TR/Agent.avs' [trojan - "eingefangen über Yahoo Messenger"
 

Hallo zusammen,

leider war ich so bescheuert, auf einen Link zu klicken, den mir ein Kontakt angeblich im Yahoo Messenger geschickt hat. Der Trojaner benutzt nun meinen Messenger um diesen Link wiederum an meine Kontakte zu schicken.
Außerdem habe ich festgestellt, dass meine Festplatte praktisch voll ist, vor kurzem waren sicher noch 50 GB frei.

Antivir sagt folgendes:
In der Datei 'C:\Users\xxx\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\XE0HBOC3\bb[1].exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Agent.avs' [trojan] gefunden.


Vorab schon mal vielen Dank für Eure Hilfe - bin derzeit ziemlich ratlos...

Als "Anfängerin" habe ich jetzt die Punkte unter 2 abgearbeitet und poste hier mal die logfiles.


1. Malware

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4469

Windows 6.0.6000
Internet Explorer 7.0.6000.16764

24.08.2010 15:09:48
mbam-log-2010-08-24 (15-09-48).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 145346
Laufzeit: 21 Minute(n), 6 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Users\xxxx\AppData\Local\Windows\winhelp.exe (Spyware.Passwords) -> Quarantined and deleted successfully.

2. OTL:OTL Logfile:
--- --- ---

3. OTL ExtraOTL Logfile:
--- --- ---

Hallo Cyberella und :hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lies die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

1.) Deinstalliere Spybot, der behindert die Reinigung.

2.) Lade die Datei:
bitte bei uns hoch. Die Datei ist nicht sichtbar! Markiere und kopiere den Text in der Box und füge ihn im Uploadchannel ein. => http://www.trojaner-board.de/54791-a...ner-board.html

3.) Poste das Log von GMER => http://www.trojaner-board.de/74908-a...t-scanner.html

4.) Poste das Log von Osam => http://www.trojaner-board.de/85306-a...n-manager.html

ciao, andreas

Kommando zurück. Bitte setze als Erstes SuperAntispyware ein, der erkennt den. Poste das Log von SuperAntiSpyware. => http://www.trojaner-board.de/51871-a...tispyware.html

ciao, andreas

Hallo Andreas,

danke für die Hinweise - ich glaub mein Rechner ist total verseucht.... :-(

hier nun das logfile von SUperantispyware:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 08/24/2010 at 10:18 PM

Application Version : 4.41.1000

Core Rules Database Version : 5399
Trace Rules Database Version: 3211

Scan type : Complete Scan
Total Scan Time : 03:29:54

Memory items scanned : 732
Memory threats detected : 3
Registry items scanned : 9057
Registry threats detected : 4
File items scanned : 139185
File threats detected : 54

Trojan.Agent/Gen-SSHNas[FakeAlert]
C:\USERS\xxx\APPDATA\LOCAL\TEMP\SSHNAS21.DLL
C:\USERS\xxx\APPDATA\LOCAL\TEMP\SSHNAS21.DLL
[Metropolis] C:\USERS\xxx\APPDATA\LOCAL\TEMP\SSHNAS21.DLL

Trojan.Agent/Gen-CDesc[Gen]
C:\USERS\PUBLIC\LMSN.EXE
C:\USERS\PUBLIC\LMSN.EXE
[Windows System Guard] C:\USERS\PUBLIC\LMSN.EXE
C:\Windows\Prefetch\LMSN.EXE-423FAAB6.pf

Trojan.Agent/Gen-Backdoor[Apex]
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHN.EXE
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHN.EXE
[XBV6RD5SZF] C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHN.EXE
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHK.EXE
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHL.EXE
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHM.EXE
C:\USERS\xxx\APPDATA\LOCAL\TEMP\IHP.EXE

Adware.Tracking Cookie
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@zanox-affiliate[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@serving-sys[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@pointroll[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ero-advertising[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@unitymedia[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@webmasterplan[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@tribalfusion[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ads.sun[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@collective-media[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@adtech[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@adfarm1.adition[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@adserver.adtechus[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@2o7[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ads.pointroll[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@weborama[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@www.etracker[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@interclick[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@www.windowsmedia[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@chitika[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@content.yieldmanager[3].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ww251.smartadserver[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ads.undertone[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@ad3.adfarm1.adition[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@clickcash[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@track.adform[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@content.yieldmanager[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@bs.serving-sys[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@msnportal.112.2o7[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@smartadserver[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@invitemedia[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@tracking.quisma[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@atdmt[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@richmedia.yahoo[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@adbrite[2].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@eas.apm.emediate[1].txt
C:\Users\xxx\AppData\Roaming\Microsoft\Windows\Cookies\xxx@zanox[2].txt
cdn1.eyewonder.com [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
cdn5.specificclick.net [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
googleads.g.doubleclick.net [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
hottraffic.nl [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
imagesrv.adition.com [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
media01.kyte.tv [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
spe.atdmt.com [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
vidii.hardsextube.com [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]
www.elitepartner.de [ C:\Users\xxx\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\2V9CPLWY ]

Malware.Trace
C:\Windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job
HKU\S-1-5-21-2349178945-693852076-4111038735-1000\SOFTWARE\XML

Ja, das war der LolBot => ThreatExpert Report: Backdoor.LolBot

Weiter mit GMER und OSAM.

ciao, andreas

Hallo Andreas,

leider funtioniert das nicht.

GMER kann ich zwar runterladen und mit dem Scan beginnen, aber es ist jetzt 3x passiert, dass sich der Rechner dann verabschiedet hat - einmal war dann auch eine Systemwiederherstellung erforderlich.

OSAM hab ich auch geladen, kann es aber nicht entpacken... mit was? Winzip habe ich nicht auf dem Rechner - und man soll ja während der Bereinigung nix runterladen.

Was nun?

Ach ja und noch eine Frage: der Rechner läuft ja noch.... und ich müsste auch was arbeiten... :-(
Was sollte ich bei diesem Befall besser unterlassen, was ist "ungefährlich" - ich hab ja keine Ahnung, was das Biest auf meinem Rechner anrichtet.

Schon mal vorab :dankeschoen:

Christine

Vermutlich hast du das Schlimmste schon hinter dir. Mit Genauigkeit kann ich es dir nur mit mehr Informationen mitteilen, deshalb musst du weitere Logs liefern.
Mausklick rechts auf die ZIP-Datei => Alle extrahieren => Weiter => Weiter => Fertigstellen
Das passiert leider häufiger. :(

Versuchen wir eine Alternative.

Rootkitsuche mit SysProt

• Lade dir Sysprot auf den Desktop, entpacke es und starte das Tool.
• Gehe dort auf den Reiter Log.
• Setze nun alle Haken,
• auch unten bei Hidden Objects Only
• Klicke auf Create Log.
• Es erscheint nach einem kurzen Scan die ein Dialogfenster. Wähle dort Scan root drive only
• Klicke auf Start.
• Wenn der Scan abgeschlossen ist, beende SysProt.
• Poste den gesamten Inhalt der "SysProtLog.txt", die auf dem Desktop zu finden ist.

ciao, andreas

Hallo Andreas,

hier das logfile

SysProt AntiRootkit v1.0.1.0
by swatkat

******************************************************************************************
******************************************************************************************

No Hidden Processes found

******************************************************************************************
******************************************************************************************
Kernel Modules:
Module Name: \SystemRoot\System32\Drivers\dump_iaStor.sys
Service Name: ---
Module Base: 86CB3000
Module End: 86D71000
Hidden: Yes

******************************************************************************************
******************************************************************************************
SSDT:
Function Name: ZwCreateThread
Address: 8B48472C
Driver Base: 0
Driver End: 0
Driver Name: _unknown_

Function Name: ZwOpenProcess
Address: 8B484718
Driver Base: 0
Driver End: 0
Driver Name: _unknown_

Function Name: ZwOpenThread
Address: 8B48471D
Driver Base: 0
Driver End: 0
Driver Name: _unknown_

Function Name: ZwTerminateProcess
Address: 8B484727
Driver Base: 0
Driver End: 0
Driver Name: _unknown_

******************************************************************************************
******************************************************************************************
No Kernel Hooks found

******************************************************************************************
******************************************************************************************
No IRP Hooks found

******************************************************************************************
******************************************************************************************
Ports:
Local Address: xxx-PC:57695
Remote Address: 88.85.68.232:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihn.exe
State: ESTABLISHED

Local Address: xxx-PC:57694
Remote Address: 88.85.68.232:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihn.exe
State: ESTABLISHED

Local Address: xxx-PC:57693
Remote Address: 88.85.68.231:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihn.exe
State: ESTABLISHED

Local Address: xxx-PC:57692
Remote Address: 88.85.68.231:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihn.exe
State: ESTABLISHED

Local Address: xxx-PC:57681
Remote Address: 68.67.185.203:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihm.exe
State: ESTABLISHED

Local Address: xxx-PC:57679
Remote Address: 68.67.185.200:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihm.exe
State: ESTABLISHED

Local Address: xxx-PC:57676
Remote Address: MPR6.NGD.VIP.CH1.YAHOO.COM:HTTP
Type: TCP
Process: [System Idle Process]
State: TIME_WAIT

Local Address: xxx-PC:57673
Remote Address: MPR2.NGD.VIP.CH1.YAHOO.COM:HTTP
Type: TCP
Process: [System Idle Process]
State: TIME_WAIT

Local Address: xxx-PC:57671
Remote Address: EC2-184-73-244-34.COMPUTE-1.AMAZONAWS.COM:HTTP
Type: TCP
Process: C:\Users\xxx\AppData\Local\Temp\Ihm.exe
State: ESTABLISHED

Local Address: xxx-PC:57656
Remote Address: MPR3.NGD.VIP.CH1.YAHOO.COM:HTTP
Type: TCP
Process: [System Idle Process]
State: TIME_WAIT

Local Address: xxx-PC:57643
Remote Address: MPR6.NGD.VIP.CH1.YAHOO.COM:HTTP
Type: TCP
Process: [System Idle Process]
State: TIME_WAIT

Local Address: xxx-PC:49243
Remote Address: 173.204.1.116.REVERSE.GOGRID.COM:HOSTS2-NS
Type: TCP
Process: C:\Users\Public\lmsn.exe
State: ESTABLISHED

Local Address: xxx-PC:NETBIOS-SSN
Remote Address: 0.0.0.0:0
Type: TCP
Process: System
State: LISTENING

Local Address: xxx-PC:49303
Remote Address: LOCALHOST:27015
Type: TCP
Process: C:\Program Files\iTunes\iTunesHelper.exe
State: ESTABLISHED

Local Address: xxx-PC:27015
Remote Address: LOCALHOST:49303
Type: TCP
Process: C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
State: ESTABLISHED

Local Address: xxx-PC:27015
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Program Files\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe
State: LISTENING

Local Address: xxx-PC:5354
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Program Files\Bonjour\mDNSResponder.exe
State: LISTENING

Local Address: xxx-PC:49204
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\services.exe
State: LISTENING

Local Address: xxx-PC:49156
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\svchost.exe
State: LISTENING

Local Address: xxx-PC:49155
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\svchost.exe
State: LISTENING

Local Address: xxx-PC:49154
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\lsass.exe
State: LISTENING

Local Address: xxx-PC:49153
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\svchost.exe
State: LISTENING

Local Address: xxx-PC:49152
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\wininit.exe
State: LISTENING

Local Address: xxx-PC:EPMAP
Remote Address: 0.0.0.0:0
Type: TCP
Process: C:\Windows\System32\svchost.exe
State: LISTENING

Local Address: xxx-PC:64790
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:5353
Remote Address: NA
Type: UDP
Process: C:\Program Files\Bonjour\mDNSResponder.exe
State: NA

Local Address: xxx-PC:SSDP
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:138
Remote Address: NA
Type: UDP
Process: System
State: NA

Local Address: xxx-PC:NETBIOS-NS
Remote Address: NA
Type: UDP
Process: System
State: NA

Local Address: xxx-PC:64791
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:63861
Remote Address: NA
Type: UDP
Process: C:\Users\xxx\AppData\Local\Temp\Ihm.exe
State: NA

Local Address: xxx-PC:60167
Remote Address: NA
Type: UDP
Process: C:\Program Files\lg_swupdate\GiljabiStart.exe
State: NA

Local Address: xxx-PC:57845
Remote Address: NA
Type: UDP
Process: C:\Program Files\Internet Explorer\iexplore.exe
State: NA

Local Address: xxx-PC:57467
Remote Address: NA
Type: UDP
Process: C:\Users\xxx\AppData\Local\Temp\Ihn.exe
State: NA

Local Address: xxx-PC:SSDP
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:57134
Remote Address: NA
Type: UDP
Process: C:\Program Files\Bonjour\mDNSResponder.exe
State: NA

Local Address: xxx-PC:LLMNR
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:IPSEC-MSFT
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:500
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

Local Address: xxx-PC:123
Remote Address: NA
Type: UDP
Process: C:\Windows\System32\svchost.exe
State: NA

******************************************************************************************
******************************************************************************************
No hidden files/folders found

:eek: Hast du mit dem Yahoo Messenger in der Zwischenzeit gearbeitet?

Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

ciao, andreas

nein, ich habe den yahoo messenger zwar noch nach dem Befall benutzt (da war mich noch gar nicht klar was passiert ist) aber während der Bereinigung nicht mehr.

Auch war seit dem Befall nichts anderes am Rechner - außer dem Stromkabel :-) - nicht mal ein Drucker.
Soll ich trotzdem vor dem Scan was verbinden?? Und alles auf einmal geht ja auch nicht.....

Merci!
Christine

Nur Datenträger! Keine Drucker oder Sonstiges. ComboFix wird mehrfach laufen. Jedesmal andere Datenträger anstecken.

ciao, andreas

Hallo Andreas,

nach längerer Urlaubspause melde ich mich wieder zurück und hoffe dass es jetzt den Biestern auf meinem Rechner endgültig an den Kragen geht.

CCleaner hab ich installiert und durchlaufen lasse, ohne Probleme.

Ebenso Combofix - anbei der Log

Combofix Logfile:
--- --- ---


Was ist jetzt noch zu tun?

Vielen Dank auch schon im Voraus
Christine

keine Ahnung warum mein letztes Posting nicht ganz oben erschienen ist - ich poste das combobix logfile nochmal - und hoffe auf eine Antwort.

Schönen Gruß
Christine

Combofix Logfile:
--- --- ---

Hy, john.doe hat uns leider verlassen :(

Starte bitte OTL.exe.
Wähle unter
Extra Registrierung: Benutze Safe List und klicke auf den Scan Button.


Schritt 2

Downloade Dir bitte SecurityCheck

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument ( checkup.txt ) öffnen.

Poste den Inhalt bitte hier.


Bitte poste in deiner nächsten Antwort
OTL.txt
Extras.txt
checkup.txt
Berichte ob noch Probleme vorhanden sind.

Hallo Daniel,

danke für die "Übernahme" !

Hier di Logfiles:

otl.txt:OTL Logfile:
--- --- ---

Extras.txt:OTL Logfile:
--- --- ---

checkup:

Results of screen317's Security Check version 0.99.5
Windows Vista (UAC is enabled)
Out of date service pack!!
Internet Explorer 7 Out of date!
``````````````````````````````
Antivirus/Firewall Check:
Avira AntiVir Personal - Free Antivirus
Antivirus up to date!
```````````````````````````````
Anti-malware/Other Utilities Check:
Out of date Spybot installed!
Malwarebytes' Anti-Malware
CCleaner
Java(TM) 6 Update 21
Java(TM) 6 Update 2
Java(TM) 6 Update 3
Java(TM) 6 Update 5
Java(TM) 6 Update 7
Out of date Java installed!
Adobe Flash Player
Adobe Reader 8.1.3 - Deutsch
Out of date Adobe Reader installed!
````````````````````````````````
Process Check:
objlist.exe by Laurent
Windows Defender MSASCui.exe
Avira Antivir avgnt.exe
Avira Antivir avguard.exe
Windows Defender MSASCui.exe
windows defender MpCmdRun.exe
````````````````````````````````
DNS Vulnerability Check:
GREAT! (Not vulnerable to DNS cache poisoning)

``````````End of Log````````````


Probleme habe ich keine mehr festgestellt (bis auf die Meldung, dass Autostartprogramme geblockt werden), habe aber mit dem "verseuchten Ding" wenig gearbeitet.

ich bin mir allerdings ziemlich sicher, dass ich vor dem Befall noch etwa 40% freien Platz auf der Platte hatte, danach nur noch etwa 1 %, jetzt sind es wieder 10 %. Kann das noch an dem Trojaner liegen?

Und soll ich nach Ende der Bereinigung alle runtergeladenen Programme wieder löschen?

Merci vorab!
Christine