Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Kann nur noch im abgesicerten Modus starten

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 17.03.2009, 23:31   #1
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

ich kann nur noch im abgesicherten Modus starten. McAfee findet immer wieder einen Trojaner. Sybot und Malware starten nicht mehr. Adobe 7 und 9 sin deinstalliert. Netzwerkverbindungen werden nicht angezeigt, LAN ist aber da.

Was soll ich machen? Wer kann helfen??

Danke
Christian

Code:
ATTFilter
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:12:58, on 18.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Safe mode with network support

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
c:\PROGRA~1\mcafee.com\agent\mcagent.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
c:\PROGRA~1\mcafee\VIRUSS~1\mcvsshld.exe
C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\PROGRA~1\WinZip\winzip32.exe
C:\DOKUME~1\CHRIST~1\LOKALE~1\Temp\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://knx-user-forum.de/forumdisplay.php?f=5
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O2 - BHO: IE to GetRight Helper - {31FF080D-12A3-439A-A2EF-4BA95A3148E8} - C:\Programme\GetRight\xx2gr.dll
O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\system32\dla\tfswshx.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Programme\McAfee\VirusScan\scriptsn.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: McAfee SiteAdvisor BHO - {B164E929-A1B6-4A06-B104-2CD0E90A88FF} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O3 - Toolbar: McAfee SiteAdvisor Toolbar - {0EBBBE48-BAD4-4B4C-8E5A-516ABECAE064} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O4 - HKLM\..\Run: [igfxtray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [igfxhkcmd] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [igfxpers] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SigmatelSysTrayApp] stsystra.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Dell QuickSet] C:\Programme\Dell\QuickSet\quickset.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [CTSVolFE.exe] "C:\Programme\Creative\Mixer\CTSVolFE.exe" /r
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Dell\MediaDirect\PCMService.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [DellSupportCenter] "C:\Programme\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [mcagent_exe] "C:\Programme\McAfee.com\Agent\mcagent.exe" /runkey
O4 - HKLM\..\Run: [dscactivate] "C:\Programme\Dell Support Center\gs_agent\custom\dsca.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ModemOnHold] C:\Programme\NetWaiting\netwaiting.exe
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Acrobat\AdobeUpdateManager.exe" AcPro7_0_8 -reboot 1
O4 - HKCU\..\Run: [DellSupportCenter] "C:\Programme\Dell Support Center\bin\sprtcmd.exe" /P DellSupportCenter
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Automachron.lnk = C:\Programme\One Guy Coding\Automachron\achron.exe
O4 - Startup: Hardcopy.LNK = C:\hardcopy\hardcopy.exe
O4 - Startup: swHSexit.exe
O4 - Global Startup: BTTray.lnk = C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe
O4 - Global Startup: WISO Mein Sparbuch heute.lnk = C:\Programme\WISO\Sparbuch 2009\meinsparbuchheute.exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} - 
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1199213015102
O16 - DPF: {7876E4A5-78B7-4020-B08F-C960A1ED54C9} (WebWatch Class) - http://172.29.174.52/WinWebPush.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://172.29.174.51/activex/AxisCamControl.cab
O16 - DPF: {BCC0FF27-31D9-4614-A68E-C18E1ADA4389} - http://download.mcafee.com/molbin/shared/mcgdmgr/1,0,0,26/mcgdmgr.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CCS\Services\Tcpip\..\{CAE808F3-E562-4CCA-B090-AFF10AB2D817}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS2\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS3\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
O18 - Protocol: sacore - {5513F07E-936B-4E52-9B00-067394E91CC5} - c:\PROGRA~1\mcafee\SITEAD~1\mcieplg.dll
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: GoogleDesktopManager - Google - C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: McAfee SiteAdvisor Service - Unknown owner - C:\Programme\McAfee\SiteAdvisor\McSACore.exe
O23 - Service: McAfee Services (mcmscsvc) - McAfee, Inc. - C:\PROGRA~1\McAfee\MSC\mcmscsvc.exe
O23 - Service: McAfee Network Agent (McNASvc) - McAfee, Inc. - c:\PROGRA~1\GEMEIN~1\mcafee\mna\mcnasvc.exe
O23 - Service: McAfee Scanner (McODS) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcods.exe
O23 - Service: McAfee Proxy Service (McProxy) - McAfee, Inc. - c:\PROGRA~1\GEMEIN~1\mcafee\mcproxy\mcproxy.exe
O23 - Service: McAfee Real-time Scanner (McShield) - McAfee, Inc. - C:\Programme\McAfee\VirusScan\McShield.exe
O23 - Service: McAfee SystemGuards (McSysmon) - McAfee, Inc. - C:\PROGRA~1\McAfee\VIRUSS~1\mcsysmon.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: SupportSoft Sprocket Service (dellsupportcenter) (sprtsvc_dellsupportcenter) - SupportSoft, Inc. - C:\Programme\Dell Support Center\bin\sprtsvc.exe
O23 - Service: TgbIke Starter - TheGreenBow - C:\WINDOWS\system32\TgbStarter.exe
O23 - Service: Intel(R) PROSet/Wireless SSO Service (WLANKEEPER) - Intel(R) Corporation - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe
O23 - Service: xControlCOM - Siemens - C:\Programme\Gigaset DECT\talk&surf\xcontrolcom.exe

