Trojaner-Board - windows vista: entweder kein Startbildschirm oder GVU Zahlungsaufforderung

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - windows vista: entweder kein Startbildschirm oder GVU Zahlungsaufforderung (https://www.trojaner-board.de/136609-windows-vista-entweder-kein-startbildschirm-gvu-zahlungsaufforderung.html)

behn	14.06.2013 19:25

windows vista: entweder kein Startbildschirm oder GVU Zahlungsaufforderung

Hallo,
ich bitte schon mal um Verzeihung, wenn ich mich in dem Forum hier nicht korrekt verhalten sollte.

Hier mein Problem:
Beim Start von Windows Vista kommt manchmal ein blauer Bildschirm und keine Icons (kein Desktop) und manchmal eine GVU Zahlungsaufforderung

Was ich bisher versucht habe:
Hochfahren im abgesicherten Modus funktioniert nicht. Nach Eingabe des Passworts erfolgt sofort eine Abmeldung und ein Herunterfahren.

Ich habe andere Berichte im Forum gelesen und schon mal auf einem Zweitrechner eine CD mit ISO-Datei OLTPENet.exe erzeugt.

Wie es jetzt weitergeht, weiss ich nicht. Da ich mich mit Rechnern auch nicht so gut auskenne, habe ich große Sorgen.

markusg

14.06.2013 19:26

hi
Starte dein System neu und boote von der CD die du gerade erstellt hast.
Wenn du nicht weist wie du deinen Computer dazu bringst von der CD zu booten,
http://www.trojaner-board.de/81857-c...cd-booten.html

• Dein System sollte jetzt einen REATOGO-X-PE Desktop anzeigen.
• Mache einen doppel Klick auf das OTLPE Icon.
• Wenn du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• entferne den haken bei "Automatically Load All Remaining Users" wenn er gesetzt ist.

• OTL sollte nun starten.
Kopiere nun den Inhalt in die http://larusso.trojaner-board.de/Images/otlfix.jpg
Textbox.

Code:

activex

netsvcs

msconfig

%SYSTEMDRIVE%\*.

%PROGRAMFILES%\*.exe

%LOCALAPPDATA%\*.exe

%systemroot%\*. /mp /s

/md5start

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

explorer.exe

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\system32\*.dll /lockedfiles

%USERPROFILE%\*.*

%USERPROFILE%\Local Settings\Temp\*.exe

%USERPROFILE%\Local Settings\Temp\*.dll

%USERPROFILE%\Application Data\*.exe

• Drücke Run Scan um den Scan zu starten.
• Wenn er fertig ist werden die Dateien in C:\otl.txt gesichert
• Kopiere diesen Ordner auf deinen USB-Stick wenn du keine Internetverbindung auf diesem System hast.
poste beide logs

behn	14.06.2013 20:33

Hallo,

booten hat geklappt.
Der Scan ist aber nach sehr langer Zeit (ca. 40 Minuten) mit 'out of memory' abgebrochen.

Vorher hat Windows noch 'out of virtual memory' gemeldet

markusg

14.06.2013 20:48

bitte noch mal, ohne mein Script.

behn	14.06.2013 21:16

Hallo,

habe die Datei erstellt und angehängt

markusg

15.06.2013 14:53

Hi
auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:

Code:

:OTL

O4 - HKU\****_ON_C..\Run: [qcgce2mrvjq91kk1e7pnbb19m52fx] C:\Users\****\AppData\Local\Temp\efccoigfysnragfr.exe (Adobe Systems Incorporated)

:Files

:Commands

[EMPTYFLASH] 

[emptytemp]

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

es wird evtl. nötig sein, über strg+entf den Taskmanager zu öffnen, Anwendung, neuer Task, explorer.exe
enter
nötig wird das, wenn der Desktop nicht zu sehen ist.
Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus :)

behn	15.06.2013 18:23

Hallo,

die fix.txt ließ sich nicht einlesen. Das tippen hat etwas gedauert. Der PC ist nicht neu gestartet.

Ich habe den .log hier gepostet.

Aber jetzt habe ich etwas nicht verstanden, sorry:
- ich habe das Verzeichnis c:\_otl\MovedFiles gefunden
- Movedfiles --> Senden an --> Zip-Komprimierter Ordner (verstehe ich nicht), ich arbeite noch unter REATOGO-X-PE Desktop
- soll ich jetzt erst nochmal ohne die OLTPE-CD booten? Ist mir nicht klar, deshalb die dumme Frage von mir

markusg

15.06.2013 18:25

starte manuell neu und nimm die cd raus dann weiter mit dem rest

behn	15.06.2013 19:03

Hallo,

irgendwie kriege ich das zippen nicht hin. Es könnte wohl sein, dass mein Avira den Zugriff auf die "böse" Datei jetzt nicht zulässt. Jedenfalls bekomme ich so eine Meldung mit einem ganz komischen Dateinamen und dem Hinweis auf einen Virus

Soll ich Avira ausschalten? und wie mache ich das?

markusg

15.06.2013 19:04

ne lass das dann weg.
Downloade dir bitte

TDSSKiller.exe und speichere diese Datei auf dem Desktop

Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
Drücke Start Scan
Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

behn	15.06.2013 19:43

Hallo

Die Log-Datei war etwas zu groß, deshalb hier als ZIP.

Was soll ich denn mit der von Avira gefundenen MovedFiles-Datei machen? Soll ich die von Avira entfernen lassen, oder soll ich die löschen, oder ?????

markusg

15.06.2013 19:46

hi
die löschen wir am ende, bzw wenn avira noch mal was zeigt lösch sie.
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop.

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es ein Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

behn	15.06.2013 20:23

Hallo,

Combofix hat ein paar Dateien und ein Verzeichnis gelöscht und dann den Neustart des Rechners durchgeführt.

Ich habe jetzt aber wieder einen blauen Bildschirm.

Soll ich über Tasgmgr wieder einen Desktop herstellen?

behn	15.06.2013 21:31

Hallo,

da war ich wohl zu voreilig. Ich war eben lecker Spargel essen und als ich wieder zum Rechner zurückgekommen bin, waren auch die Icons auf dem Desktop und die Combofix-Log Datei geöffnet.

Ich habe sie angehängt. "Code-Tags" verstehe ich nicht??!?!

markusg

17.06.2013 12:22

Log bitte das nächste mal einfach reinkopieren.
http://www.trojaner-board.de/125889-...en-posten.html
bitte alle malwarebytes Logs mit Funden posten

behn	19.06.2013 22:38

Liste der Anhänge anzeigen (Anzahl: 1)

Hallo,

das hat Malwarebytes gefunden.
Ist das hilfreich?

aharonov

21.06.2013 12:23

Hi,

ich springe hier für Markus ein, da er eine Wochen im wohlverdienten Urlaub weilt..

Schritt 1

Lade SystemLook (von jpshortstuff) herunter und speichere das Tool auf dem Desktop.

Doppelklicke auf die SystemLook.exe, um das Tool zu starten.
Vista und Win7 User: Rechtsklick und "als Administrator starten".
Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:

Code:

:regfind efccoigfysnragfr
Klicke nun auf den Button Look, um den Scan zu starten.
Wenn der Suchlauf beendet ist, wird sich dein Editor mit den Ergebnissen öffnen. Poste diese in deinen Thread.
Das Log-File wird auch auf dem Desktop als SystemLook.txt gespeichert.

Schritt 2

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 3

Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Schritt 4

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

Doppelklick auf die OTL.exe.
Unter Extra Registry, wähle bitte Use SafeList.
Setze den Haken bei Scan all Users.
Klicke nun auf Run Scan.
Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

Log von SystemLook
Log von ESET
Log von SecurityCheck
Logs von OTL

aharonov

27.06.2013 12:26

Hi,

ich hab schon länger keine Antwort mehr von dir erhalten. Brauchst du weiterhin noch Hilfe?

Wenn ich in den nächsten 24 Stunden nichts von dir höre, gehe ich davon aus, dass sich das Thema erledigt hat und lösche es aus meinen Abos.

Hinweis: Wir sind noch nicht fertig! Auch wenn die Symptome verschwunden sein sollten, kann dein System weiterhin infiziert sein und über Sicherheitslücken verfügen, welche eine erneute Infektion möglich machen.

aharonov

29.06.2013 14:36

Fehlende Rückmeldung
Dieses Thema wurde aus meinen Abos gelöscht. Somit bekomme ich keine Benachrichtigung mehr über neue Antworten.
Schreib mir eine PM, falls du das Thema doch wieder fortsetzen möchtest. Dann machen wir hier weiter.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass dein Rechner schon sauber ist.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.

Alle Zeitangaben in WEZ +1. Es ist jetzt 03:58 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131