Hallo zusammen,

ich bin neu hier und würde mich über schnelle Hilfe freuen.
Auf den Pc von meinem Onkel ist wie auch immer der Trojaner ``TR/Sirefef.A.78´´ gelangt und ich schaffe es nicht desen zu entfernen.

Avira findet diesen bei einem Sytem Scan nicht, mldet ihn jedoch im Echtzeit Scanner dauerhaft. Ein entfernen mit den Avira-eigenen-Tools ist leider nicht möglich und das Warn Fenster leuchtet erneut auf.


Kann mir bitte jemand helfen?
Was kann ich tun ohne den Rechner neu aufsetzen zu müssen?
Sind evtl USB Sticks und externe Geräte auch schon betroffen?

Vielen Dank für eure Hilfe!

r.p.

Hi r.p.

Ich bin Smeenk und ich werde versuchen Dir zu helfen


Systemscan mit ZOEK

Bitte lade die zoek.exe von hier: http://hijackthis.nl/smeenk/

• Bitte deaktiviere während des Scans alle Virenscanner, da sie das Ergebnis beeinflussen.
• Starte die Zoek.exe mit einem Doppelklick (nur Windows XP-Benutzer).
• Windows Vista/7 Benutzer starten das Tool bitte per Rechtsklick auf das Icon und wählen "Als Administrator starten".
• Kopiere untenstehende Code in das Textfeld:
  

  emptyclsid;
  chromelook;
  autoclean;
  startupall;
  filesrcm;
  firefoxlook;
           

• Nun klicke auf "Run script" und warte geduldig, bis der Scan durchgelaufen ist.
• Wenn das Tool fertig ist, wird sich Notepad mit dem Logfile öffnen (ggfs. erst nach einem Neustart).
  Nachträglich kannst Du den Bericht unter c:\zoek-results.log einsehen.
• Poste mir das Log File zoek-results.log

Bitte alles nach Möglichkeit hier in CODE-Tags posten: [code] Dein Log hier [/code]

Hallo Smeenk,

vielen Dank für deine schnelle Hilfe!!


Hier das logfile, das rauskam:

Zoek.exe Version 4.0.0.2 Updated 20-May-2013
Tool run by User on 21.05.2013 at 12:59:22,15.
Microsoft Windows XP Home Edition 5.1.2600 Service Pack 3 x86
Running in: Normal Mode Internet Access Detected

==== Deleting CLSID Registry Keys ======================

HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b} deleted successfully
HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully
HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully

==== Deleting CLSID Registry Values ======================

HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\{D4027C7F-154A-4066-A1AD-4243D8127440} deleted successfully

==== Deleting Files \ Folders ======================

"C:\RECYCLER\S-1-5-18\$03d12fa1ead2eaedc814ca889bc907e0" not found 
"C:\WINDOWS\002595_.tmp" deleted
"C:\WINDOWS\SET25.tmp" deleted
"C:\WINDOWS\SET3.tmp" deleted
"C:\WINDOWS\SET4.tmp" deleted
"C:\WINDOWS\SET8.tmp" deleted
"C:\WINDOWS\System32\CONFIG.TMP" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\@" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\n" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\U\00000001.@" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\U\80000000.@" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\U\800000cb.@" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0" not deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\L" deleted
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\U" not deleted
"C:\Programme\Conduit" deleted
"C:\Dokumente und Einstellungen\User\Anwendungsdaten\pdfforge" deleted
"C:\Dokumente und Einstellungen\User\Anwendungsdaten\PriceGong" deleted

==== Registry Search Results for "$03d12fa1ead2eaedc814ca889bc907e0" ======================


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InprocServer32]
@="C:\\RECYCLER\\S-1-5-18\\$03d12fa1ead2eaedc814ca889bc907e0\\n."

[HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Classes\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InprocServer32]
@="C:\\RECYCLER\\S-1-5-21-842925246-1532298954-725345543-1004\\$03d12fa1ead2eaedc814ca889bc907e0\\n."

[HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004_Classes\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InprocServer32]
@="C:\\RECYCLER\\S-1-5-21-842925246-1532298954-725345543-1004\\$03d12fa1ead2eaedc814ca889bc907e0\\n."

==== Files Recently Created / Modified ======================

====== C:\WINDOWS ====
====== C:\DOKUME~1\User\LOKALE~1\Temp ====
2013-05-16 22:05:54	D41D8CD98F00B204E9800998ECF8427E	0	----a-w-	C:\DOKUME~1\User\LOKALE~1\Temp\{8999B135-B999-47A4-92CF-C157374BFC33}-GoogleUpdateSetup.exe
====== C:\WINDOWS\system32 =====
2013-05-20 15:21:34	760BA10D2FD1B63CD030E257E5AED616	31592	----a-w-	C:\WINDOWS\System32\LMIport.dll
2013-05-20 15:21:32	150F673392718A542E7675674990EF29	84352	----a-w-	C:\WINDOWS\System32\LMIRfsClientNP.dll
2013-05-20 15:21:21	47B8605A58E53986BAA186C78299E36C	92520	----a-w-	C:\WINDOWS\System32\LMIinit.dll
====== C:\WINDOWS\system32\drivers =====
2013-05-20 15:21:32	3FAA563DDF853320F90259D455A01D79	47640	----a-w-	C:\WINDOWS\System32\drivers\LMIRfsDriver.sys
====== C:\WINDOWS\Tasks ======
====== C:\WINDOWS\Temp ======
======= C:\Programme =====
======= C: =====
2013-05-20 15:21:18	885F2782A1912CBF0910BB3D023E6419	1024	----a-w-	C:\.rnd
====== C:\Dokumente und Einstellungen\User\Anwendungsdaten ======
2013-05-02 13:59:25	--------	d-----w-	C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Adobe
====== C:\Dokumente und Einstellungen\User ======
2013-05-02 13:59:20	--------	d-----r-	C:\Dokumente und Einstellungen\LocalService\Favoriten

====== C: exe-files ==
2013-05-20 09:22:20	200400F735A399A6047010CC60C04D94	234872	-c----w-	C:\WINDOWS\ie8updates\KB2829530-IE8\spuninst\spuninst.exe
2013-05-20 09:22:12	820A1E94D41CCE3EE2F8EB32F9B7FA25	174080	-c----w-	C:\WINDOWS\ie8updates\KB2829530-IE8\ie4uinit.exe
2013-05-20 09:16:40	200400F735A399A6047010CC60C04D94	234872	-c----w-	C:\WINDOWS\ie8updates\KB2847204-IE8\spuninst\spuninst.exe
2013-05-20 07:48:07	8F11F0321ED84B1533FC1384AC71AC8D	59784	----atw-	C:\Programme\Google\Update\1.3.21.145\GoogleUpdateBroker.exe
2013-05-20 07:48:07	00F714CA28A01FACB709486D6DA306A8	59784	----atw-	C:\Programme\Google\Update\1.3.21.145\GoogleUpdateOnDemand.exe
2013-05-20 07:48:06	C26BB2535C1B20DEAFAEB12634BF4DC9	781592	----a-w-	C:\Programme\Google\Update\1.3.21.145\GoogleUpdateSetup.exe
2013-05-20 07:47:57	76B35CB0F3A4E69D6DFF27F542B9F856	216968	----atw-	C:\Programme\Google\Update\1.3.21.145\GoogleCrashHandler.exe
2013-05-20 07:47:57	506708142BC63DABA64F2D3AD1DCD5BF	116648	----atw-	C:\Programme\Google\Update\1.3.21.145\GoogleUpdate.exe
2013-05-20 07:47:57	4E252E85E5DC31BD645E809222AFAF27	287624	----atw-	C:\Programme\Google\Update\1.3.21.145\GoogleCrashHandler64.exe
2013-05-20 07:47:41	C26BB2535C1B20DEAFAEB12634BF4DC9	781592	----a-w-	C:\Programme\Google\Update\Download\{430FD4D0-B729-4F61-AA34-91526481799D}\1.3.21.145\GoogleUpdateSetup.exe
2013-05-16 22:05:54	D41D8CD98F00B204E9800998ECF8427E	0	----a-w-	C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Temp\{8999B135-B999-47A4-92CF-C157374BFC33}-GoogleUpdateSetup.exe
=== C: other files ==
2013-05-20 15:21:32	3FAA563DDF853320F90259D455A01D79	47640	----a-w-	C:\WINDOWS\system32\drivers\LMIRfsDriver.sys

==== Startup Registry Enabled ======================

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE"

[HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE"

[HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE"

[HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe"
"TomTomHOME.exe"="C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe"
"sxcinrwb"="c:\dokumente und einstellungen\user\lokale einstellungen\anwendungsdaten\sxcinrwb.exe sxcinrwb"

[HKEY_USERS\S-1-5-21-842925246-1532298954-725345543-1005\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE"

[HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup"
"SunJavaUpdateSched"="C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
"avgnt"="C:\Programme\Avira\AntiVir Desktop\avgnt.exe /min"
"Adobe ARM"="C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"LogMeIn GUI"="C:\Programme\LogMeIn\x86\LogMeInSystray.exe"

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe"
"TomTomHOME.exe"="C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe"
"sxcinrwb"="c:\dokumente und einstellungen\user\lokale einstellungen\anwendungsdaten\sxcinrwb.exe sxcinrwb"

==== Startup Registry Disabled ======================

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Cmaudio]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="RunDll32 cmicnfg"
"hkey"="HKLM"
"command"="RunDll32 cmicnfg.cpl,CMICtrlWnd"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\MSMSGS]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="msmsgs"
"hkey"="HKCU"
"command"="\"C:\\Programme\\Messenger\\msmsgs.exe\" /background"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NvCplDaemon]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="NvCpl"
"hkey"="HKLM"
"command"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\NvMediaCenter]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="NvMcTray"
"hkey"="HKLM"
"command"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvMcTray.dll,NvTaskbarInit"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\nwiz]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="nwiz"
"hkey"="HKLM"
"command"="nwiz.exe /install"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\SoundMan]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="SOUNDMAN"
"hkey"="HKLM"
"command"="SOUNDMAN.EXE"


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmen�^Programme^Autostart^Windows Search.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmen�\\Programme\\Autostart\\Windows Search.lnk"
"backup"="C:\\WINDOWS\\pss\\Windows Search.lnkCommon Startup"
"command"="C:\\PROGRA~1\\WI459E~1\\WINDOW~1.EXE  /startup"
"item"="Windows Search"


==== Startup Folders ======================


==== Task Scheduler Jobs ======================

C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job --a------ C:\Programme\Google\Update\GoogleUpdate.exe [12.10.2011 13:39]
C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job --a------ [Undertermined Task]

==== Firefox Extensions ======================

ProfilePath: C:\Dokumente und Einstellungen\User\Anwendungsdaten\Mozilla\Firefox\Profiles\keplzxyh.default
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0015-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0017-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0019-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
- Java Console - C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA}
- Java Quick Starter - C:\Programme\Java\jre6\lib\deploy\jqs\ff
- Microsoft .NET Framework Assistant - %ProfilePath%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
- GMX MailCheck - %ProfilePath%\extensions\toolbar@gmx.net.xpi

==== Firefox Plugins ======================

Profilepath: C:\Dokumente und Einstellungen\User\Anwendungsdaten\Mozilla\Firefox\Profiles\keplzxyh.default
38A1E65626558B8776C3546BE4491993	- C:\Programme\Windows Media Player\npdrmv2.dll -	Microsoft® DRM
1D187905079ACC40C420E7C8BD167731	- C:\Programme\Windows Media Player\npwmsdrm.dll -	Microsoft® DRM
AE3A029E3DC4EEB5EF5A4C2C997F78F8	- C:\Programme\Windows Media Player\npdsplay.dll -	Windows Media Player Plug-in Dynamic Link Library
3D928B3FE97C403A33F803B3D1A260C9	- C:\Programme\Google\Update\1.3.21.145\npGoogleUpdate3.dll -	Google Update
AB87EEFFD18F2BAAFC274E7075EA6C67	- c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll -	Windows Presentation Foundation / Windows Presentation Foundation
1E96525AE85D402F9F8047F8CAEF5F06	- C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll -	Java(TM) Platform SE 6 U29
65D09D8BC91D74C8800725EB33D1EE1B	- C:\Programme\Mozilla Firefox\plugins\nppdf32.dll -	Adobe Acrobat
47AFF25B68CE4885FEC6CFDEF8FEBB5C	- C:\Programme\Mozilla Firefox\plugins\npdeployJava1.dll -	Java Deployment Toolkit 6.0.290.11
F8EFDCFC440A420D6C1ECD245AB20207	- C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll -	Shockwave Flash
65D09D8BC91D74C8800725EB33D1EE1B	- C:\Programme\Adobe\Reader 10.0\Reader\browser\nppdf32.dll -	Adobe Acrobat
47AFF25B68CE4885FEC6CFDEF8FEBB5C	- C:\Programme\Java\jre6\bin\new_plugin\npdeployJava1.dll -	Java Deployment Toolkit 6.0.290.11
F833DD5D8F959819F44BC98F47B1B6BB	- C:\Programme\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll -	Adobe Acrobat


==== Set IE to Default ======================

Old Values:
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Search Page"="hxxp://www.google.com"
"Search Bar"="hxxp://www.google.com/ie"
"Default_Search_URL"="hxxp://www.google.com/ie"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]
@="hxxp://www.google.com/search?q=%s"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]
"SearchAssistant"="hxxp://www.google.com/ie"
"Default_Search_URL"="hxxp://www.google.com/ie"

New Values:
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Main]
"Start Page"="hxxp://go.microsoft.com/fwlink/?LinkId=69157"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\SearchUrl]
"(Default)"="hxxp://search.msn.com/results.asp?q=%s"
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Search]
"Default_Search_URL"="hxxp://go.microsoft.com/fwlink/?LinkId=54896"
"SearchAssistant"="hxxp://ie.search.msn.com/{SUB_RFC1766}/srchasst/srchasst.htm"

==== All HKCU SearchScopes ======================

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\SearchScopes
"DefaultScope"="{0633EE93-D776-472f-A0FF-E1416B8B2E3A}"
{0633EE93-D776-472f-A0FF-E1416B8B2E3A} Bing  Url="hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC"
{530A52C4-F124-464B-B7A9-6350F476AD26} Google  Url="hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8"
{6A1806CD-94D4-4689-BA73-E35EA1EA9990} Google  Url="hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}&ie={inputEncoding}&oe={outputEncoding}&startIndex={startIndex?}&startPage={startPage}"

==== Empty IE Cache ======================

C:\Dokumente und Einstellungen\Default User\Lokale Einstellungen\Temporary Internet Files\Content.IE5 emptied successfully
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5 emptied successfully
C:\Dokumente und Einstellungen\LogMeInRemoteUser\Lokale Einstellungen\Temporary Internet Files\Content.IE5 emptied successfully
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Temporary Internet Files\Content.IE5 emptied successfully
C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5 emptied successfully
C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Temporary Internet Files\Content.IE5 emptied successfully
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat will be deleted at reboot
C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat will be deleted at reboot

==== Empty FireFox Cache ======================

C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\keplzxyh.default\Cache emptied successfully

==== Empty Chrome Cache ======================

C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Cache emptied successfully

==== Empty All Flash Cache ======================

Flash Cache Emptied Successfully

==== Empty All Java Cache ======================

Java Cache cleared successfully

==== After Reboot ======================

==== Empty Temp Folders ======================

C:\WINDOWS\Temp successfully emptied
C:\DOKUME~1\User\LOKALE~1\Temp successfully emptied

==== Empty Recycle Bin ======================

C:\RECYCLER successfully emptied

==== Deleting Files / Folders ======================

"C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat" not deleted
"C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat" not found
"C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0"  not found

==== EOF on 21.05.2013 at 13:28:43,40 ======================
         

Es sieht schon ziemlich gut aus

• Bitte deaktiviere während des Scans alle Virenscanner, da sie das Ergebnis beeinflussen.
• Starte die Zoek.exe mit einem Doppelklick (nur Windows XP-Benutzer).
• Windows Vista/7 Benutzer starten das Tool bitte per Rechtsklick auf das Icon und wählen "Als Administrator starten".
• Kopiere untenstehende Code in das Textfeld:
  

  DIR /S /A:L "%systemdrive%\*">>"%temp%\log.txt";b
           

• Nun klicke auf "Run script" und warte geduldig, bis der Scan durchgelaufen ist.
• Wenn das Tool fertig ist, wird sich Notepad mit dem Logfile öffnen (ggfs. erst nach einem Neustart).
  Nachträglich kannst Du den Bericht unter c:\zoek-results.log einsehen.
• Poste mir das Log File zoek-results.log

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

• Starte bitte die mbar.exe.
• Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
• Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut.
• Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

Also ersters habe ich jetzt geamcht, das andere lade ich gerade !

Zoek.exe Version 4.0.0.2 Updated 21-May-2013
Tool run by User on 21.05.2013 at 14:53:09,21.
Microsoft Windows XP Home Edition 5.1.2600 Service Pack 3 x86
Running in: Normal Mode Internet Access Detected

==== Older Logs ======================

C:\zoek-results21.05.2013-1328.log	16847 bytes

==== Batch Command(s) Run By Tool======================

 Volume in Laufwerk C: hat keine Bezeichnung.
 Volumeseriennummer: 6440-AD66

 Verzeichnis von C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices

20.05.2013  11:20    <VERBINDUNG>   2.0.0.0__b03f5f7f11d50a3a
               0 Datei(en)              0 Bytes

 Verzeichnis von C:\WINDOWS\assembly\GAC_MSIL\IEExecRemote

20.05.2013  11:19    <VERBINDUNG>   2.0.0.0__b03f5f7f11d50a3a
               0 Datei(en)              0 Bytes

     Anzahl der angezeigten Dateien:
               0 Datei(en)              0 Bytes
               2 Verzeichnis(se), 138.429.771.776 Bytes frei

==== EOF on 21.05.2013 at 15:03:19,28 ======================
         

Das kam beim ersten Mal raus

Malwarebytes Anti-Rootkit BETA 1.05.0.1001
www.malwarebytes.org

Database version: v2013.05.21.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
User :: USER-ACE66B953B [administrator]

21.05.2013 15:25:07
mbar-log-2013-05-21 (15-25-07).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled: 
Objects scanned: 25020
Time elapsed: 15 minute(s), 17 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 2
HKCU\SOFTWARE\fcn (Rogue.Residue) -> Delete on reboot.
HKCU\SOFTWARE\CLASSES\CLSID\{fbeb8a05-beee-4442-804e-409d6c4515e9} (Hijack.Trojan.Siredef.C) -> Delete on reboot.

Registry Values Detected: 1
HKLM\SOFTWARE\MICROSOFT\WINDOWS\CURRENTVERSION\SHELLSERVICEOBJECTDELAYLOAD|CDBurn (Hijack.Trojan.Siredef.C) -> Data: {fbeb8a05-beee-4442-804e-409d6c4515e9} -> Delete on reboot.

Registry Data Items Detected: 3
HKCU\SOFTWARE\CLASSES\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9}\INPROCSERVER32| (Trojan.0Access) -> Bad: (C:\RECYCLER\S-1-5-21-842925246-1532298954-725345543-1004\$03d12fa1ead2eaedc814ca889bc907e0\n.) Good: (shell32.dll) -> Delete on reboot.
HKLM\SOFTWARE\CLASSES\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\INPROCSERVER32| (Trojan.0Access) -> Bad: (C:\RECYCLER\S-1-5-18\$03d12fa1ead2eaedc814ca889bc907e0\n.) Good: (fastprox.dll) -> Delete on reboot.
HKLM\SOFTWARE\CLASSES\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\INPROCSERVER32| (Hijack.Trojan.Siredef.C) -> Bad: (C:\RECYCLER\S-1-5-18\$03d12fa1ead2eaedc814ca889bc907e0\n.) Good: (%systemroot%\system32\wbem\fastprox.dll) -> Delete on reboot.

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)
         

Das beim zweiten Mal

Malwarebytes Anti-Rootkit BETA 1.05.0.1001
www.malwarebytes.org

Database version: v2013.05.21.06

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
User :: USER-ACE66B953B [administrator]

21.05.2013 17:45:00
mbar-log-2013-05-21 (17-45-00).txt

Scan type: Quick scan
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P
Scan options disabled: 
Objects scanned: 25054
Time elapsed: 22 minute(s), 53 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 1
HKCU\SOFTWARE\CLASSES\CLSID\{FBEB8A05-BEEE-4442-804E-409D6C4515E9} (Hijack.Trojan.Siredef.C) -> Delete on reboot.

Registry Values Detected: 0
(No malicious items detected)

Registry Data Items Detected: 0
(No malicious items detected)

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)
         

• Bitte deaktiviere während des Scans alle Virenscanner, da sie das Ergebnis beeinflussen.
• Starte die Zoek.exe mit einem Doppelklick (nur Windows XP-Benutzer).
• Windows Vista/7 Benutzer starten das Tool bitte per Rechtsklick auf das Icon und wählen "Als Administrator starten".
• Kopiere untenstehende Code in das Textfeld:
  

  [HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run];r
  "sxcinrwb"=-;r
  c:\dokumente und einstellungen\user\lokale einstellungen\anwendungsdaten\sxcinrwb.exe;f
           

• Nun klicke auf "Run script" und warte geduldig, bis der Scan durchgelaufen ist.
• Wenn das Tool fertig ist, wird sich Notepad mit dem Logfile öffnen (ggfs. erst nach einem Neustart).
  Nachträglich kannst Du den Bericht unter c:\zoek-results.log einsehen.
• Poste mir das Log File zoek-results.log

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Anbei das Logfile von zoek

Zoek.exe Version 4.0.0.2 Updated 21-May-2013
Tool run by User on 22.05.2013 at  8:58:39,04.
Microsoft Windows XP Home Edition 5.1.2600 Service Pack 3 x86
Running in: Normal Mode Internet Access Detected

==== Older Logs ======================

C:\zoek-results21.05.2013-1328.log	16847 bytes
C:\zoek-results21.05.2013-1503.log	1019 bytes

==== Registry Fix Code ======================

Windows Registry Editor Version 5.00

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run] 
"sxcinrwb"=- 

==== Deleting Files \ Folders ======================

"c:\dokumente und einstellungen\user\lokale einstellungen\anwendungsdaten\sxcinrwb.exe" not found 

==== EOF on 22.05.2013 at  8:59:30,48 ======================
         

Das Logfile von ADW Cleaner:

# AdwCleaner v2.301 - Datei am 22/05/2013 um 09:06:51 erstellt
# Aktualisiert am 16/05/2013 von Xplode
# Betriebssystem : Microsoft Windows XP Service Pack 3 (32 bits)
# Benutzer : User - USER-ACE66B953B
# Bootmodus : Normal
# Ausgeführt unter : C:\Dokumente und Einstellungen\User\Desktop\adwcleaner.exe
# Option [Löschen]


**** [Dienste] ****


***** [Dateien / Ordner] *****

Datei Gelöscht : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\sxcinrwb.dat
Datei Gelöscht : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\sxcinrwb_nav.dat
Datei Gelöscht : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\sxcinrwb_navps.dat
Ordner Gelöscht : C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Trymedia
Ordner Gelöscht : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\Conduit
Ordner Gelöscht : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\PackageAware

***** [Registrierungsdatenbank] *****

Schlüssel Gelöscht : HKCU\Software\Conduit
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\{79A765E1-C399-405B-85AF-466F52E918B0}
Schlüssel Gelöscht : HKCU\Software\PriceGong
Schlüssel Gelöscht : HKCU\Software\SmartBar
Schlüssel Gelöscht : HKCU\Software\YahooPartnerToolbar
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\CLSID\{3C471948-F874-49F5-B338-4F214A2EE0B1}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Toolbar.CT3202918
Schlüssel Gelöscht : HKLM\Software\Conduit
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\1632171a2b8ea5e52fba4dd4436f4b4a

***** [Internet Browser] *****

-\\ Internet Explorer v8.0.6001.18702

[OK] Die Registrierungsdatenbank ist sauber.

-\\ Mozilla Firefox v5.0 (de)

Datei : C:\Dokumente und Einstellungen\User\Anwendungsdaten\Mozilla\Firefox\Profiles\keplzxyh.default\prefs.js

C:\Dokumente und Einstellungen\User\Anwendungsdaten\Mozilla\Firefox\Profiles\keplzxyh.default\user.js ... Gelöscht !

[OK] Die Datei ist sauber.

-\\ Google Chrome v26.0.1410.64

Datei : C:\Dokumente und Einstellungen\User\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Preferences

[OK] Die Datei ist sauber.

*************************

AdwCleaner[S1].txt - [2323 octets] - [22/05/2013 09:06:51]

########## EOF - C:\AdwCleaner[S1].txt - [2383 octets] ##########
         

Merkst Du momentan noch einige Probleme?

Downloade Dir bitte SecurityCheck und:

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
• Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Also gerade scheint es problemlos zu laufen...
Hoffentlich trügt der Schein nicht !

