Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   BKA-Trojaner und Folgeprobleme (https://www.trojaner-board.de/103302-bka-trojaner-folgeprobleme.html)

cosinus 19.09.2011 19:43

Hast du wichtige Sachen im FF-Profil? Sowas wie Lesezeichen, gespeicherte Kennwörter, die du "sonst nicht mehr" hast?

romifi 19.09.2011 19:46

ja, habe ich

cosinus 19.09.2011 19:52

Hm ok. Dann besorg dir mal MozBackup und sichere selektiv alles wichtige aus deinem Profil. Ich denke das wichtigste dürften die Lesezeichen sein.
Wenn er gesichert ist, löscht du das Profil einfach mal und stellst im neuen Profil die Lesezeichen wieder her. Sollte eigentlich ganz einfach mit Mozbackup gehen.

romifi 19.09.2011 19:52

nach dem letzten FF-Update sind einige meiner FF-Erweiterungen nicht mehr kompatibel.
könnte das der Grund für das Weghängen sein?

romifi 19.09.2011 20:18

Hallo Arne,

mein BS brauchte gerade einen Reboot wegen frischem MS-Update.
Ich schaue zu dass ich Deine Vorschläge umsetze.
Wird aber wohl morgen werden.

Bis hierhin ganz herzlichen Dank!!
Schöne Grüße
Rolf

romifi 20.09.2011 10:41

Hallo Arne,

ich habe den OTL-Scan jetzt mit einem anderen (gleichberechtigtem) Account ohne Probleme durch geführt.
M.E. lagen die Probleme hier in nicht mehr updatefähigen (wegen neuer FF-Version) AddOns im FireFox.

Ich hoffe die Logs helfen:

Schöne Grüße
Rolf

cosinus 20.09.2011 10:49

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL
O2 - BHO: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programme\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O2 - BHO: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Programme\Vuze_Remote\prxtbVuz2.dll (Conduit Ltd.)
O2 - BHO: (FDMIECookiesBHO Class) - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdm2.dll ()
O3 - HKLM\..\Toolbar: (Conduit Engine ) - {30F9B915-B755-4826-820B-08FBA6BD249D} - C:\Programme\ConduitEngine\prxConduitEngine.dll (Conduit Ltd.)
O3 - HKLM\..\Toolbar: (Vuze Remote Toolbar) - {ba14329e-9550-4989-b3f2-9732e92d17cc} - C:\Programme\Vuze_Remote\prxtbVuz2.dll (Conduit Ltd.)
O3 - HKCU\..\Toolbar\WebBrowser: (Vuze Remote Toolbar) - {BA14329E-9550-4989-B3F2-9732E92D17CC} - C:\Programme\Vuze_Remote\prxtbVuz2.dll (Conduit Ltd.)
O4 - HKLM..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2008.05.30 09:31:56 | 000,000,054 | -H-- | M] () - H:\autorun.inf -- [ FAT32 ]
O32 - AutoRun File - [2008.09.10 08:01:34 | 000,000,000 | ---D | M] - H:\autorun -- [ FAT32 ]
@Alternate Data Stream - 147 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:76C85903
@Alternate Data Stream - 141 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C265C458
@Alternate Data Stream - 123 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:408F95E5
@Alternate Data Stream - 105 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:98781370
:Commands
[emptytemp]
[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

romifi 20.09.2011 13:49

Hallo Arne,

ich habe versucht das Fix genau wie beschrieben durch zu führen.
Nach dem Start tat sich auch das eine oder andere (z.B.: wurde unter
C: ein Ordner namens _OTL und darin ein Ordner namens MovedFiles und darunter ein Ordner namens 09202011_120354 (Zeitstempel) angelegt. Letzterer blieb aber auch nach mehr als 2 Stunden noch leer.
Beim Versuch einen Browser (FF) zu öffnen fror das System dann ein
:-(
so'n Shieet!

nochmal versuchen?
wie lange?

Schöne Grüße
Rolf

cosinus 20.09.2011 14:19

Ja bitte nochmal versuchen

romifi 20.09.2011 17:52

Hallo Arne,

im 4ten Anlauf (bei identischen Bedingungen) hat es geklappt.
nach dem OTL-FixLauf wurde ich zum Neustart aufgefordert:
-> klick "ok"

nach dem Reboot erhielt ich folgende Meldung in einer Box:

Name der Box: RTL
"unable to start driver for HPHimp09.exe (HPHimp09.exe)"

Der Drucker funktionierte aber nach neuer Zuweisung (Probedruck).

Das Log macht beim Hochladen Probleme:
"Fehler beim Hochladen
09202011_181157.log:
Ungültige Datei "
deswegen setze ich den Output hier rein:

All processes killed
========== OTL ==========
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}\ deleted successfully.
C:\Programme\ConduitEngine\prxConduitEngine.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ deleted successfully.
C:\Programme\Vuze_Remote\prxtbVuz2.dll moved successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{CC59E0F9-7E43-44FA-9FAA-8377850BF205}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CC59E0F9-7E43-44FA-9FAA-8377850BF205}\ deleted successfully.
C:\Programme\Free Download Manager\iefdm2.dll moved successfully.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{30F9B915-B755-4826-820B-08FBA6BD249D} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{30F9B915-B755-4826-820B-08FBA6BD249D}\ not found.
File C:\Programme\ConduitEngine\prxConduitEngine.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{ba14329e-9550-4989-b3f2-9732e92d17cc} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{ba14329e-9550-4989-b3f2-9732e92d17cc}\ not found.
File C:\Programme\Vuze_Remote\prxtbVuz2.dll not found.
Registry value HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{BA14329E-9550-4989-B3F2-9732E92D17CC} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{BA14329E-9550-4989-B3F2-9732E92D17CC}\ not found.
File C:\Programme\Vuze_Remote\prxtbVuz2.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\Zone Labs Client deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
H:\autorun.inf moved successfully.
File not found.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:76C85903 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C265C458 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:408F95E5 deleted successfully.
ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:98781370 deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: admin
->Temp folder emptied: 236618322 bytes
->Temporary Internet Files folder emptied: 12158408 bytes
->FireFox cache emptied: 22061295 bytes
->Flash cache emptied: 602 bytes

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32768 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 32768 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 36404302 bytes
->FireFox cache emptied: 44224498 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 848005 bytes

User: NetworkService.NT-AUTORITÄT
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: red
->Temp folder emptied: 490870 bytes
->Temporary Internet Files folder emptied: 590582614 bytes
->Java cache emptied: 583288 bytes
->FireFox cache emptied: 74604611 bytes
->Flash cache emptied: 5887 bytes

User: Rolf
->Temp folder emptied: 3351919 bytes
->Temporary Internet Files folder emptied: 2309566 bytes
->FireFox cache emptied: 27003037 bytes
->Flash cache emptied: 1264 bytes

User: root
->Temp folder emptied: 230838509 bytes
->Temporary Internet Files folder emptied: 362807195 bytes
->Java cache emptied: 4409015 bytes
->FireFox cache emptied: 53242300 bytes
->Flash cache emptied: 106960 bytes

User: surfer
->Temp folder emptied: 926874 bytes
->Temporary Internet Files folder emptied: 134 bytes
->FireFox cache emptied: 110949207 bytes
->Flash cache emptied: 1218 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 19569 bytes
%systemroot%\System32 .tmp files removed: 3986823 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 8149051 bytes
RecycleBin emptied: 179689 bytes

Total Files Cleaned = 1.742,00 mb

C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

OTL by OldTimer - Version 3.2.29.1 log created on 09202011_181157

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...



Wie geht es weiter?
Danke und Grüße
Rolf

cosinus 20.09.2011 18:43

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png


Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

romifi 20.09.2011 20:56

Hallo Arne,

ist erledigt.
nach unhide.exe kanm ich diverse Ordner wieder "sehen".
*freu*
der Scan mit dem Tool von Kaspersky ergab das anhängende Log.

Ich schalte jetzt den Rechner für heute aus,
allerdings nicht ohne Dir herzlichen Dank zu sagen!

Schöne Grüße
Rolf

cosinus 21.09.2011 09:38

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

romifi 22.09.2011 21:00

Hallo Arne,

vielen Dank!
Allerdings werde ich aus Zeitgründen den ComboFix
frühestens am Sonntag durch führen können.

Hab' bis dahin eine gute Zeit.
Schöne Grüße
Rolf

romifi 26.09.2011 14:46

Hallo Arne,

hier ist das ComboFix-Log:

Danke und
Schöne Grüße
Rolf


Alle Zeitangaben in WEZ +1. Es ist jetzt 06:40 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131