so, gmer bringt dieselbe meldung wie beim letzten mal:

gmer has found system modification caused by rootkit activity

das log is zu groß zum posten, habs deshalb bei rapidshare geuppt.
hier der link:

http://rapidshare.de/files/48155270/gmer.txt.html

hm, ich hab vorhin antivir und zone alarm frisch installiert aber die haben noch nichts angezeigt...

beim packen des avenger-ordners bekomm ich ne fehlermeldung von winrar :

! Konnte den Inhalt von C:\Avenger\CF3QHAXA\* nicht lesen
! Konnte den Inhalt von C:\Avenger\Cookies\* nicht lesen

ließ sich aber trotzdem packen, ich schick dir gleich den rapidshare-link...

Du sollst Zonealarm deinstallieren, das versaut alle Logs.

Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

KILLALL::

FixCset::

Driver::
kbiwkmqmuyxidm 

Registry::
[-HKLM\SYSTEM\ControlSet005\Services\kbiwkmqmuyxidm]

Rootkit::
C:\WINDOWS\system32\drivers\kbiwkmrklltkos.sys
C:\WINDOWS\system32\kbiwkmhqowqpqr.dll
C:\WINDOWS\system32\kbiwkmxwenjnpf.dat
C:\WINDOWS\system32\kbiwkmjpiqjlcp.dll
C:\WINDOWS\system32\kbiwkmpfwlomao.dat
         

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

• Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

hier das log von combofix

Es wird schwächer. Gleich haben wir es.

Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

KILLALL::

FixCset::

Driver::
kbiwkmqmuyxidm 

RegNull::
[HKEY_USERS\S-1-5-21-776561741-2139871995-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{F5A0E96C-DF1D-6848-EDE1-2C9E6101D815}*]

Registry::
[-HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kbiwkmqmuyxidm}
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\kbiwkmqmuyxidm]
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

Rootkit::
C:\WINDOWS\system32\drivers\kbiwkmrklltkos.sys

File::
C:\WINDOWS\system32\drivers\kbiwkmrklltkos.sys
C:\WINDOWS\system32\kbiwkmhqowqpqr.dll
C:\WINDOWS\system32\kbiwkmxwenjnpf.dat
C:\WINDOWS\system32\kbiwkmjpiqjlcp.dll
C:\WINDOWS\system32\kbiwkmpfwlomao.dat
         

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

• Danach das Log von Combofix ohne zu Editieren posten. Nur wenn dein Vor- und Nachname ersichtlich ist, dann entferne ihn.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

muss noch kurz warten bis ich das machen kann...

ich hab eben zone alarm deinstalliert und den recher ne gestartet um die deinstallation abzuschließen und beim hochfahren hat sich checkdisk gemeldet und läuft jetzt erstmal durch.

is doch ein fortschritt - vorher konnte checkdisk nämlich laufwerk c nicht überprüfen.

wenn er dann durch ist, mache ich mit dem combofix-script weiter.

Alles klar, bin jetzt auch unterwegs. Schaue gegen 21:30 Uhr wieder vorbei.

Nimm statt des alten Scriptes lieber das hier:

KILLALL::

FixCset::

Driver::
kbiwkmqmuyxidm 

RegNull::
[HKEY_USERS\S-1-5-21-776561741-2139871995-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{F5A0E96C-DF1D-6848-EDE1-2C9E6101D815}*]

RegLockDel::
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\kbiwkmqmuyxidm]
[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\kbiwkmqmuyxidm]

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

Rootkit::
C:\WINDOWS\system32\drivers\kbiwkmrklltkos.sys

File::
C:\WINDOWS\system32\drivers\kbiwkmrklltkos.sys
C:\WINDOWS\system32\kbiwkmhqowqpqr.dll
C:\WINDOWS\system32\kbiwkmxwenjnpf.dat
C:\WINDOWS\system32\kbiwkmjpiqjlcp.dll
C:\WINDOWS\system32\kbiwkmpfwlomao.dat
         

ciao, andreas

so, checkdisk hat jetzt gott sei dank erstmal aufgeräumt und ne ganze ecke verwaister daten gelöscht^^


hier das log von combofix