Trojaner-Board - S.M.A.R.T HDD Virus ODT log

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - S.M.A.R.T HDD Virus ODT log (https://www.trojaner-board.de/113635-s-m-a-r-t-hdd-virus-odt-log.html)

Bitte nun (im normalen Windows-Modus) dieses Tool von Kaspersky (TDSS-Killer) ausführen und das Log posten Anleitung und Downloadlink hier => http://www.trojaner-board.de/82358-t...entfernen.html

Hinweis: Bitte den Virenscanner abstellen bevor du den TDSS-Killer ausführst, denn v.a. Avira meldet im TDSS-Tool oft einen Fehalalrm!

Das Tool so einstellen wie unten im Bild angegeben - klick auf change parameters und setze die Haken wie im folgenden Screenshot abgebildet,
Dann auf Start Scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.
Wenn du das Log nicht findest oder den Inhalt kopieren und in dein Posting übertragen kannst, dann schau bitte direkt auf deiner Windows-Systempartition (meistens Laufwerk C:) nach, da speichert der TDSS-Killer seine Logs.

Hinweis: Bitte nichts voreilig mit dem TDSS-Killer löschen! Falls Objekte vom TDSS-Killer bemängelt werden, alle mit der Aktion "skip" behandeln und hier nur das Log posten!

http://saved.im/mtkwmtcxexhp/setting...8_16-25-18.jpg

TDSS Killer startet nicht, Internet Explorer 9 lässt sich nicht installieren und Windows Updates melden, dass bei der Installation ein fehler aufgetreten ist.

Was soll das, wir stecken mitten in der Analyse/Bereinigung, da installiert man nicht ohne Absprache irgendwelche Software oder Windows-Updates!

Starte Windows im abgesicherten Modus und probier nochmal den TDSS-Killer

Im abgesicherten Modus gehts auch nicht. Der PC wurde von einem weiteren Virus versäucht. Zuerst startete die Java Konsole und beim nächsten start kam ein Fenster, mit der Überschrift Windows wurde aus Sicherheitsgründen blockiert. Darunter ein Button: Kaufen und Herunterladen.
Darauf habe ich den Computer ohne Internetverbindung nochmal gestartet und es Erscheinte nicht mehr. Bei diesem Virus blieben alle Symbole sichtbar. Als erstes hab ich mit Malwarebytes einen Quick Scan gemacht. Es wurden drei Dateien gefunden. Hier das Log:

Code:

Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.04.17.05
 

Windows 7 x86 NTFS

Internet Explorer 9.0.8112.16421

Christopher :: FAMILIEN-PC [Administrator]
 

Schutz: Deaktiviert
 

26.04.2012 16:31:00

mbam-log-2012-04-26 (16-31-00).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 264654

Laufzeit: 5 Minute(n), 23 Sekunde(n)
 

Infizierte Speicherprozesse: 1

C:\Users\Christopher\AppData\Local\Skype\SkypePM.exe (Trojan.Ransom) -> 3984 -> Löschen bei Neustart.
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 1

HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|SkypePM (Trojan.Ransom) -> Daten: C:\Users\Christopher\AppData\Local\Skype\SkypePM.exe -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 1

C:\Users\Christopher\AppData\Local\Skype\SkypePM.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 

(Ende)

Neustart mit Internetverbindung, alles normal, neuer Scan mit Malwarebytes, keine Infizierten Objekte gefunden.

Zweites Log:

Code:

Malwarebytes Anti-Malware (Test) 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.04.26.02
 

Windows 7 x86 NTFS

Internet Explorer 9.0.8112.16421

Christopher :: FAMILIEN-PC [Administrator]
 

Schutz: Deaktiviert
 

26.04.2012 16:41:07

mbam-log-2012-04-26 (16-41-07).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 267430

Laufzeit: 5 Minute(n), 41 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Ich werde ständig auf Internetseiten weitergeleitet, danach kommt die Java Konsole und beim nächsten Start hab ich einen neuen Virus vor mir.
Kannst du mir sagen wie ich das vermeiden kann?

Dann überspringen wir den TDSS erstmal

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!

Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Solltest du nach der Ausführung von Combofix Probleme beim Starten von Anwendungen haben und Meldungen erhalten wie

Zitat:

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

startest du Windows dann manuell neu und die Fehlermeldungen sollten nicht mehr auftauchen.

Hab Combofix gestartet. Es kam ein Fenster auf dem stand, dass es ca. 10 Minuten oder Etwas länger dauert aber nach 3 Stunden hab ich aufgegeben.

Starte Windows neu, lösch die alte combofix.exe, lade CF neu runter und probier es bitte nochmal.