Trojaner-Board - Computer läuft nur noch im abgesicherten Modus einigermaßen stabil, komplett Abstürze

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Computer läuft nur noch im abgesicherten Modus einigermaßen stabil, komplett Abstürze (https://www.trojaner-board.de/67918-computer-laeuft-nur-noch-abgesicherten-modus-einigermassen-stabil-komplett-abstuerze.html)

Computer läuft nur noch im abgesicherten Modus einigermaßen stabil, komplett Abstürze

Hallo Liebe Board gemeinde. Seit heute Abnend scheint der Laptop meiner Mum komplett mit Viren infiziert. Das PRoblem machte sich zunächst dadurch bemerkbar, dass der Internetexplorer nicht mehr funktionierte und dieser immer wieder abstürzte. Nach einem Neustart dann ständige Bluescreens und fast alle Programme laufen kaum noch oder überhaupt garnicht mehr. Bei dem Laptop handelt es sich um einenn Fujitsu Siemens Laptop mit Windows XP und dem Service Pack 3. Beim starten im abgesicherten Modus lief der Computer zunächst einigermaßen stabil, so dass es mir möglich war zumindest ein Hijack This File anzufertigen. Danach stürzte der Computer aber sofort wieder ab. Im abgesicherten Modus laufen die Programm wie z. B. Internetexplorer dann wieder ganz normal. Leider konnte ich auch keine Virenmeldung feststellen, da Antivir, momentan zumindest seinen Dienst komplett eingestellt hat. Hier nun zunächst mal die Log-File:

Code:

 
 

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:19:55, on 04.01.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v7.00 (7.00.6000.16762)

Boot mode: Safe mode with network support
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Mozilla Firefox\firefox.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://de.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://de.rd.yahoo.com/customize/ie/defaults/su/msgr8/*h**p://de.search.yahoo.com

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://de.rd.yahoo.com/customize/ie/defaults/sp/msgr8/*h**p://de.search.yahoo.com

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = 

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

R3 - Default URLSearchHook is missing

O1 - Hosts: 195.155.155.1 nw4host

O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn0\yt.dll

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Program Files\Real\RealPlayer\rpbrowserrecordplugin.dll

O2 - BHO: Suchspur - {5D945E9A-DC10-4670-83EB-99DAA616628A} - (no file)

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Windows Live Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\Windows Live Toolbar\msntb.dll

O2 - BHO: metaspinner GmbH - {E9E027BF-C3F3-4022-8F6B-8F6D39A59684} - C:\Programme\Preispiraten3\Preispiraten3\IEButtonPPInterface.dll

O2 - BHO: SingleInstance Class - {FDAD4DA1-61A2-4FD8-9C17-86F7AC245081} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn0\YTSingleInstance.dll

O3 - Toolbar: (no name) - {E0E899AB-F487-11D5-8D29-0050BA6940E3} - (no file)

O3 - Toolbar: Windows Live Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\Windows Live Toolbar\msntb.dll

O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\PROGRA~1\Yahoo!\Companion\Installs\cpn0\yt.dll

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"

O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE

O4 - HKLM\..\Run: [LogitechVideoRepair] C:\Programme\Logitech\Video\ISStart.exe

O4 - HKLM\..\Run: [LogitechVideoTray] C:\Programme\Logitech\Video\LogiTray.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min

O4 - HKLM\..\Run: [PrinTray] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\printray.exe

O4 - HKLM\..\Run: [LXSUPMON] C:\WINDOWS\system32\LXSUPMON.EXE RUN

O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"

O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe

O4 - Global Startup: Bluetooth Manager.lnk = ?

