| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: wie den GVU-Trojaner loswerden?Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
16.01.2013, 00:56
| #1 |
 |  wie den GVU-Trojaner loswerden? hey leute, habe mir auch den gvu trojaner eingefangen. bei dem sperrbildschirm habe ich dann erstmal den rechner per powerknopf ausgemacht und kam dann durch abbrechen des herunterfahrens vom sperrbildschirm auf den desktop. habe gvu gegoogelt und bin über deren seite auf dieses forum gestoßen. habe jetzt defogger, OTL und GMER laufen lassen. kann schonmal vorwerg sagen, dass der trojaner noch da ist, da der sperrbildschirm bei neustart wieder erschien und ich wie oben beschrieben auf den desktop gelangt bin um jetzt hier ins forum zu schreiben. defogger lief problemlos, OTL gab jedoch schon schwierigkeiten: es wurde keine Extra.txt datei angefertigt. füge euch mal die OTL.txt und die Gmer.txt hinzu und hoffe, dass ihr mir helfen könnt. bin wirklich ahnungslos auf dem gebiet. PS: bevor der anschein entsteht: die download-dateien von far cry 3 sind legal, habe das spiel über den ubishop erstanden und dort ist der download nunmal merkwürdig (AMD verteilte bei aktuellen grafikkarten codes für das spiel, habe die HD7870) PPS: wäre das formatieren der festplatte auch eine option, den virus loszuwerden? wenn ja, könnte ich dann trotzdem ein backup von manchen dateien (z.B. ein Steam Backup) auf eine externe festplatte machen, ohne den virus "mitzuschleppen"? denn wenn ja, wäre das formatieren garnicht mal so schlimm für mich. habe den rechner keine 3 monate, es wäre also nicht besonders viel arbeit, den neu einzurichten, windows cd habe ich hier ja schließlich liegen. OTL: PHP-Code: Gmer.txt : PHP-Code: hoffe mir kann geholfen werden  mfg helge |
|
16.01.2013, 14:43
| #2 |
| /// Malware-holic   | wie den GVU-Trojaner loswerden? hi
__________________möchte mir gern was ansehen, dann sage ich dir, ob das formatieren nötig ist dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user. wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts. • Starte bitte die OTL.exe • Kopiere nun das Folgende in die Textbox. Code:
ATTFilter :OTL
O4*-*HKCU..\Run:*[Foged]*C:\Users\Helge\AppData\Roaming\Gytodi\isomi.exe*(Microsoft*Corporation)
[2013.01.15*22:19:42*|*000,002,890*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.js
[2013.01.15*22:19:42*|*000,001,049*|*----*|*C]*()*--*C:\Users\Helge\AppData\Roaming\Microsoft\Windows\Start*Menu\Programs\Startup\runctf.lnk
[2013.01.15*22:19:42*|*000,000,159*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.reg
[2013.01.15*22:19:42*|*000,000,066*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.bat
[2013.01.15*22:19:41*|*095,023,320*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.pad
[2013.01.12*19:22:48*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Esixiw
[2013.01.15*22:23:00*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Aknu
:Files
C:\Users\Helge\AppData\Roaming\Gytodi
:Commands
[EMPTYFLASH]
[emptytemp]
• Schliesse bitte nun alle Programme. • Klicke nun bitte auf den Fix Button. • OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen. • Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren. starte in den normalen modus. falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang in den Thread posten! Drücke bitte die  + E Taste.
__________________ |
|
16.01.2013, 15:05
| #3 |
| | wie den GVU-Trojaner loswerden? soll ich die sachen im abgesicherten modus ausführen oder im normalen windows. hab grad den rechner gestartet und der sperrbildschirm ist nicht erschienen.
__________________wollte den letzten beitrag editieren, war aber leider schon zu spät. also der upload des zip-ordners hat geklappt und hier ist der inhalt der OTL-textdatei: Code:
ATTFilter All processes killed
========== OTL ==========
File 13.01.15*22:19:42*|*000,002,890*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.js not found.
File 13.01.15*22:19:42*|*000,001,049*|*----*|*C]*()*--*C:\Users\Helge\AppData\Roaming\Microsoft\Windows\Start*Menu\Programs\Startup\runctf.lnk not found.
File 13.01.15*22:19:42*|*000,000,159*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.reg not found.
File 13.01.15*22:19:42*|*000,000,066*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.bat not found.
File 13.01.15*22:19:41*|*095,023,320*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.pad not found.
Folder 13.01.12*19:22:48*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Esixiw\ not found.
Folder 13.01.15*22:23:00*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Aknu\ not found.
========== COMMANDS ==========
[EMPTYFLASH]
User: All Users
User: Default
User: Default User
User: Helge
->Flash cache emptied: 0 bytes
User: Public
Total Flash Files Cleaned = 0,00 mb
[EMPTYTEMP]
User: All Users
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Helge
->Temp folder emptied: 10185466973 bytes
->Temporary Internet Files folder emptied: 3892337935 bytes
->Java cache emptied: 741924 bytes
->Google Chrome cache emptied: 403442803 bytes
->Flash cache emptied: 0 bytes
User: Public
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 301475745 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 36098458 bytes
RecycleBin emptied: 1204224 bytes
Total Files Cleaned = 14.134,00 mb
OTL by OldTimer - Version 3.2.69.0 log created on 01162013_155301
Files\Folders moved on Reboot...
C:\Users\Helge\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
PendingFileRenameOperations files...
Registry entries deleted on Reboot...
achja, muss man eigentlich wenn alles fertig ist nochmal was mit dem defogger machen? hab mich direkt gefragt, wozu der gut war, da der ja kein logfile oder so erstellt hat was ich hier posten musste. |
|
16.01.2013, 17:07
| #4 |
| /// Malware-holic | wie den GVU-Trojaner loswerden? hi das hat irgendwie nicht geklappt, noch mal alles aus der codebox in otl einfügen, otl ausführen,upload noch mal machen und log bitte posten
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
16.01.2013, 18:32
| #5 |
| | wie den GVU-Trojaner loswerden? upload hat geklapt und hier nochmal der log: Code:
ATTFilter All processes killed
========== OTL ==========
File 13.01.15*22:19:42*|*000,002,890*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.js not found.
File 13.01.15*22:19:42*|*000,001,049*|*----*|*C]*()*--*C:\Users\Helge\AppData\Roaming\Microsoft\Windows\Start*Menu\Programs\Startup\runctf.lnk not found.
File 13.01.15*22:19:42*|*000,000,159*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.reg not found.
File 13.01.15*22:19:42*|*000,000,066*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.bat not found.
File 13.01.15*22:19:41*|*095,023,320*|*----*|*C]*()*--*C:\ProgramData\dsgsdgdsgdsgw.pad not found.
Folder 13.01.12*19:22:48*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Esixiw\ not found.
Folder 13.01.15*22:23:00*|*000,000,000*|*---D*|*M]*--*C:\Users\Helge\AppData\Roaming\Aknu\ not found.
========== COMMANDS ==========
[EMPTYFLASH]
User: All Users
User: Default
User: Default User
User: Helge
->Flash cache emptied: 0 bytes
User: Public
Total Flash Files Cleaned = 0,00 mb
[EMPTYTEMP]
User: All Users
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
User: Helge
->Temp folder emptied: 10306 bytes
->Temporary Internet Files folder emptied: 37427 bytes
->Java cache emptied: 0 bytes
->Google Chrome cache emptied: 30338947 bytes
->Flash cache emptied: 0 bytes
User: Public
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 0 bytes
RecycleBin emptied: 2382 bytes
Total Files Cleaned = 29,00 mb
OTL by OldTimer - Version 3.2.69.0 log created on 01162013_182727
Files\Folders moved on Reboot...
C:\Users\Helge\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
PendingFileRenameOperations files...
Registry entries deleted on Reboot...
|
|
16.01.2013, 19:00
| #6 | |
| /// Malware-holic | wie den GVU-Trojaner loswerden? hi combofix: Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!Downloade dir bitte Combofix von einem dieser Downloadspiegel Link 1 Link 2 WICHTIG - Speichere Combofix auf deinem Desktop
Wenn Combofix fertig ist, wird es eine Logfile erstellen. Bitte poste die C:\Combofix.txt in deiner nächsten Antwort. Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten Zitat:
__________________ --> wie den GVU-Trojaner loswerden? |
|
16.01.2013, 19:15
| #7 |
| | wie den GVU-Trojaner loswerden? hier das ergebnis vom combofix: Code:
ATTFilter ComboFix 13-01-16.01 - Helge 16.01.2013 19:07:02.1.4 - x64
Microsoft Windows 7 Home Premium 6.1.7601.1.1252.49.1031.18.8087.6518 [GMT 1:00]
ausgeführt von:: c:\users\Helge\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
* Neuer Wiederherstellungspunkt wurde erstellt
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\programdata\dsgsdgdsgdsgw.pad
c:\users\Helge\AppData\Roaming\Gytodi
c:\users\Helge\AppData\Roaming\Gytodi\isomi.exe
.
.
((((((((((((((((((((((( Dateien erstellt von 2012-12-16 bis 2013-01-16 ))))))))))))))))))))))))))))))
.
.
2013-01-16 18:09 . 2013-01-16 18:09 -------- d-----w- c:\users\Default\AppData\Local\temp
2013-01-16 14:53 . 2013-01-16 17:31 -------- d-----w- C:\_OTL
2013-01-15 21:19 . 2013-01-15 21:19 66 ----a-w- c:\programdata\dsgsdgdsgdsgw.bat
2013-01-15 21:19 . 2013-01-15 21:19 2890 ----a-w- c:\programdata\dsgsdgdsgdsgw.js
2013-01-15 21:19 . 2013-01-15 21:19 159 ----a-w- c:\programdata\dsgsdgdsgdsgw.reg
2013-01-12 18:22 . 2013-01-15 21:23 -------- d-----w- c:\users\Helge\AppData\Roaming\Aknu
2013-01-12 18:22 . 2013-01-12 18:22 -------- d-----w- c:\users\Helge\AppData\Roaming\Esixiw
2013-01-06 14:10 . 2013-01-06 14:10 -------- d-----w- c:\users\Helge\AppData\Local\The Witcher 2
2012-12-23 15:59 . 2013-01-15 20:01 -------- d-----w- c:\users\Helge\AppData\Roaming\Skype
2012-12-23 15:59 . 2012-12-23 15:59 -------- d-----w- c:\program files (x86)\Common Files\Skype
2012-12-23 15:59 . 2012-12-23 15:59 -------- d-----r- c:\program files (x86)\Skype
2012-12-23 15:59 . 2012-12-23 15:59 -------- d-----w- c:\programdata\Skype
2012-12-21 19:14 . 2012-12-16 17:11 46080 ----a-w- c:\windows\system32\atmlib.dll
2012-12-21 19:14 . 2012-12-16 14:45 367616 ----a-w- c:\windows\system32\atmfd.dll
2012-12-21 19:14 . 2012-12-16 14:13 295424 ----a-w- c:\windows\SysWow64\atmfd.dll
2012-12-21 19:14 . 2012-12-16 14:13 34304 ----a-w- c:\windows\SysWow64\atmlib.dll
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-01-10 12:15 . 2012-11-03 02:30 74248 ----a-w- c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2013-01-10 12:15 . 2012-11-03 02:30 697864 ----a-w- c:\windows\SysWow64\FlashPlayerApp.exe
2013-01-04 16:12 . 2012-11-29 15:14 281688 ----a-w- c:\windows\SysWow64\PnkBstrB.xtr
2013-01-04 16:12 . 2012-11-29 14:59 281688 ----a-w- c:\windows\SysWow64\PnkBstrB.exe
2013-01-03 15:57 . 2012-11-29 14:59 281688 ----a-w- c:\windows\SysWow64\PnkBstrB.ex0
2012-12-11 16:51 . 2012-11-03 02:40 99912 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2012-12-11 16:51 . 2012-11-03 02:40 129216 ----a-w- c:\windows\system32\drivers\avipbb.sys
2012-12-02 08:31 . 2012-04-06 01:34 5626536 ----a-w- c:\windows\SysWow64\atiumdag.dll
2012-12-02 08:29 . 2012-12-02 08:29 11270656 ----a-w- c:\windows\system32\drivers\atikmdag.sys
2012-12-02 08:17 . 2012-12-02 08:17 23455744 ----a-w- c:\windows\system32\atio6axx.dll
2012-12-02 08:00 . 2012-12-02 08:00 163840 ----a-w- c:\windows\system32\atiapfxx.exe
2012-12-02 07:59 . 2012-11-15 17:47 70144 ----a-w- c:\windows\system32\coinst_9.01.8.dll
2012-12-02 07:58 . 2012-12-02 07:58 51200 ----a-w- c:\windows\system32\aticalrt64.dll
2012-12-02 07:58 . 2012-12-02 07:58 46080 ----a-w- c:\windows\SysWow64\aticalrt.dll
2012-12-02 07:58 . 2012-12-02 07:58 44544 ----a-w- c:\windows\system32\aticalcl64.dll
2012-12-02 07:58 . 2012-12-02 07:58 44032 ----a-w- c:\windows\SysWow64\aticalcl.dll
2012-12-02 07:58 . 2012-12-02 07:58 16082944 ----a-w- c:\windows\system32\aticaldd64.dll
2012-12-02 07:57 . 2012-12-02 07:57 18979328 ----a-w- c:\windows\SysWow64\atioglxx.dll
2012-12-02 07:54 . 2012-12-02 07:54 13703168 ----a-w- c:\windows\SysWow64\aticaldd.dll
2012-12-02 07:50 . 2012-04-06 02:21 949248 ----a-w- c:\windows\SysWow64\aticfx32.dll
2012-12-02 07:48 . 2012-04-06 02:20 1137664 ----a-w- c:\windows\system32\aticfx64.dll
2012-12-02 07:46 . 2012-12-02 07:46 6684672 ----a-w- c:\windows\SysWow64\atidxx32.dll
2012-12-02 07:41 . 2012-12-02 07:41 4674048 ----a-w- c:\windows\system32\atiumd6a.dll
2012-12-02 07:37 . 2012-12-02 07:37 442368 ----a-w- c:\windows\system32\atidemgy.dll
2012-12-02 07:37 . 2012-12-02 07:37 548864 ----a-w- c:\windows\system32\atieclxx.exe
2012-12-02 07:36 . 2012-12-02 07:36 240640 ----a-w- c:\windows\system32\atiesrxx.exe
2012-12-02 07:35 . 2012-12-02 07:35 120320 ----a-w- c:\windows\system32\atitmm64.dll
2012-12-02 07:35 . 2012-12-02 07:35 21504 ----a-w- c:\windows\system32\atimuixx.dll
2012-12-02 07:35 . 2012-12-02 07:35 59392 ----a-w- c:\windows\system32\atiedu64.dll
2012-12-02 07:35 . 2012-12-02 07:35 43520 ----a-w- c:\windows\SysWow64\ati2edxx.dll
2012-12-02 07:29 . 2012-04-06 01:22 3862528 ----a-w- c:\windows\SysWow64\atiumdva.dll
2012-12-02 07:29 . 2012-04-06 01:54 7378944 ----a-w- c:\windows\system32\atidxx64.dll
2012-12-02 07:24 . 2012-12-02 07:24 6781440 ----a-w- c:\windows\system32\atiumd64.dll
2012-12-02 07:18 . 2012-12-02 07:18 79360 ----a-w- c:\windows\system32\amdave64.dll
2012-12-02 07:18 . 2012-12-02 07:18 78336 ----a-w- c:\windows\SysWow64\amdave32.dll
2012-12-02 07:18 . 2012-12-02 07:18 74240 ----a-w- c:\windows\system32\atisamu64.dll
2012-12-02 07:18 . 2012-12-02 07:18 71168 ----a-w- c:\windows\SysWow64\atisamu32.dll
2012-12-02 07:17 . 2012-12-02 07:17 56320 ----a-w- c:\windows\system32\atimpc64.dll
2012-12-02 07:17 . 2012-12-02 07:17 56320 ----a-w- c:\windows\system32\amdpcom64.dll
2012-12-02 07:17 . 2012-12-02 07:17 56832 ----a-w- c:\windows\SysWow64\atimpc32.dll
2012-12-02 07:17 . 2012-12-02 07:17 56832 ----a-w- c:\windows\SysWow64\amdpcom32.dll
2012-12-02 07:14 . 2012-12-02 07:14 53248 ----a-w- c:\windows\system32\drivers\ati2erec.dll
2012-12-02 07:14 . 2012-04-06 01:11 619008 ----a-w- c:\windows\system32\atiadlxx.dll
2012-12-02 07:14 . 2012-12-02 07:14 421888 ----a-w- c:\windows\SysWow64\atiadlxy.dll
2012-12-02 07:13 . 2012-12-02 07:13 17920 ----a-w- c:\windows\system32\atig6pxx.dll
2012-12-02 07:13 . 2012-12-02 07:13 14848 ----a-w- c:\windows\SysWow64\atiglpxx.dll
2012-12-02 07:13 . 2012-12-02 07:13 14848 ----a-w- c:\windows\system32\atiglpxx.dll
2012-12-02 07:13 . 2012-12-02 07:13 41984 ----a-w- c:\windows\system32\atig6txx.dll
2012-12-02 07:13 . 2012-12-02 07:13 33280 ----a-w- c:\windows\SysWow64\atigktxx.dll
2012-12-02 07:13 . 2012-12-02 07:13 546816 ----a-w- c:\windows\system32\drivers\atikmpag.sys
2012-12-02 07:11 . 2012-04-06 01:09 130048 ----a-w- c:\windows\system32\atiuxp64.dll
2012-12-02 07:11 . 2012-12-02 07:11 109568 ----a-w- c:\windows\SysWow64\atiuxpag.dll
2012-12-02 07:11 . 2012-12-02 07:11 104448 ----a-w- c:\windows\system32\atiu9p64.dll
2012-12-02 07:11 . 2012-04-06 01:09 83968 ----a-w- c:\windows\SysWow64\atiu9pag.dll
2012-11-30 04:45 . 2013-01-09 18:43 44032 ----a-w- c:\windows\apppatch\acwow64.dll
2012-11-29 14:59 . 2012-11-29 14:59 76888 ----a-w- c:\windows\SysWow64\PnkBstrA.exe
2012-11-27 17:57 . 2012-11-27 17:57 127034 ------r- c:\windows\bwUnin-8.1.1.50-8876480SL.exe
2012-11-15 12:10 . 2012-11-15 12:10 222720 ----a-w- c:\windows\system32\clinfo.exe
2012-11-15 12:10 . 2012-11-15 12:10 76288 ----a-w- c:\windows\system32\OpenVideo64.dll
2012-11-15 12:10 . 2012-11-15 12:10 65536 ----a-w- c:\windows\SysWow64\OpenVideo.dll
2012-11-15 12:10 . 2012-11-15 12:10 64512 ----a-w- c:\windows\system32\OVDecode64.dll
2012-11-15 12:10 . 2012-11-15 12:10 56320 ----a-w- c:\windows\SysWow64\OVDecode.dll
2012-11-15 12:09 . 2012-11-15 12:09 34523136 ----a-w- c:\windows\system32\amdocl64.dll
2012-11-15 12:05 . 2012-11-15 12:05 28737536 ----a-w- c:\windows\SysWow64\amdocl.dll
2012-11-15 12:01 . 2012-11-15 12:01 54784 ----a-w- c:\windows\system32\OpenCL.dll
2012-11-15 12:01 . 2012-11-15 12:01 50176 ----a-w- c:\windows\SysWow64\OpenCL.dll
2012-11-14 07:06 . 2012-12-13 00:46 17811968 ----a-w- c:\windows\system32\mshtml.dll
2012-11-14 06:32 . 2012-12-13 00:46 10925568 ----a-w- c:\windows\system32\ieframe.dll
2012-11-14 06:11 . 2012-12-13 00:46 2312704 ----a-w- c:\windows\system32\jscript9.dll
2012-11-14 06:04 . 2012-12-13 00:46 1346048 ----a-w- c:\windows\system32\urlmon.dll
2012-11-14 06:04 . 2012-12-13 00:46 1392128 ----a-w- c:\windows\system32\wininet.dll
2012-11-14 06:02 . 2012-12-13 00:46 1494528 ----a-w- c:\windows\system32\inetcpl.cpl
2012-11-14 06:02 . 2012-12-13 00:46 237056 ----a-w- c:\windows\system32\url.dll
2012-11-14 05:59 . 2012-12-13 00:46 85504 ----a-w- c:\windows\system32\jsproxy.dll
2012-11-14 05:58 . 2012-12-13 00:46 816640 ----a-w- c:\windows\system32\jscript.dll
2012-11-14 05:57 . 2012-12-13 00:46 599040 ----a-w- c:\windows\system32\vbscript.dll
2012-11-14 05:57 . 2012-12-13 00:46 173056 ----a-w- c:\windows\system32\ieUnatt.exe
2012-11-14 05:55 . 2012-12-13 00:46 2144768 ----a-w- c:\windows\system32\iertutil.dll
2012-11-14 05:55 . 2012-12-13 00:46 729088 ----a-w- c:\windows\system32\msfeeds.dll
2012-11-14 05:53 . 2012-12-13 00:46 96768 ----a-w- c:\windows\system32\mshtmled.dll
2012-11-14 05:52 . 2012-12-13 00:46 2382848 ----a-w- c:\windows\system32\mshtml.tlb
2012-11-14 05:46 . 2012-12-13 00:46 248320 ----a-w- c:\windows\system32\ieui.dll
2012-11-14 02:09 . 2012-12-13 00:46 1800704 ----a-w- c:\windows\SysWow64\jscript9.dll
2012-11-14 01:58 . 2012-12-13 00:46 1427968 ----a-w- c:\windows\SysWow64\inetcpl.cpl
2012-11-14 01:57 . 2012-12-13 00:46 1129472 ----a-w- c:\windows\SysWow64\wininet.dll
2012-11-14 01:49 . 2012-12-13 00:46 142848 ----a-w- c:\windows\SysWow64\ieUnatt.exe
2012-11-14 01:48 . 2012-12-13 00:46 420864 ----a-w- c:\windows\SysWow64\vbscript.dll
2012-11-14 01:44 . 2012-12-13 00:46 2382848 ----a-w- c:\windows\SysWow64\mshtml.tlb
2012-11-09 05:45 . 2012-12-12 13:33 2048 ----a-w- c:\windows\system32\tzres.dll
2012-11-09 04:42 . 2012-12-12 13:33 2048 ----a-w- c:\windows\SysWow64\tzres.dll
2012-11-04 21:16 . 2012-11-04 21:16 868848 ----a-w- c:\windows\system32\drivers\sptd.sys
2012-11-04 20:04 . 2012-11-04 20:04 91648 ----a-w- c:\windows\system32\SetIEInstalledDate.exe
2012-11-04 20:04 . 2012-11-04 20:04 89088 ----a-w- c:\windows\system32\RegisterIEPKEYs.exe
2012-11-04 20:04 . 2012-11-04 20:04 89088 ----a-w- c:\windows\system32\ie4uinit.exe
2012-11-04 20:04 . 2012-11-04 20:04 86528 ----a-w- c:\windows\SysWow64\iesysprep.dll
2012-11-04 20:04 . 2012-11-04 20:04 85504 ----a-w- c:\windows\system32\iesetup.dll
2012-11-04 20:04 . 2012-11-04 20:04 82432 ----a-w- c:\windows\system32\icardie.dll
2012-11-04 20:04 . 2012-11-04 20:04 76800 ----a-w- c:\windows\SysWow64\SetIEInstalledDate.exe
2012-11-04 20:04 . 2012-11-04 20:04 76800 ----a-w- c:\windows\system32\tdc.ocx
2012-11-04 20:04 . 2012-11-04 20:04 74752 ----a-w- c:\windows\SysWow64\RegisterIEPKEYs.exe
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-21 1475584]
"Steam"="c:\program files (x86)\Steam\steam.exe" [2012-12-04 1354736]
"Spotify Web Helper"="c:\users\Helge\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe" [2012-11-04 1199576]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"USB3MON"="c:\program files (x86)\Intel\Intel(R) USB 3.0 eXtensible Host Controller Driver\Application\iusb3mon.exe" [2012-01-26 291608]
"Adobe Reader Speed Launcher"="c:\program files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-12-11 384800]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2012-07-03 252848]
"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2012-12-02 642216]
.
c:\users\Helge\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
OpenOffice.org 3.4.1.lnk - c:\program files (x86)\OpenOffice.org 3\program\quickstart.exe [2012-8-13 1199104]
Rainmeter.lnk - c:\program files\Rainmeter\Rainmeter.exe [2012-7-3 41160]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
Logitech Desktop Messenger.lnk - c:\program files\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [2012-11-27 67128]
SetPointII.lnk - c:\program files\Logitech\SetPoint II\SetPointII.exe [2007-8-30 809984]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Userinit"="userinit.exe"
.
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R2 SkypeUpdate;Skype Updater;c:\program files (x86)\Skype\Updater\Updater.exe [2012-11-09 160944]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-21 59392]
R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [2010-11-21 31232]
R3 WinRing0_1_2_0;WinRing0_1_2_0;c:\users\Helge\AppData\Local\Temp\tmp4C3B.tmp [x]
R4 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [2012-11-04 868848]
S0 iusb3hcs;Intel(R) USB 3.0 Hostcontroller-Switchtreiber;c:\windows\system32\DRIVERS\iusb3hcs.sys [2012-01-26 16152]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2012-09-24 27800]
S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\DRIVERS\dtsoftbus01.sys [2012-11-04 283200]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2012-12-02 240640]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2012-12-11 85280]
S3 AtiHDAudioService;AMD Function Driver for HD Audio Service;c:\windows\system32\drivers\AtihdW76.sys [2012-05-14 96896]
S3 iusb3hub;Intel(R) USB 3.0-Hubtreiber;c:\windows\system32\DRIVERS\iusb3hub.sys [2012-01-26 356120]
S3 iusb3xhc;Intel(R) USB 3.0 eXtensible-Hostcontrollertreiber;c:\windows\system32\DRIVERS\iusb3xhc.sys [2012-01-26 787736]
S3 MBfilt;MBfilt;c:\windows\system32\drivers\MBfilt64.sys [2009-11-17 32344]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt64win7.sys [2011-08-23 565352]
.
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\active setup\installed components\{8A69D345-D564-463c-AFF1-A69D9E530F96}]
2013-01-15 20:44 1606760 ----a-w- c:\program files (x86)\Google\Chrome\Application\24.0.1312.52\Installer\setup.exe
.
Inhalt des "geplante Tasks" Ordners
.
2013-01-16 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2012-11-03 02:30]
.
2013-01-16 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2012-11-03 02:30]
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDVCPL"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2011-10-17 13307496]
"itype"="c:\program files\Microsoft IntelliType Pro\itype.exe" [2009-11-05 2345848]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2007-07-17 134160]
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.google.de/
mLocal Page = c:\windows\SysWOW64\blank.htm
TCP: DhcpNameServer = 192.168.178.1
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\program files\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
Wow6432Node-HKCU-Run-Foged - c:\users\Helge\AppData\Roaming\Gytodi\isomi.exe
.
.
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\services\WinRing0_1_2_0]
"ImagePath"="\??\c:\users\Helge\AppData\Local\Temp\tmp4C3B.tmp"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_5_502_146_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_5_502_146_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_5_502_146_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_5_502_146_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.11"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-01-16 19:11:07
ComboFix-quarantined-files.txt 2013-01-16 18:11
.
Vor Suchlauf: 9 Verzeichnis(se), 892.162.310.144 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 891.641.565.184 Bytes frei
.
- - End Of File - - 6DB8849EE22CFDE3B464082DB2D416DC
|
|
16.01.2013, 20:41
| #8 |
| /// Malware-holic | wie den GVU-Trojaner loswerden? öffne bitte c: qoobox rechtsklick quarantain, packen, und im upload channel hochladen. Trojaner-Board Upload Channel wenn fertig, bitte melden.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
16.01.2013, 20:45
| #9 |
| | wie den GVU-Trojaner loswerden? erledigt. habe das wieder per rechtsklick>senden an>komprimierter zip ordner gepackt. |
|
16.01.2013, 21:06
| #10 |
| /// Malware-holic | wie den GVU-Trojaner loswerden? passt. nutzt du den PC für onlinebanking, zum einkaufen, für sonstige Zahlungsabwicklungen, oder ähnlich wichtigem, wie beruflichem?
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
16.01.2013, 21:08
| #11 |
| | wie den GVU-Trojaner loswerden? nutze paypal, ja. ansonsten fürs studium |
|
16.01.2013, 21:11
| #12 |
| /// Malware-holic | wie den GVU-Trojaner loswerden? ok, du hast eine Malware (zbot) die es auf Daten sensibler Art abgesehen hatt, also auch paypal Zugang etc Da man nicht 100 %ig sicher sein kann, dass wir alle erwischen, du aber ein sauberes System benötigst, ist folgenes zu tun: der pc muss neu aufgesetzt und dann abgesichert werden 1. Datenrettung:
ich werde außerdem noch weitere punkte dazu posten. 4. alle Passwörter ändern! 5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen. 6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
16.01.2013, 21:22
| #13 |
| | wie den GVU-Trojaner loswerden? muss ich das aus dem chip forum da komplett durcharbeiten? oder nur n bestimmten punkt, wo das sichern von daten angesprochen wird? |
|
16.01.2013, 22:33
| #14 |
| /// Malware-holic | wie den GVU-Trojaner loswerden? Hi das erstellen der CD und sichern der Daten.
__________________ -Verdächtige mails bitte an uns zur Analyse weiterleiten: markusg.trojaner-board@web.de Weiterleiten Anleitung: http://markusg.trojaner-board.de Mails bitte vorerst nach obiger Anleitung an markusg.trojaner-board@web.de Weiterleiten Wenn Ihr uns unterstützen möchtet |
|
17.01.2013, 12:38
| #15 |
| | wie den GVU-Trojaner loswerden? okay, mache das grad mit dem formatieren und neu aufspielen von windows. soll ich dann eigentlich wirklich alle passwörter ändern oder nur die wichtigen wie email,paypal etc? und wie ich die gesicherten daten (hab nur savegames von einem spiel "gerettet" und jetzt auf nem usb-stick) auf schädlinge überprüfe, da bräuchte ich auch hilfe. edit: das formatieren beim asuwählen der festplatte im windows 7 setup hat nur wenige sekunden gedauert, ist das normal? Geändert von helgeyo (17.01.2013 um 12:56 Uhr) |
|
| Themen zu wie den GVU-Trojaner loswerden? |
| antivir, autorun, avira, bho, browser, cpu, explorer, festplatte, firefox, google, grafikkarte, helper, home, homepage, launch, logfile, loswerden, neustart, plug-in, realtek, registry, scan, software, spotify web helper, temp, trojaner, virus, windows |
Linear-Darstellung
