Hallo,

irgendwie bekomme ich den kompletten Scan von ComboFix nicht durch. Scheinbar bleiben trotz Deaktivierung von GDATA AntiVir noch Programmroutinen aktiv. Diesmal hat es bis zum Reboot des Rechners funktioniert, allerdings hat sich Combofix dann wieder während des Reboots aufgehängt, als GDATA reingeladen wurde. GDATA kann ich nur für begrenzte Zeit abschalten und es aktiviert sich selbst wieder bei einem Reboot. Hier eine vermutlich unvollständige Log-Datei:


ComboFix 11-06-26.03 - ***27.06.2011 16:44:18.3.4 - x64
Microsoft Windows 7 Home Premium 6.1.7601.1.1252.49.1031.18.6143.4488 [GMT 2:00]
ausgeführt von:: C:\Downloads\ComboFix.exe
AV: G Data AntiVirus 2012 *Disabled/Updated* {39B780B4-63C2-05B0-3B40-8F7A21E4F496}
SP: G Data AntiVirus 2012 *Disabled/Updated* {82D66150-45F8-0A3E-01F0-B4085A63BE2B}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}


(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))


C:\Users\***\AppData\Local\Temp\9b93aee4-5d0f-43c6-98ae-ec0b1e7534ab\CliSecureRT.dll


((((((((((((((((((((((( Dateien erstellt von 2011-05-27 bis 2011-06-27 ))))))))))))))))))))))))))))))


2011-06-27 15:04:57 . 2011-06-27 15:04:57 -------- d-----w- C:\Users\DefaultAppPool\AppData\Local\temp
2011-06-27 15:04:57 . 2011-06-27 15:04:57 -------- d-----w- C:\Users\Default\AppData\Local\temp
2011-06-26 14:01:44 . 2011-06-26 14:01:44 -------- d-----w- C:\_OTL
2011-06-26 08:34:33 . 2011-05-29 07:11:30 39984 ----a-w- C:\Windows\SysWow64\drivers\mbamswissarmy.sys
2011-06-26 08:34:22 . 2011-06-26 08:34:34 -------- d-----w- C:\Program Files (x86)\Malwarebytes' Anti-Malware
2011-06-25 13:14:21 . 2011-06-25 13:14:21 -------- d-----w- C:\Users\***\AppData\Roaming\Malwarebytes
2011-06-25 13:13:56 . 2011-06-25 13:13:56 -------- d-----w- C:\ProgramData\Malwarebytes
2011-06-25 13:13:46 . 2011-05-29 07:11:20 25912 ----a-w- C:\Windows\system32\drivers\mbam.sys
2011-06-24 15:08:33 . 2011-06-07 17:10:37 8873296 ----a-w- C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{8B7E5CB2-9E51-4BB3-BD33-622017EA2CF2}\mpengine.dll
2011-06-19 09:48:15 . 2010-01-01 08:00:00 2106216 ----a-w- C:\Program Files (x86)\Mozilla Firefox\D3DCompiler_43.dll
2011-06-19 09:48:15 . 2010-01-01 08:00:00 1998168 ----a-w- C:\Program Files (x86)\Mozilla Firefox\d3dx9_43.dll
2011-06-17 07:03:03 . 2011-06-17 07:03:03 -------- d-----w- C:\Program Files (x86)\Common Files\Java
2011-06-16 14:18:22 . 2011-04-25 05:33:51 1923968 ----a-w- C:\Windows\system32\drivers\tcpip.sys
2011-06-16 14:18:22 . 2011-04-25 02:34:03 499200 ----a-w- C:\Windows\system32\drivers\afd.sys
2011-06-16 14:18:20 . 2011-04-27 02:40:40 158208 ----a-w- C:\Windows\system32\drivers\mrxsmb.sys
2011-06-16 14:18:20 . 2011-04-27 02:39:40 289280 ----a-w- C:\Windows\system32\drivers\mrxsmb10.sys
2011-06-16 14:18:20 . 2011-04-27 02:39:37 128000 ----a-w- C:\Windows\system32\drivers\mrxsmb20.sys
2011-06-16 14:18:18 . 2011-05-28 03:06:58 3135488 ----a-w- C:\Windows\system32\win32k.sys
2011-06-16 14:18:16 . 2011-04-29 03:06:10 467456 ----a-w- C:\Windows\system32\drivers\srv.sys
2011-06-16 14:18:16 . 2011-04-29 03:05:49 410112 ----a-w- C:\Windows\system32\drivers\srv2.sys
2011-06-16 14:18:16 . 2011-04-29 03:05:37 168448 ----a-w- C:\Windows\system32\drivers\srvnet.sys
2011-06-16 14:18:12 . 2011-02-25 06:22:22 861696 ----a-w- C:\Windows\system32\oleaut32.dll
2011-06-16 14:18:11 . 2011-02-25 05:34:36 571904 ----a-w- C:\Windows\SysWow64\oleaut32.dll
2011-06-16 14:18:08 . 2011-05-03 05:29:29 976896 ----a-w- C:\Windows\system32\inetcomm.dll
2011-06-16 14:18:08 . 2011-05-03 04:30:02 741376 ----a-w- C:\Windows\SysWow64\inetcomm.dll
2011-06-07 10:35:34 . 2011-06-07 10:35:34 103864 ----a-w- C:\Program Files (x86)\Mozilla Firefox\plugins\nppdf32.dll
2011-06-07 10:35:34 . 2011-06-07 10:35:34 103864 ----a-w- C:\Program Files (x86)\Internet Explorer\Plugins\nppdf32.dll
2011-06-05 11:13:33 . 2004-06-26 15:39:18 438272 ----a-w- C:\Windows\SysWow64\vp6vfw.dll
2011-06-05 11:09:04 . 2011-06-05 11:09:38 -------- d-----w- C:\Program Files (x86)\eRightSoft
.


(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))

Deinstallier GDATA mal vorübergehend komplett und starte CF nochmal.

Cosinus: Kannst du ein kurzes Statement abgeben, ob mein Rechner sauber ist. Ich muss täglich an dem Gerät arbeiten.

Nein kann ich noch nciht beurteilen.

Nachdem GDATA deinstalliert ist, klappt es mit dem Log. Er befindet sich im Anhang.

Nachtrag: Sehe, Combofix hat mir einige Files in Quarantäne geschoben. Sind allerdings alles Files, die mit dem offiziellen Smartphone-Verbindungsprogramm von Samsung für mein Smartphone mitgeliefert werden. Sollten also alle unbedenklich sein.

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur wenige Sekunden.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hier der Log im Anhang.

Muss man sich wegen dieser Einträge Gedanken machen? Oder ist das ein non-standard Eintrag?


Size Device Name MBR Status
--------------------------------------------
596 GB \\.\PhysicalDrive0 Windows 7 MBR code detected
SHA1: 4379A3D43019B46FA357F7DD6A53B45A3CA8FB79
596 GB \\.\PhysicalDrive1 Unknown MBR code
SHA1: B8E2175818464D3FFEB1C1B647995AD0F49BFDB5


Found non-standard or infected MBR.

Eigentlich nicht.
Wofür ist denn die zweite Festplatte drin?
Die erste Platte mit intaktem MBR ist in C und E unterteilt, die zweite Platte mit für mbrcheck unbekanntem MBR hat anscheinend nur Partition D. Unbekannte MBRs sind wenn überhaupt nur ein Problem bei Festplatten, von dem das Betriebssystem gestartet wird.


Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!


Anschließend über den OnlineScanner von ESET eine zusätzliche Meinung zu holen ist auch nicht verkehrt:


ESET Online Scanner

• Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
• Lade und starte Eset Online Scanner
• Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
• Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
• Klicke auf Starten.
• Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
• Klicke am Ende des Suchlaufs auf Fertig stellen.
• Schließe das Fenster von ESET.
• Explorer öffnen.
• C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
• Logfile hier posten.
• Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
• Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Die HDD D: ist nur eine Datenfestplatte, keine Boot-Platte.

SASW meldet keine Malware (Log finde ich nicht - meldet aber, alles sauber)
Malwarebytes habe ich ja vorgestern im Vollscan durchlaufen lassen.

Sieht eigentlich alles gut aus, oder?

Ok, dann mach nur noch den Scan mit ESET.
Malwarebytes würde zur Kontrolle auch ein Quickscan reichen mit aktuellen Signaturen.

Hallo Cosinus,

abschließend vielen Dank für deine unermüdliche Einsatzbereitschaft. Am Wochenende werde ich mal den Onlinescan durchlaufen lassen. Bin aber guter Dinge, dass der Rechner sauber ist.

Bin aber guter Dinge, dass der Rechner sauber ist.

Bin ich auch, aber wir machen zur Kontrolle besser die Scans

Hallo Cosinus,

besser spät als nie Hier der Log:

ESETSmartInstaller@High as downloader log:
all ok
# version=7
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6528
# api_version=3.0.2
# EOSSerial=cbf123f7ef5a5142ad5f541d34e9a01b
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=true
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2011-07-08 07:40:46
# local_time=2011-07-08 09:40:46 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=4096 16777215 100 0 341581 341581 0 0
# compatibility_mode=5893 16776573 100 94 885 61762457 0 0
# compatibility_mode=8192 67108863 100 0 181 181 0 0
# scanned=318174
# found=2
# cleaned=0
# scan_time=21439
C:\Downloads\Nero-8.3.13.0_all_update.exe Win32/Toolbar.AskSBar application (unable to clean) 00000000000000000000000000000000 I
D:\Downloads\Nero-8.3.13.0_all_update.exe Win32/Toolbar.AskSBar application (unable to clean) 00000000000000000000000000000000 I

Die beiden Dateien von Nero dürften nicht infiziert sein. Das sind Updates des Herstellers.

Ja das ist auch ok kannste ignorieren. ESET erkennt da nur Adware drin, weil manche Installer diese Adware in Form von Toolbars enthalten.
Rechner wieder im Lot?