Trojaner-Board - weißer Bildschirm Windows 7

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - weißer Bildschirm Windows 7 (https://www.trojaner-board.de/138370-weisser-bildschirm-windows-7-a.html)

weißer Bildschirm Windows 7

Hi Leute,

wenn ich windows 7 hochfahre habe ich nur einen weißen Bildschirm.
Im abgesicherten Modus das Selbe Spiel.

Hab nach Anleitung mit FRST gescannt, ich hoffe Ihr könnt mir helfen...

Hier das Ergebnis:

Code:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 17-07-2013 02

Ran by SYSTEM on 17-07-2013 16:55:20

Running from H:\

Windows 7 Professional (X86) OS Language: German Standard

Internet Explorer Version 8

Boot Mode: Recovery
 

The current controlset is ControlSet001
 ATTENTION!:=====> FRST is updated to run from normal or Safe mode to produce a full FRST.txt log and Addition.txt log.
 

==================== Registry (Whitelisted) ==================
 

HKU\Christian Schmid\...\Run: [swg] - "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [x]

HKU\Christian Schmid\...\Run: [HW_OPENEYE_OUC_T-Mobile Internet Manager] - "C:\Program Files\T-Mobile\T-Mobile Internet Manager\UpdateDog\ouc.exe" [x]

HKU\Christian Schmid\...\Run: [Skype] - "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized [ 2012-07-13] (Skype Technologies S.A.)

HKU\Christian Schmid\...\Run: [hvpgiqqqyzbamvz] - C:\ProgramData\hvpgiqqqyzbamvzdaoie.exe [x]

HKU\Christian Schmid\...\Winlogon: [Shell] explorer.exe,C:\Users\Christian Schmid\AppData\Roaming\skype.dat <==== ATTENTION 

HKU\Default\...\RunOnce: [mctadmin] - C:\Windows\System32\mctadmin.exe [ 2009-07-13] (Microsoft Corporation)

HKU\Default\...\RunOnce: [ScrSav] - C:\Program Files\Acer\Screensaver\run_Acer.exe /default [ 2010-01-14] ()

HKU\Default User\...\RunOnce: [mctadmin] - C:\Windows\System32\mctadmin.exe [ 2009-07-13] (Microsoft Corporation)

HKU\Default User\...\RunOnce: [ScrSav] - C:\Program Files\Acer\Screensaver\run_Acer.exe /default [ 2010-01-14] ()

plication Support\APSDaemon.exe [59240 2011-11-01] (Apple Inc.)

HKLM\...\Run: [iTunesHelper] - C:\Program Files\iTunes\iTunesHelper.exe [421736 2011-12-07] (Apple Inc.)

HKLM\...\Run: [SunJavaUpdateSched] - C:\Program Files\Common Files\Java\Java Update\jusched.exe [254696 2012-01-18] (Sun Microsystems, Inc.)

HKLM\...\Run: [Adobe ARM] - C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe [919008 2012-07-27] (Adobe Systems Incorporated)
 

========================== Services (Whitelisted) =================
 

S2 ePowerSvc; C:\Program Files\Acer\Acer ePower Management\ePowerSvc.exe [735776 2010-04-23] (Acer Incorporated)

S2 GREGService; C:\Program Files\Acer\Registration\GREGsvc.exe [23584 2010-01-08] (Acer Incorporated)

S2 NIS; C:\Program Files\Norton Internet Security\Engine\19.9.1.14\diMaster.dll [309688 2012-04-12] (Symantec Corporation)

S2 NTI IScheduleSvc; C:\Program Files\NewTech Infosystems\Acer Backup Manager\IScheduleSvc.exe [250368 2010-03-08] (NewTech Infosystems, Inc.)

S2 NTISchedulerSvc; C:\Program Files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [144640 2009-11-05] (NewTech Infosystems, Inc.)

S2 OpenVPNService; C:\Program Files\OpenVPN\bin\openvpnserv.exe [36352 2010-11-08] ()

S2 RS_Service; C:\Program Files\Acer\Acer VCM\RS_Service.exe [260640 2010-01-29] (Acer Incorporated)

S2 Updater Service; C:\Program Files\Acer\Acer Updater\UpdaterService.exe [243232 2010-01-28] (Acer Group)
 

==================== Drivers (Whitelisted) ====================
 

S3 AmUStor; C:\Windows\system32\drivers\AmUStor.SYS [25600 2010-03-12] (Alcor Micro, Corp.)

S1 BHDrvx86; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\BASHDefs\20130531.001\BHDrvx86.sys [1002072 2013-05-31] (Symantec Corporation)

S3 btwampfl; C:\Windows\System32\drivers\btwampfl.sys [286248 2010-04-22] (Broadcom Corporation.)

S1 ccSet_NIS; C:\Windows\system32\drivers\NIS\1309010.00E\ccSetx86.sys [132768 2012-06-06] (Symantec Corporation)

S1 eeCtrl; C:\Program Files\Common Files\Symantec Shared\EENGINE\eeCtrl.sys [376480 2012-08-09] (Symantec Corporation)

S3 EraserUtilRebootDrv; C:\Program Files\Common Files\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [106656 2012-08-09] (Symantec Corporation)

S3 hwusbdev; C:\Windows\System32\DRIVERS\ewusbdev.sys [101120 2009-10-12] (Huawei Technologies Co., Ltd.)

S1 IDSVix86; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\IPSDefs\20130607.001\IDSvix86.sys [386720 2012-08-31] (Symantec Corporation)

S3 NAVENG; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\VirusDefs\20130607.024\NAVENG.SYS [93272 2013-05-23] (Symantec Corporation)

S3 NAVEX15; C:\ProgramData\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\NIS_19.1.0.28\Definitions\VirusDefs\20130607.024\NAVEX15.SYS [1611992 2013-05-23] (Symantec Corporation)

S3 SRTSP; C:\Windows\System32\Drivers\NIS\1309010.00E\SRTSP.SYS [574112 2012-07-05] (Symantec Corporation)

S1 SRTSPX; C:\Windows\system32\drivers\NIS\1309010.00E\SRTSPX.SYS [32928 2012-07-05] (Symantec Corporation)

S0 SymDS; C:\Windows\System32\drivers\NIS\1309010.00E\SYMDS.SYS [340088 2011-07-25] (Symantec Corporation)

S0 SymEFA; C:\Windows\System32\drivers\NIS\1309010.00E\SYMEFA.SYS [924320 2012-05-21] (Symantec Corporation)

S3 SymEvent; C:\Windows\system32\Drivers\SYMEVENT.SYS [141944 2012-06-12] (Symantec Corporation)

S1 SymIRON; C:\Windows\system32\drivers\NIS\1309010.00E\Ironx86.SYS [149624 2012-04-17] (Symantec Corporation)

S1 SymNetS; C:\Windows\System32\Drivers\NIS\1309010.00E\SYMNETS.SYS [318584 2012-04-17] (Symantec Corporation)

S3 tap0901; C:\Windows\System32\DRIVERS\tap0901.sys [26112 2010-11-08] (The OpenVPN Project)
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 

2013-07-17 16:55 - 2013-07-17 16:55 - 00000000 ____D C:\FRST

2013-06-25 13:05 - 2013-07-17 06:48 - 00000004 _____ C:\Users\Christian Schmid\AppData\Roaming\skype.ini

2013-06-24 22:13 - 2013-06-24 22:13 - 00000000 _____ C:\Windows\System32\sho15AC.tmp

2013-06-23 02:11 - 2013-05-07 21:38 - 01293672 _____ (Microsoft Corporation) C:\Windows\System32\Drivers\tcpip.sys

2013-06-23 02:10 - 2013-05-12 20:45 - 01160192 _____ (Microsoft Corporation) C:\Windows\System32\crypt32.dll

2013-06-23 02:10 - 2013-05-12 20:45 - 00140288 _____ (Microsoft Corporation) C:\Windows\System32\cryptsvc.dll

2013-06-23 02:10 - 2013-05-12 20:45 - 00103936 _____ (Microsoft Corporation) C:\Windows\System32\cryptnet.dll

2013-06-23 02:10 - 2013-05-12 19:08 - 00903168 _____ (Microsoft Corporation) C:\Windows\System32\certutil.exe

2013-06-23 02:10 - 2013-05-12 19:08 - 00043008 _____ (Microsoft Corporation) C:\Windows\System32\certenc.dll

2013-06-23 02:09 - 2013-05-16 10:21 - 01231872 _____ (Microsoft Corporation) C:\Windows\System32\urlmon.dll

2013-06-23 02:09 - 2013-05-16 10:21 - 00981504 _____ (Microsoft Corporation) C:\Windows\System32\wininet.dll

2013-06-23 02:09 - 2013-05-16 10:21 - 00132096 _____ (Microsoft Corporation) C:\Windows\System32\url.dll

2013-06-23 02:09 - 2013-05-16 10:18 - 06034432 _____ (Microsoft Corporation) C:\Windows\System32\mshtml.dll

2013-06-23 02:09 - 2013-05-16 10:18 - 00627712 _____ (Microsoft Corporation) C:\Windows\System32\msfeeds.dll

2013-06-23 02:09 - 2013-05-16 10:18 - 00067584 _____ (Microsoft Corporation) C:\Windows\System32\mshtmled.dll

2013-06-23 02:09 - 2013-05-16 10:17 - 11020800 _____ (Microsoft Corporation) C:\Windows\System32\ieframe.dll

2013-06-23 02:09 - 2013-05-16 10:17 - 02078208 _____ (Microsoft Corporation) C:\Windows\System32\iertutil.dll

2013-06-23 02:09 - 2013-05-16 10:17 - 00176640 _____ (Microsoft Corporation) C:\Windows\System32\ieui.dll

2013-06-23 02:09 - 2013-05-16 10:17 - 00048128 _____ (Microsoft Corporation) C:\Windows\System32\jsproxy.dll

2013-06-23 02:09 - 2013-05-16 08:44 - 01638912 _____ (Microsoft Corporation) C:\Windows\System32\mshtml.tlb

2013-06-23 02:09 - 2013-05-09 19:20 - 00024576 _____ (Microsoft Corporation) C:\Windows\System32\cryptdlg.dll

2013-06-23 02:09 - 2013-05-05 21:06 - 03968872 _____ (Microsoft Corporation) C:\Windows\System32\ntkrnlpa.exe

2013-06-23 02:09 - 2013-05-05 21:06 - 03913576 _____ (Microsoft Corporation) C:\Windows\System32\ntoskrnl.exe

2013-06-23 02:09 - 2013-04-25 20:55 - 00492544 _____ (Microsoft Corporation) C:\Windows\System32\win32spl.dll
 

==================== One Month Modified Files and Folders =======
 

2013-07-17 16:55 - 2013-07-17 16:55 - 00000000 ____D C:\FRST

2013-07-17 06:48 - 2013-06-25 13:05 - 00000004 _____ C:\Users\Christian Schmid\AppData\Roaming\skype.ini

2013-07-17 06:48 - 2010-09-20 01:12 - 01811173 _____ C:\Windows\WindowsUpdate.log

2013-07-17 06:40 - 2009-07-13 20:34 - 00009712 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2013-07-17 06:40 - 2009-07-13 20:34 - 00009712 ____H C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

2013-07-17 06:32 - 2009-07-13 20:39 - 00111789 _____ C:\Windows\setupact.log

2013-07-09 04:02 - 2011-07-07 03:37 - 00000000 ____D C:\Users\Christian Schmid\AppData\Roaming\Skype

2013-06-25 12:57 - 2010-11-10 11:10 - 00000000 ____D C:\Users\Christian Schmid\AppData\Local\Google

2013-06-25 12:42 - 2011-08-19 09:30 - 00000000 ____D C:\Users\Christian Schmid\AppData\Local\CrashDumps

2013-06-25 00:06 - 2010-11-11 04:55 - 00000000 ____D C:\MerkurOfficeCenter

2013-06-24 22:13 - 2013-06-24 22:13 - 00000000 _____ C:\Windows\System32\sho15AC.tmp

2013-06-24 22:12 - 2013-04-04 22:38 - 00009269 _____ C:\Windows\IE10_main.log

2013-06-24 22:11 - 2012-03-30 11:20 - 00692104 _____ (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerApp.exe

2013-06-24 22:11 - 2012-03-30 11:20 - 00071048 _____ (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerCPLApp.cpl

2013-06-24 12:16 - 2009-07-13 18:37 - 00000000 ____D C:\Windows\System32\de-DE

2013-06-24 12:01 - 2010-11-10 12:46 - 00000000 ____D C:\ProgramData\Microsoft Help

2013-06-23 02:01 - 2011-05-05 20:45 - 73381792 _____ (Microsoft Corporation) C:\Windows\System32\MRT.exe

2013-06-23 01:59 - 2011-07-07 03:38 - 00002133 _____ C:\Users\Public\Desktop\Google Chrome.lnk
 

Files to move or delete:

====================

C:\Users\Christian Schmid\AppData\Roaming\skype.dat

C:\Users\Christian Schmid\AppData\Roaming\skype.ini
 

==================== Known DLLs (Whitelisted) ============
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\explorer.exe => MD5 is legit

C:\Windows\System32\winlogon.exe => MD5 is legit

C:\Windows\System32\wininit.exe => MD5 is legit

C:\Windows\System32\svchost.exe => MD5 is legit

C:\Windows\System32\services.exe => MD5 is legit

C:\Windows\System32\User32.dll => MD5 is legit

C:\Windows\System32\userinit.exe => MD5 is legit

C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit
 

==================== EXE ASSOCIATION =====================
 

HKLM\...\.exe: exefile => OK

HKLM\...\exefile\DefaultIcon: %1 => OK

HKLM\...\exefile\open\command: "%1" %* => OK
 

==================== Restore Points  =========================
 

Restore point made on: 2013-04-11 11:36:18

Restore point made on: 2013-04-13 07:22:41

Restore point made on: 2013-04-24 22:02:48

Restore point made on: 2013-05-15 09:32:05

Restore point made on: 2013-06-23 02:00:45

Restore point made on: 2013-06-24 11:58:43

Restore point made on: 2013-06-24 12:26:31

Restore point made on: 2013-07-17 06:37:23
 

==================== Memory info =========================== 
 

Percentage of memory in use: 8%

Total physical RAM: 7860.48 MB

Available physical RAM: 7189.42 MB

Total Pagefile: 7858.76 MB

Available Pagefile: 7200.18 MB

Total Virtual: 2047.88 MB

Available Virtual: 1934.59 MB
 

==================== Drives ================================
 

Drive c: (Acer) (Fixed) (Total:106.34 GB) (Free:56.49 GB) NTFS

Drive e: (DATA) (Fixed) (Total:103.45 GB) (Free:103.17 GB) NTFS

Drive f: (PQSERVICE) (Fixed) (Total:23 GB) (Free:4.46 GB) NTFS

Drive h: (PNY TRNF) (Removable) (Total:15.22 GB) (Free:15.21 GB) FAT32

Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS

Drive y: (SYSTEM RESERVED) (Fixed) (Total:0.1 GB) (Free:0.07 GB) NTFS ==>[System with boot components (obtained from reading drive)]
 

==================== MBR & Partition Table ==================
 

========================================================

Disk: 0 (MBR Code: Windows 7 or 8) (Size: 233 GB) (Disk ID: C91AC514)

Partition 1: (Not Active) - (Size=23 GB) - (Type=27)

Partition 2: (Active) - (Size=100 MB) - (Type=07 NTFS)

Partition 3: (Not Active) - (Size=106 GB) - (Type=07 NTFS)

Partition 4: (Not Active) - (Size=103 GB) - (Type=07 NTFS)
 

========================================================

Disk: 1 (MBR Code: Windows XP) (Size: 15 GB) (Disk ID: C3072E18)

Partition 1: (Active) - (Size=15 GB) - (Type=0C)
 
 

LastRegBack: 2013-06-25 01:05
 

==================== End Of Log ============================

Melde mich gleich mit Anweisungen.

!! Hinweis an Mitlesende !!
Dieses Thema und die Anweisungen sind nur für diesen speziellen Fall gedacht.
Sie könnten andere Computer schwer beschädigen. Öffnet bitte euer eigenes Thema.

:hallo:

Ich werde dir bei deinem Problem helfen. Die Bereinigung funktioniert nur, wenn du dich an die folgenden Regeln hälst:

Bitte lesen:
Regeln für die Bereinigung

Illegal genutzte Software
Beim ersten Anzeichen wird der Support ohne Diskussion eingestellt. Also sorge bitte vorher dafür, dass hier nichts mehr auftaucht.
Keine Garantie
Wir werden uns Mühe geben, aber einen 100% sicheren und sauberen Computer bekommst du nicht zurück. Der einzig sichere Weg ist die Formatierung mit Neuaufsetzen.
Keine Alleingänge
Die Bereinigung funktioniert nur, wenn du genau das machst, was ich anweise. Installiere/deinstalliere keine Software, führe keine Scans durch, die ich dir nicht angewiesen habe. Poste dein Thema in keinem anderen Forum und folge nicht den Anweisungen anderer Helfer. Du raubst damit allen Beteiligten nur Zeit.
Aufmerksam lesen und nachfragen
Lies jede Anleitung genau durch. Bei Unklarheiten bitte vorher nachfragen. Arbeite die Schritte in der Reihenfolge ab und antworte dann erst nach dem letzten Schritt oder wenn du eine Frage hast.
Richtig antworten
- Nachdem du alle Schritte abgearbeitet hast gibst du mir bitte zu jedem Schritt eine Rückmeldung (Logfile oder Antwort) und das gesammelt in einer Antwort.
- Mache deinen Namen nur dann unkenntlich, wenn es wirklich sein muss. Denke bitte aber auch daran, dass wir diesen Thread und deine Logfiles nachträglich nicht editieren werden! (siehe LINK)
- Logfiles bitte zwischen Code-Tags platzieren (im Antwortfenster das #-Symbol anklicken) sieht dann so aus:
  [CODE] (Logfile) [/CODE]
- Hinweis in eigener Sache: Angehängte oder gezippte Logfiles erschweren mir die Arbeit massiv! Mache das also nur, wenn das Logfile zu groß ist, um es direkt zu posten. (Hier gibt es eine Anleitung)
Keine privaten Nachrichten
Ich sehe es, wenn du geantwortet hast, du mußt mich nicht benachrichtigen. Schicke mir nur dann eine PM wenn ich drei Tage nicht geantwortet habe und nur dann.
Wie läuft die Bereinigung ab?
Ganz grob: Analyse > Bereinigung > Kontrolle mit Updates > Fertig. Ob fertig oder nicht werde ich dir ganz deutlich mitteilen, du brauchst nicht nachzufragen.

Fix mit FRST

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

HKU\Christian Schmid\...\Run: [hvpgiqqqyzbamvz] - C:\ProgramData\hvpgiqqqyzbamvzdaoie.exe [x] HKU\Christian Schmid\...\Winlogon: [Shell] explorer.exe,C:\Users\Christian Schmid\AppData\Roaming\skype.dat <==== ATTENTION 2013-06-25 13:05 - 2013-07-17 06:48 - 00000004 _____ C:\Users\Christian Schmid\AppData\Roaming\skype.ini C:\ProgramData\hvpgiqqqyzbamvzdaoie.exe C:\Users\Christian Schmid\AppData\Roaming\skype.dat C:\Users\Christian Schmid\AppData\Roaming\skype.ini

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.
Starte deinen Rechner erneut in die Reparaturoptionen

Starte nun die FRST.exe erneut und klicke den Fix Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Berichte ob du normal booten kannst.

Hey Super, kann wieder normal booten.

Vielen Dank...

Grüße aus Mainz

Okay, dann gehts weiter.

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop.

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es ein Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

So hier das Ergebnis von Combofix:

Code:

ComboFix 13-07-18.04 - Christian Schmid 19.07.2013  12:05:05.1.4 - x86

Microsoft Windows 7 Professional   6.1.7601.1.1252.49.1031.18.2356.1484 [GMT 2:00]

ausgeführt von:: c:\users\Christian Schmid\Desktop\ComboFix.exe

SP: Windows Defender *Enabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 * Neuer Wiederherstellungspunkt wurde erstellt

.

.

(((((((((((((((((((((((   Dateien erstellt von 2013-06-19 bis 2013-07-19  ))))))))))))))))))))))))))))))

.

.

2013-07-19 10:10 . 2013-07-19 10:10        --------        d-----w-        c:\users\Default\AppData\Local\temp

2013-07-18 00:55 . 2013-07-18 00:55        --------        d-----w-        C:\FRST

2013-06-25 20:41 . 2013-06-17 00:10        7068072        ----a-w-        c:\programdata\Microsoft\Windows Defender\Definition Updates\{E5BDFCC9-C887-41DE-8990-40BDED0F89A2}\mpengine.dll

2013-06-25 06:13 . 2013-06-25 06:13        0        ----a-w-        c:\windows\system32\sho15AC.tmp

2013-06-23 10:11 . 2013-05-08 05:38        1293672        ----a-w-        c:\windows\system32\drivers\tcpip.sys

2013-06-23 10:10 . 2013-05-13 04:45        140288        ----a-w-        c:\windows\system32\cryptsvc.dll

2013-06-23 10:10 . 2013-05-13 04:45        1160192        ----a-w-        c:\windows\system32\crypt32.dll

2013-06-23 10:10 . 2013-05-13 04:45        103936        ----a-w-        c:\windows\system32\cryptnet.dll

2013-06-23 10:10 . 2013-05-13 03:08        903168        ----a-w-        c:\windows\system32\certutil.exe

2013-06-23 10:10 . 2013-05-13 03:08        43008        ----a-w-        c:\windows\system32\certenc.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-06-25 06:11 . 2012-03-30 19:20        71048        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2013-06-25 06:11 . 2012-03-30 19:20        692104        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

2013-05-02 00:06 . 2010-11-10 19:23        238872        ------w-        c:\windows\system32\MpSigStub.exe

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"swg"="c:\program files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2010-05-10 39408]

"HW_OPENEYE_OUC_T-Mobile Internet Manager"="c:\program files\T-Mobile\T-Mobile Internet Manager\UpdateDog\ouc.exe" [2009-12-31 110592]

"Skype"="c:\program files\Skype\Phone\Skype.exe" [2012-07-13 17418928]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-03-04 284696]

"cAudioFilterAgent"="c:\program files\Conexant\cAudioFilterAgent\cAudioFilterAgent.exe" [2010-03-04 496184]

"AmIcoSinglun"="c:\program files\AmIcoSingLun\AmIcoSinglun.exe" [2010-03-12 233472]

"LManager"="c:\program files\Launch Manager\LManager.exe" [2010-04-08 908368]

"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2010-03-11 1733928]

"BackupManagerTray"="c:\program files\NewTech Infosystems\Acer Backup Manager\BackupManagerTray.exe" [2010-03-08 260608]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-04-07 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-04-07 175640]

"Persistence"="c:\windows\system32\igfxpers.exe" [2010-04-07 169496]

"PLFSetI"="c:\windows\PLFSetI.exe" [2010-09-20 206208]

"Acer ePower Management"="c:\program files\Acer\Acer ePower Management\ePowerTray.exe" [2010-04-23 715296]

"DataCardMonitor"="c:\program files\T-Mobile\T-Mobile Internet Manager\DataCardMonitor.exe" [2010-12-30 253952]

"QuickTime Task"="c:\program files\QuickTime\QTTask.exe" [2010-11-29 421888]

"APSDaemon"="c:\program files\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2011-11-01 59240]

"iTunesHelper"="c:\program files\iTunes\iTunesHelper.exe" [2011-12-08 421736]

"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2012-01-18 254696]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

Acer VCM.lnk - c:\program files\Acer\Acer VCM\AcerVCM.exe [2010-5-10 704032]

Bluetooth.lnk - c:\program files\WIDCOMM\Bluetooth Software\BTTray.exe [2010-4-16 828704]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"mixer2"=wdmaud.drv

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]

@=""

.

R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [2012-07-13 160944]

R3 AmUStor;AM USB Stroage Driver;c:\windows\system32\drivers\AmUStor.SYS [2010-03-12 25600]

R3 btwampfl;Bluetooth AMP USB Filter;c:\windows\system32\drivers\btwampfl.sys [2010-04-23 286248]

R3 btwl2cap;Bluetooth L2CAP Service;c:\windows\system32\DRIVERS\btwl2cap.sys [2010-04-23 33320]

R3 hwusbdev;Huawei DataCard USB PNP Device;c:\windows\system32\DRIVERS\ewusbdev.sys [2009-10-12 101120]

R3 NTIBackupSvc;NTI Backup Now 5 Backup Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\BackupSvc.exe [2009-11-06 50432]

R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-20 52224]

S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [2012-01-04 822624]

S2 DsiWMIService;Dritek WMI Service;c:\program files\Launch Manager\dsiwmis.exe [2010-04-08 312400]

S2 ePowerSvc;Acer ePower Service;c:\program files\Acer\Acer ePower Management\ePowerSvc.exe [2010-04-23 735776]

S2 GREGService;GREGService;c:\program files\Acer\Registration\GREGsvc.exe [2010-01-08 23584]

S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-03-04 13336]

S2 NTI IScheduleSvc;NTI IScheduleSvc;c:\program files\NewTech Infosystems\Acer Backup Manager\IScheduleSvc.exe [2010-03-08 250368]

S2 NTISchedulerSvc;NTI Backup Now 5 Scheduler Service;c:\program files\NewTech Infosystems\NTI Backup Now 5\SchedulerSvc.exe [2009-11-06 144640]

S2 regi;regi;c:\windows\system32\drivers\regi.sys [2007-04-17 11032]

S2 RS_Service;Raw Socket Service;c:\program files\Acer\Acer VCM\RS_Service.exe [2010-01-29 260640]

S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [2011-10-01 508776]

S2 UNS;Intel(R) Management & Security Application User Notification Service;c:\program files\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2009-09-30 2320920]

S2 Updater Service;Updater Service;c:\program files\Acer\Acer Updater\UpdaterService.exe [2010-01-28 243232]

S3 Impcd;Impcd;c:\windows\system32\DRIVERS\Impcd.sys [2010-02-26 132480]

S3 IntcDAud;Intel(R) Display-Audio;c:\windows\system32\DRIVERS\IntcDAud.sys [2010-02-02 232960]

S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [2010-04-21 68208]

S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [2011-10-01 579944]

S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [2011-10-01 194408]

S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [2011-10-01 21864]

S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [2011-10-01 19304]

S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [2011-10-01 219496]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*Deregistered* - BMLoad

.

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{8A69D345-D564-463c-AFF1-A69D9E530F96}]

2013-06-23 09:57        1165776        ----a-w-        c:\program files\Google\Chrome\Application\27.0.1453.116\Installer\chrmstp.exe

.

Inhalt des "geplante Tasks" Ordners

.

2013-07-19 c:\windows\Tasks\Adobe Flash Player Updater.job

- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-03-30 06:11]

.

2013-07-19 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-11-14 09:55]

.

2013-07-19 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files\Google\Update\GoogleUpdate.exe [2010-11-14 09:55]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.t-online.de/

mStart Page = hxxp://homepage.acer.com/rdr.aspx?b=ACAW&l=0407&m=travelmate_7740&r=27051110c626l0463z2k5x47k1m19p

uInternet Settings,ProxyOverride = *.local

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

TCP: DhcpNameServer = 192.168.2.1

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

Toolbar-Locked - (no file)

.

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'Explorer.exe'(2364)

c:\program files\WIDCOMM\Bluetooth Software\btmmhook.dll

c:\program files\Acer\Acer ePower Management\SysHook.dll

.

Zeit der Fertigstellung: 2013-07-19  12:12:32

ComboFix-quarantined-files.txt  2013-07-19 10:12

.

Vor Suchlauf: 10 Verzeichnis(se), 62.573.715.456 Bytes frei

Nach Suchlauf: 15 Verzeichnis(se), 62.654.562.304 Bytes frei

.

- - End Of File - - 44F64E5856073F457E50B7E5BA32E405

A36C5E4F47E84449FF07ED3517B43A31

Gut! :daumenhoc

Soweit ich das sehe haben wir damit alles Schädliche entfernt. Um sicher sein zu können müssen jetzt noch ein paar Kontrollen machen und werden dann deinen Computer noch auf einen sicheren Stand bringen. Da diese Scans jetzt sehr lange dauern können bitte ich dich mir erst wieder zu schreiben, wenn du auch wirklich alles erledigt hast oder Probleme auftreten sollten.

Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)

Quick-Scan mit Malwarebytes

Downloade Dir bitte Malwarebytes Anti-Malware

Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
Starte Malwarebytes' Anti-Malware (MBAM).
Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.

Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Schritt 2:

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner

Lade und starte Eset Online Scanner

Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte poste das Logfile hier oder teile mir mit, dass nichts gefunden wurde.

Hinweis: Der Scan kann sehr lange (einige Stunden) dauern! :kaffee:

Schritt 3:

Scan mit SecurityCheck

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Hallo, benötigst Du noch weiterhin Hilfe ?

Sollte ich innerhalb der nächsten 24 Stunden keine Antwort von dir erhalten, werde ich dein Thema aus meinen Abos nehmen und bekomme dadurch keine Nachricht über neue Antworten.

Das Verschwinden der Symptome bedeutet nicht, dass dein System schon sauber ist

Hi, Sorry hatte beruflich viel zu tun und konnte nichts machen.
Bin jetzt aber dabei die Liste durchzuarbeiten, Postings folgen...

Danke und sonnige Grüße

So hier nun die Logs

1:Malewarebytes

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.07.24.05
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 8.0.7601.17514

Christian Schmid :: CHRISTIANSCHMID [Administrator]
 

24.07.2013 15:36:22

mbam-log-2013-07-24 (15-36-22).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 214895

Laufzeit: 9 Minute(n), 15 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

2: ESET

Code:

ESETSmartInstaller@High as downloader log:

all ok

# version=8

# OnlineScannerApp.exe=1.0.0.1

# OnlineScanner.ocx=1.0.0.6920

# api_version=3.0.2

# EOSSerial=4ddc53a0ac21904abcbadb91e9e6fc89

# engine=14515

# end=finished

# remove_checked=false

# archives_checked=true

# unwanted_checked=false

# unsafe_checked=false

# antistealth_checked=true

# utc_time=2013-07-24 03:16:37

# local_time=2013-07-24 05:16:37 (+0100, Mitteleuropäische Sommerzeit)

# country="Germany"

# lang=1033

# osver=6.1.7601 NT Service Pack 1

# compatibility_mode=5893 16776573 100 94 6164 126310188 0 0

# scanned=129577

# found=4

# cleaned=0

# scan_time=5267

sh=F52FDB5105402774C4081971483CD1182C29E881 ft=1 fh=8d6d0dbbce7f01fd vn="Win32/LockScreen.APR trojan" ac=I fn="C:\FRST\Quarantine\skype.dat"

sh=7EB89EE96AD0B8927CA07672C41EFCAD9279C83F ft=0 fh=0000000000000000 vn="HTML/Iframe.B.Gen virus" ac=I fn="C:\Users\Christian Schmid\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\2YB3K10Y\hardcoresmoothies_net[2].htm"

sh=90C0C58B314B13876909E416B4793AA8BEB61D40 ft=0 fh=0000000000000000 vn="JS/Exploit.Pdfka.QHC trojan" ac=I fn="C:\Users\Christian Schmid\AppData\Local\Microsoft\Windows\Temporary Internet Files\Low\Content.IE5\WMVNM3HO\mvc[1].pdf"

sh=FCED2B0D0B9B68676F0C48685B0EF6884C241206 ft=0 fh=0000000000000000 vn="multiple threats" ac=I fn="C:\Users\Christian Schmid\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\28\72390a5c-754802b1"

3: Security Check

Code:

 Results of screen317's Security Check version 0.99.70  

 Windows 7 Service Pack 1 x86 (UAC is enabled)  
 ``````````````Antivirus/Firewall Check:`````````````` 

 WMI entry may not exist for antivirus; attempting automatic update. 
 `````````Anti-malware/Other Utilities Check:````````` 

 Malwarebytes Anti-Malware Version 1.75.0.1300  

 Java(TM) 6 Update 32  

 Java version out of Date! 

 Adobe Reader 10.1.4 Adobe Reader out of Date!  

 Google Chrome 27.0.1453.116  

 Google Chrome 28.0.1500.72  
 ````````Process Check: objlist.exe by Laurent````````  
 `````````````````System Health check````````````````` 

 Total Fragmentation on Drive C:  
 ````````````````````End of Log``````````````````````

Prima! :daumenhoc

Damit wären wir fertig. Wir räumen jetzt noch ein wenig auf und dann habe ich am Ende etwas Lesestoff für dich.

Schritt 1:
Tools deinstallieren

Die Reihenfolge ist hier entscheidend.

Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
Falls Combofix benutzt wurde:
- Windowstaste + R > Combofix /Uninstall (eingeben) > OK
- Alternative: Combofix.exe in uninstall.exe umbenennen und starten
- Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
Downloade Dir bitte auf jeden Fall delfix auf deinen Desktop:
- Schließe alle offenen Programme.
- Starte die delfix.exe mit einem Doppelklick.
- Setze vor jede Funktion ein Häkchen.
- Klicke auf Start.
- Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Schritt 2:

Falls du mich jetzt fragen willst, was mit den noch gefundenen Bedrohungen von Eset ist ... lies bitte jetzt nochmal meinen Hinweis zu delfix einige wenige Zeilen weiter oben.

Schritt 3:
ESET deinstallieren (Optional)

Ich empfehle dir dein System einmal pro Woche mit ESET zu scannen und dabei gefundene Bedrohungen einfach entfernen zu lassen. Meist ist es ohnehin nur Werbung oder manipulierte Webseiten im Browsercache. Also bitte keine Panik, wenn mal ein Fund auftaucht! Möchtest du ESET aber entfernen:
Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und kopiere folgenden Text in das Ausführen-Fenster und klicke OK.

Code:

"%ProgramFiles%\Eset\Eset Online Scanner\OnlineScannerUninstaller.exe"

Schritt 4:
Java Update (Windows XP, Vista, 7)

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware missbraucht werden können.
Downloade dir bitte die neueste Java-Version und speichere die jxpiinstall.exe

Schließe alle laufenden Programme. Speziell deinen Browser.

Starte die jxpiinstall.exe. Diese wird den Installer für die neueste Java Version (Java 7 Update 25) herunter laden.

Während der Installation entferne den Haken bei:
http://www.trojaner-board.de/picture...&pictureid=319

Wenn die Installation beendet wurde:
Start > Systemsteuerung > Programme und deinstalliere alle älteren Java Versionen, falls vorhanden, und starte deinen Rechner neu.

Nach dem Neustart:
Öffne erneut die Systemsteuerung > Programme und klicke auf das Java Symbol.

Im Reiter Allgemein, klicke unter Temporäre Internetdateien auf Einstellungen.

Klicke auf Dateien löschen...

Gehe sicher, dass überall ein Haken gesetzt ist und klicke zweimal OK.

Schritt 5:
Update: Adobe Reader

Deinstalliere deine alte Version von Adobe Reader (Systemsteuerung > Programme > Deinstallieren).
Lade dir die aktuelle Version hier herunter: get.adobe.com/de/reader/
Entferne dabei den Haken:
http://www.trojaner-board.de/picture...&pictureid=320

- oder -

Probiere einen alternativen Viewer für pdf-Dokumente aus. Diese sind meist schlanker, schneller und schleusen sehr viel seltener Schädlinge ein. Mein Vorschlag:

Lade dir den Foxit Reader von www.foxitsoftware.com/downloads/ .
Starte die Installation und entferne dabei die folgenden Haken:
http://www.trojaner-board.de/picture...&pictureid=321

Fehlende Rückmeldung
Dieses Thema wurde aus den Abos gelöscht. Somit bekomm ich keine Benachrichtigung über neue Antworten.
PM an mich falls Du denoch weiter machen willst. Keine Logfiles einsenden, nur kurzer Hinweis, nachdem du deine Logfiles hier eingestellt hast.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere bitte hier klicken und einen eigenen Thread erstellen