Trojaner-Board - Weißer Bildschirm beim Laptop Hochfahren Windows 7

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Weißer Bildschirm beim Laptop Hochfahren Windows 7 (https://www.trojaner-board.de/134540-weisser-bildschirm-beim-laptop-hochfahren-windows-7-a.html)

Combofix-Skript

WARNUNG für die MITLESER:
Folgendes ComboFix Skript ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Lösche die vorhandene Combofix.exe von deinem Desktop und lade das Programm von folgenden Download-Spiegel neu herunter: Link

Speichere es erneut auf dem Desktop (nicht woanders hin, das ist wichtig)!

Drücke die Windows + R Taste --> notepad (hinein schreiben) --> OK

Kopiere nun den Text aus der folgenden Codebox komplett in das leere Textdokument.

Code:

Driver:: aeuhpsai cfekalyk crbwnodx cxmaekkc fwapeuvo hejpjhgy jqvyegyj kqtbkxau mcqqfotb ohdwbedv qkqqvkok ruwezheq sudiqbmi uoijyouk xqqgsfil File:: c:\windows\system32\drivers\aeuhpsai.sys c:\windows\system32\drivers\cfekalyk.sys c:\windows\system32\drivers\crbwnodx.sys c:\windows\system32\drivers\cxmaekkc.sys c:\windows\system32\drivers\fwapeuvo.sys c:\windows\system32\drivers\hejpjhgy.sys c:\windows\system32\drivers\jqvyegyj.sys c:\windows\system32\drivers\kqtbkxau.sys c:\windows\system32\drivers\mcqqfotb.sys c:\windows\system32\drivers\ohdwbedv.sys c:\windows\system32\drivers\qkqqvkok.sys c:\windows\system32\drivers\ruwezheq.sys c:\windows\system32\drivers\sudiqbmi.sys c:\windows\system32\drivers\uoijyouk.sys c:\windows\system32\drivers\xqqgsfil.sys

Speichere dies als CFScript.txt auf deinem Desktop.

Wichtig: Stelle deine Anti Viren Software temporär ab. Dies kann ComboFix nämlich bei der Arbeit behindern.
Danach wieder anstellen nicht vergessen!

Schließe alle laufenden Programme damit ComboFix ungehindert arbeiten kann.

Ziehe CFScript.txt in die ComboFix.exe wie in diesem Bild:

Mache nichts am Computer, bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein. Dies kann dazu führen, dass ComboFix sich aufhängt.

Wenn ComboFix fertig ist wird es ein Log erstellen: C:\ComboFix.txt
Bitte füge es hier als Antwort (in CODE-Tags mit dem #-Button des Editors) ein.

Hinweis:
Suspect:: und Collect::
Falls im Skript diese Anweisungen enthalten sind, sollen Dateien zur Analyse eingeschickt werden. Es erscheint eine Message-Box, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen. Teile mir unbedingt mit, ob der Upload geklappt hat!

wie kann ich denn antivir komplett ausschalten ich kann nur den echtzeitscanner deaktivieren und wenn ich dann combofox starte sagt mir antivir veränderung in der regestry blockiert.

Du sollst ja auch nur den Echtzeitscanner deaktivieren, alle Aktionen von CF zulassen

Zitat:

Zitat von arthek (Beitrag 1057400)

wie kann ich denn antivir komplett ausschalten ich kann nur den echtzeitscanner deaktivieren und wenn ich dann combofox starte sagt mir antivir veränderung in der regestry blockiert.

habe es erstmal deinstalliert...

Code:

Combofix Logfile:
 

        Code:


        
ComboFix 13-05-07.01 - Michael 07.05.2013  15:05:31.3.4 - x64

ausgeführt von:: c:\users\Michael\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\users\Michael\Desktop\CFScript.txt

 * Neuer Wiederherstellungspunkt wurde erstellt

.

FILE ::

"c:\windows\system32\drivers\aeuhpsai.sys"

"c:\windows\system32\drivers\cfekalyk.sys"

"c:\windows\system32\drivers\crbwnodx.sys"

"c:\windows\system32\drivers\cxmaekkc.sys"

"c:\windows\system32\drivers\fwapeuvo.sys"

"c:\windows\system32\drivers\hejpjhgy.sys"

"c:\windows\system32\drivers\jqvyegyj.sys"

"c:\windows\system32\drivers\kqtbkxau.sys"

"c:\windows\system32\drivers\mcqqfotb.sys"

"c:\windows\system32\drivers\ohdwbedv.sys"

"c:\windows\system32\drivers\qkqqvkok.sys"

"c:\windows\system32\drivers\ruwezheq.sys"

"c:\windows\system32\drivers\sudiqbmi.sys"

"c:\windows\system32\drivers\uoijyouk.sys"

"c:\windows\system32\drivers\xqqgsfil.sys"

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Service_aeuhpsai

-------\Service_cfekalyk

-------\Service_crbwnodx

-------\Service_cxmaekkc

-------\Service_fwapeuvo

-------\Service_hejpjhgy

-------\Service_jqvyegyj

-------\Service_kqtbkxau

-------\Service_mcqqfotb

-------\Service_ohdwbedv

-------\Service_qkqqvkok

-------\Service_ruwezheq

-------\Service_sudiqbmi

-------\Service_uoijyouk

-------\Service_xqqgsfil

.

.

(((((((((((((((((((((((   Dateien erstellt von 2013-04-07 bis 2013-05-07  ))))))))))))))))))))))))))))))

.

.

2013-05-07 13:13 . 2013-05-07 13:13        --------        d-----w-        c:\users\Default\AppData\Local\temp

2013-05-06 18:02 . 2013-05-06 18:01        905296        ----a-w-        c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{A6C55642-E4C1-4CD0-B726-99FD2FE98834}\gapaengine.dll

2013-05-06 18:02 . 2013-04-10 03:46        9317456        ----a-w-        c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\{CD841E31-61EA-4111-9DC5-F5C922404165}\mpengine.dll

2013-05-06 17:55 . 2013-05-06 17:55        --------        d-----w-        c:\program files\WinRAR

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2013-05-07 01:04 . 2011-03-12 19:24        72702784        ----a-w-        c:\windows\system32\MRT.exe

2013-05-02 15:29 . 2010-11-21 03:27        278800        ------w-        c:\windows\system32\MpSigStub.exe

2013-03-15 06:28 . 2013-03-30 17:34        9311288        ----a-w-        c:\programdata\Microsoft\Microsoft Antimalware\Definition Updates\Backup\mpengine.dll

2013-02-12 05:45 . 2013-03-13 18:10        135168        ----a-w-        c:\windows\apppatch\AppPatch64\AcXtrnal.dll

2013-02-12 05:45 . 2013-03-13 18:10        350208        ----a-w-        c:\windows\apppatch\AppPatch64\AcLayers.dll

2013-02-12 05:45 . 2013-03-13 18:10        308736        ----a-w-        c:\windows\apppatch\AppPatch64\AcGenral.dll

2013-02-12 05:45 . 2013-03-13 18:10        111104        ----a-w-        c:\windows\apppatch\AppPatch64\acspecfc.dll

2013-02-12 04:48 . 2013-03-13 18:10        474112        ----a-w-        c:\windows\apppatch\AcSpecfc.dll

2013-02-12 04:48 . 2013-03-13 18:10        2176512        ----a-w-        c:\windows\apppatch\AcGenral.dll

2013-02-12 04:12 . 2013-03-20 21:11        19968        ----a-w-        c:\windows\system32\drivers\usb8023.sys

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]

"{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}"= "c:\program files (x86)\MyAshampoo\tbMyAs.dll" [2010-12-09 3911776]

.

[HKEY_CLASSES_ROOT\clsid\{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\~\Browser Helper Objects\{30F9B915-B755-4826-820B-08FBA6BD249D}]

2010-12-09 10:51        3911776        ----a-w-        c:\program files (x86)\ConduitEngine\ConduitEngine.dll

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\~\Browser Helper Objects\{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}]

2010-12-09 10:51        3911776        ----a-w-        c:\program files (x86)\MyAshampoo\tbMyAs.dll

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar]

"{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}"= "c:\program files (x86)\MyAshampoo\tbMyAs.dll" [2010-12-09 3911776]

"{30F9B915-B755-4826-820B-08FBA6BD249D}"= "c:\program files (x86)\ConduitEngine\ConduitEngine.dll" [2010-12-09 3911776]

.

[HKEY_CLASSES_ROOT\clsid\{a1e75a0e-4397-4ba8-bb50-e19fb66890f4}]

.

[HKEY_CLASSES_ROOT\clsid\{30f9b915-b755-4826-820b-08fba6bd249d}]

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Akamai NetSession Interface"="c:\users\Michael\AppData\Local\Akamai\netsession_win.exe" [2013-01-26 4480768]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]

"HotkeyApp"="c:\program files (x86)\Launch Manager\HotkeyApp.exe" [2010-12-15 207400]

"Wbutton"="c:\program files (x86)\Launch Manager\Wbutton.exe" [2010-06-21 436264]

"CLMLServer"="c:\program files (x86)\CyberLink\Power2Go\CLMLSvc.exe" [2009-11-02 103720]

"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2012-08-27 59280]

"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-03 843712]

"iTunesHelper"="c:\program files (x86)\iTunes\iTunesHelper.exe" [2012-09-09 421776]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"ConsentPromptBehaviorAdmin"= 5 (0x5)

"ConsentPromptBehaviorUser"= 3 (0x3)

"EnableUIADesktopToggle"= 0 (0x0)

.

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\drivers32]

"aux"=wdmaud.drv

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MsMpSvc]

@="Service"

.

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\run-]

"LMgrOSD"="c:\program files (x86)\Launch Manager\OSDCtrl.exe"

"NUSB3MON"="c:\program files (x86)\Renesas Electronics\USB 3.0 Host Controller Driver\Application\nusb3mon.exe"

"LMgrVolOSD"="c:\program files (x86)\Launch Manager\OSD.exe"

.

R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]

R2 SkypeUpdate;Skype Updater;c:\program files (x86)\Skype\Updater\Updater.exe [2013-01-08 161536]

R3 AMPPALP;Intel(R) Centrino(R) Bluetooth 3.0 + High Speed Protocol;c:\windows\system32\DRIVERS\amppal.sys [2011-02-16 261632]

R3 Bluetooth Media Service;Bluetooth Media Service;c:\program files (x86)\Intel\Bluetooth\mediasrv.exe [2011-02-11 1304912]

R3 btmaux;Intel Bluetooth Auxiliary Service;c:\windows\system32\DRIVERS\btmaux.sys [2011-01-24 58128]

R3 btmhsf;btmhsf;c:\windows\system32\DRIVERS\btmhsf.sys [2011-01-24 274944]

R3 iBtFltCoex;iBtFltCoex;c:\windows\system32\DRIVERS\iBtFltCoex.sys [2011-01-24 59904]

R3 mod7764;Tv Tuner device;c:\windows\system32\DRIVERS\mod77-64.sys [2010-09-16 1077416]

R3 MyWiFiDHCPDNS;Wireless PAN DHCP Server;c:\program files\Intel\WiFi\bin\PanDhcpDns.exe [2011-02-04 340240]

R3 RSUSBVSTOR;RtsUVStor.Sys Realtek USB Card Reader;c:\windows\System32\Drivers\RtsUVStor.sys [2010-10-21 299520]

R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-21 59392]

R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [2010-11-21 31232]

R3 USBAAPL64;Apple Mobile USB Driver;c:\windows\system32\Drivers\usbaapl64.sys [2012-07-09 52736]

R3 WisLMSvc;WisLMSvc;c:\program files (x86)\Launch Manager\WisLMSvc.exe [2009-10-23 118560]

R4 wlcrasvc;Windows Live Mesh remote connections service;c:\program files\Windows Live\Mesh\wlcrasvc.exe [2010-09-23 57184]

S0 PxHlpa64;PxHlpa64;c:\windows\System32\Drivers\PxHlpa64.sys [2010-03-19 55856]

S1 dtsoftbus01;DAEMON Tools Virtual Bus Driver;c:\windows\system32\DRIVERS\dtsoftbus01.sys [2011-05-17 254528]

S2 AdobeActiveFileMonitor10.0;Adobe Active File Monitor V10;c:\program files (x86)\Adobe\Elements 10 Organizer\PhotoshopElementsFileAgent.exe [2011-09-01 169624]

S2 AMPPALR3;Intel® Centrino® Bluetooth 3.0 + High Speed Service;c:\program files\Intel\BluetoothHS\BTHSAmpPalService.exe [2011-02-17 1133568]

S2 Bluetooth Device Monitor;Bluetooth Device Monitor;c:\program files (x86)\Intel\Bluetooth\devmonsrv.exe [2011-02-11 907600]

S2 Bluetooth OBEX Service;Bluetooth OBEX Service;c:\program files (x86)\Intel\Bluetooth\obexsrv.exe [2011-02-11 997712]

S2 BTHSSecurityMgr;Intel(R) Centrino(R) Wireless Bluetooth(R) 3.0 + High Speed Security Service;c:\program files\Intel\BluetoothHS\BTHSSecurityMgr.exe [2011-02-09 134928]

S2 IAStorDataMgrSvc;Intel(R) Rapid Storage Technology;c:\program files (x86)\Intel\Intel(R) Rapid Storage Technology\IAStorDataMgrSvc.exe [2010-11-06 13336]

S2 NisDrv;Microsoft Network Inspection System;c:\windows\system32\DRIVERS\NisDrvWFP.sys [2013-01-20 130008]

S3 AMPPAL;Intel(R) Centrino(R) Bluetooth 3.0 + High Speed Virtual Adapter;c:\windows\system32\DRIVERS\AMPPAL.sys [2011-02-16 261632]

S3 clwvd;CyberLink WebCam Virtual Driver;c:\windows\system32\DRIVERS\clwvd.sys [2010-10-29 31088]

S3 IntcDAud;Intel(R) Display Audio;c:\windows\system32\DRIVERS\IntcDAud.sys [2010-10-14 317440]

S3 L1C;NDIS Miniport Driver for Atheros AR813x/AR815x PCI-E Ethernet Controller;c:\windows\system32\DRIVERS\L1C62x64.sys [2011-01-25 77424]

S3 NisSrv;Microsoft-Netzwerkinspektion;c:\program files\Microsoft Security Client\NisSrv.exe [2013-01-27 379360]

S3 nusb3hub;Renesas Electronics USB 3.0 Hub Driver;c:\windows\system32\drivers\nusb3hub.sys [2011-02-10 82432]

S3 nusb3xhc;Renesas Electronics USB 3.0 Host Controller Driver;c:\windows\system32\drivers\nusb3xhc.sys [2011-02-10 181760]

S3 wdkmd;Intel WiDi KMD;c:\windows\system32\DRIVERS\WDKMD.sys [2011-02-17 42392]

S3 X10Hid;X10 Hid Device;c:\windows\System32\Drivers\x10hid.sys [2009-05-13 15896]

.

.

[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\active setup\installed components\{8A69D345-D564-463c-AFF1-A69D9E530F96}]

2013-05-06 17:54        1642448        ----a-w-        c:\program files (x86)\Google\Chrome\Application\26.0.1410.64\Installer\chrmstp.exe

.

Inhalt des "geplante Tasks" Ordners

.

2013-02-22 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-05-05 21:02]

.

2013-02-22 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-05-05 21:02]

.

.

--------- X64 Entries -----------

.

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2011-03-09 11780712]

"RtHDVBg"="c:\program files\Realtek\Audio\HDA\RAVBg64.exe" [2011-03-09 2189416]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2011-02-10 167960]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2011-02-10 391704]

"Persistence"="c:\windows\system32\igfxpers.exe" [2011-02-10 418328]

"BTMTrayAgent"="c:\program files (x86)\Intel\Bluetooth\btmshell.dll" [2011-02-11 10361616]

"SynTPEnh"="c:\program files (x86)\Synaptics\SynTP\SynTPEnh.exe" [BU]

"AdobeAAMUpdater-1.0"="c:\program files (x86)\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe" [2011-06-16 499608]

"MSC"="c:\program files\Microsoft Security Client\mssecex.exe" [BU]

.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - LocalService

FontCache

.

------- Zusätzlicher Suchlauf -------

.

uLocal Page = c:\windows\system32\blank.htm

uStart Page = hxxp://www.google.de/

mLocal Page = c:\windows\SysWOW64\blank.htm

uInternet Settings,ProxyOverride = *.local;127.0.0.1:9421;<local>

IE: Nach Microsoft E&xel exportieren - c:\progra~2\MICROS~1\Office12\EXCEL.EXE/3000

IE: {{0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - hxxp://rover.ebay.com/rover/1/707-37276-17534-31/4

TCP: DhcpNameServer = 192.168.1.1

.

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.htm\UserChoice]

@Denied: (2) (LocalSystem)

"Progid"="ChromeHTML"

.

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.html\UserChoice]

@Denied: (2) (LocalSystem)

"Progid"="ChromeHTML"

.

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.shtml\UserChoice]

@Denied: (2) (LocalSystem)

"Progid"="ChromeHTML"

.

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xht\UserChoice]

@Denied: (2) (LocalSystem)

"Progid"="ChromeHTML"

.

[HKEY_USERS\.Default\Software\Microsoft\Windows\CurrentVersion\Explorer\FileExts\.xhtml\UserChoice]

@Denied: (2) (LocalSystem)

"Progid"="ChromeHTML"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil11c_ActiveX.exe,-101"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil11c_ActiveX.exe"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]

@Denied: (A 2) (Everyone)

@="Shockwave Flash Object"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11c.ocx"

"ThreadingModel"="Apartment"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]

@="0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]

@="ShockwaveFlash.ShockwaveFlash.10"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11c.ocx, 1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]

@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]

@="1.0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

@="ShockwaveFlash.ShockwaveFlash"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]

@Denied: (A 2) (Everyone)

@="Macromedia Flash Factory Object"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11c.ocx"

"ThreadingModel"="Apartment"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]

@="FlashFactory.FlashFactory.1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]

@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11c.ocx, 1"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]

@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]

@="1.0"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]

@="FlashFactory.FlashFactory"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@Denied: (A 2) (Everyone)

@="IFlashBroker4"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@="{00020424-0000-0000-C000-000000000046}"

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]

@Denied: (Full) (Everyone)

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\program files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe

c:\program files (x86)\Common Files\Apple\Mobile Device Support\AppleMobileDeviceService.exe

c:\program files (x86)\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe

c:\program files (x86)\CyberLink\Shared files\RichVideo.exe

c:\progra~2\COMMON~1\X10\Common\x10nets.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2013-05-07  15:20:14 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2013-05-07 13:20

ComboFix2.txt  2013-05-07 00:46

.

Vor Suchlauf: 16 Verzeichnis(se), 594.041.675.776 Bytes frei

Nach Suchlauf: 18 Verzeichnis(se), 593.642.688.512 Bytes frei

.

- - End Of File - - F90B7B34DB6CA624CC787E1D9D20B039

 
--- --- ---

also der hotkey fehler kommt immernoch und wenn der pc hochfährt möchte er einen systemscan durchführen. wenn ich das nicht abbreche bleibt er bei 49 % stehen und sagt datei xy fehlerhaft und wird korrigiert oder so ..

Rootkitscan mit GMER

Bitte lade dir

GMER herunter: (Dateiname zufällig)

Schließe alle anderen Programme, deaktiviere deinen Virenscanner und trenne den Rechner vom Internet bevor du GMER startest.
Sollte sich nach dem Start ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?

Unbedingt auf "No" klicken.
Entferne rechts den Haken bei: IAT/EAT und Show All
Setze den Haken bei Quickscan und entferne ihn bei allen anderen Laufwerken.
Starte den Scan mit "Scan".
Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Tauchen Probleme auf?

Probiere alternativ den abgesicherten Modus.
Erhältst du einen Bluescreen, dann entferne den Haken vor Devices.

Anschließend bitte MBAR ausführen:

Malwarebytes Anti-Rootkit (MBAR)

Downloade dir bitte

Malwarebytes Anti-Rootkit und speichere es auf deinem Desktop.

Starte bitte die mbar.exe.
Folge den Anweisungen auf deinem Bildschirm gemäß Anleitung zu Malwarebytes Anti-Rootkit
Aktualisiere unbedingt die Datenbank und erlaube dem Tool, dein System zu scannen.
Klicke auf den CleanUp Button und erlaube den Neustart.
Während dem Neustart wird MBAR die gefundenen Objekte entfernen, also bleib geduldig.
Nach dem Neustart starte die mbar.exe erneut.
Sollte nochmal was gefunden werden, wiederhole den CleanUp Prozess.

Das Tool wird im erstellten Ordner eine Logfile ( mbar-log-<Jahr-Monat-Tag>.txt ) erzeugen. Bitte poste diese hier.

Starte keine andere Datei in diesem Ordner ohne Anweisung eines Helfers

nach dem ersten scan bei mbar stand da direkt : " scan finished : no malware found !"

hier der log

Code:

Malwarebytes Anti-Rootkit BETA 1.05.0.1001

www.malwarebytes.org
 

Database version: v2013.05.07.04
 

Windows 7 Service Pack 1 x64 NTFS

Internet Explorer 9.0.8112.16421

Michael :: MICHAEL-PC [administrator]
 

07.05.2013 16:14:30

mbar-log-2013-05-07 (16-14-30).txt
 

Scan type: Quick scan

Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM | P2P

Scan options disabled: 

Objects scanned: 30778

Time elapsed: 14 minute(s), 30 second(s)
 

Memory Processes Detected: 0

(No malicious items detected)
 

Memory Modules Detected: 0

(No malicious items detected)
 

Registry Keys Detected: 0

(No malicious items detected)
 

Registry Values Detected: 0

(No malicious items detected)
 

Registry Data Items Detected: 0

(No malicious items detected)
 

Folders Detected: 0

(No malicious items detected)
 

Files Detected: 0

(No malicious items detected)
 

(end)

stand nicht dabei das ich den log auch posten soll :-) ..

gmer

Code:

GMER Logfile:
 

        Code:


        
GMER 2.1.19163 - hxxp://www.gmer.net

Rootkit scan 2013-05-07 15:56:04

Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1 Hitachi_ rev.JE4O 698,64GB

Running: gmer_2.1.19163.exe; Driver: C:\Users\Michael\AppData\Local\Temp\uxdiifow.sys
 
 

---- User code sections - GMER 2.1 ----
 

.text  C:\Program Files (x86)\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe[1712] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 69                                                                0000000076a61465 2 bytes [A6, 76]

.text  C:\Program Files (x86)\Common Files\Microsoft Shared\VS7DEBUG\mdm.exe[1712] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 155                                                               0000000076a614bb 2 bytes [A6, 76]

.text  ...                                                                                                                                                                                                * 2

.text  C:\Users\Michael\AppData\Local\Akamai\netsession_win.exe[980] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69                                                                              0000000076a61465 2 bytes [A6, 76]

.text  C:\Users\Michael\AppData\Local\Akamai\netsession_win.exe[980] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155                                                                             0000000076a614bb 2 bytes [A6, 76]

.text  ...                                                                                                                                                                                                * 2

.text  C:\Program Files (x86)\Intel\Bluetooth\mediasrv.exe[3472] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69                                                                                  0000000076a61465 2 bytes [A6, 76]

.text  C:\Program Files (x86)\Intel\Bluetooth\mediasrv.exe[3472] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155                                                                                 0000000076a614bb 2 bytes [A6, 76]

.text  ...                                                                                                                                                                                                * 2

.text  C:\Users\Michael\AppData\Local\Akamai\netsession_win.exe[3848] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69                                                                             0000000076a61465 2 bytes [A6, 76]

.text  C:\Users\Michael\AppData\Local\Akamai\netsession_win.exe[3848] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155                                                                            0000000076a614bb 2 bytes [A6, 76]

.text  ...                                                                                                                                                                                                * 2

.text  C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe[3920] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69                                                                       0000000076a61465 2 bytes [A6, 76]

.text  C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe[3920] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155                                                                      0000000076a614bb 2 bytes [A6, 76]

.text  ...                                                                                                                                                                                                * 2

.text  C:\Program Files\Internet Explorer\iexplore.exe[4992] C:\Windows\system32\OLEAUT32.dll!OleCreatePropertyFrameIndirect                                                                              000007feff044ed0 9 bytes [68, 78, 03, 3B, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[4992] C:\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_fa396087175ac9ac\comctl32.dll!PropertySheetW  000007fefc745c54 7 bytes [68, 08, 03, 3B, 03, C3, CC]

.text  C:\Program Files\Internet Explorer\iexplore.exe[4992] C:\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_fa396087175ac9ac\comctl32.dll!PropertySheet   000007fefc745c64 9 bytes [68, 40, 03, 3B, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[4992] C:\Windows\system32\comdlg32.dll!PageSetupDlgW                                                                                               000007feff0d17a0 9 bytes [68, B0, 03, 3B, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\SYSTEM32\ntdll.dll!NtdllDefWindowProc_A                                                                                           000000007794f548 7 bytes JMP 0000000103310570

