Trojaner-Board - GVU Trojaner eingefangen, brauche bitte Hilfe

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - GVU Trojaner eingefangen, brauche bitte Hilfe (https://www.trojaner-board.de/130030-gvu-trojaner-eingefangen-brauche-bitte-hilfe.html)

Hallo
Habe es ebend umbenannt und gestartet. Dann wollt er ein update soll ich diesen zulassen habe es eben abgelehnt?
Dann erscheint die Blaue Maske wo er versucht einen neuen Systemwiederherstellungspunkt herzustellen, es erscheint die Bemerkung das die Wiederherstellungskonsole fehlt und ob er diese jetzt runterladen soll das bestätige ich mit ja und es passiert nichts weiter die Blaue Maske bleibt und der Unterstrich blinkt weiter jedoch passiert nichts.
Soll ich es im Abgesicherten Modus nochmal probieren oder erst was anders machen?
Danke Maik

Updates immer zulassen. Und ja bitte abgesichert.

Hallo
Habe ihn jetzt im abgesicherten Modus gestartet, hat allerdings nicht nach einem Update gefragt und dann wollte er wieder die Wiederherstellungskonsole runterladen meinte dann aber das keine Internetverbindung besteht und dann fortgesetzt und beendet.
Wollte dir jetzt die Logdatei schicken nur komme ich da nicht ran wenn ich unter
c:\ComboFix.txt
nachschaue, sagt er das die Datei nicht gefunden werden konnte.
Maik

Abgesichert mit Netzwerk hast du gemacht?

AHH,
das ging schon besser jetzt hat es erfolgreich die Wiederherstellungskonsole installiert und ist durchgelaufen und hier ist die Logdatei

Code:

ComboFix 13-01-27.03 - mussja 27.01.2013  20:56:59.2.1 - x86 NETWORK

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.1023.788 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\mussja\Desktop\NoMBR.exe.exe

FW: McAfee Personal Firewall Plus *Enabled* {94894B63-8C7F-4050-BDA4-813CA00DA3E8}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\mussja\Anwendungsdaten\inst.exe

c:\windows\wininit.ini

.

.

(((((((((((((((((((((((   Dateien erstellt von 2012-12-27 bis 2013-01-27  ))))))))))))))))))))))))))))))

.

.

2013-01-24 20:01 . 2013-01-24 20:01        30616        ----a-w-        c:\windows\system32\drivers\hitmanpro37.sys

2013-01-24 19:42 . 2013-01-24 19:42        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\HitmanPro

2013-01-23 17:50 . 2013-01-24 17:41        --------        d---a-w-        C:\Kaspersky Rescue Disk 10.0

2013-01-22 17:18 . 2013-01-22 17:18        3163        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\RWvESYd.js

2013-01-11 16:19 . 2013-01-11 16:17        859072        ----a-w-        c:\windows\system32\npDeployJava1.dll

2013-01-11 16:18 . 2013-01-11 16:17        93640        ----a-w-        c:\windows\system32\WindowsAccessBridge.dll

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-01-11 16:17 . 2010-11-10 18:54        143872        ----a-w-        c:\windows\system32\javacpl.cpl

2013-01-11 16:17 . 2010-11-10 18:54        779704        ----a-w-        c:\windows\system32\deployJava1.dll

2013-01-11 16:03 . 2012-05-08 16:11        74248        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2013-01-11 16:03 . 2012-05-08 16:11        697864        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2005-04-01 5562368]

"vptray"="c:\programme\NavNT\vptray.exe" [2001-09-26 73728]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2005-04-01 86016]

"Cmaudio"="cmicnfg.cpl" [BU]

"MPFExe"="c:\progra~1\McAfee.com\PERSON~1\MpfTray.exe" [2005-07-15 999424]

"MCAgentExe"="c:\progra~1\mcafee.com\agent\mcagent.exe" [2005-07-01 303104]

"APSDaemon"="c:\programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe" [2012-11-28 59280]

"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2012-10-25 421888]

"iTunesHelper"="g:\programme\Programme\itunes\iTunesHelper.exe" [2012-12-12 152544]

"MCUpdateExe"="c:\progra~1\mcafee.com\agent\McUpdate.exe" [BU]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\RunServicesOnce]

"Tune2001"="c:\programme\Tune 2001\Tune2001.exe" [2001-03-03 1286144]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360]

.

c:\dokumente und einstellungen\mussja\Startmenü\Programme\Autostart\

runctf.lnk - c:\windows\system32\rundll32.exe [2004-8-3 33792]

.

c:\dokumente und einstellungen\mussja\Startmenü\Programme\Autostart\

runctf.lnk - c:\windows\system32\rundll32.exe [2004-8-3 33792]

.

c:\dokumente und einstellungen\mussja\Startmenü\Programme\Autostart\

runctf.lnk - c:\windows\system32\rundll32.exe [2004-8-3 33792]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

Ashampoo Magical Defrag.lnk - g:\programme\Schutz\Ashampoo Magical Defrag\bin\aDefragCtrl.exe [2007-3-31 4538672]

.

c:\dokumente und einstellungen\mussja\Startmenü\Programme\Autostart\

runctf.lnk - c:\windows\system32\rundll32.exe [2004-8-3 33792]

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]

"MaxRecentDocs"= 6 (0x6)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]

avgrsstx.dll [BU]

.

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages        REG_MULTI_SZ           msv1_0 nwprovau

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\aawservice]

@="Service"

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro37]

@=""

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\hitmanpro37.sys]

@=""

.

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PHOTOfunSTUDIO 6.1 HD Lite Edition.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\PHOTOfunSTUDIO 6.1 HD Lite Edition.lnk

backup=c:\windows\pss\PHOTOfunSTUDIO 6.1 HD Lite Edition.lnkCommon Startup

.

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^WISO Mein Steuer-Sparbuch heute.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\WISO Mein Steuer-Sparbuch heute.lnk

backup=c:\windows\pss\WISO Mein Steuer-Sparbuch heute.lnkCommon Startup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\APSDaemon]

2012-11-28 13:13        59280        ----a-w-        c:\programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CloneCDTray]

h:\programme\SlySoft\CloneCD\CloneCDTray.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DWQueuedReporting]

2006-10-26 17:48        434528        ----a-w-        c:\progra~1\GEMEIN~1\MICROS~1\DW\DWTRIG20.EXE

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FlashPlayerUpdate]

c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FLMK08KB]

2005-12-27 11:36        381440        ----a-w-        h:\programme\Muiltmedia keyboard Utility\1.3\KBDAP32A.EXE

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FLMOFFICE4DMOUSE]

2005-12-27 11:35        360448        ----a-w-        h:\programme\Browser MOUSE\mouse32a.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]

2006-10-26 22:47        31016        ----a-w-        c:\programme\Microsoft Office\Office12\GrooveMonitor.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]

c:\programme\HP\HP Software Update\HPWuSchd2.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]

2012-12-12 12:57        152544        ----a-w-        g:\programme\Programme\itunes\iTunesHelper.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Lexmark X5100 Series]

c:\programme\Lexmark X5100 Series\lxbabmgr.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MCUpdateExe]

c:\progra~1\mcafee.com\agent\McUpdate.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msnmsgr]

c:\programme\MSN Messenger\msnmsgr.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2001-07-09 10:50        155648        ----a-w-        c:\windows\system32\NeroCheck.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\OutpostFeedBack]

c:\programme\Agnitum\Outpost Firewall\feedback.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PhonostarAgent]

g:\programme\Player\Radio Player\phonostar\ps_agent.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PhonostarTimer]

g:\programme\Player\Radio Player\phonostar\ps_timer.exe [BU]

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2012-10-25 02:12        421888        ----a-w-        c:\programme\QuickTime\QTTask.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Uninstall Adobe Download Manager]

c:\programme\NOS\bin\getPlus_Helper_3004.dll [BU]

.

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"ctfmon.exe"=c:\windows\system32\ctfmon.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"SunJavaUpdateSched"="c:\programme\Java\jre1.5.0_10\bin\jusched.exe"

"KernelFaultCheck"=%systemroot%\system32\dumprep 0 -k

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\McAfeeFirewall]

"DisableMonitoring"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"h:\\Programme\\Activision\\Call of Duty 2\\CoD2MP_s.exe"=

"h:\\Programme\\Call of Duty\\CoDMP.exe"=

"h:\\Programme\\Call of Duty\\CoDUOMP.exe"=

"c:\\WINDOWS\\system32\\dplaysvr.exe"=

"c:\\Programme\\Opera\\opera.exe"=

"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=

"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=

"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=

"g:\\Programme\\Programme\\Firefox\\firefox.exe"=

"c:\\Programme\\Gemeinsame Dateien\\Apple\\Apple Application Support\\WebKit2WebProcess.exe"=

"g:\\Programme\\Programme\\itunes\\iTunes.exe"=

.

