Hilfe bei HiJackThis Log-Auswertung
 

Hallo zusammen,

vielleicht kann mir jemand von euch helfen.

Ich hab eine Plage auf meinem Rechner, die bei aktiver Internetverbindung als erstes mxs.mail.ru kontaktiert and anschließend fleißig SPAM versendet.

Der AntiVir Guard schlägt ca. zeitgleich Alarm und meldet:
"In der Datei 'C:\WINDOWS\system32\drivers\Winch73.sys'
wurde ein Virus oder unerwünschtes Programm 'TR/Dropper.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben"

Winch73.sys hat immer verschiedene Namen nach folgendem Muster: beliebiger Name, zwei Zahlen und Endung sys. (Bisherige Namen: Winjo40.sys, Winaf73.sys, Winmq51.sys Winaf15.sys, Winty51.sys, Winot50.sys', Winns16.sys, Winvb51.sys, Winch73.sys)

Ich habe AntiVir mehrmals ausgeführt, im abgesicherten Modus, via Knoppicilin , verschiedene Scanner. Aber nach einem Neustart hatte ich immer wieder das selbe Problem. D.h. nachdem die Internetverbindung aktiviert wird, schlägt der AntiVir Guard an und meldet wieder einen "xyz00.sys"-Fund nach obigem Muster.

Unter den Funden waren außerdem noch:
SPR/Fake.axf.2
TR/Dldr.Mutant.ado.7
TR/Drop.Agent.leb

Bitte helft mir!

Masus

Das HiJackThis Log ist wie folgt:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:45:45, on 16.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\FRITZ!DSL\IGDCTRL.EXE
C:\Program Files\avmwlanstick\WlanNetService.exe
C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Program Files\Common Files\Microsoft Shared\VS7Debug\mdm.exe
C:\PROGRA~1\Dantz\RETROS~1\retrorun.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Program Files\TortoiseSVN\bin\TSVNCache.exe
C:\Program Files\ScanSoft\OmniPagePro12.0\Opware12.exe
C:\WINDOWS\system32\atiptaxx.exe
C:\WINDOWS\system32\PL15Co2K.exe
C:\WINDOWS\MXOALDR.EXE
C:\Program Files\avmwlanstick\wlangui.exe
C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\WINDOWS\system32\LVCOMSX.EXE
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Program Files\mozilla.org\Mozilla\Mozilla.exe
C:\Program Files\Microsoft ActiveSync\Wcescomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Program Files\FRITZ!DSL\StCenter.exe
C:\Program Files\WinZip\WZQKPICK.EXE
D:\Program Files\Wireshark\wireshark.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\WINDOWS\System32\svchost.exe
D:\Program Files\Wireshark\dumpcap.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://rd.yahoo.com/customize/ymsgr/defaults/sb/*http://www.yahoo.com/ext/search/search.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.yahoo.com/
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://us.rd.yahoo.com/customize/ie/defaults/su/msgr8/*http://www.yahoo.com
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost
R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - (no file)
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {206E52E0-D52E-11D4-AD54-0000E86C26F6} - C:\PROGRA~1\FRESHD~1\FRESHD~1\FDCatch.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Program Files\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: (no name) - {ACB1E670-3217-45C4-A021-6B829A8A27CB} - (no file)
O3 - Toolbar: (no name) - {95188727-288F-4581-A48D-EAB3BD027314} - (no file)
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Program Files\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\System32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [Opware12] "C:\Program Files\ScanSoft\OmniPagePro12.0\Opware12.exe"
O4 - HKLM\..\Run: [AtiPTA] atiptaxx.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [HI-SPEED USB DEVICE Coinstaller] PL15Co2K.exe
O4 - HKLM\..\Run: [MXOBG] C:\WINDOWS\MXOALDR.EXE
O4 - HKLM\..\Run: [AVMWlanClient] C:\Program Files\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [OpwareSE2] "C:\Program Files\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [iTunesHelper] C:\Program Files\iTunes\iTunesHelper.exe
O4 - HKCU\..\Run: [Mozilla Quick Launch] "C:\Program Files\mozilla.org\Mozilla\Mozilla.exe" -turbo
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Program Files\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETWORK SERVICE')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Program Files\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AutorunsDisabled
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Program Files\FRITZ!DSL\StCenter.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: WinZip Quick Pick.lnk = C:\Program Files\WinZip\WZQKPICK.EXE
O8 - Extra context menu item: Download &All by FD - file://C:\Program Files\FreshDevices\FreshDownload\fdiectx2.htm
O8 - Extra context menu item: Download with &FD - file://C:\Program Files\FreshDevices\FreshDownload\fdiectx.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\System32\shdocvw.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - C:\WINDOWS\bdoscandel.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {41F17733-B041-4099-A042-B518BB6A408C} - http://a1540.g.akamai.net/7/1540/52/20021205/qtinstall.info.apple.com/borris/us/win/QuickTimeInstaller.exe
O16 - DPF: {4ED9DDF0-7479-4BBE-9335-5A1EDB1D8A21} (McAfee.com Operating System Class) - http://bin.mcafee.com/molbin/shared/mcinsctl/de/4,0,0,5/mcinsctl.cab
O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.johannrain-softwareentwicklung.de/DE/scan8/oscan8.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1201045489050
O16 - DPF: {7E3E5294-350D-4DE2-93BC-635BF12FE39D} (WEEditor Class) - http://www.webedition.de/Control.CAB
O20 - Winlogon Notify: AutorunsDisabled - C:\WINDOWS\
O20 - Winlogon Notify: WinCtrl32 - C:\WINDOWS\SYSTEM32\WinCtrl32.dll
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apache - Unknown owner - c:\eZpublish\apache\apache.exe (file missing)
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Program Files\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Program Files\avmwlanstick\WlanNetService.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\System32\brsvc01a.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Program Files\Common Files\AVM\de_serv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Program Files\Common Files\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: Retrospect Express HD Restore Helper (RetroExp Helper) - Dantz Development Corporation - C:\PROGRA~1\Dantz\RETROS~1\rthlpsvc.exe
O23 - Service: Retrospect Express HD Launcher (RetroExpLauncher) - Dantz Development Corporation - C:\PROGRA~1\Dantz\RETROS~1\retrorun.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Program Files\WinPcap\rpcapd.exe

--
End of file - 14169 bytes

Hi
musst du leider warten, bis dir die 'großen' hier mit diversen Programm-vorschlägen antworten..
du kannst aber mal die Datei:
bei VirusTotal - Free Online Virus and Malware Scan hochladen, checken und das Ergebnis hier posten.

mfg

PL15Co2K.exe ergab keine Treffer, siehe unten. Im Process Monitor taucht diese Datei mit der Beschreibung "USB Flash Disk Applikation" auf. Hersteller: Prolific Technology Inc."

Hm ok, sonst scheint der Log sauber zu sein, muss aber nichts heißen..

Ich würds ja mal mit folgender Datei bei Virustotal versuchen:
lg myrtille, die nicht meint, dass das Log sauber ist.

Für Winch73.sys erhielt ich folgendes Ergebnis (ich glaub schon vorletztes Wochende. Das Ergebnis von virustotal hab ich dann ignoriert, weil alle Treffer iins Leere zu führen schienen. Das vergaß ich vorhin zu erwähnen)

Hallo myrtille,

sehe ich auch so - das log ist nicht sauber. WinCtrl32.dll hatte ich schon mal entfernt ist jetzt aber wieder da. Hier das Ergebnis von virustotal. Scheint so, dass die Datei auch erst seit diesem Wochende bekannt ist. Und wenn die Scanner was erkennen, dann scheinen sie sich nicht einig zu sein... :-(

Hi,
das dort unterschiedliche Namen ist vollkommen egal. Jede Firma gibt neuentdeckten Viren einen Namen, oft kommt erst später raus, dass derselbe Virus bei einer anderern Firma anders heißt... dann ändert keiner mehr den Namen.
Daher haben viele, bzw eigentlich alle Firmen unterschiedliche Namen für denselben Virus. :D
Das die Erkennungsraten für die DLL so schlecht sind, ist jedoch enttäuschend.

Arbeite bitte folgendes ab:

• Lade dir SDFix herunter und speichere es auf deinem Desktop.
• Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
• Starte deinen Rechner neu auf, in den abgesicherten Modus
• Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
• Gib ein Y ein, um den Reinigungsprozess zu beginnen.
• Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
• Nun wirst du darum gebeten, eine Taste zu drücken, damit dein Rechner neu aufstarten kann.
• Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
• Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
• Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
• Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.