--
End of file - 12349 bytes
         

Alt 18.03.2009, 03:58   #2
Ghost1975
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo Chris

Zitat:
O17 - HKLM\System\CCS\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CCS\Services\Tcpip\..\{CAE808F3-E562-4CCA-B090-AFF10AB2D817}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS2\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CS3\Services\Tcpip\..\{01333A8D-CA39-48EE-8B8C-C8BFC32CFA56}: NameServer = 85.255.112.76,85.255.112.176
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.76,85.255.112.176
dein kompletter Datenverkehr geht über die Ukraine,kannst hier im Forum mal suchen bist nicht der Einzige der das Problem hat.Kein Onlinebanking,Ebay usw machen da alles mitgelesen werden kann.


Laße bitte mal Malwarebaytes laufen(update vorher nicht vergessen) und Poste den Bericht.


MfG

Ghost1975
__________________


Alt 18.03.2009, 08:12   #3
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

kann Malwarebaytes runterladen, installieren aber nicht starten. Was soll ich tun???

habe mbr.exe mal laufen lassen

Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK

Christian
__________________

Geändert von chris199 (18.03.2009 um 08:39 Uhr)

Alt 18.03.2009, 08:43   #4
Redwulf
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo Christian und
Zuerst solltest du dies zur Kenntnis nehmen:

Dein System ist kompromitiert und zwar vermutlich von einem Trojan.DNSChanger mit entsprechendem Rootkit.<--

Erklärung Rootkit:
Der Begriff beschreibt ein kleines Tool, das sich in ein Betriebssystem eingräbt und dort als Deckmantel für weitere Programme dient. In einem Rootkit können sich Viren ebenso verstecken wie ausgefeilte Spionagetools. Das Perfide: Während diese Programme sonst von jedem Virenscanner früher oder später erkannt würden, fallen sie dem System dank der Tarnung durch das Rootkit nicht mehr auf. Wenn diese Tarnung fällt, ist der Virus verwundbar...

Dein gesamter Datenverkehr wird auf einen ukrainischen Server umgeleitet. Da der mit deinen Anfragen nix anzufangen weiss, schickt er dich immer wieder auf andere, deinen Anfragen wahrscheinlichere, entsprechende, Webseiten.

Das ist übrigens der Server von dem wir reden. Wohlgemerkt nur der Server, der Betreiber weiss wahrscheinlich gar nicht was hier vor sich geht: (oder wills nicht wissen )
Code:
ATTFilter
organisation:    ORG-UL25-RIPE
org-name:        UkrTeleGroup Ltd.
org-type:        LIR
address:         UkrTeleGroup Ltd.
                    65029 Odessa
                    Ukraine
phone:           +3804++++++++ edit
fax-no:          +3804++++++++ edit
mnt-ref:         UKRTELE-MNT
mnt-ref:         RIPE-NCC-HM-MNT
mnt-by:          RIPE-NCC-HM-MNT
source:          RIPE # Filtered
         
DRINGENDER HINWEIS VORWEG: KEIN ONLINEBANKING, EBAY etc. MEHR

Hinweis: kompromitierte Systeme sollten neu aufgesetzt und abgesichert werden http://www.trojaner-board.de/51262-a...sicherung.html

Um den Virus zu entfernen, um sicher Backups zu machen oder obigen Hinweis aus diversen Gründen zu ignorieren, befolge folgende Schritte:
Natürlich alles unter dem Hinweis das die ganze Sache auch schiefgehen kann und du um ein Neuaufsetzen nicht herumkommen wirst.


