Popup- und Rechnerneustartprobleme nach EXP/Sinowal.I und Win32.Muollo - Fund

kira · 24.05.2011, 16:24

nimm "[ATICCC]" aus dem Autostart raus!
Start→ Alle Programme → Zubehör → Ausführen →"msconfig" (reinschreiben ohne "") → Ok

1.
alle Anwendungen schließen → Ordner für temporäre Dateien bitte leeren
**Der Temp Ordner,ist für temporäre Dateien,also der Inhalt kann man ohne weiteres löschen.- Dateien, die noch in Benutzung sind, nicht löschbar.
**Lösche nur den Inhalt der Ordner, nicht die Ordner selbst!

`Start → ausführen` "cleanmgr" reinschreiben (ohne "") → "ok" - die Temporary Files, Temporary Internet Files, und der Papierkorb (Recycle Bin) müssen geleert werden→ "Ok"
`Start → ausführen` → %temp% reinschreiben (ohne "")→ "Ok" - - Ordnerinhalt überall markieren und löschen
für jedes Benutzerkonto bitte durchführen
anschließend den Papierkorb leeren

2.
reinige dein System mit Ccleaner:

"Cleaner"→ "Analysieren"→ Klick auf den Button "Start CCleaner"
"Registry""Fehler suchen"→ "Fehler beheben"→ "Alle beheben"
Starte dein System neu auf

3.
- Lade das Combofix von einem der folgenden Download Spiegel herunter:
BleepingComputer - ForoSpyware

- Wichtig!: muss auf dem Desktop installiert werden!
- Antiviren, - und andere Schutz/Spyprogramme bitte deaktivieren
- Schließe jeder externe Datenträger (USB Stick und USB Festplatte etc) an dein Computer an - dabei die Shift-Taste bitte unbedingt gedrückt halten!
- Per Doppelklick die ComboFix.exe starten und den Anweisungen folgen
- Falls die Microsoft-Windows-Wiederherstellungskonsole auf dein Rechner nicht installiert ist, und wenn du direkt gefragt wirst, es zu ermöglichen stimme dem Lizenzvertrag zu. Danach erscheint ein Fenster zur Bestätigung, ansonsten wird ComboFix mit der Arbeit fortfahren
- bestätige mit "ja", damit den Suchlauf automatisch beginnen kann

Zitat:

Achtung! Während ComboFix läuft: Ab sofort die Maus nicht mehr bewegen oder/und auf dem PC irgendetwas machen!!
** Für alle die das Tool benutzen, eine gewisse Vorsicht geboten, also die Reihenfolge und Anweisungen gründlich lesen und streng einhalten!!

- wird ein Log-Datei - C:\ComboFix.txt erstellt, deren Inhalte bitte posten

Zitat:

** Eine bebilderte Anleitung findest Du hier: bleepingcomputer.com/combofix/Anleitung

**Danach nicht vergessen die Schutzprogramme wieder aktivieren!!

Halolo · 24.05.2011, 18:37

Zitat:

Zitat von Coverflow

nimm "[ATICCC]" aus dem Autostart raus!
Start→ Alle Programme → Zubehör → Ausführen →"msconfig" (reinschreiben ohne "") → Ok

Meinst Du msconfig -> "Systemstart" -> "cli" (C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay)? Ist diese nicht für die Grafikkarte relevant bzw. für das Darstellen des Bildes?

Halolo · 24.05.2011, 19:47

1. ausgeführt (%temp% muss man eingeben richtig? - wie dem auch sei: in dem Ordner bin ich leider 3 Dateien nicht losgeworden)

2. ausgeführt

3. ComboFix-Log:

Code:

ATTFilter

ComboFix 11-05-23.02 - user1 24.05.2011  20:00:17.1.1 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.767.414 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\user1\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Outdated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\user1\Anwendungsdaten\Adobe\plugs
c:\dokumente und einstellungen\user1\Anwendungsdaten\Adobe\plugs\mmc53502437.txt
c:\dokumente und einstellungen\user1\Anwendungsdaten\Adobe\shed
c:\dokumente und einstellungen\user1\Anwendungsdaten\Adobe\shed\thr1.chm
C:\winxnet.bin
D:\Autorun.inf
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-04-24 bis 2011-05-24  ))))))))))))))))))))))))))))))
.
.
2011-05-24 06:38 . 2011-05-24 06:38	--------	d-----w-	c:\programme\ESET
2011-05-23 21:57 . 2011-05-23 21:57	--------	d-----w-	c:\dokumente und einstellungen\user1\Anwendungsdaten\SUPERAntiSpyware.com
2011-05-23 21:57 . 2011-05-23 21:57	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2011-05-23 21:57 . 2011-05-24 06:34	--------	d-----w-	c:\programme\SUPERAntiSpyware
2011-05-23 21:45 . 2011-05-23 21:45	--------	d-----w-	c:\programme\Gemeinsame Dateien\Java
2011-05-23 21:45 . 2011-05-23 21:44	73728	----a-w-	c:\windows\system32\javacpl.cpl
2011-05-23 21:44 . 2011-05-23 21:44	--------	d-----w-	c:\programme\Java
2011-05-23 21:32 . 2011-05-23 21:32	388096	----a-r-	c:\dokumente und einstellungen\user1\Anwendungsdaten\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2011-05-23 21:32 . 2011-05-23 21:32	--------	d-----w-	c:\programme\Trend Micro
2011-05-23 14:18 . 2011-05-23 14:18	54016	----a-w-	c:\windows\system32\drivers\ieuvave.sys
2011-05-23 10:01 . 2011-05-23 10:01	--------	d-----w-	c:\dokumente und einstellungen\user1\Anwendungsdaten\Malwarebytes
2011-05-23 10:00 . 2010-12-20 16:09	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-05-23 10:00 . 2011-05-23 10:00	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-05-23 10:00 . 2011-05-23 10:00	--------	d-----w-	c:\programme\Malwarebytes' Anti-Malware
2011-05-23 10:00 . 2010-12-20 16:08	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-05-22 08:48 . 2011-05-22 08:48	--------	d-----w-	c:\programme\CCleaner
2011-05-21 18:59 . 2011-05-21 18:59	404640	----a-w-	c:\windows\system32\FlashPlayerCPLApp.cpl
2011-05-21 12:48 . 2011-05-21 12:48	--------	d-----r-	c:\dokumente und einstellungen\LocalService\Favoriten
2011-05-20 19:21 . 2011-05-20 19:22	--------	d-----w-	c:\dokumente und einstellungen\user1\Anwendungsdaten\QuickScan
2011-05-20 15:28 . 2011-05-20 15:28	--------	d-----w-	c:\programme\File Scanner Library (Spybot - Search & Destroy)
2011-05-17 16:08 . 2011-05-17 16:12	--------	d-----w-	c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe
2011-05-16 07:41 . 2011-05-16 07:41	--------	d-----r-	c:\dokumente und einstellungen\NetworkService\Favoriten
2011-04-25 09:53 . 2011-04-29 17:41	142296	----a-w-	c:\programme\Mozilla Firefox\components\browsercomps.dll
2011-04-25 09:53 . 2011-04-29 17:41	781272	----a-w-	c:\programme\Mozilla Firefox\mozsqlite3.dll
2011-04-25 09:53 . 2011-04-29 17:41	1874904	----a-w-	c:\programme\Mozilla Firefox\mozjs.dll
2011-04-25 09:53 . 2011-04-29 17:41	465880	----a-w-	c:\programme\Mozilla Firefox\libGLESv2.dll
2011-04-25 09:53 . 2011-04-29 17:41	15832	----a-w-	c:\programme\Mozilla Firefox\mozalloc.dll
2011-04-25 09:53 . 2011-04-29 17:41	89048	----a-w-	c:\programme\Mozilla Firefox\libEGL.dll
2011-04-25 09:53 . 2011-04-29 17:41	1974616	----a-w-	c:\programme\Mozilla Firefox\D3DCompiler_42.dll
2011-04-25 09:53 . 2011-04-29 17:41	1892184	----a-w-	c:\programme\Mozilla Firefox\d3dx9_42.dll
