Hallo,

ich habe seit 2 Tagen einen GVU-Trojaner auf meinem Windows 7 Rechner. Ich habe schon versucht ihn im abgesicherten Modus zu starten, aber er fährt nachdem ich mich angemeldet habe automatisch wieder runter.

Ich hoffe ihr könnt mir irgendwie helfen damit ich meinen Rechner so schnell wie möglich wieder benutzen kann.

Danke

Hi,
Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten:

Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.


Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.

• Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
• Lege eine leere CD in Deinen Brenner.
• ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
• Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
• Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD


Bebilderte Anleitung: OTLpe-Scan

• Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
• Mache einen Doppelklick auf das OTLPE Icon.
• Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
• Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
• OTLpe sollte nun starten.
• Drücke Run Scan, um den Scan zu starten.
• Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
• Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
• Bitte poste den Inhalt von C:\OTL.txt und Extras.txt.

Also ich habe die Schritte so weit abgearbeitet und habe mir auch die Anleitung zum Booten von einer CD durchgelesen, aber iwie komm ich nicht in das Bootmenü rein bei meinem Rechner...

Ich meine ich bin jetzt ein Stück weiter. Der Bildschirm zeigt mir jetzt eine Ladeleiste an und darüber steht " Starting Reatogo-X-PE. Nachdem die Leiste vollständig geladen ist, wechselt der Bildschirm zu dem Windows Logo, als ob er ganz normal starten würde, dann aber nach 2-3 Sekunden bekomme ich einen blauen Bildschirm mit einer Fehlermeldung. Ich kann den PC dann nur noch ausschalten.

Hi,
starte mal neu, gehe ins bios, prüfe dort, ob der IDE oder AHCI Mode gewählt wurde, meist unter Advanced bzw SATA Settings.
konfiguriere jeweils den gegenteiligen Modus und starte erneut von der CD.

Hi, also unter Advanced sehe ich nur "Inter(R) Virtualization Technology" den habe ich jetzt aktiviert. Auch dies führt zu dem Blauen Bildschirm mit der Fehlermeldung.

Hi,
ne du sollst nicht irgendwas aktivieren, sondern das von mir genannte suchen. könnte evtl. unter nem anderen Stichpunkt zu finden sein, Bios Systeme sind immer unterschiedlich

Achso, okay. Das einzige was ich noch ändern kann ist unter "Boot", die "Boot Configuration" sprich External Device Boot und Network Boot. Mehr Auswahlmöglichkeiten habe ich nicht.

Hi,
dann versuchen wir mal dies:
Scan mit Farbar's Recovery Scan Tool (Recovery Mode - Windows Vista, 7, 8)

Hinweise für Windows 8-Nutzer: Anleitung 1 (FRST-Variante) und Anleitung 2 (zweiter Teil)

• Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick: FRST 64-Bit
• Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.
• Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:

Über den Boot Manager:

• Starte den Rechner neu.
• Während dem Hochfahren drücke mehrmals die F8 Taste
• Wähle nun Computer reparieren.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Mit Windows CD/DVD (auch bei Windows 8 möglich):

• Lege die Windows CD in dein Laufwerk.
• Starte den Rechner neu und starte von der CD.
• Wähle die Spracheinstellungen und klicke "Weiter".
• Klicke auf Computerreparaturoptionen !
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Wähle in den Reparaturoptionen: Eingabeaufforderung

• Gib nun bitte notepad ein und drücke Enter.
• Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer.
  Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt, merke ihn dir.
• Schließe Notepad wieder
• Gib nun bitte folgenden Befehl ein.
  e:\frst.exe bzw. e:\frst64.exe
  Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks, den du dir gemerkt hast. Gegebenfalls anpassen.
• Akzeptiere den Disclaimer mit Ja und klicke Untersuchen

Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier nach Möglichkeit in Code-Tags (Anleitung).

