Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Windows 7: Explorer gelöscht (https://www.trojaner-board.de/164659-windows-7-explorer-geloescht.html)

Paul Schmizt 03.03.2015 18:29
Windows 7: Explorer gelöscht
 
Hallo,
ich habe ein Problem mit einem Virus. Das Schadprogramm hatte als Icon ein Pdf-Symbol (war aber eine .bat-Datei).
DIE FOLGEN:
Wenn ich mich in meinem Benutzerkonto anmelde, kommt nur mein Hintergrundbild und keine Taskleiste. Strg+Shift+Esc gibt eine Fehlermeldung aus. Strg+AltGr+Entf hat keine Option "Task-Manager Starten".
MEINE VERMUTUNGEN (müssen nicht stimmen):
explorer.exe ist gelöscht
taskmgr ist gelöscht
LÖSUNG:
:confused:

WAS SOLL ICH TUN???

schrauber 03.03.2015 19:08
hi,

Scan mit Farbar's Recovery Scan Tool (Recovery Mode - Windows Vista, 7, 8)
Hinweise für Windows 8-Nutzer: Anleitung 1 (FRST-Variante) und Anleitung 2 (zweiter Teil)
  • Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick: FRST Download FRST 32-Bit | FRST 64-Bit
  • Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.
  • Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:
Über den Boot Manager:
  • Starte den Rechner neu.
  • Während dem Hochfahren drücke mehrmals die F8 Taste
  • Wähle nun Computer reparieren.
  • Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".
Mit Windows CD/DVD (auch bei Windows 8 möglich):
  • Lege die Windows CD in dein Laufwerk.
  • Starte den Rechner neu und starte von der CD.
  • Wähle die Spracheinstellungen und klicke "Weiter".
  • Klicke auf Computerreparaturoptionen !
  • Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".
Wähle in den Reparaturoptionen: Eingabeaufforderung
  • Gib nun bitte notepad ein und drücke Enter.
  • Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer.
    Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt, merke ihn dir.
  • Schließe Notepad wieder
  • Gib nun bitte folgenden Befehl ein.
    e:\frst.exe bzw. e:\frst64.exe
    Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks, den du dir gemerkt hast. Gegebenfalls anpassen.
  • Akzeptiere den Disclaimer mit Ja und klicke Untersuchen
Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier nach Möglichkeit in Code-Tags (Anleitung).


Paul Schmizt 04.03.2015 14:36
Notepad geht nicht
 
Hi,
der Schritt in der Anleitung gelingt mir nicht.
Gib nun bitte notepad ein und drücke Enter.
Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer.
Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt, merke ihn dir.
Schließe Notepad wieder
Der Fehler:
Der Befehl "Notepad" ist entweder falsch geschrieben oder konnte nicht gefunden werden.
Das passiert bei Eingabe von "notepad" oder "Notepad".
Die Schritte vor diesem Schritt in der Anleitung habe ich befolgt.

schrauber 04.03.2015 17:19
Handybild davon bitte.

Paul Schmizt 04.03.2015 17:24
Bild
 
Liste der Anhänge anzeigen (Anzahl: 1)
OK, hier das Kamerabild

EDIT: notepad.exe vielleicht gelöscht?

schrauber 05.03.2015 07:01
Du startest in C:\Users. Das bedeutet du bist komplett falsch. Was genau hast Du gemacht um dahin zu kommen?

Paul Schmizt 05.03.2015 19:31
Als das System noch funktionierte, hat cmd.exe immer dort gestartet.
Ich habe alle USB-Buchstaben durchprobiert und habe FRST jetzt von M:/ aus gestartet.

Hier der FRST-Code:


FRST Logfile:
Code:
Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 02-03-2015
Ran by SYSTEM on MININT-KSCM0R8 on 05-03-2015 14:21:23
Running from M:\
Platform: Windows 7 Home Premium (X64) OS Language: Deutsch (Deutschland)
Internet Explorer Version 11
Boot Mode: Recovery

The current controlset is ControlSet001
ATTENTION!:=====> If the system is bootable FRST must be run from normal or Safe mode to create a complete log.

Tutorial for Farbar Recovery Scan Tool: hxxp://www.geekstogo.com/forum/topic/335081-frst-tutorial-how-to-use-farbar-recovery-scan-tool/

==================== Registry (Whitelisted) ==================

(If an entry is included in the fixlist, the registry item will be restored to default or removed. The file will not be moved.)

HKLM\...\Run: [RtHDVCpl] => C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe [11474024 2010-10-05] (Realtek Semiconductor)
HKLM\...\Run: [HP LaserJet Professional M1530 MFP Series Fax] => C:\Program Files (x86)\HP\Digital Imaging\Fax\Fax Driver 0.6 Base\hppfaxprintersrv.exe [3706424 2010-08-24] (Hewlett-Packard Company)
HKLM\...\Run: [MSC] => C:\Program Files\Microsoft Security Client\msseces.exe [1331288 2014-08-22] (Microsoft Corporation)
HKLM-x32\...\Run: [IAStorIcon] => C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe [283160 2010-11-05] (Intel Corporation)
HKLM-x32\...\Run: [Adobe Reader Speed Launcher] => C:\Program Files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe [41056 2013-05-08] (Adobe Systems Incorporated)
HKLM-x32\...\Run: [Adobe ARM] => C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe [958576 2013-04-04] (Adobe Systems Incorporated)
HKLM-x32\...\Run: [] => [X]
HKLM-x32\...\Run: [SunJavaUpdateSched] => C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe [507776 2014-10-07] (Oracle Corporation)
HKU\Benuzerkontoname\...\Run: [dradio-RecorderTimer] => C:\Program Files (x86)\dradio-Recorder\phonostarTimer.exe [41472 2012-04-03] ()
HKU\Benuzerkontoname\...\Run: [Skype] => "C:\Program Files (x86)\Skype\Phone\Skype.exe" /minimized /regrun
HKU\Benuzerkontoname\...\Policies\system: [LogonHoursAction] 2
HKU\Benuzerkontoname\...\Policies\system: [DontDisplayLogonHoursWarnings] 1
HKU\Benuzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\System32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Default\...\RunOnce: [ScrSav] => C:\Program Files (x86)\Packard Bell\Screensaver\run_Packard Bell.exe [154144 2010-07-29] ()
HKU\Default\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Default User\...\RunOnce: [ScrSav] => C:\Program Files (x86)\Packard Bell\Screensaver\run_Packard Bell.exe [154144 2010-07-29] ()
HKU\Default User\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Benutzerkontoname\...\Policies\system: [LogonHoursAction] 2
HKU\Benutzerkontoname\...\Policies\system: [DontDisplayLogonHoursWarnings] 1
HKU\Benutzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\PhotoScreensaver.scr [477696 2010-11-20] (Microsoft Corporation)
HKU\Benutzerkontoname\...\Run: [Software Suite SE] => C:\Program Files (x86)\Packard Bell\Software Suite SE\SoftSuiteSE.exe [2275360 2009-09-29] (Acer Incorporated)
HKU\Benutzerkontoname\...\Run: [dradio-RecorderTimer] => C:\Program Files (x86)\dradio-Recorder\phonostarTimer.exe [41472 2012-04-03] ()
HKU\Benutzerkontoname\...\Run: [Skype] => "C:\Program Files (x86)\Skype\Phone\Skype.exe" /minimized /regrun
HKU\Benutzerkontoname\...\Policies\system: [LogonHoursAction] 2
HKU\Benutzerkontoname\...\Policies\system: [DontDisplayLogonHoursWarnings] 1
HKU\Benutzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Ribbons.scr [241664 2010-11-20] (Microsoft Corporation)
HKU\Benuzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\System32\Packard Bell.scr [456224 2010-07-29] ()
Startup: C:\Users\Benutzerkontoname\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\An OneNote senden.lnk
ShortcutTarget: An OneNote senden.lnk -> C:\Program Files\Microsoft Office 15\root\office15\ONENOTEM.EXE (Microsoft Corporation)
GroupPolicyUsers\S-1-5-21-2996523767-1463659488-1139679395-1004\User: Group Policy restriction detected <======= ATTENTION

==================== Services (Whitelisted) =================

(If an entry is included in the fixlist, the service will be removed from the registry. The file will not be moved unless listed separately.)

S2 ClickToRunSvc; C:\Program Files\Microsoft Office 15\ClientX64\OfficeClickToRun.exe [2711736 2015-01-13] (Microsoft Corporation)
S2 GREGService; C:\Program Files (x86)\Packard Bell\Registration\GREGsvc.exe [23584 2010-01-08] (Acer Incorporated)
S2 MsMpSvc; C:\Program Files\Microsoft Security Client\MsMpEng.exe [23784 2014-08-22] (Microsoft Corporation)
S3 NisSrv; C:\Program Files\Microsoft Security Client\NisSrv.exe [368624 2014-08-22] (Microsoft Corporation)
S2 Realtek11nSU; C:\Program Files (x86)\Hama\Wireless LAN RTL8192SU\RtlService.exe [36864 2010-04-16] (Realtek)
S2 simptcp; C:\Windows\SysWOW64\tcpsvcs.exe [9216 2009-07-13] (Microsoft Corporation)
S2 SynoDrService; C:\Program Files (x86)\Synology Data Replicator  3\SynoDrServicex64.exe [384072 2013-10-09] ()
S2 Updater Service; C:\Program Files\Packard Bell\Packard Bell Updater\UpdaterService.exe [243232 2010-01-28] (Acer Group)
S3 wampapache; c:\wamp\bin\apache\apache2.4.4\bin\httpd.exe [22016 2013-06-23] (Apache Software Foundation)
S3 wampmysqld; c:\wamp\bin\mysql\mysql5.6.12\bin\mysqld.exe [10923520 2013-06-23] ()
S3 WinDefend; C:\Program Files\Windows Defender\mpsvc.dll [1011712 2013-05-26] (Microsoft Corporation)

==================== Drivers (Whitelisted) ====================

(If an entry is included in the fixlist, the service will be removed from the registry. The file will not be moved unless listed separately.)

S0 MpFilter; C:\Windows\System32\DRIVERS\MpFilter.sys [269008 2014-07-17] (Microsoft Corporation)
S2 NisDrv; C:\Windows\System32\DRIVERS\NisDrvWFP.sys [125584 2014-07-17] (Microsoft Corporation)
S3 VBoxUSB; C:\Windows\System32\Drivers\VBoxUSB.sys [116296 2014-09-09] (Oracle Corporation)

==================== NetSvcs (Whitelisted) ===================

(If an item is included in the fixlist, it will be removed from the registry. Any associated file could be listed separately to be moved.)


==================== One Month Created Files and Folders ========

(If an entry is included in the fixlist, the file\folder will be moved.)

2015-03-04 10:32 - 2015-03-04 10:32 - 00400384 _____ () C:\Users\Benutzerkontoname\Desktop\prg.exe
2015-03-04 09:33 - 2015-03-04 09:33 - 06208736 _____ (Tim Kosse) C:\Users\Benutzerkontoname\Downloads\FileZilla_3.10.2_win32-setup.exe
2015-03-04 09:15 - 2015-03-04 09:15 - 00001040 _____ () C:\Users\Benutzerkontoname\Documents\cc_20150304_181508.reg
2015-03-04 09:14 - 2015-03-04 09:14 - 00055208 _____ () C:\Users\Benutzerkontoname\Documents\cc_20150304_181432.reg
2015-03-04 09:14 - 2015-03-04 09:14 - 00001946 _____ () C:\Users\Benutzerkontoname\Documents\cc_20150304_181453.reg
2015-03-04 08:27 - 2015-03-05 14:21 - 00000000 ____D () C:\FRST
2015-03-04 08:18 - 2015-03-04 08:18 - 00402944 _____ () C:\Users\Benutzerkontoname\Desktop\Rubiks Cube Simulator 2015.exe
2015-03-03 08:09 - 2015-03-03 08:09 - 00000000 ____D () C:\Program Files\VB Decompiler Lite
2015-03-03 08:07 - 2015-03-03 08:07 - 04493988 _____ () C:\Users\Benutzerkontoname\Downloads\vb_decompiler_lite.zip
2015-03-03 08:07 - 2015-03-03 08:07 - 00000000 ____D () C:\Users\Benutzerkontoname\Downloads\vb_decompiler_lite
2015-03-03 07:55 - 2015-03-03 07:55 - 00000000 ____D () C:\Users\Benutzerkontoname\Desktop\alt
2015-03-03 06:55 - 2015-03-03 06:55 - 00017920 _____ (Microsoft) C:\Users\Benutzerkontoname\Downloads\ChangeWindows7LogOnScreen.exe
2015-03-02 08:51 - 2015-03-02 08:51 - 00000000 ____D () C:\Users\Benutzerkontoname\Downloads\Exe2Aut
2015-03-02 08:50 - 2015-03-02 08:50 - 00043901 _____ () C:\Users\Benutzerkontoname\Downloads\Exe2Aut.zip
2015-02-27 07:54 - 2015-02-27 07:54 - 00469521 _____ () C:\Users\Benutzerkontoname\Downloads\ExtMan.zip
2015-02-27 07:54 - 2015-02-27 07:54 - 00000000 ____D () C:\Users\Benutzerkontoname\Downloads\ExtMan
2015-02-25 09:27 - 2015-02-25 09:27 - 00593884 _____ () C:\Users\Benutzerkontoname\Downloads\sliding-block-solver-v1.3.zip
2015-02-25 09:27 - 2015-02-25 09:27 - 00000000 ____D () C:\Users\Benutzerkontoname\Downloads\sliding-block-solver-v1.3
2015-02-23 06:38 - 2015-02-23 06:38 - 00010366 _____ () C:\Users\Benutzerkontoname\Downloads\Lego Candy Machine V12 INSTRUCTIONS.lxf
2015-02-22 05:06 - 2015-02-22 05:06 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\VirtualStore
2015-02-22 01:56 - 2015-02-22 01:56 - 06372800 _____ (Tim Kosse) C:\Users\Benutzerkontoname\Downloads\FileZilla_3.10.1.1_win32-setup.exe
2015-02-20 09:29 - 2015-02-20 09:29 - 01348087 _____ () C:\Users\Benutzerkontoname\Downloads\MC7D(1).zip
2015-02-20 09:20 - 2015-02-22 01:40 - 00000000 ____D () C:\Users\Benutzerkontoname\Magic Polyhedra
2015-02-20 09:18 - 2015-02-20 09:18 - 00019456 _____ () C:\Users\Benutzerkontoname\Downloads\installer.jar
2015-02-20 06:15 - 2015-02-20 06:15 - 00011838 _____ () C:\Users\Benutzerkontoname\Downloads\HTBLCM2 Core.lxf
2015-02-17 05:27 - 2015-02-17 05:27 - 00027015 _____ () C:\Users\Benutzerkontoname\Downloads\Lego Candy Machine V40.lxf
2015-02-17 04:05 - 2015-02-17 04:05 - 00000000 ____D () C:\Users\Benutzerkontoname\Downloads\javascript-racer-master
2015-02-17 04:01 - 2015-02-17 04:02 - 08668056 _____ () C:\Users\Benutzerkontoname\Downloads\javascript-racer-master.zip
2015-02-14 02:34 - 2015-02-14 02:34 - 00093306 _____ () C:\Users\Benutzerkontoname\Downloads\countdown.zip
2015-02-13 08:35 - 2015-02-13 08:36 - 00005148 _____ () C:\Windows\System32\Tasks\Microsoft Office 15 Sync Maintenance for xxxxxxx-Benutzerkontoname xxxxxxx
2015-02-13 07:15 - 2015-02-22 01:30 - 00000040 _____ () C:\Windows\Installation.txt
2015-02-13 06:48 - 2015-02-13 06:48 - 00056320 _____ () C:\Users\Benutzerkontoname\Desktop\INSTALLER[2].exe
2015-02-13 06:03 - 2015-02-24 06:11 - 00001057 _____ () C:\Users\Benutzerkontoname\Desktop\datei.txt
2015-02-12 09:15 - 2015-02-12 09:15 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\PDFEditor
2015-02-12 09:04 - 2015-02-12 09:05 - 01067756 _____ () C:\Users\Benutzerkontoname\Downloads\bat2exe.exe.zip
2015-02-12 09:03 - 2015-02-12 09:03 - 00215528 _____ () C:\Users\Benutzerkontoname\Downloads\bat2exe.exe-23418157.exe
2015-02-10 06:11 - 2015-02-10 06:11 - 08981392 _____ (MmVisual ) C:\Users\Benutzerkontoname\Downloads\Setup_EleLa.exe
2015-02-10 03:59 - 2015-02-10 04:01 - 19096897 _____ () C:\Users\Benutzerkontoname\Downloads\node-v0.12.0.tar.gz
2015-02-09 00:43 - 2015-02-09 00:43 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\{E20AD928-E1BF-4642-A5CA-3B05FB975B5B}
2015-02-07 03:14 - 2015-02-07 03:14 - 00849507 _____ () C:\Users\Benutzerkontoname\Downloads\jquery.mobile.custom.zip
2015-02-07 01:27 - 2015-02-07 01:27 - 01392607 _____ () C:\Users\Benutzerkontoname\Downloads\ckeditor_4.4.7_full.zip
2015-02-06 06:42 - 2015-02-06 06:47 - 00000661 _____ () C:\Users\Benutzerkontoname\Desktop\systemcheck.html
2015-02-05 09:08 - 2015-02-05 09:08 - 05070512 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerInstaller.exe

==================== One Month Modified Files and Folders =======

(If an entry is included in the fixlist, the file\folder will be moved.)

2015-03-05 05:18 - 2015-01-25 09:32 - 00000000 ____D () C:\Program Files\Microsoft Office 15
2015-03-05 05:18 - 2011-04-11 06:49 - 00000000 ____D () C:\ProgramData\NVIDIA
2015-03-05 05:18 - 2009-07-13 21:08 - 00032632 _____ () C:\Windows\Tasks\SCHEDLGU.TXT
2015-03-05 05:17 - 2014-11-07 05:27 - 00000000 ____D () C:\Program Files (x86)\Mozilla Firefox
2015-03-05 05:17 - 2014-08-30 06:05 - 00035168 _____ () C:\Windows\PFRO.log
2015-03-05 05:17 - 2014-08-30 02:05 - 00004474 _____ () C:\Windows\setupact.log
2015-03-05 05:17 - 2013-12-15 09:09 - 00000000 ____D () C:\Program Files (x86)\Mozilla Maintenance Service
2015-03-05 05:17 - 2009-07-13 21:08 - 00000006 ____H () C:\Windows\Tasks\SA.DAT
2015-03-05 05:17 - 2009-07-13 20:45 - 00432328 _____ () C:\Windows\System32\FNTCACHE.DAT
2015-03-05 05:16 - 2014-11-15 10:58 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\TSVNCache
2015-03-05 05:08 - 2012-06-15 22:34 - 00000884 _____ () C:\Windows\Tasks\Adobe Flash Player Updater.job
2015-03-05 05:04 - 2015-01-14 05:45 - 00001106 _____ () C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job
2015-03-05 04:55 - 2015-01-14 05:45 - 00001110 _____ () C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job
2015-03-04 10:42 - 2014-09-27 02:15 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Roaming\FileZilla
2015-03-04 05:57 - 2009-07-13 20:45 - 00018512 ____H () C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2015-03-04 05:57 - 2009-07-13 20:45 - 00018512 ____H () C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
2015-03-03 05:17 - 2011-07-06 08:23 - 00295552 ____N (Microsoft Corporation) C:\Windows\System32\MpSigStub.exe
2015-02-27 03:51 - 2014-12-29 04:53 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Roaming\OBS
2015-02-25 09:30 - 2013-09-13 07:44 - 00002447 _____ () C:\Windows\wininit.ini
2015-02-22 04:26 - 2013-12-16 05:46 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Roaming\SoftGrid Client
2015-02-22 01:38 - 2013-10-27 07:00 - 00000000 ____D () C:\wamp
2015-02-22 01:38 - 2013-10-27 06:25 - 00000000 ____D () C:\Apache
2015-02-20 09:30 - 2013-12-15 08:58 - 00118320 _____ () C:\Users\Benutzerkontoname\AppData\Local\GDIPFONTCACHEV1.DAT
2015-02-20 09:20 - 2013-12-15 08:57 - 00000000 ____D () C:\users\Benutzerkontoname
2015-02-13 07:12 - 2014-08-30 01:13 - 00000000 ____D () C:\Program Files\CCleaner
2015-02-12 08:46 - 2014-10-14 06:13 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\Eclipse
2015-02-08 08:42 - 2014-09-23 07:32 - 00000000 ____D () C:\Program Files\Tmp
2015-02-08 08:37 - 2015-01-16 05:40 - 00000000 ____D () C:\Users\Benutzerkontoname\Documents\LEGO Creations
2015-02-06 08:01 - 2015-01-30 02:58 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\Google
2015-02-05 09:08 - 2012-06-15 22:34 - 00701616 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerApp.exe
2015-02-05 09:08 - 2012-06-15 22:34 - 00003822 _____ () C:\Windows\System32\Tasks\Adobe Flash Player Updater
2015-02-05 09:08 - 2011-07-06 08:44 - 00071344 _____ (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerCPLApp.cpl
2015-02-04 11:41 - 2015-01-14 05:45 - 00004106 _____ () C:\Windows\System32\Tasks\GoogleUpdatsskMachineUA
2015-02-04 11:41 - 2015-01-14 05:45 - 00003854 _____ () C:\Windows\System32\Tasks\GoogleUpdateTaskMachineCore
2015-02-03 07:03 - 2015-02-01 01:48 - 00000000 ____D () C:\Users\Benutzerkontoname\AppData\Local\{33AC2D12-D2EA-4F0E-A7A6-E07E700230A9}

Some content of TEMP:
====================
C:\Users\Benuzerkontoname\AppData\Local\Temp\xmlUpdater.exe


==================== Known DLLs (Whitelisted) ================


==================== Bamital & volsnap Check =================

(There is no automatic fix for files that do not pass verification.)

C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\SysWOW64\wininit.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\SysWOW64\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\SysWOW64\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\SysWOW64\userinit.exe => MD5 is legit
C:\Windows\System32\rpcss.dll => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit

==================== Restore Points  =========================

Restore point made on: 2015-02-22 06:23:45
Restore point made on: 2015-02-25 06:48:46
Restore point made on: 2015-03-01 00:06:43
Restore point made on: 2015-03-04 05:29:56

==================== Memory info ===========================

Percentage of memory in use: 14%
Total physical RAM: 6126.05 MB
Available physical RAM: 5254.52 MB
Total Pagefile: 6124.2 MB
Available Pagefile: 5248.52 MB
Total Virtual: 8192 MB
Available Virtual: 8191.89 MB

==================== Drives ================================

Drive c: (Packard Bell) (Fixed) (Total:456.71 GB) (Free:123.84 GB) NTFS
Drive e: (DATA) (Fixed) (Total:456.71 GB) (Free:352.66 GB) NTFS
Drive f: (PQSERVICE) (Fixed) (Total:18 GB) (Free:4.93 GB) NTFS
Drive m: (STICK) (Removable) (Total:1.86 GB) (Free:1.52 GB) FAT
Drive k: (KAMERA) (Removable) (Total:3.68 GB) (Free:2.23 GB) FAT32
Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS
Drive y: (SYSTEM RESERVED) (Fixed) (Total:0.1 GB) (Free:0.07 GB) NTFS ==>[System with boot components (obtained from reading drive)]

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (MBR Code: Windows 7 or 8) (Size: 931.5 GB) (Disk ID: 33228B4C)
Partition 1: (Not Active) - (Size=18 GB) - (Type=27)
Partition 2: (Active) - (Size=100 MB) - (Type=07 NTFS)
Partition 3: (Not Active) - (Size=456.7 GB) - (Type=07 NTFS)
Partition 4: (Not Active) - (Size=456.7 GB) - (Type=07 NTFS)

========================================================
Disk: 3 (MBR Code: Windows XP) (Size: 1.9 GB) (Disk ID: C3072E18)
Partition 1: (Not Active) - (Size=1.9 GB) - (Type=06)

========================================================
Disk: 4 (Size: 3.7 GB) (Disk ID: 00000000)

Partition: GPT Partition Type.


LastRegBack: 2015-02-25 07:21

==================== End Of Log ============================
--- --- ---



Ich habe noch einen USB-Stick mit einem Backup von C:/Windows gefunden (von vor 3 Wochen). Kann das weiterhelfen?

schrauber 06.03.2015 10:46
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:
HKU\Benutzerkontoname\...\Policies\system: [LogonHoursAction] 2
HKU\Benutzerkontoname\...\Policies\system: [DontDisplayLogonHoursWarnings] 1
HKU\Benutzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Ribbons.scr [241664 2010-11-20] (Microsoft Corporation)
HKU\Benuzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\System32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Benuzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\System32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Default\...\RunOnce: [ScrSav] => C:\Program Files (x86)\Packard Bell\Screensaver\run_Packard Bell.exe [154144 2010-07-29] ()
HKU\Default\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Default User\...\RunOnce: [ScrSav] => C:\Program Files (x86)\Packard Bell\Screensaver\run_Packard Bell.exe [154144 2010-07-29] ()
HKU\Default User\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\Packard Bell.scr [456224 2010-07-29] ()
HKU\Benutzerkontoname\Control Panel\Desktop\\SCRNSAVE.EXE -> C:\Windows\system32\PhotoScreensaver.scr [477696 2010-11-20] (Microsoft Corporation)
HKU\Benutzerkontoname\...\Run: [Software Suite SE] => C:\Program Files (x86)\Packard Bell\Software Suite SE\SoftSuiteSE.exe [2275360 2009-09-29] (Acer Incorporated)
GroupPolicyUsers\S-1-5-21-2996523767-1463659488-1139679395-1004\User: Group Policy restriction detected <======= ATTENTION
Emptytemp:
Speichere diese bitte als Fixlist.txt auf deinem USB Stick.
  • Starte deinen Rechner erneut in die Reparaturoptionen
  • Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.


Bitte versuchen normal zu booten. Wenn das nicht klappt nochmal aus der Recovery scannen.


Alle Zeitangaben in WEZ +1. Es ist jetzt 16:39 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131