Guten Abend liebes Forum,

ich habe bereits recherchiert und versucht, dem Fehler selbst auf die Spur zu kommen. Aber ich tappe im Dunkeln, da offensichtlich mehrere Schritte notwendig sind, um Trojaner auszulöschen. Und ich gebe zu, ich bin komplett überfordert

Was ist passiert? Nachdem ich mittels Antivir fast wöchrntlich zahlreiche Trojaner (Viren) gelöscht habe, tauchten immer wieder Sytsemfehler auf. Irgendwie hat es den Anschein, dass mein Laptop regelmäßig infiziert wird, trotz täglichem Updates.

Seit neustem tauchen zwei Fenster auf:
Fehler beim Laden von c:\Windows\ogubogise.dll
Fehler beim Laden von c:\WIndows\ax8132.dll

Ich habe heute Abend mit Hilfe von Malwarebytes einen Check gemacht. Dabei entstand das folgende Protokoll:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5471

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

06.01.2011 20:06:51
mbam-log-2011-01-06 (20-06-51).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 159413
Laufzeit: 7 Minute(n), 45 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 20
Infizierte Registrierungswerte: 5
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 11
Infizierte Dateien: 21

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\CLSID\{147A976F-EEE1-4377-8EA7-4716E4CDD239} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{84DA4FDF-A1CF-4195-8688-3E961F505983} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{A4730EBE-43A6-443e-9776-36915D323AD3} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{00A6FAF1-072E-44CF-8957-5838F569A31D} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{01E69986-A054-4C52-ABE8-EF63DF1C5211} (Adware.Softomate) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{07B18EA1-A523-4961-B6BB-170DE4475CCA} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{56256A51-B582-467e-B8D4-7786EDA79AE0} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\MyWebSearch.PseudoTransparentPlugin (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\MyWebSearch.PseudoTransparentPlugin.1 (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\AdTools, Inc. (Adware.AdTools) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Fun Web Products (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\MyWebSearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\FocusInteractive (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Fun Web Products (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\FunWebProducts (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\MyWebSearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Multimedia\WMPlayer\Schemes\f3pss (Adware.MyWebSearch) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\userinit.exe (Security.Hijack) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{01E69986-A054-4C52-ABE8-EF63DF1C5211} (Adware.Softomate) -> Value: {01E69986-A054-4C52-ABE8-EF63DF1C5211} -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{01E69986-A054-4C52-ABE8-EF63DF1C5211} (Adware.Softomate) -> Value: {01E69986-A054-4C52-ABE8-EF63DF1C5211} -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\{F99BB58E-784B-509B-4049-77514EEA4F0A} (Trojan.ZbotR.Gen) -> Value: {F99BB58E-784B-509B-4049-77514EEA4F0A} -> Delete on reboot.
HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\ONWERETETR.exe (Trojan.SpyEyes) -> Value: ONWERETETR.exe -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\nonep (Trojan.Agent) -> Value: nonep -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
c:\programme\funwebproducts (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\PopSwatr (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\PopSwatr\History (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\screensaver (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\screensaver\Images (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\Shared (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar\History (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar\Settings (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\onweretetr.exe (Trojan.SpyEyes) -> Quarantined and deleted successfully.

Infizierte Dateien:
c:\WINDOWS\system32\netsvr32.dll (Trojan.Agent) -> Quarantined and deleted successfully.
c:\WINDOWS\nlsfrace.dll (Trojan.Agent) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\anwendungsdaten\Adobe\plugs\kb1058062.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.23474473791857364.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\WINDOWS\Temp\0.08943418017096338.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\WINDOWS\Temp\0.20053481285873764.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.3015787679922387.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.4064648060103294.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.4996776600332711.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.7039261853843766.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.7936107318875554.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.8560567162896585.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\lokale einstellungen\Temp\0.8567815900794756.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
c:\dokumente und einstellungen\Dresi\anwendungsdaten\Ycihg\orir.exe (Trojan.ZbotR.Gen) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\PopSwatr\History\allowed (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\PopSwatr\History\notallow (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\funwebproducts\screensaver\Images\0005A957.urr (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar\History\search2 (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar\Settings\prevcfg2.htm (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\programme\mywebsearch\bar\Settings\s_pid.dat (Adware.MyWebSearch) -> Quarantined and deleted successfully.
c:\onweretetr.exe\config.bin (Trojan.SpyEyes) -> Quarantined and deleted successfully.

Ich habe die Schadensstifter gelöscht, die beiden Fenster sind trotzdem noch existent. Ich komme leider nicht weiter. Vlt. könnt ihr mir helfen?

Danke einstweilen!

Hallo und

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

DAAANNNKKEEE!
Ich arbeite mich nun Schritt für Schritt durch und hoffe, dass ich irgendwann erfolgreich bin.

Hier zunächst das Protokoll vom Vollscan:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 5471

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

08.01.2011 01:07:36
mbam-log-2011-01-08 (01-07-36).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 262619
Laufzeit: 1 Stunde(n), 16 Minute(n), 1 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\system volume information\_restore{f5f8d2e0-ead8-4916-9645-b4c4852924c3}\RP954\A0455389.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\WINDOWS\system32\config\systemprofile\lokale einstellungen\temporary internet files\Content.IE5\05EVKPEV\fdm[1].exe (Trojan.Agent) -> Quarantined and deleted successfully.

Um OTL kümmere ich mich anschließend.

Bis dahin!

Anbei die OTL-Logs
Danke für die Mühe!

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

:OTL
O4 - HKLM..\Run: [CFSServ.exe]  File not found
O4 - HKCU..\Run: [bqOoiBHVMC.exe] C:\DOKUME~1\Dresi\LOKALE~1\Temp\bqOoiBHVMC.exe File not found
O4 - HKCU..\Run: [Codeckb] C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain\mscrt.exe ()
O4 - HKCU..\Run: [jdsfjsdijf.exe] C:\jdsfjsdijf.exe\jdsfjsdijf.exe File not found
O4 - HKCU..\Run: [RestorData.exe] C:\RestorData.exe\RestorData.exe File not found
O4 - HKCU..\Run: [Wkihoheseweriq] C:\WINDOWS\ax8132.DLL File not found
O33 - MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\Shell - "" = AutoRun
O33 - MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\Shell\AutoRun\command - "" = F:\setup_vmc_lite.exe -- File not found
O33 - MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\Shell - "" = AutoRun
O33 - MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\Shell\AutoRun\command - "" = F:\setup_vmc_lite.exe -- File not found
[2010.12.20 22:18:21 | 000,000,000 | ---D | C] -- C:\Programme\tmp
[2010.12.20 21:36:10 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain
[2010.12.20 20:31:19 | 000,000,000 | ---D | C] -- C:\Programme\QZYWgHtC
[2010.12.20 19:51:55 | 000,000,000 | ---D | C] -- C:\Programme\nGWIgfCO
[2010.12.20 18:20:26 | 000,000,000 | ---D | C] -- C:\Programme\mxoKjQYJ
[2010.12.20 17:20:54 | 000,000,000 | ---D | C] -- C:\Programme\win
[2010.12.19 00:09:29 | 000,000,000 | ---D | C] -- C:\Programme\windows
[2010.12.14 21:12:07 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Ycihg
[2010.12.14 21:12:07 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Vuys
[2010.12.13 13:21:52 | 000,000,000 | ---D | C] -- C:\Programme\sXUAHcXp
[2006.07.12 10:23:20 | 000,053,248 | ---- | C] ( ) -- C:\WINDOWS\System32\DLLVGA.dll
[2010.12.28 21:18:12 | 000,000,120 | ---- | M] () -- C:\WINDOWS\Byujisayikovuviy.dat
[2010.12.12 20:24:23 | 000,000,016 | ---- | C] () -- C:\WINDOWS\System32\dmlconf.dat
[2010.12.09 21:06:23 | 000,000,120 | ---- | C] () -- C:\WINDOWS\Byujisayikovuviy.dat
[2010.12.09 21:06:23 | 000,000,000 | ---- | C] () -- C:\WINDOWS\Lgididub.bin
[2010.12.31 15:48:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain
[2010.11.27 20:16:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Dauqov
[2010.11.22 17:40:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Oneg
[2010.11.27 17:23:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Oszo
[2010.12.14 18:25:56 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Usseuv
[2007.05.06 21:27:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix
[2011.01.06 19:40:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Vuys
[2011.01.06 20:06:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Ycihg
[2010.11.21 21:07:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Yxfof
[2010.12.14 21:12:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Yxybo
:Files
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain
C:\jdsfjsdijf.exe
C:\RestorData.exe
:Commands
[purity]
[resethosts]
[emptytemp]
         

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Wow
So sehen also Böhmische Dörfer aus

Vielen Dank!
Der Rechner wurde neu gestartet und wie es aussieht, ist ein Fehlerfenster schon mal verschwunden.

Der Log ist folgender (ich konnte ihn nicht anfügen, da "Fehler beim Hochladen"):

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\CFSServ.exe deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\bqOoiBHVMC.exe deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Codeckb deleted successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain\mscrt.exe moved successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\jdsfjsdijf.exe deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\RestorData.exe deleted successfully.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\\Wkihoheseweriq deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{118ac6f8-82ce-11de-a0fe-0018de00cb8d}\ not found.
File F:\setup_vmc_lite.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e8bfa7ca-82d1-11de-a0ff-0018de00cb8d}\ not found.
File F:\setup_vmc_lite.exe not found.
Folder C:\Programme\QZYWgHtC [2010.12.20 19:51:55 | 000,000,000 | ---D | C] -- C:\Programme\nGWIgfCO [2010.12.20 18:20:26 | 000,000,000 | ---D | C] -- C:\Programme\mxoKjQYJ [2010.12.20 17:20:54 | 000,000,000 | ---D | C] -- C:\Programme\win\ not found.
C:\Programme\windows folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Ycihg folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Vuys folder moved successfully.
C:\Programme\sXUAHcXp folder moved successfully.
C:\WINDOWS\system32\DLLVGA.dll moved successfully.
C:\WINDOWS\Byujisayikovuviy.dat moved successfully.
C:\WINDOWS\system32\dmlconf.dat moved successfully.
File C:\WINDOWS\Byujisayikovuviy.dat not found.
C:\WINDOWS\Lgididub.bin moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Dauqov folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Oneg folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Oszo folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Usseuv folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix\html folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix\extrainfo folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix\extensions folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix\database folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\verbix folder moved successfully.
Folder C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Vuys\ not found.
Folder C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Ycihg\ not found.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Yxfof folder moved successfully.
C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Yxybo folder moved successfully.
========== FILES ==========
File\Folder C:\Dokumente und Einstellungen\Dresi\Anwendungsdaten\Crttwain not found.
C:\jdsfjsdijf.exe folder moved successfully.
C:\RestorData.exe folder moved successfully.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49152 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 49286 bytes

User: Dresi
->Temp folder emptied: 108439048 bytes
->Temporary Internet Files folder emptied: 200966544 bytes
->Java cache emptied: 24330239 bytes
->FireFox cache emptied: 53095789 bytes
->Flash cache emptied: 160588 bytes

User: LocalService
->Temp folder emptied: 65536 bytes
->Temporary Internet Files folder emptied: 149371954 bytes
->Java cache emptied: 2455 bytes
->Flash cache emptied: 8576 bytes

User: NetworkService
->Temp folder emptied: 1006272 bytes
->Temporary Internet Files folder emptied: 73517565 bytes
->Java cache emptied: 11300 bytes
->Flash cache emptied: 10569 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 50774540 bytes
RecycleBin emptied: 3807567735 bytes

Total Files Cleaned = 4.262,00 mb


OTL by OldTimer - Version 3.2.20.1 log created on 01082011_230052

Files\Folders moved on Reboot...
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temp\Temporary Internet Files\Content.IE5\0RSXC20G\libre2874_mode=embed&layout=http%253A%252F%252Fskin.issuu.com%252Fv%252Fcolor%252Flayout.xml&backgroundColor=FFFFFF&showFli pBtn=true;ref=http___www.diariolibre.com_dlvirtual[1].gif not found!
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.Word\~WRS{30CFCFFB-CCDD-4973-B70C-FE63B44ECB5C}.tmp not found!
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.Word\~WRS{5A489CF0-68A4-42C6-AB26-EE8DE3F532C5}.tmp not found!
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XM0YLWEL\11[3].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XM0YLWEL\1[3].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XM0YLWEL\1[4].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XM0YLWEL\ads[8].htm moved successfully.
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XM0YLWEL\default[1].htm not found!
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WC3ID5DR\history_manager[1].htm moved successfully.
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WC3ID5DR\like[1].htm not found!
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\BV9ZIH1V\ai[4].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3YEVZUVW\1[2].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3YEVZUVW\ads[1].htm moved successfully.
C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3YEVZUVW\ads[2].htm moved successfully.
File\Folder C:\Dokumente und Einstellungen\Dresi\Lokale Einstellungen\Temporary Internet Files\Content.IE5\3YEVZUVW\like[1].htm not found!
C:\WINDOWS\temp\MPC9.tmp moved successfully.

Registry entries deleted on Reboot...

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Ich konnte endlich vollständig deine Punkte abarbeiten, vielen Dank!
Was mir dabei auffiel: ich kann Antivir nicht schließen bzw. beenden. Ich erinnere mich, dass man bei früheren Versionen mit einem Klick mit der rechten Maustaste auf das Symbl das Programm beenden konnte. Wo finde ich heute diese Möglichkeit?

Um auf den Punkt zu kommen: hier das Protokoll

Vielen Dank!

AntiVir kannst du so nicht beenden, nur deaktivieren oder (vorübergehend) deinstallieren.


Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Folder::
c:\programme\tmp
c:\programme\QZYWgHtC
c:\programme\nGWIgfCO
c:\programme\mxoKjQYJ
c:\programme\win
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Nochmal Danke!

Ich hoffe, ich habe alles richtig gemacht.

Mehr im Anhang.

Liebe Grüße zum Sonntagabend!

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur wenige Sekunden.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes