hiho zusammen.

so, habe ein dickes problem.

Habe vor ca 5 Wochen den Rechner meiner Schwiegereltern neu gemacht. Sprich neue Hardware und dann das System (Windows XP Pro SP2) neu aufgesetzt.
Habe dabei 3 Accounts angelegt:
- Admin-Account (habe nur ich Zugriff)
- Hauptbenutzer (Schwiegervater) auch Adminrechte
- Hauptbenutzer2 (Schwiegermutter) Nur zum Spielen und Inet stöbern

Soweit kein Problem.
Nun muß ich sagen das der werte Hauptbenutzer (leider ein wirklicher PC-Laie mit geringem Lernfaktor) gerne mal Sexseiten anschaut und sich damit vorher den Rechner komplett zerschossen hat. Auch sonst testet er eben da gerne mal rum und klickt gerne mal alles an.
Gestern Abend rief er an, das er nichts mehr machen kann. Keine Programme starten usw. Da für mich eine Ferndiagnose nicht wirklich möglich war, wollte ich mir den Rechner eben mal anschauen (heute morgen).
Das habe ich dann auch getan und folgendes war dann der Fall:
- Es werden keine Festplatten/Partitionen mehr angezeigt
- Über der Systemuhr steht VIRUSALARM
- Weisser Desktop (Icons waren noch da, aber teils nicht funktionsfähig)
- Beim öffnen des IE kam dann eine Seite die einem sagte das der Rechner mit Malware befallen sei und man bitte den unterstehenden Link anklicken soll zum entfernen der Malware.

Antivir spuckte dann beim durchlaufen aus, das ein Virus/Trojaner Namens BAT/Fake.Privdanger gefunden wurde.
Da das Inet nicht wollte, habe ich einfach mal den Rechner neugestartet und meinen Admin-Account geladen (Vorher zur Sicherheit das Internet abgestöpselt). Es traten keine Fehler oder Warnungen auf.
Also nochmal Antivir laufen lassen, befallene Datei (desktop-background.zip) entfernt.
Danach Internet wieder angestöpselt und mir versucht über Antivir-Seite Infos zu dem Befund zu holen. Den Virus/Trojaner haben die aber "so" nicht in Ihrer Virendatenbank.
Also mal bei Google geschaut und der erste Link führte mich zu Eurer Seite.
da hatte auch jemand den Virus und somit hatte ich ne Anleitung wie es gehen könnte.

Habe das alles dann von meinem Account gemacht, aber Ergebniss war, das es nichts brachte.
Habe den Rechner nun abgebaut und mitgenommen. Ich weiss das die Kiste noch nicht zualt ist (5 Wochen) und ich somit das System nochmal neu aufsetzen könnte, aber da sind ein paar wichte Emails drauf an die ich nicht drankomme. Wie gesagt, über seinen Account zeigt er keine Festpaltten/Partitionen an und über meinen habe ich nach dem Mails gesucht, aber der Ordner war leer. Ich weiss nun nicht wie ich das am besten mache. Die Sache mit smitfraudFix über meinen Account brachte auch nichts. Muß ich das über seinen Account laufen lassen? wenn ja, wie am besten, da bei Ihm ja keine HDD angezeigt werden.

Ach so, als ich mich von meinem Account ins Internet eingeloggt habe, kamm gleine eine Nachricht wegen Malware und ein Extrafenster (Sieht dem Windows-Sicherheitscenter extrem ähnlich, nur in Englisch).

Habe jetzt noch nichts weiter gemacht, da ich mir erstmal ein paar Infos einholen möchte.

So, danke vorab für Hilfen und Tipps.

Gruß
juppie

Hallo und

Lade dir bitte HijackThis runter und erstelle damit ein Logfile, poste es anschließend hier.

Außerdem mache einen Komplettscan mit Malwarebytes und poste den Report hier.

moin moin und danke für das willkommen

werde die sache gleich in angriff newhmen und beide ergebnisse posten.

so beide proggies durchlaufen lassen vom Admin-Account.
lief soweit problemlos. 3 sachen gefunden.
lasse es eben nochmal auf dem verseuchten account laufen.
werde danach dann die entsprechenden logs posten.
werde auch noch nen screen machen wenn es geht vom desktop. muss ich wohl aber mit cam machen, da mir ja keine HDD angezeigt wird


So, eben beide proggies auf dem seuchenacc laufen lassen. malwarebyte hat 14 sachen gefunden und behoben. danach folgte ein autoneustart. und siehe da, alles ging danach wieder. lasse aber dennoch alles nochmal laufen.
werde aber die logs wohl erst heute abend oder morgen posten können, da ich noch nen wichtigen termin bekommen habe.

habe mir auch nochmal den verlauf angesehen und habe auch das prob gefunden. eine seite die der windows-sicherheitsseite gleicht. wenn man auf schliessen geht, kommt in englisch eine nachricht. bei "OK" wird das programm ausgeführt. tjo, der gute mann kann leider kein englisch, daher tippe ich drauf das er einfach ok geklickt hat und somit alles ins rollen brachte.
verlauf habe ich nun gelöscht.
aber soweit erstmal dank für die hilfe

gruß
juppie