Trojaner-Board - Trojan Agent dwm.exe / csrss.exe in C:\Dokumente und Einstellungen\Anwendungsdaten\dwm.exe

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Trojan Agent dwm.exe / csrss.exe in C:\Dokumente und Einstellungen\Anwendungsdaten\dwm.exe (https://www.trojaner-board.de/96981-trojan-agent-dwm-exe-csrss-exe-c-dokumente-einstellungen-anwendungsdaten-dwm-exe.html)

Gut, hier sind die Ergebnisse des Combofix Checks

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

File::

c:\windows\system32\drivers\klmdb.sys
 

Fcopy::

c:\windows\ServicePackFiles\i386\atapi.sys | c:\windows\system32\drivers\atapi.sys
 

Regnull::

[HKEY_USERS\S-1-5-21-1659004503-1647877149-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{5F0DB1E6-EE55-93C3-872B-6CB784FA9E65}*]

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo, anbei die CombofixLog Datei

Da steht nichts vom CFscript. Hast die die Anleitung 1:1 umgesetzt?

Oh ja, sorry, mein Fehler. Hatte nach dem ersten Mal den Log nicht gespeichert und dann nach dem Neustart nochmal combofix ausgeführt in der Annahme, dass das CfScript bereits Teil des Programms ist.
Jetzt nochmal mit Copy und Paste einen neuen Versuch gestartet. Sollte jetzt eigentlich richtig sein

Bitte Windows neu starten und zur Kontrolle ein neues Log mit dem Kaspersky-TDSS-Killer machen.

Hallo, anbei das neue Kaspersky Log

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Ok, hat etwas länger gedauert aber hier sind die verschiedenen Logs (Anhang)

Zitat:

"a19346b" (a19346b) - " " - C:\WINDOWS\System32\DRIVERS\a19346b.sys
"a19346c" (a19346c) - " " - C:\WINDOWS\System32\Drivers\a19346c.sys

Bitte mit OSAM deaktivieren und löschen

ok, ' habe die beiden Einträge gelöscht, was auch von Osam bestätigt wurde. Anbei ein aktueller Osam Log. Habe Kaspersky-TDSS-Killer nochmal durchlaufen lassen und der findet jetzt nichts mehr. Bin ich geheilt? :-)

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hallo Cosinus alias Arne,

seit zwei Monaten funktioniert der Computer wieder ohne Probleme und ich will an dieser Stelle - wenn auch verspätet- ein dickes Dankeschön an Dich aussprechen, für deine Zeit und deine Expertise. Ich finde es großartig, dass es ein solches Forum gibt und Leute wie Dich, die sich der Probleme fachkundig annehmen. Respekt.

Die Kontrollscans solltest du aber schon machen - zur Kontrolle ;)