Ich melde mich nochmal kurz: Da steht:

No Drive Type AUtorun exists. Overwrite? Yes or No?

Also ist das schon da? Auf No gehen oder?

Yes drücken. der Wert 255 bzw 0xff deaktiviert den Autorun sämtlicher externen Geräte. Den Reg-eintrag mußt du nur 1 mal ausführen, die Einstellung bleibt auch nach einem reboot und gilt systemweit.

Dankeschön, hab Deinen Rat befolgt, yes eingegeben, bestätigt, Neustart und jetzt die externe Platte dran. ( Änderungen wirksam ) Kaspersky läuft. Ich laß jetzt nur die externe scannen erstmal. Und was meinte Coverflow da mit den INternet-Browser-Einstellungen? Das war das, was ich alles nicht kapiert hatte.

Also, jetzt brauch ich das mit der Shift-Taste nie mehr zu machen? Dieser Befehl ist jetzt dauerhaft für immer? Sehr gut! Ich mache mir nur noch ein wenig Sorgen, weil ja der Kaspersky keinen Virtumonde findet. Aber Du meinst, Antispyware wäre nicht mehr nötig? Dann laß ich das.

Ich wüßte nur mal ganz gerne, ob ich den Virtumonde überhaupt drauf hatte oder ob es ein Fehlalarm war und wann ich ihn mir WENN, eingefangen habe?

Bei einem onlinescan, wie von coverflow verlinkt, wird der scanner nicht lokal auf dem System installiert, allenfalls - und ich glaube üblich - die Signaturdatenbanken. Die Steuerung des scans läuft über ActiveX, einer Eigenart des Internet Explorers. Diese ActiveX-Elemente müssen für den scan installiert werden. Damit das funktioniert, muss der Browser, sprich IE, die Installation von ActiveX-Elementen zulassen, und dies erreicht man mit den Standardeinstellungen beim IE, von denen coverflow sprach. In einer ruhigen Minute kannst du das mal testen. Derzeit ist es nicht relevant, da ich einen onlinescan nicht für notw. erachte. Richtig. Kaspersky findet sehr wohl virtumonde, entscheidend ist die Frage: War er überhaupt auf dem System?! Spybot SD hat ihn gemeldet - als einziger scanner - und ich trau dem nicht, da spybot in der Vergangenheit öfter mit Fehlalarm - auch im Hinblick auf virtumonde - zu kämpfen hatte.

Deshalb haben mich in erster Linie die Logs von Spybot interessiert, um einen sinnvollen Gegencheck zu machen. Aber dazu später...

Mist, ich wußte das nicht mit den Spybot-Logs. Hätte ich das eher gewußt, hätte ich es noch nicht sofort deinstalliert. Ja, es wäre wirklich super, wenn das nur ein Fehlalarm gewesen wäre. Du meinst, Kaspersky würde den Trojaner auch finden? Gut, dann bin ich doch beruhigt und vertraue ihm auch weiterhin. Also hältst Du nicht viel davon, daß ich mir zusätzlich noch den Antispyware draufmache? Reicht der Kaspersky völlig aus? Von Spybot halte ich auch nicht soviel. Finde diesen Antispyware ja viel besser. Aber Du meintest, wenn man Kaspersky hat, wäre der überflüssig?

Ja ich werde das mit dem IE mal in einer ruhigen Minute demnächst machen. Danke auf jeden Fall für Deine Erklärungen. Muß ich morgen aber auch nochmal in Ruhe durchlesen.

Dieses rsit mache ich aber morgen auch noch und stelle es hier rein. Nur dann sollte bald alles wieder sauber sein, hoffe ich. Aber ich glaube langsam auch immer mehr an einen Fehlalarm. :)

Externe Platte war astrein. Keine Infektion gefunden hat Kaspersky gesagt. Was ist denn eigentlich mit den CD´s, die ich vor kurzem gebrannt habe? Sol ich sie auch mal scannen lassen? Aber ich will ja nicht, daß FALLS wieder was da sein sollte, der PC wieder infiziert wird. Gilt diese Autorun-Funktion auch für CD´s?

So hier mal das erste von RSIT:

Ich habe das zweite auch. Nur bin ich nicht sicher, da steht System log. Wobei wieder soviele private Infos über den PC stehen. Name des Computers und so. Was soll ich da alles besser verschlüsseln vorher oder soll ich es einfach so reinstellen?

Ach und noch eine Frage: Wegen dem CCleaner meldet sich jetzt immer der MCAfee und will das System scannen. Soll ich das erlauben? Aber ich brauche den doch nicht mehr oder? Kaspersky reicht doch. Was meint Ihr?

McAfee solltest du deinstallieren, das ist überflüssig.

Mich irritiert:
der 323er ist gaga beim anderen sollte 255 stehen, sofern du den "reg add"-Befehl ausgeführt hast

poste bitte die Ausgabe von:

Die persönlichen Infos im Syslog bitte mit ********* unkenntlich machen.

Das verstehe ich aber auch nicht. Ich habe doch den Befehl so durchgeführt, wie Du gesagt hast. Und da stand auch: Änderungen werden aktiv.

Komisch. Soll das heißen, es hatte nicht funktioniert? Also soll ich den neuen Befehl jetzt nochmal eingeben bei cmd? Den Du jetzt nochmal aufgeführt hast? Oder was meinst Du mit posten? Woran kann ich denn sehen, ob es geklappt hat?

Ja, das ist ein guter Witz! Die persönlichen Infos. Woher soll ich armer Laie denn wissen, was zu persönlich dazuzählt und was nicht bei dem ganzen Wirrwarr von Zahlen und Namen?`Am besten wohl alles von Sys log. Oder sag am besten nur, was Du von dem Syslog überhaupt brauchst.

Ich wiederhole mich Indem der arme Laie mal in faqs schaut: http://www.trojaner-board.de/69887-f...en-web-pc.html

edit: Ok, laß die reg query -Befehle sein. Rsit ließt die Werte richtig aus.

Führe stattdessen aus

Ich verstehe nicht ganz, wenn das nicht geklappt hat, muß ich dann doch besser wieder die Shift-Taste gedrückt halten um sicher zu gehen? Gut, dann gebe ich deine neuen drei Befehle ein und laß RSIT nochmal auslesen und stelle es dann rein. Hoffentlich klappt das dann jetzt.

Du, bei den FAQs habe ich ja gelesen. Ich weiß, den Benutzernamen, aktive Links und so, alles verschlüsseln. Aber bei dem System Log da stehen soviele Sachen.

Computer-Name
Event-Code
Record Number
Source Name

Da weiß ich leider nicht, was ich davon angeben soll und was nicht. Was ist zu privat und was nicht? Also ich denke Computer-Name auf jeden Fall.

Sicher, dass bei deiner Paranoia ein öffentliches Forum das Mittel der Wahl ist?! :rolleyes:

Wenn dein Computer deinen Realnamen enthält, deine Tel.Nr, deine e-mail-Adresse oder er "Michi's Schlüpferstürmer" heißt, dann editiere. Die anderen Einträge lass, wie sie sind.

Das hat ja nichts damit zu tun. Ich gebe Euch ja die Infos. Nur weiß ich ja leider nicht, was man angeben kann und was nicht. Ich bin leider mal Opfer von einem PC-Crack geworden, der meinen PC fernsteuern konnte. Und da ist doch klar, daß man dann besonders auf der Hut ist.

Aber mal was Anderes: Habe ein neues RSIT gemacht. Und er hat wieder nur 323 angegeben. Was kann das nur sein?

Das andere hat er nicht mehr erstellt. Aber das stelle ich nachher auf jeden Fall noch rein. Muß jetzt aber erstmal weg.

rsit schreibt ein falsches log, warum auch immer... Den Fehler kann ich nachvollziehen, kapiers aber nicht. Vielleicht besteht ein Zusammenhang mit combofix.

Poste bitte die Ausgabe von (wie immer start-Ausführen -cmd -> obigen Text einfügen)

und zusätzlich das rsit-log, an dem Autorun eintrag stören wir uns nicht weiter

Also den Befehl habe ich wieder ordnungsgemäß ausgeführt. Nur leider schreibt RSIT wieder die Sache mit der 323. So, als hätte sich nichts geändert.

Befehl, Ok und dann Neustart. Und im schwarzen Fenster stand auch wieder, daß der Befehl ordnungsgemäß ausgeführt wurde.

Log folgt noch. Aber ich wollte Dir nur schonmal sagen, daß er immer noch 323 als Zahl hat. :confused:

edit: Hier das Log, da siehst DU, daß es wieder dasselbe ist!