Kommt leider nicht in Frage der Aufwand ist zu groß und Zeit in der nicht Produziert wird zu klein :-( sonst keine Idee? Wenn auf den einzelnen Rechner von den Tools nichts gefunden wird kann so ein Scanner das auch über Netz erkennen! Vielleicht haben wir die Quelle noch nicht ausfindig machen können!

Gruß

Trotzdem müsstest Du jeden Rechner analysieren. Rechne mal nach ob das wirklich vom Aufwand weniger ist, als ein Master-Image zu erstellen und das auf allen anderen Rechnern zu verteilen :rolleyes:
Außerdem hast Du nach der Bereinigung keine Garantie auf saubere Systeme.

Das stimmt aber alle Systeme sind nicht gleich! Und nach dem Image müssten noch Anpassungen an jedes System vorgenommen werden die auch einen erheblichen MEhraufwand darstellen! Klar könnte man das nach und nach machen aber zur Zeit versuche ich noch die andere Variante!
Also wie soll ich bei jedem Rechner vorgehen?

Gruß

Mir fällt gerade auf, dass ich noch kein einziges Malwarebytes-Logfile gesehen habe. Poste bitte mal alle von diesem einen Client-Rechner.

Mach auch mal bitte einen neuen Durchgang auf dem Client mit malwarebytes, aktualisiere die Signaturen und machen einen Vollscan.

Hier das Log von Maleswarebytes:

Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Datenbank Version: 4006

Windows 5.1.2600 Service Pack 2
Internet Explorer 8.0.6001.18702

27.04.2010 02:00:47
mbam-log-2010-04-27 (02-00-47).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|G:\|H:\|I:\|J:\|K:\|M:\|V:\|W:\|X:\|Y:\|)
Durchsuchte Objekte: 854124
Laufzeit: 13 Stunde(n), 45 Minute(n), 56 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Hm, also wenn auf dem Client die gleiche Virenwarnung immer noch kommt (auch nach Löschen durch den Virenscanner) aber im OSAM Log nichts mehr zu sehen ist, haben wir IMHO nur noch mit ner Live-CD eine Chance, da nicht das infizierte OS gebootet wird:

Systemscan mit OTLPE

• Lade Dir zuerst ISOBurner herunter und installiere es.
• Lade Dir dann OTLPE.iso von Oldtimer und brenne sie per Imagebrennfunktion auf eine leere CD-R.
• Bei Verwendung von ISOBurner reicht ein Doppelklick auf OTLPE.iso.
• Boote nun den infizierten Rechner von der OTLPE-CD (evtl. Reihenfolge im BIOS umstellen).
• Dein System sollte nun einen REATOGO-X-PE Desktop anzeigen.
• Starte OTLPE mit einem Doppelklick auf das OTLPE Icon.
• "Do you wish to load the remote registry" und "Do you wish to load remote user profile(s) for scanning" mit Yes beantworten.
• Entsichere die Box "Automatically Load All Remaining Users" wenn sie gewählt ist und drücke OK.
• Im Block "Drivers" Use SafeList auswählen und dann mit Run Scan den Scan starten.
• Nach dem Scan wird ein Logfile erstellt (C:\OTL.txt)
• Kopiere dieses auf einen USB-Stick und poste es hier.

Hallo Cosinus,

habe noch mal ein Scan mit f-secure blacklight gemacht

Dann mit Gmer

und mit HJTscanlist:

Und ich glaube es wurde noch was gefunden!!

Gruß

Auch OSAM findet jetzt wieder was wenn Virenscanner und alle Netzwerkverbindungen deaktiviert sind!

gruß

Bitte mal den Avenger anwenden:

1.) Lade Dir von hier Avenger:
Swandog46's Public Anti-Malware Tools (Download, linksseitig)

2.) Entpack das zip-Archiv, führe die Datei "avenger.exe" aus (unter Vista per Rechtsklick => als Administrator ausführen). Die Haken unten wie abgebildet setzen:

http://mitglied.lycos.de/efunction/tb123/avenger.png

3.) Kopiere Dir exakt die Zeilen aus dem folgenden Code-Feld:
4.) Geh in "The Avenger" nun oben auf "Load Script", dort auf "Paste from Clipboard".

5.) Der Code-Text hier aus meinem Beitrag müsste nun unter "Input Script here" in "The Avenger" zu sehen sein.

6.) Falls dem so ist, klick unten rechts auf "Execute". Bestätige die nächste Abfrage mit "Ja", die Frage zu "Reboot now" (Neustart des Systems) ebenso.

7.) Nach dem Neustart erhältst Du ein LogFile von Avenger eingeblendet. Kopiere dessen Inhalt und poste ihn hier.

8.) Die Datei c:\avenger\backup.zip bei file-upload.net hochladen und hier verlinken

Log:

Datei:
hxxp://www.file-upload.net/download-2469778/backup.zip.html

gruß

Kommt die meldung immer noch? Mach zur Kontrolle bitte ein neues Log mit GMER und poste es.

Guten Morgen,

hier das aktuelle Log:



Wie soll ich auf den anderen System jetzt grundsätzlich vorgehen?

Gruß


Der Virenscanner hat jetzt gerade die dlzlnti.dll wieder angezeigt mache nochmal ein Scan mit Gmer!!!!

Hier das aktuelle Log:

Gruß

Hier nochmal ein Log von einem anderen Client

Gibt es nun vielleicht eine vorgenhensweise bei allen Rechnern die ich abarbeiten könnte?

Gruß

Nö, die gibt es so nicht. Im letzten GMER Abschnitt seh ich da einen (versteckten?) Dienst

Und das Teil heißt wohl auf jedem Client anders. Außerdem ist nicht gesagt, dass das Prblem behoben ist, wenn man zB diesen Dienst bzw diese Dienste mit dem Avenger löscht.

Avenger musst Du mit so einem Script füttern (Dienstname ist der name des bösen Dienstes zB die obigen rot fett gedruckten)
Und wenn es nicht in CurrentControlSet ist, sollte man auch die anderen löschen per registry keys to delete
Und ggf. noch verknüpfte Dateien löschen, zB C:\Programme\Internet Explorer\mepibcf.dll die dort als Dienst-DLL eingetragen ist


Ich würde hier aber nicht mehr von einer Bereinigung sprechen, die keinen großen Aufwand erfordert. Ich würde einen Rechner neu aufsetzen mit einer Grundinstallation, ein Image erstellen und das auf alle anderen Rechner verteilen.