FRST Logfile:

Scan result of Farbar Recovery Scan Tool (FRST.txt) (x64) Version: 04-07-2013
Ran by SYSTEM on 08-07-2013 16:10:11
Running from G:\
Windows 7 Home Premium (X64) OS Language: German Standard
Internet Explorer Version 10
Boot Mode: Recovery

The current controlset is ControlSet001
ATTENTION!:=====> FRST is updated to run from normal or Safe mode to produce a full FRST.txt log and an extra Addition.txt log.

==================== Registry (Whitelisted) ==================

HKLM\...\Run: [cAudioFilterAgent] C:\Program Files\Conexant\cAudioFilterAgent\cAudioFilterAgent64.exe [518784 2011-03-29] (Conexant Systems, Inc.)
HKLM\...\Run: [AtherosBtStack] "C:\Program Files (x86)\Bluetooth Suite\BtvStack.exe" [790688 2011-04-29] (Atheros Communications)
HKLM\...\Run: [AthBtTray] "C:\Program Files (x86)\Bluetooth Suite\AthBtTray.exe" [657568 2011-04-29] (Atheros Commnucations)
HKLM\...\Run: [Apoint] %ProgramFiles%\Apoint\Apoint.exe [226672 2011-02-17] (Alps Electric Co., Ltd.)
HKLM-x32\...\Run: [IAStorIcon] C:\Program Files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe [283160 2010-09-13] (Intel Corporation)
HKLM-x32\...\Run: [ISBMgr.exe] "C:\Program Files (x86)\Sony\ISB Utility\ISBMgr.exe" [2757312 2011-02-15] (Sony Corporation)
HKLM-x32\...\Run: [PMBVolumeWatcher] C:\Program Files (x86)\Sony\PMB\PMBVolumeWatcher.exe [648032 2010-11-26] (Sony Corporation)
HKLM-x32\...\Run: [vProt] "C:\Program Files (x86)\AVG Secure Search\vprot.exe" [2236080 2013-06-27] ()
HKLM-x32\...\Run: [AVG_UI] "C:\Program Files (x86)\AVG\AVG2013\avgui.exe" /TRAYONLY [4408368 2013-04-28] (AVG Technologies CZ, s.r.o.)
HKLM-x32\...\Run: [LogMeIn Hamachi Ui] "C:\Program Files (x86)\LogMeIn Hamachi\hamachi-2-ui.exe" --auto-start [2255184 2013-06-28] (LogMeIn Inc.)
HKU\Patrick\...\Run: [Optimizer Pro] C:\Program Files (x86)\Optimizer Pro\OptProLauncher.exe [135672 2013-06-07] (PC Utilities Pro)
HKU\Patrick\...\Winlogon: [Shell] explorer.exe,C:\Users\Patrick\AppData\Roaming\skype.dat [59392 2011-11-17] () <==== ATTENTION 
Startup: C:\Users\Patrick\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.4.1.lnk
ShortcutTarget: OpenOffice.org 3.4.1.lnk -> C:\Program Files (x86)\OpenOffice.org 3\program\quickstart.exe ()

==================== Services (Whitelisted) =================

S3 ACDaemon; C:\Program Files (x86)\Common Files\ArcSoft\Connection Service\Bin\ACService.exe [113152 2010-03-18] (ArcSoft Inc.)
S2 Atheros Bt&Wlan Coex Agent; C:\Program Files (x86)\Bluetooth Suite\Ath_CoexAgent.exe [146592 2011-04-29] (Atheros)
S2 AVGIDSAgent; C:\Program Files (x86)\AVG\AVG2013\avgidsagent.exe [4937264 2013-05-13] (AVG Technologies CZ, s.r.o.)
S2 avgwd; C:\Program Files (x86)\AVG\AVG2013\avgwdsvc.exe [283136 2013-04-18] (AVG Technologies CZ, s.r.o.)
S3 DCDhcpService; C:\Program Files\Sony\VAIO Smart Network\WFDA\DCDhcpService.exe [104096 2011-07-19] (Atheros Communication Inc.)
S2 PassThru Service; C:\Program Files (x86)\HTC\Internet Pass-Through\PassThruSvr.exe [88576 2011-09-15] ()
S2 SampleCollector; C:\Program Files\Sony\VAIO Care\VCPerfService.exe [259192 2011-01-29] (Sony Corporation)
S2 uCamMonitor; C:\Program Files (x86)\ArcSoft\Magic-i Visual Effects 2\uCamMonitor.exe [105024 2011-02-23] (ArcSoft, Inc.)
S2 vToolbarUpdater15.3.0; C:\Program Files (x86)\Common Files\AVG Secure Search\vToolbarUpdater\15.3.0\ToolbarUpdater.exe [1598128 2013-06-27] (AVG Secure Search)
S3 VUAgent; C:\Program Files\Sony\VAIO Update\VUAgent.exe [1286784 2012-10-26] (Sony Corporation)

==================== Drivers (Whitelisted) ====================

S3 ArcSoftKsUFilter; C:\Windows\System32\DRIVERS\ArcSoftKsUFilter.sys [19968 2009-05-26] (ArcSoft, Inc.)
S1 AVGIDSDriver; C:\Windows\System32\DRIVERS\avgidsdrivera.sys [246072 2013-03-29] (AVG Technologies CZ, s.r.o.)
S0 AVGIDSHA; C:\Windows\System32\DRIVERS\avgidsha.sys [71480 2013-02-08] (AVG Technologies CZ, s.r.o.)
S1 Avgldx64; C:\Windows\System32\DRIVERS\avgldx64.sys [206136 2013-02-08] (AVG Technologies CZ, s.r.o.)
S0 Avgloga; C:\Windows\System32\DRIVERS\avgloga.sys [311096 2013-02-08] (AVG Technologies CZ, s.r.o.)
S0 Avgmfx64; C:\Windows\System32\DRIVERS\avgmfx64.sys [116536 2013-02-08] (AVG Technologies CZ, s.r.o.)
S0 Avgrkx64; C:\Windows\System32\DRIVERS\avgrkx64.sys [45880 2013-02-08] (AVG Technologies CZ, s.r.o.)
S1 Avgtdia; C:\Windows\System32\DRIVERS\avgtdia.sys [240952 2013-03-21] (AVG Technologies CZ, s.r.o.)
S1 avgtp; C:\Windows\system32\drivers\avgtpx64.sys [45856 2013-06-27] (AVG Technologies)

