Trojaner in Systemdatei – Seite 2

@campina

Wenn ich das hier sehe wundert mich nichts mehr.

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 13:33:20, on 15.09.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Wann hast Du deinen letzten Besuch bei Microsoft?

Sollte dein PC jemals nach diesem Theater wieder laufen, ist meine Empfehlung alles auf den neusten Stand bringen.
Dazu gehört auch der IE 8 und SP3.
Viel Spaß bei der jetzigen Arbeit.

Burgeule

Nein, leider bisher keine Verbesserung.

Hier die Links:


http://www.file-upload.net/download-2822857/Extras.Txt.html

http://www.file-upload.net/download-2822863/OTL.Txt.html

• Starte bitte die OTL.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Kopiere nun den Inhalt in die   Textbox.

:processes
killallprocesses

:OTL
O4 - HKLM..\RunOnce: [combofix] C:\ComboFix\CF29424.cfx File not found
O4 - HKLM..\RunOnceEx: [flags] Reg Error: Invalid data type. File not found
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
[2010.07.25 23:53:40 | 000,000,150 | ---- | C] () -- C:\zrpt.xml

:services
:files
C:\Windows\explorer.exe | C:\WINDOWS\system32\dllcache\explorer.exe /replace

:reg
:Commands
[purity]
[emptytemp]
[reboot]


• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• Klick auf .
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.

( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)
Kopiere nun den Inhalt hier in Deinen Thread[/list]


Windows CD vorhanden ?

Berichte wie der Rechner läuft

neuer Stand:
Ich habe wieder einen Desktop mit Taskleiste und Startmenü, juhu!!!
Das Virenprogramm funktioniert allerdings nicht mehr, und Spyware Doctor meldet einige Infizierungen (der hat automatisch gescannt), immer noch Backdoor.Tidserv.

Das Textdokument von OTL beinhaltete folgendes:

All processes killed
========== PROCESSES ==========
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce\\combofix deleted successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnceEx\\flags deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Policies\Microsoft\Internet Explorer\Restrictions\ deleted successfully.
Registry key HKEY_CURRENT_USER\Software\Policies\Microsoft\Internet Explorer\Control Panel\ deleted successfully.
C:\zrpt.xml moved successfully.
========== SERVICES/DRIVERS ==========
========== FILES ==========
File C:\Windows\explorer.exe successfully replaced with C:\WINDOWS\system32\dllcache\explorer.exe
========== REGISTRY ==========
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: All Users
 
User: Berni
->Temp folder emptied: 414226 bytes
->Temporary Internet Files folder emptied: 648384 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 40392396 bytes
->Google Chrome cache emptied: 0 bytes
->Flash cache emptied: 3356 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32902 bytes
 
User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33530 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 4141056 bytes
%systemroot%\System32 .tmp files removed: 2951 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 32768 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 44,00 mb
 
 
OTL by OldTimer - Version 3.2.12.0 log created on 09152010_174359

achja, ich habe keine eigene Windows CD aber eine HP Back-up CD, da ist das Betriebssystem drauf soweit ich weiß.

Außerdem hat nun ComboFix wohl erst den Scan beendet und mir ein neues Textdokument geöffnet.

Ich hab es hochgeladen:

http://www.file-upload.net/download-2823049/combofix-neu.txt.html

Wie auch immer das ausgeht, echt DANKE für eure Hilfe.

Schon mal gut. Spyware Doc kannste mal knicken

Kannst DU bitte TDSS Killer erneut laufen lassen.
Wenn nicht gehe zu schritt 2


Schritt 2

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von einem der folgenden Download-Spiegel neu herunter:
[indent]BleepingComputer.com  und speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!


Stelle bitte temporär alle Hintergrundwächter ab. Starte Combofix erneut mit doppelklick und lass es ungestört laufen.


Poste mir bitte erneut die Logfile

von TDSS Killer sagt er hat nix gefunden, Combofix kommt gleich.

hier der link zur Textdatei:

http://www.file-upload.net/download-2823263/TDSSKiller.2.4.2.1_15.09.2010_19.05.59_log.txt.html

Status-update:
Nach dem automatischen Neustart durch Combofix waren Desktop und Startmenü, ect wieder weg. Nach erneutem manuellen Neustart sind sie wieder zurück. Antivirus avast hat sich leider trotz Deaktivierung (dachte ich jedenfalls) 2 mal eingemischt.

Link zum Combofix Log:

http://www.file-upload.net/download-2823372/log.txt.html

Hy da ist was im argen.

richt dich schonmal das wir einen USB Stick brauchen.

[COLOR="Blue"]Hinweis für Mitleser:[/COLOR]
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von einem der folgenden Download-Spiegel neu herunter:
[indent]BleepingComputer.com - ForoSpyware.com[/indent] und speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> Notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

entfernt

Speichere dies als CFScript.txt auf Deinem Desktop.

[COLOR="Red"]Wichtig:[/color]

• Stelle deine Anti Viren Software temprär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.

Danach wieder anstellen nicht vergessen!

• Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.

Dies kann dazu führen, dass ComboFix sich aufhängt.

• Schließe alle laufenden Programme. Gehe sicher das ComboFix ungehindert arbeiten kann.
• Mache nichts am PC solange ComboFix läuft.

• In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
• Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.


schritt 2

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
c:\windows\Temp\explorer.datAlso gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Compact" klicken (Links oben zu finden)
• Ein neuer Tab dürfte sich öffnen.
• Den Inhalt  komplett kopieren und hier einfügen

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen


Schritt 3

Rootkit Unhooker[/B]

Downloade Dir bitte RKUnhookerLE[/B]
und speichere die Datei auf deinem Desktop.

• Deaktiviere alle Hintergrundwächter. Besonders den deiner Anti Virensoftware.
• Starte die RKUnhookerLE.exe
• Klicke auf den Report Tab und danach auf Scan
• Setze ein Häckchen bei[indent]
  Drivers
  • Stealth Code
  • Files
  • Code Hooks
  Entferne alle anderen Hacken
  [/indent]
• Wenn Du gefragt wirst welcher Bereich gescannt werden soll, gehe sicher das deine Systemplatte ( meistens C: ) angehackt ist.
• Klicke OK
• Wenn der Scan beendet wurde [indent]File --> Save Report[/indent] klicken.
• Speichere die Datei als RKU.txt[/color] auf dem Desktop.
• Klicke Close

Hinweis: Solltest Du folgende Warnung bekommen

"Rootkit Unhooker has detected a parasite inside itself!
It is recommended to remove parasite, okay?"

Klicke auf OK


Bitte poste in deiner nächsten Antwort[/color]
Combofix.txt
Auswertung VT
Report.txt

Das log hat sich nicht von selbst geöffnet und es steht nur das drin: (Schritt 2 mach ich gleich)


ComboFix 10-09-14.05 - Berni 15.09.2010  20:21:05.3.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.49.1031.18.1015.499 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Berni\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: C:\Dokumente und Einstellungen\Berni\Desktop\CFScript.txt
AV: avast! Antivirus *On-access scanning disabled* (Updated) {7591DB91-41F0-48A3-B128-1A293FD8233D}
AV: AVG Anti-Virus Free *On-access scanning disabled* (Outdated) {17DDD097-36FF-435F-9E1B-52D74245D6BF}
.
 

Zu Schritt 2:
Auf meinem Computer gibt es leider diese Datei nicht. Auch wenn ich den Code hineinkopiere kommt "Datei konnte nicht gefunden werden." Soll ich trotzdem Schritt 3 machen?

HM cf sagt die ist da

start --> ausführen --> notepad (reinschreiben)
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

@echo off
cd \
dir /a /s /b explorer.* > "%temp%\look.txt"
notepad "%temp%\look.txt"
del %0

Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklich auf die file.bat, poste mir den Inhalt des Textdokuments.
Vista- User: Mit Rechtsklick "als Administrator starten"


Poste mir die look.txt samt der report.txt

von combofix kam nichts.

look.txt:

C:\ComboFix\explorer.exe.ND_
C:\I386\EXPLORER.EX_
C:\I386\EXPLORER.SC_
C:\Qoobox\Quarantine\C\WINDOWS\explorer.exe.vir
C:\WINDOWS\explorer.exe
C:\WINDOWS\explorer.scf
C:\WINDOWS\Prefetch\EXPLORER.EXE-082F38A9.pf
C:\WINDOWS\SoftwareDistribution\Download\a746b2abbbec3e139e29152ba22decd1\explorer.exe

mach mit rkunhooker weiter.