Trojaner in Systemdatei – Seite 6

ja starte mal neu

Sollte wieder funzn

juhu!!! schaut alles normal aus! muss nur noch ins internet, er ladet noch.

  hp is ready! 

Geht doch

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von einem der folgenden Download-Spiegel neu herunter:
[indent]BleepingComputer.com  und speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!


Rechtsklick auf das Icon von AVAST in der Taskleiste, Wähle "shields control" (ich weiß den deutschen Ausdruck nicht.
Hier findest Du die Option zum permanenten abstellen. Dies bitte wählen.
 Starte Combofix erneut mit doppelklick und lass es ungestört laufen.

AVAST wieder anstellen bevor du wieder ins Netz gehst.
Poste mir die Logfile

Hab avast auf "avast Schutzsteuerung - für eine Stunde deaktivieren" gestellt, nach dem Neustart ist es trotzdem wieder angegangen. Combofix war grad beim Log erstellen, aber sonst hoffentlich fertig.

Hier das Log:

http://www.file-upload.net/download-2827158/Combofix-neu2.txt.html

Hab avast auf "avast Schutzsteuerung - für eine Stunde deaktivieren" gestellt, nach dem Neustart ist es trotzdem wieder angegangen. Combofix war grad beim Log erstellen, aber sonst hoffentlich fertig

Es gibt einen Grund warum ich sagte permanent

Gefällt mir immernoch nicht :/

Bitte lasse die Dateien aus der Code-Box bei Virustotal überprüfen
C:\windows\explorer.exe
C:\windows\system32\winlogon.exeAlso gehe wie hier beschrieben vor:

• Öffne diese Webseite: virustotal
• Klicke auf "Durchsuchen"
• Suche die Datei auf deinem Rechner--> Doppelklick auf die zu prüfende Datei (oder kopiere den Inhalt ab aus der Codebox)
• "Senden der Datei"
• Warte, bis der Scandurchlauf aller Virenscanner beendet ist
• Auf "Compact" klicken (Links oben zu finden)
• Ein neuer Tab dürfte sich öffnen.
• Den Inhalt  komplett kopieren und hier einfügen

Sollte die Datei als schädlich erkannt werden bitte noch nicht entfernen


Schritt 2

Temp File Cleaner[/color]

Downloade Dir bitte TFC ( von Oldtimer ) und speichere die Datei auf dem Desktop.
Schließe nun alle offenen Programme und trenne Dich von dem Internet.
Doppelklick auf die TFC.exe
Sollte TFC nicht alle Dateien löschen können wird es einen Neustart verlangen. Dies bitte zulassen.


schritt 3

Downloade Dir bitte Malwarebytes

• Installiere das Programm in den vorgegebenen Pfad.
• Denke daran, bei Vista das Programm als Admin zu starten, ansonsten per Doppelklick starten.
• Lasse es online updaten (Reiter Aktualisierungen), sofern sich das Programm bereits auf dem Rechner befand.
• Aktiviere "Quick-Scan durchführen" => Scannen.
• Wenn der Scan beendet ist, klicke auf "Ergebnisse anzeigen".
• Versichere Dich, dass alle Funde markiert sind und drücke "Entferne Auswahl".
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

schritt 4

Downloade OTS.exe und speichere es unbedingt auf Deinem Desktop. Doppelklick auf die OTS.exe
Wenn Dein Anti-Viren-Programm bei OTS Meldung macht, erlaube es.

• Mache einen Haken bei "Scan All Users und Include MD5".
• Kopiere folgenden Text in die Box.

%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
CREATERESTOREPOINT
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /90
%systemroot%\system32\ws2help.dll /md5
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs


• Unter der Box klicke auf den Button.
  Hacke nun folgende Einträge an:
  
  
  • Reg- Active Sub Paths
  • App Paths
  • Approved Shell Extensions
  • Disabled MS Config Items
  • Drivers32
  • NetSvcs
  • File Lop Check
  • File Purity Check
  [indent] Mache währenddessen nichts anderes an dem Rechner.
  Wenn der Scan durchgeführt ist (Scan complete!), öffnet sich der Editor mit dem Logfile.
  Auch zu finden auf dem Desktop ( OTS.txt )[/indent]
• Schließe nun alle laufenden Programme sowie deinen Browser.
• Klicke auf den links oben, um die Untersuchung zu starten

Hänge diese Log bitte hier an, die ist nicht gerade kurz.


schritt 5

Bitte

• alle anderen Scanner gegen Viren, Spyware, usw. deaktivieren,
• keine bestehende Verbindung zu einem Netzwerk/Internet (WLAN nicht vergessen),
• nichts am Rechner arbeiten,
  
• nach jedem Scan der Rechner neu gestarten.
  

