GVU/Trojaner Windows Vista

Postbote · 29.04.2013, 20:37

Hallo, ich befuerchte mir einen GVU Trojaner eingefangen zu haben und habe dem entsprechend die Schritte der anderen Threats befolgt und stehe nun an dem Punkt, an dem ich die OTL posten soll, was ich an dieser Stelle tun moechte und mich sehr ueber Hilfe freuen wuerde.

Code:

ATTFilter

OTL logfile created on: 4/29/2013 9:34:29 PM - Run 
OTLPE by OldTimer - Version 3.1.48.0     Folder = X:\Programs\OTLPE
64bit-Windows Vista (TM) Home Basic Service Pack 1 (Version = 6.0.6001) - Type = System
Internet Explorer (Version = 7.0.6001.18000)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 91.00% Memory free
3.00 Gb Paging File | 3.00 Gb Available in Paging File | 98.00% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 285.77 Gb Total Space | 93.80 Gb Free Space | 32.82% Space Free | Partition Type: NTFS
Drive H: | 12.32 Gb Total Space | 0.24 Gb Free Space | 1.98% Space Free | Partition Type: NTFS
Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS
 
Computer Name: REATOGO | User Name: SYSTEM
Boot Mode: Normal | Scan Mode: All users | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
Using ControlSet: ControlSet002
 
========== Win32 Services (SafeList) ==========
 
SRV:64bit: - [2008/01/20 22:45:23 | 000,383,544 | ---- | M] (Microsoft Corporation) [Auto] -- C:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)
SRV - [2013/02/25 18:32:22 | 001,260,320 | ---- | M] (NVIDIA Corporation) [Auto] -- C:\Program Files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe -- (nvUpdatusService)
SRV - [2013/01/18 02:14:20 | 000,383,264 | ---- | M] (NVIDIA Corporation) [Auto] -- C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe -- (Stereo Service)
SRV - [2012/04/04 09:56:40 | 000,654,408 | ---- | M] (Malwarebytes Corporation) [Auto] -- C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe -- (MBAMService)
SRV - [2011/03/02 11:20:58 | 000,224,256 | ---- | M] () [Auto] -- C:\Program Files (x86)\GNU\GnuPG\dirmngr.exe -- (DirMngr)
SRV - [2010/03/18 08:16:28 | 000,130,384 | ---- | M] (Microsoft Corporation) [Auto] -- C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe -- (clr_optimization_v4.0.30319_32)
SRV - [2008/07/27 14:03:13 | 000,069,632 | ---- | M] (Microsoft Corporation) [Disabled] -- C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32)
 
 
========== Driver Services (SafeList) ==========
 
DRV:64bit: - [2012/04/04 09:56:40 | 000,024,904 | ---- | M] (Malwarebytes Corporation) [File_System | On_Demand] -- C:\Windows\System32\drivers\mbam.sys -- (MBAMProtector)
DRV:64bit: - [2012/02/15 05:01:50 | 000,052,736 | ---- | M] (Apple, Inc.) [Kernel | On_Demand] -- C:\Windows\System32\drivers\usbaapl64.sys -- (USBAAPL64)
DRV:64bit: - [2011/11/25 18:35:25 | 000,254,528 | ---- | M] (DT Soft Ltd) [Kernel | System] -- C:\Windows\System32\drivers\dtsoftbus01.sys -- (dtsoftbus01)
DRV:64bit: - [2008/01/20 22:45:19 | 000,046,080 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- C:\Windows\System32\drivers\WpdUsb.sys -- (WpdUsb)
DRV:64bit: - [2007/12/28 09:59:30 | 000,342,528 | ---- | M] (NETGEAR Inc.                           ) [Kernel | On_Demand] -- C:\Windows\System32\drivers\wg111v3.sys -- (RTL8187B)
DRV:64bit: - [2007/04/23 08:15:48 | 000,031,016 | ---- | M] (Windows (R) Codename Longhorn DDK provider) [Kernel | System] -- C:\Windows\System32\drivers\RtlProt.sys -- (RtlProt)
DRV:64bit: - [2006/10/09 22:09:03 | 000,742,696 | ---- | M] (NVIDIA Corporation) [Kernel | On_Demand] -- C:\Windows\System32\drivers\nvm60x64.sys -- (NVENETFD)
DRV:64bit: - [2006/09/18 17:36:24 | 000,000,308 | ---- | M] () [File_System | On_Demand] -- C:\Windows\System32\wbem\ntfs.mof -- (Ntfs)
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE:64bit: - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
 
 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
IE - HKU\Postaldude_ON_C\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKU\Postaldude_ON_C\Software\Microsoft\Internet Explorer\Main,StartPageCache = 1
IE - HKU\Postaldude_ON_C\..\URLSearchHook:  - Reg Error: Key error. File not found
IE - HKU\Postaldude_ON_C\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - Reg Error: Key error. File not found
IE - HKU\Postaldude_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKU\Postaldude_ON_C\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
 
 
 
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@Apple.com/iTunes,version=:  
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Program Files (x86)\iTunes\Mozilla Plugins\npitunes.dll ()
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files (x86)\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\Windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@nvidia.com/3DVision: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll (NVIDIA Corporation)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@nvidia.com/3DVisionStreaming: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll (NVIDIA Corporation)
 
FF - HKEY_LOCAL_MACHINE\software\wow6432node\mozilla\Mozilla Thunderbird 9.0.1\extensions\\Components: C:\Program Files (x86)\Mozilla Thunderbird\components [2012/01/25 11:20:12 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\wow6432node\mozilla\Mozilla Thunderbird 9.0.1\extensions\\Plugins: C:\Program Files (x86)\Mozilla Thunderbird\plugins
 
 
O1 HOSTS File: ([2006/09/18 17:37:24 | 000,000,761 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O1 - Hosts: ::1             localhost
O2 - BHO: (DealPly) - {A6174F27-1FFF-E1D6-A93F-BA48AD5DD448} - C:\Program Files (x86)\DealPly\DealPlyIE.dll (DealPly Technologies Ltd)
O2 - BHO: (Skype Plug-In) - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O3:64bit: - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar64.dll ()
O3 - HKLM\..\Toolbar: (DAEMON Tools Toolbar) - {32099AAC-C132-4136-9E9A-4E364A424E17} - C:\Program Files (x86)\DAEMON Tools Toolbar\DTToolbar.dll ()
O3 - HKLM\..\Toolbar: (ICQToolBar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} -  File not found
O4:64bit: - HKLM..\Run: [Windows Defender] C:\Program Files\Windows Defender\MSASCui.exe (Microsoft Corporation)
O4 - HKLM..\Run: [APSDaemon] C:\Program Files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [Malwarebytes' Anti-Malware] C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O4 - HKU\LocalService_ON_C..\Run: [Sidebar] C:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)
O4 - HKU\LocalService_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\SysWow64\oobefldr.dll (Microsoft Corporation)
O4 - HKU\NetworkService_ON_C..\Run: [Sidebar] C:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)
O4 - HKU\NetworkService_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\SysWow64\oobefldr.dll (Microsoft Corporation)
O4 - HKU\Postaldude_ON_C..\Run: [DAEMON Tools Lite] C:\Program Files (x86)\DAEMON Tools Lite\DTLite.exe (DT Soft Ltd)
O4 - HKU\Postaldude_ON_C..\Run: [ICQ]  File not found
O4 - HKU\Postaldude_ON_C..\Run: [lime pro]  File not found
O4 - HKU\Postaldude_ON_C..\Run: [limewire plus+]  File not found
O4 - HKU\Postaldude_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\SysWow64\oobefldr.dll (Microsoft Corporation)
O4 - HKU\Postaldude_ON_C..\Run: [WMPNSCFG]  File not found
O4 - HKU\UpdatusUser_ON_C..\Run: [Sidebar] C:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)
O4 - HKU\UpdatusUser_ON_C..\Run: [WindowsWelcomeCenter] C:\Windows\SysWow64\oobefldr.dll (Microsoft Corporation)
O4 - Startup: Error locating startup folders.
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O9 - Extra Button: ICQ7.4 - {73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} -  File not found
O9 - Extra 'Tools' menuitem : ICQ7.4 - {73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} -  File not found
O9 - Extra Button: Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O9 - Extra 'Tools' menuitem : Skype Plug-In - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O10:64bit: - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files (x86)\Bonjour\mdnsNSP.dll (Apple Inc.)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000007 [] - C:\Program Files (x86)\Bonjour\mdnsNSP.dll (Apple Inc.)
O13:64bit: - gopher Prefix: missing
O13 - gopher Prefix: missing
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab (Shockwave Flash Object)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O18:64bit: - Protocol\Handler\skype-ie-addon-data {91774881-D725-4E58-B298-07617B9B86A8} - Reg Error: Key error. File not found
O18 - Protocol\Handler\skype-ie-addon-data {91774881-D725-4E58-B298-07617B9B86A8} - C:\Program Files (x86)\Skype\Toolbars\Internet Explorer\skypeieplugin.dll (Skype Technologies S.A.)
O20:64bit: - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)
O20 - HKU\Postaldude_ON_C Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation)
O20 - HKU\Postaldude_ON_C Winlogon: Shell - (C:\Users\Postaldude\AppData\Roaming\skype.dat) - C:\Users\Postaldude\AppData\Roaming\skype.dat ()
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2008/08/27 08:17:42 | 000,000,074 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
64bit: O35 - HKLM\..comfile [open] -- "%1" %* File not found
64bit: O35 - HKLM\..exefile [open] -- "%1" %* File not found
O37:64bit: - HKLM\...com [@ = comfile] -- "%1" %*
O37:64bit: - HKLM\...exe [@ = exefile] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2013/04/24 11:05:30 | 000,000,000 | ---D | C] -- C:\Windows\Minidump
[2013/04/09 14:14:07 | 000,000,000 | ---D | C] -- C:\Users\Postaldude\Desktop\RBB
[1 C:\*.tmp files -> C:\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2013/04/29 14:24:31 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2013/04/29 14:23:46 | 000,003,712 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
[2013/04/29 14:23:45 | 000,003,712 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
[2013/04/29 14:23:43 | 000,001,356 | ---- | M] () -- C:\Users\Postaldude\AppData\Local\d3d9caps.dat
[2013/04/24 12:06:04 | 000,001,140 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskUserS-1-5-21-4106808123-2835437310-3382094434-1000UA.job
[2013/04/24 11:10:40 | 000,628,504 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2013/04/24 11:10:40 | 000,595,798 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2013/04/24 11:10:40 | 000,126,248 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2013/04/24 11:10:40 | 000,103,872 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2013/04/24 11:07:23 | 000,000,000 | ---- | M] () -- C:\Users\Postaldude\AppData\Roaming\skype.ini
[2013/04/24 11:05:30 | 251,008,098 | ---- | M] () -- C:\Windows\MEMORY.DMP
[2013/04/23 10:06:04 | 000,001,088 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskUserS-1-5-21-4106808123-2835437310-3382094434-1000Core.job
[2013/04/17 11:54:34 | 000,067,244 | ---- | M] () -- C:\Users\Postaldude\Desktop\Maya_Angelou.jpg
[2013/04/10 21:07:22 | 000,002,075 | ---- | M] () -- C:\Users\Postaldude\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Google Chrome.lnk
[1 C:\*.tmp files -> C:\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2013/04/24 11:05:01 | 251,008,098 | ---- | C] () -- C:\Windows\MEMORY.DMP
[2013/04/24 10:20:44 | 000,000,000 | ---- | C] () -- C:\Users\Postaldude\AppData\Roaming\skype.ini
[2013/04/17 11:54:28 | 000,067,244 | ---- | C] () -- C:\Users\Postaldude\Desktop\Maya_Angelou.jpg
[2011/12/15 19:18:45 | 000,098,304 | ---- | C] () -- C:\Windows\SysWow64\redmonnt.dll
[2011/11/26 16:56:14 | 000,000,331 | ---- | C] () -- C:\Windows\game.ini
[2011/05/08 16:41:43 | 000,016,896 | ---- | C] () -- C:\Users\Postaldude\AppData\Local\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2011/03/21 14:32:24 | 000,000,056 | -H-- | C] () -- C:\ProgramData\ezsidmv.dat
[2011/03/12 07:50:04 | 000,106,605 | ---- | C] () -- C:\Windows\SysWow64\StructuredQuerySchema.bin
[2011/03/12 07:50:04 | 000,018,904 | ---- | C] () -- C:\Windows\SysWow64\StructuredQuerySchemaTrivial.bin
[2011/03/09 22:24:57 | 000,094,208 | ---- | C] () -- C:\Users\Postaldude\AppData\Roaming\skype.dat
[2011/03/09 19:02:27 | 000,101,578 | ---- | C] () -- C:\ProgramData\nvModes.dat
[2011/03/09 14:54:29 | 000,001,356 | ---- | C] () -- C:\Users\Postaldude\AppData\Local\d3d9caps.dat
[2011/03/09 13:26:43 | 000,024,226 | ---- | C] () -- C:\Users\Postaldude\AppData\Roaming\UserTile.png
[2011/03/09 12:54:22 | 000,001,460 | ---- | C] () -- C:\Users\Postaldude\AppData\Local\d3d9caps64.dat
[2008/01/20 22:47:53 | 000,060,124 | ---- | C] () -- C:\Windows\SysWow64\tcpmon.ini
[2008/01/20 22:47:39 | 000,368,640 | ---- | C] () -- C:\Windows\SysWow64\msjetoledb40.dll
[2006/11/02 11:30:41 | 000,067,584 | --S- | C] () -- C:\Windows\bootstat.dat
[2006/11/02 10:59:58 | 000,197,632 | ---- | C] () -- C:\Windows\SysWow64\ir32_32.dll
[2006/11/02 08:37:14 | 000,215,943 | ---- | C] () -- C:\Windows\SysWow64\dssec.dat
[2006/11/02 08:24:17 | 000,000,741 | ---- | C] () -- C:\Windows\SysWow64\NOISE.DAT
[2006/11/02 08:18:17 | 000,673,088 | ---- | C] () -- C:\Windows\SysWow64\mlang.dat
[2006/11/02 05:47:54 | 000,043,131 | ---- | C] () -- C:\Windows\mib.bin
[1601/02/13 04:28:18 | 000,101,578 | ---- | C] () -- C:\ProgramData\nvModes.001
[1601/02/13 04:28:18 | 000,000,052 | ---- | C] () -- C:\ProgramData\dcdbogyyghvcoiq
 
========== LOP Check ==========
 
[2011/12/25 05:34:57 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\.minecraft
[2012/06/09 11:01:37 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\.purple
[2011/11/25 18:39:45 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\DAEMON Tools Lite
[2013/02/10 07:43:43 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\DealPly
[2011/09/14 11:42:49 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\DVDVideoSoft
[2011/03/25 10:42:59 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\DVDVideoSoftIEHelpers
[2011/11/28 14:33:23 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\FrostWire
[2011/07/18 22:05:40 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\GetRightToGo
[2012/07/25 13:07:42 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\gnupg
[2011/06/06 18:04:54 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\ICQ
[2012/06/10 13:59:38 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\Iminent
[2012/01/22 05:13:33 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\LimeWire
[2012/02/03 16:23:37 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\Lout
[2011/05/06 20:07:37 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\OpenCandy
[2011/03/09 13:26:43 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\PeerNetworking
[2013/01/16 13:59:20 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\PhotoScape
[2012/01/25 11:20:37 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\Thunderbird
[2012/02/07 12:40:52 | 000,000,000 | ---D | M] -- C:\Users\Postaldude\AppData\Roaming\TS3Client
[2011/03/09 12:52:02 | 000,000,000 | -HSD | M] -- C:\ProgramData\Anwendungsdaten
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Application Data
[2012/12/30 15:06:09 | 000,000,000 | ---D | M] -- C:\ProgramData\Battle.net
[2011/11/28 14:35:15 | 000,000,000 | ---D | M] -- C:\ProgramData\DAEMON Tools Lite
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Desktop
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Documents
[2011/03/09 12:52:02 | 000,000,000 | -HSD | M] -- C:\ProgramData\Dokumente
[2012/04/05 10:33:02 | 000,000,000 | ---D | M] -- C:\ProgramData\f93bf1
[2011/03/09 12:52:02 | 000,000,000 | -HSD | M] -- C:\ProgramData\Favoriten
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Favorites
[2012/01/25 11:23:45 | 000,000,000 | ---D | M] -- C:\ProgramData\GNU
[2011/03/17 16:28:39 | 000,000,000 | ---D | M] -- C:\ProgramData\ICQ
[2012/06/10 13:59:33 | 000,000,000 | ---D | M] -- C:\ProgramData\Iminent
[2012/06/24 19:48:15 | 000,000,000 | ---D | M] -- C:\ProgramData\QuestScan
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Start Menu
[2011/03/09 12:52:02 | 000,000,000 | -HSD | M] -- C:\ProgramData\Startmenü
[2012/06/10 13:57:16 | 000,000,000 | ---D | M] -- C:\ProgramData\Tarma Installer
[2011/12/15 19:24:06 | 000,000,000 | ---D | M] -- C:\ProgramData\Teleca
[2006/11/02 11:35:30 | 000,000,000 | -HSD | M] -- C:\ProgramData\Templates
[2011/03/09 12:52:02 | 000,000,000 | -HSD | M] -- C:\ProgramData\Vorlagen
[2012/06/24 14:09:36 | 000,000,000 | ---D | M] -- C:\ProgramData\WindowsSearch
[2012/06/10 13:27:51 | 000,000,000 | ---D | M] -- C:\ProgramData\xmzqngfhutjtcyc
[2012/05/01 13:19:29 | 000,000,000 | ---D | M] -- C:\ProgramData\{93E26451-CD9A-43A5-A2FA-C42392EA4001}
[2013/04/29 14:24:16 | 000,032,012 | ---- | M] () -- C:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 
< End of report >

An dieser Stelle schonmal vielen Dank, ich hoffe natuerlich, dass mir jemand helfen kann.

aharonov · 29.04.2013, 20:49

Hi,

Schritt 1 wird den GVU-Sperrschirm entfernen. Die weiteren Schritte dann wieder im normalen Modus durchführen.

Schritt 1

Starte den infizierten Rechner mit der OTLpe-CD und öffne OTLpe.
Kopiere nun den folgenden Inhalt aus der Codebox in die Textbox.
Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

Code:

ATTFilter

:OTL
[2012/06/10 13:27:51 | 000,000,000 | ---D | M] -- C:\ProgramData\xmzqngfhutjtcyc
[2013/04/24 10:20:44 | 000,000,000 | ---- | C] () -- C:\Users\Postaldude\AppData\Roaming\skype.ini
[1601/02/13 04:28:18 | 000,101,578 | ---- | C] () -- C:\ProgramData\nvModes.001
[1601/02/13 04:28:18 | 000,000,052 | ---- | C] () -- C:\ProgramData\dcdbogyyghvcoiq
O20 - HKU\Postaldude_ON_C Winlogon: Shell - (C:\Users\Postaldude\AppData\Roaming\skype.dat) - C:\Users\Postaldude\AppData\Roaming\skype.dat ()

Klicke jetzt auf den Fix Button.
Starte danach neu und versuche wieder in den normalen Modus von Windows zu booten.
Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
(Auch zu finden unter C:\OTL\MovedFiles\<time_date.log>)
Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Schritt 3

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

Doppelklick auf die OTL.exe.
Unter Extra Registry, wähle bitte Use SafeList.
Setze den Haken bei Scan all Users.
Klicke nun auf Run Scan.
Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

Fixlog von OTLpe
Log von Gmer
Logs von OTL

Postbote · 29.04.2013, 21:03

Vielen Dank für die schnelle Rückmeldung. Funktioniert wieder alles wie zuvor!

OTL:

Code:

ATTFilter

========== OTL ==========
C:\ProgramData\xmzqngfhutjtcyc folder moved successfully.
C:\Users\Postaldude\AppData\Roaming\skype.ini moved successfully.
C:\ProgramData\nvModes.001 moved successfully.
C:\ProgramData\dcdbogyyghvcoiq moved successfully.
Registry value HKEY_USERS\Postaldude_ON_C\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell:C:\Users\Postaldude\AppData\Roaming\skype.dat deleted successfully.
C:\Users\Postaldude\AppData\Roaming\skype.dat moved successfully.
 
OTLPE by OldTimer - Version 3.1.48.0 log created on 04292013_225411

aharonov · 29.04.2013, 21:15

Prima.
Mit den weiteren Schritten kontrollieren wir noch, ob sonst auch alles in Ordnung ist, ober noch mehr drauf ist.

aharonov · 06.05.2013, 13:11

Hi,

ich hab schon länger keine Antwort mehr von dir erhalten. Brauchst du weiterhin noch Hilfe?

Wenn ich in den nächsten 24 Stunden nichts von dir höre, gehe ich davon aus, dass sich das Thema erledigt hat und lösche es aus meinen Abos.

Hinweis: Wir sind noch nicht fertig! Auch wenn die Symptome verschwunden sein sollten, kann dein System weiterhin infiziert sein und über Sicherheitslücken verfügen, welche eine erneute Infektion möglich machen.

aharonov · 09.05.2013, 12:17

Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung mehr über neue Antworten.
Schreib mir eine PM, falls du das Thema doch wieder fortsetzen möchtest. Dann machen wir hier weiter.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass dein Rechner schon sauber ist.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.

29.04.2013, 21:15	#4
aharonov /// TB-Ausbilder	GVU/Trojaner Windows Vista Prima. Mit den weiteren Schritten kontrollieren wir noch, ob sonst auch alles in Ordnung ist, ober noch mehr drauf ist. __________________ cheers, Leo

GVU/Trojaner Windows Vista

Plagegeister aller Art und deren Bekämpfung: GVU/Trojaner Windows Vista