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-05-23 21:44 . 2010-10-03 09:11	472808	----a-w-	c:\windows\system32\deployJava1.dll
2011-03-17 10:53 . 2009-11-10 09:40	137656	----a-w-	c:\windows\system32\drivers\avipbb.sys
2011-03-07 05:33 . 2009-11-09 17:05	692736	----a-w-	c:\windows\system32\inetcomm.dll
2011-03-04 06:36 . 2008-04-14 05:52	420864	----a-w-	c:\windows\system32\vbscript.dll
2011-03-03 13:53 . 2008-04-14 05:23	1858048	----a-w-	c:\windows\system32\win32k.sys
2011-04-29 17:41 . 2011-04-25 09:53	142296	----a-w-	c:\programme\mozilla firefox\components\browsercomps.dll
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SUPERAntiSpyware"="c:\programme\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2011-05-24 2424192]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IgfxTray"="c:\windows\system32\igfxtray.exe" [2004-08-20 155648]
"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2004-08-20 118784]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-08-02 281768]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"ATICCC"="c:\programme\ATI Technologies\ATI.ACE\cli.exe" [2006-01-02 45056]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2011-01-31 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-01-07 253672]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\programme\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2009-09-03 22:21	548352	----a-w-	c:\programme\SUPERAntiSpyware\SASWINLO.DLL
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"f:\\Programme\\Microsoft Games\\Age of Empires II\\EMPIRES2.EXE"=
"c:\\Programme\\Microsoft Games\\Age of Empires II\\age2_x1\\age2_x1.exe"=
"g:\\Dokumente und Einstellungen\\Gertie\\Eigene Dateien\\Tobi's ZOCKERHÖHLE\\Cs 1.6\\hl.exe"=
.
R1 SASKUTIL;SASKUTIL;c:\programme\SUPERAntiSpyware\SASKUTIL.SYS [10.05.2010 20:41 67656]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [10.11.2009 11:40 136360]
S1 SASDIFSV;SASDIFSV;c:\programme\SUPERAntiSpyware\sasdifsv.sys [17.02.2010 20:25 12872]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [01.02.2010 22:03 135664]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [01.02.2010 22:03 135664]
.
Inhalt des "geplante Tasks" Ordners
.
2011-05-24 c:\windows\Tasks\GoogleUpdateTaskMachineCore1cab733c596c34c.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-02-01 20:03]
.
2011-05-24 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-02-01 20:03]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\user1\Anwendungsdaten\Mozilla\Firefox\Profiles\5m3eugph.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - user.js: network.cookie.cookieBehavior - 0
FF - user.js: privacy.clearOnShutdown.cookies - false
FF - user.js: security.warn_viewing_mixed - false
FF - user.js: security.warn_viewing_mixed.show_once - false
FF - user.js: security.warn_submit_insecure - false
FF - user.js: security.warn_submit_insecure.show_once - false
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
MSConfigStartUp-{37E95314-7628-9644-1109-40D4FEA59857} - c:\dokumente und einstellungen\user1\Anwendungsdaten\Tuvod\piku.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-05-24 20:07
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse... 
.
Scanne versteckte Autostarteinträge... 
.
Scanne versteckte Dateien... 
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(672)
c:\programme\SUPERAntiSpyware\SASWINLO.DLL
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2011-05-24  20:11:18
ComboFix-quarantined-files.txt  2011-05-24 18:11
.
Vor Suchlauf: 7 Verzeichnis(se), 22.198.173.696 Bytes frei
Nach Suchlauf: 9 Verzeichnis(se), 22.285.479.936 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 533271DB7A2C8EE337C1628C0E84DFDA