[COLOR="Blue"]Gmer scannen lassen[/COLOR]

• Lade Dir Gmer von dieser Seite herunter
  (auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
  
• Alle anderen Programme sollen geschlossen sein.
• Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
  Vista und Win7 User mit Rechtsklick und als Administrator starten.
  
• Sollte sich ein Fenster mit folgender Warnung öffnen:

[indent]WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?[/indent]
Unbedingt auf "No" klicken.

• Entferne rechts den Hacken bei:
  [indent]
  
  • IAT/EAT
  • Alle Festplatten ausser die Systemplatte (normalerweise ist nur C:\ angehackt)
  • Show all (sollte abgehackt sein)
  [/indent]
  
• Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird Gmer beendet.
  

[COLOR="Green"]Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst![/COLOR]


Bitte poste in deiner nächsten Antwort[/color]
Auswertung VT
MBAM Log
OTS Log
Gmer.txt

Sorry, das war dann wohl "dauerhaft deaktivieren." War keine Absicht.

Virustotal (und auch Jotti) haben nicht funktioniert. Bei Virustotal passiert nichts, bei Jotti "Datei ist leer." Wie beim ersten Mal.


Malwarebytes findet keine infizierten Dateien:

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

17.09.2010 14:37:32
mbam-log-2010-09-17 (14-37-32).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 145031
Laufzeit: 13 Minute(n), 56 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


Ich mach jetzt Schritt 4.
 

OTS log:

http://www.file-upload.net/download-2827328/OTS-neu.Txt.html

GMER.log:

http://www.file-upload.net/download-2827469/GMER.log.html

Am Schluss hat er geschrieben:

GMER has found system modification, which might have been caused by ROOTKIT activity.

Aber er hat nicht gefragt ob er einen full system scan machen soll. Es war einfach aus danach.
 

Da sitzt der Hund -.-

schritt 1

Starte bitte OTS.

Kopiere nun folgendes in die Box.

[Kill All Processes]
[Unregister Dlls]
[Registry - Safe List]
< Internet Explorer Settings [HKEY_USERS\S-1-5-21-510437997-2576667222-3079776602-1006\] > ->
YN -> HKEY_USERS\S-1-5-21-510437997-2576667222-3079776602-1006\: SearchURL\\"provider" -> gogl
< Internet Explorer ToolBars [HKEY_USERS\S-1-5-21-510437997-2576667222-3079776602-1006\] > -> HKEY_USERS\S-1-5-21-510437997-2576667222-3079776602-1006\Software\Microsoft\Internet Explorer\Toolbar\
YN -> WebBrowser\\"{C4069E3A-68F1-403E-B40E-20066696354B}" [HKLM] -> Reg Error: Key error. [Reg Error: Key error.]
[Registry - Additional Scans - Safe List]
< HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost > ->
*netsvcs* -> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost\\netsvcs
YY -> tsmdelit -> C:\WINDOWS\System32\dlo1bc.dll
< HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SvcHost > ->
[Files/Folders - Modified Within 30 Days]
NY ->  lsrslt.ini -> C:\WINDOWS\lsrslt.ini
[Alternate Data Streams]
NY -> @Alternate Data Stream - 102 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:430C6D84
NY -> @Alternate Data Stream - 162 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:DFC5A2B2
[Purity]
[Empty Temp Folders]
[EmptyFlash]
[CreateRestorePoint]
[Reboot]

Schließe nun alle laufenden Programme. Speichere offene Dokumente ab.
Klicke auf den Button.

Der Fix dauert nicht lange.


Schritt 2

Starte den Rechner erneut auf und boote in die Wiederherstellungskonsole.

Bei C:\windows:> gib bitte ein
Fixmbr[/color] und drücke Enter
Mit exit startet der Rechner neu


Schritt 3

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes


Schritt 4

Lass Combofix bitte erneut laufen


Bitte poste in deiner nächsten Antwort[/color]
OTS Fix Log
MBRcheck.txt
Combofix.txt

Ok, ich hab Schritt 1 gemacht, OTS, und er hat sofort (mehr oder weniger) neu gestartet. Es gab kein log oder eine txt Datei.

Trotzdem Schritt 2?

komisch aber egal. ja bitte mit schritt 2 weiter machen

Also Schritt 2 weiß ich nicht ob geklappt hat.

MBR Check:

http://www.file-upload.net/download-2827571/MBRCheck_09.17.10_16.40.02.txt.html


Jetzt gleich Combofix?

Nein, wir müssen den MBR gerade biegen.

Hast Du mit dem Laptop irgendeine CD mitbekommen ?
Recovery Console CD von HP oder eine HP Recovery Tools CD

 

Ich glaub schon. Aber ich bin jetzt bei meinen Eltern und das ganze Zeug ist 30 km weck, leider.