Trojaner-Board - 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ytnaopy

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - 2 Trojaner gefunden HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|Ytnaopy (https://www.trojaner-board.de/135025-2-trojaner-gefunden-hkcu-software-microsoft-windows-currentversion-run-ytnaopy.html)

Und wie kommt da das Ultimate rauf? Wer hat das installiert? Hast du mal selbst ein Upgrade gemacht?

ich dachte bei windows vista business handelt es sich schon um die ultimate version?!
Ich selber habe gar nichts mehr an dem Laptop verändert. Ich habe ihn quasi "betriebsfertig" gekauft. Also windows, avira, mozilla, word und ein vlc player waren schon drauf, sodass ich mir nur noch adobe runtergeladen habe.

Kann combofix die viren bei mir denn direkt löschen oder scannt der auch erstmal nur?

Zitat:

ich dachte bei windows vista business handelt es sich schon um die ultimate version?!

Du bist ja witzig, weil Business drauf steht ist es ein Ultimate oder was :D
Nun mal bitte Klartext, vom wem hast du den so "betriebsfertig" gekauft, mit einem Ultimate-Windows-7? Obwohl Aufkleber mit Vista-Business?!

Du hast nur den Lizenzkey von einem Vista Business, ich bin kein M$-Lizenzaufseher aber wenn ich solche Unstimmigkeiten in den Logs sehe muss ich nachfragen. Ist auch in deinem Interesse. Denn falls dir eine gecrackte Installation angedreht wurde, hast du ein Sicherheitsrisiko.

wie heißt es noch... Unwissenheit schützt vor Strafe NICHT!!!
Ich dachte nur, dass die Business Version dann wohl die Ultimate sein müsste. Aber über all die Versionen hab ich absolut keinen Plan.
Ich habe den Laptop wirklich legal bei einem Computer-Fachberater der Uni gekauft. er meinte, er kauft die alten Business notebooks von Firmen auf, die früher mal an die 3000 € gekostet haben. Ich weiß auch, dass er nicht nur Laptops an die Uni verkauft, sondern auch an Schulen und er hat eine eingetragene Firmenadresse, deswegen klang für mich auch alles sehr seriös.
Ich bin auch Studentin und bekomme bspw. windows kostenslos von meiner uni. Hab mir darum ehrlich gesagt auch gar keine Gedanken gemacht, ob ich für meine Version jetzt eine Lizenz brauche.

Code:

ComboFix 13-05-16.02 - y 17.05.2013   0:03.1.2 - x86

Microsoft Windows 7 Ultimate   6.1.7601.1.1252.49.1031.18.2038.1015 [GMT 2:00]

ausgeführt von:: c:\users\y\Desktop\ComboFix.exe

AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}

SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 * Neuer Wiederherstellungspunkt wurde erstellt

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

C:\programfiles

c:\programfiles\Microsoft Office\Office14\OSPP.VBS

c:\users\y\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk

c:\users\y\AppData\Roaming\Microsoft\Network\Connections\Pbk\_hiddenPbk\rasphone.pbk

C:\w7lxe.exe

c:\w7lxe.exe\w7lxe.exe

.

.

(((((((((((((((((((((((   Dateien erstellt von 2013-04-16 bis 2013-05-16  ))))))))))))))))))))))))))))))

.

.

2013-05-16 22:12 . 2013-05-16 22:12        --------        d-----w-        c:\users\Default\AppData\Local\temp

2013-05-16 09:59 . 2013-05-16 09:59        54016        ----a-w-        c:\windows\system32\drivers\fcambbq.sys

2013-05-16 09:09 . 2013-05-16 09:09        --------        d-----w-        c:\users\y\AppData\Local\Programs

2013-05-16 09:07 . 2013-05-16 09:07        --------        d-----w-        c:\users\y\AppData\Roaming\Malwarebytes

2013-05-16 09:05 . 2013-05-16 09:05        --------        d-----w-        c:\programdata\Malwarebytes

2013-05-16 09:05 . 2013-05-16 09:10        --------        d-----w-        c:\program files\Malwarebytes' Anti-Malware

2013-05-16 09:05 . 2013-04-04 12:50        22856        ----a-w-        c:\windows\system32\drivers\mbam.sys

2013-05-15 18:11 . 2013-03-19 04:53        186368        ----a-w-        c:\windows\system32\wwansvc.dll

2013-05-15 18:11 . 2013-03-19 03:33        40960        ----a-w-        c:\windows\system32\wwanprotdim.dll

2013-05-15 18:11 . 2013-04-10 03:14        2347520        ----a-w-        c:\windows\system32\win32k.sys

2013-05-15 18:11 . 2013-04-10 05:18        728424        ----a-w-        c:\windows\system32\drivers\dxgkrnl.sys

2013-05-15 18:11 . 2013-04-10 05:18        218984        ----a-w-        c:\windows\system32\drivers\dxgmms1.sys

2013-05-15 18:11 . 2013-02-27 05:05        101720        ----a-w-        c:\windows\system32\consent.exe

2013-05-15 18:11 . 2013-02-27 04:49        1796096        ----a-w-        c:\windows\system32\authui.dll

2013-05-15 18:11 . 2013-02-27 04:49        47104        ----a-w-        c:\windows\system32\appinfo.dll

2013-05-14 16:27 . 2013-05-14 16:27        --------        d-----w-        c:\program files\Common Files\Java

2013-05-14 16:27 . 2013-04-04 03:35        94112        ----a-w-        c:\windows\system32\WindowsAccessBridge.dll

2013-05-13 21:49 . 2013-05-16 21:45        --------        d-----w-        c:\users\y\AppData\Roaming\Loobyr

2013-05-13 21:49 . 2013-05-16 09:59        --------        d-----w-        c:\users\y\AppData\Roaming\Wyah

2013-05-13 21:49 . 2013-05-13 21:49        --------        d-----w-        c:\users\y\AppData\Roaming\Gygous

2013-05-07 21:20 . 2013-05-07 21:20        66656        ----a-w-        c:\windows\system32\drivers\avnetflt.sys

2013-05-02 17:18 . 2013-05-02 17:18        163504        ----a-w-        c:\programdata\Microsoft\Windows\Sqm\Manifest\Sqm10144.bin

2013-04-23 17:54 . 2013-04-12 13:45        1211752        ----a-w-        c:\windows\system32\drivers\ntfs.sys

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-04-13 04:45 . 2013-05-15 18:11        474624        ----a-w-        c:\windows\apppatch\AcSpecfc.dll

2013-04-13 04:45 . 2013-05-15 18:11        2176512        ----a-w-        c:\windows\apppatch\AcGenral.dll

2013-04-11 09:34 . 2013-04-11 09:34        861088        ----a-w-        c:\windows\system32\npDeployJava1.dll

2013-04-11 09:34 . 2013-04-11 09:34        782240        ----a-w-        c:\windows\system32\deployJava1.dll

2013-03-27 23:19 . 2013-03-11 16:16        84744        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2013-03-27 23:19 . 2013-03-11 16:16        37352        ----a-w-        c:\windows\system32\drivers\avkmgr.sys

2013-03-27 23:19 . 2013-03-11 16:16        135136        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2013-03-19 05:04 . 2013-04-11 09:22        3968856        ----a-w-        c:\windows\system32\ntkrnlpa.exe

2013-03-19 05:04 . 2013-04-11 09:22        3913560        ----a-w-        c:\windows\system32\ntoskrnl.exe

2013-03-19 04:48 . 2013-04-11 09:22        38912        ----a-w-        c:\windows\system32\csrsrv.dll

2013-03-19 02:49 . 2013-04-11 09:22        69632        ----a-w-        c:\windows\system32\smss.exe

2013-03-18 19:10 . 2012-06-13 19:52        693976        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

2013-03-18 19:10 . 2011-11-12 09:06        73432        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2013-03-18 11:40 . 2013-03-18 11:40        745472        ----a-w-        c:\windows\system32\MsSpellCheckingFacility.exe

2013-03-18 11:40 . 2013-03-18 11:40        185344        ----a-w-        c:\windows\system32\elshyph.dll

2013-03-18 11:40 . 2013-03-18 11:40        73728        ----a-w-        c:\windows\system32\SetIEInstalledDate.exe

2013-03-18 11:40 . 2013-03-18 11:40        523264        ----a-w-        c:\windows\system32\vbscript.dll

2013-03-18 11:40 . 2013-03-18 11:40        48640        ----a-w-        c:\windows\system32\mshtmler.dll

2013-03-18 11:40 . 2013-03-18 11:40        38400        ----a-w-        c:\windows\system32\imgutil.dll

2013-03-18 11:40 . 2013-03-18 11:40        158720        ----a-w-        c:\windows\system32\msls31.dll

2013-03-18 11:40 . 2013-03-18 11:40        150528        ----a-w-        c:\windows\system32\iexpress.exe

2013-03-18 11:40 . 2013-03-18 11:40        138752        ----a-w-        c:\windows\system32\wextract.exe

2013-03-18 11:40 . 2013-03-18 11:40        137216        ----a-w-        c:\windows\system32\ieUnatt.exe

2013-03-18 11:40 . 2013-03-18 11:40        12800        ----a-w-        c:\windows\system32\mshta.exe

2013-03-18 11:40 . 2013-03-18 11:40        110592        ----a-w-        c:\windows\system32\IEAdvpack.dll

2013-03-18 11:40 . 2013-03-18 11:40        719360        ----a-w-        c:\windows\system32\mshtmlmedia.dll

2013-03-18 11:40 . 2013-03-18 11:40        61952        ----a-w-        c:\windows\system32\tdc.ocx

2013-03-18 11:40 . 2013-03-18 11:40        361984        ----a-w-        c:\windows\system32\html.iec

2013-03-18 11:40 . 2013-03-18 11:40        23040        ----a-w-        c:\windows\system32\licmgr10.dll

2013-03-18 11:40 . 2013-03-18 11:40        1441280        ----a-w-        c:\windows\system32\inetcpl.cpl

2013-03-18 11:39 . 2013-03-18 11:39        9728        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-shlwapi-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        906240        ----a-w-        c:\windows\system32\FntCache.dll

2013-03-18 11:39 . 2013-03-18 11:39        5632        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-shlwapi-l2-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        5632        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-ole32-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        417792        ----a-w-        c:\windows\system32\WMPhoto.dll

2013-03-18 11:39 . 2013-03-18 11:39        4096        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-user32-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        364544        ----a-w-        c:\windows\system32\XpsGdiConverter.dll

2013-03-18 11:39 . 2013-03-18 11:39        3584        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-advapi32-l2-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        3072        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-version-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        3072        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-shell32-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        2560        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-normaliz-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        249856        ----a-w-        c:\windows\system32\d3d10_1core.dll

2013-03-18 11:39 . 2013-03-18 11:39        2284544        ----a-w-        c:\windows\system32\msmpeg2vdec.dll

2013-03-18 11:39 . 2013-03-18 11:39        220160        ----a-w-        c:\windows\system32\d3d10core.dll

2013-03-18 11:39 . 2013-03-18 11:39        207872        ----a-w-        c:\windows\system32\WindowsCodecsExt.dll

2013-03-18 11:39 . 2013-03-18 11:39        161792        ----a-w-        c:\windows\system32\d3d10_1.dll

2013-03-18 11:39 . 2013-03-18 11:39        1504768        ----a-w-        c:\windows\system32\d3d11.dll

2013-03-18 11:39 . 2013-03-18 11:39        1247744        ----a-w-        c:\windows\system32\DWrite.dll

2013-03-18 11:39 . 2013-03-18 11:39        1158144        ----a-w-        c:\windows\system32\XpsPrint.dll

2013-03-18 11:39 . 2013-03-18 11:39        1080832        ----a-w-        c:\windows\system32\d3d10.dll

2013-03-18 11:39 . 2013-03-18 11:39        10752        ---ha-w-        c:\windows\system32\api-ms-win-downlevel-advapi32-l1-1-0.dll

2013-03-18 11:39 . 2013-03-18 11:39        604160        ----a-w-        c:\windows\system32\d3d10level9.dll

2013-03-18 11:39 . 2013-03-18 11:39        3419136        ----a-w-        c:\windows\system32\d2d1.dll

2013-03-18 11:39 . 2013-03-18 11:39        293376        ----a-w-        c:\windows\system32\dxgi.dll

2013-03-18 11:39 . 2013-03-18 11:39        1988096        ----a-w-        c:\windows\system32\d3d10warp.dll

2013-03-18 11:39 . 2013-03-18 11:39        187392        ----a-w-        c:\windows\system32\UIAnimation.dll

2013-03-18 11:39 . 2013-03-18 11:39        1230336        ----a-w-        c:\windows\system32\WindowsCodecs.dll

2013-04-12 19:39 . 2013-04-12 19:39        263064        ----a-w-        c:\program files\mozilla firefox\components\browsercomps.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Sidebar"="c:\program files\Windows Sidebar\sidebar.exe" [2010-11-20 1174016]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RTHDVCPL"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2012-01-31 10959464]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2009-09-23 141848]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2009-09-23 173592]

"Persistence"="c:\windows\system32\igfxpers.exe" [2009-09-23 150552]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-04-04 843712]

"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2013-05-07 345312]

"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2013-03-12 253816]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]

"Malwarebytes Anti-Malware"="c:\program files\Malwarebytes' Anti-Malware\mbamgui.exe" [2013-04-04 532040]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableUIADesktopToggle"= 0 (0x0)

.

R3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [x]

R3 pwdrvio;pwdrvio;c:\windows\system32\pwdrvio.sys [x]

R3 pwdspio;pwdspio;c:\windows\system32\pwdspio.sys [x]

R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [x]

R3 SrvHsfHDA;SrvHsfHDA;c:\windows\system32\DRIVERS\VSTAZL3.SYS [x]

R3 SrvHsfV92;SrvHsfV92;c:\windows\system32\DRIVERS\VSTDPV3.SYS [x]

R3 SrvHsfWinac;SrvHsfWinac;c:\windows\system32\DRIVERS\VSTCNXT3.SYS [x]

R3 Synth3dVsc;Synth3dVsc;c:\windows\system32\drivers\synth3dvsc.sys [x]

R3 terminpt;Microsoft Remote Desktop Input Driver;c:\windows\system32\drivers\terminpt.sys [x]

R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]

R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [x]

R3 tsusbhub;tsusbhub;c:\windows\system32\drivers\tsusbhub.sys [x]

R3 VGPU;VGPU;c:\windows\system32\drivers\rdvgkmd.sys [x]

S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [x]

S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [x]

S2 MBAMScheduler;MBAMScheduler;c:\program files\Malwarebytes' Anti-Malware\mbamscheduler.exe [x]

S2 MBAMService;MBAMService;c:\program files\Malwarebytes' Anti-Malware\mbamservice.exe [x]

S3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [x]

S3 O2MDRDR;O2MDRDR;c:\windows\system32\DRIVERS\o2media.sys [x]

S3 O2SDRDR;O2SDRDR;c:\windows\system32\DRIVERS\o2sd.sys [x]

S3 OZSCR;O2Micro SmartCardBus Smartcard Reader;c:\windows\system32\DRIVERS\ozscr.sys [x]

S3 SMSCIRDA;SMSC Infrared Device Driver;c:\windows\system32\DRIVERS\SMSCirda.sys [x]

S3 yukonw7;NDIS6.2-Miniporttreiber für Marvell Yukon-Ethernet-Controller;c:\windows\system32\DRIVERS\yk62x86.sys [x]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - MBAMPROTECTOR

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

LocalServiceAndNoImpersonation        REG_MULTI_SZ           SSDPSRV upnphost SCardSvr TBS fdrespub AppIDSvc QWAVE wcncsvc Mcx2Svc SensrSvc

GPSvcGroup        REG_MULTI_SZ           GPSvc

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - LocalService

FontCache

.

.

.

------- Zusätzlicher Suchlauf -------

.

IE: An OneNote s&enden - c:\progra~1\MICROS~2\Office14\ONBttnIE.dll/105

IE: Nach Microsoft E&xcel exportieren - c:\progra~1\MICROS~2\Office14\EXCEL.EXE/3000

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

TCP: DhcpNameServer = 192.168.1.1

FF - ProfilePath - c:\users\y\AppData\Roaming\Mozilla\Firefox\Profiles\nv6eky7x.default\

FF - user.js: network.cookie.cookieBehavior - 0

FF - user.js: privacy.clearOnShutdown.cookies - false

FF - user.js: security.warn_viewing_mixed - false

FF - user.js: security.warn_viewing_mixed.show_once - false

FF - user.js: security.warn_submit_insecure - false

FF - user.js: security.warn_submit_insecure.show_once - false

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKCU-Run-Ytnaopy - c:\users\y\AppData\Roaming\Wyah\xomae.exe

AddRemove-LSI Soft Modem - c:\windows\agrsmdel

.

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]

@Denied: (A) (Users)

@Denied: (A) (Everyone)

@Allowed: (B 1 2 3 4 5) (S-1-5-20)

"BlindDial"=dword:00000000

"MSCurrentCountry"=dword:000000b5

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

Zeit der Fertigstellung: 2013-05-17  00:15:44

ComboFix-quarantined-files.txt  2013-05-16 22:15

.

Vor Suchlauf: 11 Verzeichnis(se), 20.753.551.360 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 21.081.870.336 Bytes frei

.

- - End Of File - - 3438F9052F57FBDAC0189E625B230483

aaaah der hat mir ja meinen ganzen Papierkorb gelöscht :O
Aber laut der neuen Log-Datei wohl auch diese ominöse c:\users\y\AppData\Roaming\Wyah\xomae.exe

Also nochmal: es geht hier nicht um Strafe und ich will dir hier auch absolut keinen Vorsatz unterstellen. Es geht einfach darum, dass ich nachhaken muss, wenn ich zB eine Ultimate Edition sehe. Hat dieser Fachberater extra Geld verlangt, dass du ein Ultimate Win7 bekommst? Was steht auf der Rechnung?

Zitat:

aaaah der hat mir ja meinen ganzen Papierkorb gelöscht :O

Und wo ist da das Problem? Packst du wichtige Dateien immer in den Papierkorb? :balla:

Nein, der hat alles komplett berechnet und nichts einzelnd aufgelistet.
Hätte ich aber gewusst, dass was mit meiner Version nicht stimmen sollte, hätte ich dir bestimmt nicht hier alle Daten geschickt. Ich wusste ehrlich gesagt noch nicht mal, dass auf dem laptop eine solche version drauf ist. Die sehen für mich alle gleich aus & ich merke auch jetzt keinen sonderlich großen unterschied. wenn ich den laptop hochfahre steht dort glaub ich auch nur windows.

Ja, mit dem Papierkorb bin ich selbst schuld. bewahre immer ne zeitlang noch paar Daten dort auf bis ich sie dann irgendwann endgültig lösche. Aber waren jetzt eh nicht so wichtige sachen.

Combofix-Skript

WARNUNG für die MITLESER:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link

Speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

Code:

Folder:: c:\users\y\AppData\Roaming\Loobyr c:\users\y\AppData\Roaming\Wyah c:\users\y\AppData\Roaming\Gygous File:: c:\windows\system32\drivers\fcambbq.sys

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.

Speichere dies als CFScript.txt auf deinem Desktop.

Wichtig: Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
Danach wieder anstellen nicht vergessen!

Schließe alle laufenden Programme damit ComboFix ungehindert arbeiten kann.

Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:

Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.

Wenn ComboFix fertig ist wird es ein Log erstellen: C:\ComboFix.txt
Bitte füge es hier als Antwort (in CODE-Tags mit dem #-Button des Editors) ein.

Hinweis:
Suspect:: und Collect::
Falls im Skript diese Anweisungen enthalten sind, sollen Dateien zur Analyse eingeschickt werden. Es erscheint eine Message-Box, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen. Teile mir unbedingt mit, ob der Upload geklappt hat!

Hab gestern ganz brav 2 Stunden gewartet & nicht die Maus berührt bis ich gemerkt habe, dass die Uhr am Laptop stehen geblieben ist!!!Der hat sich leider komplett aufgehangen & auch keine neue logdatei erstellt.
kann es sein, dass mein Laptop mit mickrigen 2 GB RAM zu schwach ist?

Nach dem ich den Laptop neu gestartet habe, erschien nun diese Infomeldung:
Für infrared receiver fehlt ein Treiber. Den soll ich nun herunterladen!?

versuch es bitte nochmal

Nee, das will nicht klappen. Hab mir combofix auch heute nochmal ganz neu runtergeladen & wieder friert der Laptop ein! Da bleibt mir dann nur der Ausschaltknopf, alles andere ist wie tot!!!
Beim ersten Download von combofix konnte ich die datei aber auch direkt auf den desktop ziehen. die letzten beiden Male konnte ich es leider nicht verschieben. da wurde nur eine verknüpfung auf den desktop erstellt. könnte es daran liegen?
Er stürzt immer dann ab nachdem sich das Fenster mit der Info geöffnet hat, dass die Scanzeit nun ca. 10 min betragen wird. bei stärker infizierten rechnern auch länger...
und dann friert er ein :(

Überspringen wir diesen Punkt

Rootkitscan mit GMER

Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Anschließend bitte MBAR ausführen:

Malwarebytes Anti-Rootkit (MBAR)

Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

ich glaube, ich habe kein programm zum entpacken. könntest du mir dafür einen link schicken oder ein entsprechendes programm nennen?

ZIP-Dateien kann Windows schon seit Ewigkeiten selbst entpacken

der scan von malwarebytes hat nichts gefunden & schreibt: no cleanup is required.

er hat deswegen jetzt auch keinen bericht erstellt.
kann ich mich jetzt darauf verlassen, dass mein Laptop viren- & trojanerfrei ist?

Ich hab jetzt nochmal einen malwarebytes quick-scan gemacht & der war fundfrei ;)

Code:

Malwarebytes Anti-Malware (Test) 1.75.0.1300

www.malwarebytes.org
 

Datenbank Version: v2013.05.21.10
 

Windows 7 Service Pack 1 x86 NTFS

Internet Explorer 10.0.9200.16576

y :: Y-PC [Administrator]
 

Schutz: Aktiviert
 

21.05.2013 22:38:04

mbam-log-2013-05-21 (22-38-04).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 200627

Laufzeit: 6 Minute(n), 30 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

aswMBR

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

TDSS-Killer

Downloade dir bitte

TDSSKiller.exe und speichere diese Datei auf dem Desktop

Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
Drücke Start Scan
Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.