Trojaner-Board - Achtung! Aus Sicherheitsgründen wurde Ihr Windowssystem blockiert

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Achtung! Aus Sicherheitsgründen wurde Ihr Windowssystem blockiert (https://www.trojaner-board.de/110793-achtung-sicherheitsgruenden-wurde-windowssystem-blockiert.html)

Ich hatte sie (die Funde) gelöscht und dann den Log vom 2. Scan gepostet. Sorry, soll ich den 1. Log nachholen?
Und Combofix wieder auf dem Desktop des Accounts mit dem letzten OTL-Log? Entschuldige das beharrliche Nachfragen, aber da ich mich nicht so gut auskenne, bin ich halt unsicher...

na logisch brauche ich das log mit den funden, oder wie soll ich wissen was gefunden wurde?
also, erst mal das log posten bitte.

Entschuldigung, bin halt ein "Noob"...
Hier die erste Log-Datei:

Code:

Malwarebytes Anti-Malware 1.60.1.1000

www.malwarebytes.org
 

Datenbank Version: v2012.03.02.06
 

Windows 7 Service Pack 1 x64 NTFS

Internet Explorer 9.0.8112.16421

Administrator :: USER-PC [Administrator]
 

03.03.2012 00:19:46

mbam-log-2012-03-03 (00-19-46).txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 490311

Laufzeit: 47 Minute(n), 4 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 3

C:\Program Files (x86)\Alcohol Soft\Alcohol 120\Langs\AX_RU.dll (Malware.Packer.GenX) -> Erfolgreich gelöscht und in Quarantäne gestellt.

E:\games\mstsroutes\KVB-K4000-AddPack-1.exe (Adware.Onlinegames) -> Erfolgreich gelöscht und in Quarantäne gestellt.

E:\Program Files (x86)\EA GAMES\MOHAA\Ereg MOHAAB\go_ez.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Bitte schreib mir, wenn ich mit Combofix anfangen soll und auf welchem Account. Danke!

im infiziertem account, und du kannst anfangen :-)

Danke, hat funktioniert! Hier ist die ComboFix.txt:

[code]
Combofix Logfile:

Code:

ComboFix 12-03-02.01 - user 03.03.2012  19:29:16.1.4 - x64

Microsoft Windows 7 Home Premium   6.1.7601.1.1252.49.1031.18.4094.3027 [GMT 1:00]

ausgeführt von:: c:\users\user\Desktop\ComboFix.exe

AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}

SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

E:\install.exe

.

.

(((((((((((((((((((((((   Dateien erstellt von 2012-02-03 bis 2012-03-03  ))))))))))))))))))))))))))))))

.

.

2012-03-03 16:07 . 2012-03-03 16:11        --------        d-----w-        C:\_OTL

2012-03-03 00:29 . 2012-03-03 00:29        --------        d-----w-        c:\program files\CCleaner

2012-03-02 23:18 . 2012-03-02 23:18        --------        d-----w-        c:\users\Administrator\AppData\Roaming\Malwarebytes

2012-03-02 23:18 . 2012-03-02 23:18        --------        d-----w-        c:\programdata\Malwarebytes

2012-03-02 23:18 . 2011-12-10 14:24        23152        ----a-w-        c:\windows\system32\drivers\mbam.sys

2012-03-02 23:18 . 2012-03-02 23:18        --------        d-----w-        c:\program files (x86)\Malwarebytes' Anti-Malware

2012-03-02 23:12 . 2012-03-02 23:12        --------        d-----w-        c:\users\Administrator\AppData\Local\Opera

2012-03-02 22:26 . 2012-03-02 22:26        --------        d-----w-        c:\users\Administrator\AppData\Roaming\Avira

2012-03-02 22:12 . 2012-03-02 22:12        --------        d-----w-        c:\users\Siebenkaes\AppData\Roaming\Avira

2012-02-25 22:37 . 2012-02-25 22:51        --------        d-----w-        c:\program files (x86)\TubeDigger

2012-02-24 01:43 . 2012-02-24 01:43        162664        ----a-w-        c:\programdata\Microsoft\Windows\Sqm\Manifest\Sqm10140.bin

2012-02-15 01:38 . 2012-01-04 10:44        509952        ----a-w-        c:\windows\system32\ntshrui.dll

2012-02-15 01:38 . 2012-01-04 08:58        442880        ----a-w-        c:\windows\SysWow64\ntshrui.dll

2012-02-15 01:38 . 2011-12-30 06:26        515584        ----a-w-        c:\windows\system32\timedate.cpl

2012-02-15 01:38 . 2012-01-14 04:06        3145728        ----a-w-        c:\windows\system32\win32k.sys

2012-02-15 01:38 . 2011-12-30 05:27        478720        ----a-w-        c:\windows\SysWow64\timedate.cpl

2012-02-15 01:38 . 2011-12-28 03:59        498688        ----a-w-        c:\windows\system32\drivers\afd.sys

2012-02-15 01:38 . 2011-12-16 08:46        634880        ----a-w-        c:\windows\system32\msvcrt.dll

2012-02-15 01:38 . 2011-12-16 07:52        690688        ----a-w-        c:\windows\SysWow64\msvcrt.dll

2012-02-10 18:57 . 2012-03-03 14:37        --------        d-----w-        C:\music

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-02-16 22:50 . 2011-10-30 16:57        132320        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2010-08-03 10:11        819200        --sha-w-        c:\windows\SysWOW64\xvidcore.dll

2010-08-03 10:11        180224        --sha-w-        c:\windows\SysWOW64\xvidvfw.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AlcoholAutomount"="c:\program files (x86)\Alcohol Soft\Alcohol 120\axcmd.exe" [2009-09-18 205976]

"SandboxieControl"="c:\program files\Sandboxie\SbieCtrl.exe" [2011-10-12 643856]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]

"HDAudDeck"="c:\program files (x86)\VIA\VIAudioi\VDeck\VDeck.exe" [2009-09-21 2583040]

"JMB36X IDE Setup"="c:\windows\RaidTool\xInsIDE.exe" [2009-10-19 36864]

"StartCCC"="c:\program files (x86)\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-10-26 98304]

"ATICustomerCare"="c:\program files (x86)\ATI\ATICustomerCare\ATICustomerCare.exe" [2010-05-04 311296]

"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-06-09 254696]

"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2011-10-11 258512]

"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2011-06-06 937920]

.

c:\users\user\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

OpenOffice.org 3.3.lnk - c:\program files (x86)\OpenOffice.org 3\program\quickstart.exe [2010-12-13 1198592]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

Microsoft Office.lnk - c:\program files (x86)\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]

"aux2"=wdmaud.drv

.

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]

R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]

R3 cpuz130;cpuz130;c:\users\ADMINI~1\AppData\Local\Temp\cpuz130\cpuz_x64.sys [x]

R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]

S0 sptd;sptd;c:\windows\System32\Drivers\sptd.sys [x]

S1 AsUpIO;AsUpIO;SysWow64\drivers\AsUpIO.sys [x]

S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]

S2 acedrv11;acedrv11;c:\windows\system32\drivers\acedrv11.sys [x]

S2 AdobeARMservice;Adobe Acrobat Update Service;c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe [2011-06-06 64952]

S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [x]

S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2011-10-11 86224]

S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [x]

S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [x]

S3 AtiHDAudioService;ATI Function Driver for HD Audio Service;c:\windows\system32\drivers\AtihdW76.sys [x]

S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt64win7.sys [x]

S3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\windows\system32\drivers\viahduaa.sys [x]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - WS2IFSL

.

.

--------- x86-64 -----------

.

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IAAnotif"="c:\program files (x86)\Intel\Intel Matrix Storage Manager\iaanotif.exe" [2009-06-04 186904]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]

"LoadAppInit_DLLs"=0x0

.

------- Zusätzlicher Suchlauf -------

.

uLocal Page = c:\windows\system32\blank.htm

mLocal Page = c:\windows\SysWOW64\blank.htm

FF - ProfilePath - c:\users\user\AppData\Roaming\Mozilla\Firefox\Profiles\5lw3hx3f.default\

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\program files (x86)\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} - c:\program files (x86)\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA}

FF - Ext: Greasemonkey: {e4a8a97b-f2ed-450b-b12d-ee082ba24781} - %profile%\extensions\{e4a8a97b-f2ed-450b-b12d-ee082ba24781}

FF - Ext: Adblock Plus: {d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d} - %profile%\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

AddRemove-Diablo - c:\windows\DiabUnin.exe

.

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-3615661955-3939945081-2815731061-1000\Software\mIRC\LastRun]

@Denied: (Full) (RestrictedCode)

@Denied: (Full) (LocalSystem)

@Denied: (Full) (S-1-5-21-3615661955-3939945081-2815731061-1000)

@Denied: (Full) (Administrators)

@="1305851369,0"

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe

c:\program files (x86)\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

c:\program files (x86)\Intel\Intel Matrix Storage Manager\IAANTMon.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2012-03-03  19:33:02 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2012-03-03 18:33

.

Vor Suchlauf: 13 Verzeichnis(se), 11.485.003.776 Bytes frei

Nach Suchlauf: 17 Verzeichnis(se), 11.322.224.640 Bytes frei

.

- - End Of File - - 6B1FE283389EBCD5474653A236E6FB3D

--- --- ---

gehe ich recht in der anname, das alle konten funktionieren?
falls ja:
lade den CCleaner standard:
CCleaner Download - CCleaner 3.16.1666
falls der CCleaner
bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Meinst Du mit "funktionieren", dass man online gehen kann ohne die Trojaner-Meldung (das habe ich ängstlicherweise noch nicht ausprobiert), oder dass man von der Windows-Auswahlseite auf alle Account-Desktops kommt (das klappt)?

mit funktionieren meine ich uneingeschrenkt, also auch mit internet. :-)
testen bitte.

Ok, probiere ich gleich aus.

Hier die Liste aus dem CCleaner. Ziemlich viel "unbekannt" dabei, ich schätze aber, dass man z.B. AsusUpdate oder MS C++ braucht, aber weiß es eben nicht.

Code:

Acrobat.com        Adobe Systems Incorporated        24.11.2010        1,61MB        1.6.65 notwendig

Adobe AIR        Adobe Systems Inc.        24.11.2010                1.5.0.7220 unbekannt

Adobe Flash Player 11 Plugin 64-bit        Adobe Systems Incorporated        04.10.2011        6,00MB        11.0.1.152 notwendig

Adobe Reader X (10.1.1) - Deutsch        Adobe Systems Incorporated        05.11.2011        119,2MB        10.1.1 notwendig

ASUSUpdate        ASUSTeK Computer Inc.        24.11.2010                7.18.03 unbekannt

ATI Catalyst Install Manager        ATI Technologies, Inc.        24.11.2010        22,4MB        3.0.800.0 unbekannt

Avira Free Antivirus        Avira        15.02.2012        104,8MB        12.0.0.898 notwendig

calibre        Kovid Goyal        07.06.2011        127,5MB        0.8.4 unnötig

CCleaner        Piriform        02.03.2012                3.16 unbekannt

CDisplayEx 1.8        Henri Gourvest.        10.04.2011        12,9MB        unnötig

Digitale Bibliothek 5                09.08.2011                unnötig

EAX Unified                19.11.2011                unbekannt

Fallout                17.04.2011                unnötig

Intel® Matrix Storage Manager        Intel Corporation        20.11.2010        unbekannt        

Java(TM) 6 Update 29        Oracle        11.07.2011        97,1MB        6.0.290 unbekannt

JMicron JMB36X Driver        JMicron Technology Corp.        20.11.2010                1.00.0000 unbekannt

KVB B-Wagen Pack Vol. 3                17.01.2011        unnötig        

KVB K4000 Pack Vol. 1                17.01.2011        unnötig        

Lexmark 2300 Series        Lexmark International, Inc.        20.11.2011        notwendig        

Malwarebytes Anti-Malware Version 1.60.1.1000        Malwarebytes Corporation        02.03.2012        17,4MB        1.60.1.1000 notwendig

Microsoft .NET Framework 4 Client Profile        Microsoft Corporation        24.11.2010        38,8MB        4.0.30319 unbekannt

Microsoft .NET Framework 4 Client Profile DEU Language Pack        Microsoft Corporation        24.11.2010        2,94MB        4.0.30319 unbekannt

Microsoft Train Simulator                08.03.2011                notwendig

Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.4148        Microsoft Corporation        20.11.2010        0,77MB        9.0.30729.4148 unbekannt

Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022        Microsoft Corporation        09.12.2010        2,87MB        9.0.21022 unbekannt

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148        Microsoft Corporation        25.11.2010        0,58MB        9.0.30729.4148 unbekannt

Microsoft Visual C++ 2010  x64 Redistributable - 10.0.30319        Microsoft Corporation        24.11.2010        13,7MB        10.0.30319 unbekannt

Microsoft Visual C++ 2010  x86 Redistributable - 10.0.40219        Microsoft Corporation        29.10.2011        11,1MB        10.0.40219 unbekannt

Microsoft Word 2000        Microsoft Corporation        24.11.2010        93,8MB        9.00.2816 notwendig

Mozilla Firefox (3.6.27)        Mozilla        24.02.2012                3.6.27 (de) notwendig

MSTS Patch 1.8.0521 EN        George        08.03.2011                1.8.052113 notwendig

OpenAL                02.05.2011                unbekannt

OpenOffice.org 3.3        OpenOffice.org        11.07.2011        415MB        3.3.9567 notwendig

Opera 11.61        Opera Software ASA        25.01.2012                11.61.1250 notwendig

ProtectDisc Driver, Version 11        ProtectDisc Software GmbH        03.01.2012                11.0.0.14 unbekannt

Real Alternative 2.0.2                03.04.2011        23,1MB        2.0.2 notwendig

Realtek 8136 8168 8169 Ethernet Driver        Realtek        20.11.2010                1.00.0005 unbekannt

Route_Riter v7.0.85                30.03.2011                unnötig

Sandboxie 3.60 (64-bit)                30.10.2011                notwendig

TGATool2A version 4.00.34        Martin Wright        30.03.2011        unbekannt        

Train Store V3.2                05.11.2011                unnötig

VIA Plattform-Geräte-Manager        VIA Technologies, Inc.        20.11.2010        2,62MB        1.34 unbekannt

WinRAR                09.12.2010                notwendig

ok teste ob es überhaupt geht befor ich mir die liste durchsehe :-)

So, ich bin jetzt gerade über den infizierten Account im Netz, und bisher (ca. 2 Min. seit Internet-Aufruf) ist noch nichts passiert. *auf holz klopf*

PS: Mir ist gerade ein riesiger Stein vom Herzen gefallen, auch wenn's das wahrscheinlich noch nicht war. Trotzdem bis jetzt schon mal ganz, ganz herzlichen Dank!

Noch eine Anmerkung: Wenn ich "notwendig" schreibe, heißt das nicht, dass das Programm, wie es ist, bleiben muss. Ich bin schon bereit (z. B. Browser), es zu deinstallieren und dann von Neuem zu installieren (falls das besser ist).

wir sind zwar noch nicht durch, aber es ist die ziehlgrade.

deinstaliere:
Adobe Flash Player alle
Adobe - Adobe Flash Player installieren
neueste version laden
adobe reader:
Adobe - Adobe Reader herunterladen - Alle Versionen
haken bei mcafee security scan raus nehmen

bitte auch mal den adobe reader wie folgt konfigurieren:
adobe reader öffnen, bearbeiten, voreinstellungen.
allgemein:
nur zertifizierte zusatz module verwenden, anhaken.
internet:
hier sollte alles deaktiviert werden, es ist sehr unsicher pdfs automatisch zu öffnen, zu downloaden etc.
es ist immer besser diese direkt abzuspeichern da man nur so die kontrolle hat was auf dem pc vor geht.
bei javascript den haken bei java script verwenden raus nehmen
bei updater, automatisch instalieren wählen.
übernehmen /ok

deinstaliere:
calibre
CDisplayEx
Digitale Bibliothek
EAX
Fallout
Java
Download der kostenlosen Java-Software
downloade java jre, instalieren

deinstaliere:

KVB : beide

Mozilla Firefox
Webbrowser Firefox auf Deutsch | Schneller, sicherer und anpassbar
aktuelle version laden

deinstaliere:
Route_Riter
TGATool2A
Train Store

öffne otl, bereinigen neustart.
öffne ccleaner analysieren bereinigen neustart.
testen ob alles nach wunsch läuft

Vielen Dank für Deine Hilfe!

Tschuldige, mal wieder eine Nachfrage *seufz*:
Gehören "Acrobat.com" und "Adobe AIR" zum "Adobe Flash Player", die ich ja "alle" deinstallieren soll? Oder können/sollen die bleiben?

die können im prinzip auch weg.