Trojaner-Board
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Trojaner-Board (https://www.trojaner-board.de/)
-   Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)
-   -   Windows 7: Bluescreen nach Start,Wiederherstellung erfolgreich aber Malwareverdacht (https://www.trojaner-board.de/149975-windows-7-bluescreen-start-wiederherstellung-erfolgreich-malwareverdacht.html)

schrauber 22.02.2014 17:27
hi,

Scan mit Combofix
WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link
  • WICHTIG: Speichere Combofix auf deinem Desktop.
  • Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
  • Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
  • Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
  • Wenn Combofix fertig ist, wird es ein Logfile erstellen.
  • Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).
Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

gini57 22.02.2014 21:36
Hallo Schrauber,

habe Combofix heruntergeladen und als Admin mit den Vorbereitungen begonnen.
WLAN aus, Comodo FW aus, Threatfire aus und beim Ausschalten des Virenscanners bekam ich die Meldung:

c:\program files\avira\antivir desktop\avconfig.exe
bzw.
c:\program files\avira\antivir desktop\ccuac.exe
Auf das angegebene Gerät, bzw. den Pfad oder die Datei kann nicht zugegriffen werden.
Sie verfügen eventuell nicht über ausreichende Berechtigungen, um auf das Element zugreifen zu können.

==>> trotzdem scannen?

Gruß Regina

schrauber 23.02.2014 16:53
jup :)

gini57 24.02.2014 21:48
Hallo - dann hier das Combofix.txt:

Combofix Logfile:
Code:
ComboFix 14-02-20.01 - Schwab 24.02.2014  20:32:33.1.1 - x86
Microsoft Windows 7 Professional  6.1.7601.1.1252.49.1031.18.1023.349 [GMT 1:00]
ausgeführt von:: d:\downloads\ComboFix.exe
AV: Avira Desktop *Enabled/Updated* {4D041356-F94D-285F-8768-AAE50FA36859}
FW: COMODO Firewall *Enabled* {7DB03214-694B-060B-1600-BD4715C36DBB}
SP: Avira Desktop *Enabled/Updated* {F665F2B2-DF77-27D1-BDD8-9197742422E4}
SP: COMODO Defense+ *Enabled/Updated* {FEEA52D5-051E-08DD-07EF-2F009097607D}
SP: Windows Defender *Disabled/Outdated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
(((((((((((((((((((((((  Dateien erstellt von 2014-01-24 bis 2014-02-24  ))))))))))))))))))))))))))))))
.
.
2014-02-24 19:50 . 2014-02-24 19:50        --------        d-----w-        c:\users\Regina\AppData\Local\temp
2014-02-24 19:50 . 2014-02-24 19:50        --------        d-----w-        c:\users\Default\AppData\Local\temp
2014-02-24 19:50 . 2014-02-24 19:50        --------        d-----w-        c:\users\Ekhard\AppData\Local\temp
2014-02-20 14:42 . 2014-02-20 14:41        69240        ----a-w-        c:\windows\system32\drivers\avnetflt.sys
2014-02-19 15:09 . 2014-02-19 15:09        --------        d-----w-        c:\users\Regina\AppData\Roaming\Avira
2014-02-18 21:37 . 2014-02-18 21:37        --------        d-----w-        c:\users\Schwab\AppData\Roaming\Avira
2014-02-18 21:33 . 2014-02-14 10:00        37352        ----a-w-        c:\windows\system32\drivers\avkmgr.sys
2014-02-18 21:33 . 2014-02-14 10:00        90400        ----a-w-        c:\windows\system32\drivers\avgntflt.sys
2014-02-18 21:33 . 2014-02-14 10:00        135648        ----a-w-        c:\windows\system32\drivers\avipbb.sys
2014-02-18 21:33 . 2014-02-18 21:33        --------        d-----w-        c:\program files\Avira
2014-02-18 20:45 . 2014-02-18 20:52        --------        d-----w-        C:\FRST
2014-02-13 21:48 . 2014-02-13 21:48        --------        d-----w-        c:\users\Ekhard\AppData\Local\Thunderbird
2014-02-13 21:48 . 2014-02-13 21:48        --------        d-----w-        c:\users\Ekhard\AppData\Roaming\Thunderbird
2014-02-13 19:29 . 2013-12-06 02:02        2048        ----a-w-        c:\windows\system32\msxml3r.dll
2014-02-13 19:29 . 2013-12-06 02:02        1237504        ----a-w-        c:\windows\system32\msxml3.dll
2014-02-13 19:29 . 2013-11-26 23:29        5693440        ----a-w-        c:\windows\system32\mstscax.dll
2014-02-13 19:26 . 2013-12-24 23:09        1987584        ----a-w-        c:\windows\system32\d3d10warp.dll
2014-02-13 19:26 . 2013-11-26 08:16        3419136        ----a-w-        c:\windows\system32\d2d1.dll
2014-02-13 19:21 . 2013-12-04 01:54        594944        ----a-w-        c:\windows\system32\RMActivate_isv.exe
2014-02-13 19:21 . 2013-12-04 01:54        572416        ----a-w-        c:\windows\system32\RMActivate.exe
2014-02-13 19:21 . 2013-12-04 01:54        508928        ----a-w-        c:\windows\system32\RMActivate_ssp_isv.exe
2014-02-13 19:21 . 2013-12-04 02:03        87040        ----a-w-        c:\windows\system32\secproc_ssp_isv.dll
2014-02-13 19:21 . 2013-12-04 02:03        87040        ----a-w-        c:\windows\system32\secproc_ssp.dll
2014-02-13 19:21 . 2013-12-04 02:03        423936        ----a-w-        c:\windows\system32\secproc_isv.dll
2014-02-13 19:21 . 2013-12-04 02:03        428032        ----a-w-        c:\windows\system32\secproc.dll
2014-02-13 19:21 . 2013-12-04 02:02        390144        ----a-w-        c:\windows\system32\msdrm.dll
2014-02-13 19:21 . 2013-12-04 01:54        510976        ----a-w-        c:\windows\system32\RMActivate_ssp.exe
.
.
.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2014-02-13 20:24 . 2012-10-09 20:46        71048        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl
2014-02-13 20:24 . 2012-10-09 20:46        692616        ----a-w-        c:\windows\system32\FlashPlayerApp.exe
2014-01-06 19:23 . 2014-01-06 19:23        4558848        ----a-w-        c:\windows\system32\GPhotos.scr
2013-12-18 20:10 . 2014-01-15 20:48        94632        ----a-w-        c:\windows\system32\WindowsAccessBridge.dll
2013-11-27 01:14 . 2014-01-15 20:40        258560        ----a-w-        c:\windows\system32\drivers\usbhub.sys
2013-11-27 01:13 . 2014-01-15 20:40        284672        ----a-w-        c:\windows\system32\drivers\usbport.sys
2013-11-27 01:13 . 2014-01-15 20:40        76288        ----a-w-        c:\windows\system32\drivers\usbccgp.sys
2013-11-27 01:13 . 2014-01-15 20:40        43520        ----a-w-        c:\windows\system32\drivers\usbehci.sys
2013-11-27 01:13 . 2014-01-15 20:40        20480        ----a-w-        c:\windows\system32\drivers\usbohci.sys
2013-11-27 01:13 . 2014-01-15 20:40        24064        ----a-w-        c:\windows\system32\drivers\usbuhci.sys
2013-11-27 01:13 . 2014-01-15 20:40        6016        ----a-w-        c:\windows\system32\drivers\usbd.sys
.
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TpShocks"="TpShocks.exe" [2009-12-11 337256]
"AcWin7Hlpr"="c:\program files\Lenovo\Access Connections\AcTBenabler.exe" [2009-10-13 36864]
"TPHOTKEY"="c:\program files\Lenovo\HOTKEY\TPOSDSVC.exe" [2009-03-13 68976]
"LENOVO.TPFNF6R"="c:\program files\Lenovo\HOTKEY\TPFNF6R.exe" [2009-08-20 62752]
"VirtualCloneDrive"="c:\program files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" [2011-03-07 89456]
"ThreatFire"="c:\program files\ThreatFire\TFTray.exe" [2011-02-22 378128]
"COMODO Internet Security"="c:\program files\COMODO\COMODO Internet Security\cfp.exe" [2012-11-07 6756048]
"FreePDF Assistant"="c:\program files\FreePDF_XP\fpassist.exe" [2011-02-23 371200]
"BMMGAG"="c:\progra~1\ThinkPad\UTILIT~1\PwrMonit.dll" [2005-04-19 110592]
"BMMLREF"="c:\program files\ThinkPad\Utilities\BMMLREF.EXE" [2005-04-19 20480]
"BMMMONWND"="c:\progra~1\ThinkPad\UTILIT~1\BatInfEx.dll" [2005-04-19 396288]
"BLOG"="c:\progra~1\ThinkPad\UTILIT~1\BatLogEx.DLL" [2005-04-19 208896]
"SynTPEnh"="c:\program files\Synaptics\SynTP\SynTPEnh.exe" [2013-04-23 2379504]
"SunJavaUpdateSched"="c:\program files\Common Files\Java\Java Update\jusched.exe" [2013-07-02 254336]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2014-02-14 689744]
.
c:\users\Regina\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Mozilla Sunbird.lnk - c:\program files\Mozilla Sunbird\sunbird.exe [2012-10-10 8829440]
.
c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\
BGInfo.lnk - c:\program files\BGInfo\Bginfo.exe "c:\program files\BGInfo\config.bgi" /timer:0 [2012-10-8 844648]
Startmap.lnk - c:\tools\startmap.cmd [2012-12-16 168]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
"LocalAccountTokenFilterPolicy"= 1 (0x1)
"SoftwareSASGeneration"= 1 (0x1)
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\System32\guard32.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\avgnt]
2014-02-14 10:00        689744        ----a-w-        c:\program files\Avira\AntiVir Desktop\avgnt.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ConnectionCenter]
2013-06-14 14:43        395656        ----a-w-        c:\program files\Citrix\ICA Client\concentr.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Redirector]
2013-06-14 14:44        153992        ----a-w-        c:\program files\Citrix\ICA Client\redirector.exe
.
R2 LENOVO.MICMUTE;Lenovo Microphone Mute;c:\program files\LENOVO\HOTKEY\MICMUTE.exe [2009-07-03 45424]
R3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [2010-11-20 62464]
R3 MHIKEY10;MHIKEY10;c:\windows\system32\Drivers\MHIKEY10.sys [2010-10-01 52096]
R3 RdpVideoMiniport;Remote Desktop Video Miniport Driver;c:\windows\system32\drivers\rdpvideominiport.sys [2012-08-23 14848]
R3 Sony PC Companion;Sony PC Companion;c:\program files\Sony\Sony PC Companion\PCCService.exe [2013-02-04 155824]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2013-10-02 49152]
R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [2012-08-23 27136]
S0 TfFsMon;TfFsMon;c:\windows\system32\drivers\TfFsMon.sys [2011-02-22 51984]
S0 TfSysMon;TfSysMon;c:\windows\system32\drivers\TfSysMon.sys [2011-02-22 69392]
S0 TPDIGIMN;TPDIGIMN;c:\windows\System32\DRIVERS\ApsHM86.sys [2009-10-09 20520]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2014-02-14 37352]
S1 cmdGuard;COMODO Internet Security Sandbox Driver;c:\windows\system32\DRIVERS\cmdguard.sys [2012-11-07 494416]
S1 cmdHlp;COMODO Internet Security Helper Driver;c:\windows\system32\DRIVERS\cmdhlp.sys [2012-11-07 36072]
S1 ctxusbm;Citrix USB Monitor Driver;c:\windows\system32\DRIVERS\ctxusbm.sys [2013-06-04 69224]
S1 TPPWR;TPPWR;c:\windows\system32\drivers\Tppwr.sys [2005-04-19 16384]
S2 AntiVirSchedulerService;Avira Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2014-02-14 440400]
S2 AntiVirWebService;Avira Browser-Schutz;c:\program files\Avira\AntiVir Desktop\AVWEBGRD.EXE [2014-02-14 1017424]
S2 TeamViewer9;TeamViewer 9;c:\program files\TeamViewer\Version9\TeamViewer_Service.exe [2013-12-04 5316448]
S2 ThreatFire;ThreatFire;c:\program files\ThreatFire\TFService.exe service [x]
S2 TPHKSVC;Anzeige am Bildschirm;c:\program files\LENOVO\HOTKEY\TPHKSVC.exe [2009-07-15 62320]
S2 USBDLM;USBDLM;c:\tools\USBDLM\USBDLM.exe [2012-01-15 337888]
S3 sxuptp;SXUPTP Driver;c:\windows\system32\DRIVERS\sxuptp.sys [2008-09-12 246808]
S3 TfNetMon;TfNetMon;c:\windows\system32\drivers\TfNetMon.sys [2011-02-22 33552]
S3 VST_DPV;VST_DPV;c:\windows\system32\DRIVERS\VSTDPV3.SYS [2009-07-13 980992]
S3 VSTHWICH;VSTHWICH;c:\windows\system32\DRIVERS\VSTICH3.SYS [2009-07-13 242176]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
Inhalt des "geplante Tasks" Ordners
.
2014-02-24 c:\windows\Tasks\BMMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\BMMTASK.EXE [2012-11-08 23:38]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
uDefault_Search_URL = hxxp://www.google.com/ie
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
TCP: DhcpNameServer = 192.168.57.1
FF - ProfilePath -
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
ShellIconOverlayIdentifiers-{FB314ED9-A251-47B7-93E1-CDD82E34AF8B} - (no file)
ShellIconOverlayIdentifiers-{FB314EDA-A251-47B7-93E1-CDD82E34AF8B} - (no file)
ShellIconOverlayIdentifiers-{FB314EDB-A251-47B7-93E1-CDD82E34AF8B} - (no file)
MSConfigStartUp-CitrixReceiver - c:\programdata\Microsoft\Windows\Start Menu\Programs\Citrix\Receiver Updater.lnk
.
.
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\services\ThreatFire]
"AlternateImagePath"=""
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0000\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\Class\{4D36E96D-E325-11CE-BFC1-08002BE10318}\0001\AllUserSettings]
@Denied: (A) (Users)
@Denied: (A) (Everyone)
@Allowed: (B 1 2 3 4 5) (S-1-5-20)
"BlindDial"=dword:00000000
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(656)
c:\program files\ThreatFire\TFWAH.dll
.
- - - - - - - > 'lsass.exe'(624)
c:\windows\system32\guard32.dll
c:\program files\ThreatFire\TFWAH.dll
.
- - - - - - - > 'Explorer.exe'(2292)
c:\windows\system32\guard32.dll
c:\program files\ThreatFire\TfWah.dll
c:\program files\Lenovo\Access Connections\ACDeskBand.dll
c:\program files\Lenovo\Access Connections\AcLocSettings.dll
c:\program files\Lenovo\Access Connections\AcSvcStub.dll
c:\program files\Lenovo\Access Connections\ACHelper.dll
c:\windows\system32\dhcpcsvc.DLL
c:\windows\system32\dhcpcsvc6.DLL
c:\program files\Nokia\Nokia PC Suite 7\PhoneBrowser.dll
c:\program files\Nokia\Nokia PC Suite 7\NGSCM.DLL
c:\program files\Nokia\Nokia PC Suite 7\Lang\PhoneBrowser_ger.nlr
c:\program files\Nokia\Nokia PC Suite 7\Resource\PhoneBrowser_Nokia.ngr
c:\windows\system32\Wlanapi.dll
c:\windows\system32\wlanutil.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\program files\Lenovo\Access Connections\AcPrfMgrSvc.exe
c:\program files\Avira\AntiVir Desktop\avguard.exe
c:\program files\ThreatFire\TFService.exe
c:\program files\Lenovo\Access Connections\AcSvc.exe
c:\program files\Avira\AntiVir Desktop\avshadow.exe
c:\windows\system32\taskhost.exe
c:\tools\USBDLM\USBDLM_usr.exe
c:\windows\system32\conhost.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2014-02-24  21:14:28 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2014-02-24 20:14
.
Vor Suchlauf: 5.736.091.648 Bytes frei
Nach Suchlauf: 5.764.386.816 Bytes frei
.
- - End Of File - - 4FE60FB84CD8B3AD92E5690925795360
A36C5E4F47E84449FF07ED3517B43A31
Gruß Regina

schrauber 25.02.2014 19:48
Downloade Dir bitte Malwarebytes Anti-Malware
  • Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
  • Starte Malwarebytes' Anti-Malware (MBAM).
  • Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
  • Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
  • Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
  • Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
  • Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
  • Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.


Downloade Dir bitte AdwCleaner Logo Icon AdwCleaner auf deinen Desktop.
  • Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
  • Starte die AdwCleaner.exe mit einem Doppelklick.
  • Stimme den Nutzungsbedingungen zu.
  • Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
    • "Tracing" Schlüssel löschen
    • Winsock Einstellungen zurücksetzen
    • Proxy Einstellungen zurücksetzen
    • Internet Explorer Richtlinien zurücksetzen
    • Chrome Richtlinien zurücksetzen
    • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
  • Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
  • Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
  • Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

  • Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
  • Drücke eine beliebige Taste, um das Tool zu starten.
  • Je nach System kann der Scan eine Weile dauern.
  • Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
  • Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.


und ein frisches FRST log bitte.


Alle Zeitangaben in WEZ +1. Es ist jetzt 03:59 Uhr.
Seite 2 von 2 1 2
100 Beiträge dieses Themas auf einer Seite anzeigen

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55