Trojaner-Board - Befall TDSS-X, TDSSPack-L, -K, -O

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Befall TDSS-X, TDSSPack-L, -K, -O (https://www.trojaner-board.de/74097-befall-tdss-x-tdsspack-l-k-o.html)

Befall TDSS-X, TDSSPack-L, -K, -O

Hallo, hab seit heute Probleme mit Trojanern auf meinem Windows XP-Rechner. Adobe Reader kann keine pdfs mehr öffnen, hängt sich dann auf und nur noch PC ausschalten hilft. Habe zunächst Reader 9 entfernt und ältere Version installiert, aber selbes Problem. Daraufhin mal Sophos Anti-Virus (Version 7.6.8, regelmäßig upgedatet) "Meinen Computer überprüfen" durchlaufen lassen. Daraufhin folgen Meldungen, wonach 7 Dateien unter Quarantäne gestellt wurden. Im Quarantäne-Meanager sieht das dann so aus:
Typ Virus/Spyware, Name Troj/TDSS-X, Details C:\WINDOWS\system32\drivers\UACvkkllrhgnlvppjw.sys [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-O, Details C:\WINDOWS\system32\UACniomybltfaimovv.dll [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-O, Details C:\WINDOWS\system32\UACftjcbjrgtvplxmq.dll [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-L, Details C:\WINDOWS\system32\UACoiohoogyxxmbvgq.dll [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-L, Details C:\WINDOWS\system32\UACgscbrfclqgpeicq.dll [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-K, Details C:\WINDOWS\system32\UACbrjevrletlwnorn.dll [versteckt]
Typ Virus/Spyware, Name Mal/TDSSPack-K, Details C:\WINDOWS\system32\UACwilbiwaxdwktumv.dll [versteckt]

Und es heißt jeweils unter Maßnahme "Manuelle Entfernung", aber wenn man auf den Link zur Sophos-Internetseite klickt, stürzt der PC ab und es hilft nur ausschalten. Nach dem neustarten sind die dateien dann natürlich nicht in Quarantäne.

Hab hier wo was mit "devmgmt.msc" in Ausführen eingeben gelesen und dann nach Nicht-PnP-Treibern suchen. Habe da aber keine auffälligen gefunden, zumindest keine ,auf die da hingewiesen wurde. Ich erhalte jedenfalls die folgenden:
ACEDRV06
AFD
ArcNet NDIS Protocol Driver
Beep
dmboot
dmload
Fips
Hardlock
HTTP
IP-Netzwerkadressübersetzung
IPSEC-Treiber
ksecdd
mnmdd
mountmgr
NDIS-Benutzermodus-E/A-Protokoll
NDIS-Systemtreiber
NDProxy
NetBios über TCP/IP
Novell InterService-Kommunikationstreiber
Novell NetWare-Ressourcen-Manager
Novell-UNC-Pfadfilter
Null
PartMgr
ParVdm
RAS-IP-ARP-Treiber
RAS-NDIS-TAPI-Treiber
RDPCDD
Secdrv
Standardpaketklassifizierung
TCP/IP-Protokolltreiber
Treiber für automatische RAS-Verbindung
VgaSave
VolSnap

Was muss ich jetzt tun, um den/die Trojaner zu entfernen? Welche Programme sind zu deinstallieren??? Bitte helft mir, ich kenn mich damit leider überhaupt nicht aus :confused:

Nachtrag:
Schritt 1 CCleaner läuft durch inkl. Registrierung.
Schritt 2 Malwarebytes' Anti-Malware hängt sich beim Installieren auf, funktioniert auch nicht, wenn ich die exe umbenenne. Im Gegensatz zu dem Problem unten mit Sophos kann ich das Setup allerdings über den Windows Task-Maanger abwerfen.

Was ist zu tun?

Hallo und :hallo:

Du sparst dir eine Menge Zeit, wenn du den schnellen und sicheren Weg wählst: http://www.trojaner-board.de/51262-a...sicherung.html

Falls du Säuberung vorziehst, dann:

Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

Code:

Drivers to delete:

UACd.sys
 

Registry keys to delete:

HKLM\SYSTEM\ControlSet001\Services\UACd.sys

HKLM\SYSTEM\ControlSet002\Services\UACd.sys

HKLM\SYSTEM\ControlSet003\Services\UACd.sys

HKLM\SYSTEM\ControlSet004\Services\UACd.sys
 

Files to delete:

C:\WINDOWS\system32\drivers\UACvkkllrhgnlvppjw.sys

C:\WINDOWS\system32\UACniomybltfaimovv.dll

C:\WINDOWS\system32\UACftjcbjrgtvplxmq.dll

C:\WINDOWS\system32\UACoiohoogyxxmbvgq.dll

C:\WINDOWS\system32\UACgscbrfclqgpeicq.dll

C:\WINDOWS\system32\UACbrjevrletlwnorn.dll

C:\WINDOWS\system32\UACwilbiwaxdwktumv.dll

http://saved.im/mzi3ndg3nta0/aven.jpg

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

ciao, andreas

So nachdem ich Ccleaner durchlaufen hatte lassen, hab ich nochmals Sophos gestartet. Hat wieder die 7 Dateien erkannt und in Quarantäne verschoben, ist danach aber nicht mehr abgestürzt, wenn man den Link zur Internetseite gehen wollte. Daraufhin hab ich noch Avira Antivir in der hier beschreibenen "aggressiven" Einstellung durchlaufen lassen, hat nichts Negatives gemeldet. Dann hab ich die Dateien im Quarantänemanager von Sophos wieder "entfernt" (war mir nicht sicher, ob er die irgendwohin verschoben hat oder umbenannt hat, solange sie in Quarantäne sind). Und eben dann Hopsassa durchlaufen lassen:

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Driver "UACd.sys" deleted successfully.

Error: registry key "HKLM\SYSTEM\ControlSet001\Services\UACd.sys" not found!
Deletion of registry key "HKLM\SYSTEM\ControlSet001\Services\UACd.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Registry key "HKLM\SYSTEM\ControlSet002\Services\UACd.sys" deleted successfully.

Error: registry key "HKLM\SYSTEM\ControlSet003\Services\UACd.sys" not found!
Deletion of registry key "HKLM\SYSTEM\ControlSet003\Services\UACd.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: registry key "HKLM\SYSTEM\ControlSet004\Services\UACd.sys" not found!
Deletion of registry key "HKLM\SYSTEM\ControlSet004\Services\UACd.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\system32\drivers\UACvkkllrhgnlvppjw.sys" deleted successfully.
File "C:\WINDOWS\system32\UACniomybltfaimovv.dll" deleted successfully.
File "C:\WINDOWS\system32\UACftjcbjrgtvplxmq.dll" deleted successfully.
File "C:\WINDOWS\system32\UACoiohoogyxxmbvgq.dll" deleted successfully.
File "C:\WINDOWS\system32\UACgscbrfclqgpeicq.dll" deleted successfully.
File "C:\WINDOWS\system32\UACbrjevrletlwnorn.dll" deleted successfully.
File "C:\WINDOWS\system32\UACwilbiwaxdwktumv.dll" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

ComboFix

Achtung: Die Anleitung ist veraltet. Den Teil mit der Systemwiederherstellungskonsole nicht ausführen. Die wird bei Internetverbindung automatisch installiert.

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Sollte sich ComboFix nicht starten lassen, dann benenne es um in cofi.exe und versuche es nocheinmal.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

Nochmal Sophos gestartet, die Dateien sind offenbar immer noch da und sind niocht gelöscht worden, zumindest findet er wieder dieselben 7...

Neuinstallieren geht leider nicht, das ist ein Arbeitsplatz-Rechner an der Uni, die bekommt man im Rechenzentrum bei uns vorinstalliert mit dem üblichen Windows-Zeugs. Ich könnte natürlich die Daten sichern und am Montag zu denen bringen, aber das wird ne Weile dauern, bis ich ihn wiederseh und in der Zeit kann ich dann nicht arbeiten...

Combofix jetzt trotzdem laufen lassen? Oder nochmal erst das Hopsassa? Und die Dateien in Quarantäne lassen oder nicht?

Tut mir echt leid, dass ich mich so dumm anstelle :(

Dieben wir doch einfach mal bei den Kollegen vom HJT-Forum.

Zitat:

Ein System zu bereinigen ist unter Umständen aufwändig und mit einiger Arbeit für Dich verbunden. Es ist wichtig, dass Du solange mitarbeitest, bis wir sagen, dass der Rechner "sauber" ist, auch wenn die Symptome eventuell nach den ersten Aktionen verschwunden sein sollten. Dazu gehört auch, keine weiteren Programme zu installieren oder Scans durchzuführen, ausser wenn es hier entsprechend angeordnet wird. Wenn Du dazu bereit bist, arbeite die folgenden Punkte in der angegebenen Reihenfolge ab. Drucke die Anleitungen zur Bereinigung Deines Systems am besten aus. Lese zunächst alles durch und wenn Dir etwas unklar ist, bitte fragen, bevor Du weitermachst.

Wenn Du mit dem Abarbeiten der einzelnen Punkte fertig bist, kontrolliere aufmerksam, ob Du keinen Punkt vergessen und alle angeforderten Logfiles in Code-Tags gepostet hast. Ergänze Deine jeweils letzten Beiträge solange über den "Ändern-Button", bis Dir jemand geantwortet hat. Wichtig: Bitte während unserer Reinigungphase nur Programme installieren, die wir anordnen. Bitte alle Aktionen, die wir anordnen nicht in einem eingeschränkten Userkonto ausführen, sondern vom Hauptuserkonto aus.

ciao, andreas

OK, sorry. Aber beim ersten Mal, wo ich Hopsassa durchlaufen ließ, waren die Dateien nicht mehr in der Quarantäne. War das richtig bzw. hat das überhaupt irgendeine Beduetung? Denn jetzt wären sie leider wieder in der Quarantäne. Also 1) tu ich sie da jetzt raus, starte Hopsassa, poste hier die Meldung und startet dann Combofix (natürlich jetzt ohne irgendetwas dazwischen zu machen)? Oder 2) lass ich sie in der Sophos-Quarantäne drin und starte Hopsassa, poste die Datei und dann Combofix?

Combofix und sonst nix.

ciao, andreas

Startet nicht, auch nicht als cofi.exe.

Kommt eine Fehlermeldung? Öffnet sich ein Fenster? Was genau passiert?

ciao, andreas

Es passiert nichts. Ich doppelklicke auf die Datei, und es öffnet sich kein Fenster, es kommt keine Fehlermeldung, es passiert rein gar nichts.

1.) Systemdetails mit RSIT prüfen

Lade Random's System Information Tool (RSIT) von random/random herunter,
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

2.) GMER - Rootkit Detection

http://pic.leech.it/i/ab0bc/635985fgmer60.jpg

Lade Trallala von file-upload.net
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Trallala.exe
Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

RSIT ist durchgelaufen, zwei txt-Dateien offen, jetzt müsste ich noch schnell wissen, wie ich den Textinhalt hier einbinden kann, damit das nicht ewig lang wird :)

Lade es bei materialordner.de hoch und schicke den Link zur Info.txt und zum Log.txt.

Über dem Textfeld sind zwei Symbolleisten, klicke jeweils auf das vierte Symbol von rechts => # und füge dann den Text ein.

Falls es zu groß ist, dann lade es bei einem Filehoster hoch (z.B. www.materialordner.de) und poste hier den Link.

ciao, andreas

info: http://www.materialordner.de/o9XBrZSQgBHv7qI27gbLewHIlfl9R4m.html
log: http://www.materialordner.de/Q2fiYYZ5pvpkKYcG4dh9zPGLVTKALXf.html

Wahrscheinlich wart ich jetzt, bevor ich GMER starte...

Schön, dann warten wir halt beide. :) Ich brauche das Gmer-Log. ;)

ciao, andreas

Tschuldigung, wird gemacht :)

Das ist aber jetzt schnell durchgelaufen, von wegen 3 bis 10 Minuten... und hier das Ergebnis:

GMER 1.0.15.14966 - http://www.gmer.net
Rootkit scan 2009-06-13 18:01:00
Windows 5.1.2600 Service Pack 2

---- System - GMER 1.0.15 ----

Code 860EF838 ZwEnumerateKey
Code 861057B8 ZwFlushInstructionCache
Code 8610D4BE IofCallDriver
Code 86101AB6 IofCompleteRequest

---- Kernel code sections - GMER 1.0.15 ----

.text ntkrnlpa.exe!IofCallDriver 804EF0BC 5 Bytes JMP 8610D4C3
.text ntkrnlpa.exe!IofCompleteRequest 804EF14C 5 Bytes JMP 86101ABB
PAGE ntkrnlpa.exe!ZwFlushInstructionCache 805B528A 5 Bytes JMP 861057BC
PAGE ntkrnlpa.exe!ZwEnumerateKey 8062296E 5 Bytes JMP 860EF83C
? nwfilter.sys Das System kann die angegebene Datei nicht finden. !
? system32\drivers\athiport.sys Das System kann den angegebenen Pfad nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text C:\WINDOWS\system32\winlogon.exe[480] ntdll.dll!LdrLoadDll 7C925CBB 5 Bytes JMP 0068000A
.text C:\WINDOWS\system32\winlogon.exe[480] ntdll.dll!LdrUnloadDll 7C926C83 5 Bytes JMP 0069000A
.text C:\WINDOWS\system32\services.exe[524] ntdll.dll!LdrLoadDll 7C925CBB 5 Bytes JMP 006F000A
.text C:\WINDOWS\system32\services.exe[524] ntdll.dll!LdrUnloadDll 7C926C83 5 Bytes JMP 0071000A
.text C:\WINDOWS\system32\lsass.exe[536] ntdll.dll!LdrLoadDll 7C925CBB 5 Bytes JMP 0071000A
.text C:\WINDOWS\system32\lsass.exe[536] ntdll.dll!LdrUnloadDll 7C926C83 5 Bytes JMP 0075000A

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\Ntfs \Ntfs savonaccessfilter.sys (SAV On-access and HIPS for Windows XP (x86)/Sophos Plc)
AttachedDevice \FileSystem\Fastfat \Fat savonaccessfilter.sys (SAV On-access and HIPS for Windows XP (x86)/Sophos Plc)
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----

uacd.sys ist tot. :)

1.) Deinstalliere Malwarebytes.

2.) http://www.trojaner-board.de/51187-a...i-malware.html

ciao, andreas

Also ich deinstalliere es, dann fahr ich runter, und dann installier ichs neu, korrekt?

:daumenhoc

ciao, andreas

So es wäre installiert und geöffnet. Was nun?

Ich schätze mal "Vollständigen Suchlauf durchführen"?

Ja. Steht - glaub ich - auch so in der Anleitung, sogar mit Bildern. :)

ciao, andreas

p.s.:
1.) Da ComboFix nicht will, nochmal mit Avenger:

Code:

Drivers to delete:

ACEDRV06
 

Folders to delete:

C:\Config.Msi

C:\rsit
 

Files to delete:

C:\WINDOWS\system32\SETC3.tmp

C:\WINDOWS\system32\SETC2.tmp

C:\WINDOWS\tasks\AppleSoftwareUpdate.job

C:\WINDOWS\tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job

2.) Was befindet sich in den Ordnern:

Code:

C:\bd85e4d863ccece3f42812163eb8

C:\d64625eedc0da9ce622a7e182d8a48

C:\aa848d948b894d620da925

3.) Mausklick rechts auf

Code:

C:\tj.vbs

=> Bearbeiten, kompletten Inhalt posten.

So hier ist das Teil:

Code:

Malwarebytes' Anti-Malware 1.37

Datenbank Version: 2182

Windows 5.1.2600 Service Pack 2
 

13.06.2009 19:17:07

mbam-log-2009-06-13 (19-17-07).txt
 

Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 180441

Laufzeit: 52 minute(s), 22 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 3

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 3

Infizierte Verzeichnisse: 1

Infizierte Dateien: 12
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\UAC (Rootkit.Trace) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{18762948-cfb3-475c-83df-84bb025720b8}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.101;85.255.112.8 -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Tcpip\Parameters\Interfaces\{18762948-cfb3-475c-83df-84bb025720b8}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.101;85.255.112.8 -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Tcpip\Parameters\Interfaces\{18762948-cfb3-475c-83df-84bb025720b8}\NameServer (Trojan.DNSChanger) -> Data: 85.255.112.101;85.255.112.8 -> Quarantined and deleted successfully.
 

Infizierte Verzeichnisse:

C:\resycled (Trojan.DNSChanger) -> Quarantined and deleted successfully.
 

Infizierte Dateien:

c:\WINDOWS\system32\UACbrjevrletlwnorn.dll (Trojan.TDSS) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\UACgscbrfclqgpeicq.dll (Trojan.TDSS) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\UACwilbiwaxdwktumv.dll (Trojan.TDSS) -> Quarantined and deleted successfully.

c:\WINDOWS\Temp\UAC2594.tmp (Trojan.TDSS) -> Quarantined and deleted successfully.

c:\WINDOWS\Temp\UACc5b1.tmp (Trojan.TDSS) -> Quarantined and deleted successfully.

c:\WINDOWS\Temp\UACe6c6.tmp (Trojan.TDSS) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\uacinit.dll (Trojan.Agent) -> Quarantined and deleted successfully.

C:\WINDOWS\Tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job (Trojan.Downloader) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\UACniomybltfaimovv.dll (Trojan.Agent) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\UACftjcbjrgtvplxmq.dll (Trojan.Agent) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\UACoiohoogyxxmbvgq.dll (Trojan.Agent) -> Quarantined and deleted successfully.

c:\WINDOWS\system32\drivers\UACvkkllrhgnlvppjw.sys (Trojan.Agent) -> Quarantined and deleted successfully.

Ich glaube allerdings nicht, dass das alles ist. Im Ordner C:\Dokumente und Einstellungen\Helmut\Lokale Einstellungen\Temp hab ich nämlich noch verschiedene hübsche und meiner Einschätzung nach fragwürdige Dateien 32.tmp, 32.tmp.exe, a.dat, a.exe, b.exe sowie UACded5.tmp

Versuche noch einmal Combofix zu starten.

ciao, andreas

Mist, den letzten Beitrag hab ich nicht gesehen gehabt, da lief das Malware schon. Also:

tj.vbs

Code:

set Cleaner=createobject("wscript.shell") 

Cleaner.run "iexplore http://stat.winrar2009.cn:88/tj2.htm",vbhide

Screenshots der Ordner auf...

http://www.materialordner.de/beJmOJbus41EpSoFPs31bvkWiqz7g7Kh.html

Ich weiß nicht, was das für Zeug ist, das meiste ist vom 29. Juli 2008, ich hab den Rechner erst so im Oktober bekommen.

Jetzt guck ich mal zwecks Combo.

Hier das Ergebnis:

Code:

ComboFix 09-06-13.01 - Helmut 13.06.2009 19:59.1 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.1014.625 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Helmut\Desktop\cofi.exe

AV: AntiVir Desktop *On-access scanning disabled* (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}

AV: Sophos Anti-Virus *On-access scanning disabled* (Updated) {3F13C776-3CBE-4DE9-8BF6-09E5183CA2BD}

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

c:\windows\system32\uactmp.db

c:\windows\system32\UACvpibvlbtesakkdk.log

c:\windows\system32\UACwruwnswuirqnmup.dat

c:\windows\system32\UACyxkbhicsujtnjrx.db

C:\tj.vbs

c:\windows\system32\_000023_.tmp.dll

c:\windows\system32\_000024_.tmp.dll

c:\windows\system32\_000025_.tmp.dll

c:\windows\system32\_000026_.tmp.dll
 

----- BITS: Eventuell infizierte Webseiten -----
 

hxxp://rrznt2n.uni-regensburg.de

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Service_UACd.sys
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-05-13 bis 2009-06-13  ))))))))))))))))))))))))))))))

.
 

2009-06-13 16:13 . 2009-06-13 16:13        --------        d-----w-        c:\dokumente und einstellungen\Helmut\Anwendungsdaten\Malwarebytes

2009-06-13 16:13 . 2009-05-26 11:20        40160        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2009-06-13 16:13 . 2009-06-13 16:13        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2009-06-13 16:13 . 2009-05-26 11:19        19096        ----a-w-        c:\windows\system32\drivers\mbam.sys

2009-06-13 15:45 . 2009-06-13 15:45        --------        d-----w-        c:\programme\trend micro

2009-06-13 15:45 . 2009-06-13 15:45        --------        d-----w-        C:\rsit

2009-06-13 13:34 . 2009-06-13 16:13        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2009-06-13 13:16 . 2009-06-13 13:16        --------        d-----w-        c:\programme\CCleaner

2009-06-13 12:54 . 2009-03-30 08:33        96104        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2009-06-13 12:54 . 2009-03-24 14:08        55640        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2009-06-13 12:54 . 2009-02-13 10:29        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys

2009-06-13 12:54 . 2009-02-13 10:17        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys

2009-06-13 12:54 . 2009-06-13 12:54        --------        d-----w-        c:\programme\Avira

2009-06-13 12:54 . 2009-06-13 12:54        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2009-05-26 09:32 . 2009-05-26 09:32        --------        d-----w-        c:\programme\GPower 3.0

2009-05-25 18:16 . 2009-05-25 18:16        --------        d-----w-        C:\bd85e4d863ccece3f42812163eb8

2009-05-24 18:45 . 2009-05-24 18:45        --------        d-----w-        C:\d64625eedc0da9ce622a7e182d8a48

2009-05-24 18:45 . 2009-05-24 18:45        --------        d-----w-        C:\aa848d948b894d620da925

2009-05-24 18:38 . 2009-05-25 18:26        --------        d--h--w-        c:\windows\$hf_mig$
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-13 14:28 . 2005-06-22 13:45        --------        d-----w-        c:\programme\Filzip

2009-06-13 14:27 . 2009-02-08 13:01        --------        d-----w-        c:\programme\Google

2009-06-13 14:00 . 2005-06-22 13:29        --------        d-----w-        c:\programme\Java

2009-06-13 11:19 . 2009-02-05 15:17        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\NOS

2009-06-13 11:19 . 2009-02-05 15:17        --------        d-----w-        c:\programme\NOS

2009-06-13 11:11 . 2007-11-12 13:26        --------        d-----w-        c:\programme\Gemeinsame Dateien\Adobe

2009-06-07 14:35 . 2008-10-06 08:28        --------        d-----w-        c:\programme\Paint Shop Pro 7

2009-06-02 17:02 . 2008-10-28 14:00        190        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SafeNet Sentinel\Sentinel RMS Development Kit\System\prsgrc.dll

2009-05-26 09:27 . 2008-10-07 10:22        29232        ----a-w-        c:\dokumente und einstellungen\Helmut\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT

2009-05-25 18:21 . 2005-06-22 12:43        81842        ----a-w-        c:\windows\system32\perfc007.dat

2009-05-25 18:21 . 2005-06-22 12:43        452038        ----a-w-        c:\windows\system32\perfh007.dat

2009-05-12 16:19 . 2009-04-06 17:02        130104        ----a-w-        c:\windows\system32\sdccoinstaller.dll

2009-05-12 16:19 . 2009-04-06 17:02        23552        ----a-w-        c:\windows\system32\sophosboottasks.exe

2009-06-11 10:39 . 2006-02-02 12:25        67688        ----a-w-        c:\programme\mozilla firefox\components\jar50.dll

2009-06-11 10:39 . 2006-02-02 12:25        54368        ----a-w-        c:\programme\mozilla firefox\components\jsd3250.dll

2009-06-11 10:39 . 2007-11-12 11:42        34944        ----a-w-        c:\programme\mozilla firefox\components\myspell.dll

2009-06-11 10:39 . 2007-11-12 11:42        46712        ----a-w-        c:\programme\mozilla firefox\components\spellchk.dll

2009-06-11 10:39 . 2006-02-02 12:25        172136        ----a-w-        c:\programme\mozilla firefox\components\xpinstal.dll

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-03 15360]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"DVDLauncher"="c:\programme\CyberLink\PowerDVD\DVDLauncher.exe" [2004-07-07 53248]

"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2006-05-01 843776]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2006-07-21 98304]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-07-21 86016]

"Persistence"="c:\windows\system32\igfxpers.exe" [2006-07-21 81920]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2006-01-12 155648]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-01-05 413696]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"SunJavaUpdateSched"="c:\programme\Java\jre1.5.0_09\bin\jusched.exe" [2006-10-12 49263]

"NWTRAY"="NWTRAY.EXE" - c:\windows\system32\nwtray.exe [2002-03-12 28672]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"TSClientMSIUninstaller"="c:\windows\Installer\TSClientMsiTrans\tscuinst.vbs" [2006-11-07 12451]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

AutoUpdate Monitor.lnk - c:\programme\Sophos\AutoUpdate\ALMon.exe [2009-2-27 245760]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"CompatibleRUPSecurity"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"NoWelcomeScreen"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages        REG_MULTI_SZ           msv1_0 nwv1_0 wvauth
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SAVService]

@="service"
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Novell\\GroupWise\\grpwise.exe"=

"c:\\Novell\\GroupWise\\notify.exe"=

"c:\\Programme\\Microsoft Office\\OFFICE11\\OUTLOOK.EXE"=

"c:\\Programme\\SPSS-16.0\\spss.exe"=

"c:\\Programme\\SPSS-16.0\\SPSSWinWrapIDE.exe"=

"c:\\Programme\\SPSS-16.0\\spss.com"=

"c:\\Programme\\TYPO3_4.2.3\\Apache\\bin\\Apache.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"524:TCP"= 524:TCP:*:Disabled:ncp-tcp

"524:UDP"= 524:UDP:*:Disabled:ncp-udp
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)
 

R1 SAVOnAccessControl;SAVOnAccessControl;c:\windows\system32\drivers\savonaccesscontrol.sys [08.01.2007 09:47 110848]

R1 SAVOnAccessFilter;SAVOnAccessFilter;c:\windows\system32\drivers\savonaccessfilter.sys [08.01.2007 09:48 38528]

R2 ACEDRV06;ACEDRV06;c:\windows\system32\drivers\ACEDRV06.sys [13.10.2008 11:52 99840]

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\programme\Avira\AntiVir Desktop\sched.exe [13.06.2009 14:54 108289]

R2 SAVAdminService;Sophos Anti-Virus Statusreporter;c:\programme\Sophos\Sophos Anti-Virus\SAVAdminService.exe [28.05.2009 13:31 80936]

R2 SAVService;Sophos Anti-Virus;c:\programme\Sophos\Sophos Anti-Virus\SavService.exe [02.10.2008 18:30 98304]

R3 PortDRv;PST Port I/O Driver;c:\windows\system32\drivers\PortDRv.sys [06.12.2008 17:00 7168]

R3 SRBoxDRv;PST Serial Response Box Driver;c:\windows\system32\drivers\SRBoxDRv.sys [06.12.2008 17:00 11776]

S3 Ndisprot;ArcNet NDIS Protocol Driver;c:\windows\system32\drivers\ndisprot.sys [02.12.2008 17:18 27904]

.

Inhalt des "geplante Tasks" Ordners
 

2009-06-11 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.ncbi.nlm.nih.gov/pubmed/

uInternet Settings,ProxyOverride = <local>

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

FF - ProfilePath - 

.

.

------- Dateityp-Verknüpfung -------

.

vbsfile\shell\edit\command=%SystemRoot%\System32\Notepad.exe %1

.
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-13 20:03

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'lsass.exe'(540)

c:\windows\system32\wvauth.dll

c:\windows\system32\biolsp.dll
 

- - - - - - - > 'Explorer.exe'(3884)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Wave Systems Corp\common\DataServer.exe

c:\programme\Wave Systems Corp\common\DataServer.exe

c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\windows\system32\HPZipm12.exe

c:\programme\Sophos\AutoUpdate\ALsvc.exe

c:\programme\NTRU Cryptosystems\NTRU Hybrid TSS v2.0.25\bin\tcsd_win32.exe

c:\windows\system32\CF9580.exe

c:\windows\system32\wscntfy.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-06-13 20:06 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-06-13 18:06
 

Vor Suchlauf: 18 Verzeichnis(se), 56.981.794.816 Bytes frei

Nach Suchlauf: 18 Verzeichnis(se), 57.226.145.792 Bytes frei
 

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
 

194        --- E O F ---        2009-06-13 11:53

Übrigens, falls das wichtig ist, das folgende von Dir vorgeschlagene hatte ich noch NICHT gemacht!

Zitat:

Zitat von john.doe (Beitrag 441439)

Ja. Steht - glaub ich - auch so in der Anleitung, sogar mit Bildern. :)

ciao, andreas

p.s.:
1.) Da ComboFix nicht will, nochmal mit Avenger:

Code:

Drivers to delete:

ACEDRV06
 

Folders to delete:

C:\Config.Msi

C:\rsit
 

Files to delete:

C:\WINDOWS\system32\SETC3.tmp

C:\WINDOWS\system32\SETC2.tmp

C:\WINDOWS\tasks\AppleSoftwareUpdate.job

C:\WINDOWS\tasks\{783AF354-B514-42d6-970E-3E8BF0A5279C}.job

...

Zitat:

Übrigens, falls das wichtig ist, das folgende von Dir vorgeschlagene hatte ich noch NICHT gemacht!

Brauchst du nicht mehr. Den Job hat Malwarebytes erledigt, das vbs-Skript ComboFix, die Reste lösche ich dir mit ComboFix weg. Brauche jetzt etwas Zeit für das Script.

Für ein Antivirenprogramm musst du dich entscheiden, das andere deinstallieren. Mir wäre es lieber, wenn Avira bleibt, ist aber deine Entscheidung.

ciao, andreas

OK, ich muss jetzt hier leider aber weg, nach Hause... ab morgen Mittag bin ich dann wieder da. Schon mal vielen vielen Dank!

Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

Driver::

ACEDRV06
 

Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"=-

"Persistence"=-

"NeroFilterCheck"=-

"QuickTime Task"=-

"SunJavaUpdateSched"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]

"TSClientMSIUninstaller"=-

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SophosAntiVirus]

"DisableMonitoring"=-
 

Folder::

C:\Config.Msi

C:\rsit

C:\bd85e4d863ccece3f42812163eb8

C:\d64625eedc0da9ce622a7e182d8a48

C:\aa848d948b894d620da925

c:\dokumente und einstellungen\All Users\Anwendungsdaten\NOS

c:\programme\NOS
 

File::

c:\windows\system32\perfh007.dat

c:\windows\system32\perfc007.dat

C:\WINDOWS\system32\SETC3.tmp

C:\WINDOWS\system32\SETC2.tmp

C:\WINDOWS\tasks\AppleSoftwareUpdate.job

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Log von Combofix posten.

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Hallo Andreas, bin leider erst etwas später zurückgekommen als gedacht, für den Fall, dass Du in der Zeit gewartet hast. Hier das Ergebnis:

Code:

ComboFix 09-06-13.09 - Helmut 14.06.2009 14:26.2 - NTFSx86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.1014.595 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Helmut\Desktop\cofi.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Helmut\Desktop\cfscript.txt

AV: AntiVir Desktop *On-access scanning disabled* (Outdated) {AD166499-45F9-482A-A743-FDD3350758C7}
 

FILE ::

"c:\windows\system32\perfc007.dat"

"c:\windows\system32\perfh007.dat"

"c:\windows\system32\SETC2.tmp"

"c:\windows\system32\SETC3.tmp"

"c:\windows\tasks\AppleSoftwareUpdate.job"

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\aa848d948b894d620da925

C:\bd85e4d863ccece3f42812163eb8

C:\Config.Msi

C:\d64625eedc0da9ce622a7e182d8a48

c:\dokumente und einstellungen\All Users\Anwendungsdaten\NOS

c:\programme\NOS

C:\rsit

c:\aa848d948b894d620da925\$shtdwn$.req

c:\aa848d948b894d620da925\dotnetfx20\aspnet.msp

c:\aa848d948b894d620da925\dotnetfx20\clr.msp

c:\aa848d948b894d620da925\dotnetfx20\crt.msp

c:\aa848d948b894d620da925\dotnetfx20\dw.msp

c:\aa848d948b894d620da925\dotnetfx20\netfx_ca.msp

c:\aa848d948b894d620da925\dotnetfx20\netfx_core.msp

c:\aa848d948b894d620da925\dotnetfx20\netfx_other.msp

c:\aa848d948b894d620da925\dotnetfx20\netfx20a_x86.msi

c:\aa848d948b894d620da925\dotnetfx20\prexp.msp

c:\aa848d948b894d620da925\dotnetfx20\winforms.msp

c:\aa848d948b894d620da925\dotnetfx30\netfx30a_x86.msi

c:\aa848d948b894d620da925\dotnetfx30\rgb9rast_x86.msi

c:\aa848d948b894d620da925\dotnetfx30\wcf.msp

c:\aa848d948b894d620da925\dotnetfx30\wcs.msp

c:\aa848d948b894d620da925\dotnetfx30\wf.msp

c:\aa848d948b894d620da925\dotnetfx30\wf_32.msp

c:\aa848d948b894d620da925\dotnetfx30\wic_x86_enu.exe

c:\aa848d948b894d620da925\dotnetfx30\wpf_other.msp

c:\aa848d948b894d620da925\dotnetfx30\wpf_other_32.msp

c:\aa848d948b894d620da925\dotnetfx30\wpf1.msp

c:\aa848d948b894d620da925\dotnetfx30\wpf2.msp

c:\aa848d948b894d620da925\dotnetfx30\wpf2_32.msp

c:\aa848d948b894d620da925\dotnetfx30\x86\msxml6.msi

c:\aa848d948b894d620da925\dotnetfx30\xps.msp

c:\aa848d948b894d620da925\dotnetfx30\xpsepsc-x86-en-us.exe

c:\aa848d948b894d620da925\dotnetfx35\x86\netfx35_x86.exe

c:\aa848d948b894d620da925\dotnetfx35setup.exe

c:\aa848d948b894d620da925\tools\clwireg.exe

c:\bd85e4d863ccece3f42812163eb8\amd64\filterpipelineprintproc.dll

c:\bd85e4d863ccece3f42812163eb8\amd64\msxpsdrv.cat

c:\bd85e4d863ccece3f42812163eb8\amd64\msxpsdrv.inf

c:\bd85e4d863ccece3f42812163eb8\amd64\msxpsinc.gpd

c:\bd85e4d863ccece3f42812163eb8\amd64\msxpsinc.ppd

c:\bd85e4d863ccece3f42812163eb8\amd64\mxdwdrv.dll

c:\bd85e4d863ccece3f42812163eb8\amd64\xpssvcs.dll

c:\bd85e4d863ccece3f42812163eb8\i386\filterpipelineprintproc.dll

c:\bd85e4d863ccece3f42812163eb8\i386\msxpsdrv.cat

c:\bd85e4d863ccece3f42812163eb8\i386\msxpsdrv.inf

c:\bd85e4d863ccece3f42812163eb8\i386\msxpsinc.gpd

c:\bd85e4d863ccece3f42812163eb8\i386\msxpsinc.ppd

c:\bd85e4d863ccece3f42812163eb8\i386\mxdwdrv.dll

c:\bd85e4d863ccece3f42812163eb8\i386\xpssvcs.dll

c:\d64625eedc0da9ce622a7e182d8a48\baseline.dat

c:\d64625eedc0da9ce622a7e182d8a48\deffactory.dat

c:\d64625eedc0da9ce622a7e182d8a48\DeleteTemp.exe

c:\d64625eedc0da9ce622a7e182d8a48\dlmgr.dll

c:\d64625eedc0da9ce622a7e182d8a48\DW20.EXE

c:\d64625eedc0da9ce622a7e182d8a48\DWINTL20.DLL

c:\d64625eedc0da9ce622a7e182d8a48\eula.1025.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1028.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1029.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1030.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1031.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1032.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1033.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1035.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1036.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1037.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1038.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1040.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1041.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1042.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1043.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1044.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1045.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1046.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1049.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1053.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.1055.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.2052.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.2070.rtf

c:\d64625eedc0da9ce622a7e182d8a48\eula.3082.rtf

c:\d64625eedc0da9ce622a7e182d8a48\gencomp.dll

c:\d64625eedc0da9ce622a7e182d8a48\HtmlLite.dll

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1025.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1028.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1029.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1030.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1031.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1032.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1035.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1036.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1037.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1038.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1040.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1041.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1042.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1043.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1044.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1045.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1046.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1049.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1053.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.1055.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.2052.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.2070.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.3082.ini

c:\d64625eedc0da9ce622a7e182d8a48\locdata.ini

c:\d64625eedc0da9ce622a7e182d8a48\logo.bmp

c:\d64625eedc0da9ce622a7e182d8a48\setup.exe

c:\d64625eedc0da9ce622a7e182d8a48\setup.sdb

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1025.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1028.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1029.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1030.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1031.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1032.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1035.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1036.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1037.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1038.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1040.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1041.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1042.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1043.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1044.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1045.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1046.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1049.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1053.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.1055.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.2052.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.2070.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.3082.dll

c:\d64625eedc0da9ce622a7e182d8a48\setupres.dll

c:\d64625eedc0da9ce622a7e182d8a48\SITSetup.dll

c:\d64625eedc0da9ce622a7e182d8a48\vs_setup.dll

c:\d64625eedc0da9ce622a7e182d8a48\vs_setup.MS_

c:\d64625eedc0da9ce622a7e182d8a48\vs_setup.pdi

c:\d64625eedc0da9ce622a7e182d8a48\vs70uimgr.dll

c:\d64625eedc0da9ce622a7e182d8a48\vsbasereqs.dll

c:\d64625eedc0da9ce622a7e182d8a48\vsscenario.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1025.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1028.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1029.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1030.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1031.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1032.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1035.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1036.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1037.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1038.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1040.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1041.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1042.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1043.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1044.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1045.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1046.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1049.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1053.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.1055.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.2052.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.2070.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.3082.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapRes.dll

c:\d64625eedc0da9ce622a7e182d8a48\WapUI.dll

c:\dokumente und einstellungen\All Users\Anwendungsdaten\NOS\Adobe_Downloads\GoogleToolbarInstaller_de_401601_signed.exe

c:\rsit\info.txt

c:\rsit\log.txt

c:\windows\system32\perfc007.dat

c:\windows\system32\perfh007.dat

c:\windows\system32\SETC2.tmp

c:\windows\system32\SETC3.tmp

c:\windows\tasks\AppleSoftwareUpdate.job
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_ACEDRV06

-------\Service_ACEDRV06
 
 

(((((((((((((((((((((((   Dateien erstellt von 2009-05-14 bis 2009-06-14  ))))))))))))))))))))))))))))))

.
 

2009-06-13 16:13 . 2009-06-13 16:13        --------        d-----w-        c:\dokumente und einstellungen\Helmut\Anwendungsdaten\Malwarebytes

2009-06-13 16:13 . 2009-05-26 11:20        40160        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2009-06-13 16:13 . 2009-06-13 16:13        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2009-06-13 16:13 . 2009-05-26 11:19        19096        ----a-w-        c:\windows\system32\drivers\mbam.sys

2009-06-13 15:45 . 2009-06-13 15:45        --------        d-----w-        c:\programme\trend micro

2009-06-13 13:34 . 2009-06-13 16:13        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2009-06-13 13:16 . 2009-06-13 13:16        --------        d-----w-        c:\programme\CCleaner

2009-06-13 12:54 . 2009-03-30 08:33        96104        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2009-06-13 12:54 . 2009-03-24 14:08        55640        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2009-06-13 12:54 . 2009-02-13 10:29        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys

2009-06-13 12:54 . 2009-02-13 10:17        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys

2009-06-13 12:54 . 2009-06-13 12:54        --------        d-----w-        c:\programme\Avira

2009-06-13 12:54 . 2009-06-13 12:54        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2009-05-26 09:32 . 2009-05-26 09:32        --------        d-----w-        c:\programme\GPower 3.0

2009-05-24 18:38 . 2009-05-25 18:26        --------        d--h--w-        c:\windows\$hf_mig$
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-06-14 12:21 . 2007-01-08 07:47        --------        d-----w-        c:\programme\Sophos

2009-06-13 14:28 . 2005-06-22 13:45        --------        d-----w-        c:\programme\Filzip

2009-06-13 14:27 . 2009-02-08 13:01        --------        d-----w-        c:\programme\Google

2009-06-13 14:00 . 2005-06-22 13:29        --------        d-----w-        c:\programme\Java

2009-06-13 11:11 . 2007-11-12 13:26        --------        d-----w-        c:\programme\Gemeinsame Dateien\Adobe

2009-06-07 14:35 . 2008-10-06 08:28        --------        d-----w-        c:\programme\Paint Shop Pro 7

2009-06-02 17:02 . 2008-10-28 14:00        190        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SafeNet Sentinel\Sentinel RMS Development Kit\System\prsgrc.dll

2009-05-26 09:27 . 2008-10-07 10:22        29232        ----a-w-        c:\dokumente und einstellungen\Helmut\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT

2009-06-11 10:39 . 2006-02-02 12:25        67688        ----a-w-        c:\programme\mozilla firefox\components\jar50.dll

2009-06-11 10:39 . 2006-02-02 12:25        54368        ----a-w-        c:\programme\mozilla firefox\components\jsd3250.dll

2009-06-11 10:39 . 2007-11-12 11:42        34944        ----a-w-        c:\programme\mozilla firefox\components\myspell.dll

2009-06-11 10:39 . 2007-11-12 11:42        46712        ----a-w-        c:\programme\mozilla firefox\components\spellchk.dll

2009-06-11 10:39 . 2006-02-02 12:25        172136        ----a-w-        c:\programme\mozilla firefox\components\xpinstal.dll

.
 

(((((((((((((((((((((((((((((   SnapShot@2009-06-13_18.04.11   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-06-14 12:25 . 2009-06-14 12:25        401408              c:\windows\system32\CF29986.exe

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"DVDLauncher"="c:\programme\CyberLink\PowerDVD\DVDLauncher.exe" [2004-07-07 53248]

"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2006-05-01 843776]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2006-07-21 86016]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"NWTRAY"="NWTRAY.EXE" - c:\windows\system32\nwtray.exe [2002-03-12 28672]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]

"CompatibleRUPSecurity"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

"NoWelcomeScreen"= 1 (0x1)
 

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]

Authentication Packages        REG_MULTI_SZ           msv1_0 nwv1_0 wvauth
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Novell\\GroupWise\\grpwise.exe"=

"c:\\Novell\\GroupWise\\notify.exe"=

"c:\\Programme\\Microsoft Office\\OFFICE11\\OUTLOOK.EXE"=

"c:\\Programme\\SPSS-16.0\\spss.exe"=

"c:\\Programme\\SPSS-16.0\\SPSSWinWrapIDE.exe"=

"c:\\Programme\\SPSS-16.0\\spss.com"=

"c:\\Programme\\TYPO3_4.2.3\\Apache\\bin\\Apache.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=

"c:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"524:TCP"= 524:TCP:*:Disabled:ncp-tcp

"524:UDP"= 524:UDP:*:Disabled:ncp-udp
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)
 

R2 AntiVirSchedulerService;Avira AntiVir Scheduler;c:\programme\Avira\AntiVir Desktop\sched.exe [13.06.2009 14:54 108289]

R3 PortDRv;PST Port I/O Driver;c:\windows\system32\drivers\PortDRv.sys [06.12.2008 17:00 7168]

R3 SRBoxDRv;PST Serial Response Box Driver;c:\windows\system32\drivers\SRBoxDRv.sys [06.12.2008 17:00 11776]

S3 Ndisprot;ArcNet NDIS Protocol Driver;c:\windows\system32\drivers\ndisprot.sys [02.12.2008 17:18 27904]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.ncbi.nlm.nih.gov/pubmed/

uInternet Settings,ProxyOverride = <local>

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab

FF - ProfilePath - 

.
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-06-14 14:31

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'lsass.exe'(520)

c:\windows\system32\wvauth.dll

c:\windows\system32\biolsp.dll
 

- - - - - - - > 'Explorer.exe'(3584)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Wave Systems Corp\common\DataServer.exe

c:\programme\Wave Systems Corp\common\DataServer.exe

c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\windows\system32\HPZipm12.exe

c:\programme\NTRU Cryptosystems\NTRU Hybrid TSS v2.0.25\bin\tcsd_win32.exe

c:\windows\system32\wscntfy.exe

c:\windows\system32\CF29986.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-06-14 14:34 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-06-14 12:34

ComboFix2.txt  2009-06-13 18:06
 

Vor Suchlauf: 18 Verzeichnis(se), 58.532.560.896 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 58.492.530.688 Bytes frei
 

318        --- E O F ---        2009-06-13 11:53

Gibt es eine Besserung?

Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Lab: Anti-Virus, Internet Security, Mobile Security & Antiviren-Software und Services für Unternehmen
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

ciao, andreas

Ich denke schon. Adobe Reader funktioniert nach Neuinstallation ganz normal (das war ja der Auslöser, dass ich den Virus/Trojaner/was auch immer gemerkt habe). <- das muss dieses TDSS-X gewesen sein, den ich mir gestern Mittag eingefangen haben muss bzw. der sich da aktiviert hat.

Wenn ich z.B. auf google nach was suche und dann auf die Links klicke, lande ich nicht mehr auf irgendwelchen anderen Seiten (ebay etc.), was vorher so in vielleicht 10% der Fälle passiert ist, sowohl beim Internet Explorer als auch beim Firefox. <- das hatte ich schon länger, vielleicht drei Monate, aber es hat mich weiter nie wirklich gestört.

Bis jetzt schauts also soweit schon gut aus :aplaus:

Für Kaspersky installiere ich gerade denn Internet Explorer, meld mich dann wieder.

Wenn ich auf den Link zu "Kaspersky Online-Scanner" klicke, öffnet sich ein Fenster "Willkommen beim Online-Scanner von Kaspersky Lab! usw.". Ich klicke auf akzeptieren. Im Fenster erscheint jetzt "Initialisierung des Kaspersky Online Scanners", der blaue Balken darin wandert von rechts nach links und rechts... Eine Sicherheitsmeldung, oben eingeblendet "Diese Webseite möchte das folgende Add-On installieren: "Kaspersky Online Scanner" von "Kaspersky Lab" usw." Unten im Fenster selber "Klicken Sie hier, um das folgende ActiveX-Steuerelement zu installieren usw." Egal ob ich oben oder unten draufklicke, komme ich dann wieder zurück auf "Willkommen beim Online-Scanner von Kaspersky Lab! usw." Allerdings ohne Button unten, wo ich akzeptieren bzw. ablehnen auswählen kann.

OK, das wäre gelöst über Änderung der Einstellungen in der Systemsteuerung bzgl. ActiveX. Kaspersky lädt jetzt irgendein Zeugs runter...

Das sind die Virendefinitionen und das dauert. :)

ciao, andreas

Der Kaspersky ist durchgelaufen. Allerings kam kein Button, wo man ein Protokol oder überhaupt irgendwas hätte speichern können? Während er durchgelaufen ist, hat er aber 0 verdächtige Dateien gefunden.

Übrigens habe ich einen Ordner "Qoobox" auf Laufwerk C:, darinnen ein Ordnerverzeichnis Quarantine\C\ und da dann die Ordner aa848d..., bd85e4..., d64625... usw., also offenbar alle Dateien, die Du in das Skript reingeschrieben hattest?

Den löschen wir doch gleichmal, nicht das du damit Unfug treibst. :)

Start => Ausführen => combofix /u => OK

1.) CureIT Dr.Web

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

2.) Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

3.) Überprüfe den Rechner mit PrevXCSI. Sollte es Funde geben, erstelle Screenshots, lade sie bei einem Imagehoster hoch (z.B. pic.leech.it) und poste hier die Links.

ciao, andreas

1) Das mit combofix erledigt.

2) Das mit CureIT Dr.Web hab ich zwar gemacht (Schnellscan und danach intensiver Sacn), aber das ist wohl doch nicht idiotensicher. Jedenfalls konnte ich keine Bericht- oder Logliste speichern, da war die Schrift so hellgrau unterlegt, also eben inaktiv. Unabhängig davon sind 185170 Objekte überprüft worden, davon 0 Infizierte, 0 Modifizierte, 0 Verdächtige usw., also überall 0. Bei Aktionen auch überall 0.

3) Jetzt lass ich grade den Panda laufen, er hat bis jetzt ca. 35000 Dateien gescannt, davon meldet er schonmal 7 als infizierte Dateien. Aufgrund der angegebenen Pfadnamen müsste es sich bei mindestens 5 davon um pdf-Dateien handeln. Mir ist an denen noch nichts aufgefallen, hab sie schon ne ganze Weile. Vielleicht Fehlalarm. Naja, das wird jetzt noch ne Weile dauern...