R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [14.12.2005 21:56 664064]

R1 Ndisprot;GreenPacket NDIS Protocol Driver;c:\windows\system32\drivers\Ndisprot.sys [19.10.2010 18:32 21504]

R3 AVMCOWAN;AVMCOWAN;c:\windows\system32\drivers\avmcowan.sys [07.05.2007 01:00 53632]

R3 AVMWAN;AVM NDIS WAN CAPI Treiber;c:\windows\system32\drivers\avmwan.sys [15.04.2008 17:04 37568]

S0 ElbyVCD;ElbyVCD;c:\windows\system32\DRIVERS\ElbyVCD.sys --> c:\windows\system32\DRIVERS\ElbyVCD.sys [?]

S1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\Drivers\avgldx86.sys --> c:\windows\system32\Drivers\avgldx86.sys [?]

S1 AvgTdiX;AVG Free8 Network Redirector;c:\windows\system32\Drivers\avgtdix.sys --> c:\windows\system32\Drivers\avgtdix.sys [?]

S2 AAV UpdateService;AAV UpdateService;c:\steuer 2012\AAVUpdateManager\aavus.exe [24.10.2008 16:35 128296]

S2 avg8emc;AVG Free8 E-mail Scanner;g:\progra~1\Schutz\AVGANT~1.5\avgemc.exe --> g:\progra~1\Schutz\AVGANT~1.5\avgemc.exe [?]

S2 AVMPORT;AVMPORT;c:\windows\system32\drivers\avmport.sys [02.05.2008 13:45 59520]

S2 MarxDev1;MarxDev1;c:\windows\system32\drivers\marxdev1.sys [02.07.2011 20:51 11296]

S2 MarxDev2;MarxDev2;c:\windows\system32\drivers\marxdev2.sys [02.07.2011 20:51 11296]

S2 MarxDev3;MarxDev3;c:\windows\system32\drivers\marxdev3.sys [02.07.2011 20:51 11296]

S2 UI Assistant Service;UI Assistant Service;g:\programme\Programme\Internet o2\Mobile Partner Manager\AssistantServices.exe --> g:\programme\Programme\Internet o2\Mobile Partner Manager\AssistantServices.exe [?]

S3 fpcibase;FRITZ!Card PCI;c:\windows\system32\drivers\fpcibase.sys [07.05.2007 01:00 537600]

S3 FUS2BASE;FRITZ!Card USB;c:\windows\system32\drivers\fus2base.sys [11.09.2002 01:00 498320]

S3 hitmanpro37;HitmanPro 3.7 Support Driver;c:\windows\system32\drivers\hitmanpro37.sys [24.01.2013 21:01 30616]

S3 massfilter;ZTE Mass Storage Filter Driver;c:\windows\system32\drivers\massfilter.sys --> c:\windows\system32\drivers\massfilter.sys [?]

S3 NETFRITZ;AVM FRITZ!web PPP over ISDN;c:\windows\system32\DRIVERS\NETFRITZ.SYS --> c:\windows\system32\DRIVERS\NETFRITZ.SYS [?]

S3 pcouffin;VSO Software pcouffin;c:\windows\system32\drivers\pcouffin.sys [24.01.2010 19:59 47360]

S3 SOCKFILT.DLL;Outpost Firewall PlugIn (SOCKFILT.DLL);\??\c:\progra~1\Agnitum\OUTPOS~1\kernel\SOCKFILT.DLL --> c:\progra~1\Agnitum\OUTPOS~1\kernel\SOCKFILT.DLL [?]

.

.

------- Zusätzlicher Suchlauf -------

.

IE: &Preispiratensuche nach markiertem Text - g:\\Programme\\Programme\\Preispiraten4\\preispiraten.html

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

TCP: DhcpNameServer = 192.168.2.1 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\mussja\Anwendungsdaten\Mozilla\Firefox\Profiles\g06an7tt.default\

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de

FF - ExtSQL: 2012-12-14 18:46; toolbar@web.de; c:\dokumente und einstellungen\mussja\Anwendungsdaten\Mozilla\Firefox\Profiles\g06an7tt.default\extensions\toolbar@web.de.xpi

FF - user.js: nglayout.initialpaint.delay - 750

FF - user.js: content.notify.interval - 750000

FF - user.js: content.max.tokenizing.time - 2250000

FF - user.js: network.http.max-connections-per-server - 6

FF - user.js: network.http.max-persistent-connections-per-server - 3

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2013-01-27 21:03

Windows 5.1.2600 Service Pack 2 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-789336058-515967899-725345543-1003\Software\Zepter Software\RegLib*84fcdaaa\AnyDVD/1]

"1"=dword:444d178e

"2"=dword:44c7cf22

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'winlogon.exe'(940)

c:\windows\system32\NavLogon.dll

.

Zeit der Fertigstellung: 2013-01-27  21:05:20

ComboFix-quarantined-files.txt  2013-01-27 20:05

ComboFix2.txt  2013-01-24 20:56

.

Vor Suchlauf: 2.016.870.400 Bytes frei

Nach Suchlauf: 2.000.244.736 Bytes frei

.

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /TUTag=56MWO2 /Kernel=TUKernel.exe

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional (TuneUp Backup)" /noexecute=optin /fastdetect /TUTag=56MWO2-BAK

.

- - End Of File - - 8FA449EB3D826F8E7BF8324AFF2D2439

Maik

Dann gibt es noch ein paar Reste:

Combofix-Skript

WARNUNG für die MITLESER:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link

Speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

Code:

File:: c:\dokumente und einstellungen\mussja\Startmenü\Programme\Autostart\runctf.lnk

Speichere dies als CFScript.txt auf deinem Desktop.

Wichtig: Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
Danach wieder anstellen nicht vergessen!

Schließe alle laufenden Programme damit ComboFix ungehindert arbeiten kann.

Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:

http://i266.photobucket.com/albums/i.../CFScriptB.gif

Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.

Wenn ComboFix fertig ist wird es ein Log erstellen: C:\ComboFix.txt
Bitte füge es hier als Antwort (in CODE-Tags) ein.

Zitat:

Hinweis:
Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen. Teile mir unbedingt mit, ob der Upload geklappt hat!

Hallo
Habe alles so gemacht wie beschrieben klappt nur schon wieder nicht so.
Klappt alles bis zu dem Scan den er ausführt dann passiert nichts weiter außer das der unterstrich vor sich hin blinkt!
???
MfG Maik

Okay. Dann lassen wir Combofix eben sein ... grrr

Kontrollscan mit OTL

Starte bitte OTL.exe - falls noch nicht vorhanden: LINK

Stelle sicher, dass "Alle Benuzter Scannen" angehakt ist!

Drücke den Quick Scan Button.

Poste die OTL.txt hier in deinen Thread.

Hey
wo finde ich denn die OTL.txt?
Habe den Scan ausgeführt aber keine OTL.txt gesehen.
Auch das weiße Kästchen unten am ende des Programmes war leer falls es da sein sollte.

Einen schönen Ruhetag noch
MFG Maik

die OTL.exe wird dann auf deinem desktop abgelegt oder wo OTL eben war.

Ah beim zweiten mal hat er jetzt ein Log erstellt.
Leider zu groß um sie einzukopieren deswegen hänge ich sie gezippt hochgeladen.
Ich hoffe das ist OK.
Mfg Maik

Ja das ist prima. Wir müssen eh nur noch eine Kleinigkeit löschen.

Fix mit OTL

Warnung: Dieses Skript wurde nur für diesen User und diese spezielle Situation geschrieben. Auf anderen Computern ausgeführt kann es nachhaltige Schäden anrichten!
Hinweis: Wenn du deinen Benutzernamen unkenntlich gemacht hast, musst du wieder deinen richtigen Namen einsetzen, ansonsten wird das Skript nicht funktionieren.
Starte bitte die OTL.exe.

Kopiere nun den Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

Code:

:files C:\Dokumente und Einstellungen\mussja\Startmenü\Programme\Autostart\runctf.lnk C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\RWvESYd.js :commands [emptytemp]

Schliesse bitte nun alle Programme.

Klicke nun bitte auf den Fix Button.

OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.

Nach dem Neustart findest Du ein Textdokument auf deinem Desktop. ( Auch zu finden unter C:\_OTL\MovedFiles\<time_date>.txt)

Kopiere nun den Inhalt hier in deinen Thread, möglichst in Code-Tags.

Hinweis: Die Ausführung des Kommandos kann einige Minuten dauern und OTL scheint in dieser Zeit nicht zu reagieren. Bitte geduldig sein! :kaffee:

Das ging aber schnell ist schon fertig
und hier der Thread

Code:

All processes killed

========== FILES ==========

C:\Dokumente und Einstellungen\mussja\Startmenü\Programme\Autostart\runctf.lnk moved successfully.

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\RWvESYd.js moved successfully.

========== COMMANDS ==========

 

[EMPTYTEMP]

 

User: Administrator

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

->Flash cache emptied: 0 bytes

 

User: All Users

 

User: Default User

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

User: LocalService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 67 bytes

->Flash cache emptied: 0 bytes

 

User: mussja

->Temp folder emptied: 15583205 bytes

->Temporary Internet Files folder emptied: 33170 bytes

->Java cache emptied: 0 bytes

->FireFox cache emptied: 5741626 bytes

->Opera cache emptied: 0 bytes

->Flash cache emptied: 492 bytes

 

User: NetworkService

->Temp folder emptied: 0 bytes

->Temporary Internet Files folder emptied: 0 bytes

 

%systemdrive% .tmp files removed: 0 bytes

%systemroot% .tmp files removed: 0 bytes

%systemroot%\System32 .tmp files removed: 0 bytes

%systemroot%\System32\dllcache .tmp files removed: 0 bytes

%systemroot%\System32\drivers .tmp files removed: 0 bytes

Windows Temp folder emptied: 81920 bytes

RecycleBin emptied: 651304 bytes

 

Total Files Cleaned = 21,00 mb

 

 

OTL by OldTimer - Version 3.2.69.0 log created on 01292013_195427
 

Files\Folders moved on Reboot...
 

PendingFileRenameOperations files...
 

Registry entries deleted on Reboot...

Gut! :daumenhoc

Soweit ich das sehe haben wir damit alles Schädliche entfernt. Um sicher sein zu können müssen jetzt noch ein paar Kontrollen machen und werden dann deinen Computer noch auf einen sicheren Stand bringen. Da diese Scans jetzt sehr lange dauern können bitte ich dich mir erst wieder zu schreiben, wenn du auch wirklich alles erledigt hast oder Probleme auftreten sollten.

Schritt 1:
Quick-Scan mit Malwarebytes

Downloade Dir bitte Malwarebytes
Installiere das Programm in den vorgegebenen Pfad.

Starte Malwarebytes, klicke auf Aktualisierung --> Suche nach Aktualisierung

Wenn das Update beendet wurde, aktiviere Quickscan durchführen und drücke auf Scannen.

Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.

Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.

Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.

Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 2:
ESET Online Scanner

Wichtig:
Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten!
Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

Bitte hier klicken ---> http://larusso.trojaner-board.de/Images/eset.jpg
Firefox-User: Bitte esetsmartinstaller_enu.exe downloaden, installieren und starten.

IE-User müssen das Installieren eines ActiveX Elements erlauben.

Setze den einen Haken bei Yes, i accept the Terms of Use/Ja, ich stimme ... zu und drücke den http://img707.imageshack.us/img707/687/starteg.jpg Button.

Warte bis die Komponenten herunter geladen wurden.

Setze einen Haken bei "Scan archives/Archive prüfen" und entferne den Haken bei Remove Found Threads/Entdeckte Bedrohungen entfernen.

http://img707.imageshack.us/img707/687/starteg.jpg drücken. Die Signaturen werden herunter geladen und der Scan beginnt automatisch und kann sehr lange (einige Stunden) dauern! :kaffee:

Wenn der Scan beendet wurde
Klicke http://billy-oneal.com/Canned%20Spee...istThreats.png und dann http://billy-oneal.com/Canned%20Spee...esetExport.png

Speichere das Logfile als ESET.txt auf dem Desktop.

Klicke Back und Finish

Bitte poste die ESET.txt hier oder teile mir mit, dass nichts gefunden wurde.

Schritt 3:
Scan mit SecurityCheck

Downloade Dir bitte SecurityCheck: LINK1 LINK2
Speichere es auf dem Desktop.

Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.

Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Hallo
Schritt 1 fertig keine Infizierten Objekte gefunden

Code:

Malwarebytes Anti-Malware 1.70.0.1100

www.malwarebytes.org
 

Datenbank Version: v2013.01.29.08
 

Windows XP Service Pack 2 x86 NTFS

Internet Explorer 6.0.2900.2180

mussja :: MUSSJA1 [Administrator]
 

29.01.2013 20:08:46

mbam-log-2013-01-29 (20-08-46).txt
 

Art des Suchlaufs: Quick-Scan

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 250541

Laufzeit: 28 Minute(n), 53 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

Hallo
Habe Probleme mit dem Eset Online Scanner. Nachdem ich diesen Schritt ausgeführt habe:
Setze einen Haken bei "Scan archives/Archive prüfen" und entferne den Haken bei Remove Found Threads/Entdeckte Bedrohungen entfernen.
drücken. Die Signaturen werden herunter geladen und der Scan beginnt automatisch und kann sehr lange (einige Stunden) dauern
Und er bei 100% ist sagt er
Unexpected Error 2002

??? Maik