Eine bebilderte Anleitung für den abgesicherten Modus gibt es hier

Erstelle danach im normalen Modus ein Log mit DSS:

• Lade dir DSS
• Schließe alle Anwendungen und führe DSS.exe dann mit einem Doppelklick aus
• Führe während DSS arbeitet bitte keine anderen Aktionen durch
• Am Ende öffnen sich 2 Datein main.txt und extra.txt
• Poste den Inhalt beider Dateien hier

lg myrtille

Hallo myrtille,

ich hab RunThis.bat im SaveMode gestartet und über die Nacht laufen lassen. Heute morgen war der Lauf immer noch nicht beendet. Ich gehe davon aus, dass dies nicht der Normalfall ist und sich die Anwendung aufgehängt hat.

Nach einem Neustart habe ich festgestellt, dass während dem Ausführen von SDFix noch eine weitere Anwendung gestartet wird: "HLVDD Hardlock Virtual Device". SDFix scheint aber auch diesmal wieder zu hängen :-(

Masus

Wie weit kam SDFix denn? Hast du Y drücken können?

lg myrtille

Ja, 'y' konnte ich noch drücken. Die Icons auf dem Desktop verschwanden noch und in der Konsole wurde der Hinweis angezeigt, dass jetzt mit dem Aufräumen begonnen würde.

Danke für deine Hilfe.

Ok, dumme Fehler meinerseits: Du bist im abgesicherten Modus schon mit Adminrechten eingeloggt, oder?
Wenn nicht, das bitte mal versuchen. :)
Entpacke den Ordner bitte auhc mal nach C:\ und starte RunThis.bat aus dem Ordner.

Schick mir bitte mal ein Hijackthislog, damit ich sehen kann was da noch an Prozessen läuft, die SDFix behindern können.

Gibt es denn eine Fehlermeldung von dem "HLVDD Hardlock Virtual Device"? Ich hab bisher von keinen Problemen gehört gehabt.


SDFix sollte nicht länger als 10 Minuten, in schlimmen Fällen evtl länger brauchen. Wenn es nach 10 Minuten keine Fortschritte gab, bitte abbrechen.
lg myrtille

Danke myrtille für deine weitere Hilfe

ja, ich habe Adminrechte.

Wenn in C:\ gestartet hängt's ebenso. Übrigens die letzte Meldung der Console ist immer: "Checking Running Processes and Services". Danach tut sich nichts mehr.

Hijackthislog Safemode
Hijackthislog Safemode mit laufendem/hängendem SDFix

Ja, es gibt eine (sporadische?) Fehlermeldung:
"HLVDD.DLL an installable virtual device driver failed dll initialization"


Und der Vollständigkeit halber:

Hijackthislog Normalmode ohne Internetverbindung

Hijackthislog Normalmode mit Internetverbindung

Versuche Combofix laufen zu lassen.

ComboFix

• Download ComboFix von hier oder hier auf Deinen Desktop.
• Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
  (Auch Guards von Ad-, Spyware Programmen!)
  
• Doppelklicke die combofix.exe.
• Wenn Combofix fertig ist, legt es ein Logfile an. Poste dieses Logfile und ein neues HJT Logfile als nächste Antwort

Wichtige Hinweise:

• Combofix darf ausschließlich ausgeführt werden wenn ein erfahrener Helfer dies ausdrücklich empfohlen hat!
  Es sollte nie auf eigene Initiative hin ausgeführt werden. Eine falsche Benutzung kann ernsthalfte Computerprobleme nach sich ziehen.
• Während Combofix läuft klicke nichts an, und benutze den Rechner nicht.
• Alle Guards der Antivirenprogramme sollten wie beschrieben deaktiviert sein.
• Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.
• Combofix leert die Liste der für das Internet autorisierten Anwendungen. Die meisten Fragen im Folgenden nach einer Erneuten Aufnahme, einige nicht. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.
• Combofix ändert den Standardbrowser auf den Internet Explorer. Diese Änderung nach der Anwendung ggf. manuel wieder ändern.
• Der Desktop wird während Combofix blau werden, die Icons verschinden. Dies Verhalten ist gewollt und bedeutet keine Gefahr.

Ergänzend lies Dir diese Anleitung durch, drucke sie ggf. aus.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Die Hijackthislogs sind aus dem normalen und nicht aus dem abgesicherten Modus. Bist du sicher, dass da alles glatt läuft? :D

Fahre wie von BataAlexander angegeben fort.

lg myrtille

Ja! Ein Posting weiter unten sind die aus dem abgesicherten Modus. Der Vollständigkeit halber hab ich noch zusätzlich die aus dem Normalen hinzugefügt.

Werde ich jetzt machen

ComboFix hat inkl. zwischenzeitlichem Reboot starke 20 Minuten benötigt.

Teil 1/2:

ComboFixLog:

Teil 2/2:

ComboFix-quarantined-files.txt:
hijackthis.log:
Mit Wireshark konnte ich bis jetzt auch noch keine Emailkommunikation erkennen. Gefällt mir gut! Was meint ihr?

Hi,

da laufen noch ne Menge böse Sachen im Hintergrund.
Wie wiederstrebend würdest du denn ein Neuaufsetzen in Kauf nehmen? :D

lg myrtille

Myrtille hat recht, der richtige weg ist hier das Neuaufsetzen.

Der andere weg führt über das untenstehende.

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer!)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

7. Nachdem das Log im Notepad aufgegenagen ist, erscheint ein Popup
http://saved.im/mjk4ndz0cty0_vs/cfcollect.jpg
Dies mit Ok wegklicken und es öffnet sich Dein Browser. In diesem Browser Fenster "Durchsuchen" auswählen und dann auf Deinem Desktop die neue .Zip Datei ([4]-Submit_Jahr-Monat-Tag_Uhrzeit.71.zip) auswählen. Dann mit Klick auf "Send" senden. So kann der Author die Erkennungsroutine des Programms verbessern.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann

Hm, da hab ich mich zu früh gefreut...

Eine Neuinstallation ist natürlich nicht so toll. Deshalb hab ich ausgeführt was von BataAlexaner beschrieben wurde. Hier das Ergebnis:

ComboFix.txt:
Malware Submission an Bleeping Computer - Computer Help and Discussion habe ich durchgeführt.

Was sagt das Log diesmal?

und gleich nochmal ein hijackthis.log:
ComboFix.txt befindet sich einen Betrag weiter unten

Hi,
ich lass Bata mal den Rest überprüfen, war ja sein Idee das ganze. :blabla:

Der Eintrag hier ist auf jedenfall schädlichen Ursprungs, wenn auch inaktiv:
Die Einträge kannste auch fixen, die sind nicht mehr wirksam:
lg myrtille

Hallo myrtille,

dennoch vielen Dank! Ich hab die letzten drei Einträge mit den fehlenden Dateien gelöscht.

Bedeutet das, dass ich diese Einträge auch fixen kann? Oder sollte ich lieber auf Bata warten?

Du bist der Meinung, dass mein Rechner immer noch nicht sauber ist?

Musst Du nicht, Mytrille sagt ja das richtige. Fixe die Einträge wie beschrieben.

Um Combofix zu loeschen(den qoobox ordner) gebe unter Start /Ausführen "combofix /u" ein. Ohne die " natürlich.

http://img247.imageshack.us/img247/7...ombofixvs6.jpg


Cureit Dr.Web

• Downloade Dr.Web CureIt!
• Speichere es auf deinem Desktop.
• Entpacke es in einen eigenen Ordner.
• Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

• Lass alle Malware in den Quarantaene Ordner verschieben.
• Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
• Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

• Speichere das Logfile - siehe Anleitung - und poste es.

Hallo,

jetzt habe ich meinen Rechner mit Cureit Dr.Web gescannt. Sogar zweimal, denn beim ersten Durchlauf hat sich der Scanner aufgehängt (ärgerlich da schon über 8 Stunden gescannt). Bis zu diesem Punkt wurde bis auf Kopien von SDFix und ComboFix nichts gefunden. Beim zweiten fehlerfreien Durchgang wurde nichts gefunden.

-> Deshalb hab ich gleich nochmals ein HijackThis Logfile hinzugefügt.

Ich hoffe das ist soweit alles OK (sowohl mein Rechner als auch das Vorgehen meinerseits)

Du hast alles richtig gemacht und ich finde in dem HiJackThis Log keine Besonderheiten mehr. :)
Viel Spaß im Netz.

Hallo Bata und myrtille,

vielen Dank für eure Hilfe. Die Rund-Um-Die-Uhr-Betreuung war spitze.

Nochmals vielen vielen Dank !!! :aplaus: