2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ytnaopy

cosinus · 16.05.2013, 22:23

Und wie kommt da das Ultimate rauf? Wer hat das installiert? Hast du mal selbst ein Upgrade gemacht?

kiwibiwi · 16.05.2013, 22:44

ich dachte bei windows vista business handelt es sich schon um die ultimate version?!
Ich selber habe gar nichts mehr an dem Laptop verändert. Ich habe ihn quasi "betriebsfertig" gekauft. Also windows, avira, mozilla, word und ein vlc player waren schon drauf, sodass ich mir nur noch adobe runtergeladen habe.

Kann combofix die viren bei mir denn direkt löschen oder scannt der auch erstmal nur?

cosinus · 16.05.2013, 22:55

Zitat:

ich dachte bei windows vista business handelt es sich schon um die ultimate version?!

Du bist ja witzig, weil Business drauf steht ist es ein Ultimate oder was

Nun mal bitte Klartext, vom wem hast du den so "betriebsfertig" gekauft, mit einem Ultimate-Windows-7? Obwohl Aufkleber mit Vista-Business?!

Du hast nur den Lizenzkey von einem Vista Business, ich bin kein M$-Lizenzaufseher aber wenn ich solche Unstimmigkeiten in den Logs sehe muss ich nachfragen. Ist auch in deinem Interesse. Denn falls dir eine gecrackte Installation angedreht wurde, hast du ein Sicherheitsrisiko.

kiwibiwi · 16.05.2013, 23:34

wie heißt es noch... Unwissenheit schützt vor Strafe NICHT!!!
Ich dachte nur, dass die Business Version dann wohl die Ultimate sein müsste. Aber über all die Versionen hab ich absolut keinen Plan.
Ich habe den Laptop wirklich legal bei einem Computer-Fachberater der Uni gekauft. er meinte, er kauft die alten Business notebooks von Firmen auf, die früher mal an die 3000 € gekostet haben. Ich weiß auch, dass er nicht nur Laptops an die Uni verkauft, sondern auch an Schulen und er hat eine eingetragene Firmenadresse, deswegen klang für mich auch alles sehr seriös.
Ich bin auch Studentin und bekomme bspw. windows kostenslos von meiner uni. Hab mir darum ehrlich gesagt auch gar keine Gedanken gemacht, ob ich für meine Version jetzt eine Lizenz brauche.

Code:

ATTFilter

ComboFix 13-05-16.02 - y 17.05.2013   0:03.1.2 - x86
Microsoft Windows 7 Ultimate   6.1.7601.1.1252.49.1031.18.2038.1015 [GMT 2:00]
ausgeführt von:: c:\users\y\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
 * Neuer Wiederherstellungspunkt wurde erstellt
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\programfiles
c:\programfiles\Microsoft Office\Office14\OSPP.VBS
c:\users\y\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk
c:\users\y\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\rasphone.pbk
C:\w7lxe.exe
c:\w7lxe.exe\w7lxe.exe
.
.
(((((((((((((((((((((((   Dateien erstellt von 2013-04-16 bis 2013-05-16  ))))))))))))))))))))))))))))))
.
.
2013-05-16 22:12 . 2013-05-16 22:12	--------	d-----w-	c:\users\Default\AppData\Local\temp
2013-05-16 09:59 . 2013-05-16 09:59	54016	----a-w-	c:\windows\system32\drivers\fcambbq.sys
2013-05-16 09:09 . 2013-05-16 09:09	--------	d-----w-	c:\users\y\AppData\Local\Programs
2013-05-16 09:07 . 2013-05-16 09:07	--------	d-----w-	c:\users\y\AppData\Roaming\Malwarebytes
2013-05-16 09:05 . 2013-05-16 09:05	--------	d-----w-	c:\programdata\Malwarebytes
2013-05-16 09:05 . 2013-05-16 09:10	--------	d-----w-	c:\program files\Malwarebytes' Anti-Malware
2013-05-16 09:05 . 2013-04-04 12:50	22856	----a-w-	c:\windows\system32\drivers\mbam.sys
2013-05-15 18:11 . 2013-03-19 04:53	186368	----a-w-	c:\windows\system32\wwansvc.dll
2013-05-15 18:11 . 2013-03-19 03:33	40960	----a-w-	c:\windows\system32\wwanprotdim.dll
2013-05-15 18:11 . 2013-04-10 03:14	2347520	----a-w-	c:\windows\system32\win32k.sys
2013-05-15 18:11 . 2013-04-10 05:18	728424	----a-w-	c:\windows\system32\drivers\dxgkrnl.sys
2013-05-15 18:11 . 2013-04-10 05:18	218984	----a-w-	c:\windows\system32\drivers\dxgmms1.sys
2013-05-15 18:11 . 2013-02-27 05:05	101720	----a-w-	c:\windows\system32\consent.exe
2013-05-15 18:11 . 2013-02-27 04:49	1796096	----a-w-	c:\windows\system32\authui.dll
2013-05-15 18:11 . 2013-02-27 04:49	47104	----a-w-	c:\windows\system32\appinfo.dll
2013-05-14 16:27 . 2013-05-14 16:27	--------	d-----w-	c:\program files\Common Files\Java
2013-05-14 16:27 . 2013-04-04 03:35	94112	----a-w-	c:\windows\system32\WindowsAccessBridge.dll
2013-05-13 21:49 . 2013-05-16 21:45	--------	d-----w-	c:\users\y\AppData\Roaming\Loobyr
2013-05-13 21:49 . 2013-05-16 09:59	--------	d-----w-	c:\users\y\AppData\Roaming\Wyah
2013-05-13 21:49 . 2013-05-13 21:49	--------	d-----w-	c:\users\y\AppData\Roaming\Gygous
2013-05-07 21:20 . 2013-05-07 21:20	66656	----a-w-	c:\windows\system32\drivers\avnetflt.sys
2013-05-02 17:18 . 2013-05-02 17:18	163504	----a-w-	c:\programdata\Microsoft\Windows\Sqm\Manifest\Sqm10144.bin
2013-04-23 17:54 . 2013-04-12 13:45	1211752	----a-w-	c:\windows\system32\drivers\ntfs.sys
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-04-13 04:45 . 2013-05-15 18:11	474624	----a-w-	c:\windows\apppatch\AcSpecfc.dll
2013-04-13 04:45 . 2013-05-15 18:11	2176512	----a-w-	c:\windows\apppatch\AcGenral.dll
2013-04-11 09:34 . 2013-04-11 09:34	861088	----a-w-	c:\windows\system32\npDeployJava1.dll
2013-04-11 09:34 . 2013-04-11 09:34	782240	----a-w-	c:\windows\system32\deployJava1.dll
2013-03-27 23:19 . 2013-03-11 16:16	84744	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2013-03-27 23:19 . 2013-03-11 16:16	37352	----a-w-	c:\windows\system32\drivers\avkmgr.sys
2013-03-27 23:19 . 2013-03-11 16:16	135136	----a-w-	c:\windows\system32\drivers\avipbb.sys
2013-03-19 05:04 . 2013-04-11 09:22	3968856	----a-w-	c:\windows\system32\ntkrnlpa.exe
2013-03-19 05:04 . 2013-04-11 09:22	3913560	----a-w-	c:\windows\system32\ntoskrnl.exe
2013-03-19 04:48 . 2013-04-11 09:22	38912	----a-w-	c:\windows\system32\csrsrv.dll
2013-03-19 02:49 . 2013-04-11 09:22	69632	----a-w-	c:\windows\system32\smss.exe
2013-03-18 19:10 . 2012-06-13 19:52	693976	----a-w-	c:\windows\system32\FlashPlayerApp.exe
2013-03-18 19:10 . 2011-11-12 09:06	73432	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2013-03-18 11:40 . 2013-03-18 11:40	745472	----a-w-	c:\windows\system32\MsSpellCheckingFacility.exe
2013-03-18 11:40 . 2013-03-18 11:40	185344	----a-w-	c:\windows\system32\elshyph.dll
2013-03-18 11:40 . 2013-03-18 11:40	73728	----a-w-	c:\windows\system32\SetIEInstalledDate.exe
2013-03-18 11:40 . 2013-03-18 11:40	523264	----a-w-	c:\windows\system32\vbscript.dll
2013-03-18 11:40 . 2013-03-18 11:40	48640	----a-w-	c:\windows\system32\mshtmler.dll
2013-03-18 11:40 . 2013-03-18 11:40	38400	----a-w-	c:\windows\system32\imgutil.dll
2013-03-18 11:40 . 2013-03-18 11:40	158720	----a-w-	c:\windows\system32\msls31.dll
2013-03-18 11:40 . 2013-03-18 11:40	150528	----a-w-	c:\windows\system32\iexpress.exe
2013-03-18 11:40 . 2013-03-18 11:40	138752	----a-w-	c:\windows\system32\wextract.exe
2013-03-18 11:40 . 2013-03-18 11:40	137216	----a-w-	c:\windows\system32\ieUnatt.exe
2013-03-18 11:40 . 2013-03-18 11:40	12800	----a-w-	c:\windows\system32\mshta.exe
2013-03-18 11:40 . 2013-03-18 11:40	110592	----a-w-	c:\windows\system32\IEAdvpack.dll
2013-03-18 11:40 . 2013-03-18 11:40	719360	----a-w-	c:\windows\system32\mshtmlmedia.dll
2013-03-18 11:40 . 2013-03-18 11:40	61952	----a-w-	c:\windows\system32\tdc.ocx
2013-03-18 11:40 . 2013-03-18 11:40	361984	----a-w-	c:\windows\system32\html.iec
2013-03-18 11:40 . 2013-03-18 11:40	23040	----a-w-	c:\windows\system32\licmgr10.dll
2013-03-18 11:40 . 2013-03-18 11:40	1441280	----a-w-	c:\windows\system32\inetcpl.cpl
2013-03-18 11:39 . 2013-03-18 11:39	9728	---ha-w-	c:\windows\system32\api-ms-win-downlevel-shlwapi-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	906240	----a-w-	c:\windows\system32\FntCache.dll
2013-03-18 11:39 . 2013-03-18 11:39	5632	---ha-w-	c:\windows\system32\api-ms-win-downlevel-shlwapi-l2-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	5632	---ha-w-	c:\windows\system32\api-ms-win-downlevel-ole32-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	417792	----a-w-	c:\windows\system32\WMPhoto.dll
