Windows 7 träge und ständig neue Maleware
 

Hallo zusammen,
also mein Acer-Notebook mit Windows 7 Home Premium SP1 x64 mit Internet-Explorer 9 bzw. 11 läuft in letzter Zeit sehr träge und im Roaming-Ordner finden sich ständig neue Ordner mit kryptischen Namen und ebenso kryptsichen Dateien darin, die nach Analyse durch Avira als Malware eingestuft werden.
Habe die hier erwähnten ersten Schritte fast befolgt, laut Log wäre die neth.dll verdächtig sowie die explorer.exe in serbischer Sprache, dabei handelt es sich um eine deutsche Windowsinstallation.
Beim Durchlauf von c't Desinfec't 2014 wird in der Standardeinstellung (mit Avira AntiVir und Bitdefender) nicht viel angezeigt.
Mit Desinfec't habe ich jedesmal die unbekannten Ordner von der Festplatte C: auf eine Micro-SD-Karte F: verschoben (D: ist das DVD-CD-Laufwerk, E: ein USB-Stick).
Dann Windows neugestartet und die entsprechenden Einträge in HKLM\...\Run sowie HKCU\...\Run entfernt (zuvor noch den Schlüssel "Run" exportiert) und Windows neugestartet.
Aber nach kurzer Zeit stehen im Roaming-Ordner wieder neue Dateien.
Zwischenzeitlich habe ich den Internet-Explorer 11 installiert.
Welches wäre nun der nächste Schritt?
Nach dem Kauf des Notebooks habe ich zwei Recovery-DVDs erstellt und gut versteckt.
Gruß,
Espelkamper

Da das Anhängen der Log-Files mit dem Android-Tablet hier nicht wie beschrieben funktioniert, befinden sich im Anhang folgende Dateien:
Defogger_disable.log
FRST.txt
Addition.txt
GMER.txt
Scan-Ergebnis-20141231-2045.html (jüngster Bericht von Desinfec't)
Bei Bedarf kann ich noch weitere Scan-Ergebnisse, die Avira-Analysen sowie die exportierten Registry-Einträge anhängen.

defogger_disable.log
[CODE]D

Als Virenscanner habe ich Avira AntiVir Free installiert.

Hi,

Logs bitte immer in den Thread posten. Zur Not aufteilen und mehrere Posts nutzen.
Ich kann auf Arbeit keine Anhänge öffnen, danke.

defogger_disable.log
 

Hallo Schrauber,
danke für die schnelle Antwort.
Also dann probiere ich es nochmal mit den Log-Dateien.
Gruß,
Espelkamper

[CODE]
d

Nächster Versuch mit dem Total Commander Editor, nachdem es mit dem ES Editor nicht zu funktionieren scheint.

[CODE]d

Nach dem Öffnen im Browser, dann alles markieren, kopieren, zurück zum Posting, # und einfügen scheint es zu klappen.


FRST Logfile:

FRST Logfile:

FRST Logfile:

FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---

--- --- ---

--- --- ---

--- --- ---

Bitte mal WOrdWrap in deinem Editor abschalten, dann die Logs nochmal öffnen und posten, das kann ja kein Mensch entziffern.

Scan-Ergebnis-20141231-2045.html
 

Ergebnis des letzten Durchlaufs mit Desinfec't vom 31.12.2014

So, ich hoffe, es reicht fürs Erste.
Die beiden Adwares liegen friedlich im Download-Ordner und sind nicht installiert.
Einige Schadprogramme sind nicht mehr auf der Festplatte, sondern auf einem externen Speicher.
Zuvor wurden sie wohl schon beim Hochfahren gestartet (HKLM...Run).
Mit den Standardeinstellungen findet Desinfec't offenbar keine weiteren Schadprogramme auf der Festplatte C: .
Und trotzdem tauchen im Ordner Roaming weiterhin neue, merkwürdige Ordner und Dateien auf, die nach Analyse von Avira Malware sind.
Danke und Gruß,
Espelkamper

Könntest Du die FRST Logs bite wie oben beschrieben nochmal posten? Sonst kann ich nicht helfen.

Windows 7 träge und ständig neue Malware
 

Mahlzeit,
bitte, meine vorherigen Versuche mit dem Android-Tablet zu entschuldigen, es war wohl doch keine so gute Idee.
Nun habe ich das Acer-Notebook nochmal gestartet, in Notepad den Haken bei Zeilenumbruch entfernt und probiere es wieder mit den Log-Dateien.

defogger_disable.log
--- --- ---


FRST Logfile:

FRST Logfile:
--- --- ---

--- --- ---


Addition.txt
--- --- ---


GMER.txt
--- --- ---


Scan-Ergebnis-20141231-2045.html (jüngster Bericht von Desinfec't)
--- --- ---


Übrigens waren die Log-Dateien in dieser Reihenfolge entstanden:
Desinfec't Suchlauf
FRST Suchlauf
GMER gestartet
WLAN ausgeschaltet
AntiVir Haken bei Echtzeitschutz entfernt
GMER beendet und neu gestartet und den Suchlauf durchgeführt
GMER beendet
AntiVir Haken bei Echtzeitschutz wieder gesetzt
WLAN aktiviert
Defogger ausgeführt (obwohl ich denke, daß kein Emulator installiert ist)
Rechner heruntergefahren, dabei blieb lange die Meldung "Windows wird heruntergefahren" stehen, nach etwa 10 Minuten kam ein Bluescreen

Hoffe, es paßt nun alles.
Wenn es nicht genug Lesematerial sein sollte, dann bitte Bescheid geben.
Danke und Gruß,
Espelkamper

Jaaa, viel besser :)


Downloade dir bitte TDSSKiller.exe und speichere diese Datei auf dem Desktop

• Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
• Drücke Start Scan
  
• Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
  TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
  Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

TDSSKiller Log
 

Hallo Schrauber,
das Ausführen des Programms war einfach, der Download weniger.
Aktuell scheint der Download der aktuellen Version nicht zu funktionieren (Error 404), habe es sowohl mit dem Windows-Notebook versucht als auch mit dem Android-Tablet.
Es ging nur der Umweg über die ältere Version 2.8.15.0, die nach dem Start das Update geladen hat.
Beim Ausführen brauchte ich auch nichts zu skippen.

Die Log-Datei zu TDSSKiller:
Gruß,
Espelkamper

hi,

Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

• WICHTIG: Speichere Combofix auf deinem Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen.
• Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten

Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.

starte den Rechner einfach neu. Dies sollte das Problem beheben.

Scan mit Combofix
 

Hallo Schrauber,
gut, Combofix hat auch gleich geloadet und loadet nicht mehr.
Der Scan läuft jetzt gerade.
Gruß,
Espelkamper

ok :)

Combofix.log
 

Hallo Schrauber,
das Scannen hat ein wenig länger gedauert, weil ich zweimal scannen mußte.
Nach dem ersten Durchlauf konnte ich Avira nicht wieder aktivieren und nach dem Neustart war die Datei log.txt nicht auffindbar.
Das Scannen an sich verlief problemlos und ohne Fehlermeldungen, allerdings sind die dafür veranschlagten 10 Minuten leicht untertrieben.

Hier nun die Log.txt:
Gruß und angenehme Nachtruhe,
Espelkamper

Downloade Dir bitte Malwarebytes Anti-Malware

• Installiere das Programm in den vorgegebenen Pfad. (Bebilderte Anleitung zu MBAM)
• Starte Malwarebytes' Anti-Malware (MBAM).
• Klicke im Anschluss auf Scannen, wähle den Bedrohungssuchlauf aus und klicke auf Suchlauf starten.
• Lass am Ende des Suchlaufs alle Funde (falls vorhanden) in die Quarantäne verschieben. Klicke dazu auf Auswahl entfernen.
• Lass deinen Rechner ggf. neu starten, um die Bereinigung abzuschließen.
• Starte MBAM, klicke auf Verlauf und dann auf Anwendungsprotokolle.
• Wähle das neueste Scan-Protokoll aus und klicke auf Export. Wähle Textdatei (.txt) aus und speichere die Datei als mbam.txt auf dem Desktop ab. Das Logfile von MBAM findest du hier.
• Füge den Inhalt der mbam.txt mit deiner nächsten Antwort hinzu.

Downloade Dir bitte AdwCleaner auf deinen Desktop.

• Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
• Starte die AdwCleaner.exe mit einem Doppelklick.
• Stimme den Nutzungsbedingungen zu.
• Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
  • "Tracing" Schlüssel löschen
  • Winsock Einstellungen zurücksetzen
  • Proxy Einstellungen zurücksetzen
  • Internet Explorer Richtlinien zurücksetzen
  • Chrome Richtlinien zurücksetzen
  • Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
• Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
• Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
• Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.
Bitte lade Junkware Removal Tool auf Deinen Desktop

• Starte das Tool mit Doppelklick. Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten.
• Drücke eine beliebige Taste, um das Tool zu starten.
• Je nach System kann der Scan eine Weile dauern.
• Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
• Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

und ein frisches FRST log bitte.

Log-Dateien
 

Hallo Schrauber,
habe die beschriebenen Programme durchlaufen lassen, braucht bei der Menge etwas länger.
Was mir übrigens noch aufgefallen war und auch für den heutigen Tag wieder der Fall ist, ist, daß im Internet Explorer unter Verlauf diverse Server auftauchen, die ich nicht aufgerufen habe.
Hier also nun die Log-Dateien.

MABM.txt vom 5.1.15
(Während des Scans wurden zwei Einträge in Quarantäne verschoben, "neth.dll" und ein langer Sermon {..}. Allerdings steht in dieser jüngsten von drei Dateien nichts dazu.)


AdwCleaner[S0].txt vom 5.1.15

JRT.txt vom 5.1.15

5.1.15

FRST Logfile:
--- --- ---



Gruß,
Espelkamper