Trojaner-Board - GVU/ BKA Trojaner ( einer der neusten )

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - GVU/ BKA Trojaner ( einer der neusten ) (https://www.trojaner-board.de/132512-gvu-bka-trojaner-neusten.html)

GVU/ BKA Trojaner ( einer der neusten )

Hallo Trojaner Bord Forum!

Ich habe mich wie viele hier im Forum mit dem GVU Trojaner angesteckt. :headbang:
Andere Themen konnten mir bis jetzt nicht weiter helfen, da dort die meisten wenigstens in den abgesicherten Modus kamen, und dann mithilfe 'mcconfig' oder 'regedit' diesen beseitigen konnten.

Bei mir ist der Fall, das ich NICHTS von diesen machen kann. Denn sobald ich den Abgesicherten Modus öffne, fährt der PC automatisch runter, startet neu und meldet sich ganz normal wieder an.. & es geht wieder von vorne los... :killpc:

Ich brauche meine Daten / Musikdatein UNBEDINGT wieder! ich muss da einmal dran kommen, um mir alles zu sichern.

Danke schonmal im Vorraus ( sitze am Pc meines Bruders... )

EDIT: Eins hab ich noch vergessen Windows 7 ist das Betriebssystem.
Sry ryder :)

Grüße

Und verrätst du uns vielleicht auch dein Betriebssystem oder müssen wir das raten?

Bitte keine Beiträge nachträglich ändern.

:hallo:

Ich werde dir bei deinem Problem helfen. Eine Bereinigung ist mitunter mit viel Arbeit für Dich (und mich) verbunden. Bevor es los geht, habe ich etwas Lesestoff für dich.

Bitte Lesen:
Regeln für die Bereinigung
Damit die Bereinigung funktioniert bitte ich dich, die folgenden Punkte aufmerksam zu lesen:

Bitte arbeite alle Schritte der Reihe nach ab. Gib mir bitte zu jedem Schritt Rückmeldung (Logfile oder Antwort) und zwar gesammelt, wenn du alles erledigt hast, in einer Antwort.
Nur Scanns durchführen zu denen Du aufgefordert wirst.
Bitte kein Crossposting (posten in mehreren Foren).
Installiere oder Deinstalliere während der Bereinigung keine Software, ausser Du wurdest dazu aufgefordert.
Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
Poste die Logfiles direkt in deinen Thread (möglichst in Code-Tags - #-Symbol im Editor anklicken). Nicht anhängen oder zippen, außer ich fordere Dich dazu auf, oder das Logfile wäre zu gross. Erschwert mir nämlich das Auswerten.
Mache deinen Namen nur dann unkenntlich, wenn es unbedingt sein muss.
Beim ersten Anzeichen illegal genutzer Software (Cracks, Patches und Co) wird der Support ohne Diskussion eingestellt.
Sollte ich nicht nach 3 Tagen geantwortet haben, dann (und nur dann) schicke mir bitte eine PM.
Ich werde dir ganz deutlich mitteilen, dass du "sauber" bist. Bis dahin arbeite bitte gut mit.
Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.

Gelesen und verstanden?

Scan mit Farbar's Recovery Scan Tool

Downloade dir bitte die passende Version des Tools (im Zweifel beide) und speichere diese auf einen USB Stick:
Farbar Recovery Scan Tool 32-Bit-Version
Farbar Recovery Scan Tool 64-Bit-Version

Scanne jetzt nach der bebilderten Anleitung oder verwende die folgende Kurzanleitung:

Schließe den USB Stick an das infizierte System an und boote das System in die System Reparatur Option.

Über den Boot Manager
Starte den Rechner neu auf.

Während dem Hochfahren drücke mehrmals die F8 Taste

Wähle nun Computer reparieren.

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Mit Windows CD/DVD
Lege die Windows CD in dein Laufwerk.

Starte den Rechner neu auf und starte von der CD

Wähle die Spracheinstellungen und klicke "Weiter".

Klicke auf Computerreparaturoptionen !!

Wähle dein Betriebssystem und Benutzerkonto und klicke jeweils "Weiter".

Wähle in den Reparaturoptionen Eingabeaufforderung
Gib nun bitte notepad ein und drücke Enter.

Im öffnenden Textdokument: Datei > Speichern unter... und wähle Computer
Hier wird dir der Laufwerksbuchstabe deines USB Sticks angezeigt.

Schließe Notepad wieder

Gib nun bitte folgenden Befehl ein.
e:\frst.exe bzw. e:\frst64.exe
Hinweis: e steht für den Laufwerksbuchstaben deines USB Sticks. Gegebenfalls anpassen.

Akzeptiere den Disclaimer mit Yes und klicke Scan

Das Tool erstellt eine FRST.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Ich würde gerne das sehen, was Sie hier sehen...
ich seh nur Pfade,und Pfade.. und Pfade.. Pfade..

Code:

Scan result of Farbar Recovery Scan Tool (FRST) (x86) Version: 13-03-2013 (ATTENTION: FRST version is 7 days old)

Ran by SYSTEM at 20-03-2013 18:24:14

Running from I:\

Windows 7 Ultimate   (X86) OS Language: English(US) 

The current controlset is ControlSet001
 

==================== Registry (Whitelisted) ===================
 

HKLM\...\Run: [VX3000] C:\Windows\vVX3000.exe [762736 2010-05-20] (Microsoft Corporation)

HKLM\...\Run: [LifeCam] "C:\Program Files\Microsoft LifeCam\LifeExp.exe" [119152 2010-05-20] (Microsoft Corporation)

HKLM\...\Run: [LogMeIn Hamachi Ui] "C:\Program Files\All my Programms\Hamachi\hamachi-2-ui.exe" --auto-start [2254768 2012-12-10] (LogMeIn Inc.)

HKLM\...\Run: [Adobe ARM] "C:\Program Files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [946352 2012-12-18] (Adobe Systems Incorporated)

HKLM\...\Run: [AVSetupPending] C:\Windows\TEMP\AVSETUP_5148ce84\SetupPending.exe [91872 2013-03-19] (Avira Operations GmbH & Co. KG)

HKU\Tom\...\Run: [Browser Infrastructure Helper] C:\Users\Tom\AppData\Local\Smartbar\Application\QuickShare.exe startup [13824 2013-02-10] (Smartbar)

HKU\Tom\...\Run: [Google Update] "C:\Users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe" /c [116648 2012-05-10] (Google Inc.)

HKU\Tom\...\Winlogon: [Shell] explorer.exe,C:\Users\Tom\AppData\Roaming\skype.dat [62976 2011-11-16] ()

HKLM\...\Winlogon: [Userinit]  [x]

HKLM\...\Winlogon: [Shell]  [x ] ()

HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0\n. ATTENTION! ====> ZeroAccess

Tcpip\..\Interfaces\{E5E5996E-959F-41F8-B479-9DE8BD135109}: [NameServer]192.168.178.1

Startup: C:\ProgramData\Start Menu\Programs\Startup\McAfee Security Scan Plus.lnk

ShortcutTarget: McAfee Security Scan Plus.lnk -> C:\Program Files\McAfee Security Scan\3.0.318\SSScheduler.exe (McAfee, Inc.)

Startup: C:\Users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OpenOffice.org 3.4.1.lnk

ShortcutTarget: OpenOffice.org 3.4.1.lnk -> C:\Program Files\All my Programms\Open Office\program\quickstart.exe ()
 

==================== Services (Whitelisted) ===================
 

2 AviraUpgradeService; "C:\Windows\TEMP\AVSETUP_5148ce84\avupgsvc.exe" /TEMPSTART:""C:\Windows\TEMP\AVSETUP_5148ce84\setup.exe" /NOTEMPCLEANUP /CROSSUPGRADE" [792800 2013-03-19] (Avira Operations GmbH & Co. KG)

3 Creative ALchemy AL6 Licensing Service; "C:\Program Files\Common Files\Creative Labs Shared\Service\AL6Licensing.exe" [79360 2012-08-21] (Creative Labs)

2 Hamachi2Svc; "C:\Program Files\All my Programms\Hamachi\hamachi-2.exe" -s [1435568 2012-12-10] (LogMeIn Inc.)

2 HerculesDJControlMP3; C:\Program Files\Hercules\Audio\DJ Console Series\HerculesDJControlMP3.EXE [17408 2007-11-21] ()

3 McComponentHostService; "C:\Program Files\McAfee Security Scan\3.0.318\McCHSvc.exe" [235216 2013-02-05] (McAfee, Inc.)

3 MozillaMaintenance; "C:\Program Files\Mozilla Maintenance Service\maintenanceservice.exe" [115760 2013-02-04] (Mozilla Foundation)
 

==================== Drivers (Whitelisted) ====================
 

3 Bulk; C:\Windows\System32\Drivers\HDJBulk.sys [127488 2009-10-02] (© Guillemot R&D, 2009. All rights reserved.)

3 hamachi; C:\Windows\System32\DRIVERS\hamachi.sys [26176 2009-03-18] (LogMeIn, Inc.)

3 HDJMidi; C:\Windows\System32\DRIVERS\HDJMidi.sys [124416 2009-10-02] (© Guillemot R&D, 2009. All rights reserved.)

3 MAYA44; C:\Windows\System32\Drivers\Maya44.sys [339744 2011-02-10] (Audiotrack)

3 pgusbmme; C:\Windows\System32\drivers\pgusbmm3.sys [44320 2011-02-10] (usb-audio.de)

3 Ph3xIB32; C:\Windows\System32\DRIVERS\Ph3xIB32.sys [1311232 2009-07-13] (NXP Semiconductors)
 

==================== NetSvcs (Whitelisted) ===================
 
 

==================== One Month Created Files and Folders ========
 

2013-03-20 18:24 - 2013-03-20 18:24 - 00000000 ____D C:\FRST

2013-03-19 13:35 - 2013-03-20 07:02 - 00000004 ____A C:\Users\Tom\AppData\Roaming\skype.ini

2013-03-19 12:44 - 2013-03-19 12:44 - 02086240 ____A C:\Users\Tom\Downloads\avira_free_antivirus.exe

2013-03-11 13:20 - 2013-03-11 13:20 - 00001989 ____A C:\Users\Public\Desktop\Adobe Reader XI.lnk

2013-03-11 13:20 - 2013-03-11 13:20 - 00000000 ____D C:\Program Files\Common Files\Adobe

2013-03-11 11:15 - 2013-03-11 13:40 - 00000687 ____A C:\Users\Tom\Desktop\New Text Document (4).txt

2013-03-11 07:02 - 2013-03-11 07:02 - 00000000 ____D C:\Users\Tom\AppData\Local\{BEEEED6F-999B-4219-9445-F63B80309BA0}

2013-03-10 13:17 - 2013-03-10 13:17 - 10691740 ____A C:\Users\Tom\Downloads\MONSTA - GONE.m4a

2013-03-06 11:28 - 2013-03-18 09:58 - 00002004 ____A C:\Users\Public\Desktop\McAfee Security Scan Plus.lnk

2013-03-06 11:28 - 2013-03-18 09:58 - 00000000 ____D C:\Program Files\McAfee Security Scan

2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee Security Scan

2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee

2013-03-06 10:40 - 2013-03-06 10:40 - 00143544 ____A C:\Windows\Minidump\030613-22453-01.dmp

2013-02-26 03:36 - 2013-02-26 03:36 - 00143544 ____A C:\Windows\Minidump\022613-22468-01.dmp

2013-02-25 09:50 - 2013-02-25 09:50 - 00143544 ____A C:\Windows\Minidump\022513-25500-01.dmp
 

==================== One Month Modified Files and Folders ========
 

2013-03-20 07:02 - 2013-03-19 13:35 - 00000004 ____A C:\Users\Tom\AppData\Roaming\skype.ini

2013-03-20 07:01 - 2012-08-04 05:47 - 00044055 ____A C:\Windows\setupact.log

2013-03-20 07:01 - 2012-05-15 11:01 - 00000000 ____D C:\Users\Tom\AppData\Local\LogMeIn Hamachi

2013-03-20 07:01 - 2009-07-13 20:53 - 00000006 ___AH C:\Windows\Tasks\SA.DAT

2013-03-20 06:59 - 2012-09-05 11:22 - 00168402 ____A C:\Windows\PFRO.log

2013-03-19 13:14 - 2012-05-10 07:54 - 00001112 ____A C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001UA.job

2013-03-19 12:44 - 2013-03-19 12:44 - 02086240 ____A C:\Users\Tom\Downloads\avira_free_antivirus.exe

2013-03-19 12:44 - 2012-09-05 12:49 - 00693976 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerApp.exe

2013-03-19 12:44 - 2012-09-05 12:49 - 00073432 ____A (Adobe Systems Incorporated) C:\Windows\System32\FlashPlayerCPLApp.cpl

2013-03-19 12:25 - 2012-05-10 04:46 - 00726142 ____A C:\Windows\System32\PerfStringBackup.INI

2013-03-19 12:25 - 2009-07-13 20:34 - 00014016 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0

2013-03-19 12:25 - 2009-07-13 20:34 - 00014016 ___AH C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0

2013-03-18 12:14 - 2012-05-10 07:54 - 00001060 ____A C:\Windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001Core.job

2013-03-18 09:58 - 2013-03-06 11:28 - 00002004 ____A C:\Users\Public\Desktop\McAfee Security Scan Plus.lnk

2013-03-18 09:58 - 2013-03-06 11:28 - 00000000 ____D C:\Program Files\McAfee Security Scan

2013-03-16 14:24 - 2012-05-09 12:56 - 01326799 ____A C:\Windows\WindowsUpdate.log

2013-03-16 14:19 - 2012-05-10 07:55 - 00002356 ____A C:\Users\Tom\Desktop\Google Chrome.lnk

2013-03-11 13:40 - 2013-03-11 11:15 - 00000687 ____A C:\Users\Tom\Desktop\New Text Document (4).txt

2013-03-11 13:23 - 2012-05-27 10:18 - 00000000 ____D C:\ProgramData\Adobe

2013-03-11 13:23 - 2012-05-27 10:05 - 00000000 ____D C:\Users\Tom\AppData\Local\Adobe

2013-03-11 13:23 - 2012-05-10 07:55 - 00000000 ____D C:\Users\Tom\AppData\Roaming\Adobe

2013-03-11 13:20 - 2013-03-11 13:20 - 00001989 ____A C:\Users\Public\Desktop\Adobe Reader XI.lnk

2013-03-11 13:20 - 2013-03-11 13:20 - 00000000 ____D C:\Program Files\Common Files\Adobe

2013-03-11 13:20 - 2012-05-27 10:18 - 00000000 ____D C:\Program Files\Adobe

2013-03-11 07:02 - 2013-03-11 07:02 - 00000000 ____D C:\Users\Tom\AppData\Local\{BEEEED6F-999B-4219-9445-F63B80309BA0}

2013-03-10 13:17 - 2013-03-10 13:17 - 10691740 ____A C:\Users\Tom\Downloads\MONSTA - GONE.m4a

2013-03-10 12:10 - 2012-05-15 10:10 - 00000000 ____D C:\Users\Tom\AppData\Roaming\TS3Client

2013-03-06 11:29 - 2012-05-15 09:54 - 00000000 ____D C:\Users\Tom\AppData\Roaming\Skype

2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee Security Scan

2013-03-06 11:28 - 2013-03-06 11:28 - 00000000 ____D C:\ProgramData\McAfee

2013-03-06 10:40 - 2013-03-06 10:40 - 00143544 ____A C:\Windows\Minidump\030613-22453-01.dmp

2013-03-06 10:40 - 2013-02-05 04:47 - 211246394 ____A C:\Windows\MEMORY.DMP

2013-03-06 10:40 - 2013-02-05 04:47 - 00000000 ____D C:\Windows\Minidump

2013-03-04 10:45 - 2009-07-13 18:37 - 00000000 ____D C:\Windows\System32\NDF

2013-02-26 03:36 - 2013-02-26 03:36 - 00143544 ____A C:\Windows\Minidump\022613-22468-01.dmp

2013-02-25 11:01 - 2012-08-03 10:51 - 00001190 ____A C:\Users\Tom\AppData\Roaming\buttrc

2013-02-25 09:50 - 2013-02-25 09:50 - 00143544 ____A C:\Windows\Minidump\022513-25500-01.dmp
 
 

ZeroAccess:

C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001\$d0cf7208ddb7bfeffdd3ba9a4846aba0
 

ZeroAccess:

C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0
 

==================== Known DLLs (Whitelisted) =================
 
 

==================== Bamital & volsnap Check =================
 

C:\Windows\explorer.exe => MD5 is legit

C:\Windows\System32\winlogon.exe => MD5 is legit

C:\Windows\System32\wininit.exe => MD5 is legit

C:\Windows\System32\svchost.exe => MD5 is legit

C:\Windows\System32\services.exe => MD5 is legit

C:\Windows\System32\User32.dll => MD5 is legit

C:\Windows\System32\userinit.exe => MD5 is legit

C:\Windows\System32\Drivers\volsnap.sys => MD5 is legit
 

==================== EXE ASSOCIATION =====================
 

HKLM\...\.exe: exefile => OK

HKLM\...\exefile\DefaultIcon: %1 => OK

HKLM\...\exefile\open\command: "%1" %* => OK
 

==================== Restore Points  =========================
 

Restore point made on: 2013-01-18 07:45:57

Restore point made on: 2013-02-02 13:11:01

Restore point made on: 2013-02-11 13:24:09

Restore point made on: 2013-02-26 11:41:10

Restore point made on: 2013-03-08 07:28:37
 

==================== Memory info =========================== 
 

Percentage of memory in use: 14%

Total physical RAM: 3070.55 MB

Available physical RAM: 2622.9 MB

Total Pagefile: 3068.83 MB

Available Pagefile: 2619.86 MB

Total Virtual: 2047.88 MB

Available Virtual: 1960.7 MB
 

==================== Partitions =============================
 

1 Drive c: () (Fixed) (Total:401.5 GB) (Free:317.97 GB) NTFS

6 Drive i: () (Removable) (Total:0.47 GB) (Free:0.38 GB) FAT32

10 Drive x: (Boot) (Fixed) (Total:0.03 GB) (Free:0.03 GB) NTFS

11 Drive y: (System Reserved) (Fixed) (Total:0.1 GB) (Free:0.07 GB) NTFS ==>[System with boot components (obtained from reading drive)]
 

  Disk ###  Status         Size     Free     Dyn  Gpt

  --------  -------------  -------  -------  ---  ---

  Disk 0    Online          465 GB      0 B         

  Disk 1    No Media           0 B      0 B         

  Disk 2    No Media           0 B      0 B         

  Disk 3    No Media           0 B      0 B         

  Disk 4    Online          489 MB      0 B         

  Disk 5    No Media           0 B      0 B         

  Disk 6    No Media           0 B      0 B         
 

Partitions of Disk 0:

===============
 

Disk ID: 84C6A371
 

  Partition ###  Type              Size     Offset

  -------------  ----------------  -------  -------

  Partition 1    Primary            100 MB  1024 KB

  Partition 2    Primary             64 GB   101 MB

  Partition 3    Primary            401 GB    64 GB
 

=========================================================
 

Disk: 0

Partition 1

Type  : 07

Hidden: No

Active: Yes
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 1     Y   System Rese  NTFS   Partition    100 MB  Healthy            
 

=========================================================
 

Disk: 0

Partition 2

Type  : 06

Hidden: No

Active: No
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 2     D                RAW    Partition     64 GB  Healthy            
 

=========================================================
 

Disk: 0

Partition 3

Type  : 07

Hidden: No

Active: No
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 3     C                NTFS   Partition    401 GB  Healthy            
 

=========================================================
 

Partitions of Disk 4:

===============
 

Disk ID: 00000000
 

  Partition ###  Type              Size     Offset

  -------------  ----------------  -------  -------

  Partition 1    Primary            488 MB    16 KB
 

=========================================================
 

Disk: 4

Partition 1

Type  : 0B

Hidden: No

Active: Yes
 

  Volume ###  Ltr  Label        Fs     Type        Size     Status     Info

  ----------  ---  -----------  -----  ----------  -------  ---------  --------

* Volume 7     I                FAT32  Removable    488 MB  Healthy            
 

=========================================================

============================== MBR Partition Table ==================
 

==============================

Partitions of Disk 0:

===============

Disk ID: 84C6A371
 

Partition 1:

=========

Hex: 8020210007DF130C0008000000200300

Active: YES

Type: 07 (NTFS)

Size: 100 MB
 

Partition 2:

=========

Hex: 00DF140C06FEFFFF0028030000200508

Active: NO

Type: 06

Size: 64 GB
 

Partition 3:

=========

Hex: 00FEFFFF07FEFFFF0048080800103032

Active: NO

Type: 07 (NTFS)

Size: 402 GB
 

==============================

Partitions of Disk 4:

===============

Disk ID: 00000000
 

Partition 1:

=========

Hex: 800101000B37E04620000000E0460F00

Active: YES

Type: 0B

Size: 489 MB
 
 

Last Boot: 2013-03-15 07:11
 

==================== End Of Log ============================

Lesestoff:
Rootkit-Warnung
Dein Computer wurde mit einem besonderen Schädling infiziert, der sich vor herkömmlichen Virenscannern und dem Betriebssystem selbst verstecken kann. Zusätzlich hat so ein Schädling meist auch Backdoor-Funktionalität, reißt also ganz bewußt Löcher durch alle Schutzmaßnahmen, damit er weiteren Schadcode nachladen oder die Daten, die er so sammelt, an die "bösen Jungs" weiterleiten kann. Was heißt das jetzt für dich?

Entscheide bitte ganz bewußt, ob du mit der Bereinigung fortfahren möchtest. Ein einmal derartig kompromittiertes System kann man niemals mit 100%iger Sicherheit wieder absichern. Auch wenn wir gute Chancen haben, deinen Computer zu bereinigen, kann es dennoch möglich sein, dass uns am Ende nur die Neuinstallation bleibt.
Wenn du mit diesem Computer beispielsweise Onlinebanking machst, dann solltest du zumindest dein Passwort von deiner Bank ändern lassen, wenn du ein ansonsten sicheres Verfahren wie beispielsweise "chip-TAN-comfort" nutzt. Hast du noch alte TAN-Bögen auf Papierbasis? Dann ist es höchste Zeit dich bei deiner Bank zu melden und notfalls das Konto temporär sperren zu lassen. Der Sperrnotruf 116 116 von www.sperr-notruf.de kann Tag und Nacht dafür benutzt werden.
Hast du ansonsten sensible Daten auf deinem Computer, dann solltest du auch darüber nachdenken, wie du damit umgehst, dass sie sich praktisch "jeder" ansehen konnte.

Teile mir also mit, wie du dich entschieden hast.

Fix mit FRST

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste und schreibe notepad in das Ausführen Fenster.

Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument

Code:

C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001 C:\$Recycle.Bin\S-1-5-18 HKLM\...D6A79037F57F\InprocServer32: [Default-fastprox] C:\$Recycle.Bin\S-1-5-18\$d0cf7208ddb7bfeffdd3ba9a4846aba0\n. ATTENTION! ====> ZeroAccess HKU\Tom\...\Winlogon: [Shell] explorer.exe,C:\Users\Tom\AppData\Roaming\skype.dat [62976 2011-11-16] () HKLM\...\Winlogon: [Userinit] [x] HKLM\...\Winlogon: [Shell] [x ] () C:\Users\Tom\AppData\Roaming\skype.dat C:\Users\Tom\AppData\Roaming\skype.ini

Speichere diese bitte als Fixlist.txt auf deinem USB Stick.
Starte deinen Rechner erneut in die Reparaturoptionen

Starte nun die FRST.exe erneut und klicke den Fix Button.

Das Tool erstellt eine Fixlog.txt auf deinem USB Stick. Poste den Inhalt bitte hier.

Ich möchte gerne auf meine Daten zugreifen, um ihn dann neu Installieren zu können, vorher aber meine Musikdatein und sonst noch was sichern.
Also befreien, sodass ich wieder Rechte habe, Daten sichern, Neu Installation.

Ich denke das fällt mit unter Abschnitt "A".

Ich mach mich dann mal an die FIX liste..

Kannst du mir evt. erklären wie du auf diesen Code kommst, oder warum und weshalb? Mich interressiert das sehr.. Es sei den es ist zu kompliziert und zu viel.. :)

Frage:

Ich denke :
* Starte deinen Rechner erneut in die Reparaturoptionen
* Starte nun die FRST.exe erneut und klicke den Fix Button.
... bezieht sich wieder auf den "verseuchten Rechner" , oder?

Code:

Fix result of Farbar Recovery Tool (FRST written by Farbar) (x86) Version: 13-03-2013

Ran by SYSTEM at 2013-03-20 20:18:13 Run:1

Running from I:\
 

==============================================
 

C:\$Recycle.Bin\S-1-5-21-2710798375-1006277451-1395522223-1001 moved successfully.

C:\$Recycle.Bin\S-1-5-18 moved successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InprocServer32\\Default value was restored successfully .

[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}] should be deleted in normal mode (if present).

HKEY_USERS\Tom\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell Value deleted successfully.

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Userinit Value was restored successfully .

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon\\Shell Value was restored successfully .

C:\Users\Tom\AppData\Roaming\skype.dat moved successfully.

C:\Users\Tom\AppData\Roaming\skype.ini moved successfully.
 

==== End of Fixlog ====

öhm noch ne Info.. : mit dem PC mit dem ich hier drin online bin ist Windows XP...

Jepp, gut soweit.

Schritt 1: (Erinnerung: Antworte mir erst, wenn du alle Schritte abgearbeitet hast!)
Wieder normal booten

Schritt 2:
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und aktzeptiere die Endbenutzer-Lizenz.
Bei heutiger Malware ist dies sehr empfehlenswert, da diese uns eine Möglichkeit bietet, dein System zu reparieren, falls etwas schief geht.
Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
Hinweis: Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es eine Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

Schritt 3:
Liste der installierten Programme (Combofix)

Bitte suche und poste mir die folgende Datei:
c:\Qoobox\Add-Remove Programs.txt

Hier der Combofix log

Code:

ComboFix 13-03-21.02 - Tom 22.03.2013  13:53:48.1.2 - x86

Microsoft Windows 7 Ultimate   6.1.7600.0.1252.49.1033.18.3071.2368 [GMT 1:00]

ausgeführt von:: c:\users\Tom\Desktop\ComboFix.exe

SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

 * Neuer Wiederherstellungspunkt wurde erstellt

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

C:\Install.exe

c:\programdata\dsgsdgdsgdsgw.pad

c:\programdata\lsass.exe

c:\users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Live Security Platinum

c:\windows\system32\tmp9FCF.tmp

c:\windows\system32\tmpA0AB.tmp

.

.

(((((((((((((((((((((((   Dateien erstellt von 2013-02-22 bis 2013-03-22  ))))))))))))))))))))))))))))))

.

.

2013-03-21 02:24 . 2013-03-21 02:24        --------        d-----w-        C:\FRST

2013-03-11 21:20 . 2013-03-11 21:20        --------        d-----w-        c:\program files\Common Files\Adobe

2013-03-06 19:28 . 2013-03-06 19:28        --------        d-----w-        c:\programdata\McAfee Security Scan

2013-03-06 19:28 . 2013-03-06 19:28        --------        d-----w-        c:\programdata\McAfee

2013-03-06 19:28 . 2013-03-18 17:58        --------        d-----w-        c:\program files\McAfee Security Scan

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-03-19 20:44 . 2012-09-05 20:49        693976        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

2013-03-19 20:44 . 2012-09-05 20:49        73432        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2013-01-11 16:34 . 2013-01-11 16:34        348160        ----a-w-        c:\windows\system32\msvcr71.dll

2013-01-11 16:34 . 2013-01-11 16:34        1700352        ----a-w-        c:\windows\system32\gdiplus.dll

2013-01-11 16:34 . 2013-01-11 16:34        1060864        ----a-w-        c:\windows\system32\mfc71.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Browser Infrastructure Helper"="c:\users\Tom\AppData\Local\Smartbar\Application\QuickShare.exe" [2013-02-10 13824]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"VX3000"="c:\windows\vVX3000.exe" [2010-05-20 762736]

"LifeCam"="c:\program files\Microsoft LifeCam\LifeExp.exe" [2010-05-20 119152]

"LogMeIn Hamachi Ui"="c:\program files\All my Programms\Hamachi\hamachi-2-ui.exe" [2012-12-10 2254768]

"Adobe ARM"="c:\program files\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-18 946352]

.

c:\users\Tom\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\

OpenOffice.org 3.4.1.lnk - c:\program files\All my Programms\Open Office\program\quickstart.exe [2012-8-13 1199104]

.

c:\programdata\Microsoft\Windows\Start Menu\Programs\Startup\

McAfee Security Scan Plus.lnk - c:\program files\McAfee Security Scan\3.0.318\SSScheduler.exe [2013-2-5 272248]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableLUA"= 0 (0x0)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]

"aux6"=wdmaud.drv

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

"FirewallOverride"=dword:00000001

.

R2 SkypeUpdate;Skype Updater;c:\program files\Skype\Updater\Updater.exe [x]

R3 Bulk;HDJBulk;c:\windows\system32\Drivers\HDJBulk.sys [x]

R3 Creative ALchemy AL6 Licensing Service;Creative ALchemy AL6 Licensing Service;c:\program files\Common Files\Creative Labs Shared\Service\AL6Licensing.exe [x]

R3 Creative Audio Engine Licensing Service;Creative Audio Engine Licensing Service;c:\program files\Common Files\Creative Labs Shared\Service\CTAELicensing.exe [x]

R3 HDJMidi;DJ Control MP3 e2 MIDI;c:\windows\system32\DRIVERS\HDJMidi.sys [x]

R3 MAYA44;usb-audio.de driver for Maya44;c:\windows\system32\Drivers\Maya44.sys [x]

R3 McComponentHostService;McAfee Security Scan Component Host Service;c:\program files\McAfee Security Scan\3.0.318\McCHSvc.exe [x]

R3 pgusbmme;usb-audio.de MME-Adapter;c:\windows\system32\drivers\pgusbmm3.sys [x]

S2 Hamachi2Svc;LogMeIn Hamachi Tunneling Engine;c:\program files\All my Programms\Hamachi\hamachi-2.exe [x]

S2 HerculesDJControlMP3;Hercules DJ Control MP3;c:\program files\Hercules\Audio\DJ Console Series\HerculesDJControlMP3.EXE [x]

S2 TeamViewer7;TeamViewer 7;c:\program files\TeamViewer\Version7\TeamViewer_Service.exe [x]

S3 Ph3xIB32;Philips 713x Inbox PCI TV Card;c:\windows\system32\DRIVERS\Ph3xIB32.sys [x]

.

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - WS2IFSL

.

Inhalt des "geplante Tasks" Ordners

.

2013-03-18 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001Core.job

- c:\users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe [2012-05-10 15:54]

.

2013-03-19 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-2710798375-1006277451-1395522223-1001UA.job

- c:\users\Tom\AppData\Local\Google\Update\GoogleUpdate.exe [2012-05-10 15:54]

.

.

------- Zusätzlicher Suchlauf -------

.

uInternet Settings,ProxyOverride = <local>

IE: {{781B39EC-2E18-41FC-9B00-B84E4FFCA85F} - c:\program files\All my Programms\ICQ7M\ICQ.exe

TCP: Interfaces\{E5E5996E-959F-41F8-B479-9DE8BD135109}: NameServer = 192.168.178.1

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

AddRemove-Uncompressor - c:\program files\Uncompressor\Uninstall\Uninstall.exe

.

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe,-101"

.

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]

"Enabled"=dword:00000001

.

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]

@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil32_11_6_602_180_ActiveX.exe"

.

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

.

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]

@Denied: (A 2) (Everyone)

@="IFlashBroker5"

.

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

.

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\Ati2evxx.exe

c:\program files\Creative\Shared Files\CTAudSvc.exe

c:\windows\system32\Ati2evxx.exe

c:\windows\system32\taskhost.exe

c:\program files\Common Files\Adobe\ARM\1.0\armsvc.exe

c:\program files\Microsoft LifeCam\MSCamS32.exe

c:\windows\system32\sppsvc.exe

c:\windows\system32\conhost.exe

c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE

c:\program files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe

c:\program files\TeamViewer\Version7\TeamViewer.exe

c:\program files\TeamViewer\Version7\tv_w32.exe

c:\windows\system32\WUDFHost.exe

c:\program files\All my Programms\Open Office\program\soffice.exe

c:\program files\All my Programms\Open Office\program\soffice.bin

c:\program files\Windows Media Player\wmpnetwk.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2013-03-22  14:03:43 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2013-03-22 13:03

.

Vor Suchlauf: 343.194.091.520 bytes free

Nach Suchlauf: 343.409.729.536 bytes free

.

- - End Of File - - F5CE84F698B910E0335BADEE09F5CC00

und die Add Remove Programm.txt
Hier eine kurze frage: Ist das richtig , das ich erst nach dem Neustart auf C: zugreifen konnte? Vorher hatte der mir gesagt, das C nicht vorhanden sei. Nach dem Neustart war aber alles wieder normal.

Code:

Adobe AIR

Adobe Flash Player 11 ActiveX

Adobe Flash Player 11 Plugin

Adobe Reader XI (11.0.02) - Deutsch

Akamai NetSession Interface

ASIO4ALL

Audacity 2.0

Beatport Downloader

butt

CCleaner

Counter-Strike: Source

Creative ALchemy

Creative MediaSource 5

Creative Software AutoUpdate

Creative Systeminformationen

D3DX10

Deckadance

FL Studio 10

GIMP 2.8.2

Google Chrome

Hercules DJ Products Series drivers

ICQ7M

IL Download Manager

IL Shared Libraries

Java Auto Updater

Java(TM) 7 Update 5

JavaFX 2.1.1

LAME v3.99.3 (for Windows)

LogMeIn Hamachi

Maya44 USB ASIO driver

McAfee Security Scan Plus

Microsoft .NET Framework 4 Client Profile

Microsoft Application Error Reporting

Microsoft Corporation

Microsoft LifeCam

Microsoft PowerPoint Viewer

Microsoft SQL Server 2005 Compact Edition [ENU]

Microsoft Visual C++ 2005 Redistributable

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30411

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161

Microsoft Visual C++ 2010  x86 Redistributable - 10.0.40219

Mozilla Maintenance Service

Mozilla Thunderbird 17.0.2 (x86 de)

MSVCRT

Need For Speed™ World

Notepad++

OpenOffice.org 3.4.1

PoP-Tools Levelmeter

QuickShare

Realtek High Definition Audio Driver

Security Update for Microsoft .NET Framework 4 Client Profile (KB2604121)

Security Update for Microsoft .NET Framework 4 Client Profile (KB2656351)

Security Update for Microsoft .NET Framework 4 Client Profile (KB2656368)

Security Update for Microsoft .NET Framework 4 Client Profile (KB2656368v2)

Security Update for Microsoft .NET Framework 4 Client Profile (KB2656405)

Security Update for Microsoft .NET Framework 4 Client Profile (KB2686827)

Skype™ 6.1

Sound Blaster Play!

Spark 2.6.3.12555

Steam

TeamSpeak 3 Client

TeamViewer 7

theHunter (remove only)

TmNationsForever

Uncompressor

Update for Microsoft .NET Framework 4 Client Profile (KB2468871)

Update for Microsoft .NET Framework 4 Client Profile (KB2533523)

Update for Microsoft .NET Framework 4 Client Profile (KB2600217)

Virtual DJ Pro Full - Atomix Productions

VLC media player 2.0.1

Windows Live Communications Platform

Windows Live Essentials

Windows Live Fotogalerie

Windows Live ID Sign-in Assistant

Windows Live Installer

Windows Live Movie Maker

Windows Live Photo Common

Windows Live Photo Gallery

Windows Live PIMT Platform

Windows Live SOXE

Windows Live SOXE Definitions

Windows Live UX Platform

Windows Live UX Platform Language Pack

WinRAR 4.11 (32-Bit)

Das kommt schon mal vor.

Bevor es weitergeht: Besteht das Problem noch?
Hast du wirklich keinen Virenscanner installiert?

Sollte ich sie den Komplett deinstallieren?
Ich dachte unter deaktivieren fällt nur "nicht anmachen"

Soll ich dann jetzt Alle virenscanner deinstallieren , und den COmbofix nochmal wiederholen?

Du hast mich missverstanden. Es SIEHT so aus als hättest du keinen Virenscanner. Ist das richtig oder nicht?

Achsooo
Doch bevor der trojaner zugeschlagen hat hatte ich avira drauf...
Aber anscheinend ist der gelöscht worden.

Als ich den pc eben neu gestartet habe hat avira sich auch gemeldet, dass es nicht mehr da ist.

Ich hab den dann erstmal weggedruckt, da ich ja alle virenscanner eh deaktivieren sollte.
Und ohne deinen Befehl mach ich nichts... :D

Dann entfernen wir erstmal die Avirareste. Deinstalliere was noch da ist und danach:

Download Avira RegistryCleaner

Dass musste mir nochmal sagen was ich genau machen muss.
es öffnet sich ein fenster mit Konfigurieren ,... Suchen

Ich drück auf suche
und alle schlüssel die der findet soll ich löschen?

Genau, das sind die Überreste, die manchmal stören.