2013-03-18 11:39 . 2013-03-18 11:39	4096	---ha-w-	c:\windows\system32\api-ms-win-downlevel-user32-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	364544	----a-w-	c:\windows\system32\XpsGdiConverter.dll
2013-03-18 11:39 . 2013-03-18 11:39	3584	---ha-w-	c:\windows\system32\api-ms-win-downlevel-advapi32-l2-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	3072	---ha-w-	c:\windows\system32\api-ms-win-downlevel-version-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	3072	---ha-w-	c:\windows\system32\api-ms-win-downlevel-shell32-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	2560	---ha-w-	c:\windows\system32\api-ms-win-downlevel-normaliz-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	249856	----a-w-	c:\windows\system32\d3d10_1core.dll
2013-03-18 11:39 . 2013-03-18 11:39	2284544	----a-w-	c:\windows\system32\msmpeg2vdec.dll
2013-03-18 11:39 . 2013-03-18 11:39	220160	----a-w-	c:\windows\system32\d3d10core.dll
2013-03-18 11:39 . 2013-03-18 11:39	207872	----a-w-	c:\windows\system32\WindowsCodecsExt.dll
2013-03-18 11:39 . 2013-03-18 11:39	161792	----a-w-	c:\windows\system32\d3d10_1.dll
2013-03-18 11:39 . 2013-03-18 11:39	1504768	----a-w-	c:\windows\system32\d3d11.dll
2013-03-18 11:39 . 2013-03-18 11:39	1247744	----a-w-	c:\windows\system32\DWrite.dll
2013-03-18 11:39 . 2013-03-18 11:39	1158144	----a-w-	c:\windows\system32\XpsPrint.dll
2013-03-18 11:39 . 2013-03-18 11:39	1080832	----a-w-	c:\windows\system32\d3d10.dll
2013-03-18 11:39 . 2013-03-18 11:39	10752	---ha-w-	c:\windows\system32\api-ms-win-downlevel-advapi32-l1-1-0.dll
2013-03-18 11:39 . 2013-03-18 11:39	604160	----a-w-	c:\windows\system32\d3d10level9.dll
2013-03-18 11:39 . 2013-03-18 11:39	3419136	----a-w-	c:\windows\system32\d2d1.dll
2013-03-18 11:39 . 2013-03-18 11:39	293376	----a-w-	c:\windows\system32\dxgi.dll
2013-03-18 11:39 . 2013-03-18 11:39	1988096	----a-w-	c:\windows\system32\d3d10warp.dll
2013-03-18 11:39 . 2013-03-18 11:39	187392	----a-w-	c:\windows\system32\UIAnimation.dll
2013-03-18 11:39 . 2013-03-18 11:39	1230336	----a-w-	c:\windows\system32\WindowsCodecs.dll
2013-04-12 19:39 . 2013-04-12 19:39	263064	----a-w-	c:\program files\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDVCPL"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2012-01-31 10959464]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-09-23 141848]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-09-23 173592]
"Persistence"="c:\windows\system32\igfxpers.exe" [2009-09-23 150552]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-04-04 843712]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2013-05-07 345312]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2013-03-12 253816]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
" Malwarebytes Anti-Malware "="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2013-04-04 532040]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
R3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [x]
R3 pwdrvio;pwdrvio;c:\windows\system32\pwdrvio.sys [x]
R3 pwdspio;pwdspio;c:\windows\system32\pwdspio.sys [x]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]
R3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [x]
R3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [x]
R3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [x]
R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]
R3 terminpt;Microsoft Remote Desktop Input Driver;c:\windows\system32\drivers\terminpt.sys [x]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [x]
R3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [x]
R3 VGPU;VGPU;c:\windows\system32\drivers\rdvgkmd.sys [x]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]
S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [x]
S2 MBAMScheduler;MBAMScheduler;c:\program files\Malwarebytes' Anti-Malware\mbamscheduler.exe [x]
S2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]
S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]
S3 O2MDRDR;O2MDRDR;c:\windows\system32\DRIVERS\o2media.sys [x]
S3 O2SDRDR;O2SDRDR;c:\windows\system32\DRIVERS\o2sd.sys [x]
S3 OZSCR;O2Micro SmartCardBus Smartcard Reader;c:\windows\system32\DRIVERS\ozscr.sys [x]
S3 SMSCIRDA;SMSC Infrared Device Driver;c:\windows\system32\DRIVERS\SMSCirda.sys [x]
S3 yukonw7;NDIS6.2-Miniporttreiber für Marvell Yukon-Ethernet-Controller;c:\windows\system32\DRIVERS\yk62x86.sys [x]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - MBAMPROTECTOR
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
LocalServiceAndNoImpersonation	REG_MULTI_SZ   	SSDPSRV upnphost SCardSvr TBS fdrespub AppIDSvc QWAVE wcncsvc Mcx2Svc SensrSvc
GPSvcGroup	REG_MULTI_SZ   	GPSvc
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - LocalService
FontCache
.
.
.
------- Zusätzlicher Suchlauf -------
.
IE: An OneNote s&enden - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105
IE: Nach Microsoft E&xcel exportieren - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
TCP: DhcpNameServer = 192.168.1.1
FF - ProfilePath - c:\users\y\AppData\Roaming\Mozilla\Firefox\Profiles\nv6eky7x.default\
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKCU-Run-Ytnaopy - c:\users\y\AppData\Roaming\Wyah\xomae.exe
AddRemove-LSI Soft Modem - c:\windows\agrsmdel
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
"MSCurrentCountry"=dword:000000b5
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-05-17  00:15:44
ComboFix-quarantined-files.txt  2013-05-16 22:15
.
Vor Suchlauf: 11 Verzeichnis(se), 20.753.551.360 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 21.081.870.336 Bytes frei
.
- - End Of File - - 3438F9052F57FBDAC0189E625B230483

aaaah der hat mir ja meinen ganzen Papierkorb gelöscht :O
Aber laut der neuen Log-Datei wohl auch diese ominöse c:\users\y\AppData\Roaming\Wyah\xomae.exe

cosinus · 17.05.2013, 01:04

Also nochmal: es geht hier nicht um Strafe und ich will dir hier auch absolut keinen Vorsatz unterstellen. Es geht einfach darum, dass ich nachhaken muss, wenn ich zB eine Ultimate Edition sehe. Hat dieser Fachberater extra Geld verlangt, dass du ein Ultimate Win7 bekommst? Was steht auf der Rechnung?

Zitat:

aaaah der hat mir ja meinen ganzen Papierkorb gelöscht :O

Und wo ist da das Problem? Packst du wichtige Dateien immer in den Papierkorb?

kiwibiwi · 18.05.2013, 15:29

Nein, der hat alles komplett berechnet und nichts einzelnd aufgelistet.
Hätte ich aber gewusst, dass was mit meiner Version nicht stimmen sollte, hätte ich dir bestimmt nicht hier alle Daten geschickt. Ich wusste ehrlich gesagt noch nicht mal, dass auf dem laptop eine solche version drauf ist. Die sehen für mich alle gleich aus & ich merke auch jetzt keinen sonderlich großen unterschied. wenn ich den laptop hochfahre steht dort glaub ich auch nur windows.

Ja, mit dem Papierkorb bin ich selbst schuld. bewahre immer ne zeitlang noch paar Daten dort auf bis ich sie dann irgendwann endgültig lösche. Aber waren jetzt eh nicht so wichtige sachen.

cosinus · 19.05.2013, 02:27

Combofix-Skript

WARNUNG für die MITLESER:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!
Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link

Speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> notepad (hinein schreiben) --> OK
Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.
Code:
ATTFilter
Folder::
c:\users\y\AppData\Roaming\Loobyr
c:\users\y\AppData\Roaming\Wyah
c:\users\y\AppData\Roaming\Gygous

File::
c:\windows\system32\drivers\fcambbq.sys
         
Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Speichere dies als CFScript.txt auf deinem Desktop.

Wichtig: Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
Danach wieder anstellen nicht vergessen!

Schließe alle laufenden Programme damit ComboFix ungehindert arbeiten kann.

Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:

Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.

Wenn ComboFix fertig ist wird es ein Log erstellen: C:\ComboFix.txt
Bitte füge es hier als Antwort (in CODE-Tags mit dem #-Button des Editors) ein.
Hinweis:
Suspect:: und Collect::
Falls im Skript diese Anweisungen enthalten sind, sollen Dateien zur Analyse eingeschickt werden. Es erscheint eine Message-Box, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen. Teile mir unbedingt mit, ob der Upload geklappt hat!

kiwibiwi · 20.05.2013, 12:05

Hab gestern ganz brav 2 Stunden gewartet & nicht die Maus berührt bis ich gemerkt habe, dass die Uhr am Laptop stehen geblieben ist!!!Der hat sich leider komplett aufgehangen & auch keine neue logdatei erstellt.
kann es sein, dass mein Laptop mit mickrigen 2 GB RAM zu schwach ist?

Nach dem ich den Laptop neu gestartet habe, erschien nun diese Infomeldung:
Für infrared receiver fehlt ein Treiber. Den soll ich nun herunterladen!?

cosinus · 20.05.2013, 23:18

versuch es bitte nochmal

kiwibiwi · 21.05.2013, 18:28

Nee, das will nicht klappen. Hab mir combofix auch heute nochmal ganz neu runtergeladen & wieder friert der Laptop ein! Da bleibt mir dann nur der Ausschaltknopf, alles andere ist wie tot!!!
Beim ersten Download von combofix konnte ich die datei aber auch direkt auf den desktop ziehen. die letzten beiden Male konnte ich es leider nicht verschieben. da wurde nur eine verknüpfung auf den desktop erstellt. könnte es daran liegen?
Er stürzt immer dann ab nachdem sich das Fenster mit der Info geöffnet hat, dass die Scanzeit nun ca. 10 min betragen wird. bei stärker infizierten rechnern auch länger...
und dann friert er ein

cosinus · 21.05.2013, 20:14

Überspringen wir diesen Punkt

Rootkitscan mit GMER

Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Anschließend bitte MBAR ausführen:

Malwarebytes Anti-Rootkit (MBAR)

Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

kiwibiwi · 21.05.2013, 20:23

ich glaube, ich habe kein programm zum entpacken. könntest du mir dafür einen link schicken oder ein entsprechendes programm nennen?

cosinus · 21.05.2013, 20:27

ZIP-Dateien kann Windows schon seit Ewigkeiten selbst entpacken

kiwibiwi · 21.05.2013, 21:26

der scan von Malwarebytes hat nichts gefunden & schreibt: no cleanup is required.

er hat deswegen jetzt auch keinen bericht erstellt.
kann ich mich jetzt darauf verlassen, dass mein Laptop viren- & trojanerfrei ist?

Ich hab jetzt nochmal einen Malwarebytes quick-scan gemacht & der war fundfrei

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.75.0.1300
www.malwarebytes.org

Datenbank Version: v2013.05.21.10

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 10.0.9200.16576
y :: Y-PC [Administrator]

Schutz: Aktiviert

21.05.2013 22:38:04
mbam-log-2013-05-21 (22-38-04).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 200627
Laufzeit: 6 Minute(n), 30 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

cosinus · 21.05.2013, 22:04

aswMBR

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

TDSS-Killer

Downloade dir bitte

TDSSKiller.exe und speichere diese Datei auf dem Desktop

Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
Drücke Start Scan
Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

16.05.2013, 22:23	#16
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	$2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy - Standard$ 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy Und wie kommt da das Ultimate rauf? Wer hat das installiert? Hast du mal selbst ein Upgrade gemacht? __________________ Logfiles bitte immer in CODE-Tags posten

20.05.2013, 23:18	#24
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	$2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy - Standard$ 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy versuch es bitte nochmal __________________ Logfiles bitte immer in CODE-Tags posten

21.05.2013, 20:27	#28
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	$2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy - Standard$ 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\|Ytnaopy ZIP-Dateien kann Windows schon seit Ewigkeiten selbst entpacken __________________ Logfiles bitte immer in CODE-Tags posten

2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ytnaopy

Log-Analyse und Auswertung: 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ytnaopy