Trojaner-Board - Probleme mit Antimalware Doctor

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Probleme mit Antimalware Doctor - Wie entfernen? (https://www.trojaner-board.de/97228-probleme-antimalware-doctor-entfernen.html)

Probleme mit Antimalware Doctor - Wie entfernen?

Hallo liebe Mitglieder,

ich habe mir vor 2 Tagen den Antimalware Doctor eingefangen...ich habe hier schon einiges lesen können, allerdings steht überall, die betreffende Person solle doch die Logs posten deswegen bin ich etwas ratlos.

Ich habe mir rkill.exe runtergeladen und versucht die Anwendung auszuführen wie beschrieben, allerdings startet mein Laptop neu, sobald ich auf "Zulassen" klicke (Vista) Deswegen habe ich Antimalwarebytes scannen lassen und es wurde auch einiges gefunden (Habe einen vollständigen Scan gemacht und einen Quick Scan).

Antimalware Doctor wird nun nicht mehr unter den Programmen angezeigt, aber ich bekomme immer Fehlermeldungen, dass die Hostprozesse von Windows nicht mehr ausgeführt werden können und dass einige Autostartprogramme geblockt werden.

Was muss ich denn nun genau machen, um dieses blöde Ding wieder loszukriegen? Das raubt mir noch meinen letzten Nerv! :headbang::headbang: Hilfe, bitte!

Und hier noch die Logs:

hxxp://rapidshare.com/files/456282107/mbam-log-2011-04-06__20-24-26_.txt
hxxp://rapidshare.com/files/456282239/mbam-log-2011-04-06__20-37-41_.txt

Kannst die Logs hier posten? Bei rapidshare muss man warten und das finde ich nicht gerade schön wenn jmd seine Zeit für dich hier "opfert" und dann zusätzlich noch warten muss. :balla:

Hier bitte. Ich wusste zuerst nicht, wie das geht. Danke!

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Doppelklick auf die OTL.exe
Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
Unter Extra Registry, wähle bitte Use SafeList
Klicke nun auf Run Scan links oben
Wenn der Scan beendet wurde werden 2 Logfiles erstellt
Poste die Logfiles hier in den Thread.

Ja...das dachte ich mir schon, das hab ich ebenfalls schon getan...ab da weiß ich dann aber nicht mehr weiter... :confused:

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

FF - prefs.js..browser.search.defaultengine: "Ask.com"

FF - prefs.js..browser.search.defaultenginename: "ICQ Search"

FF - prefs.js..browser.search.defaultthis.engineName: "MyAshampoo Customized Web Search"

FF - prefs.js..browser.search.defaulturl: "http://search.conduit.com/ResultsExt.aspx?ctid=CT2475029&SearchSource=3&q={searchTerms}"

FF - prefs.js..browser.search.order.1: "Ask.com"

FF - prefs.js..browser.search.selectedEngine: "ICQ Search"

FF - prefs.js..browser.search.useDBForOrder: true

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2006.09.18 23:43:36 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]

O33 - MountPoints2\{08bbeafe-9d25-11df-a2cd-001f162b108e}\Shell - "" = AutoRun

O33 - MountPoints2\{08bbeafe-9d25-11df-a2cd-001f162b108e}\Shell\AutoRun\command - "" = E:\AutoRun.exe

O33 - MountPoints2\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\Shell - "" = AutoRun

O33 - MountPoints2\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\Shell\AutoRun\command - "" = E:\AutoRun.exe

O33 - MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\Shell - "" = AutoRun

O33 - MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\Shell\AutoRun\command - "" = D:\start.exe

O33 - MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\Shell\option1\command - "" = D:\deskupdate\DeskUpdate.exe

O33 - MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\Shell\support\command - "" = D:\deskupdate\support.bat

O33 - MountPoints2\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\Shell - "" = AutoRun

O33 - MountPoints2\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\Shell\AutoRun\command - "" = E:\AutoRun.exe

O33 - MountPoints2\{6d1087a0-9cf0-11df-98ca-001f162b108e}\Shell - "" = AutoRun

O33 - MountPoints2\{6d1087a0-9cf0-11df-98ca-001f162b108e}\Shell\AutoRun\command - "" = E:\AutoRun.exe

[2011.04.05 14:43:37 | 000,000,000 | ---D | C] -- C:\Users\Caro\AppData\Local\{BDCC9385-3886-444F-BEA4-B05C84FDC6A4}

[2011.04.05 14:41:55 | 000,000,000 | ---D | C] -- C:\Users\Caro\AppData\Roaming\2AD5A8882F89BE73B3E684673AA4ABD5

[2011.04.06 18:22:03 | 000,000,120 | ---- | M] () -- C:\Users\Caro\AppData\Local\Fhiciker.dat

[2011.04.06 18:22:03 | 000,000,000 | ---- | M] () -- C:\Users\Caro\AppData\Local\Ncavitesuzupijaf.bin

:Files

C:\Windows\tasks\*.job

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Hier ist die Logdatei.

Zitat:

All processes killed
========== OTL ==========
Prefs.js: "Ask.com" removed from browser.search.defaultengine
Prefs.js: "ICQ Search" removed from browser.search.defaultenginename
Prefs.js: "MyAshampoo Customized Web Search" removed from browser.search.defaultthis.engineName
Prefs.js: "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2475029&SearchSource=3&q={searchTerms}" removed from browser.search.defaulturl
Prefs.js: "Ask.com" removed from browser.search.order.1
Prefs.js: "ICQ Search" removed from browser.search.selectedEngine
Prefs.js: true removed from browser.search.useDBForOrder
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\autoexec.bat moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{08bbeafe-9d25-11df-a2cd-001f162b108e}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08bbeafe-9d25-11df-a2cd-001f162b108e}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{08bbeafe-9d25-11df-a2cd-001f162b108e}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08bbeafe-9d25-11df-a2cd-001f162b108e}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{08bbeb0d-9d25-11df-a2cd-001f162b108e}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
File D:\start.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
File D:\deskupdate\DeskUpdate.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{16344fc9-31b6-11df-94da-806e6f6e6963}\ not found.
File D:\deskupdate\support.bat not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d10876b-9cf0-11df-98ca-806e6f6e6963}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d1087a0-9cf0-11df-98ca-001f162b108e}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d1087a0-9cf0-11df-98ca-001f162b108e}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d1087a0-9cf0-11df-98ca-001f162b108e}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d1087a0-9cf0-11df-98ca-001f162b108e}\ not found.
File E:\AutoRun.exe not found.
C:\Users\Caro\AppData\Local\{BDCC9385-3886-444F-BEA4-B05C84FDC6A4}\chrome\content folder moved successfully.
C:\Users\Caro\AppData\Local\{BDCC9385-3886-444F-BEA4-B05C84FDC6A4}\chrome folder moved successfully.
C:\Users\Caro\AppData\Local\{BDCC9385-3886-444F-BEA4-B05C84FDC6A4} folder moved successfully.
C:\Users\Caro\AppData\Roaming\2AD5A8882F89BE73B3E684673AA4ABD5 folder moved successfully.
C:\Users\Caro\AppData\Local\Fhiciker.dat moved successfully.
C:\Users\Caro\AppData\Local\Ncavitesuzupijaf.bin moved successfully.
========== FILES ==========
C:\Windows\tasks\dd571b80.job moved successfully.
C:\Windows\tasks\GoogleUpdateTaskMachineCore.job moved successfully.
C:\Windows\tasks\GoogleUpdateTaskMachineUA.job moved successfully.
C:\Windows\tasks\Norton Security Scan for Caro.job moved successfully.
========== COMMANDS ==========
HOSTS file reset successfully

[EMPTYTEMP]

User: All Users

User: Caro
->Temp folder emptied: 639958371 bytes
->Temporary Internet Files folder emptied: 100670094 bytes
->Java cache emptied: 9933 bytes
->FireFox cache emptied: 65541130 bytes
->Google Chrome cache emptied: 346587987 bytes
->Opera cache emptied: 13165519 bytes
->Flash cache emptied: 86230 bytes

User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes

User: Gast
->Temp folder emptied: 1594356 bytes
->Temporary Internet Files folder emptied: 1917214 bytes
->Java cache emptied: 877933 bytes
->FireFox cache emptied: 93283626 bytes
->Google Chrome cache emptied: 8921491 bytes
->Flash cache emptied: 2956 bytes

User: Public

%systemdrive% .tmp files removed: 411528605 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 37600889 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 1.642,00 mb

OTL by OldTimer - Version 3.2.22.3 log created on 04072011_133418

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

So...das habe ich getan..nun kommt zumindest schon mal die Windows-Melodie vor der Anmeldung wieder...dafür konnte ich nichts sehen, weil der Monitor schwarz war. Ich habs trotzdem geschafft mich anzumelden, hab aber erst danach wieder etwas auf dem Monitor gesehen.

TDL4 wurde erkannt und entfernt. Bitte Windows neu starten und den TDSS-Killer zur Kontrolle nochmal ausführen - Log posten.

Das wars? Oder muss ich noch etwas machen? Ich danke dir so sehr für deine Hilfe!

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

So..alles erledigt..

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes