| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: NETBOOK vom GVU Trojaner befallenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
02.01.2013, 01:00
| #1 |
 |  NETBOOK vom GVU Trojaner befallen Hallo zusammen und ein frohes neues Jahr! Die böse GVU hat jetzt auch meinen Rechner gesperrt und meine Webcam missbraucht. Ich habe auch schon erfolglos versucht den Rechner im Abgesicherten Modus zu starten. Dieses dämliche GVU Fenster bekomme ich einfach nicht weg. Bei meinem System handelt es sich um ein Netbook (OHNE CD/DVD Laufwerk) mit Windows 7 (64bit glaube ich). Ich hätte die Möglichkeit von einem USB Stick zu starten, weiß aber leider nicht wie man diesen bootfähig erstellen kann. Auf mein Windows habe ich an meinem Netbook leider keinen Zugriff mehr (Strg Alt Entf mit Windows herunterfahren geht noch). Kann mir einer bei diesem Problem mit meinem Netbook (ohne Laufwerk) helfen??? Gruß gvuhasser |
|
02.01.2013, 10:25
| #2 | |
| /// TB-Ausbilder  | NETBOOK vom GVU Trojaner befallen Wir werden es probieren
__________________  Ich werde dir bei deinem Problem helfen. Eine Bereinigung ist mitunter mit viel Arbeit für Dich (und mich) verbunden. Bevor es los geht, habe ich etwas Lesestoff für dich. Gelesen und verstanden? Scan mit Farbar's Recovery Scan Tool (FRST 64bit)
__________________ |
|
02.01.2013, 18:25
| #3 |
| | NETBOOK vom GVU Trojaner befallen Hallo nochmal,
__________________ich bin nicht sehr weit gekommen. Wenn ich h:\frst64.exe eintippte bekomme ich die fehlermeldung, dass diese Version nicht kompatibel ist. Könnte es dann sein, dass ich doch die 32bit Version von Windows installiert habe!? |
|
02.01.2013, 18:33
| #4 |
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen du hast gemeint 64 bit! Scan mit Farbar's Recovery Scan Tool (FRST 32bit)
__________________  Digitale Freibeuter gegen Malware! Keine Hilfe per PM! |
|
02.01.2013, 19:01
| #5 | |
| | NETBOOK vom GVU Trojaner befallen Hat jetzt alles geklappt: Zitat:
|
|
02.01.2013, 19:09
| #6 |
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen Gut, dann ein Fix und dann werden wir alles reparieren: Schritt 1: Fix mit FRST
Schritt 2: Starte normal und berichte.
__________________ --> NETBOOK vom GVU Trojaner befallen |
|
02.01.2013, 19:18
| #7 | |
| | NETBOOK vom GVU Trojaner befallen Schritt 1 ist erledigt. (logfile siehe unten) Schritt 2 NOCH NICHT Zitat:
|
|
02.01.2013, 19:20
| #8 |
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen Aber du hast doch meine Regeln gelesen und verstanden?
__________________ Digitale Freibeuter gegen Malware! Keine Hilfe per PM! |
|
02.01.2013, 19:29
| #9 | |
| | NETBOOK vom GVU Trojaner befallen Eigentlich schon. Was hab ich falsch gemacht??? Wegen Schritt 2? Wollte nichts überstürzen und erstmal das Logfile posten. Neustart hat scheinbar funktioniert hab wohl die folgende Fehlermeldung bekommen: Zitat:
|
|
02.01.2013, 19:40
| #10 | ||
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen Ich hab doch geschrieben, dass wir das jetzt reparieren ... GRRR! Lies was ich schreibe! Schritt 1: Lade dir diese Datei: http://download.bleepingcomputer.com.../7/Winmgmt.reg Doppelklick! Und füge sie zur Registry hinzu. Schritt 2: Neustart Schritt 3: Scan mit Combofix
__________________ Digitale Freibeuter gegen Malware! Keine Hilfe per PM! |
|
02.01.2013, 21:10
| #11 |
| | NETBOOK vom GVU Trojaner befallen Hab die datei zur registry hinzugefügt und einen neustart gemacht. Der rundll fehler ist noch da. Combofix.exe ist heruntergeladen und auf dem desktop. Avira free antivir ist deaktiviert. Combofix ist gestartet und arbeitet. Hat eine Eingabeaufforderung gestartet. Fertiggestellt Stufe_1 - Stufe_6A (momentan) (musste wohl doch zwischendurch mal die maus bewegen, weil es schon in standby geschaltet hat.) nach einer halben ewigkeit war er fertig: Code:
ATTFilter ComboFix 13-01-02.02 - acer 02.01.2013 20:06:08.1.2 - x86
Microsoft Windows 7 Starter 6.1.7601.1.1252.49.1031.18.1013.282 [GMT 1:00]
ausgeführt von:: c:\users\acer\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Outdated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Disabled/Outdated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\FullRemove.exe
D:\install.exe
.
.
((((((((((((((((((((((( Dateien erstellt von 2012-12-02 bis 2013-01-02 ))))))))))))))))))))))))))))))
.
.
2013-01-03 02:56 . 2013-01-03 02:56 -------- d-----w- C:\FRST
2013-01-02 20:01 . 2013-01-02 20:01 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-01-01 22:38 . 2012-12-16 14:13 295424 ----a-w- c:\windows\system32\atmfd.dll
2013-01-01 22:38 . 2012-12-16 14:13 34304 ----a-w- c:\windows\system32\atmlib.dll
2013-01-01 22:29 . 2013-01-01 22:29 -------- d-----w- c:\windows\Sun
2012-12-15 10:05 . 2012-12-15 10:05 -------- d-----w- c:\program files\Common Files\Wise Installation Wizard
2012-12-13 12:14 . 2012-07-26 03:39 526952 ----a-w- c:\windows\system32\drivers\Wdf01000.sys
2012-12-13 12:14 . 2012-07-26 03:39 47720 ----a-w- c:\windows\system32\drivers\WdfLdr.sys
2012-12-13 12:14 . 2012-07-26 02:46 9728 ----a-w- c:\windows\system32\Wdfres.dll
2012-12-13 12:13 . 2012-07-26 02:32 155136 ----a-w- c:\windows\system32\drivers\WUDFRd.sys
2012-12-13 12:13 . 2012-07-26 02:33 66560 ----a-w- c:\windows\system32\drivers\WUDFPf.sys
2012-12-13 12:13 . 2012-07-26 03:20 73216 ----a-w- c:\windows\system32\WUDFSvc.dll
2012-12-13 12:13 . 2012-07-26 03:20 172032 ----a-w- c:\windows\system32\WUDFPlatform.dll
2012-12-13 12:13 . 2012-07-26 03:20 38912 ----a-w- c:\windows\system32\WUDFCoinstaller.dll
2012-12-13 12:13 . 2012-07-26 03:21 196608 ----a-w- c:\windows\system32\WUDFHost.exe
2012-12-13 12:13 . 2012-07-26 03:20 613888 ----a-w- c:\windows\system32\WUDFx.dll
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-12-13 11:56 . 2012-04-15 09:31 697272 ----a-w- c:\windows\system32\FlashPlayerApp.exe
2012-12-13 11:56 . 2011-05-26 04:26 73656 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2012-11-07 14:16 . 2012-11-07 14:16 93672 ----a-w- c:\windows\system32\WindowsAccessBridge.dll
2012-11-07 14:16 . 2012-08-09 11:12 821736 ----a-w- c:\windows\system32\npdeployJava1.dll
2012-11-07 14:16 . 2012-01-22 13:00 746984 ----a-w- c:\windows\system32\deployJava1.dll
2012-10-16 07:39 . 2012-12-01 15:30 561664 ----a-w- c:\windows\apppatch\AcLayers.dll
2012-10-09 17:40 . 2012-12-01 15:29 44032 ----a-w- c:\windows\system32\dhcpcsvc6.dll
2012-10-09 17:40 . 2012-12-01 15:29 193536 ----a-w- c:\windows\system32\dhcpcore6.dll
2012-12-01 10:32 . 2012-12-01 10:32 262112 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2009-10-13 186904]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2010-06-22 9292392]
"Norton Online Backup"="c:\program files\Symantec\Norton Online Backup\NOBuClient.exe" [2010-06-01 966488]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-06-16 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-06-16 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2010-06-16 150552]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2010-02-05 1692968]
"PLFSetI"="c:\windows\PLFSetI.exe" [2010-12-09 206208]
"iSyncData"="c:\program files\Acer\Android Manager\iSync.exe" [2010-01-08 407416]
"AndroidManager"="c:\program files\Acer\Android Manager\AML.exe" [2010-01-08 508280]
"iPatchData"="c:\program files\Acer\Updater\iUpdate.exe" [2010-11-30 489848]
"Acer ePower Management"="c:\program files\Acer\Acer ePower Management\ePowerTray.exe" [2010-06-11 715296]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-04 281768]
"LManager"="c:\program files\Launch Manager\LManager.exe" [2010-06-22 968272]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2012-07-03 252848]
.
c:\users\acer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
runctf.lnk - c:\windows\System32\rundll32.exe [2009-7-14 44544]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
"EnableLUA"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""
.
R2 Ca1528av;SPCA1528 Video Camera Service;c:\windows\system32\Drivers\Ca1528av.sys [x]
R3 BthAudioHF;BthAudioHF-Dienst;c:\windows\system32\DRIVERS\BthAudioHF.sys [x]
R3 btmhsf;btmhsf;c:\windows\system32\DRIVERS\btmhsf.sys [x]
R3 Bulk1528;SPCA1528 Still Camera Service;c:\windows\system32\Drivers\Bulk1528.sys [x]
R3 dc3d;MS Hardware Device Detection Driver (USB);c:\windows\system32\DRIVERS\dc3d.sys [x]
R3 EUCR;EUCR;c:\windows\system32\DRIVERS\EUCR6SK.SYS [x]
R3 HTCAND32;HTC Device Driver;c:\windows\system32\Drivers\ANDROIDUSB.sys [x]
R3 htcnprot;HTC NDIS Protocol Driver;c:\windows\system32\DRIVERS\htcnprot.sys [x]
R3 iBtFltCoex;iBtFltCoex;c:\windows\system32\DRIVERS\iBtFltCoex.sys [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
S2 AAV UpdateService;AAV UpdateService;c:\program files\Akademische Arbeitsgemeinschaft\AAVUpdateManager\aavus.exe [x]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S2 DsiWMIService;Dritek WMI Service;c:\program files\Launch Manager\dsiwmis.exe [x]
S2 ePowerSvc;Acer ePower Service;c:\program files\Acer\Acer ePower Management\ePowerSvc.exe [x]
S2 GREGService;GREGService;c:\program files\Acer\Registration\GREGsvc.exe [x]
S2 HFGService;Handsfree Headset Service;c:\windows\system32\svchost.exe [x]
S2 NOBU;Norton Online Backup;c:\program files\Symantec\Norton Online Backup\NOBuAgent.exe SERVICE [x]
S2 PassThru Service;Internet Pass-Through Service;c:\program files\HTC\Internet Pass-Through\PassThruSvr.exe [x]
S2 TeamViewer7;TeamViewer 7;c:\program files\TeamViewer\Version7\TeamViewer_Service.exe [x]
S2 TomTomHOMEService;TomTomHOMEService;c:\program files\TomTom HOME 2\TomTomHOMEService.exe [x]
S2 Updater Service;Updater Service;c:\program files\Acer\Acer Updater\UpdaterService.exe [x]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation REG_MULTI_SZ SSDPSRV upnphost SCardSvr TBS FontCache fdrespub AppIDSvc QWAVE wcncsvc
bthaudiosvc REG_MULTI_SZ HFGService
GPSvcGroup REG_MULTI_SZ GPSvc
.
Inhalt des "geplante Tasks" Ordners
.
2013-01-02 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-15 11:56]
.
2013-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2012-02-15 18:37]
.
2013-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2012-02-15 18:37]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://homepage.acer.com/rdr.aspx?b=ACAW&l=0407&m=aod255&r=27b51210k405l04g4wwl5w4772u235
mStart Page = hxxp://homepage.acer.com/rdr.aspx?b=ACAW&l=0407&m=aod255&r=27b51210k405l04g4wwl5w4772u235
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.178.1
FF - ProfilePath - c:\users\acer\AppData\Roaming\Mozilla\Firefox\Profiles\yu8udzym.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.amazon.de/gp/feature.html/?ie=UTF8&camp=1638&creative=19454&docId=1000454773&linkCode=ur2&site-redirect=de&tag=konsolenschna-21|hxxp://www.amazon.de/gp/feature.html/ref=bt_atcg_cta/279-7098079-1265022?ie=UTF8&docId=1000669743&ie=UTF8&pf_rd_m=A3JWKAKR8XB7XF&pf_rd_s=center-8&pf_rd_r=0P124MHZ6VD10RP9TDTR&pf_rd_t=101&pf_rd_p=329199267&pf_rd_i=1999371031|hxxp://www.amazon.de/Angebote/b/ref=cs_top_nav_gb27?ie=UTF8&node=872398|hxxp://www.amazon.de/b/ref=amb_link_171474287_1?ie=UTF8&node=1999371031&pf_rd_m=A3JWKAKR8XB7XF&pf_rd_s=special-offers-1&pf_rd_r=0TJ66YRNA7BZVFNB0E7X&pf_rd_t=201&pf_rd_p=325842107&pf_rd_i=B004V70E7C|https://madsrevolution.no-ip.biz/index.php|https://revolutiontt.me//login.php|https://www.blackcats-games.net/index.php|hxxp://dvdschnaeppchen.de/|hxxp://konsolenschnaeppchen.de/|https://tracker.dyndns.ws/
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
Toolbar-Locked - (no file)
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-01-02 21:05:17
ComboFix-quarantined-files.txt 2013-01-02 20:05
.
Vor Suchlauf: 13 Verzeichnis(se), 46.164.393.984 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 46.329.442.304 Bytes frei
.
- - End Of File - - 3CFAD2ADDAF30B5C7F4A1F4628A0A465
Der rundll fehler ist auch noch da. |
|
02.01.2013, 21:28
| #12 | ||
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen Man muss halt gelegentlich geduldig sein Eine Sache möchte ich noch nachsehen. Combofix-Skript
__________________ Digitale Freibeuter gegen Malware! Keine Hilfe per PM! |
|
02.01.2013, 21:56
| #13 |
| | NETBOOK vom GVU Trojaner befallenCode:
ATTFilter ComboFix 13-01-02.02 - acer 02.01.2013 21:39:14.2.2 - x86
Microsoft Windows 7 Starter 6.1.7601.1.1252.49.1031.18.1013.317 [GMT 1:00]
ausgeführt von:: c:\users\acer\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\users\acer\Desktop\CFScript.txt
AV: AntiVir Desktop *Disabled/Outdated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
SP: AntiVir Desktop *Disabled/Outdated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
- REDUZIERTER FUNKTIONALITÄTSMODUS -
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\acer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk
.
.
((((((((((((((((((((((( Dateien erstellt von 2012-12-02 bis 2013-01-02 ))))))))))))))))))))))))))))))
.
.
2013-01-03 02:56 . 2013-01-03 02:56 -------- d-----w- C:\FRST
2013-01-02 20:41 . 2013-01-02 20:41 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-01-01 22:38 . 2012-12-16 14:13 295424 ----a-w- c:\windows\system32\atmfd.dll
2013-01-01 22:38 . 2012-12-16 14:13 34304 ----a-w- c:\windows\system32\atmlib.dll
2013-01-01 22:29 . 2013-01-01 22:29 -------- d-----w- c:\windows\Sun
2012-12-15 10:05 . 2012-12-15 10:05 -------- d-----w- c:\program files\Common Files\Wise Installation Wizard
2012-12-13 12:14 . 2012-07-26 03:39 526952 ----a-w- c:\windows\system32\drivers\Wdf01000.sys
2012-12-13 12:14 . 2012-07-26 03:39 47720 ----a-w- c:\windows\system32\drivers\WdfLdr.sys
2012-12-13 12:14 . 2012-07-26 02:46 9728 ----a-w- c:\windows\system32\Wdfres.dll
2012-12-13 12:13 . 2012-07-26 02:32 155136 ----a-w- c:\windows\system32\drivers\WUDFRd.sys
2012-12-13 12:13 . 2012-07-26 02:33 66560 ----a-w- c:\windows\system32\drivers\WUDFPf.sys
2012-12-13 12:13 . 2012-07-26 03:20 73216 ----a-w- c:\windows\system32\WUDFSvc.dll
2012-12-13 12:13 . 2012-07-26 03:20 172032 ----a-w- c:\windows\system32\WUDFPlatform.dll
2012-12-13 12:13 . 2012-07-26 03:20 38912 ----a-w- c:\windows\system32\WUDFCoinstaller.dll
2012-12-13 12:13 . 2012-07-26 03:21 196608 ----a-w- c:\windows\system32\WUDFHost.exe
2012-12-13 12:13 . 2012-07-26 03:20 613888 ----a-w- c:\windows\system32\WUDFx.dll
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-12-13 11:56 . 2012-04-15 09:31 697272 ----a-w- c:\windows\system32\FlashPlayerApp.exe
2012-12-13 11:56 . 2011-05-26 04:26 73656 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2012-11-07 14:16 . 2012-11-07 14:16 93672 ----a-w- c:\windows\system32\WindowsAccessBridge.dll
2012-11-07 14:16 . 2012-08-09 11:12 821736 ----a-w- c:\windows\system32\npdeployJava1.dll
2012-11-07 14:16 . 2012-01-22 13:00 746984 ----a-w- c:\windows\system32\deployJava1.dll
2012-10-16 07:39 . 2012-12-01 15:30 561664 ----a-w- c:\windows\apppatch\AcLayers.dll
2012-10-09 17:40 . 2012-12-01 15:29 44032 ----a-w- c:\windows\system32\dhcpcsvc6.dll
2012-10-09 17:40 . 2012-12-01 15:29 193536 ----a-w- c:\windows\system32\dhcpcore6.dll
2012-12-01 10:32 . 2012-12-01 10:32 262112 ----a-w- c:\program files\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((((((((((((((((((( Look )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
---- Directory of c:\windows\Sun ----
.
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IAAnotif"="c:\program files\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2009-10-13 186904]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2010-06-22 9292392]
"Norton Online Backup"="c:\program files\Symantec\Norton Online Backup\NOBuClient.exe" [2010-06-01 966488]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2010-06-16 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2010-06-16 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2010-06-16 150552]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2010-02-05 1692968]
"PLFSetI"="c:\windows\PLFSetI.exe" [2010-12-09 206208]
"iSyncData"="c:\program files\Acer\Android Manager\iSync.exe" [2010-01-08 407416]
"AndroidManager"="c:\program files\Acer\Android Manager\AML.exe" [2010-01-08 508280]
"iPatchData"="c:\program files\Acer\Updater\iUpdate.exe" [2010-11-30 489848]
"Acer ePower Management"="c:\program files\Acer\Acer ePower Management\ePowerTray.exe" [2010-06-11 715296]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-04 281768]
"LManager"="c:\program files\Launch Manager\LManager.exe" [2010-06-22 968272]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-07-27 919008]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2012-07-03 252848]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
"EnableLUA"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MCODS]
@=""
.
R2 Ca1528av;SPCA1528 Video Camera Service;c:\windows\system32\Drivers\Ca1528av.sys [x]
R3 BthAudioHF;BthAudioHF-Dienst;c:\windows\system32\DRIVERS\BthAudioHF.sys [x]
R3 btmhsf;btmhsf;c:\windows\system32\DRIVERS\btmhsf.sys [x]
R3 Bulk1528;SPCA1528 Still Camera Service;c:\windows\system32\Drivers\Bulk1528.sys [x]
R3 dc3d;MS Hardware Device Detection Driver (USB);c:\windows\system32\DRIVERS\dc3d.sys [x]
R3 EUCR;EUCR;c:\windows\system32\DRIVERS\EUCR6SK.SYS [x]
R3 HTCAND32;HTC Device Driver;c:\windows\system32\Drivers\ANDROIDUSB.sys [x]
R3 htcnprot;HTC NDIS Protocol Driver;c:\windows\system32\DRIVERS\htcnprot.sys [x]
R3 iBtFltCoex;iBtFltCoex;c:\windows\system32\DRIVERS\iBtFltCoex.sys [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
S2 AAV UpdateService;AAV UpdateService;c:\program files\Akademische Arbeitsgemeinschaft\AAVUpdateManager\aavus.exe [x]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S2 DsiWMIService;Dritek WMI Service;c:\program files\Launch Manager\dsiwmis.exe [x]
S2 ePowerSvc;Acer ePower Service;c:\program files\Acer\Acer ePower Management\ePowerSvc.exe [x]
S2 GREGService;GREGService;c:\program files\Acer\Registration\GREGsvc.exe [x]
S2 HFGService;Handsfree Headset Service;c:\windows\system32\svchost.exe [x]
S2 NOBU;Norton Online Backup;c:\program files\Symantec\Norton Online Backup\NOBuAgent.exe SERVICE [x]
S2 PassThru Service;Internet Pass-Through Service;c:\program files\HTC\Internet Pass-Through\PassThruSvr.exe [x]
S2 TeamViewer7;TeamViewer 7;c:\program files\TeamViewer\Version7\TeamViewer_Service.exe [x]
S2 TomTomHOMEService;TomTomHOMEService;c:\program files\TomTom HOME 2\TomTomHOMEService.exe [x]
S2 Updater Service;Updater Service;c:\program files\Acer\Acer Updater\UpdaterService.exe [x]
S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x86.sys [x]
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation REG_MULTI_SZ SSDPSRV upnphost SCardSvr TBS FontCache fdrespub AppIDSvc QWAVE wcncsvc
bthaudiosvc REG_MULTI_SZ HFGService
GPSvcGroup REG_MULTI_SZ GPSvc
.
Inhalt des "geplante Tasks" Ordners
.
2013-01-02 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-15 11:56]
.
2013-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files\Google\Update\GoogleUpdate.exe [2012-02-15 18:37]
.
2013-01-02 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files\Google\Update\GoogleUpdate.exe [2012-02-15 18:37]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://homepage.acer.com/rdr.aspx?b=ACAW&l=0407&m=aod255&r=27b51210k405l04g4wwl5w4772u235
mStart Page = hxxp://homepage.acer.com/rdr.aspx?b=ACAW&l=0407&m=aod255&r=27b51210k405l04g4wwl5w4772u235
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.178.1
FF - ProfilePath - c:\users\acer\AppData\Roaming\Mozilla\Firefox\Profiles\yu8udzym.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - hxxp://www.amazon.de/gp/feature.html/?ie=UTF8&camp=1638&creative=19454&docId=1000454773&linkCode=ur2&site-redirect=de&tag=konsolenschna-21|hxxp://www.amazon.de/gp/feature.html/ref=bt_atcg_cta/279-7098079-1265022?ie=UTF8&docId=1000669743&ie=UTF8&pf_rd_m=A3JWKAKR8XB7XF&pf_rd_s=center-8&pf_rd_r=0P124MHZ6VD10RP9TDTR&pf_rd_t=101&pf_rd_p=329199267&pf_rd_i=1999371031|hxxp://www.amazon.de/Angebote/b/ref=cs_top_nav_gb27?ie=UTF8&node=872398|hxxp://www.amazon.de/b/ref=amb_link_171474287_1?ie=UTF8&node=1999371031&pf_rd_m=A3JWKAKR8XB7XF&pf_rd_s=special-offers-1&pf_rd_r=0TJ66YRNA7BZVFNB0E7X&pf_rd_t=201&pf_rd_p=325842107&pf_rd_i=B004V70E7C|https://madsrevolution.no-ip.biz/index.php|https://revolutiontt.me//login.php|https://www.blackcats-games.net/index.php|hxxp://dvdschnaeppchen.de/|hxxp://konsolenschnaeppchen.de/|https://tracker.dyndns.ws/
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-01-02 21:44:50
ComboFix-quarantined-files.txt 2013-01-02 20:44
ComboFix2.txt 2013-01-02 20:05
.
Vor Suchlauf: 16 Verzeichnis(se), 46.385.053.696 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 46.342.369.280 Bytes frei
.
- - End Of File - - B00F970BEE61616AD8BD229451889474
|
|
02.01.2013, 22:01
| #14 | |
| /// TB-Ausbilder | NETBOOK vom GVU Trojaner befallen Das leere Verzeichnis: Directory of c:\windows\Sun kannst du löschen. Gut!  Soweit ich das sehe haben wir damit alles Schädliche entfernt. Um sicher sein zu können müssen jetzt noch ein paar Kontrollen machen und werden dann deinen Computer noch auf einen sicheren Stand bringen. Da diese Scans jetzt sehr lange dauern können bitte ich dich mir erst wieder zu schreiben, wenn du auch wirklich alles erledigt hast oder Probleme auftreten sollten. Schritt 1: Quick-Scan mit Malwarebytes Schritt 2: ESET Online Scanner Zitat:
Schritt 3: Scan mit SecurityCheck Downloade Dir bitte SecurityCheck: LINK1 LINK2
__________________ Digitale Freibeuter gegen Malware! Keine Hilfe per PM! |
|
03.01.2013, 08:09
| #15 |
| | NETBOOK vom GVU Trojaner befallen Guten Morgen, das hat mal wirklich sehr lange gedauert... zu Schritt 1: Quick-Scan mit Malwarebytes Nachdem der Scann beendet war hatte ich keine Möglichkeit irgendwas auszuwählen, weil sich direkt das folgende Logfile geöffnet hat: Code:
ATTFilter Malwarebytes Anti-Malware (Test) 1.70.0.1100 www.malwarebytes.org Datenbank Version: v2013.01.02.10 Windows 7 Service Pack 1 x86 NTFS Internet Explorer 9.0.8112.16421 acer :: ACER-PC [Administrator] Schutz: Aktiviert 02.01.2013 22:13:31 mbam-log-2013-01-02 (22-13-31).txt Art des Suchlaufs: Quick-Scan Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 198545 Laufzeit: 8 Minute(n), 14 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) Zu Schritt 2: ESET Online Scanner Alles lief nach Plan mit dem folgenden Ergebnis: Code:
ATTFilter C:\Dokumente und Einstellungen\acer\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\30\1ede2ede-3711f818 a variant of Win32/Reveton.O.Gen trojan
C:\FRST\Quarantine\dsgsdgdsgdsgw.js JS/Agent.NID trojan
C:\FRST\Quarantine\wgsdgsdgdsgsd.dll a variant of Win32/Reveton.O.Gen trojan
C:\Qoobox\Quarantine\C\Users\acer\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\runctf.lnk.vir Win32/Reveton.M trojan
C:\Users\acer\AppData\LocalLow\Sun\Java\Deployment\cache\6.0\30\1ede2ede-3711f818 a variant of Win32/Reveton.O.Gen trojan
Zu Schritt 3: Scan mit SecurityCheck Code:
ATTFilter Results of screen317's Security Check version 0.99.56 Windows 7 Service Pack 1 x86 (UAC is disabled!) Internet Explorer 9 ``````````````Antivirus/Firewall Check:`````````````` AntiVir Desktop WMI entry may not exist for antivirus; attempting automatic update. Avira successfully updated! `````````Anti-malware/Other Utilities Check:````````` Malwarebytes Anti-Malware Version 1.70.0.1100 Java(TM) 6 Update 35 Java 7 Update 9 Java(TM) SE Development Kit 6 Update 30 Java DB 10.6.2.1 Adobe Flash Player 11.5.502.135 Adobe Reader 10.1.4 Adobe Reader out of Date! Mozilla Firefox (17.0.1) ````````Process Check: objlist.exe by Laurent```````` Malwarebytes Anti-Malware mbamservice.exe Malwarebytes Anti-Malware mbamgui.exe Malwarebytes Anti-Malware mbam.exe Avira Antivir avgnt.exe Avira Antivir avguard.exe Malwarebytes' Anti-Malware mbamscheduler.exe Symantec Norton Online Backup NOBuAgent.exe `````````````````System Health check````````````````` Total Fragmentation on Drive C: ````````````````````End of Log`````````````````````` |
|
| Themen zu NETBOOK vom GVU Trojaner befallen |
| abgesicherten, befallen, einfach, erstellen, fenster, frohes, gesperrt, hallo zusammen, herunterfahren, laufwerk, modus, neues, problem, rechner, stick, strg, system, trojaner, usb, usb stick, webcam, windows, windows 7, zugriff, zusammen |
+ R Taste und schreibe notepad in das Ausführen Fenster.
Button.
und dann 