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Program Files\Logitech\Desktop Messenger\8876480\Program\LDMConf.exe

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\npjpi160_02.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\npjpi160_02.dll

O9 - Extra button: Preispiraten 3 - {350F4DA2-3886-4BB8-A1A8-D7F57B56DFFF} - C:\Programme\Preispiraten3\Preispiraten3\preispiraten3ie.exe

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\MSI\Bluetooth Software\btsendto_ie.htm

O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\MSI\Bluetooth Software\btsendto_ie.htm

O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programme\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\Programme\Yahoo!\Messenger\YahooMessenger.exe

O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O12 - Plugin for .avi: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204

O16 - DPF: {1D4DB7D2-6EC9-47A3-BD87-1E41684E07BB} - http://ak.imgfarm.com/images/nocache/funwebproducts/ei/SmileyCentralFWBInitialSetup1.0.0.15.cab

O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll

O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab

O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe

O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe

O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programme\MSI\Bluetooth Software\bin\btwdins.exe

O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: PHPGeekUtil - Unknown owner - c:\apache\APACHE.EXE (file missing)

O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: Steganos Live Encryption Engine (Version 401) [Service] (SLEE_401_SERVICE) - Unknown owner - C:\WINDOWS\system32\SLEE401.exe

O23 - Service: SmartLinkService (SLService) -   - C:\WINDOWS\SYSTEM32\slserv.exe
 

--

End of file - 8878 bytes

Das File ist natürlich im abgesicherten Modus erstellt, da nichts anderes möglich war. Ich hoffe die Beschreibung ist ausführlich genug und hoffe das mir jemand Helfen kann. VIelen Dank für jede Hilfestellung.

Gruß
Phoenix

Keiner ne idee? :((( Bitte brauch dringend Hilfe.

Benutze malwarebytes-anti-malware
http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html
Note: Wähle bei Reiter:
“Scanner”> "Quickscan durchfuehren".
“Update “> klicke “Suche nache Aktualisierungen“
“Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“
Scan laufen lassen und Infizierungen entfernen
Und poste das Log

Download link 1 SDFix zum Desktop

Starte dein Recher in
abgesicherten Modus

SDFix.zip entpacken
unter C:\ findet man nun den SDFix-Ordner

Doppelklick RunThis.bat
Schreibe: Y folge allen Anweisungen
Dann wird der Rechner neustarten
SDFix entfernt jetzt die gefundene Objekte

Kopiere den Inhalt des Berichts SophosReport.txt in diesen Thread

Und ein log von Hijack This

Zitat:

Zitat von Argus (Beitrag 403332)

Leider funktioniert das Programm SDFix.zip nicht der Computer hat probleme bei der Instalation.

Versuch es mit SDFixexe

Zitat:

Zitat von PhoenixBoy23 (Beitrag 403348)

Leider funktioniert das Programm SDFix.zip nicht der Computer hat probleme bei der Instalation.

Auch mit Malwarebytes das gleiche Problem... ! Verdammter sch... :(

Lade von hier die von mir umbenannte MBAM

Und entferne von dein Rechner via Software Malwarebytes Anti-Malware

Zitat:

Zitat von Argus (Beitrag 403358)

Lade von hier die von mir umbenannte MBAM

Und entferne von dein Rechner via Software Malwarebytes Anti-Malware

Danke dir für deine Mühe, aber auch das brachte nicht den erwünschte Erfolg. Bei der Instalaton kommt der Fehler das die Quelldatei beschädigt sei. Für mich sieht es so aus das alle .dll Dateien nicht instaliert werden können. Gibt es noch eine andere Möglichkeit? vllt. ein externe Möglichkeit den Laptop zu scannnen z. B. über einen UsB-Stick? Mittlerweile funktioniert auch das CD/DVD laufwerk überhaupt nicht mehr.

ComboFix(by sUBs)
Download ComboFix und speichert es auf den Desktop!
Benenne dabei ComboFix um nach Combo-fix
http://i186.photobucket.com/albums/x...omboFix2-1.gif
Schliesse alle Programme und Anwendungen mit Hintergrundwächtern inklusive der Firewall + Antivirusprogramme müssen deaktiviert sein

Starte combofix.exe

Folge den Instruktionen in das Fenster

Während Combofix lauft NICHT ins Fenster klicken sonst erfriert dein Rechner

Wenn das Tool fertig ist,oeffnet sich ein logfile (C:\ combofix.txt)
nun das KOMPLETTE Log mit rechtem Mausklick ab kopieren und ins Forum mit rechtem Mausklick "einfügen"

Onlinescanner
NOD32
F-Secure mit Rootkitscanner
Bitdefender
Housecall
CA Antivirus

Oder
Scanne mit DrWeb CureIt!
http://www.trojaner-board.de/59299-a...eb-cureit.html

Zitat:

Zitat von Argus (Beitrag 403423)

Kann ich dieses Combo-Fix auch im abgesicherten Modus durchlaufen lassen?

Zitat:

Zitat von PhoenixBoy23 (Beitrag 403425)

Kann ich dieses Combo-Fix auch im abgesicherten Modus durchlaufen lassen?

Auch dieser Versuch ist nun wieder durch einen Standard Fehler geschloßen worden. "Die Anwendung konnte nicht richtig initialisiert werden".
Gibts noch irgendwie Rettung? :S

Wie ist dein English :sleepy:
h**p://www.raymond.cc/blog/archives/2008/06/16/kaspersky-offers-free-rescue-disk-to-clean-virus-without-booting-in-windows/

Zitat:

Zitat von Argus (Beitrag 403431)

Wie ist dein English :sleepy:
h**p://www.raymond.cc/blog/archives/2008/06/16/kaspersky-offers-free-rescue-disk-to-clean-virus-without-booting-in-windows/

Ganz in Ordnung würde ich behaupten :D! Nochmals vielen Dank, DR. Wb Scan da... läuft jetzt wenigstens mal durch, die anderen haben ja überhaupt garnicht funktioniert. :)

Hab dir ein PM geschickt

Soah leider hat nun auch Dr. Web nach doch längerer Laufzeit dann einen Fehler verursacht und ist abgestürzt. Er hatte aber zumindestens schonmal 3 infizierte Dateien gefunden und 2 davon hatte er sogar schon verschoben. Leider kann ich jetzt keine weiteren Infos geben, da es ja wie gesagt abgestürzt ist. Habe aber in der Zwischenzeit aus dieser Englischen Seite eine Image CD erstellt mal versuchen ob es damit funktioniert. Danke dir noch einmal vielmals...^^

Willst du CureIt nochmal benutzen,diese Version entfernen und neu Downloaden

Gute Nacht

Zitat:

Zitat von Argus (Beitrag 403442)

Willst du CureIt nochmal benutzen,diese Version entfernen und neu Downloaden

Gute Nacht

Nacht :) und danke für deine Mühe!

Zitat:

Zitat von PhoenixBoy23 (Beitrag 403444)

Nacht :) und danke für deine Mühe!

Also wegen mir kann der Beitrag geschloßen werden, hab mich nun nach langem hin und her entschieden den Computer nun komplett neu aufzusetzen. Trotzdem nochmal vielen vielen dank für deine Mühe :) Großes Lob an dich und an das Board ihr leistet super arbeit ;) !

Ein guter entschluss :)

Gruss

Hi...

bin neu hier und antworte auf das Thema, weil ich Argus danken möchte.
Hab seit 2 Tagen das Problem das mein Pc immer wenn ich online war nach 2-3 min komplett ausging und neu startete ohne vorwarunung. Offline konnte ich alles machen,Spielen bis zum geht nicht mehr.

Hab versucht online was zu finden und lange gesucht, denn systemwiederherstellung wurde wahrscheinlich durch die infizierung mit deaktiviert..zumindest alle herstellungspunkte weg und ich stand kurz davor alles neu zu machen. bis ich heute zufällig über google hierher gefunden habe. Hab mir offline einzeln seiten durchgelesen und bin nur online gegangen um ne andere seite auszuwählen. Bis ich hier dann von ComboFix las.
Hab es runtergeladen und durchlaufen lassen......

Und bin dem Programm,dem hersteller des Programms und Argus für den Hinweis unendlich dankbar...funzt alles Super´wieder........hat mir viel mühe und zeit erspart....:dankeschoen: