stolen.data virus system 32 xmldm kann nicht entfernt werden
 

hallo zusammen,

ich habe mir den stolen.data virus zugezogen und habe mehrmals mit malewarebytes versucht ihn wieder vom system zu entfernen. leider erfolglos! beim neustart ist er wieder da und manchmal bis zu 65 mal.

ich habe dann versucht ihn mittels combofix zu entfernen und habe folgende log-datei bekommen:

ComboFix 13-03-21.02 - Buero 22.03.2013 23:50:19.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.3071.2382 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Buero\Eigene Dateien\Downloads\ComboFix.exe
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\dokumente und einstellungen\All Users\Anwendungsdaten\AMMYY
c:\dokumente und einstellungen\All Users\Anwendungsdaten\AMMYY\hr
c:\dokumente und einstellungen\All Users\Anwendungsdaten\AMMYY\hr3
c:\dokumente und einstellungen\All Users\Anwendungsdaten\AMMYY\settings3.bin
c:\dokumente und einstellungen\Buero\WINDOWS
c:\dokumente und einstellungen\Buero\WINDOWS\win.ini
c:\windows\IsUn0407.exe
c:\windows\system32\appconf32.exe
c:\windows\system32\kock
c:\windows\system32\muzapp.exe
c:\windows\system32\NEW15.tmp
c:\windows\system32\NEWF.tmp
c:\windows\system32\SET244.tmp
c:\windows\system32\SET248.tmp
c:\windows\system32\SET250.tmp
c:\windows\system32\System32\MASetupCleaner.exe
c:\windows\system32\System32\muzapp.exe
c:\windows\system32\Temp
c:\windows\system32\UAs
c:\windows\system32\UAs\iexplore.exe_UAs001.dat
c:\windows\system32\UAs\iexplore.exe_UAs002.dat
c:\windows\system32\UAs\IEXPLORE.EXE_UAs003.dat
c:\windows\system32\URTTemp
c:\windows\system32\URTTemp\regtlib.exe
c:\windows\system32\xmldm
c:\windows\unin0407.exe
E:\install.exe
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Legacy_UVNC_SERVICE
-------\Service_uvnc_service
.
.
((((((((((((((((((((((( Dateien erstellt von 2013-02-22 bis 2013-03-22 ))))))))))))))))))))))))))))))
.
.
2013-03-22 21:59 . 2013-03-22 21:59 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Panda Security
2013-03-22 21:59 . 2013-03-22 21:59 -------- d-----w- c:\programme\Panda USB Vaccine
2013-02-27 11:49 . 2013-03-13 10:50 16486616 ----a-w- c:\windows\system32\FlashPlayerInstaller.exe
2013-02-25 05:21 . 2013-02-25 05:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\McAfee Security Scan
2013-02-25 05:21 . 2013-03-04 10:35 -------- d-----w- c:\programme\McAfee Security Scan
2013-02-25 05:21 . 2013-02-25 05:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\McAfee
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-03-13 10:50 . 2012-08-05 11:33 693976 ----a-w- c:\windows\system32\FlashPlayerApp.exe
2013-03-13 10:50 . 2012-01-07 19:07 73432 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2013-01-26 03:55 . 2006-02-28 12:00 552448 ----a-w- c:\windows\system32\oleaut32.dll
2013-01-07 07:24 . 2006-02-28 12:00 2151424 ----a-w- c:\windows\system32\ntoskrnl.exe
2013-01-07 07:24 . 2004-08-04 00:50 2030080 ----a-w- c:\windows\system32\ntkrnlpa.exe
2013-01-04 10:09 . 2006-02-28 12:00 1867392 ----a-w- c:\windows\system32\win32k.sys
2013-01-02 06:49 . 2006-02-28 12:00 148992 ----a-w- c:\windows\system32\mpg2splt.ax
2013-01-02 06:49 . 2006-02-28 12:00 1297920 ----a-w- c:\windows\system32\quartz.dll
2012-12-27 10:24 . 2012-04-20 19:29 81920 ----a-w- c:\windows\system32\ieencode.dll
2012-12-27 10:24 . 2006-02-28 12:00 672768 ----a-w- c:\windows\system32\wininet.dll
2012-12-27 10:24 . 2006-02-28 12:00 61952 ----a-w- c:\windows\system32\tdc.ocx
2012-12-27 10:23 . 2006-02-28 12:00 371200 ----a-w- c:\windows\system32\html.iec
2012-06-17 17:35 . 2011-04-30 03:25 85472 ----a-w- c:\programme\mozilla firefox\components\browsercomps.dll
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ClamWin"="c:\programme\ClamWin\bin\ClamTray.exe" [2012-06-27 86016]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2011-04-07 111208]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2011-04-07 13891176]
"PaperPort PTD"="c:\programme\Scansoft\PaperPort\pptd40nt.exe" [2002-08-08 45108]
"IndexSearch"="c:\programme\Scansoft\PaperPort\IndexSearch.exe" [2002-08-08 36864]
"SetDefPrt"="c:\programme\Brother\Brmfl03a\BrStDvPt.exe" [2003-10-30 45056]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-03 946352]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2008-04-14 110592]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\Buero\Startmenü\Programme\Autostart\
Serviio.lnk - c:\programme\Serviio\bin\ServiioConsole.exe [2012-1-31 599552]
.
c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\
McAfee Security Scan Plus.lnk - c:\programme\McAfee Security Scan\3.0.318\SSScheduler.exe [2013-2-5 272248]
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe ARM]
2012-12-03 07:35 946352 ----a-w- c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2012-12-18 14:28 38112 ----a-w- c:\programme\Adobe\Reader 10.0\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HDAudDeck]
2010-05-24 09:10 33747360 ----a-r- c:\programme\VIA\VIAudioi\HDADeck\HDeck.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"nvsvc"=2 (0x2)
"JavaQuickStarterService"=2 (0x2)
"FLEXnet Licensing Service"=3 (0x3)
.
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\UltraVNC\\winvnc.exe"=
"c:\\Programme\\UltraVNC\\vncviewer.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\hasplms.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
"c:\\Dokumente und Einstellungen\\Buero\\Eigene Dateien\\Command & Conquer Generals\\game.dat"=
"c:\\Dokumente und Einstellungen\\Buero\\Eigene Dateien\\Downloads\\AA_v3(1).exe"=
"c:\\WINDOWS\\system32\\javaw.exe"=
"c:\\Programme\\Serviio\\bin\\ServiioService.exe"=
"c:\\Programme\\Serviio\\bin\\ServiioConsole.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"5900:TCP"= 5900:TCP:vnc5900
"5800:TCP"= 5800:TCP:vnc5800
.
R2 hasplms;Sentinel HASP License Manager;c:\windows\system32\hasplms.exe -run --> c:\windows\system32\hasplms.exe -run [?]
R2 Serviio;Serviio;c:\programme\Serviio\bin\ServiioService.exe [31.01.2012 20:03 316416]
R3 VIAHdAudAddService;VIA High Definition Audio Driver Service;c:\windows\system32\drivers\viahduaa.sys [03.05.2011 16:06 2136224]
S3 brfilt;Brother MFC-Filtertreiber;c:\windows\system32\drivers\BrFilt.sys [17.05.2012 17:42 2944]
S3 BrSerWDM;Brother WDM-Treiber (seriell);c:\windows\system32\drivers\BrSerWdm.sys [17.05.2012 17:42 61952]
S3 BrUsbMdm;Brother MFC-nur-Fax-Modem (USB);c:\windows\system32\drivers\BrUsbMdm.sys [17.05.2012 17:42 11008]
S3 BrUsbScn;Brother MFC-Scannertreiber (USB);c:\windows\system32\drivers\BrUsbScn.sys [17.05.2012 17:42 10368]
S3 CBUSB;MARX CryptoTech LP;c:\windows\system32\drivers\CBUSB.sys [07.03.2012 21:03 45136]
S3 dgderdrv;dgderdrv;c:\windows\system32\drivers\dgderdrv.sys --> c:\windows\system32\drivers\dgderdrv.sys [?]
S3 McComponentHostService;McAfee Security Scan Component Host Service;c:\programme\McAfee Security Scan\3.0.318\McCHSvc.exe [05.02.2013 16:48 235216]
S3 ssadbus;SAMSUNG Android USB Composite Device driver (WDM);c:\windows\system32\drivers\ssadbus.sys [31.07.2012 21:58 121064]
S3 ssadmdfl;SAMSUNG Android USB Modem (Filter);c:\windows\system32\drivers\ssadmdfl.sys [31.07.2012 21:58 12776]
S3 ssadmdm;SAMSUNG Android USB Modem Drivers;c:\windows\system32\drivers\ssadmdm.sys [31.07.2012 21:58 136808]
S3 usbUDisc;usbUDisc;c:\windows\system32\drivers\USBDrv.sys [29.09.2012 15:37 13824]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
Inhalt des "geplante Tasks" Ordners
.
2013-03-22 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-08-05 10:50]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://web.fx-n.de/egroupware/index.php?menuaction=felamimail.uifelamimail.viewMainScreen
uInternet Settings,ProxyOverride = <local>
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\dokumente und einstellungen\Buero\Anwendungsdaten\Mozilla\Firefox\Profiles\1uas01h6.default\
FF - prefs.js: browser.search.selectedEngine - Search the web (Babylon)
FF - prefs.js: browser.startup.homepage - hxxp://web.fx-n.de/egroupware/index.php?menuaction=felamimail.uifelamimail.viewMainScreen|hxxp://www.slatedroid.com/topic/36988-cx-01-cortex-a5/
FF - ExtSQL: !HIDDEN! 2012-10-31 15:05; {33044118-6597-4D2F-ABEA-7974BB185379}; c:\windows\system32\13001.070
FF - user.js: extensions.BabylonToolbar_i.babTrack - affID=17425&tl=gbn193027&tt=3912_8
FF - user.js: extensions.BabylonToolbar_i.babExt -
FF - user.js: extensions.BabylonToolbar_i.srcExt - def
FF - user.js: extensions.BabylonToolbar.tlbrSrchUrl - hxxp://search.babylon.com/?babsrc=TB_def&mntrId=685a2cfc000000000000f46d04d6f0e0&q=
FF - user.js: extensions.BabylonToolbar.id - 685a2cfc000000000000f46d04d6f0e0
FF - user.js: extensions.BabylonToolbar.appId - {BDB69379-802F-4eaf-B541-F8DE92DD98DB}
FF - user.js: extensions.BabylonToolbar.instlDay - 15612
FF - user.js: extensions.BabylonToolbar.vrsn - 1.6.9.12
FF - user.js: extensions.BabylonToolbar.vrsni - 1.6.9.12
FF - user.js: extensions.BabylonToolbar_i.vrsnTs - 1.6.9.1216:35
FF - user.js: extensions.BabylonToolbar.prtnrId - babylon
FF - user.js: extensions.BabylonToolbar.prdct - BabylonToolbar
FF - user.js: extensions.BabylonToolbar.aflt - babclient
FF - user.js: extensions.BabylonToolbar_i.smplGrp - none
FF - user.js: extensions.BabylonToolbar.tlbrId - base
FF - user.js: extensions.BabylonToolbar.instlRef - std
FF - user.js: extensions.BabylonToolbar.dfltLng - en
FF - user.js: extensions.BabylonToolbar.excTlbr - false
FF - user.js: extensions.BabylonToolbar.admin - false
.
.
------- Dateityp-Verknüpfung -------
.
.scr=Ecotect Script
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKCU-Run-Akamai NetSession Interface - c:\dokumente und einstellungen\Buero\Lokale Einstellungen\Anwendungsdaten\Akamai\netsession_win.exe
HKCU-Run-KiesPreload - c:\programme\Samsung\Kies\Kies.exe
HKCU-Run-6DFCC24E77E92BF0C5912C147D2AFE61DEFE186B._service_run - c:\dokumente und einstellungen\Buero\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
AddRemove-01_Simmental - c:\programme\Samsung\USB Drivers\01_Simmental\Uninstall.exe
AddRemove-02_Siberian - c:\programme\Samsung\USB Drivers\02_Siberian\Uninstall.exe
AddRemove-03_Swallowtail - c:\programme\Samsung\USB Drivers\03_Swallowtail\Uninstall.exe
AddRemove-04_semseyite - c:\programme\Samsung\USB Drivers\04_semseyite\Uninstall.exe
AddRemove-05_Sloan - c:\programme\Samsung\USB Drivers\05_Sloan\Uninstall.exe
AddRemove-06_Spencer - c:\programme\Samsung\USB Drivers\06_Spencer\Uninstall.exe
AddRemove-07_Schorl - c:\programme\Samsung\USB Drivers\07_Schorl\Uninstall.exe
AddRemove-08_EMPChipset - c:\programme\Samsung\USB Drivers\08_EMPChipset\Uninstall.exe
AddRemove-09_Hsp - c:\programme\Samsung\USB Drivers\09_Hsp\Uninstall.exe
AddRemove-11_HSP_Plus_Default - c:\programme\Samsung\USB Drivers\11_HSP_Plus_Default\Uninstall.exe
AddRemove-16_Shrewsbury - c:\programme\Samsung\USB Drivers\16_Shrewsbury\Uninstall.exe
AddRemove-17_EMP_Chipset2 - c:\programme\Samsung\USB Drivers\17_EMP_Chipset2\Uninstall.exe
AddRemove-18_Zinia_Serial_Driver - c:\programme\Samsung\USB Drivers\18_Zinia_Serial_Driver\Uninstall.exe
AddRemove-19_VIA_driver - c:\programme\Samsung\USB Drivers\19_VIA_driver\Uninstall.exe
AddRemove-20_NXP_Driver - c:\programme\Samsung\USB Drivers\20_NXP_Driver\Uninstall.exe
AddRemove-21_Searsburg - c:\programme\Samsung\USB Drivers\21_Searsburg\Uninstall.exe
AddRemove-22_WiBro_WiMAX - c:\programme\Samsung\USB Drivers\22_WiBro_WiMAX\Uninstall.exe
AddRemove-24_flashusbdriver - c:\programme\Samsung\USB Drivers\24_flashusbdriver\Uninstall.exe
AddRemove-25_escape - c:\programme\Samsung\USB Drivers\25_escape\Uninstall.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2013-03-22 23:57
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_USERS\S-1-5-21-2052111302-879983540-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:b3,25,87,e6,0b,62,4a,71,71,dc,98,7a,ec,15,9c,ec,24,65,67,2d,16,
15,b2,9f,94,82,37,a3,67,a3,93,53,7c,ef,18,81,3a,57,3b,65,61,28,d7,e4,3b,c0,\
"rkeysecu"=hex:7d,2c,86,b5,27,c7,31,80,9c,20,3f,4e,8e,71,13,c0
.
[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040C10900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'explorer.exe'(3840)
c:\windows\system32\AcSignIcon.dll
c:\programme\Gemeinsame Dateien\Autodesk Shared\AcSignCore16.dll
c:\windows\system32\msi.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\Brmfrmps.exe
c:\windows\system32\hasplms.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\RUNDLL32.EXE
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2013-03-22 23:59:57 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2013-03-22 22:59
.
Vor Suchlauf: 15 Verzeichnis(se), 90.338.320.384 Bytes frei
Nach Suchlauf: 16 Verzeichnis(se), 90.920.116.224 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 7A557C87F71E73677E0D7BCCA3CEAD70

kann mir bitte jemand helfen, ich bin echt verzweifelt und total überfordert.
mit zünftigem Gruß,
bernd

Hallo Bernd,

Das stolen.data ist kein Virus an sich, in dem Ordner befinden sich aber genau das, was es auch sagt: gestohlene Daten. Du hast einen Infostealer eingefangen, welcher bei dir mitgeloggt hat.

Davon, einfach auf eigene Faust Combofix auszuführen, raten wir ausdrücklich ab! (Und wenn man "echt verzweifelt und total überfordert" ist, wie du schreibst, dann sowieso.)

Hier sind deine ersten Schritte zur Hilfe: http://www.trojaner-board.de/69886-a...-beachten.html

Hallo Leo,

sorry, aber ich habe gerade ein brett vorm Kopf. Meinst du das "Vorgehen beim Verschlüsselungs-Trojaner", oder die 8 goldenen Regeln.

Ich dachte, ich hätte die Regeln befolgt. was meinst du bitte?

Gruß, Bernd

Hallo Bernd und :hallo:

Mein Name ist Leo und ich werde dich durch die Bereinigung deines Rechners begleiten.

Eine Bereinigung beinhaltet nebst dem Entfernen von Malware auch das Schliessen von Sicherheitslücken und sollte gründlich durchgeführt werden. Sie erfolgt deshalb in mehreren Schritten und bedeutet einigen Aufwand für dich.
Beachte: Das Verschwinden der offensichtlichen Symptome bedeutet nicht, dass das System schon sauber ist.
Arbeite daher in deinem eigenen Interesse solange mit, bis du das OK bekommst, dass alles erledigt ist.




Dann so:


Schritt 1

Downloade dir bitte defogger (von jpshortstuff) auf deinen Desktop.

• Starte das Tool mit Doppelklick.
• Klicke nun auf den Disable Button.
• Bestätige diese Sicherheitsabfrage mit Ja.
• Wenn der Scan beendet wurde (Finished), klicke auf OK.
• Falls Defogger zu einem Neustart auffordert, bestätige dies mit OK.
• Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt.
• Nur falls Probleme aufgetreten sind, poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!



Schritt 2

Lade dir Gmer herunter (auf den Button Download EXE drücken) und speichere das Programm auf den Desktop.

• Deaktiviere alle Antivirenprogramme und Malware/Spyware Scanner.
• Trenne alle bestehenden Verbindungen zu einem Netzwerk/Internet (WLAN nicht vergessen).
• Schliesse bitte alle anderen Programme.
• Starte gmer.exe (die Datei hat einen zufälligen Dateinamen).
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Sollte sich ein Fenster mit folgender Warnung öffnen

  WARNING !!!
  GMER has found system modification, which might have been caused by ROOTKIT activity.
  Do you want to fully scan your system ?

  dann klicke unbedingt auf No.
• Entferne rechts den Haken bei:
  • IAT/EAT
  • Show all
• Setze rechts den Haken bei deiner Systempartition (normalerweise C:\).
• Starte den Scan mit einem Klick auf Scan.
• Mache gar nichts am Computer, während der Scan läuft!
• Wenn der Scan fertig ist, klicke auf Save und speichere das Logfile unter Gmer.txt auf deinen Desktop.
• Schliesse dann GMER und führe unmittelbar einen Neustart des Computers durch.
• Füge bitte den Inhalt des Logfiles hier in deine Thread ein.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor du ins Netz gehst.



Schritt 3

Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.

• Starte bitte die OTL.exe.
• Kopiere nun den Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.

• Schliesse bitte nun alle anderen Programme.
• Klicke nun auf den Quick Scan Button.
• Kopiere danach den Inhalt von OTL.txt und Extras.txt hier in deinen Thread.

Bitte poste in deiner nächsten Antwort:

• Log von Gmer
• Logs von OTL

Hallo Leo,

zuerst einmal vielen Dank für deine Hilfe.

Ich habe deine Anweisungen genau befolgt.

Beim "Gmer"-durchlauf bekam ich den Hinweiß, daß ein Verzeichnis nicht gefunden werden konnte. Die Optionen waren "Abrechen, Wiederholen und Weiter". ich habe es mit wiederholen und weiter nach einigen clicks dann geschafft. Ich hoffe, daß war in deinem Sinn.

Nach dem Gmer bekam ich vom Windowsupdater die Meldung: 4 Sicherheitsupdates verfügbar.
Die will ich natürlich nicht ausführen, ohne dich vorher zu fragen.

Gmer-Log:
OTL-Log:
Extras-Log
Ich hoffe, es ist alles richtig,
bis dann, Bernd

Hallo Bernd,

weiter geht's.





Schritt 1

Downloade dir bitte AdwCleaner und speichere es auf deinen Desktop.

• Schliesse alle offenen Programme und Browser.
• Starte die adwcleaner.exe mit einem Doppelklick.
• Klicke auf Löschen.
• Bestätige jeweils mit Ok.
• Dein Rechner wird neu gestartet, je nach Schwere der Infektion auch mehrmals - das ist normal. Nach dem Neustart öffnet sich eine Textdatei.
• Poste mir den Inhalt mit deiner nächsten Antwort.
• Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.

Schritt 2

Warnung für Mitleser:
Combofix sollte nur dann ausgeführt werden, wenn dies explizit von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix.

• WICHTIG: Speichere Combofix auf deinen Desktop.
• Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören.
• Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.
• Combofix wird überprüfen, ob die Microsoft Windows Wiederherstellungskonsole installiert ist.
  Ist diese nicht installiert, erlaube Combofix diese herunter zu laden und zu installieren. Folge dazu einfach den Anweisungen und akzeptiere die Endbenutzer-Lizenz.
  Bestätige die Information, dass die Wiederherstellungskonsole installiert wurde mit Ja.
  Ist diese bereits installiert, wird Combofix mit der Malwareentfernung fortfahren.
• Während Combofix läuft, bitte gar nichts am Computer arbeiten, auch nicht die Maus bewegen!
• Wenn Combofix fertig ist, wird es ein Logfile erstellen (C:\Combofix.txt).
• Bitte poste den Inhalt dieses Logfiles in deiner nächsten Antwort.

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
starte den Rechner einfach neu. Dies sollte das Problem beheben.



Schritt 3

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Log von AdwCleaner
• Log von Combofix
• Log von OTL

Hallo Leo,

hab alles abgearbeitet. Die Ergebnisse:

AdwCleaner:
Combofix:
und OTL:
Gruß, der bernd

Hallo Bernd,

Combofix hatte den xmldm-Ordner ebenfalls gelöscht, aber er wurde gleich wieder erstellt, weil das Ding im Firefox immer noch mitläuft.. ;)
Nächster Versuch:


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\_OTL\MovedFiles\<date_time>.log)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Downloade dir bitte Malwarebytes Anti-Rootkit und speichere es auf deinen Desktop.

• Entpacke das Archiv auf deinem Desktop.
• Im neu erstellten Ordner starte bitte die mbar.exe.
• Wenn eine Warnung "Registry value AppInit_Dlls has been found, .." erscheint, drücke Nein.
• Folge dann den Anweisungen, führe das Update aus und drücke dann Scan.

Falls Funde angezeigt werden:

• Klicke auf den CleanUp Button und erlaube den Neustart.
• Während des Neustarts wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
• Nach dem Neustart starte die mbar.exe erneut und wiederhole den Scan.
• Sollte nochmals was gefunden werden, führe erneut den CleanUp-Prozess durch.

Das Tool wird im erstellten Ordner Logfiles (mbar-log-<Jahr-Monat-Tag>.txt) erzeugen. Bitte poste deren Inhalt hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers.



Schritt 3

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Fixlog von OTL
• Log von MBAR
• Log von OTL

Hallo Leo,

hier schonmal Schritt 1:

OTL FIX Log:

Schritt 2 fertig, ohne Funde! Darf ich mich schon ein wenig freuen?

Log:
und Schritt 3

OTL Log:
Gruß, der Bernd

Hallo Bernd,

Ein bisschen Freuen liegt jetzt schon drin, ja. ;)
Aber wir sollten noch weiter kontrollieren.


Schritt 1

Lade bitte folgendermassen Dateien zur Analyse hoch:

• Deaktiviere bitte temporär deinen Virenscanner.
• Suche folgenden Ordner

  C:\_OTL\MovedFiles

  und packe ihn in ein zip-Archiv (Rechtsklick darauf -> Senden an -> zip-komprimierten Ordner).
• Gehe nun zum Trojaner-Board Upload-Channel:
  1. Drücke auf Durchsuchen..., wähle das erstellte zip-File aus und klicke Öffnen.
  2. Füge den Link deines Themas im Forum in das entsprechende Feld ein.
  3. Gib deinen Benutzernamen ein.
  4. Drücke auf den Button Hochladen.
• Du kannst jetzt deinen Virenscanner wieder aktivieren.
  (bebilderte Anleitung)

Schritt 2

• Öffne das Programm Malwarebytes Anti-Malware.
  Vista und Win7 User mit Rechtsklick "als Administrator starten".
• Klicke auf Aktualisierung --> Suche nach Aktualisierung.
• Wenn das Update beendet wurde, aktiviere im Reiter Suchlauf die Option Quick-Scan durchführen und drücke auf Scannen.
• Wenn der Scan fertig ist, klicke auf Ergebnisse anzeigen.
• Versichere dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter dem Reiter Logdateien finden.

Schritt 3

Lade das Setup des ESET Online Scanners herunter und speichere es auf den Desktop.

• Schliesse evtl. vorhandene externe Festplatten und USB-Sticks an den Rechner an.
• Deaktiviere jetzt temporär für diesen Scan dein Antivirenprogramm und die Firewall.
  (Danach nicht vergessen, sie wieder einzuschalten.)
• Starte nun die heruntergeladene esetsmartinstaller_enu.exe.
• Setze den Haken bei Yes, I accept the Terms of Use und drücke Start.
• Warte bis die Komponenten heruntergeladen sind.
• Setze den Haken bei Scan archives.
• Gehe sicher, dass bei Remove found Threats kein Haken gesetzt ist.
• Drücke dann auf Start.
• Die Signaturen werden heruntergeladen und der Scan startet automatisch.
  Hinweis: Dieser Scan kann unter Umständen ziemlich lange dauern!
• Falls nach Beendigung des Scans Funde angezeigt werden, dann:
  • Drücke auf List of found threats.
  • Klicke dann auf Export to text file... und speichere die Textdatei als ESET.txt auf den Desktop.
  • Drücke danach auf << Back.
• Schliesse nun den Scanner mit einem Klick auf Finish.

Poste bitte den Inhalt der ESET.txt oder teile mir mit, wenn es keine Funde gegeben hat.



Schritt 4

Downloade dir bitte SecurityCheck (Link 1, Link 2).

• Speichere es auf dem Desktop.
• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von MBAM
• Log von ESET
• Log von SecurityCheck

Hallo Leo,

Schritt 1 und 2 erledigt.

Malwarebytes-log:
Gruß, Bernd

Danke für den Upload, Bernd.
Fehlen nur noch ESET und SecurityCheck, danach geht's weiter.

Hallo Leo,

Schritt 1 erldigt.

Schritt 2 ohne Fund.

Schritt 3 Eset hat leider einige Funde.

Log:
Schritt 4 Check-Log:
Da hab ich mich wohl zu früh gefreut...

Gruß, der bernd

P.S. Soll ich die Windows Updates machen, oder besser noch warten? Es sind 3 Sicherheitsupdates und ein Tool zum entfernen bösartiger Schadsoftware.
Hört sich für den Laien brauchbar an...

Hallo Bernd,

die meisten der ESET-Funde sind bereits in Quarantäne, oder sind nur in einem Systemwiederherstellungspunkt - wir werden beides noch löschen.
Warte mit den Windows Updates noch, bis wir hier fertig sind.
Aber zwei der Funde sind noch im System, deshalb:


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Diesen bitte zulassen.
• Nach dem Neustart findest du ein Textdokument auf deinem Desktop.
  (Auch zu finden unter C:\_OTL\MovedFiles\<date_time>.log)
• Kopiere nun dessen Inhalt hier in deinen Thread.

Schritt 2

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Bitte poste in deiner nächsten Antwort:

• Fixlog von OTL
• Log von OTL

hallo leo,

zu schritt 1:

zu schritt 2:
gruß, der bernd

Hallo Bernd,

hier nochmals ein Fix und danach (wie in Schritt 2 beschrieben) bitte noch einmal wie zuvor zwei Ordner zippen und uploaden (den Ordner neu zippen, es ist mittlerweile mehr dazu gekommen).
Malwarebytes hat da nicht alles von diesem Mistkerl erwischt. Das ist nicht gut, ich muss ihnen diese Files zur Analyse einschicken.


Schritt 1

• Starte bitte die OTL.exe.
• Kopiere nun den folgenden Inhalt aus der Codebox in die http://larusso.trojaner-board.de/Images/otlfix.jpg Textbox.
  Wichtig: Falls du deinen Benutzernamen im Log unkenntlich gemacht hast (z.B. durch ***), dann mach das hier wieder rückgängig.

• Schliesse nun bitte alle anderen Programme.
• Klicke jetzt auf den Fix Button.

Schritt 2

Lade bitte folgendermassen Dateien zur Analyse hoch:

• Deaktiviere bitte temporär deinen Virenscanner.
• Suche folgende Ordner

  C:\Qoobox
  C:\_OTL\MovedFiles

  und packe sie jeweils separat in ein zip-Archiv (Rechtsklick darauf -> Senden an -> zip-komprimierten Ordner).
• Gehe nun zum Trojaner-Board Upload-Channel:
  1. Drücke auf Durchsuchen..., wähle das erstellte zip-File aus und klicke Öffnen.
     Wiederhole das in der zweiten Zeile mit dem anderen File.
  2. Füge den Link deines Themas im Forum in das entsprechende Feld ein.
  3. Gib deinen Benutzernamen ein.
  4. Drücke auf den Button Hochladen.
• Du kannst jetzt deinen Virenscanner wieder aktivieren.
  (bebilderte Anleitung)

hallo leo,

zu schritt 1:
schritt 2 ist auch erledigt....
gruß, bernd

Hallo Bernd,

kannst du bitte den Ordner C:\_OTL\MovedFiles noch einmal neu in ein zip-Archiv packen und nochmals hochladen? (Im Upload-Channel ist nur das bereits bestehende zip davon angekommen. Aber mittlerweile ist noch mehr in diesem Ordner drin, deshalb bitte nochmals zippen. Danke.)

hallo leo,

ich hab die alte datei gelöscht den ordner nochmal gepackt und hochgeladen.
das sollte diesmal funktioniert haben.

ich mach für heute feierabend. in fünf stunden geht der wecker. ich danke dir für deine tolle hilfe. vielleich darf ich dich diese woche nochmal belästigen.

bis dann, bernd

Hallo Bernd,

dieses Mal hat alles geklappt, vielen Dank. :daumenhoc
Wir müssen im nächsten Schritt unbedingt noch dein System absichern, damit sich nicht wieder solch ungebetene Gäste einnisten können.





Schritt 1

Downloade und installiere den Internet Explorer 8.
Der Internet Explorer sollte auch dann aktuell gehalten werden, wenn er nicht zum Surfen verwendet wird.



Schritt 2

Dein Java ist nicht mehr aktuell. Ältere Versionen enthalten Sicherheitslücken, die von Malware zur Infizierung per Drive-by Download missbraucht werden können.

Die aktuelle Version ist Java 7 Update 17.

• Gehe zu

  Start --> Systemsteuerung --> Programme und Funktionen (bei Vista / Win 7)
  Start --> Systemsteuerung --> Software (bei Win XP)

  und deinstalliere alle älteren Java-Versionen.

In wenigen Fällen wird Java wirklich benötigt. Auch werden immer wieder neue, noch nicht geschlossene Sicherheitslücken ausgenutzt.
Überleg dir also, ob du eine Java-Installation wirklich brauchst.
Falls du Java weiterhin verwenden möchtest, dann:

• Lade dir die neueste Java-Version herunter.
• Schliesse alle laufenden Programme, speziell den Browser.
• Starte die heruntergeladene jxpiinstall.exe und folge den Anweisungen.
• Entferne während der Installation den Haken bei "Installieren Sie die Ask-Toolbar ...".

Schritt 3

Dein Firefox ist nicht mehr aktuell.
Starte deinen Firefox als Administrator, klicke Hilfe --> Über Firefox und führe das angebotene Update durch.
Wiederhole diesen Schritt, bis Firefox als aktuell angezeigt wird.



Schritt 4

Die Version deines Adobe PDF Readers ist veraltet, wir müssen ihn updaten:

• Deinstalliere bitte deine aktuelle Version von Adobe Reader über

  Start --> Systemsteuerung --> Software (bei Windows XP)
  Start --> Systemsteuerung --> Programme und Funktionen (bei Vista / Windows 7)

• Besuche diese Seite von Adobe.
• Entferne gegebenenfalls den Haken bei McAfee Security Scan bzw. Google Chrome.
• Drücke auf Jetzt herunterladen und installiere die neuste Version.

Überprüfe dann mit diesem Plugin-Check, ob nun alle deine verwendeten Versionen aktuell sind und update sie anderenfalls.



Schritt 5

Starte bitte die OTL.exe.

• Setze den Haken bei Scan all Users.
• Drücke auf den Quick Scan Button.
• Poste den Inhalt von OTL.txt hier in den Thread.

Schritt 6

• Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Wenn der Scan beendet wurde, sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.



Bitte poste in deiner nächsten Antwort:

• Log von OTL
• Log von SecurityCheck

Hallo Leo,

ich hab alles erledigt und den Plugin Check bestanden.

OTL-log:
Checkup-Log:
das schaut gut aus oder?

Als Wächter hab ich eigendlich den Clamwin, aber den hab ich vor dem Checkup für einen Scan geschlossen und bekam ihn ohne neustart nicht wieder zum laufen.

Gruß, der bernd

Hallo Bernd,

sehr gut. :daumenhoc
Dann bleibt jetzt nur noch das Aufräumen.
(Und vergiss die Infostealer-Warnung nicht.)


Schritt 1

Starte defogger und drücke den Button Re-enable.



Schritt 2

Bitte deaktiviere jetzt temporär das Antiviren-Programm, evtl. vorhandenes Skript-Blocking und Antimalware-Programme.

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere folgenden Text in das Ausführen Fenster
und drücke OK.
Du kannst die eben deaktivierten Programme nun wieder einschalten.



Schritt 3

Den ESET Online Scanner kannst du behalten, um ab und zu für eine Zweitmeinung dein System damit zu scannen.
Falls du ESET aber deinstallieren möchtest, dann:

Drücke bitte die http://larusso.trojaner-board.de/Images/windows.jpg + R Taste, kopiere folgenden Text in das Ausführen Fenster
und drücke OK.



Schritt 4

Downloade dir bitte delfix auf deinen Desktop.

• Schliesse alle offenen Programme.
• Starte die delfix.exe mit einem Doppelklick.
• Klicke auf Start.
• DelFix entfernt alle von uns verwendeten Programme und löscht sich anschliessend selbst.
  Sollte denoch etwas übrig bleiben, kannst du es manuell löschen.

>> OK <<
Wir sind durch, deine Logs sehen für mich im Moment sauber aus. :daumenhoc

Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst.

Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann.




Epilog: Tipps, Dos & Don'ts





Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen.
Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. ;)

Hallo Leo,

vielen Dank nochmal für deine tolle Hilfe. Ich werde deine Ratschläge gerne berücksichtigen und biete dir gerne auch meine Hilfe an, solltest du über den Hausbau und besonders über den Holzhausbau nachdenken.

Ich habe allerdings noch eine kleine Frage. Ich benutze den VPN Tunnel von Ultra VNC. dieser startete vor unserer Wurmjagt immer schon beim Start, bevor man sich als Benutzer angemeldet hatte. Sodaß ich vom Wohnzimmer, oder von der Arbeit aus, den Rechner anmelden konnte.

Ich habe zwar eine Verknüpfung in den Autostart geschoben, er startet jetzt aber erst nach der Anmeldung. Kannst du mir vielleicht einen Tipp geben?

mit lieben Gruß aus dem schönen Rheinland,
Bernd

Hallo Bernd,

Der Grund ist wohl folgender: Bei dem ersten Combofix-Lauf, welchen du vorgängig durchgeführt und dessen Logfile du in deinem ersten Post eingefügt hast, wurde ein Dienst von Ultra VNC gelöscht:
Es wäre deshalb am einfachsten, wenn du das Programm deinstallierst und dann wieder neu installierst, dann funktioniert wieder alles wie zuvor.



Freut mich, dass wir helfen konnten. :abklatsch:

Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten.
Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter.

Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.