Lade dir folgende Software herunter und installiere diese, bitte unternehme nichts auf eigene Faust sondern folge den folgenden Anweisungen. VORWEG: Die Reihenfolge sollte unbedingt eingehalten werden.....

Code:
ATTFilter
Download von CCleaner Anleitung: CCleaner <----dl Link in der Erklärung...LESEN!!!
Download von Avenger 
Download von Malwarebytes Anleitung:  Malwarebytes Anti-Malware  <--- dl Linkin der Erklärung LESEN !!!
Download von Gmer 
Download von MBR.exe 
Download von SDFix
         
Lies dir die Anweisungen zu Malwarebytes und CCleaner aufmerksam durch und befolge die Schritte genau, ggf. drucke sie dir aus.

Checken wir das Ganze erst mal von Anfang an. Da es sich vermutlich um einen DNS Changer handelt, müssen wir zunächst die DNS Einträge deiner Internetverbindung überprüfen. Gehe wie folgt vor:

Code:
ATTFilter
Geh bitte auf START
Systemsteuerung
Netzwerk- und Internetverbindungen
Netzwerkverbindungen
Hierauf dann einen Rechtsklick und Eigenschaften anklicken. 
Hier ist dann deine aktive Netzwerkverbindung ins Internet gelistet. 
Hierauf auch einen Rechtsklick und Eigenschaften aufrufen.
         
Hier siehst du dann eine Menge Einträge. Scrolle runter bis zum Eintrag TCP/IP
drücke hier einmal mit der linken Maustaste drauf und dann auf Eigenschaften.

Schau in den Eintrag DNS Server . Ist der Eintrag DNS Server automatisch beziehen aktiviert oder siehst du darunter IP Nummern eingetragen?
Dein System sollte die DNS eigentlich automatisch beziehen.

Punkt 1.
Bitte deaktiviere deine Systemwiederherstellung:

Systemsteuerung/System/ Reiter Systemwiederherstellung. Nimm das Häkchen aus der Box. Beantworte die Frage mit Ja, somit werden alle deine Wiederherstellungspunkte auch gelöscht. Diese sind in deinem Fall sowieso unbrauchbar..

Punkt 2.
Mache alle Dateien deines System so sichtbar. ( Ordneroption - versteckte und Systemdateien anzeigen )

Punkt 3.
Dann wirst du CCleaner aktivieren und wie beschrieben vorgehen und zwar so lange bis das keine Fehler mehr angezeigt werden.

Punkt 4. ( brauchst du nicht mehr )
Aktiviere MBR.exe Lass es laufen und poste das Logfile hier.

Punkt 5.
Hiernach einen Malwarebytes Scan ( Full Scan ) und das Logfile hier posten....( wenns nicht läuft benenne die MBAM.exe um in Hups.exe und versuchs dann. Einige Viren verhindern die Ausführung von AV Programmen. Lasse zum Abschluß alle Funde löschen
Gehts immer noch nicht, gehe zu Punkt 6.

Punkt 5.
Wieder zurück zu deiner Internetverbindung: Stelle den Eintrag DNS automatisch beziehen wieder her, falls dies nicht mittlerweile wieder auf automatisch steht..

Punkt 6.
Hiernach öffnest du GMER und lässt bei diesem Programm ebenfalls einen Scan durchführen, poste das Logfile hier. Wenn es funktioniert, dann bitte ausführen und die Logfile posten bzw. bei - Ihr kostenloser File Hoster! uploaden und Link posten.
Falls es nicht läuft: Auch hier verhindern einige Viren, dass GMER laufen kann. Benenne die exe dann einfach in Huppala.exe um

Weiteres kommt dann nach diesem Logfile von mir.....