Probleme:

• Bei meiner externen Festplatte haben sich zwei Ordner erstellt - $RECYCLE.BIN und RECYCLER. In ersterem scheint kein Inhalt zu sein (auch nicht sichtbar), jedoch scheint in zweitem eine Datei zu sein ("85 Byte Größe") - ich sehe jedoch keine Datei darin.
• die "große" svchost.exe war wieder da. Merke grade, dass sie wieder weg ist, aber es war wieder sehr unangenehm ...
• das Updaten von Avira funktioniert leider immer noch nicht

Gruß

kira · 24.05.2011, 20:17

- Manuell geht auch nicht?

1. Verwendest Du einen Proxy? wenn nicht:
Antivir öffnen-> Extra-> Konfiguration-> Update-> Expertenmodus anklicken-> Allgemeines-> Update-> Webserver-> "Vorhandene Verbindung (Netzwerk verwenden) " angehakt?
dann Proxyeinstellungen-> Windows Systemeinstellungen verwenden...

2.

Rechtsklick auf den roten Avira-Schirm in der Taskleiste
mit Linksklick AntiVir starten-> Verwaltung-> Planer...
auf das erste kleine Uhr-Symbol klicken-> "Name und Beschreibung des Auftrags" -> musst Du hier "automatische Updates" eintragen-> Weiter
bei "Bitte wählen" auf "Update Auftrag" stellen
Weiter-> bei "bitte wählen" auf "Täglich" und die gewünschte Uhrzeit einstellen
Haken setzen (falsch nicht automatisch gestezt) vor "Auftrag nachholen"-> Weiter-> "Darstellungsmodus" auf "Unsichtbar" stellen-> Fertig stellen.

Einstellung:

Rechtsklick erneut auf den roten Avira-Schirm in der Taskleiste
Linksklick auf "AntiVir starten"
Konfiguration
"Update" ankreuzen-> Haken rein "Aktivieren"-> "Automatische Updates"
(soll schon drin stehen: "01 Tag(e) 00 Stunde(n) 00 Minute(n)"-> Haken rein "Auftrag nachholen"-> OK.

Kontrolliere, ob Du alles richtig gemacht hast:

Rechtsklick auf den Avira-Schirm in der Taskleiste
Linksklick auf "AntiVir starten"
Verwaltung-> Planer...
Nun soll schon die von Dir gemachten Festlegungen sichtbar sein.- Falls nicht, ein Haken in Kästchen "Aktiviert" setzen

Halolo · 24.05.2011, 22:03

Hallo,

nein manuell geht es leider auch nicht.
Habe die Anleitung ausgeführt, ich warte dann einfach mal diesbezüglich ab?!

Kurze Zwischenfrage: kannst Du abschätzen wie es dem Pc geht? Also wie hochgradig war er denn verseucht und ist er es jetzt noch?

Gruß

kira · 24.05.2011, 22:24

versuchen wir so:

1.
Antivir deinstallieren

2.
das Tool Download Avira RegistryCleaner
laufen lassen

3.
lade ihn erneut herunter:-> Avira AntiVir Personal - Free Antivirus

geht jetzt?

Halolo · 24.05.2011, 22:47

Ja, jetzt hat er sich endlich mal wieder geupdatet

24.05.2011, 22:24	#6
kira /// Helfer-Team	Popup- und Rechnerneustartprobleme nach EXP/Sinowal.I und Win32.Muollo - Fund versuchen wir so: 1. Antivir deinstallieren 2. das Tool Download Avira RegistryCleaner laufen lassen 3. lade ihn erneut herunter:-> Avira AntiVir Personal - Free Antivirus geht jetzt? __________________ --> Popup- und Rechnerneustartprobleme nach EXP/Sinowal.I und Win32.Muollo - Fund

Popup- und Rechnerneustartprobleme nach EXP/Sinowal.I und Win32.Muollo - Fund

Plagegeister aller Art und deren Bekämpfung: Popup- und Rechnerneustartprobleme nach EXP/Sinowal.I und Win32.Muollo - Fund