Trojaner Gozi, was tun ?
 

Hallo,
ich habe wohl einen Trojaner Namens Gozi auf dem PC, legt mein onlinebanking lahm, Antivir hat es nicht gefunden.

Kann mir jemand helfen, bin nicht der PC Spezi.

Gruß Ralf

ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten

Trojaner Gozi, was tun ?
 

OTL EXTRAS Logfile:
--- --- ---

du wirst warscheinlich neu aufsetzen müssen, nur so kannst du wieder sicher online banking machen, vorher möchte ich folgendes sehen.

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Sorry, hat etwas länger gedauert

hier der Bericht, bin mal gespannt was es aussagt

((((((((((((((((((((((( Dateien erstellt von 2010-10-15 bis 2010-11-15 ))))))))))))))))))))))))))))))
.

2010-11-15 15:42 . 2010-11-15 15:42 -------- d-----w- c:\users\Default\AppData\Local\temp
2010-11-14 15:17 . 2010-11-14 15:17 0 ----a-w- c:\windows\system32\sho3764.tmp
2010-11-12 07:13 . 2010-10-18 07:41 6146896 ----a-w- c:\programdata\Microsoft\Windows Defender\Definition Updates\{76BB3F21-663D-42ED-8B78-524189372CE3}\mpengine.dll
2010-11-11 07:42 . 2010-11-11 07:42 -------- d-----w- c:\program files\MarkAny
2010-11-11 07:41 . 2010-11-11 07:41 -------- d-----w- c:\program files\PC Connectivity Solution
2010-11-11 07:39 . 2010-11-11 07:39 -------- d-----w- c:\program files\Samsung
2010-11-09 11:12 . 2009-10-08 11:02 238952 ----a-w- c:\windows\system32\FsUsbExService.Exe
2010-11-09 11:12 . 2009-09-21 08:33 36608 ----a-w- c:\windows\system32\FsUsbExDisk.Sys
2010-11-09 11:12 . 2009-09-21 08:33 110592 ----a-w- c:\windows\system32\FsUsbExDevice.Dll
2010-11-07 18:12 . 2010-11-08 07:00 952 --sha-w- c:\programdata\KGyGaAvL.sys
2010-11-04 19:02 . 2010-11-04 19:02 -------- d-----w- c:\programdata\Microsoft Help
2010-11-04 17:54 . 2010-11-04 17:54 -------- d-----w- c:\programdata\TomTom
2010-11-04 17:35 . 2010-11-04 17:35 -------- d-----w- c:\program files\TomTom International B.V
2010-11-04 17:32 . 2010-11-04 17:33 -------- d-----w- c:\program files\TomTom HOME 2
2010-11-04 17:31 . 2010-11-04 17:31 -------- d-----w- c:\program files\TomTom DesktopSuite
2010-10-30 19:04 . 2010-10-30 19:04 2300696 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCEClientUX\UpdateableMarkup-2\markup.dll
2010-10-30 19:04 . 2010-10-30 19:04 42776 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCEClientUX\dSM-2\StartResources.dll
2010-10-28 11:36 . 2010-10-28 11:39 -------- d-----w- c:\programdata\VirtualizedApplications
2010-10-28 07:29 . 2010-10-28 07:29 0 ----a-w- c:\windows\system32\shoCEE3.tmp
2010-10-27 09:24 . 2010-10-27 09:24 0 ----a-w- c:\windows\system32\sho2645.tmp
2010-10-27 06:45 . 2010-08-04 06:17 417792 ----a-w- c:\windows\system32\msdri.dll
2010-10-27 06:44 . 2010-08-04 06:18 641536 ----a-w- c:\windows\system32\CPFilters.dll
2010-10-27 06:44 . 2010-08-04 06:15 204288 ----a-w- c:\windows\system32\MSNP.ax
2010-10-27 06:44 . 2010-08-04 06:15 199680 ----a-w- c:\windows\system32\mpg2splt.ax
2010-10-27 06:43 . 2010-07-13 05:22 26504 ----a-w- c:\windows\system32\drivers\Diskdump.sys
2010-10-25 06:45 . 2010-11-14 16:05 60936 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2010-10-25 06:45 . 2010-11-14 16:05 126856 ----a-w- c:\windows\system32\drivers\avipbb.sys
2010-10-25 06:45 . 2009-05-11 10:49 51992 ----a-w- c:\windows\system32\drivers\avgntdd.sys
2010-10-25 06:45 . 2009-05-11 10:49 17016 ----a-w- c:\windows\system32\drivers\avgntmgr.sys
2010-10-25 06:45 . 2010-10-25 06:45 -------- d-----w- c:\programdata\Avira
2010-10-25 06:45 . 2010-10-25 06:45 -------- d-----w- c:\program files\Avira
2010-10-21 06:54 . 2010-10-21 06:54 -------- d-----w- c:\program files\Microsoft CAPICOM 2.1.0.2
2010-10-21 06:53 . 2010-10-21 06:53 -------- d-----w- c:\program files\MSXML 4.0
2010-10-20 07:44 . 2010-02-11 07:10 293376 ----a-w- c:\windows\system32\browserchoice.exe
2010-10-20 07:44 . 2010-03-04 03:57 190976 ----a-w- c:\windows\system32\drivers\ks.sys
2010-10-20 07:40 . 2010-10-20 07:40 -------- d-----r- C:\MSOCache
2010-10-20 07:34 . 2010-10-21 06:53 -------- d-----w- c:\program files\Microsoft Application Virtualization Client
2010-10-20 06:35 . 2010-11-01 16:20 -------- d-----w- c:\program files\Mozilla Thunderbird
2010-10-20 06:23 . 2010-10-20 06:23 -------- d-----w- c:\programdata\CanonIJPLM
2010-10-20 06:12 . 2010-10-20 06:12 -------- d-----w- c:\programdata\InstallShield
2010-10-20 06:11 . 2010-10-20 06:11 -------- d-----w- c:\programdata\ScanSoft
2010-10-20 06:11 . 2010-10-20 06:11 -------- d-----w- c:\program files\Common Files\ScanSoft Shared
2010-10-20 06:11 . 2010-10-20 06:11 -------- d-----w- c:\program files\ScanSoft
2010-10-20 06:08 . 2010-10-20 06:08 -------- d-----w- c:\program files\Common Files\CANON
2010-10-20 06:08 . 2010-06-29 04:57 4247040 ----a-w- c:\program files\Windows NT\Accessories\wordpad.exe
2010-10-20 06:08 . 2010-06-29 05:02 1413632 ----a-w- c:\windows\system32\ole32.dll
2010-10-20 06:08 . 2010-06-14 06:12 1286016 ----a-w- c:\windows\system32\drivers\tcpip.sys
2010-10-20 06:06 . 2010-06-19 06:15 2048 ----a-w- c:\windows\system32\tzres.dll
2010-10-20 06:04 . 2010-08-27 05:46 168448 ----a-w- c:\windows\system32\srvsvc.dll
2010-10-20 06:04 . 2010-08-27 03:31 310784 ----a-w- c:\windows\system32\drivers\srv.sys
2010-10-20 06:04 . 2010-08-27 03:30 308736 ----a-w- c:\windows\system32\drivers\srv2.sys
2010-10-20 06:04 . 2010-08-27 03:30 113664 ----a-w- c:\windows\system32\drivers\srvnet.sys
2010-10-20 06:04 . 2010-08-21 05:36 738816 ----a-w- c:\windows\system32\wmpmde.dll
2010-10-20 06:04 . 2010-05-05 06:46 363520 ----a-w- c:\windows\system32\StructuredQuery.dll
2010-10-20 06:04 . 2010-08-27 05:30 13312 ----a-w- c:\program files\Internet Explorer\iecompat.dll
2010-10-20 06:03 . 2010-10-20 06:03 -------- d--h--w- c:\programdata\CanonBJ
2010-10-20 06:02 . 2007-05-21 20:00 69632 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\CNMPP94.DLL
2010-10-20 06:02 . 2007-05-21 20:00 27136 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\CNMPD94.DLL
2010-10-20 06:01 . 2010-10-20 06:01 -------- d--h--w- c:\windows\system32\CanonIJ Uninstaller Information
2010-10-20 05:59 . 2007-05-21 20:00 215040 ----a-w- c:\windows\system32\CNMLM94.DLL
2010-10-20 05:59 . 2007-03-15 05:12 188416 ----a-w- c:\windows\system32\CNC520O.DLL
2010-10-20 05:59 . 2007-03-23 07:29 98304 ----a-w- c:\windows\system32\CNC520I.DLL
2010-10-20 05:59 . 2007-03-19 01:23 200704 ----a-w- c:\windows\system32\CNC520L.DLL
2010-10-20 05:59 . 2007-03-23 07:30 1400832 ----a-w- c:\windows\system32\CNC520C.DLL
2010-10-20 05:57 . 2010-10-20 06:23 -------- d-----w- c:\program files\Canon
2010-10-19 19:33 . 2010-10-19 19:33 -------- d-----w- c:\program files\Conduit
2010-10-19 19:33 . 2010-10-27 06:49 -------- d-----w- c:\program files\softonic-de3
2010-10-19 07:52 . 2010-11-09 09:33 2300696 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCEClientUX\UpdateableMarkup\markup.dll
2010-10-19 07:51 . 2010-11-09 09:23 42776 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCEClientUX\dSM\StartResources.dll
2010-10-19 07:51 . 2010-10-19 07:51 1113408 ----a-w- c:\programdata\Microsoft\eHome\Packages\MCESpotlight\MCESpotlight\SpotlightResources.dll
2010-10-19 07:44 . 2010-10-19 07:44 -------- d-----w- c:\windows\de
2010-10-19 07:44 . 2010-10-19 07:44 -------- dc----w- c:\windows\system32\DRVSTORE
2010-10-19 07:44 . 2010-09-22 22:21 39272 ----a-w- c:\windows\system32\drivers\fssfltr.sys
2010-10-19 07:39 . 2010-10-19 07:39 -------- d-----w- c:\program files\MSN Toolbar
2010-10-19 07:39 . 2010-10-19 07:39 -------- d-----w- c:\program files\Bing Bar Installer
2010-10-19 07:37 . 2010-08-11 04:44 2983424 ----a-w- c:\windows\system32\UIRibbon.dll
2010-10-19 07:37 . 2010-08-11 04:35 1164800 ----a-w- c:\windows\system32\UIRibbonRes.dll
2010-10-19 07:36 . 2010-05-23 10:11 196608 ----a-w- c:\windows\system32\mfreadwrite.dll
2010-10-19 07:36 . 2010-05-23 10:11 3181568 ----a-w- c:\windows\system32\mf.dll
2010-10-19 07:36 . 2010-05-23 10:15 1619456 ----a-w- c:\windows\system32\WMVDECOD.DLL
2010-10-19 07:20 . 2010-10-19 07:20 -------- d-----w- c:\programdata\Corel
2010-10-19 07:20 . 2010-10-19 07:20 -------- d-----w- c:\program files\Common Files\Protexis
2010-10-19 07:20 . 2010-10-19 07:20 -------- d-----w- c:\program files\Common Files\Corel
2010-10-19 07:19 . 2010-10-19 07:19 -------- d-----w- c:\program files\Corel
2010-10-19 07:19 . 2010-10-19 07:19 -------- d-----w- c:\program files\PlayReady
2010-10-19 07:17 . 2010-10-19 07:20 150848 ----a-w- c:\windows\system32\BGLsp.dll
2010-10-19 07:17 . 2010-10-19 07:20 122744 ----a-w- c:\windows\system32\BdInstHk.dll
2010-10-19 07:17 . 2010-11-14 19:30 -------- d-----w- c:\users\Ralf
2010-10-19 07:16 . 2010-10-19 07:16 -------- d-----w- c:\program files\Microsoft SQL Server Compact Edition
2010-10-19 07:15 . 2010-10-19 07:15 -------- d-----w- c:\program files\Microsoft
2010-10-19 07:14 . 2010-10-19 07:14 -------- d-----w- c:\windows\PCHEALTH
2010-10-19 07:14 . 2010-10-19 07:14 -------- d-----w- c:\program files\Common Files\Windows Live
2010-10-19 07:12 . 2010-10-19 07:12 -------- d-sh--we C:\Documents and Settings
2010-10-19 07:12 . 2010-10-19 07:12 -------- d-----w- C:\Recovery

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-10-19 09:41 . 2010-06-29 13:41 222080 ------w- c:\windows\system32\MpSigStub.exe
2010-10-19 07:20 . 2010-04-28 09:41 56400 ----a-w- c:\windows\system32\drivers\BdSpy.sys
2010-09-22 22:47 . 2010-09-22 22:47 49016 ----a-w- c:\windows\system32\sirenacm.dll
2010-09-22 22:32 . 2010-09-22 22:32 301936 ----a-w- c:\windows\WLXPGSS.SCR
2010-09-21 12:03 . 2010-09-21 12:03 208768 ----a-w- c:\windows\system32\LIVESSP.DLL
2010-09-17 03:10 . 2010-09-17 03:10 596992 ----a-w- c:\windows\system32\drivers\RTL8192su.sys
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}"= "c:\program files\softonic-de3\tbsof1.dll" [2010-10-27 2735200]

[HKEY_CLASSES_ROOT\clsid\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}]
2010-10-27 06:49 2735200 ----a-w- c:\program files\softonic-de3\tbsof1.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}"= "c:\program files\softonic-de3\tbsof1.dll" [2010-10-27 2735200]

[HKEY_CLASSES_ROOT\clsid\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{CC05A3E3-64C3-4AF2-BFC1-AF0D66B69065}"= "c:\program files\softonic-de3\tbsof1.dll" [2010-10-27 2735200]

[HKEY_CLASSES_ROOT\clsid\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TomTomHOME.exe"="c:\program files\TomTom HOME 2\TomTomHOMERunner.exe" [2010-08-24 247144]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\program files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-05-27 98304]
"SSBkgdUpdate"="c:\program files\Common Files\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2006-10-25 210472]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RtHDVCpl.exe" [2010-04-07 8555040]
"OpwareSE4"="c:\program files\ScanSoft\OmniPageSE4\OpwareSE4.exe" [2007-02-04 79400]
"IAStorIcon"="c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorIcon.exe" [2010-03-04 284696]
"CLMLServer"="c:\program files\CyberLink\Power2Go\CLMLSvc.exe" [2009-11-02 103720]
"CanonSolutionMenu"="c:\program files\Canon\SolutionMenu\CNSLMAIN.exe" [2007-05-14 644696]
"CanonMyPrinter"="c:\program files\Canon\MyPrinter\BJMyPrt.exe" [2007-04-03 1603152]
"BullGuard"="c:\program files\BullGuard Ltd\BullGuard\BullGuard.exe" [2010-10-19 2073480]
"avgnt"="c:\program files\Avira\AntiVir Desktop\avgnt.exe" [2010-11-14 281768]
"Adobe Reader Speed Launcher"="c:\program files\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-21 932288]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\System32\BgGamingMonitor.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"aux1"=wdmaud.drv

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Security Packages REG_MULTI_SZ kerberos msv1_0 schannel wdigest tspkg pku2u livessp

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\BsMain]
@="Service"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\BsScanner]
@="Service"

R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R3 BgRaSvc;BgRaSvc;c:\program files\BullGuard Ltd\BullGuard\Support\BgRaSvc.exe [2010-10-19 122760]
R3 FsUsbExDisk;FsUsbExDisk;c:\windows\system32\FsUsbExDisk.SYS [2009-09-21 36608]
R3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4640000]
R4 wlcrasvc;Windows Live Mesh remote connections service;c:\program files\Windows Live\Mesh\wlcrasvc.exe [x]
S1 BdSpy;BdSpy;c:\windows\system32\DRIVERS\BdSpy.sys [2010-10-19 56400]
S1 vwififlt;Virtual WiFi Filter Driver;c:\windows\system32\DRIVERS\vwififlt.sys [2009-07-13 48128]
S2 AMD External Events Utility;AMD External Events Utility;c:\windows\system32\atiesrxx.exe [2010-05-27 176128]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files\Avira\AntiVir Desktop\sched.exe [2010-11-14 135336]
S2 BsBrowser;BullGuard antiphishing service;c:\windows\System32\SvcHost.exe [2009-07-14 20992]
S2 BsFileScan;BullGuard on-access service;c:\windows\System32\SvcHost.exe [2009-07-14 20992]
S2 BsMailProxy;BullGuard e-mail monitoring service;c:\windows\System32\SvcHost.exe [2009-07-14 20992]
S2 BsMain;BullGuard main service;c:\windows\System32\SvcHost.exe [2009-07-14 20992]
S2 BsUpdate;BullGuard update service;c:\program files\BullGuard Ltd\BullGuard\BullGuardUpdate.exe [2010-10-19 355720]
S2 cvhsvc;Client Virtualization Handler;c:\program files\Common Files\Microsoft Shared\Virtualization Handler\CVHSVC.EXE [2010-02-28 821664]
S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-03-04 13336]
S2 sftlist;Application Virtualization Client;c:\program files\Microsoft Application Virtualization Client\sftlist.exe [2010-04-23 483688]
S2 TomTomHOMEService;TomTomHOMEService;c:\program files\TomTom HOME 2\TomTomHOMEService.exe [2010-08-24 92008]
S3 amdkmdag;amdkmdag;c:\windows\system32\DRIVERS\atikmdag.sys [2010-05-27 5586432]
S3 amdkmdap;amdkmdap;c:\windows\system32\DRIVERS\atikmpag.sys [2010-05-27 209920]
S3 BsScanner;BullGuard scanning service;c:\program files\BullGuard Ltd\BullGuard\BullGuardScanner.exe [2010-10-19 305032]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt86win7.sys [2010-06-23 275048]
S3 RTL8192su;Realtek RTL8192SU Wireless LAN 802.11n USB 2.0 Network Adapter;c:\windows\system32\DRIVERS\RTL8192su.sys [2010-09-17 596992]
S3 Sftfs;Sftfs;c:\windows\system32\DRIVERS\Sftfslh.sys [2010-04-23 550760]
S3 Sftplay;Sftplay;c:\windows\system32\DRIVERS\Sftplaylh.sys [2010-04-23 195944]
S3 Sftredir;Sftredir;c:\windows\system32\DRIVERS\Sftredirlh.sys [2010-04-23 21864]
S3 Sftvol;Sftvol;c:\windows\system32\DRIVERS\Sftvollh.sys [2010-04-23 19304]
S3 sftvsa;Application Virtualization Service Agent;c:\program files\Microsoft Application Virtualization Client\sftvsa.exe [2010-04-23 209768]
S3 vwifimp;Microsoft Virtual WiFi Miniport Service;c:\windows\system32\DRIVERS\vwifimp.sys [2009-07-13 14336]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
BullGuard_Main REG_MULTI_SZ BsMain
BullGuard REG_MULTI_SZ BsFileScan BsMailProxy
BullGuard_LowPriv REG_MULTI_SZ BsBrowser
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://search.conduit.com?SearchSource=10&ctid=CT2431245
IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4
LSP: c:\windows\system32\BGLsp.dll
FF - ProfilePath - c:\users\Ralf\AppData\Roaming\Mozilla\Firefox\Profiles\w4grvfdt.default\
FF - prefs.js: browser.search.defaulturl - hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2431245&SearchSource=3&q={searchTerms}
FF - prefs.js: browser.search.selectedEngine - softonic-de3 Customized Web Search
FF - prefs.js: browser.startup.homepage - hxxp://search.conduit.com/?ctid=CT2431245&SearchSource=13
FF - prefs.js: network.proxy.type - 0
FF - component: c:\program files\BullGuard Ltd\BullGuard\Antiphishing\FF\antiphishing@bullguard\components\BGFFComponent.dll
FF - component: c:\users\Ralf\AppData\Roaming\Mozilla\Firefox\Profiles\w4grvfdt.default\extensions\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\components\FFExternalAlert.dll
FF - component: c:\users\Ralf\AppData\Roaming\Mozilla\Firefox\Profiles\w4grvfdt.default\extensions\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\components\RadioWMPCore.dll
FF - plugin: c:\progra~1\MICROS~3\Office14\NPSPWRAP.DLL
FF - plugin: c:\program files\Java\jre6\bin\new_plugin\npdeployJava1.dll
FF - plugin: c:\program files\Mozilla Firefox\plugins\np-mswmp.dll

---- FIREFOX Richtlinien ----
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqz9s", true); // Traditional
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqs8s", true); // Simplified
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--j6w193g", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4a87g", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7c0a67fbc", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7cvafr", true);
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kpry57d", true); // Traditional
c:\program files\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kprw13d", true); // Simplified
c:\program files\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

AddRemove-WinLiveSuite - c:\program files\Windows Live\Installer\wlarp.exe


.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1464632005-2486159026-607699386-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.eml\UserChoice]
@Denied: (2) (S-1-5-21-1464632005-2486159026-607699386-1001)
@Denied: (2) (LocalSystem)
"Progid"="ThunderbirdEML"

[HKEY_USERS\S-1-5-21-1464632005-2486159026-607699386-1001\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.vcf\UserChoice]
@Denied: (2) (LocalSystem)
"Progid"="WindowsLiveMail.VCard.1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(600)
c:\windows\System32\BgGamingMonitor.dll

- - - - - - - > 'lsass.exe'(584)
c:\windows\System32\BgGamingMonitor.dll

- - - - - - - > 'Explorer.exe'(5600)
c:\program files\BullGuard Ltd\BullGuard\Spamfilter\LittleHook.dll
.
Zeit der Fertigstellung: 2010-11-15 16:49:00
ComboFix-quarantined-files.txt 2010-11-15 15:48

Vor Suchlauf: 5 Verzeichnis(se), 923.859.484.672 Bytes frei
Nach Suchlauf: 9 Verzeichnis(se), 923.777.245.184 Bytes frei

- - End Of File - - 79F20BCD1CB44B23147BF6FFAD79C629

der anfang fehlt.

Das war alles was ich zu sehen bekommen habe ?

Werde es nochmal machen

So, habe es nochmal gemacht, hoffe ist jetzt komplett

Combofix Logfile:
--- --- ---

eig wollte cih den anfang des ersten logs, ist aber egal, du kannst anfangen mit daten sichern, dann neu aufsetzen, zum absichern gibts tipps.

Danke,

bedeutet eine Datensicherung auf einer externen Festplatte ?

Ich frage, da ich vom PC nicht so den Plan habe.


Gruß Ralf

ja oder auf dvds zb
oder auf deiner partition d:

So Datensicherung ist gemacht.

Bitte jetzt Schritt für Schritt erklären.

lege die windows cd ein, starte den pc von cd.
falls er das nicht tut, mit f11 f12 oder f9 bei systemstart das boot menü aufrufen und das cd/dvd laufwerk auswählen.

- formatiere den pc.
- windows aufspielen.
- treiber aufspielen.
- windows update seite besuchen, updates instalieren. unter einstellungen automatische updates aktivieren.
du solltest nur noch als eingeschrenkter nutzer arbeiten , das admin konto ist nur für instalationen gedacht.
klicke start, tippe unter suchen (ausführen) systemsteuerung. wähle dort Benutzerkonten hinzufügen/entfernen.
wähle "neues konto erstellen"
Wähle standard benutzer.

die konten sollten mit einem passwort geschützt werden.
dazu auf konto endern klicken und passwörter vergeben.

die uac sollte auf maximum stehen.
klicke auf start, ausführen (suchen) tippe
uac
enter
nachfrage bestätigen, regler auf höchste stufe.
so ist es schwiriger heimlich etwas auf dem pc zu instalieren.
Die folgenden konfigurationen als admin ausführen:
dep für alle prozesse:
Datenausführungsverhinderung (DEP)
• "Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten einschalten:".
wenn es zu problemen kommen sollte, kann man die betroffenen prozesse aus der Überwachung entfernen.

SEHOP aktivieren:
Aktivieren von SEHOP (Structured Exception Handling Overwrite Protection) in Windows-Betriebssystemen
klicke auf "Feature automatisch aktivieren"
und folge den anweisungen

avira genauestens nach anleitung instalieren:
http://www.trojaner-board.de/54192-a...tellungen.html
achte darauf, das der auftrag im planer wirklich über lokale laufwerke läuft, sonst werden scan einstellungen nicht gültig.
unter avira, konfiguration, guard, autostart, haken raus lassen.

als browser solltest du den opera nutzen, er ist sicherer und schneller.
wenn er dir nicht gefällt passe ich meine anleitung für den ff an.
wenn er dir gefällt, deinstaliere den firefox.
Opera Webbrowser | Schneller & sicherer | Die neuen Internet-Browser kostenlos herunterladen
mit diesem tool lässt sich ein werbeblocker laden
Opera AdBlock Configurator - Freeware - DE - Download.CHIP.eu
zusätzlich kannst du das auch manuell erledigen, falls mal etwas nicht geblockt wird:
Computerbase - Werbung blockieren
auch diese tutorial seite mal ansehen.
Opera Tutorial- Übersicht
hier besonders die abschnitte sicherheit (kookies) und passwort durchlesen


um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
http://filepony.de/download-sandboxie/
anleitung:
drop.io
(als pdf)
hier noch ein paar zusatzeinstellungen, nicht verunsichern lassen, wenn ihr das programm instaliert habt, werden sie klar.
den direkten datei zugriff bitte auf opera beschrenken,
bei
Internetzugriff:
opera.exe
öffne dann sandboxie, dann oben im menü auf sandbox klickem, wähle deine sandbox aus und klicke dann auf sandboxeinstellung.
dort auf anwendung, webbrowser, andere dort auf direkten zugriff auf opera bookmarks erlauben. dann auf hinzufügen und ok.
somit kannst du deine lesezeichen auch in der sandbox dauerhaft abspeichern.

wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 30 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.

autorun deaktivieren:
über diesen weg werden sehr häufig schaddateien verbreitet, schalte die funktion also ab.
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
usb sticks, festplatten etc, sollte man mit panda vaccine impfen:
ANTIMALWARE: Panda USB Vaccine - Download FREE - PANDA SECURITY
so holt man sich keine infektionen ins haus, wenn man mal die festplatte etc verleit.
hake an:
hake an:
run panda usb vaccine automatically when computer boots
automatically vaccine any new insert usb key
enable ntfs file suport

Updates sind für dein system genauso wichtig, wie ein antivirenscanner. Sehr häufig gelangen schädlinge nur aufs system, weil der user veraltete software nutzt.
instaliere die folgenden update checker.
Secunia:
http://www.trojaner-board.de/83959-s...ector-psi.html
und file hippo update checker:
FileHippo.com Update Checker - FileHippo.com
das file Hippo Symbol wird im infobereich neben der uhr auftauchen, mache bitte nen rechtsklick darauf, wähle settings, results, setze einen haken bei "hide beta updates" klicke ok.
dann doppelklicke file hippo, eine Internetseite wird geöffnet, auf der dier die aktuellsten updates gezeigt werden, diese downloaden und instalieren.

Beide programme sollten im autostart bleiben, und sobald eines der programme updates anzeigt sollten diese umgehend instaliert werden.

regelmäßige Backups des systems sind sehr wichtig, du weist nie, ob deine festplatte mal kaputt geht.
Paragon Backup & Recovery Free Edition - Das Produkt
außerdem kannst du, bei neuerlichem malware befall das system zurücksetzen.
Das Backup sollte möglichst auf eine externe festplatte etc emacht werden, nicht auf die selbe, wo sich die zu sichernden daten befinden.
Von sehr wichtigen Daten könnte man noch eine zusätzliche Sicherung auf dvds/cds erstellen, dazu könnte man auch wiederbeschreibbare verwenden (rws) falls die sammlung mal erneuert werden soll.



allgemeines.
- verzichte auf tuning programme, sie bringen nichts.
- keine illegalen downloads.
90 % bringen malware mit sich!
- keine streaming seiten wie kino.to sie verbreiten malware.
- wenn möglich, instalationen immer benutzerdefiniert ausführen, dann kannst du unnötiges zeug abwählen.

online banking:

ich würde zu online banking mit chipcard raten, dazu benötigst du, ein lesegerät, lasse dich von deiner bank beraten, es sollte aber mindestens ein klasse2 lesegerät sein, besser sogar ein klasse3 leser, das sind die besten für den privat kunden.
Kartenlesegerät ? Wikipedia

instaliere jetzt die von dir benötigten programme.
endere alle passwörter.
danach, bitte nur noch im standard nutzer konto einloggen, und dort in der sandbox surfen, mit klick auf "sandboxed web browser".
diese einstellungen, sollten dich nun rund um schützen.

Danke,

das werde ich aber erst morgen machen, dauert bestimmt etwas länger.

Sollte ich Probleme haben, kann ich mich vom Netbook aus noch hier melden.

Gruß Ralf

ja, melde dich auch, wenns geklappt hatt.

Ich wieder,

wie sieht es denn aus, wenn ich den Auslieferungszustand wieder herstelle, der PC ist gerade mal 3 Wochen alt, ist das Problem dann auch gelöst?

Gruß Ralf

ja, das ist ja die recovery funktion.
dann solltest du aber trotzdem alle von mir genannten schritte umsetzem die nach dem formatieren kamen.
also updates, absichern etc.

OK,

ich werde jetzt den Auslieferungszustand herstellen, habe die Recover CD eingeworfen.

So, hat etwas gedauert.

habe jetzt soweit alles gemacht, gehe nicht mehr über das Admin Konto auf den PC.

Wie sehen wir ob alles ok ist ?

Gruß Ralf

poste einfach nen neues otl log.
was heißt soweit? was hast du warum nicht umgesetzt?
damit ich dir erklären kann, warum es evtl. doch nötig ist.

So,
otl log erledigt, hier der Bericht

sandboxie
opera webbrowser
filehippo
paragon backup
sind nicht installiert
OTL Logfile:
--- --- ---

OTL EXTRAS Logfile:
--- --- ---

warum sind hier 2 antiviren programme, bullguard + avira? eins weg.
windows live toolbar, deinstalieren.

Bullgard ist vorinstalliert aber nicht aktiviert, sowie auch windows live.

Werde beide aber löschen, wie mache ich es am besten ?

Über systemsteuereung und dann Programme, deinstalieren ?

genau so :-)

Bullgard ist gelöscht, bei Windows Live habe ich

Anmelde Assistent
Essentials
Sync
Uploadtool

sollen Alle gelöscht werden ?

alles raus :-)

Alles vernichtet:singsing:

Ist sonst alles OK bei mir ?

Ist opera denn viel sicherer als firefox ?

ja, ist er :-)
und, wie ich finde, auch schneller, deswegen solltest du ihn dir ja mal ansehen :-)

Werde ich machen.

Werde Euch was aufs Konto überweisen, aber erst Anfang Dezember, bin froh das ich hier so schnelle Hilfe bekommen habe.

Gruß Ralf

ok, wenn er dir nicht zusagt, wie gesagt, passe ich die anleitung auf den ff an.
und danke dir vielmals für die spende.
ist ja nichts verpflichtendes, davon werden nur anfallende kosten bezahlt, wie der server zb.