 Results of screen317's Security Check version 0.99.63  
 Windows XP Service Pack 3 x86   
 Internet Explorer 8  
``````````````Antivirus/Firewall Check:`````````````` 
 Avira Free Antivirus    
 Avira successfully updated! 
`````````Anti-malware/Other Utilities Check:````````` 
 Java(TM) 6 Update 29  
 Java(TM) 6 Update 7  
 Java version out of Date! 
 Adobe Flash Player 10 Flash Player out of Date! 
 Adobe Reader 10.1.7 Adobe Reader out of Date!  
 Mozilla Firefox 5.0 Firefox out of Date!  
 Google Chrome 26.0.1410.43  
 Google Chrome 26.0.1410.64  
````````Process Check: objlist.exe by Laurent````````  
 Avira Antivir avgnt.exe 
 Avira Antivir avguard.exe 
`````````````````System Health check````````````````` 
 Total Fragmentation on Drive C::  
````````````````````End of Log``````````````````````
         

Mach mal diese Check: https://www.mozilla.org/de/plugincheck/
Veraltete Plugins aktualisieren lassen.
Es is wichtig weil veraltete Software ein Sicherheitsrisiko ist.

Meine Meinung nach sieht sonst alles wieder sauber aus und sind wir fertig

Super vielen Dank! Ich hab jetzt alle Plugins noch aktualiiert und der Rechner funktioniert wieder!

Vielen Dank für deine tolle Hilfe!
Hätte ich alleine nie geschafft!!!!
Eine schöne Woche dir noch!
Und nochmal VIELEN DANK!!!!!

Ich habe dir gerne geholfen

Wir räumen jetzt noch ein wenig auf und dann habe ich am Ende etwas Lesestoff für dich.


Tools deinstallieren

Die Reihenfolge ist hier entscheidend.

1. Falls Defogger benutzt wurde: jetzt auf re-enable klicken.
2. Downloade Dir bitte auf jeden Fall delfix auf deinen Desktop:
   • Schließe alle offenen Programme.
   • Starte die delfix.exe mit einem Doppelklick.
   • Setze vor jede Funktion ein Häkchen.
   • Klicke auf Start.
   • DelFix entfernt u. a. alle verwendeten Programme und löscht sich abschließend selbst.
3. Sollten jetzt noch Programme aus unserer Bereinigung übrig sein kannst du sie bedenkenlos löschen.

Abschließend noch Tipps zu folgenden Themen:

• Systemupdates
• Softwareupdates
• Sicherheitssoftware
• Sicheres Surfen

Lesestoff:
Systemupdates
Man kann es gar nicht oft genug erwähnen, wie wichtig es ist, sein System aktuell zu halten. Dein Auto bringst du ja auch regelmässig zur Inspektion in die Werkstatt. Stelle also bitte sicher, dass die Systemupdates aktiviert sind:

• Bitte überprüfe, ob dein System Windows Updates automatisch herunter lädt:
• Windows Updates
  • Windows XP: Start --> Systemsteuerung --> Doppelklick auf Automatische Updates
  • Windows Vista / 7: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren
• Gehe sicher das die automatischen Updates aktiviert sind.

Lesestoff:
Softwareupdates
Ebenso wichtig wie die Systemprogramme ist auch die Software, die du täglich nutzt. Die folgende Liste gibt dir einen kleinen Überblick mit Links zu den Updates, welche Programme dringend aktuell gehalten werden müssen (falls du sie überhaupt installiert hast und nutzt), weil durch deren Sicherheitslücken oft Malware auf die Computer gelangen kann:

• Adobe Reader (Adobe - Adobe Reader herunterladen - Alle Versionen => Kein Haken bei "Ja, McAfee ...")
• Flash Plugin (Adobe - Adobe Flash Player installieren => Kein Haken bei "Ja, McAfee ...")
• Java (Download der kostenlosen Java-Software -> Kein Haken für die ASK-Toolbar während der Installation)
• Dein Browser inklusive aller Add-Ons. Das Trojaner-Board bietet dir auch einen Browser-Check.

Auch nicht gelistete Programme sind natürlich wichtig. Ob es für diese eine neue Version gibt, kannst du auf deren Herstellerwebseite oder ganz bequem mit diesen Tools überprüfen:

• Secunia Online Software
• FileHippo-Update-Checker

Lesestoff:
Sicherheitssoftware
Würde dich jemand nackt auf dem Motorrad auf der Autobahn überholen würdest du auch den Kopf schütteln. Dein Computer braucht auch einen Schutz vor den täglichen kleinen Angriffen durch Schädlinge. Neben hervorragenden kommerziellen Anti-Viren-Lösungen gibt es auch durchaus gute Schutzprogramme, die kostenfrei mit reduziertem Funktionsumfang erhältlich sind. Aber vorsicht, hier gilt nicht "je mehr desto besser". Was du brauchst ist genau einen Virenscanner mit Hintergrundwächter. Nicht mehr und nicht weniger. Es gibt hier viele Produkte auf dem Markt, die einem gute Dienste leisten. Ich persönlich empfehle dir Avast Free Antivirus. Es bietet relativ guten Schutz, bei wenig nerviger Werbung und installiert dir ein Browserplugin, das dich vor gefährlichen Webseiten warnt.

• Wenn du deine Antivirenlösung wechseln solltest, findest du hier Tools mit denen du die Überreste nach der Deinstallation deines alten Scanners entfernen kannst.
• Installiere niemals mehr als einen Virenscanner. Deren Hintergrundwächter würden sich gegenseitig behindern und dein System ausbremsen.
• Ein Browserplugin, das dich vor betrügerischen Webseiten schützt, kann dir gute Dienste leisten, wenn du dich nicht gut auskennst (siehe oben).
• Sorge dafür, dass deine Sicherheitslösung ständig up-to-date ist und sich automatisch Updates besorgt. Wenn du auf manuelle Updates setzt bist du meistens zu spät, da die Virendatenbanken oft täglich sogar mehrfach erneuert werden.
• Einen zusätzlichen Schutz (und dieser wäre auch erlaubt) bietet ein spezieller Malwarescanner. Hier empfehle ich dir dringend Malwarebytes und einmal wöchentlich damit zu scannen. In der kostenpflichtigen Version hat es sogar einen Hintergrundwächter. Hierfür haben wir eine Anleitung für dich.

Zuletzt empfehle ich dir deine Daten regelmässig (am besten automatisch) zu sichern. Dies kann eine professionelle Backuplösung, externe Festplatten, Brennen auf DVDs oder Überspielen auf ein Online-Laufwerk wie z.B. Dropbox sein. Erzeuge so viele Kopien wie möglich und halte sie aktuell. Nur so bist du auf den schlimmsten Fall vorbereitet, wenn dein Computer - wodurch auch immer - unbrauchbar werden sollte. Leider passiert das ja immer unangekündigt und immer dann wenn man ihn am Nötigsten braucht. Also sorge vor!

Lesestoff:
Sicheres Surfen
Zunächst muss man sagen, dass es üblicherweise immer der menschliche Faktor ist, der es Malware ermöglicht auf einen Computer zu gelangen. Kaufst du Leuten, die an deiner Haustür klingeln, auch sofort ohne nachzudenken irgendwelches Zeug ab? Gewöhne dir daher zunächst einige Verhaltensregeln beim Surfen im Internet an:

• Klicke nicht irgendwo hin, nur weil es bunt ist und leuchtet, in einer Ecke aufpoppt oder so aussieht, als wäre es eine Systemmeldung.
• Lade dir keine illegale Software, keine Cracks, keine Keygens, keine Gametrainer usw ... die Webseiten, die so etwas anbieten, sind meist nicht seriös und die angeblichen Helfer sind meist verseuchter als du es dir ausmalen würdest. Es spielt dabei keine Rolle, ob du diese Dateien über einen Browser oder Filesharingprogramme beziehst.
• Öffne keine Emailanhänge von Leuten, die du nicht kennst, Emails mit seltsamen Rechtschreibfehlern oder starte Dateien, die dir eine Webseite anbietet, ohne dass du sie wolltest.
• Lasse niemand an deinem Computer surfen, der diese Regeln nicht auch befolgt.
• Verlasse dich nicht darauf, dass dein Virenscanner schon alles findet. Keine Sicherheitslösung ist 100% sicher!

Aber selbst bei der peinlichen Einhaltung dieser Regeln kann es dennoch zu einer sogenannten Drive-By-Infektion kommen, bei der ein Schädling aus dem Schutzmechanismus des Webbrowsers ausbricht. Um die Sicherheit noch weiter zu erhöhen gibt es spezielle Schutzsoftware, die deinen Browser noch weiter absichert.

• WOT (Web of trust) Dieses Add-On warnt Dich bevor Du eine als schädlich gemeldete Seite besuchst. Hinweis: Avast enthält ein solches Plugin bereits.
• Sandboxie schafft eine zusätzliche isolierte Programmumgebung, damit dein Browser wie ein Kleinkind im Sandkasten sicher ist. (Anleitung: Sandboxie)
• Securebanking ist ein Software, die Verbindungen untersucht und dir meldet, wenn jemand "mithört". Wie der Name sagt, wurde es entwickelt, damit Onlinebanking wirklich sicher ist. Mehr Infos auf der Homepage: Secure Banking

Zuletzt denke bitte über die Benutzung eines alternativen Browsers nach. Programme, die nicht so oft verwendet werden, sind auch nicht so sehr im Focus der "bösen Jungs". D.h. du bist mit einem exotischen Browser eher auf der sicheren Seite. Grundsätzlich bist du erst einmal deutlich sicherer, wenn du nicht den Internet Explorer benutzt.

• Firefox, Opera, Chrome, ...
• ... mehr findest du auf Microsofts eigener Browserauswahlwebseite.

Damit wünsche ich dir noch viel Spaß beim Surfen im Internet

... und vielleicht möchtest du ja das Trojaner-Board unterstützen?

Grüße
Smeenk