanned=214540
# found=7
# cleaned=0
# scan_time=9104
sh=AF52F38CC157E62641669B7DE4D30FCFFF0E91E7 ft=0 fh=0000000000000000 vn="HTML/Ransom.B trojan" ac=I fn="C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\danukwfftmdgjfg\main.html"
sh=1BD641A39A8D8FB268E636ECFC8D2982F5811D63 ft=0 fh=0000000000000000 vn="HTML/Ransom.B trojan" ac=I fn="C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\ywhjdyilqmvjdco\main.html"
sh=729F929C644CB4EE469B83C5C96C424071C09E6E ft=1 fh=4d99553d8bed521e vn="a variant of Win32/Kryptik.AXSQ trojan" ac=I fn="C:\FRST\Quarantine\~tmp9160656623953896881.exe"
sh=DA79FF32504C28CED361D37BE0574AA8C74FEBE5 ft=1 fh=9c3bdcf3a864f950 vn="probably a variant of Win32/Agent.DRFOJCG trojan" ac=I fn="D:\Div. Programme\WaveLab500a\setup.exe"
sh=5BD29602BE0E2039DDD4BF8F68DEDA697F599E33 ft=0 fh=0000000000000000 vn="probably a variant of Win32/TrojanDownloader.Agent.DWSAILB trojan" ac=I fn="I:\RECYCLER\S-1-5-21-2767558861-229796923-4291549136-1005\Dh12\Norton_Internet_Security_2005-crack.rar"
sh=B6AE0F64D2A9192F5C50154062E3B44053125D8D ft=1 fh=ad85947b70983d80 vn="multiple threats" ac=I fn="I:\sichern\Dokumente und Einstellungen\christina\Eigene Dateien\Eigene Dokumente\Bildschirmschoner\fishtank_whe.exe"
sh=DA79FF32504C28CED361D37BE0574AA8C74FEBE5 ft=1 fh=9c3bdcf3a864f950 vn="probably a variant of Win32/Agent.DRFOJCG trojan" ac=I fn="I:\Software_Programme\Steinberg\WaveLab500a\setup.exe"


Results of screen317's Security Check version 0.99.59
Windows XP Service Pack 3 x86
Internet Explorer 8
``````````````Antivirus/Firewall Check:``````````````
Avira Free Antivirus
Avira successfully updated!
`````````Anti-malware/Other Utilities Check:`````````
Malwarebytes Anti-Malware Version 1.70.0.1100
Java(TM) 6 Update 37
Java version out of Date!
Adobe Flash Player 11.3.300.270
Adobe Reader 7 Adobe Reader out of Date!
Mozilla Firefox 10.0.2 Firefox out of Date!
Google Chrome 8.0.552.215
Google Chrome 8.0.552.224
````````Process Check: objlist.exe by Laurent````````
Malwarebytes Anti-Malware mbamservice.exe
Malwarebytes Anti-Malware mbamgui.exe
Avira Antivir avgnt.exe
Avira Antivir avguard.exe
Malwarebytes' Anti-Malware mbamscheduler.exe
`````````````````System Health check`````````````````
Total Fragmentation on Drive C::
````````````````````End of Log``````````````````````

Ok, dann sind wir durch. :daumenhoc
Noch ein wenig aufräumen.
Am Ende habe ich noch ein paar Tipps für dich.

Schritt 1

Fixen mit OTL

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

• Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
• Schließe bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2

Dein Java ist nicht mehr aktuell. Älter Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.

• Downloade dir bitte die neueste Java-Version von hier
• Speichere die jxpiinstall.exe
• Schließe alle laufenden Programme. Speziell deinen Browser.
• Starte die jxpiinstall.exe. Diese wird den Installer für die neueste Java Version ( Java 7 Update 15 ) herunter laden.
• Entferne den Haken bei "Installieren Sie die Ask-Toolbar ..." während der Installation.
• Wenn die Installation beendet wurde
  Start --> Systemsteuerung --> Programme und deinstalliere alle älteren Java Versionen.
• Starte deinen Rechner neu sobald alle älteren Versionen deinstalliert wurden.

Nach dem Neustart

• Öffne erneut die Systemsteuerung --> Programme und klicke auf das Java Symbol.
• Im Reiter Allgemein, klicke unter Temporäre Internetdateien auf Einstellungen.
• Klicke auf Dateien löschen....
• Gehe sicher das überall ein Haken gesetzt ist und klicke OK.
• Klicke erneut OK.

schneller Plugin-Test: PluginCheck

Schritt 3

Adobe-Reader-Update

• Deinstalliere bitte deine aktuelle Version von Adobe Reader
  Start--> Systemsteuerung--> Software--> Adobe Reader
  und lade dir die neue Version von Hier herunter-
  Entferne den Haken für den McAfee SecurityScan bzw. Google Chrome.

Schritt 4

Update: Firefox & Addons

• Klicke auf http://www.trojaner-board.de/picture...&pictureid=324 > Hilfe > Über Firefox
• Warte bis das Update geladen ist, klicke auf Update installieren und lasse Firefox neu starten.
• Prüfe bitte, ob weitere Updates vorliegen oder ob Firefox aktuell ist.
• Klicke nun auf http://www.trojaner-board.de/picture...&pictureid=324 > Add-ons > http://www.trojaner-board.de/picture...&pictureid=326 > Auf Updates überprüfen
• Nach einem weiteren Neustart von Firefox sollte alles aktuell sein.

Prüfe bitte auch (regelmäßig), ob folgende Links fehlende Updates bei deinen Plugins zeigen:

• PluginCheck-Schnelltest
• Mozilla Plugin-Check

Schritt 5

Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking und Anti-Malware Programme deaktivieren.

Windows-Taste + R drücke. Kopiere nun folgende Zeile in die Kommandozeile und klicke OK.
http://larusso.trojaner-board.de/Images/CFuninstall.jpg

Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch aus dieser die Schädlinge verschwinden.

Nun die eben deaktivierten Programme wieder aktivieren.

Schritt 6

Downloade dir bitte delfix auf deinen Desktop.

• Schließe alle offenen Programme.
• Starte die delfix.exe mit einem Doppelklick.
• Setze vor jede Funktion ein Häkchen.
• Klicke auf Start.
• DelFix entfernt u. a. alle verwendeten Programme und löscht sich abschließend selbst.

Schritt 7

Hier noch ein paar Tipps zur Absicherung deines Systems.


Ich kann garnicht zu oft erwähnen, wie wichtig es ist, dass dein System Up to Date ist.

• Bitte überprüfe, ob dein System Windows Updates automatisch herunter lädt
• Windows Updates
  • Windows XP: Start --> Systemsteuerung --> Doppelklick auf Automatische Updates
  • Windows Vista / 7: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren
• Gehe sicher, dass die automatischen Updates aktiviert sind.
• Software Updates
  Installierte Software kann ebenfalls Sicherheitslücken haben, welche Malware nutzen kann, um dein System zu infizieren.
  Um deine Installierte Software up to date zu halten, empfehle ich dir Secunia Online Software.

Anti- Viren Software

• Gehe sicher immer eine Anti Viren Software installiert zu haben und dass diese auch up to date ist. Es ist nämlich nutzlos wenn diese out of date sind.

Zusätzlicher Schutz

• MalwareBytes Anti Malware
  Dies ist eines der besten Anti-Malware Tools auf dem Markt. Es ist ein On- Demand Scan Tool, welches viele aktuelle Malware erkennt und auch entfernt.
  Update das Tool und lass es einmal in der Woche laufen. Die Kaufversion bietet zudem noch einen Hintergrundwächter.
  Ein Tutorial zur Verwendung findest Du hier.
• WinPatrol
  Diese Software macht einen Snapshot deines Systems und warnt dich vor eventuellen Änderungen. Downloade dir die Freeware Version von hier.

Sicheres Browsen

• SpywareBlaster
  Eine kurze Einführung findest du Hier
• MVPs hosts file
  Ein Tutorial findest Du hier. Leider habe ich bis jetzt kein deutschsprachiges gefunden.
• WOT (Web of trust)
  Dieses AddOn warnt Dich, bevor Du eine als schädlich gemeldete Seite besuchst.

Alternative Browser

Andere Browser tendieren zu etwas mehr Sicherheit als der IE, da diese keine Active X Elemente verwenden. Diese können von Spyware zur Infektion deines Systems missbraucht werden.

• Opera
• Mozilla Firefox.
  • Hinweis: Für diesen Browser habe ich hier ein paar nützliche Add Ons
  • NoScript
    Dieses AddOn blockt JavaScript, Java, Flash und andere Plugins. Sie werden nur dann ausgeführt, wenn Du es bestätigst.
    
  • AdblockPlus
    Dieses AddOn blockt die meisten Werbung von selbst. Ein Rechtsklick auf den Banner um diesen zu AdBlockPlus hinzu zu fügen reicht und dieser wird nicht mehr geladen.
    Es spart außerdem Downloadkapazität.

Performance
Bereinige regelmäßig deine Temp Files. Ich empfehle hierzu TFC
Halte dich fern von jedlichen Registry Cleanern.
Diese schaden deinem System mehr als sie helfen. Hier ein paar (englische) Links
Miekemoes Blogspot ( MVP )
Bill Castner ( MVP )



Don'ts

• Klicke nicht auf alles, nur weil es Dich dazu auffordert und schön bunt ist.
• Verwende keine peer to peer oder Filesharing Software (Emule, uTorrent,..)
• Lass die Finger von Cracks, Keygens, Serials oder anderer illegaler Software.
• Öffne keine Anhänge von Dir nicht bekannten Emails. Achte vor allem auf die Dateiendung wie z. B. deinFoto.jpg.exe oder (aus aktuellem Anlass) angebliche Rechnungen im ZIP- oder Exe-Format

Nun bleibt mir nur noch dir viel Spaß beim sicheren Surfen zu wünschen.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, sodass ich diesen Thread aus meinen Abos löschen kann.

Hallo Christoph

OTL war schon auf dem Computer installiert. Ich habe deine Zeilen hineinkopiert und gestartet.
Ich denke, OTL hat sich aufgehängt. Ist hängen geblieben und ganz unten steht Killing processes. Do not interupt Auch weiß ich nicht was du meinst mit Benutzername unkennlich machen. Sollte man das machen und wo.

Franz

OTL kannst du beenden.

Versuchs mal so:

Fixen mit OTL

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die Textbox.

• Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
• Schließe bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
  ( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
  Kopiere nun den Inhalt hier in Deinen Thread

Den Hinweis mit dem Benutzernamen kannst du ignorieren, trifft auf dich nicht zu.

Jetzt bitte Folgendes machen:

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe und drücke auf Start.
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.


Und jetzt alle anderen Schritte (bis auf OTL, also ab Schritt 2) von meinem obigen Post abarbeiten ;)

OTL hat funktioniert aber ich glaube auch der TFC bleibt hängen.
Franz