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\SYSTEM32\ntdll.dll!NtdllDefWindowProc_W                                                                                           000000007795b0ac 7 bytes JMP 00000001033105a8

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\kernel32.dll!CreateThread                                                                                                00000000775d6580 9 bytes JMP 00000001033104c8

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\ole32.dll!OleLoadFromStream                                                                                              000007feff6275f0 7 bytes [68, E0, 05, 31, 03, C3, CC]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\OLEAUT32.dll!VariantClear                                                                                                000007fefefe1180 10 bytes [68, C0, 06, 31, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\OLEAUT32.dll!SysFreeString                                                                                               000007fefefe1320 7 bytes [68, 50, 06, 31, 03, C3, CC]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\OLEAUT32.dll!SysAllocStringByteLen                                                                                       000007fefefe4450 6 bytes [68, 18, 06, 31, 03, C3]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\OLEAUT32.dll!VariantChangeType                                                                                           000007fefefe6720 10 bytes [68, 88, 06, 31, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\OLEAUT32.dll!OleCreatePropertyFrameIndirect                                                                              000007feff044ed0 9 bytes [68, 78, 03, 31, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_fa396087175ac9ac\comctl32.dll!PropertySheetW  000007fefc745c54 7 bytes [68, 08, 03, 31, 03, C3, CC]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\WinSxS\amd64_microsoft.windows.common-controls_6595b64144ccf1df_6.0.7601.17514_none_fa396087175ac9ac\comctl32.dll!PropertySheet   000007fefc745c64 9 bytes [68, 40, 03, 31, 03, C3, CC, ...]

.text  C:\Program Files\Internet Explorer\iexplore.exe[5040] C:\Windows\system32\comdlg32.dll!PageSetupDlgW                                                                                               000007feff0d17a0 9 bytes [68, B0, 03, 31, 03, C3, CC, ...]
 

---- Registry - GMER 2.1 ----
 

Reg    HKLM\SYSTEM\CurrentControlSet\Control\Session Manager@PendingFileRenameOperations                                                                                                                  ?????g??? ?????????????????????0????????????&???????????????????????? ???????????????????/?0????????????????????DISPLAY\PHL0000\4&1fde55bf&0&UID50529024?0???????-???????????????&??????????? ???????/???????????6?,??????(?????????????in????????????????9e6b???????????9??????? ???????????????????h?0????????????????????????????????#???"C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe"?000??? ?????????????????????0?????????????????????????????????????????????o???s??Adobe Acrobat Updater h?lt Ihre Adobe-Software aktuell.?AA??? ???i???3?????dbu??? ???????6??????n\??6.1.7600.16385?_??????,??????E???????????????i???????????????????????????g??? ??????????????????????#???? ???????U?????????????,????????R???S??????????????????????????????????????????}????? ?????????????????????,??????????????#_05??? ???????????????&???&??oem31.inf???MTP-USB-Ger?t???{36fc9e60-c465-11cf-8056-444553540000}\0011?(S??011?(S??????????????USB\VID_05AC&PID_1281\CPID:8930_CPRV:20_CPFM:03_SCEP:02_BDID:00_ECID:000001F281038D4C_IBFL:02_S

Reg    HKLM\SYSTEM\CurrentControlSet\services\BTHPORT\Parameters\Keys\bc773703c1b7                                                                                                                        

Reg    HKLM\SYSTEM\ControlSet002\services\BTHPORT\Parameters\Keys\bc773703c1b7 (not active ControlSet)                                                                                                    
 

---- Disk sectors - GMER 2.1 ----
 

Disk   \Device\Harddisk0\DR0                                                                                                                                                                              unknown MBR code
 

---- EOF - GMER 2.1 ----

 
--- --- ---

aswMBR

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

TDSS-Killer

Downloade dir bitte

TDSSKiller.exe und speichere diese Datei auf dem Desktop

Starte die TDSSKiller.exe - Einstellen wie in der Anleitung zu TDSSKiller beschrieben.
Drücke Start Scan
Sollten infizierte Objekte gefunden werden, wähle keinesfalls Cure. Wähle Skip und klicke auf Continue.
TDSSKiller wird eine Logfile auf deinem Systemlaufwerk speichern (Meistens C:\)
Als Beispiel: C:\TDSSKiller.<Version_Datum_Uhrzeit>log.txt

Poste den Inhalt bitte in jedem Fall hier in deinen Thread.