Geändert von Redwulf (18.03.2009 um 08:52 Uhr)

Alt 18.03.2009, 08:45   #5
Chris4You
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



-Doppelpost-

__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 18.03.2009, 10:22   #6
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

anbei meine Logfiles. In der Systemwiderherstellung kann ich nichts ändern, geht scheinbar im abgesicherten Modus nicht.
Der Haken ist immer raus.
Maleware musste ich umbenennen.
Gmer kann ich starten, hat aber keinen Zugriff auf die Datei:
c:\windows\system32\config\system, da sie von einem anderen Prozess verwendet wird.
Die Einstellungen des DNS-Servers sind wieder auf automatisch.

Ich bin immer noch im abgesicherten Modus, habe noch nichts anders probiert.
Christian

Code:
ATTFilter
Stealth MBR rootkit detector 0.2.4 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
kernel: MBR read successfully
user & kernel MBR OK
         
Code:
ATTFilter
Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1749
Windows 5.1.2600 Service Pack 3

18.03.2009 11:00:58
mbam-log-2009-03-18 (11-00-25).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 285945
Laufzeit: 47 minute(s), 37 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 7
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{cae808f3-e562-4cca-b090-aff10ab2d817}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{01333a8d-ca39-48ee-8b8c-c8bfc32cfa56}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{cae808f3-e562-4cca-b090-aff10ab2d817}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\Tcpip\Parameters\Interfaces\{cae808f3-e562-4cca-b090-aff10ab2d817}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.76,85.255.112.176 -> No action taken.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\RECYCLER\S-7-2-46-100029610-100013942-100004010-7387.com (Trojan.Agent) -> No action taken.
         

Alt 18.03.2009, 10:28   #7
Redwulf
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Chris vorab die Frage:

hast du die Reihenfolge Punkt für Punkt abgearbeitet? CCleaner etc?
Wenn du Malwarebytes hast zu Ende laufen lassen, musst du die Funde LÖSCHEN
Benenne GMER ebenfalls um und versuche es nochmals. Ich brauche das GMER Log

Alt 18.03.2009, 10:31   #8
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

habe die Reihenfolge eingehalten, habe GMER bereits umbenannt. Es startet zwar, dann kommt die Fehlermeldung und ich kann nicht scannen.
Soll ich nochmal von vorne anfangen.

Ist es richtig das ich in der Systemwiederherstellung nichts ändern kann??
Christian

Alt 18.03.2009, 10:34   #9
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Habe CCleaner Registry vergessen, fange nochmal von vorne an.

Christian

Alt 18.03.2009, 10:52   #10
Redwulf
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



OK Ich warte dann mal ab.
das mit der Systemwiederherstellung lassen wir jetzt erst mal aussen vor.

Geändert von Redwulf (18.03.2009 um 11:35 Uhr)

Alt 18.03.2009, 11:41   #11
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

habe cclean mehrmals durchlaufen lassen, auch Malbyte.

Kann trotzdem GMER nicht starten, trotz umbenennen. Fehlermeldung:

Gmer divice error\\.\anjasnkyas system kann die angegebene Datei nicht finden.

Geht GMER nur im normalmodus???

Code:
ATTFilter
Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1749
Windows 5.1.2600 Service Pack 3

18.03.2009 12:34:45
mbam-log-2009-03-18 (12-34-45).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 285872
Laufzeit: 47 minute(s), 21 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

Alt 18.03.2009, 12:00   #12
Redwulf
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Kann sein....hast du mal versucht im normalen Modus zu booten?
Versuchs einfach mal und lass dann GMER laufen, ansonsten versuchen wir was anderes
__________________
Quidquid agis prudenter agas et respice finem

Was auch immer du tust, tu es klug und bedenke die Folgen

---------------------------------------------------------------------------------
Wenn ich nach 24 Stunden nicht antworte, bitte kurze PM

Alt 18.03.2009, 12:02   #13
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

muss kurz weg, werde es dann probieren, melde mich dann wieder.

Christian

Alt 18.03.2009, 17:46   #14
chris199
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



Hallo,

kurzer Zwischenstand.

Mittlerweile konnte GMER im Normalmodus starten. Läuft jetzt seid ca. 2 Stunden. Im Normalmodus kann ich nicht surfen, geht nur im abgesicherten Modus.
Bin an einem anderen Rechner.
Wenn GMER fertig ist werde ich das Log posten.

Christian

Alt 18.03.2009, 17:58   #15
Redwulf
 
Kann nur noch im abgesicerten Modus starten - Standard

Kann nur noch im abgesicerten Modus starten



OK bin hier

2 Stunden? puhh das wird aber was. Nimm nen Filehoster zum Hochladen nicht hier ins Forum damit.
__________________
Quidquid agis prudenter agas et respice finem

Was auch immer du tust, tu es klug und bedenke die Folgen

---------------------------------------------------------------------------------
Wenn ich nach 24 Stunden nicht antworte, bitte kurze PM

Antwort

Themen zu Kann nur noch im abgesicerten Modus starten
abgesicherten modus, adobe, ask toolbar, bho, cs3, desktop, explorer, google, helper, hijack, hijackthis, hkus\s-1-5-18, immer wieder, internet, internet explorer, jusched.exe, logfile, malware, monitor, nicht angezeigt, proxy, registry, siteadvisor, software, sparbuch, starten, starten., system, temp, windows, windows xp, wiso



Ähnliche Themen: Kann nur noch im abgesicerten Modus starten


  1. Anleitung: Smartphone im abgesicherten Modus starten (sicherer Modus)
    Smartphone, Tablet & Handy Security - 12.08.2016 (1)
  2. kann antimalware weder installieren noch starten
    Log-Analyse und Auswertung - 03.09.2014 (29)
  3. Trojaner?Bildschirm schwarz, nur noch Betrieb im abgesichterten Modus. Kann mir jemand helfen?
    Plagegeister aller Art und deren Bekämpfung - 14.10.2013 (15)
  4. GVU-Trojaner: Ich kann noch nicht mal von CD/USB starten
    Plagegeister aller Art und deren Bekämpfung - 06.09.2013 (36)
  5. gvu virus - kann window nicht mehr aus dem gesicherten modus starten
    Plagegeister aller Art und deren Bekämpfung - 24.08.2013 (1)
  6. nach interpol bka seite - jetzt nur noch weiße Seite kann nicht im abgesicherten Modus starten
    Plagegeister aller Art und deren Bekämpfung - 07.08.2013 (15)
  7. bka trojaner kann den abgesicherten modus nicht starten
    Plagegeister aller Art und deren Bekämpfung - 17.02.2013 (19)
  8. PC kann nur noch im abgesicherten Modus hochgefahren werden
    Plagegeister aller Art und deren Bekämpfung - 16.11.2012 (60)
  9. Kann nicht im Abgesicherten Modus Starten
    Plagegeister aller Art und deren Bekämpfung - 05.05.2012 (3)
  10. Bka-trojaner österreich, kann nur noch im abgesicherten modus auf den rechner zugreifen
    Plagegeister aller Art und deren Bekämpfung - 02.04.2012 (4)
  11. facebook virus: laptop nur noch im abgesichterten modus zu starten
    Plagegeister aller Art und deren Bekämpfung - 02.11.2011 (6)
  12. system fährt normal nichtmehr hoch, lediglich kann ich über abgesicherten modus pc noch nutzen
    Alles rund um Windows - 23.01.2011 (0)
  13. Windows kann nur noch im Debug-Modus gestartet werden- Server 2003
    Alles rund um Windows - 09.04.2010 (16)
  14. kann nur noch im abgesicherten modus starten...
    Log-Analyse und Auswertung - 02.11.2009 (3)
  15. Kann man einen XP-Rechner noch mit DOS starten?
    Alles rund um Windows - 28.11.2008 (3)
  16. Ich kann nur im abgesicherten Modus starten
    Log-Analyse und Auswertung - 01.01.2007 (2)
  17. Smitfraudix, Windows kann nicht im abgesicherten Modus starten!
    Mülltonne - 08.08.2006 (2)

Zum Thema Kann nur noch im abgesicerten Modus starten - Hallo, ich kann nur noch im abgesicherten Modus starten. McAfee findet immer wieder einen Trojaner. Sybot und Malware starten nicht mehr. Adobe 7 und 9 sin deinstalliert. Netzwerkverbindungen werden nicht - Kann nur noch im abgesicerten Modus starten...
Archiv
Du betrachtest: Kann nur noch im abgesicerten Modus starten auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.