Trojaner-Board - Probleme mit FRST gemäß Anleitung AW:Probleme mit static.australianbrewingcompany.com

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Probleme mit FRST gemäß Anleitung AW:Probleme mit static.australianbrewingcompany.com (https://www.trojaner-board.de/145225-probleme-frst-gemaess-anleitung-aw-probleme-static-australianbrewingcompany-com.html)

Hallo Schrauber,

anscheinend ist nun wieder alles im Lot.
Die offenen Updates haben funktioniert und der Rechner scheint stabil zu laufen.
Wenn dass nicht eine gute Nachricht zum Jahresende ist.
Dir nochmals vielen Dank.
Ich hoffe, ich benötige Deine Hilfe nicht mehr.
Ich wünsche ein gesundes und erfolgreiches Jahr 2014
LG
Carsten

Dann poste bitte ein frisches FRST log, ich schau nochmal drüber.

Guten Morgen,

ich war wohl doch zu optimistisch.
Heute Morgen wollte ich malwarebytes durchlaufen lassen. Vorher habe ich Avira deaktiviert und wollte die Firewall deaktivieren.
Dort kam dann aber folgende Fehlermeldung: 'Zugehöriger Dienst kann nicht ausgeführt werden.' und 'Der Dienst "Windows-Firewall/Gemeinsame Nutzung der Internetverbindung" konnte nicht gestartet werden.'
Eine Behebung mittels fix-it it mir nicht gelungen. Ich habe zwar nach Firewall gesucht und einen entsprechenden Dienst gestartet- dieser lief aber nicht.

Anbei die Logs:
Malwarebytes

Code:

Malwarebytes Anti-Malware 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2014.01.02.01
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

Carsten :: BADOMED-OD [Administrator]
 

02.01.2014 10:37:55

mbam-log-2014-01-02 (10-37-55).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 424729

Laufzeit: 12 Minute(n), 50 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 1

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Search Protection (PUP.Optional.SearchProtection.A) -> Daten: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Search Protection\SearchProtection.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 3

C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\OpenCandy (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\OpenCandy\2104D41215564E3185DB5DBE7A0CEE12 (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\OpenCandy\6F17FD2515F042FB9D3A8EF5046E2842 (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateien: 2

C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\OpenCandy\2104D41215564E3185DB5DBE7A0CEE12\Trial-14.0.1000.89_de-DE_1004732_DE-1.exe (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.

C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\OpenCandy\6F17FD2515F042FB9D3A8EF5046E2842\Trial-14.0.1000.89_de-DE_1004732_DE-1.exe (PUP.Optional.OpenCandy) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Die Entfernung des einen Eintrag (Registry) wurde durch Avira trotz Abschaltung geblockt!

FRST - da zu lang als Archiv

LG Carsten

hi,

Downloade dir bitte

Farbar Service Scanner

Starte das Tool mit Doppelklick auf die FSS.exe
Gehe sicher, dass folgende Optionen angehakt sind.
- Internet Services
- Windows Firewall
- System Restore
- Security Center/Action Center
- Windows Update
- Windows Defender
- Other Services
Klicke auf Scan.
Wenn das Tool fertig ist, wird es eine FSS.txt in dem Verzeichnis erstellen, wo das Tool gelaufen ist.

Poste bitte den Inhalt hier.

Hallo Schrauber

FSS-logfile:

Code:

Farbar Service Scanner Version: 05-12-2013

Ran by Carsten (administrator) on 03-01-2014 at 11:09:02

Running from "C:\Dokumente und Einstellungen\Carsten\Desktop"

Microsoft Windows XP Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo.com is accessible.
 
 

Windows Firewall:

=============

sharedaccess Service is not running. Checking service configuration:

The start type of sharedaccess service is OK.

The ImagePath of sharedaccess service is OK.

The ServiceDll of sharedaccess service is OK.
 

winmgmt Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.

Checking ImagePath: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.

Checking ServiceDll: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.
 
 

Firewall Disabled Policy: 

==================
 
 

System Restore:

============
 

System Restore Disabled Policy: 

========================
 
 

Security Center:

============
 

wscsvc Service is not running. Checking service configuration:

The start type of wscsvc service is OK.

The ImagePath of wscsvc service is OK.

The ServiceDll of wscsvc service is OK.
 

winmgmt Service is not running. Checking service configuration:

Checking Start type: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.

Checking ImagePath: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.

Checking ServiceDll: ATTENTION!=====> Unable to open winmgmt registry key. The service key does not exist.
 
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

Other Services:

==============
 
 

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0127488 ____A (Microsoft Corporation) C29A1C9B75BA38FA37F8C44405DEC360
 

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2008-04-14 08:00] - [2009-04-20 18:17] - 0045568 ____A (Microsoft Corporation) 407F3227AC618FD1CA54B335B083DE07
 

C:\WINDOWS\system32\ipnathlp.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0334336 ____A (Microsoft Corporation) CAD058D5F8B889A87CA3EB3CF624DCEF
 

C:\WINDOWS\system32\netman.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0198144 ____A (Microsoft Corporation) E6D88F1F6745BF00B57E7855A2AB696C
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2006-11-15 02:31] - [2008-04-14 03:22] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\srsvc.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0171520 ____A (Microsoft Corporation) FE77A85495065F3AD59C5C65B6C54182
 

C:\WINDOWS\system32\Drivers\sr.sys

[2006-11-15 02:33] - [2008-04-14 03:02] - 0073472 ____A (Microsoft Corporation) 50FA898F8C032796D3B1B9951BB5A90F
 

C:\WINDOWS\system32\wscsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0080896 ____A (Microsoft Corporation) 300B3E84FAF1A5C1F791C159BA28035D
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2006-11-15 02:31] - [2008-04-14 03:22] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\wuauserv.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0006656 ____A (Microsoft Corporation) 7B4FE05202AA6BF9F4DFD0E6A0D8A085
 

C:\WINDOWS\system32\qmgr.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0409088 ____A (Microsoft Corporation) D6F603772A789BB3228F310D650B8BD1
 

C:\WINDOWS\system32\es.dll

[2008-04-14 08:00] - [2008-07-07 21:26] - 0253952 ____A (Microsoft Corporation) AF4F6B5739D18CA7972AB53E091CBC74
 

C:\WINDOWS\system32\cryptsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0062464 ____A (Microsoft Corporation) 611F824E5C703A5A899F84C5F1699E4D
 

C:\WINDOWS\system32\svchost.exe

[2008-04-14 08:00] - [2008-04-14 08:00] - 0014336 ____A (Microsoft Corporation) 4FBC75B74479C7A6F829E0CA19DF3366
 

C:\WINDOWS\system32\rpcss.dll

[2008-04-14 08:00] - [2009-02-09 11:51] - 0401408 ____A (Microsoft Corporation) 3127AFBF2C1ED0AB14A1BBB7AAECB85B
 

C:\WINDOWS\system32\services.exe

[2008-04-14 08:00] - [2009-02-09 12:21] - 0111104 ____A (Microsoft Corporation) A3EDBE9053889FB24AB22492472B39DC
 
 

Extra List:

=======

Gpc(6) IPSec(4) NetBT(5) PSched(7) Tcpip(3) 

0x080000000400000001000000020000000300000005000000060000000700000008000000

IpSec Tag value is correct.
 

**** End of log ****

LG
Carsten

Downloade dir bitte Windows Repair (All In One) von hier.

Installiere das Programm. Starte es, nachdem die Installation abgeschlossen wurde.
Klicke auf Step 2 und drücke unter Check Disk auf Do It.

http://i1224.photobucket.com/albums/...3/Capture3.gif
Wenn der Vorgang abgeschlossen ist, klicke auf Step 3 und drücke unter System File Check auf Do It.

http://i1224.photobucket.com/albums/...y3/Capture.gif
Nachdem der Vorgang abgeschlossen ist, klicke auf Start Repairs, wähle den Advanced Mode und drücke Start.

http://i1224.photobucket.com/albums/...3/Capture1.gif
Gehe bitte sicher, dass die Kästchen wie unten zu sehen angehakt sind. Bitte hake zusätzlich noch Set Windows Services to Default Startup an.
Hake Restart System when Finished an.
Drücke Start.

http://i1238.photobucket.com/albums/...eakingtool.jpg

Frisches FRST und FSS Log bitte.

Hallo Schrauber,

es sind wieder die bekannten Probleme mit der Aufforderung nach der 2 CD von XP aufgetreten.

FRST Logfile wg. Größe im Anhang.

Hier FSS Logfiles:

Code:

Farbar Service Scanner Version: 05-12-2013

Ran by Carsten (administrator) on 04-01-2014 at 12:53:07

Running from "C:\Dokumente und Einstellungen\Carsten\Desktop"

Microsoft Windows XP Professional Service Pack 3 (X86)

Boot Mode: Normal

****************************************************************
 

Internet Services:

============
 

Connection Status:

==============

Localhost is accessible.

LAN connected.

Google IP is accessible.

Google.com is accessible.

Yahoo.com is accessible.
 
 

Windows Firewall:

=============
 

Firewall Disabled Policy: 

==================
 
 

System Restore:

============
 

System Restore Disabled Policy: 

========================
 
 

Security Center:

============
 
 

Windows Update:

============
 

Windows Autoupdate Disabled Policy: 

============================
 
 

Other Services:

==============
 
 

File Check:

========

C:\WINDOWS\system32\dhcpcsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0127488 ____A (Microsoft Corporation) C29A1C9B75BA38FA37F8C44405DEC360
 

C:\WINDOWS\system32\Drivers\afd.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\netbt.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\tcpip.sys => MD5 is legit

C:\WINDOWS\system32\Drivers\ipsec.sys => MD5 is legit

C:\WINDOWS\system32\dnsrslvr.dll

[2008-04-14 08:00] - [2009-04-20 18:17] - 0045568 ____A (Microsoft Corporation) 407F3227AC618FD1CA54B335B083DE07
 

C:\WINDOWS\system32\ipnathlp.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0334336 ____A (Microsoft Corporation) CAD058D5F8B889A87CA3EB3CF624DCEF
 

C:\WINDOWS\system32\netman.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0198144 ____A (Microsoft Corporation) E6D88F1F6745BF00B57E7855A2AB696C
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2006-11-15 02:31] - [2008-04-14 03:22] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\srsvc.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0171520 ____A (Microsoft Corporation) FE77A85495065F3AD59C5C65B6C54182
 

C:\WINDOWS\system32\Drivers\sr.sys

[2006-11-15 02:33] - [2008-04-14 03:02] - 0073472 ____A (Microsoft Corporation) 50FA898F8C032796D3B1B9951BB5A90F
 

C:\WINDOWS\system32\wscsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0080896 ____A (Microsoft Corporation) 300B3E84FAF1A5C1F791C159BA28035D
 

C:\WINDOWS\system32\wbem\WMIsvc.dll

[2006-11-15 02:31] - [2008-04-14 03:22] - 0145408 ____A (Microsoft Corporation) 6F3F3973D97714CC5F906A19FE883729
 

C:\WINDOWS\system32\wuauserv.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0006656 ____A (Microsoft Corporation) 7B4FE05202AA6BF9F4DFD0E6A0D8A085
 

C:\WINDOWS\system32\qmgr.dll

[2006-11-15 02:33] - [2008-04-14 03:22] - 0409088 ____A (Microsoft Corporation) D6F603772A789BB3228F310D650B8BD1
 

C:\WINDOWS\system32\es.dll

[2008-04-14 08:00] - [2008-07-07 21:26] - 0253952 ____A (Microsoft Corporation) AF4F6B5739D18CA7972AB53E091CBC74
 

C:\WINDOWS\system32\cryptsvc.dll

[2008-04-14 08:00] - [2008-04-14 08:00] - 0062464 ____A (Microsoft Corporation) 611F824E5C703A5A899F84C5F1699E4D
 

C:\WINDOWS\system32\svchost.exe

[2008-04-14 08:00] - [2008-04-14 08:00] - 0014336 ____A (Microsoft Corporation) 4FBC75B74479C7A6F829E0CA19DF3366
 

C:\WINDOWS\system32\rpcss.dll

[2008-04-14 08:00] - [2009-02-09 11:51] - 0401408 ____A (Microsoft Corporation) 3127AFBF2C1ED0AB14A1BBB7AAECB85B
 

C:\WINDOWS\system32\services.exe

[2008-04-14 08:00] - [2009-02-09 12:21] - 0111104 ____A (Microsoft Corporation) A3EDBE9053889FB24AB22492472B39DC
 
 

Extra List:

=======

Gpc(6) IPSec(4) NetBT(5) PSched(7) Tcpip(3) 

0x080000000400000001000000020000000300000005000000060000000700000008000000

IpSec Tag value is correct.
 

**** End of log ****

Firewall ist wieder aktiv. Klasse.

LG
Carsten

Sonst noch Probleme? :)

Hallo Schrauber,

habe einen Moment gewartet.
Scheint aber nun alles stabil zu laufen.
Vielen Dank
Carsten

Fertig :)

Die Reihenfolge ist hier entscheidend.

Falls Defogger benutzt wurde: Defogger nochmal starten und auf re-enable klicken.
Falls Combofix benutzt wurde: (Alternativ in uninstall.exe umbenennen und starten)
- Windowstaste + R > Combofix /Uninstall (eingeben) > OK
- Alternative: Combofix.exe in uninstall.exe umbenennen und starten
- Combofix wird jetzt starten, sich evtl updaten und dann alle Reste von sich selbst entfernen.
Downloade Dir bitte auf jeden Fall DelFix auf deinen Desktop:
- Schließe alle offenen Programme.
- Starte die delfix.exe mit einem Doppelklick.
- Setze vor jede Funktion ein Häkchen.
- Klicke auf Start.
- Hinweis: DelFix entfernt u. a. alle verwendeten Programme, die Quarantäne unserer Scanner, den Java-Cache und löscht sich abschließend selbst.
- Starte deinen Rechner abschließend neu.
Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Falls Du Lob oder Kritik abgeben möchtest kannst Du das hier tun :)

Hier noch ein paar Tipps zur Absicherung deines Systems.

Ich kann garnicht zu oft erwähnen, wie wichtig es ist, dass dein System Up to Date ist.

Bitte überprüfe ob dein System Windows Updates automatisch herunter lädt
Windows Updates
- Windows XP: Start --> Systemsteuerung --> Doppelklick auf Automatische Updates
- Windows Vista / 7: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren
Gehe sicher das die automatischen Updates aktiviert sind.
Software Updates
Installierte Software kann ebenfalls Sicherheitslücken haben, welche Malware nutzen kann, um dein System zu infizieren.
Um deine Installierte Software up to date zu halten, empfehle ich dir Secunia Online Software.

Anti- Viren Software

Gehe sicher immer eine Anti Viren Software installiert zu haben und das diese auch up to date ist. Es ist nämlich nutzlos wenn diese out of date sind.

Zusätzlicher Schutz

MalwareBytes Anti Malware
Dies ist eines der besten Anti-Malware Tools auf dem Markt. Es ist ein On- Demond Scan Tool welches viele aktuelle Malware erkennt und auch entfernt.
Update das Tool und lass es einmal in der Woche laufen. Die Kaufversion biete zudem noch einen Hintergrundwächter.
Ein Tutorial zur Verwendung findest Du hier.
WinPatrol
Diese Software macht einen Snapshot deines Systems und warnt dich vor eventuellen Änderungen. Downloade dir die Freeware Version von hier.

Sicheres Browsen

SpywareBlaster
Eine kurze Einführung findest du Hier
MVPs hosts file
Ein Tutorial findest Du hier. Leider habe ich bis jetzt kein deutschsprachiges gefunden.
WOT (Web of trust)
Dieses AddOn warnt Dich bevor Du eine als schädlich gemeldete Seite besuchst.

Alternative Browser

Andere Browser tendieren zu etwas mehr Sicherheit als der IE, da diese keine Active X Elemente verwenden. Diese können von Spyware zur Infektion deines Systems missbraucht werden.

Opera
Mozilla Firefox.
- Hinweis: Für diesen Browser habe ich hier ein paar nützliche Add Ons
- NoScript
  Dieses AddOn blockt JavaScript, Java and Flash und andere Plugins. Sie werden nur dann ausgeführt wenn Du es bestätigst.
- AdblockPlus
  Dieses AddOn blockt die meisten Werbung von selbst. Ein Rechtsklick auf den Banner um diesen zu AdBlockPlus hinzu zu fügen reicht und dieser wird nicht mehr geladen.
  Es spart ausserdem Downloadkapazität.

Performance
Bereinige regelmäßig deine Temp Files. Ich empfehle hierzu TFC
Halte dich fern von jedlichen Registry Cleanern.
Diese Schaden deinem System mehr als sie helfen. Hier ein paar ( englishe ) Links
Miekemoes Blogspot ( MVP )
Bill Castner ( MVP )

Don'ts

Klicke nicht auf alles nur weil es Dich dazu auffordert und schön bunt ist.
verwende keine peer to peer oder Filesharing Software (Emule, uTorrent,..)
Lass die Finger von Cracks, Keygens, Serials oder anderer illegaler Software.
Öffne keine Anhänge von Dir nicht bekannten Emails. Achte vor allem auf die Dateiendung wie zb deinFoto.jpg.exe

Nun bleibt mir nur noch dir viel Spass beim sicheren Surfen zu wünschen.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so das ich diesen Thread aus meinen Abos löschen kann.

Hallo Schrauber,

vielen Dank.
Wir sind fertig.

LG
Carsten