Naja, ich will mal nicht so sein, 5 Minuten warte ich ausnahmsweise noch. :)

ciao, andreas

Inzwischen 45000 Dateien gescannt, 28 infiziert, 2 verdächtig. Werden immer mehr... vielleicht sollte ich gar nicht weiterforschen, PC ist ja soweit wieder arbeitsfähig...

Mal so nebenbei, waren das in irgendeiner Weise "gefährliche" Trojaner bzw. was haben sie gemacht bzw. wo könnte ich sie mir eingefangen haben, wenn es da irgendwelche Hinweise dahingehend gegeben haben sollte?

Zitat:

vielleicht sollte ich gar nicht weiterforschen, PC ist ja soweit wieder arbeitsfähig...

Das erinnert mich an die drei Affen. Einfach Augen zu, dann wird alles wieder gut. :lach:

Zitat:

waren das in irgendeiner Weise "gefährliche" Trojaner

Ja.

Zitat:

was haben sie gemacht

ThreatExpert Report: Trojan:Win32/Alureon.gen!J, Mal/FakeAV-S, Trojan.SillyWorm..

Zitat:

wo könnte ich sie mir eingefangen haben, wenn es da irgendwelche Hinweise dahingehend gegeben haben sollte?

Dafür müsste ich genauer hinschauen.

Erstelle ein Filelisting.

Lade die Datei listing0.bat auf deinen Desktop
Doppelklicke auf listing0.bat
Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. Materialordner.de) hochladen und hier den Link posten.

ciao, andreas

Naja, der PC gehört mir nicht, in nem halben Jahr oder so gibts nen neuen... :Boogie: Kleiner Scherz am Rande.

Hier jetzt das ActiveScan-Ergebnis:

Code:

;***********************************************************************************************************************************************************************************

ANALYSIS: 2009-06-14 20:49:08

PROTECTIONS: 1

MALWARE: 9

SUSPECTS: 3

;***********************************************************************************************************************************************************************************

PROTECTIONS

Description                                  Version                       Active    Updated

;===================================================================================================================================================================================

AntiVir Desktop                              9.0.1.30                      Yes       Yes

;===================================================================================================================================================================================

MALWARE

Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location

;===================================================================================================================================================================================

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\cafvu94z.default\cookies.txt[.doubleclick.net/]

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Cookies\sowa@doubleclick[1].txt

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Helmut\Anwendungsdaten\Mozilla\Firefox\Profiles\9bzel9lf.default\cookies.txt[.doubleclick.net/]

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.doubleclick.net/]

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Helmut\Cookies\helmut@doubleclick[1].txt

00139061  Cookie/Doubleclick                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Profiles\default\5mcrkoke.slt\cookies.txt[.doubleclick.net/]

00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Helmut\Anwendungsdaten\Mozilla\Firefox\Profiles\9bzel9lf.default\cookies.txt[.atdmt.com/]

00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.atdmt.com/]

00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Helmut\Anwendungsdaten\Mozilla\Firefox\Profiles\9bzel9lf.default\cookies.txt[.atdmt.com/]

00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\cafvu94z.default\cookies.txt[.atdmt.com/]

00139064  Cookie/Atlas DMT                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Helmut\Cookies\helmut@atdmt[2].txt

00145738  Cookie/Mediaplex                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Profiles\default\5mcrkoke.slt\cookies.txt[.mediaplex.com/]

00145738  Cookie/Mediaplex                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.mediaplex.com/]

00145738  Cookie/Mediaplex                   TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Cookies\sowa@mediaplex[1].txt

00167753  Cookie/Statcounter                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.statcounter.com/]

00168056  Cookie/YieldManager                TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[ad.yieldmanager.com/]

00168056  Cookie/YieldManager                TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[ad.yieldmanager.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168090  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.serving-sys.com/]

00168093  Cookie/Serving-sys                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.bs.serving-sys.com/]

00168109  Cookie/Adtech                      TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Profiles\default\5mcrkoke.slt\cookies.txt[.adtech.de/]

00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.advertising.com/]

00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.advertising.com/]

00169190  Cookie/Advertising                 TrackingCookie      No        0         Yes            No           C:\Dokumente und Einstellungen\Sowa\Anwendungsdaten\Mozilla\Firefox\Profiles\0avi78fr.default\cookies.txt[.advertising.com/]

;===================================================================================================================================================================================

SUSPECTS

Sent      Location                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              b

;===================================================================================================================================================================================

No        C:\Dokumente und Einstellungen\Helmut\Desktop\Studium\Neurowissenschaften - Kurs SPM (09)\Programm\spm5_rev1782.zip[spm5/file2mat.dll]

No        C:\Dokumente und Einstellungen\Helmut\Desktop\Studium\Neurowissenschaften - Kurs SPM (09)\Programm\spm5_rev1782.zip[spm5/file2mat.mexw32]

No        C:\Programme\IrfanView\Languages\Finnish.dll                                                                                                                                                                                                                                                                                                                                                                                                                                                                          b

;===================================================================================================================================================================================

VULNERABILITIES

Id        Severity   Description                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                b

;===================================================================================================================================================================================

;===================================================================================================================================================================================

Bzgl. der "suspects", die beiden zip-Dateien sollten mit ziemlicher Sicherheit harmlos sein, es handelt sich dabei um eine Toolbox (SPM5), mit der man in MATLAB Daten auswerten kann (Hirnktivität usw.).

Es sind also unter den "Malware" keine pdfs dabei, da hab ich mich getäuscht.

listing.txt jetzt auf Materialordner.de zu haben.

Ergebnis von Prevx auf PiC.LEECH.iT, offenbar negativer Befund.

Du/Ihr (Administrator, Helmut, eckert, Sowa und greenlee) scheint Glück gehabt zu haben. Das Teil verbreitet sich auf drei Wegen. Der Auslöser ist meistens ein Keygen, den sich irgendwer irgendwo runterlädt. Wenn es erstmal aktiv ist, dann verbreitet es sich über externe Datenträger (Memorysticks sind am beliebtesten) und über das Netzwerk. Der genaue Auslöser ist nicht auszumachen. Aber aufgrund der vbs-Datei ist die Infektion über externe Datenträger am wahrscheinlichsten.

Alle Programme, die wir benutzt haben, deinstallieren/löschen.

Wie geht es dem Rechner? Noch irgendwelche Auffälligkeiten?

ciao, andreas

Kannst Du vielleicht grob einen Zeitaum angeben, also passt das mit gestern? Nicht dass ich mir um gebrannte DVDs usw. Sorgen machen muss. Bzw. dass der Rechner durch USB-Stick infiziert wurde (habe ich aber die letzten Tage nicht angesteckt gehabt).

Ansonsten (momentan zumindest) keine Auffälligkeiten mehr.

OK, ich bedanke mich dann derweil schon mal herzlich für die ganze bis jetzt geleistete Hilfe und die viele viele Geduld, die Du aufgebracht hast! Echt richtig klasse! :dankeschoen:

Ich hoffe, dass sich damit alles erledigt hat. Und jetzt gehts ans Deinstallieren. Tschau, schönen Abend!

Du bist entlassen. :)

ciao, andreas