==================== NetSvcs (Whitelisted) ===================


==================== One Month Created Files and Folders ========

2013-07-08 16:09 - 2013-07-08 16:09 - 00000000 ____D C:\FRST
2013-07-06 12:28 - 2013-07-06 13:20 - 00000004 ____A C:\Users\Patrick\AppData\Roaming\skype.ini
2013-07-06 12:03 - 2013-07-06 12:03 - 00000000 ____D C:\Program Files (x86)\LogMeIn Hamachi
2013-06-28 18:56 - 2013-06-28 18:56 - 00000000 ____D C:\Users\Patrick\AppData\Roaming\Optimizer Pro
2013-06-28 18:48 - 2013-06-28 18:48 - 01624112 ____A (Bandoo Media Inc) C:\Users\Patrick\Downloads\iLividSetup-r362-n-bi.exe
2013-06-28 18:46 - 2013-07-06 13:56 - 00000000 ____D C:\ProgramData\SearchNewTab
2013-06-28 18:46 - 2013-07-06 13:56 - 00000000 ____D C:\ProgramData\saffE save
2013-06-28 18:46 - 2013-07-06 13:22 - 00000420 ___AH C:\Windows\Tasks\schedule!3036567561.job
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Windows\SysWOW64\X86
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Windows\SysWOW64\AMD64
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\StarApp
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\BetterSoft
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Program Files (x86)\Optimizer Pro
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Program Files (x86)\EZDownloader
2013-06-28 18:45 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\InstallMate
2013-06-28 18:45 - 2013-06-28 18:45 - 00293664 ____A (StarApp) C:\Users\Patrick\Downloads\Download.exe
2013-06-24 15:59 - 2013-06-24 16:00 - 00000000 ____D C:\Users\Patrick\AppData\Local\{592CFAFD-9AD4-4B2B-B7C0-C3EC2ED2D1FE}
2013-06-16 15:15 - 2013-06-08 15:08 - 01365504 ____A (Microsoft Corporation) C:\Windows\System32\urlmon.dll
2013-06-16 15:15 - 2013-06-08 15:07 - 19233792 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.dll
2013-06-16 15:15 - 2013-06-08 15:06 - 15404544 ____A (Microsoft Corporation) C:\Windows\System32\ieframe.dll
2013-06-16 15:15 - 2013-06-08 15:06 - 02648064 ____A (Microsoft Corporation) C:\Windows\System32\iertutil.dll
2013-06-16 15:15 - 2013-06-08 15:06 - 00526336 ____A (Microsoft Corporation) C:\Windows\System32\ieui.dll
2013-06-16 15:15 - 2013-06-08 13:28 - 02706432 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.tlb
2013-06-16 15:15 - 2013-06-08 12:42 - 01141248 ____A (Microsoft Corporation) C:\Windows\SysWOW64\urlmon.dll
2013-06-16 15:15 - 2013-06-08 12:40 - 14327808 ____A (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.dll
2013-06-16 15:15 - 2013-06-08 12:40 - 13760512 ____A (Microsoft Corporation) C:\Windows\SysWOW64\ieframe.dll
2013-06-16 15:15 - 2013-06-08 12:40 - 02046976 ____A (Microsoft Corporation) C:\Windows\SysWOW64\iertutil.dll
2013-06-16 15:15 - 2013-06-08 12:40 - 00391168 ____A (Microsoft Corporation) C:\Windows\SysWOW64\ieui.dll
2013-06-16 15:15 - 2013-06-08 12:13 - 02706432 ____A (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.tlb
2013-06-12 20:17 - 2013-05-17 02:25 - 00690688 ____A (Microsoft Corporation) C:\Windows\SysWOW64\jscript.dll
2013-06-12 20:17 - 2013-05-17 02:25 - 00493056 ____A (Microsoft Corporation) C:\Windows\SysWOW64\msfeeds.dll
2013-06-12 20:17 - 2013-05-17 02:25 - 00109056 ____A (Microsoft Corporation) C:\Windows\SysWOW64\iesysprep.dll
2013-06-12 20:17 - 2013-05-17 02:25 - 00061440 ____A (Microsoft Corporation) C:\Windows\SysWOW64\iesetup.dll
2013-06-12 20:17 - 2013-05-17 02:25 - 00033280 ____A (Microsoft Corporation) C:\Windows\SysWOW64\iernonce.dll
2013-06-12 20:17 - 2013-05-17 01:59 - 00051712 ____A (Microsoft Corporation) C:\Windows\System32\ie4uinit.exe
2013-06-12 20:17 - 2013-05-17 01:58 - 03958784 ____A (Microsoft Corporation) C:\Windows\System32\jscript9.dll
2013-06-12 20:17 - 2013-05-17 01:58 - 00855552 ____A (Microsoft Corporation) C:\Windows\System32\jscript.dll
2013-06-12 20:17 - 2013-05-17 01:58 - 00603136 ____A (Microsoft Corporation) C:\Windows\System32\msfeeds.dll
2013-06-12 20:17 - 2013-05-17 01:58 - 00136704 ____A (Microsoft Corporation) C:\Windows\System32\iesysprep.dll
2013-06-12 20:17 - 2013-05-17 01:58 - 00067072 ____A (Microsoft Corporation) C:\Windows\System32\iesetup.dll
2013-06-12 20:17 - 2013-05-17 01:58 - 00039936 ____A (Microsoft Corporation) C:\Windows\System32\iernonce.dll
2013-06-12 20:17 - 2013-05-14 13:23 - 00089600 ____A (Microsoft Corporation) C:\Windows\System32\RegisterIEPKEYs.exe
2013-06-12 20:17 - 2013-05-14 09:40 - 00071680 ____A (Microsoft Corporation) C:\Windows\SysWOW64\RegisterIEPKEYs.exe
2013-06-12 20:16 - 2013-05-17 02:25 - 02877440 ____A (Microsoft Corporation) C:\Windows\SysWOW64\jscript9.dll
2013-06-12 20:16 - 2013-05-17 02:25 - 01767936 ____A (Microsoft Corporation) C:\Windows\SysWOW64\wininet.dll
2013-06-12 20:16 - 2013-05-17 02:25 - 00039424 ____A (Microsoft Corporation) C:\Windows\SysWOW64\jsproxy.dll
2013-06-12 20:16 - 2013-05-17 01:59 - 02241024 ____A (Microsoft Corporation) C:\Windows\System32\wininet.dll
2013-06-12 20:16 - 2013-05-17 01:58 - 00053248 ____A (Microsoft Corporation) C:\Windows\System32\jsproxy.dll
2013-06-12 15:31 - 2013-05-13 06:51 - 01464320 ____A (Microsoft Corporation) C:\Windows\System32\crypt32.dll
2013-06-12 15:31 - 2013-05-13 06:51 - 00184320 ____A (Microsoft Corporation) C:\Windows\System32\cryptsvc.dll
2013-06-12 15:31 - 2013-05-13 06:51 - 00139776 ____A (Microsoft Corporation) C:\Windows\System32\cryptnet.dll
2013-06-12 15:31 - 2013-05-13 06:50 - 00052224 ____A (Microsoft Corporation) C:\Windows\System32\certenc.dll
2013-06-12 15:31 - 2013-05-13 05:45 - 01160192 ____A (Microsoft Corporation) C:\Windows\SysWOW64\crypt32.dll
2013-06-12 15:31 - 2013-05-13 05:45 - 00140288 ____A (Microsoft Corporation) C:\Windows\SysWOW64\cryptsvc.dll
2013-06-12 15:31 - 2013-05-13 05:45 - 00103936 ____A (Microsoft Corporation) C:\Windows\SysWOW64\cryptnet.dll
2013-06-12 15:31 - 2013-05-13 04:43 - 01192448 ____A (Microsoft Corporation) C:\Windows\System32\certutil.exe
2013-06-12 15:31 - 2013-05-13 04:08 - 00903168 ____A (Microsoft Corporation) C:\Windows\SysWOW64\certutil.exe
2013-06-12 15:31 - 2013-05-13 04:08 - 00043008 ____A (Microsoft Corporation) C:\Windows\SysWOW64\certenc.dll
2013-06-12 15:31 - 2013-05-10 06:49 - 00030720 ____A (Microsoft Corporation) C:\Windows\System32\cryptdlg.dll
2013-06-12 15:31 - 2013-05-10 04:20 - 00024576 ____A (Microsoft Corporation) C:\Windows\SysWOW64\cryptdlg.dll
2013-06-12 15:31 - 2013-05-08 07:39 - 01910632 ____A (Microsoft Corporation) C:\Windows\System32\Drivers\tcpip.sys
2013-06-12 15:31 - 2013-04-26 06:51 - 00751104 ____A (Microsoft Corporation) C:\Windows\System32\win32spl.dll
2013-06-12 15:31 - 2013-04-26 05:55 - 00492544 ____A (Microsoft Corporation) C:\Windows\SysWOW64\win32spl.dll
2013-06-12 15:31 - 2013-04-26 00:30 - 01505280 ____A (Microsoft Corporation) C:\Windows\SysWOW64\d3d11.dll
2013-06-12 15:31 - 2013-04-17 08:02 - 01230336 ____A (Microsoft Corporation) C:\Windows\SysWOW64\WindowsCodecs.dll
2013-06-12 15:31 - 2013-04-17 07:24 - 01424384 ____A (Microsoft Corporation) C:\Windows\System32\WindowsCodecs.dll
2013-06-12 15:31 - 2013-03-31 23:52 - 01887232 ____A (Microsoft Corporation) C:\Windows\System32\d3d11.dll

==================== One Month Modified Files and Folders =======

2013-07-08 16:09 - 2013-07-08 16:09 - 00000000 ____D C:\FRST
2013-07-06 13:59 - 2011-11-16 21:28 - 01943587 ____A C:\Windows\WindowsUpdate.log
2013-07-06 13:59 - 2009-07-14 05:45 - 00020720 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
2013-07-06 13:59 - 2009-07-14 05:45 - 00020720 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
2013-07-06 13:56 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\SearchNewTab
2013-07-06 13:56 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\saffE save
2013-07-06 13:56 - 2011-08-08 11:20 - 00000000 ____D C:\ProgramData\NVIDIA
2013-07-06 13:56 - 2009-07-14 06:08 - 00000006 ___AH C:\Windows\Tasks\SA.DAT
2013-07-06 13:56 - 2009-07-14 05:51 - 00135326 ____A C:\Windows\setupact.log
2013-07-06 13:22 - 2013-06-28 18:46 - 00000420 ___AH C:\Windows\Tasks\schedule!3036567561.job
2013-07-06 13:20 - 2013-07-06 12:28 - 00000004 ____A C:\Users\Patrick\AppData\Roaming\skype.ini
2013-07-06 13:19 - 2012-09-16 11:31 - 00001112 ____A C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job
2013-07-06 12:52 - 2013-06-03 16:53 - 00000350 ____A C:\Windows\Tasks\AVG-Secure-Search-Update_JUNE2013_TB_rmv.job
2013-07-06 12:52 - 2012-09-16 11:31 - 00001108 ____A C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job
2013-07-06 12:52 - 2011-12-30 20:37 - 00000000 ____D C:\Users\Patrick\AppData\Local\LogMeIn Hamachi
2013-07-06 12:35 - 2012-07-25 17:05 - 00000884 ____A C:\Windows\Tasks\Adobe Flash Player Updater.job
2013-07-06 12:03 - 2013-07-06 12:03 - 00000000 ____D C:\Program Files (x86)\LogMeIn Hamachi
2013-07-06 09:57 - 2012-01-01 19:13 - 00000000 ____D C:\ProgramData\MFAData
2013-07-01 21:04 - 2010-11-21 04:47 - 00030766 ____A C:\Windows\PFRO.log
2013-06-28 18:56 - 2013-06-28 18:56 - 00000000 ____D C:\Users\Patrick\AppData\Roaming\Optimizer Pro
2013-06-28 18:48 - 2013-06-28 18:48 - 01624112 ____A (Bandoo Media Inc) C:\Users\Patrick\Downloads\iLividSetup-r362-n-bi.exe
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Windows\SysWOW64\X86
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Windows\SysWOW64\AMD64
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\StarApp
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\ProgramData\BetterSoft
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Program Files (x86)\Optimizer Pro
2013-06-28 18:46 - 2013-06-28 18:46 - 00000000 ____D C:\Program Files (x86)\EZDownloader
2013-06-28 18:46 - 2013-06-28 18:45 - 00000000 ____D C:\ProgramData\InstallMate
2013-06-28 18:46 - 2012-09-16 11:31 - 00000000 ____D C:\Users\Patrick\AppData\Local\Google
2013-06-28 18:45 - 2013-06-28 18:45 - 00293664 ____A (StarApp) C:\Users\Patrick\Downloads\Download.exe
2013-06-27 17:40 - 2011-08-08 21:00 - 00697322 ____A C:\Windows\System32\perfh007.dat
2013-06-27 17:40 - 2011-08-08 21:00 - 00148328 ____A C:\Windows\System32\perfc007.dat
2013-06-27 17:40 - 2009-07-14 06:13 - 01614036 ____A C:\Windows\System32\PerfStringBackup.INI
2013-06-27 15:29 - 2012-10-05 15:59 - 00045856 ____A (AVG Technologies) C:\Windows\System32\Drivers\avgtpx64.sys
2013-06-27 15:29 - 2012-10-05 15:59 - 00000000 ____D C:\Program Files (x86)\AVG Secure Search
2013-06-27 15:29 - 2012-01-01 19:18 - 00000000 ____D C:\ProgramData\AVG Secure Search
2013-06-24 16:00 - 2013-06-24 15:59 - 00000000 ____D C:\Users\Patrick\AppData\Local\{592CFAFD-9AD4-4B2B-B7C0-C3EC2ED2D1FE}
2013-06-19 21:22 - 2011-11-16 21:41 - 00000000 ____D C:\Update
2013-06-16 15:10 - 2011-11-16 21:31 - 00000000 ____D C:\Users\Patrick\Documents\Bluetooth Folder
2013-06-12 20:17 - 2011-11-18 19:08 - 75825640 ____A (Microsoft Corporation) C:\Windows\System32\MRT.exe
2013-06-12 16:35 - 2012-04-09 09:32 - 00692104 ____A (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerApp.exe
2013-06-12 16:35 - 2011-11-24 16:44 - 00071048 ____A (Adobe Systems Incorporated) C:\Windows\SysWOW64\FlashPlayerCPLApp.cpl
2013-06-10 15:14 - 2012-05-28 19:28 - 00502359 ____A C:\test.xml
2013-06-10 14:17 - 2012-10-05 15:59 - 00000981 ____A C:\Users\Public\Desktop\AVG 2013.lnk
2013-06-08 15:08 - 2013-06-16 15:15 - 01365504 ____A (Microsoft Corporation) C:\Windows\System32\urlmon.dll
2013-06-08 15:07 - 2013-06-16 15:15 - 19233792 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.dll
2013-06-08 15:06 - 2013-06-16 15:15 - 15404544 ____A (Microsoft Corporation) C:\Windows\System32\ieframe.dll
2013-06-08 15:06 - 2013-06-16 15:15 - 02648064 ____A (Microsoft Corporation) C:\Windows\System32\iertutil.dll
2013-06-08 15:06 - 2013-06-16 15:15 - 00526336 ____A (Microsoft Corporation) C:\Windows\System32\ieui.dll
2013-06-08 13:28 - 2013-06-16 15:15 - 02706432 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.tlb
2013-06-08 12:42 - 2013-06-16 15:15 - 01141248 ____A (Microsoft Corporation) C:\Windows\SysWOW64\urlmon.dll
2013-06-08 12:40 - 2013-06-16 15:15 - 14327808 ____A (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.dll
2013-06-08 12:40 - 2013-06-16 15:15 - 13760512 ____A (Microsoft Corporation) C:\Windows\SysWOW64\ieframe.dll
2013-06-08 12:40 - 2013-06-16 15:15 - 02046976 ____A (Microsoft Corporation) C:\Windows\SysWOW64\iertutil.dll
2013-06-08 12:40 - 2013-06-16 15:15 - 00391168 ____A (Microsoft Corporation) C:\Windows\SysWOW64\ieui.dll
2013-06-08 12:13 - 2013-06-16 15:15 - 02706432 ____A (Microsoft Corporation) C:\Windows\SysWOW64\mshtml.tlb

Files to move or delete:
====================
C:\Users\Patrick\AppData\Roaming\skype.dat
C:\Users\Patrick\AppData\Roaming\skype.ini

==================== Known DLLs (Whitelisted) ================


==================== Bamital & volsnap Check =================

C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\SysWOW64\wininit.exe => MD5 is legit
C:\Windows\explorer.exe => MD5 is legit
C:\Windows\SysWOW64\explorer.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\SysWOW64\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\SysWOW64\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\SysWOW64\userinit.exe => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit

==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points  =========================

Restore point made on: 2013-05-07 08:23:02
Restore point made on: 2013-05-13 07:39:01
Restore point made on: 2013-05-18 14:34:48
Restore point made on: 2013-05-20 00:50:44
Restore point made on: 2013-05-27 16:12:34
Restore point made on: 2013-06-03 17:16:44
Restore point made on: 2013-06-10 14:19:38
Restore point made on: 2013-06-12 20:16:08
Restore point made on: 2013-06-16 15:15:15
Restore point made on: 2013-06-21 21:09:18
Restore point made on: 2013-06-23 18:18:26
Restore point made on: 2013-07-06 12:12:44

==================== Memory info =========================== 

Percentage of memory in use: 11%
Total physical RAM: 6125.86 MB
Available physical RAM: 5398.24 MB
Total Pagefile: 6124.01 MB
Available Pagefile: 5386.47 MB
Total Virtual: 8192 MB
Available Virtual: 8191.85 MB

==================== Drives ================================

Drive c: () (Fixed) (Total:684.53 GB) (Free:503.57 GB) NTFS (Disk=0 Partition=3)
Drive e: (Recovery) (Fixed) (Total:14.01 GB) (Free:1.09 GB) NTFS (Disk=0 Partition=1) ==>[System with boot components (obtained from reading drive)]
Drive g: (HITMANPRO) (Removable) (Total:0.93 GB) (Free:0.93 GB) FAT32 (Disk=1 Partition=1)
Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS
Drive y: (System Reserved) (Fixed) (Total:0.1 GB) (Free:0.06 GB) NTFS (Disk=0 Partition=2) ==>[System with boot components (obtained from reading drive)]

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (MBR Code: Windows 7 or 8) (Size: 699 GB) (Disk ID: A9D7A0A0)
Partition 1: (Not Active) - (Size=14 GB) - (Type=27)
Partition 2: (Active) - (Size=100 MB) - (Type=07 NTFS)
Partition 3: (Not Active) - (Size=685 GB) - (Type=07 NTFS)

========================================================
Disk: 1 (Size: 962 MB) (Disk ID: 91E4B7E4)
Partition 1: (Active) - (Size=957 MB) - (Type=0B)


LastRegBack: 2013-03-30 13:59

==================== End Of Log ============================
         

--- --- ---

Hi,
Drücke bitte die + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

HKU\Patrick\...\Winlogon: [Shell] explorer.exe,C:\Users\Patrick\AppData\Roaming\skype.dat [59392 2011-11-17] () <==== ATTENTION 
C:\Users\Patrick\AppData\Roaming\skype.dat
C:\Users\Patrick\AppData\Roaming\skype.ini
         

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.

• Starte deinen Rechner erneut in die Reparaturoptionen
• Starte nun die FRST.exe erneut und klicke den Entfernen Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.



Navigiere bitte zu:
C:\FRST\Quarantine
Rechtsklick, mit Winrar oder einem anderen Archvierer packen und im Uploadchannel hochladen.
Trojaner-Board Upload Channel

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x64) Version: 04-07-2013
Ran by SYSTEM at 2013-07-11 05:39:36 Run:1
Running from G:\
Boot Mode: Recovery
==============================================

HKU\Patrick\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell => Value deleted successfully.
C:\Users\Patrick\AppData\Roaming\skype.dat => Moved successfully.
C:\Users\Patrick\AppData\Roaming\skype.ini => Moved successfully.

==== End of Fixlog ====
         

Hi,
normaler Modus sollte wieder gehen.
nu fehlt der UPload, wie unter dem Script angegebenb

Ahhhh es geht wieder Riesen Dank an dich, echt bemerkenswert was ihr hier leistet Die Datei habe ich auch gerade hochgeladen Danke nochmals

danke fürs hochladen.
Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.