Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop.

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte aswMBR.exe und speichere die Datei auf deinem Desktop.

• Starte die aswMBR.exe - (aswMBR.exe Anleitung)
  Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
• Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
  Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
  
• Klicke auf Scan.
• Warte bitte bis Scan finished successfully im DOS-Fenster steht.
• Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

und weiter geht's:

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-14 20:51:01
-----------------------------
20:51:01.813 OS Version: Windows 6.0.6002 Service Pack 2
20:51:01.813 Number of processors: 2 586 0xF0D
20:51:01.813 ComputerName: FLUPPE-PC UserName: Fluppe
20:51:02.859 Initialize success
20:57:18.683 AVAST engine defs: 11111400
20:58:16.340 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
20:58:16.340 Disk 0 Vendor: Hitachi_ SB4O Size: 152627MB BusType: 3
20:58:16.371 Disk 0 MBR read successfully
20:58:16.371 Disk 0 MBR scan
20:58:16.371 Disk 0 unknown MBR code
20:58:16.387 Disk 0 scanning sectors +312578048
20:58:16.481 Disk 0 scanning C:\Windows\system32\drivers
20:58:33.984 Service scanning
20:58:35.403 Modules scanning
20:58:44.327 Disk 0 trace - called modules:
20:58:44.358 ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys
20:58:44.358 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85c8bac8]
20:58:44.358 3 CLASSPNP.SYS[883c38b3] -> nt!IofCallDriver -> [0x84a796c0]
20:58:44.373 5 acpi.sys[87a936bc] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-0[0x84a5e030]
20:58:45.107 AVAST engine scan C:\Windows
20:58:51.175 AVAST engine scan C:\Windows\system32
21:01:42.104 AVAST engine scan C:\Windows\system32\drivers
21:01:59.841 AVAST engine scan C:\Users\Fluppe
21:03:32.973 AVAST engine scan C:\ProgramData
21:04:07.169 Scan finished successfully
21:04:47.838 Disk 0 MBR has been saved successfully to "C:\Users\Fluppe\Desktop\MBR.dat"
21:04:47.853 The log file has been saved successfully to "C:\Users\Fluppe\Desktop\aswMBR.txt"

Die anderen logs sind im Anhang.

"{Default}" - ? - "%1" %* (Hidden registry entry, rootkit activity | System default value)
"PSUNCPL" - ? - C:\Windows\syst (File not found)

Bitte mit OSAM deaktivieren und löschen

20:58:16.371 Disk 0 unknown MBR code

Müssen wir evtl. fixen - hast du noch andere Betriebssysteme installiert oder zB mit TrueCrpyt die Platte verschlüsselt?

Hi Arne,

wir deaktivieren und löschen den Eintrag heut Abend.
Da ist nur Vista drauf und keine Verschlüsselung der Platte.

Heißt das, dass wir fast fertig sind mit der Bereinigung?

gruß subh

Ja fast. Mach heute abend dann das mit OSAM und poste das neue Log. Danach fixen wir den MBR.

alles klar, danke!

Hi Arne,

es hat nicht so ganz funktioniert.
Das ist passiert nach der Deaktivierung und Neustart:

1. Beim erneuten Starten (nach Deaktivierung) von OSAM kam kein Report (nur ein Fenster, in dem die beiden Einträge noch einmal standen, aber keine zusätzlichen Informationen)

2. als ich die Einträge dann erneut gesucht habe, um sie zu löschen, war dieser
"{Default}" - ? - "%1" %* (Hidden registry entry, rootkit activity | System default value)
auf einmal zweimal da (einer davon aktiviert).

Was tun?

Poste das neue OSAM-Log.

neues log file im anhang. der rootkit eintrag taucht immer neu auf nach neustart..

neues log file im anhang. der rootkit eintrag taucht immer neu auf nach neustart..

Wenn du den fixt, taucht der dann auch wieder doppelt auf?
Egal wie oft du den fixt, nach einem Neustart ist der wieder da?


Wir sollten den MBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht.

Hinweis: Mach bitte NICHT den MBR-Fix, wenn du noch andere Betriebssysteme wie zB Ubuntu installiert hast, ein MBR-Fix mit Windows-Tools macht ein parallel installiertes (Dualboot) Linux unbootbar.

Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR.
Anschließend Windows neu starten und ein neues Log mit aswMBR machen.

ja genau. wir deaktiveren das ding und löschen, nach neustart ist aber ein neuer aktivierter wieder da, den man halt nicht löschen kann, weil er aktiv ist.

wir machen uns mal an den mbr fix.

cu

mbr fix war erfolgreich. hier das neue log

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-17 14:16:47
-----------------------------
14:16:47.699 OS Version: Windows 6.0.6002 Service Pack 2
14:16:47.699 Number of processors: 2 586 0xF0D
14:16:47.715 ComputerName: FLUPPE-PC UserName: Fluppe
14:16:50.850 Initialize success
14:16:58.916 AVAST engine defs: 11111701
14:18:09.069 The log file has been saved successfully to "C:\Users\Fluppe\Desktop\aswMBR.txt"

Beim Erstellen des Log ist dir ein Fehler unterlaufen. Halt dich an die Anleitung zu aswMBR!

ach mist...hier das neue log:

aswMBR version 0.9.8.986 Copyright(c) 2011 AVAST Software
Run date: 2011-11-17 16:01:40
-----------------------------
16:01:40.756 OS Version: Windows 6.0.6002 Service Pack 2
16:01:40.756 Number of processors: 2 586 0xF0D
16:01:40.756 ComputerName: FLUPPE-PC UserName: Fluppe
16:01:47.402 Initialize success
16:02:04.421 AVAST engine defs: 11111701
16:03:23.888 Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-0
16:03:23.888 Disk 0 Vendor: Hitachi_ SB4O Size: 152627MB BusType: 3
16:03:23.903 Disk 0 MBR read successfully
16:03:23.919 Disk 0 MBR scan
16:03:23.919 Disk 0 Windows VISTA default MBR code
16:03:23.919 Disk 0 scanning sectors +312578048
16:03:24.012 Disk 0 scanning C:\Windows\system32\drivers
16:03:42.701 Service scanning
16:03:44.152 Modules scanning
16:03:52.638 Disk 0 trace - called modules:
16:03:52.670 ntkrnlpa.exe CLASSPNP.SYS disk.sys acpi.sys hal.dll iaStor.sys
16:03:52.670 1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x85e71a78]
16:03:52.670 3 CLASSPNP.SYS[885be8b3] -> nt!IofCallDriver -> [0x84c63cb8]
16:03:52.685 5 acpi.sys[87c976bc] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-0[0x84c62030]
16:03:53.418 AVAST engine scan C:\Windows
16:03:59.861 AVAST engine scan C:\Windows\system32
16:06:01.042 File: C:\Windows\system32\perfh007.dat **SUSPICIOUS**
16:06:04.302 File: C:\Windows\system32\perfh009.dat **SUSPICIOUS**
16:07:08.684 AVAST engine scan C:\Windows\system32\drivers
16:07:28.558 AVAST engine scan C:\Users\Fluppe
16:08:20.334 File: C:\Users\Fluppe\Desktop\antinimd.exe **INFECTED** Win32:Nimda-O [Drp]
16:08:29.523 AVAST engine scan C:\ProgramData
16:09:05.325 Scan finished successfully
16:11:16.365 Disk 0 MBR has been saved successfully to "C:\Users\Fluppe\Desktop\MBR.dat"
16:11:16.365 The log file has been saved successfully to "C:\Users\Fluppe\Desktop\aswMBR.txt"
16:11:42.252 Disk 0 MBR has been saved successfully to "C:\Users\Fluppe\Desktop\MBR.dat"
16:11:42.267 The log file has been saved successfully to "C:\Users\Fluppe\Desktop\aswMBR.txt"