Code:

aswMBR version 0.9.9.1771 Copyright(c) 2011 AVAST Software

Run date: 2013-05-07 17:27:48

-----------------------------

17:27:48.307    OS Version: Windows x64 6.1.7601 Service Pack 1

17:27:48.307    Number of processors: 4 586 0x2A07

17:27:48.307    ComputerName: MICHAEL-PC  UserName: Michael

17:27:50.627    Initialize success

17:29:33.708    AVAST engine defs: 13050601

17:29:41.818    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IAAStorageDevice-1

17:29:41.818    Disk 0 Vendor: Hitachi_ JE4O Size: 715404MB BusType: 3

17:29:41.908    Disk 0 MBR read successfully

17:29:41.908    Disk 0 MBR scan

17:29:41.918    Disk 0 unknown MBR code

17:29:41.928    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS          100 MB offset 2048

17:29:41.958    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS       673317 MB offset 206848

17:29:41.978    Disk 0 Partition - 00     0F Extended LBA             40958 MB offset 1379160064

17:29:42.018    Disk 0 Partition 3 00     12  Compaq diag NTFS         1025 MB offset 1463042048

17:29:42.068    Disk 0 Partition 4 00     07    HPFS/NTFS NTFS        38908 MB offset 1379162112

17:29:42.088    Disk 0 Partition - 00     05     Extended               128 MB offset 1458847743

17:29:42.108    Disk 0 Partition 5 00     27 Hidden NTFS WinRE               128 MB offset 1458847744

17:29:42.118    Disk 0 Partition - 00     05     Extended               895 MB offset 1538799614

17:29:42.128    Disk 0 Partition 6 00     27 Hidden NTFS WinRE               895 MB offset 1459111936

17:29:42.138    Disk 0 Partition - 00     05     Extended              1023 MB offset 1540898814

17:29:42.158    Disk 0 Partition 7 00     27 Hidden NTFS WinRE              1023 MB offset 1460946944

17:29:42.348    Disk 0 scanning C:\Windows\system32\drivers

17:29:59.628    Service scanning

17:30:37.840    Modules scanning

17:30:37.840    Disk 0 trace - called modules:

17:30:37.880    ntoskrnl.exe CLASSPNP.SYS disk.sys iaStor.sys hal.dll 

17:30:37.880    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0xfffffa8005fea060]

17:30:37.890    3 CLASSPNP.SYS[fffff8800120143f] -> nt!IofCallDriver -> \Device\Ide\IAAStorageDevice-1[0xfffffa80044e5050]

17:30:40.491    AVAST engine scan C:\Windows

17:30:48.033    AVAST engine scan C:\Windows\system32

17:34:35.427    AVAST engine scan C:\Windows\system32\drivers

17:34:56.400    AVAST engine scan C:\Users\Michael

17:47:26.703    Disk 0 MBR has been saved successfully to "C:\Users\Michael\Desktop\MBR.dat"

17:47:26.723    The log file has been saved successfully to "C:\Users\Michael\Desktop\aswMBR.txt"

wenn ich den tdsskiller log posten will sagt er mir Logs bitte als Archiv an den Beitrag anhängen!

kann die log datei nicht zippen da sagt er mir irgendwie zugriff verweigert

habe 7 zip runtergeladen aber wenn ich rechte maustaste auf die log datei gehe dann steht da nichts von 7 zip.. und wenn ich es mit winrar zippen will sag er mir zugriff verweigert

Das Archiv kann ja auch nicht direkt auf C erstellt werden!
Du musst es auf dem Desktop erstellen!
Kopier das TDSSkiller Log auf den Desktop und mach dann darüber das ZIP-Archiv

Zitat:

habe 7 zip runtergeladen aber wenn ich rechte maustaste auf die log datei gehe dann steht da nichts von 7 zip..

Sry das ist Quatsch, oder du hast 7zip nur runtergeladen und nicht installiert :rolleyes:

hier die TDSSKiller log im anhang

Zitat:

17:49:20.0178 3292 Scan started
17:49:20.0178 3292 Mode: Manual;

Du hast den tdsskiller falsch eingestellt vor dem Scan. Bitte die Anleitungen richtig lesen und umesetzen.