schritt 1

Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.


schritt 2

Schliesse bitte alle laufenden Programme inkl Browser.
Lösche bitte die Extra.txt von Deinem Desktop.
Doppelklick auf die OTL.exe und poste beide Logfiles.


Bitte poste in Deiner nächsten Antwort
Log von ComboFix
Beide Logs von OTL
Berichte wie der Rechner läuft

Combofix wollte erst nicht starten...bis mir einfiel, dass man hier bereits die anderen Programme schliessen sollte. So schloss ich alles, führte das Script erneut aus (Fehlermeldung: Datei nicht gefunden: damit hatte ich den Beweis, dass es schon funktioniert hatte).

Der Neustart kam nach dem Scan von Combofix als Automatik. Nach meinem Eindruck lief der Shutdown immer noch verlangsamt. Sehe ich richtig, dass von den gewünschten Prozessen nur einer oder zwei wirklich gekillt wurden ? Die runouce (runoNce würe mir was sagen, mut U könnte es was "Überzähliges" sein) z.B. taucht bei den Löschungen nicht auf, R.COM dagegen schon.

Für OTL hab ich dann alles Offene nochmal zugemacht (Virenscanner, Firewall etc werden beim Start direkt mitgeladen). Lief einwandfrei.

Ich werde die Shutdowns noch etwas beobachten und weiter berichten.

Hier die Logs:

Combofix

OTL, Teil I:

OTL, Teil II:

OTL, Teil III:

Extras:

Kontrolle, ob Master Boot Record in Ordnung ist (MBR-Rootkit)

• Downloade die MBR.exe von Gmer und
• speichere es auf Deinem Desktop.
• Mache einen Doppelklick auf das Programm, um es zu starten.
• Wenn Dein Antiviren-Programm anschlägt, bitte ignorieren bzw. die Aktion zulassen.
• Nun wirst Du ein Logfile auf Deinem Desktop namens mbr.log finden.
• Poste mir den Inhalt dieser Logdatei hier in den Thread.

AntiVir macht anstandslos mit.

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, GMER - Rootkit Detector and Remover

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

--> wohl alles ok

Ich hab das System eben mal probeweise runtergefahren. Das Problem besteht immer noch: Profilabmeldung reibungslos (wie erwartet also kein Problem mit den ganzen Programmen, die jetzt auf dem Desktop / im Profil rumschwirren) - beim Klick auf den Computernamen (unten links auf dem XP-Abmeldebildschirm) schätzungsweise 1-2 Minuten, bis der Kasten mit Neustart / Abschalten kommt und nach meinem Anklicken der gewünschten Option nochmal sicher nochmal 2 Minuten, bis die Kiste abschaltet bzw neu startet.

Ich könnte mir vorstellen, dass wir jetzt beide verwirrt sind, oder doch nicht ?! ;-)

Lade den Avenger herunter und entzippe ihn auf den Desktop. Nicht gezippt direkt als EXE ist der Avenger hier erhältlich.

Starte die avenger.exe durch Doppelklick und akzeptiere mit OK die Nutzungsbedingungen. Füge den Inhalt der folgenden Codebox vollständig und unverändert bei "Input script here" ein und klicke auf "Execute". Beantworte die Frage, ob Du sicher bist, dass das Skript ausgeführt werden soll mit "Ja".

Beantworte die Frage zum Neustart des Rechners (Reboot now?) ebenfalls mit "Ja". Nachdem der Rechner neu gestartet ist (das kann auch zweimal nötig sein und passieren!) und das DOS-Fenster, das der Avenger geöffnet hat, wieder geschlossen ist, öffnet Avenger Deinen Editor mit dem Avengerlog, zu finden auch unter C:\avenger.txt. Den Inhalt bitte posten. Ein Backup der entfernten Objekte wurde als C:\avenger\backup.zip angelegt.

Interessant...letztes Mal wurde eine R.COM im Windows-Ordner gelöscht, jetzt eine T.COM im system32. Eine gehört zu Qoobox, die andere zum Avenger, das isses dann wohl net.

Der Rest ist entweder nicht (mehr) vorhanden oder wurde nicht gelöscht...2 davon sind Ordner, keine Dateien. Kurios als .exe, aber so ist der Sinn des Ordners gleich deutlich. Mir wäre aber schleierhaft, wie momentan leere (!) Ordner den Shutdown verlangsamen sollten. Obwohl...wenn während des Shutdowns darauf zugegriffen wird, kann vermutlich auch UPHClean (habe ich schon seit Längerem laufen) nix ausrichten. Nicht verwunderlich, das Problem liegt ja wies aussieht auch net im Userprofil.

Abgelegt wird in diesen Ordnern ja scheinbar nix, die DLL's werden gewöhnlich von woanders geladen. Hmmm...bringt das Löschen überhaupt was ? Die würden doch sicher neu angelegt, wenn man net rausfindet, wo genau sie herkommen, oder ?


Hier das Avenger-Log:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!


Error: "c:\windows\rundll16.exe" is a folder, not a file!
Deletion of file "c:\windows\rundll16.exe" failed!
Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY)
--> use "Folders to delete:" instead of "Files to delete:" to delete a directory


Error: "c:\windows\system32\runouce.exe" is a folder, not a file!
Deletion of file "c:\windows\system32\runouce.exe" failed!
Status: 0xc00000ba (STATUS_FILE_IS_A_DIRECTORY)
--> use "Folders to delete:" instead of "Files to delete:" to delete a directory

File "c:\windows\system32\T.COM" deleted successfully.

Error: file "c:\windows\system32\39.tmp" not found!
Deletion of file "c:\windows\system32\39.tmp" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist


Completed script processing.

*******************

Finished! Terminate.

ich versuche hier die restlichen Malware Dinger zu erledigen. Das ist nicht gerade einfach wenn man andauernd belehrt wird.
Durch den selbständigen Lauf von ComboFix hast Du dies nicht gerade erleichtert.

Wenn es Diir zu langsam geht,
hier die schnellste Lösung

Anleitung zum Neu aufsetzten
Hier steht WARUM

Welcher selbständige Lauf von Combofix ? Meinst Du das ganz am Anfang ? Das kam daher, dass ich vor dem Trojaner-Board schon auf anderen Seiten war, wo dieses Programm ebenfalls empfohlen wurde. Das Ganze hatte zwar ein Rootkit entfernt, aber das Problem, um das es mir eigentlich ging, noch nicht gelöst. Also an sich keine Änderung...somit ging alles von vorne los.

Sorry, wenn Du Dich belehrt fühlst, das war nicht meine Absicht. Ich schildere nur meine Erfahrungen und Gedanken während der Suchläufe, wie man das halt so macht. Die Meisten freuen sich sonst eher darüber, weil auch das helfen kann, (nicht nur meinen) evtl offenen Fragen auf die Spur zu kommen oder die restlichen fraglichen Posten in den Logs schneller aufzuklären. Speziell wenn leere Ordner auftauchen, aber unklar ist, wo sie herkommen. Von daher hat mich Deine Reaktion jetzt stark überrascht.

Von "zu langsam" kann keine Rede sein. Im Gegenteil, ich freue mich sehr, dass jemand bereit ist, am Wochenende seine Zeit zu opfern und mir zu helfen !

Ob mans nun merkt oder nicht - ich bin an sich selber aus dem IT-Bereich und versuche nur, bei dem ganzen Ablauf mitzudenken. Viren und Malware als solche sind grundsätzlich nix Neues für mich. Mir sind allerdings die in den letzten Tagen verwendeten Programme neu, auch weils z.B das erste Rootkit auf meinem Rechner war. Von daher schon mal vielen Dank sowohl für die Hilfe am Wochenende als auch für die Anregungen bzgl zukünftiger Suchen.

Hmmm...ESET meint, es kann das Update nicht ziehen. Einen Proxy habe ich aber keinen und der AntiVir-Guard ist deaktiviert sowie im IE das AktiveX überall erlaubt (auch in den vertrauenswürdigen Sites und eset.com als vertrauenswürdig eingestuft). Müsste doch eigentlich gehen, oder ?