Plötzlich Virus! Kann Rechner nur noch ausschalten
 

Hallo Experten,

seit heute habe ich ein schwerwiegendes Problem mit meinem Computer.
Sobald die Verbindung mit dem Internet hergestellt ist, öffnen sich ständig neue Fenster, die sich nicht schließen lassen.
Dabei wird der Computer immer langsamer und er lässt sich nicht mehr normal herunterfahren. Mir bleibt nur, den Ausknopf zu drücken.
Auch ein Bekannter, der sonst bei Computerproblemen hilft, ist ratlos. Ich selbst bin technisch nicht sehr versiert.
Auf dem Computer befinden sich sensible Daten für meine Arbeit.

Die Anleitung habe ich gelesen und soweit ich konnte, befolgt. Hier meine Ergebnisse:


Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4052

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

17.10.2010 20:14:36
mbam-log-2010-10-17 (20-14-36).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|)
Durchsuchte Objekte: 174586
Laufzeit: 28 Minute(n), 12 Sekunde(n)

Infizierte Speicherprozesse: 2
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 4
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
C:\dokumente und einstellungen\***\anwendungsdaten\MSA\mscj.exe (Backdoor.Bot) -> No action taken.
c:\dokumente und einstellungen\***\anwendungsdaten\MSA\mscj.exe (Backdoor.Bot) -> No action taken.

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\mscj (Backdoor.Bot) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\dokumente und einstellungen\***\anwendungsdaten\MSA\mscj.exe (Backdoor.Bot) -> No action taken.






Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 21:03:46, on 17.10.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\rpcnet.exe
C:\WINDOWS\system32\svchost.exe
E:\Programme\TomTom HOME 2\TomTomHOMEService.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTVRC.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
E:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\WINDOWS\system32\igfxsrvc.exe
E:\Programme\TomTom HOME 2\TomTomHOMERunner.exe
C:\Programme\DAEMON Tools\daemon.exe
E:\Programme\OpenOffice.org 2.2\program\soffice.exe
E:\Programme\OpenOffice.org 2.2\program\soffice.BIN
C:\WINDOWS\system32\wuauclt.exe
E:\Eigene Dateien\Download\HiJackThis204.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.icq.com/
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &TerraTec Home Cinema - {AD6E6555-FB2C-47D4-8339-3E2965509877} - E:\PROGRA~1\TerraTec\TERRAT~1\THCDES~1.DLL
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [TerraTec Remote Control] "C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTVRC.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "E:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKLM\..\Run: [ArcSoft Connection Service] C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKCU\..\Run: [TomTomHOME.exe] "E:\Programme\TomTom HOME 2\TomTomHOMERunner.exe"
O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.2.lnk = E:\Programme\OpenOffice.org 2.2\program\quickstart.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - E:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{779D0834-FB83-485A-B683-8CA1DEAB7253}: NameServer = 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{E5F2DEDF-6949-4A10-891F-314DDAA0A2D1}: NameServer = 192.168.0.1
O17 - HKLM\System\CS1\Services\Tcpip\..\{779D0834-FB83-485A-B683-8CA1DEAB7253}: NameServer = 192.168.0.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{779D0834-FB83-485A-B683-8CA1DEAB7253}: NameServer = 192.168.0.1
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: ArcSoft Connect Daemon (ACDaemon) - ArcSoft Inc. - C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Procedure Call (RPC) Net (rpcnet) - Absolute Software Corp. - C:\WINDOWS\system32\rpcnet.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: TomTomHOMEService - TomTom - E:\Programme\TomTom HOME 2\TomTomHOMEService.exe

--


Ich bitte um Hilfe, bin verzweifelt.

Vielen Dank für Ihre Mühen,
Herbert

Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Das könnte sich als schwierig erweisen.
Wie gesagt, sobald eine Internetverbindung besteht, geht es mit den Fenstern los...
Ich konnte lediglich die (vermeindlich) neueste Version auf der Herstellerseite herunterladen, eine CD brennen und sie auf dem "Problem-Computer" installieren.
Gibt es noch eine andere Möglichkeit an das Update zu kommen?

Probier es bitte erstmal mit dem Update über den Updatebutton. Danach trennst Du die Internetverbindung wieder.

Ich habe den Problem-Computer zur Zeit geschäftlich dabei, und war hier im Haus noch nie damit im Internet. Ich müsste die Internetverbindung also für den Router hier erst neu einrichten.
Besteht dabei ein Sicherheitsrisiko? z.B. wenn ich die Zugangsdaten (WPA-Schlüssel) eingebe? Oder kann ich das problemlos tun (WLAN ist kein Muss, Netzwerkkabel vorhanden)

Naja, Du kannst auch malwarebytes auf einem anderen Rechner (WinXP) installieren (Version 1.46) und dann updaten. Du findest dann eine rules.refunter

Die musst Du auf den befallenen Rechner kopieren, ins gleiche Verzeichnis. Starte dann Malwarebytes und schau nach, ob die Signaturen auf 4870 sind.

Ich habe die Anweisung befolgt und verstehe das Ergebnis nicht...
Ich habe nichts verändert! Was bedeutet das jetzt?


Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4874

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

18.10.2010 19:00:16
mbam-log-2010-10-18 (19-00-16).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|)
Durchsuchte Objekte: 174589
Laufzeit: 24 Minute(n), 12 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)




HiJackthis Logfile:
--- --- ---

Wurde da wirklich nichts gefunden? :wtf:
Gibt es noch weitere Logs von Malwarebytes? Wäre sehr sinnfrei, wenn Du das ohne Funde gepostet hättest!

Anscheinend wurde wirklich nichts mehr gefunden, deswegen verstehe ich es ja nicht!
Malwarebytes gibt doch nach einem Suchlauf nur eine log-Datei aus, oder?
Was kann ich jetzt noch tun? Das Problem ist damit ja nicht behoben.

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Ok, ich bin den Anweisungen gefolgt. Habe allerdings das komplette Logfile an meinem Zweit-Computer abgetippt, weil ich keinen USB-Stick anschließen wollte (und dann vielleicht noch den anderen PC infiziere). Mit dem Tippen, des zweiten Logfiles bin ich noch nicht fertig, hier also erst einmal die "OTL.txt":OTL Logfile:
--- --- ---

:wtf: :eek:

Du tippst es doch nicht Zeichen für Zeichen manuell ab??

---------------------

Doch, ich habe das tatsächlich getan.
Ich bin auf den Rechner angewiesen....

Oje, Du kannst doch einfach die Logs auf nen Stick kopieren :rofl:
Sach nicht Du hast jetzt 9 Stunden Zeichen für Zeichen die Logs abgetippt :D
Ich mein Dein Fleiß ist löblich, aber schon digitalisierten Text kann ein Computer schneller, zuverlässiger und fehlerfreier kopieren...