GVU-Trojaner unter Windows VISTA 32 Bit Home Premium
 

Hallo zusammen,
ich habe mir den GVU-Trojaner auf meinem Windows VISTA 32-Bit System eingefangen.
Der Versuch, den Plagegeist über den abgesicherten Modus loszuwerden war erfolglos, ich bekomme nur einen schwarzen Bildschirm.
Die Kaspersky Notfall CD hilft auch nicht weiter, der Windowsunlocker tut nichts und der Virenscan von der CD bleibt dauerhaft bei 1%.
Jetzt bin ich mit meinem Latein am Ende und benötige dringend Hilfe.

Gruß
derstef

Hallo derstef und :hallo:

Mein Name ist Leo und ich werde dich durch die Bereinigung deines Rechners begleiten.

Eine Bereinigung beinhaltet nebst dem Entfernen von Malware auch das Schliessen von Sicherheitslücken und sollte gründlich durchgeführt werden. Sie erfolgt deshalb in mehreren Schritten und bedeutet einigen Aufwand für dich.
Beachte: Das Verschwinden der offensichtlichen Symptome bedeutet nicht, dass das System schon sauber ist.
Arbeite daher in deinem eigenen Interesse solange mit, bis du das OK bekommst, dass alles erledigt ist.




Suchen wir dieses Ding:


Schritt 1

Downloade dir bitte Farbar Recovery Scan Tool 32-Bit und speichere diese auf einen USB Stick (nicht in einen Unterordner!).
Schliesse den USB Stick an den infizierten Rechner an.

Du musst das System nun in die System Reparatur Option booten:

Variante 1 - Über den Boot Manager

• Starte den Rechner neu auf.
• Während des Hochfahrens drücke mehrmals die F8 Taste.
• Wähle nun Computer reparieren.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils Weiter.

oder

Variante 2 - Mit Windows CD/DVD

• Lege die Windows CD in dein Laufwerk.
• Starte den Rechner neu auf und boote von der CD.
• Wähle die Spracheinstellungen und klicke Weiter.
• Klicke auf Computerreparaturoptionen.
• Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils Weiter.

Wenn du jetzt in den Reparaturoptionen bist, wähle Eingabeaufforderung.

• Gib nun bitte notepad ein und drücke Enter.
  • Es öffnet sich ein Textdokument. Klicke auf Datei -> Speichern unter und wähle Computer.
  • Lese hier nun den Laufwerksbuchstaben deines USB Sticks (z.B. e:\) ab.
  • Schliesse Notepad wieder.
• Gib nun bitte folgenden Befehl ein und drücke Enter:

  e:\frst.exe

  Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Wenn es bei dir ein anderer Buchstabe ist, dann passe den Befehl entsprechend an.
• Akzeptiere den Disclaimer mit Yes und klicke Scan.

Das Tool erstellt eine Datei FRST.txt auf deinem USB Stick. Poste dessen Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von FRST

Hallo Leo,
vielen Dank für die schnelle Antwort, hier der Logtext:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 17-02-2013 01
Ran by SYSTEM at 20-02-2013 12:06:04
Running from D:\
Windows Vista (TM) Home Premium (X86) OS Language: German Standard
The current controlset is ControlSet001

==================== Registry (Whitelisted) ===================

HKLM\...\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide [1008184 2008-01-19] (Microsoft Corporation)
HKLM\...\Run: [IAAnotif] C:\Program Files\Intel\Intel Matrix Storage Manager\iaanotif.exe [186904 2009-06-04] (Intel Corporation)
HKLM\...\Run: [VolPanel] "C:\Program Files\Creative\Sound Blaster X-Fi\Volume Panel\VolPanlu.exe" /r [180224 2006-12-06] (Creative Technology Ltd)
HKLM\...\Run: [UpdReg] C:\Windows\UpdReg.EXE [90112 2000-05-11] (Creative Technology Ltd.)
HKLM\...\Run: [ISUSScheduler] "C:\Program Files\Common Files\InstallShield\UpdateService\issch.exe" -start [81920 2006-10-03] (Macrovision Corporation)
HKLM\...\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe" [74752 2011-10-26] (Nullsoft, Inc.)
HKLM\...\Run: [ISUSPM Startup] C:\PROGRA~1\COMMON~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup [221184 2006-10-03] (Macrovision Corporation)
HKLM\...\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [937920 2011-06-06] (Adobe Systems Incorporated)
HKLM\...\Run: [APSDaemon] "C:\Program Files\Common Files\Apple\Apple Application Support\APSDaemon.exe" [59280 2012-11-28] (Apple Inc.)
HKLM\...\Run: [mcui_exe] "C:\Program Files\McAfee.com\Agent\mcagent.exe" /runkey [514936 2012-10-07] (McAfee, Inc.)
HKLM\...\Run: [SunJavaUpdateSched] "C:\Program Files\Common Files\Java\Java Update\jusched.exe" [252848 2012-07-03] (Sun Microsystems, Inc.)
HKLM\...\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe" [152544 2012-12-12] (Apple Inc.)
HKLM\...\Run: [mcpltui_exe] "C:\Program Files\McAfee.com\Agent\mcagent.exe" /runkey [514936 2012-10-07] (McAfee, Inc.)
HKU\Stefan\...\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe [125952 2008-01-19] (Microsoft Corporation)
HKU\Stefan\...\Run: [sbPopper] C:\Program Files\MonkeyLicense\sbPopper\sbPopper.exe [x]
HKU\Stefan\...\Run: [swg] "C:\Program Files\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [39408 2008-08-27] (Google Inc.)
HKU\Stefan\...\Run: [MobileDocuments] C:\Program Files\Common Files\Apple\Internet Services\ubd.exe [x]
HKU\Stefan\...\Run: [Creative MediaSource Go] "C:\Program Files\Creative\MediaSource5\Go\CTCMSGoU.exe" /SCB [204800 2006-11-09] (Creative Technology Ltd)
HKU\Stefan\...\Run: [Spotify Web Helper] "C:\Users\Stefan\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe" [1199576 2013-01-04] (Spotify Ltd)
HKU\Stefan\...\CurrentVersion\Windows: [Load] C:\Users\Stefan\LOCALS~1\Temp\msdrcn.cmd
HKU\Stefan\...\Winlogon: [Userinit] C:\Users\Stefan\AppData\Roaming\1.exe [433697 2013-02-20] ()
HKU\Stefan\...\Winlogon: [Shell] C:\Users\Stefan\AppData\Roaming\1.exe [433697 2013-02-20] ()
AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~1\GOEC62~1.DLL
Tcpip\..\Interfaces\{F5A2109B-C59D-410D-A4C2-E5BE6D59C760}: [NameServer]192.168.178.1,192.168.178.2
Startup: C:\Users\Stefan\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\BUFFALO NAS Navigator.lnk
ShortcutTarget: BUFFALO NAS Navigator.lnk -> X:\Program Files\BUFFALO\NASNAVI\NasNavi.exe (No File)
Startup: C:\Users\Stefan\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ja.lnk
ShortcutTarget: ja.lnk -> (No File)
Startup: C:\Users\Stefan\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\NAS Scheduler.lnk
ShortcutTarget: NAS Scheduler.lnk -> X:\Program Files\BUFFALO\NASNAVI\nassche.exe (No File)

==================== Services (Whitelisted) ===================

2 AVM IGD CTRL Service; C:\Program Files\FRITZ!DSL\IGDCTRL.EXE [81920 2005-11-21] (AVM Berlin)
2 BlueSoleilCS; C:\Program Files\IVT Corporation\BlueSoleil\BlueSoleilCS.exe [1155180 2008-05-23] ()
3 BsHelpCS; C:\Program Files\IVT Corporation\BlueSoleil\BsHelpCS.exe [57447 2007-08-17] ()
2 ClipInc001; C:\Program Files\Tobit ClipInc\Server\ClipInc-Server.exe 001 [2195720 2008-11-28] ()
3 de_serv; C:\Program Files\Common Files\AVM\de_serv.exe [315392 2005-11-21] (AVM Berlin)
2 EPGService; C:\PROGRA~1\WinTV\EPG Services\System\EPGService.exe [361984 2006-11-28] (Hauppauge Computer Works)
3 GoogleDesktopManager-051210-111108; "C:\Program Files\Google\Google Desktop Search\GoogleDesktop.exe" [30192 2010-10-30] (Google)
3 HauppaugeTVServer; C:\PROGRA~1\WinTV\HCWTVS~1.EXE [815104 2007-02-20] (Hauppauge Computer Works)
2 HomeNetSvc; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
2 McAfee SiteAdvisor Service; "C:\Program Files\Common Files\Mcafee\McSvcHost\McSvHost.exe" /McCoreSvc [167784 2012-08-31] (McAfee, Inc.)
2 McMPFSvc; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
2 McNaiAnn; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
3 McODS; "C:\Program Files\McAfee\VirusScan\mcods.exe" [279072 2012-11-22] (McAfee, Inc.)
4 McOobeSv; "C:\Program Files\Common Files\Mcafee\McSvcHost\McSvHost.exe" /McCoreSvc [167784 2012-08-31] (McAfee, Inc.)
2 mcpltsvc; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
2 McProxy; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
2 mfecore; C:\Program Files\Common Files\McAfee\AMCore\mcshield.exe [632344 2012-10-06] (McAfee, Inc.)
2 mfefire; "C:\Program Files\Common Files\McAfee\SystemCore\\mfefire.exe" [168880 2012-11-09] (McAfee, Inc.)
2 mfevtp; "C:\Windows\system32\mfevtps.exe" [167344 2012-11-09] (McAfee, Inc.)
2 MSK80Service; "C:\Program Files\Common Files\Mcafee\Platform\McSvcHost\McSvHost.exe" /McCoreSvc [184288 2012-10-07] (McAfee, Inc.)
2 NasPmService; C:\Program Files\BUFFALO\NASNAVI\nassvc.exe -Service_Execute -dcyc=60 -dto=3 -dluc=0 -dmin=1 -dmax=60 -dflc=0 -apc=0 -log=0 -pm=1 -pall=1 -phttp=0 -pbc=0 -ppro=0 -pcyc=0 -pmin=1 -pmax=60 -pflc=0 [251184 2009-05-15] (BUFFALO INC.)
2 NAUpdate; "C:\Program Files\Nero\Update\NASvc.exe" [490280 2010-03-25] (Nero AG)
3 CT20XUT.DLL; C:\Windows\System32\CT20XUT.DLL [x]
3 CTEXFIFX.DLL; C:\Windows\System32\CTEXFIFX.DLL [x]
3 CTHWIUT.DLL; C:\Windows\System32\CTHWIUT.DLL [x]
2 IswSvc; "C:\Program Files\CheckPoint\ZAForceField\IswSvc.exe" [x]
3 McAWFwk; c:\PROGRA~1\mcafee\msc\mcawfwk.exe [x]
2 Nero BackItUp Scheduler 4.0; C:\Program Files\Common Files\Nero\Nero BackItUp 4\NBService.exe [x]
3 rpcapd; "C:\Program Files\WinPcap\rpcapd.exe" -d -f "C:\Program Files\WinPcap\rpcapd.ini" [x]
3 stllssvr; "C:\Program Files\Common Files\SureThing Shared\stllssvr.exe" [x]

==================== Drivers (Whitelisted) ====================

3 Afc; C:\Windows\System32\drivers\Afc.sys [11776 2005-02-23] (Arcsoft, Inc.)
3 avmaura; C:\Windows\System32\DRIVERS\avmaura.sys [101248 2008-11-16] (AVM Berlin)
3 BlueletAudio; C:\Windows\System32\DRIVERS\blueletaudio.sys [34312 2008-05-23] (IVT Corporation.)
3 BlueletSCOAudio; C:\Windows\System32\DRIVERS\BlueletSCOAudio.sys [27656 2007-06-24] (IVT Corporation.)
3 BT; C:\Windows\System32\DRIVERS\btnetdrv.sys [18320 2007-03-05] (IVT Corporation.)
3 Btcsrusb; C:\Windows\System32\Drivers\btcusb.sys [38920 2007-06-24] (IVT Corporation.)
0 BTHidEnum; C:\Windows\System32\Drivers\vbtenum.sys [20880 2007-03-05] (IVT Corporation.)
0 BTHidMgr; C:\Windows\System32\Drivers\BTHidMgr.sys [35600 2007-03-05] (IVT Corporation.)
3 cfwids; C:\Windows\System32\drivers\cfwids.sys [60480 2012-11-09] (McAfee, Inc.)
3 hamachi; C:\Windows\System32\DRIVERS\hamachi.sys [26176 2009-03-18] (LogMeIn, Inc.)
3 hcw95bda; C:\Windows\System32\Drivers\hcw95bda.sys [467456 2007-04-04] (Hauppauge Computer Works, Inc.)
3 hcw95rc; C:\Windows\System32\DRIVERS\hcw95rc.sys [15488 2007-04-04] (Hauppauge Computer Works, Inc.)
3 HipShieldK; C:\Windows\System32\drivers\HipShieldK.sys [147472 2012-05-28] (McAfee, Inc.)
0 McPvDrv; C:\Windows\System32\drivers\McPvDrv.sys [65856 2012-10-19] (McAfee, Inc.)
3 mfeapfk; C:\Windows\System32\drivers\mfeapfk.sys [132912 2012-11-09] (McAfee, Inc.)
3 mfeavfk; C:\Windows\System32\drivers\mfeavfk.sys [234824 2012-11-09] (McAfee, Inc.)
3 mfebopk; C:\Windows\System32\drivers\mfebopk.sys [65488 2012-11-09] (McAfee, Inc.)
3 mfefirek; C:\Windows\System32\drivers\mfefirek.sys [362640 2012-11-09] (McAfee, Inc.)
0 mfehidk; C:\Windows\System32\drivers\mfehidk.sys [565352 2012-11-09] (McAfee, Inc.)
3 mfencbdc; C:\Windows\System32\DRIVERS\mfencbdc.sys [252200 2012-11-02] (McAfee, Inc.)
3 mfencrk; C:\Windows\System32\DRIVERS\mfencrk.sys [81456 2012-11-02] (McAfee, Inc.)
1 mfewfpk; C:\Windows\System32\drivers\mfewfpk.sys [210136 2012-11-09] (McAfee, Inc.)
3 nmwcdnsu; C:\Windows\System32\drivers\nmwcdnsu.sys [137344 2010-02-26] (Nokia)
3 nmwcdnsuc; C:\Windows\System32\drivers\nmwcdnsuc.sys [8320 2010-02-26] (Nokia)
3 NPF; C:\Windows\System32\drivers\npf.sys [32512 2005-08-02] (CACE Technologies)
3 RRNetCap; C:\Windows\System32\DRIVERS\rrnetcap.sys [31848 2012-01-03] (RapidSolution Software AG)
3 RRNetCapMP; C:\Windows\System32\DRIVERS\rrnetcap.sys [31848 2012-01-03] (RapidSolution Software AG)
0 sptd; C:\Windows\System32\Drivers\sptd.sys [685816 2007-09-08] (Duplex Secure Ltd.)
1 ssmdrv; C:\Windows\System32\DRIVERS\ssmdrv.sys [28520 2009-05-11] (Avira GmbH)
3 tbhsd; C:\Windows\System32\drivers\tbhsd.sys [39016 2012-01-03] (RapidSolution Software AG)
3 UMSSSTOR; C:\Windows\System32\DRIVERS\UMSS.SYS [48512 2004-07-13] (C-Media Corporation)
3 VComm; C:\Windows\System32\DRIVERS\VComm.sys [34448 2007-03-05] (IVT Corporation.)
3 VcommMgr; C:\Windows\System32\Drivers\VcommMgr.sys [44304 2007-03-05] (IVT Corporation.)
4 blbdrive; C:\Windows\system32\drivers\blbdrive.sys [x]
3 BTWUSB; C:\Windows\System32\Drivers\btwusb.sys [x]
3 IpInIp; C:\Windows\System32\DRIVERS\ipinip.sys [x]
2 ISWKL; \??\C:\Program Files\CheckPoint\ZAForceField\ISWKL.sys [x]
3 mfeavfk01; [x]
3 NwlnkFlt; C:\Windows\System32\DRIVERS\nwlnkflt.sys [x]
3 NwlnkFwd; C:\Windows\System32\DRIVERS\nwlnkfwd.sys [x]
3 tosporte; C:\Windows\System32\DRIVERS\tosporte.sys [x]
3 Tosrfbd; C:\Windows\System32\DRIVERS\tosrfbd.sys [x]
3 tosrfbnp; C:\Windows\System32\Drivers\tosrfbnp.sys [x]
3 Tosrfcom; C:\Windows\System32\Drivers\tosrfcom.sys [x]
3 Tosrfhid; C:\Windows\System32\DRIVERS\Tosrfhid.sys [x]
3 tosrfnds; C:\Windows\System32\DRIVERS\tosrfnds.sys [x]
3 TosRfSnd; C:\Windows\System32\drivers\tosrfsnd.sys [x]
3 Tosrfusb; C:\Windows\System32\DRIVERS\tosrfusb.sys [x]
3 vsdatant7; C:\Windows\System32\drivers\vsdatant.win7.sys [x]

==================== NetSvcs (Whitelisted) ===================


==================== One Month Created Files and Folders ========

2013-02-20 12:05 - 2013-02-20 12:05 - 00000000 ____D C:\FRST
2013-02-20 08:44 - 2013-02-20 08:44 - 00433697 __ASH C:\Users\Stefan\AppData\Roaming\1.exe
2013-02-19 10:15 - 2013-02-19 10:15 - 00000000 ____D C:\Users\Stefan\Downloads\Tall Dwarfs
2013-02-15 03:04 - 2013-01-08 23:23 - 12321280 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.dll
2013-02-15 03:04 - 2013-01-08 23:11 - 01800704 ____A (Microsoft Corporation) C:\Windows\System32\jscript9.dll
2013-02-15 03:04 - 2013-01-08 23:09 - 09738240 ____A (Microsoft Corporation) C:\Windows\System32\ieframe.dll
2013-02-15 03:04 - 2013-01-08 23:03 - 01427968 ____A (Microsoft Corporation) C:\Windows\System32\inetcpl.cpl
2013-02-15 03:04 - 2013-01-08 23:03 - 01129472 ____A (Microsoft Corporation) C:\Windows\System32\wininet.dll
2013-02-15 03:04 - 2013-01-08 23:03 - 01103872 ____A (Microsoft Corporation) C:\Windows\System32\urlmon.dll
2013-02-15 03:04 - 2013-01-08 23:01 - 00231936 ____A (Microsoft Corporation) C:\Windows\System32\url.dll
2013-02-15 03:04 - 2013-01-08 23:00 - 00065024 ____A (Microsoft Corporation) C:\Windows\System32\jsproxy.dll
2013-02-15 03:04 - 2013-01-08 22:59 - 00142848 ____A (Microsoft Corporation) C:\Windows\System32\ieUnatt.exe
2013-02-15 03:04 - 2013-01-08 22:58 - 00717824 ____A (Microsoft Corporation) C:\Windows\System32\jscript.dll
2013-02-15 03:04 - 2013-01-08 22:58 - 00420864 ____A (Microsoft Corporation) C:\Windows\System32\vbscript.dll
2013-02-15 03:04 - 2013-01-08 22:57 - 00607744 ____A (Microsoft Corporation) C:\Windows\System32\msfeeds.dll
2013-02-15 03:04 - 2013-01-08 22:56 - 02382848 ____A (Microsoft Corporation) C:\Windows\System32\mshtml.tlb
2013-02-15 03:04 - 2013-01-08 22:56 - 01796096 ____A (Microsoft Corporation) C:\Windows\System32\iertutil.dll
2013-02-15 03:04 - 2013-01-08 22:56 - 00073216 ____A (Microsoft Corporation) C:\Windows\System32\mshtmled.dll
2013-02-15 03:04 - 2013-01-08 22:53 - 00176640 ____A (Microsoft Corporation) C:\Windows\System32\ieui.dll
2013-02-14 04:39 - 2013-01-05 06:26 - 03602808 ____A (Microsoft Corporation) C:\Windows\System32\ntkrnlpa.exe
2013-02-14 04:39 - 2013-01-05 06:26 - 03550072 ____A (Microsoft Corporation) C:\Windows\System32\ntoskrnl.exe
2013-02-14 04:39 - 2013-01-04 12:28 - 00914792 ____A (Microsoft Corporation) C:\Windows\System32\Drivers\tcpip.sys
2013-02-14 04:39 - 2013-01-04 02:55 - 00031232 ____A (Microsoft Corporation) C:\Windows\System32\Drivers\tcpipreg.sys
2013-02-14 04:39 - 2013-01-04 02:38 - 02048512 ____A (Microsoft Corporation) C:\Windows\System32\win32k.sys
2013-02-14 04:39 - 2012-11-08 04:48 - 01314816 ____A (Microsoft Corporation) C:\Windows\System32\quartz.dll

==================== One Month Modified Files and Folders ========

2013-02-20 12:05 - 2013-02-20 12:05 - 00000000 ____D C:\FRST
2013-02-20 11:51 - 2011-04-17 13:56 - 00000000 ____D C:\Users\Stefan\Downloads\Wii
2013-02-20 11:50 - 2010-07-20 18:23 - 00000000 ____D C:\Users\Stefan\Downloads\Software
2013-02-20 11:49 - 2012-04-09 08:57 - 00000884 ____A C:\Windows\Tasks\Adobe Flash Player Updater.job
2013-02-20 11:42 - 2011-01-24 21:38 - 00001022 ____A C:\Windows\Tasks\Google Software Updater.job
2013-02-20 11:39 - 2007-07-31 19:56 - 00000000 ____D C:\users\Stefan
2013-02-20 11:29 - 2010-01-27 23:17 - 00001098 ____A C:\Windows\Tasks\GoogleUpdateTaskMachineUA.job
2013-02-20 11:15 - 2012-07-15 10:40 - 00001713 ____A C:\Users\Public\Desktop\McAfee Total Protection.lnk
2013-02-20 11:13 - 2013-01-19 14:54 - 00000000 __RSD C:\Users\Stefan\Documents\McAfee-Tresore
2013-02-20 11:13 - 2007-07-26 20:56 - 01110960 ____A C:\Windows\WindowsUpdate.log
2013-02-20 11:10 - 2007-08-16 20:34 - 00000000 ____D C:\Program Files\WinTV
2013-02-20 11:08 - 2010-05-13 13:53 - 00034997 ____A C:\ProgramData\nvModes.001
2013-02-20 11:08 - 2010-01-27 23:17 - 00001094 ____A C:\Windows\Tasks\GoogleUpdateTaskMachineCore.job
2013-02-20 11:08 - 2008-05-23 16:42 - 00004335 ____A C:\Windows\System32\LOCALSERVICE.INI
2013-02-20 11:08 - 2007-09-14 09:34 - 00000972 ____A C:\Windows\System32\bscs.ini
2013-02-20 11:08 - 2006-11-02 14:01 - 00000006 ___AH C:\Windows\Tasks\SA.DAT
2013-02-20 11:08 - 2006-11-02 13:47 - 00003696 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-1.C7483456-A289-439d-8115-601632D005A0
2013-02-20 11:08 - 2006-11-02 13:47 - 00003696 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-2P-0.C7483456-A289-439d-8115-601632D005A0
2013-02-20 09:14 - 2006-11-02 14:01 - 00032534 ____A C:\Windows\Tasks\SCHEDLGU.TXT
2013-02-20 08:44 - 2013-02-20 08:44 - 00433697 __ASH C:\Users\Stefan\AppData\Roaming\1.exe
2013-02-20 08:31 - 2010-01-11 22:46 - 00000000 ____D C:\Program Files\JDownloader
2013-02-19 10:15 - 2013-02-19 10:15 - 00000000 ____D C:\Users\Stefan\Downloads\Tall Dwarfs
2013-02-19 09:27 - 2008-07-18 18:35 - 00000000 ____D C:\Users\Stefan\AppData\Roaming\Winamp
2013-02-18 08:33 - 2010-05-11 22:32 - 00034997 ____A C:\ProgramData\nvModes.dat
2013-02-15 08:13 - 2008-02-14 22:39 - 00000000 ____D C:\Program Files\UltraStar
2013-02-15 03:39 - 2006-11-02 12:18 - 00000000 ____D C:\Windows\Microsoft.NET
2013-02-15 03:31 - 2006-11-02 13:47 - 00308856 ____A C:\Windows\System32\FNTCACHE.DAT
2013-02-15 03:06 - 2007-10-29 18:10 - 00000000 ____D C:\ProgramData\Microsoft Help
2013-02-15 03:06 - 2006-11-02 11:24 - 67823584 ____A (Microsoft Corporation) C:\Windows\System32\mrt.exe
2013-02-15 03:02 - 2006-11-02 11:33 - 01468520 ____A C:\Windows\System32\PerfStringBackup.INI
2013-02-13 10:10 - 2011-11-13 15:05 - 00175678 ____A C:\Windows\PFRO.log
2013-02-11 19:33 - 2012-07-15 10:35 - 00000000 ____D C:\Program Files\McAfee
2013-02-09 12:50 - 2012-04-09 08:57 - 00697712 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerApp.exe
2013-02-09 12:50 - 2011-05-16 10:42 - 00074096 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerCPLApp.cpl
2013-02-08 14:28 - 2012-12-02 00:54 - 00001933 ____A C:\Users\Public\Desktop\Google Chrome.lnk

==================== Known DLLs (Whitelisted) =================


==================== Bamital & volsnap Check =================

C:\Windows\explorer.exe => MD5 is legit
C:\Windows\System32\winlogon.exe => MD5 is legit
C:\Windows\System32\wininit.exe => MD5 is legit
C:\Windows\System32\svchost.exe => MD5 is legit
C:\Windows\System32\services.exe => MD5 is legit
C:\Windows\System32\User32.dll => MD5 is legit
C:\Windows\System32\userinit.exe => MD5 is legit
C:\Windows\System32\Drivers\volsnap.sys
[2012-12-16 14:27] - [2012-08-21 12:47] - 0224640 ____A (Microsoft Corporation) 786DB5771F05EF300390399F626BF30A


==================== EXE ASSOCIATION =====================

HKLM\...\.exe: exefile => OK
HKLM\...\exefile\DefaultIcon: %1 => OK
HKLM\...\exefile\open\command: "%1" %* => OK

==================== Restore Points =========================

Restore point made on: 2013-02-15 03:00:29
Restore point made on: 2013-02-15 08:12:41
Restore point made on: 2013-02-15 08:13:36
Restore point made on: 2013-02-16 00:00:13
Restore point made on: 2013-02-18 09:17:52
Restore point made on: 2013-02-19 00:00:14
Restore point made on: 2013-02-20 00:00:18

==================== Memory info ===========================

Percentage of memory in use: 11%
Total physical RAM: 3069.32 MB
Available physical RAM: 2717.88 MB
Total Pagefile: 2966.89 MB
Available Pagefile: 2811.05 MB
Total Virtual: 2047.88 MB
Available Virtual: 1975.71 MB

==================== Partitions =============================

1 Drive c: (OS) (Fixed) (Total:287.96 GB) (Free:75.29 GB) NTFS ==>[Drive with boot components (obtained from BCD)]
2 Drive d: () (Removable) (Total:1.91 GB) (Free:0.37 GB) FAT
7 Drive i: (KRD10) (CDROM) (Total:0.28 GB) (Free:0 GB) CDFS
8 Drive x: (RECOVERY) (Fixed) (Total:10 GB) (Free:6.15 GB) NTFS

Datentr ### Status GrӇe Frei Dyn GPT
-------- ---------- ------- ------- --- ---
0 Online 298 GB 93 KB
1 Online 1960 MB 0 B
2 Kein Mediu 0 B 0 B
3 Kein Mediu 0 B 0 B
4 Kein Mediu 0 B 0 B
5 Kein Mediu 0 B 0 B



Last Boot: 2013-02-20 11:16

==================== End Of Log ============================

Hi,

Der erste Schritt sollte die Sperrung aufheben. Danach die weiteren Schritte im normalen Modus abarbeiten:


Schritt 1

Drücke auf einem Zweitrechner bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument:
Speichere dieses dann bitte unter dem Dateinamen Fixlist.txt auf deinen USB Stick neben FRST.

• Schliesse den USB Stick wieder an den infizierten Rechner an.
• Starte deinen Rechner erneut in die Reparaturoptionen.
• Starte nun wiederum FRST, aber klicke dieses Mal auf den Fix Button.

Das Tool erstellt eine Datei Fixlog.txt auf deinem USB Stick. Poste deren Inhalt bitte hier.



Ab hier wieder im normalen Modus:

Schritt 2

Downloade dir bitte defogger (von jpshortstuff) auf deinen Desktop.

• Starte das Tool mit Doppelklick.
• Klicke nun auf den Disable Button.
• Bestätige diese Sicherheitsabfrage mit Ja.
• Wenn der Scan beendet wurde (Finished), klicke auf OK.
• Falls Defogger zu einem Neustart auffordert, bestätige dies mit OK.
• Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt.
• Nur falls Probleme aufgetreten sind, poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!



Schritt 3

Lade dir Gmer herunter (auf den Button Download EXE drücken) und speichere das Programm auf den Desktop.

• Deaktiviere alle Antivirenprogramme und Malware/Spyware Scanner.
• Trenne alle bestehenden Verbindungen zu einem Netzwerk/Internet (WLAN nicht vergessen).
• Schliesse bitte alle anderen Programme.
• Starte gmer.exe (die Datei hat einen zufälligen Dateinamen).
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Sollte sich ein Fenster mit folgender Warnung öffnen

  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?

  dann klicke unbedingt auf No.
• Entferne rechts den Haken bei:
  • IAT/EAT
  • Show all
• Setze rechts den Haken bei deiner Systempartition (normalerweise C:\).
• Starte den Scan mit einem Klick auf Scan.
• Mache gar nichts am Computer, während der Scan läuft!
• Wenn der Scan fertig ist, klicke auf Save und speichere das Logfile unter Gmer.txt auf deinen Desktop.
• Schliesse dann GMER und führe unmittelbar einen Neustart des Computers durch.
• Füge bitte den Inhalt des Logfiles hier in deine Thread ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor du ins Netz gehst.



Schritt 4

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

• Doppelklick auf die OTL.exe.
• Unter Extra Registry, wähle bitte Use SafeList.
• Setze den Haken bei Scan all Users.
• Klicke nun auf Run Scan.
• Wenn der Scan beendet ist, werden 2 Logfiles (OTL.txt und Extras.txt) erstellt.
• Poste den Inhalt dieser Logfiles hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Fixlog von FRST
• Log von Gmer
• Logs von OTL

Hallo Leo,
leider komme ich nicht über den Scan mit Gmer.exe hinaus, das Programm stürzt immer wieder beim scan von \Device\HarddiskVolumeShadowCopy1(oder 2 oder 3) ab.

Hier erst einmal der Fixlog von frst:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 17-02-2013 01
Ran by SYSTEM at 2013-02-20 13:12:43 Run:1
Running from D:\

==============================================

HKEY_USERS\Stefan\Software\Microsoft\Windows NT\CurrentVersion\Windows\\Load Value not found.
HKEY_USERS\Stefan\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Userinit Value deleted successfully.
HKEY_USERS\Stefan\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell Value deleted successfully.
C:\Users\Stefan\LOCALS~1\Temp\msdrcn.cmd moved successfully.
C:\Users\Stefan\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\ja.lnk moved successfully.
C:\Users\Stefan\AppData\Roaming\1.exe moved successfully.

==== End of Fixlog ====

Hallo,

Dann nimm vor dem Scan auf der rechten Seite zusätzlich noch den Haken bei Devices raus und versuchs nochmals.

Nur den bei devices oder auch bei IAT/EAT?

Zusätzlich bei devices. Also alles genau so machen wie in der obigen Anleitung (inkl. Haken rausnehmen bei IAT/EAT) und dann ebenfalls noch Haken raus bei devices.

Guten Morgen Leo,
hier der Gmer-Log, der Scan ist fast 20 Stunden gelaufen...

GMER Logfile:
--- --- ---

Ach Mist,
ich seh jetzt erst dass man die Logs als Archive anhängen soll, also hier nochmal alle drei fehlenden Logs

Gruß
Stefan

Hallo Stefan,

Nein, das erschwert mir das Auswerten. Wo hast du das denn gelesen? :)
Die Logfiles bitte nicht anhängen, sondern deren Inhalt direkt innerhalb von Codetags einfügen: [code]Inhalt Logfile[/code].

Wir machen weiter:


Schritt 1

Downloade dir bitte AdwCleaner und speichere es auf deinen Desktop.

• Schliesse alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet, je nach Schwere der Infektion auch mehrmals - das ist normal. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Schritt 2

Warnung für Mitleser:
Combofix sollte nur dann ausgeführt werden, wenn dies explizit von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link.

• WICHTIG: Speichere Combofix auf deinen Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Während Combofix läuft, bitte gar nichts am Computer arbeiten, auch nicht die Maus bewegen!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen (C:\Combofix.txt).
• Bitte poste den Inhalt dieses Logfiles in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
starte den Rechner einfach neu. Dies sollte das Problem beheben.



Schritt 3

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von AdwCleaner
• Log von Combofix
• Log von OTL

Hallo Leo,
hier nun die nächsten Logs, zuerst vom ADWCleaner:

AdwCleaner Logfile:
--- --- ---


und weiter mit Combofix:

Combofix Logfile:
--- --- ---

und zuletzt OTL

OTL Logfile:
--- --- ---

und zuletzt OTL

OTL Logfile:
--- --- ---

Hallo Stefan,

wie läuft der Rechner jetzt?


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\_OTL\MovedFiles\<date_time>.log)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Downloade dir bitte Malwarebytes Anti-Malware.

• Installiere das Programm in den vorgegebenen Pfad.
• Starte nun Malwarebytes Anti-Malware.
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Klicke auf Aktualisierung --> Suche nach Aktualisierung.
• Wenn das Update beendet wurde, aktiviere im Reiter Suchlauf die Option Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan fertig ist, klicke auf Ergebnisse anzeigen.
• Versichere dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter dem Reiter Logdateien finden.

Schritt 3

Lade das Setup des ESET Online Scanners herunter und speichere es auf den Desktop.

• Schliesse evtl. vorhandene externe Festplatten und USB-Sticks an den Rechner an.
• Deaktiviere jetzt temporär für diesen Scan dein Antivirenprogramm und die Firewall.
  (Danach nicht vergessen, sie wieder einzuschalten.)
• Starte nun die heruntergeladene esetsmartinstaller_enu.exe.
• Setze den Haken bei Yes, I accept the Terms of Use und drücke Start.
• Warte bis die Komponenten heruntergeladen sind.
• Setze den Haken bei Scan archives.
• Gehe sicher, dass bei Remove found Threats kein Haken gesetzt ist.
• Drücke dann auf Start.
• Die Signaturen werden heruntergeladen und der Scan startet automatisch.
  Hinweis: Dieser Scan kann unter Umständen ziemlich lange dauern!
• Falls nach Beendigung des Scans Funde angezeigt werden, dann:
  • Drücke auf List of found threats.
  • Klicke dann auf Export to text file... und speichere die Textdatei als ESET.txt auf den Desktop.
  • Drücke danach auf << Back.
• Schliesse nun den Scanner mit einem Klick auf Finish.

Poste bitte den Inhalt der ESET.txt oder teile mir mit, wenn es keine Funde gegeben hat.



Schritt 4

Downloade dir bitte SecurityCheck (Link 1, Link 2).

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Fixlog von OTL
• Log von MBAM
• Log von ESET
• Log von SecurityCheck

Hallo Leo,
der Rechner läuft bisher unauffällig.

Ok soweit, noch ESET und SecurityCheck und dann geht's weiter.

So, es geht weiter. ESET hat nichts gefunden, hier ist das LOG von Security Check:

Hallo Stefan,

ok, dann sieht das Ganze jetzt wieder besser aus.
Wirf noch alle veraltete Software runter, das sind die Einfallstore für Malware.
Danach räumen wir auf.





Schritt 1

• Gehe zu Start --> Systemsteuerung und öffne Programme und Funktionen.
• Suche und deinstalliere dort der Reihe nach folgende Einträge:
  • Mozilla Firefox (3.6.28)
  • Java(TM) 6 Update 31
  • Java 7 Update 9
  • Java(TM) SE Runtime Environment 6
  • Adobe Reader X (10.1.0) - Deutsch
• Schliesse das Fenster wieder und führe einen Neustart durch, wenn das gefordert wurde.

Schritt 2

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können.

Die aktuelle Version ist Java 7 Update 15.

In wenigen Fällen wird Java wirklich benötigt. Auch werden immer wieder neue, noch nicht geschlossene Sicherheitslücken ausgenutzt.
Überleg dir also, ob du eine Java-Installation wirklich brauchst.
Falls du Java weiterhin verwenden möchtest, dann:

• Lade dir die neueste Java-Version herunter.
• Schliesse alle laufenden Programme, speziell den Browser.
• Starte die heruntergeladene jxpiinstall.exe und folge den Anweisungen.
• Entferne während der Installation den Haken bei "Installieren Sie die Ask-Toolbar ...".

Schritt 2

Die Version deines Adobe PDF Readers ist veraltet, wir müssen ihn updaten:

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Schritt 3

Dein Flashplayer ist veraltet. Installiere folgendermassen die aktuelle Version:

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Überprüfe dann mit diesem Plugin-Check, ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls.



Schritt 4

Wenn du den Mozilla Firefox weiterhin verwenden möchtest, dann downloade und installiere die neuste Version.



Schritt 5

Starte defogger und drücke den Button Re-enable.



Schritt 6

Bitte deaktiviere jetzt temporär das Antiviren-Programm, evtl. vorhandenes Skript-Blocking und Antimalware-Programme.

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere folgenden Text in das Ausführen Fenster
und drücke OK.
Du kannst die eben deaktivierten Programme nun wieder einschalten.



Schritt 7

Den ESET Online Scanner kannst du behalten, um ab und zu für eine Zweitmeinung dein System damit zu scannen.
Falls du ESET aber deinstallieren möchtest, dann:

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere folgenden Text in das Ausführen Fenster
und drücke OK.



Schritt 8

Downloade dir bitte delfix auf deinen Desktop.

• Schliesse alle offenen Programme.
• Starte die delfix.exe mit einem Doppelklick.
• Klicke auf Start.
• DelFix entfernt alle von uns verwendeten Programme und löscht sich anschliessend selbst.
  Sollte denoch etwas übrig bleiben, kannst du es manuell löschen.

>> OK <<
Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc

Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst.

Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann.




Epilog: Tipps, Dos & Don'ts





Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen.
Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Guten Morgen Leo,
Tausend Dank für deine Hilfe, ohne die ich komplett aufgeschmissen gewesen wäre.
Der Rechner läuft stabil, lediglich ComboFix ließ sich nicht wie beschrieben deinstallieren, das hat dann aber offensichtlich delfix mit übernommen.
Ich hoffe auch dass wir uns hier nicht so schnell wiedersehen, aber zumindest weiß ich nun für alle Fälle wo ich Hilfe bekommen kann.
Gern habe ich euch eine kleine Spende zukommen lassen, das Geld war gut angelegt.

Nochmals vielen Dank!!!

Gruß
Stefan

Hallo Stefan,

wenn die Deinstallation von Combofix nicht direkt geklappt hat, dann wiederhole nochmals delfix, aber hake dieses Mal alle verfügbaren Funktionen an:

Downloade dir bitte delfix auf deinen Desktop.

• Schliesse alle offenen Programme.
• Starte die delfix.exe mit einem Doppelklick.
• Setze vor jede Funktion ein Häkchen.
• Klicke auf Start.
• DelFix entfernt u.a. alle von uns verwendeten Programme und löscht sich anschliessend selbst.
  Sollte denoch etwas übrig bleiben, kannst du es manuell löschen.

Danke für die Rückmeldung und im Namen des Teams danke ich vielmals für die Spende.


Freut mich, dass wir helfen konnten. :abklatsch:

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.