|
OTL Teil3: Code: [2009.10.29 19:12:31 | 00,044,928 | ---- | C] (Microsoft Corporation) -- C:\WINDOWS\System32\drivers\agpcpq.sys |
OTL Extras Code: OTL Extras logfile created on: 02.11.2009 12:38:11 - Run 6 |
Eine kurze Frage könnte ich diese Methode anwenden um den abgesciherten Modus wieder zum laufen zu bekommen? Code: Sollte einmal der Fall auftreten das Windows nach dem Einschalten nicht mehr hochfährt und auf dem Bildschirm die Meldung erscheint das kein System gefunden wurde und man soll doch eine Systemdisk einlegen, dann wird es Zeit den Bootsektor zu reparieren.1. Das Programm OTM hat den Inhalt aller "Temp" Folder gelöscht. Das finde ich genial, in dem CClenaer finde ich diese Funktion leider nicht (Nur den von den Browsern). Kennst du ein ein Programm (möglichst schlank) welches das gleiche macht? 2. Welchen Virenscanner kannst du mir empfehlen? (Bitte Kostenfrei) Sehr hohe Priorität lege ich auf Resscourcen Sparsamkeit da ich diese meist auf älteren Rechnern installiere. Ich sage schonmal vielen vielen Dank =) Das ist ein Service hier!!! Echt erstaunlich das es sowas noch "kostenfrei" gibt. Oder flattert bald eine schöne Rechnung in meinen Briefkasten? ;D |
Also geht der abgesicherte Modus noch nicht :) Sehen wir mal nach. Kontrolle, ob Master Boot Record in Ordnung ist (MBR-Rootkit)
|
MBR: Code: Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net |
Entschuldigung, könnte sich das hier bitte mal jemand ansehen und seine Meinung mitteilen. MfG Protokoll Findykill: ----------------- FindyKill V4.005 ------------------ * User : PCS - LENOVO-ED8A7C5A * Emplacement : C:\Programme\FindyKill * Outils Mis a jours le 17/10/08 par Chiquitine29 * Recherche effectuée à 10:43:47 le 02.11.2009 * Windows XP - Internet Explorer 7.0.5730.11 ((((((((((((((((( *** Recherche *** )))))))))))))))))) --------------- [ Processus actifs ] ---------------- C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\csrss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\ibmpmsvc.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe C:\Programme\ThinkPad\Bluetooth Software\bin\btwdins.exe C:\Programme\Intel\Wireless\Bin\S24EvMon.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\system32\spoolsv.exe C:\WINDOWS\system32\IPSSVC.EXE C:\Programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe C:\Programme\Autodesk\Data Management Server 2008\Server\Webserver\Connectivity.EDMWS.Server.exe C:\Programme\Dassault Systemes\B11\intel_a\code\bin\CATSysDemon.exe C:\WINDOWS\system32\svchost.exe C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe C:\Programme\Intel\Wireless\Bin\EvtEng.exe C:\WINDOWS\system32\FastNetSrv.exe C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe C:\Programme\FLEXlm\MDESIGN\lmgrd.exe C:\Programme\Microsoft SQL Server\MSSQL.2\MSSQL\Binn\sqlservr.exe C:\Programme\FLEXlm\MDESIGN\lmgrd.exe C:\Programme\FLEXlm\MDESIGN\TEDATA.exe c:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe C:\Programme\Intel\Wireless\Bin\RegSrvc.exe C:\WINDOWS\System32\snmp.exe C:\Programme\Gemeinsame Dateien\Lenovo\tvt_reg_monitor_svc.exe C:\WINDOWS\System32\TPHDEXLG.exe C:\Programme\Lenovo\Client Security Solution\tvttcsd.exe C:\Programme\Lenovo\Rescue and Recovery\rrpservice.exe C:\Programme\Lenovo\Rescue and Recovery\rrservice.exe c:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\tvtsched.exe C:\Programme\Lenovo\Rescue and Recovery\ADM\IUService.exe C:\WINDOWS\system32\wdfmgr.exe C:\Programme\Gemeinsame Dateien\Lenovo\Logger\logmon.exe C:\Programme\ThinkPad\ConnectUtilities\AcSvc.exe C:\WINDOWS\system32\wbem\wmiapsrv.exe C:\Programme\ThinkPad\ConnectUtilities\SvcGuiHlpr.exe C:\DOKUME~1\PCS\LOKALE~1\Temp\b.exe C:\WINDOWS\msb.exe C:\WINDOWS\Explorer.EXE C:\Programme\Diskeeper Corporation\Diskeeper\DkIcon.exe C:\WINDOWS\system32\rundll32.exe C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe C:\Programme\Apoint2K\Apoint.exe C:\WINDOWS\system32\TpShocks.exe C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe C:\WINDOWS\system32\igfxtray.exe C:\WINDOWS\system32\igfxpers.exe C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe C:\Programme\Java\jre1.5.0_06\bin\jusched.exe C:\WINDOWS\System32\DLA\DLACTRLW.EXE C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe C:\Programme\Lenovo\AwayTask\AwaySch.EXE C:\PROGRA~1\THINKV~1\PrdCtr\LPMGR.exe C:\PROGRA~1\THINKV~1\AMSG\amsg.exe C:\Programme\Lenovo\Client Security Solution\cssauth.exe C:\Programme\Winamp\winampa.exe C:\Programme\iTunes\iTunesHelper.exe C:\Programme\pdfforge Toolbar\SearchSettings.exe C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe C:\WINDOWS\system32\RUNDLL32.EXE C:\WINDOWS\System32\reader_s.exe C:\WINDOWS\system32\restorer32_a.exe C:\WINDOWS\system32\ctfmon.exe C:\WINDOWS\system32\wintems.exe C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\flec006.exe C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\DealAssistant\dealassistant.exe C:\Dokumente und Einstellungen\PCS\reader_s.exe C:\Dokumente und Einstellungen\PCS\restorer32_a.exe C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\Microsoft\Windows\oulwsv.exe C:\Programme\ThinkPad\Bluetooth Software\BTTray.exe C:\Programme\Digital Line Detect\DLG.exe C:\Programme\WinZip\WZQKPICK.EXE C:\Programme\Apoint2K\ApMsgFwd.exe C:\WINDOWS\system32\igfxsrvc.exe C:\Programme\Lenovo\Client Security Solution\tvtpwm_tray.exe C:\WINDOWS\System32\svchost.exe c:\Programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe C:\Programme\Apoint2K\Apntex.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Uniblue\RegistryBooster 2010\registrybooster.exe C:\Programme\iPod\bin\iPodService.exe C:\WINDOWS\system32\wbem\wmiprvse.exe --------------- [ Processus infectieux stoppés ] ---------------- "C:\WINDOWS\system32\wintems.exe" (3460) "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\flec006.exe" (1864) --------------- [ Fichiers/Dossiers infectieux ] ---------------- »»»» Presence des fichiers dans C: »»»» Presence des fichiers dans C:\WINDOWS »»»» Presence des fichiers dans C:\WINDOWS\Prefetch Present ! - C:\WINDOWS\prefetch\3862578.EXE-048435A3.pf Present ! - C:\WINDOWS\prefetch\FLEC006.EXE-33FC3620.pf Present ! - C:\WINDOWS\prefetch\MDELK.EXE-1D176F91.pf Present ! - C:\WINDOWS\prefetch\WINTEMS.EXE-2A563F9B.pf »»»» Presence des fichiers dans C:\WINDOWS\system32 Présent ! - C:\WINDOWS\system32\mdelk.exe Présent ! - C:\WINDOWS\system32\wintems.exe »»»» Presence des fichiers dans C:\WINDOWS\system32\drivers Présent ! - C:\WINDOWS\system32\drivers\mdelk.exe Présent ! - C:\WINDOWS\system32\drivers\srosa.sys Présent ! - C:\WINDOWS\system32\drivers\hldrrr.exe Présent ! - "C:\WINDOWS\system32\drivers\down" Présent ! - "C:\WINDOWS\system32\drivers\downld" »»»» Presence des fichiers dans C:\Dokumente und Einstellungen\PCS\Anwendungsdaten Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\flec006.exe" Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\list.oct" Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\data.oct" Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\srvlist.oct" Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m\shared" Présent ! - "C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\m" »»»» Presence des fichiers dans C:\DOKUME~1\PCS\LOKALE~1\Temp --------------- [ Registre / Startup ] ---------------- ! REG.EXE VERSION 3.0 HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run PWRMGRTR REG_SZ rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\PWRMGRTR.DLL,PwrMgrBkGndMonitor BLOG REG_SZ rundll32 C:\PROGRA~1\ThinkPad\UTILIT~1\BatLogEx.DLL,StartBattLog TPFNF7 REG_SZ C:\Programme\Lenovo\NPDIRECT\TPFNF7SP.exe /r TPHOTKEY REG_SZ C:\Programme\Lenovo\HOTKEY\TPOSDSVC.exe Apoint REG_SZ C:\Programme\Apoint2K\Apoint.exe TpShocks REG_SZ TpShocks.exe EZEJMNAP REG_SZ C:\PROGRA~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe IgfxTray REG_SZ C:\WINDOWS\system32\igfxtray.exe HotKeysCmds REG_SZ C:\WINDOWS\system32\hkcmd.exe Persistence REG_SZ C:\WINDOWS\system32\igfxpers.exe TVT Scheduler Proxy REG_SZ C:\Programme\Gemeinsame Dateien\Lenovo\Scheduler\scheduler_proxy.exe SunJavaUpdateSched REG_SZ C:\Programme\Java\jre1.5.0_06\bin\jusched.exe DLA REG_SZ C:\WINDOWS\System32\DLA\DLACTRLW.EXE ISUSPM Startup REG_SZ C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup ISUSScheduler REG_SZ "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start AwaySch REG_SZ C:\Programme\Lenovo\AwayTask\AwaySch.EXE LPManager REG_SZ C:\PROGRA~1\THINKV~1\PrdCtr\LPMGR.exe AMSG REG_SZ C:\PROGRA~1\THINKV~1\AMSG\amsg.exe DiskeeperSystray REG_SZ "C:\Programme\Diskeeper Corporation\Diskeeper\DkIcon.exe" cssauth REG_SZ "C:\Programme\Lenovo\Client Security Solution\cssauth.exe" silent WinampAgent REG_SZ C:\Programme\Winamp\winampa.exe QuickTime Task REG_SZ "C:\Programme\QuickTime\qttask.exe" -atboottime iTunesHelper REG_SZ "C:\Programme\iTunes\iTunesHelper.exe" Adobe Reader Speed Launcher REG_SZ "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" SearchSettings REG_SZ C:\Programme\pdfforge Toolbar\SearchSettings.exe VirtualCloneDrive REG_SZ "C:\Programme\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s <NO NAME> REG_SZ StatusClient REG_SZ C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto TomcatStartup REG_SZ C:\Programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe net REG_SZ "C:\WINDOWS\system32\net.net" ter8m REG_SZ RUNDLL32.EXE C:\WINDOWS\system32\msxm192z.dll,w reader_s REG_SZ C:\WINDOWS\System32\reader_s.exe restorer32_a REG_SZ C:\WINDOWS\system32\restorer32_a.exe Windows System Defender REG_SZ "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\e5a1660\WSe5a1.exe" /s /d Regedit32 REG_SZ C:\WINDOWS\system32\regedit.exe ClamWin REG_SZ "C:\Programme\ClamWin\bin\ClamTray.exe" --logon Winpooch REG_SZ C:\Programme\Winpooch\Winpooch.exe avast! REG_SZ C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\OptionalComponents ! REG.EXE VERSION 3.0 HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run CTFMON.EXE REG_SZ C:\WINDOWS\system32\ctfmon.exe PopRock REG_SZ C:\DOKUME~1\PCS\LOKALE~1\Temp\b.exe DealAssistant REG_SZ C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\DealAssistant\dealassistant.exe reader_s REG_SZ C:\Dokumente und Einstellungen\PCS\reader_s.exe restorer32_a REG_SZ C:\Dokumente und Einstellungen\PCS\restorer32_a.exe SfKg6wIPuSpdcduD7 REG_SZ C:\Dokumente und Einstellungen\PCS\Anwendungsdaten\Microsoft\Windows\oulwsv.exe NordBull REG_SZ C:\WINDOWS\msb.exe SpybotSD TeaTimer REG_SZ C:\Programme\Spybot - Search & Destroy\TeaTimer.exe HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run\not active --------------- [ Registre / Clés infectieuses ] ---------------- Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\Local AppWizard-Generated Applications\uiytuhjy Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\DateTime4 Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\FirstRRRun Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\FirtR Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\MuleAppData Présent ! - HKEY_USERS\S-1-5-21-4284965654-3998773893-3154732862-1008\Software\XYZ Présent ! - HKEY_CURRENT_USER\Software\Local AppWizard-Generated Applications\uiytuhjy Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\srosa Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\srosa Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet003\Services\srosa Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SROSA Présent ! - HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SROSA Présent ! - HKEY_CURRENT_USER\Software\DateTime4 Présent ! - HKEY_CURRENT_USER\Software\XYZ Présent ! - HKEY_CURRENT_USER\Software\FirtR Présent ! - HKEY_CURRENT_USER\Software\FirstRRRun --------------- [ Etat / Services ] ---------------- +- Services : [ Auto=2 Demande=3 Désactivé=4 ] /!\ Ndisuio - Type de démarrage = 4 /!\ Ip6Fw - Type de démarrage = 4 /!\ SharedAccess - Type de démarrage = 4 /!\ wuauserv - Type de démarrage = 4 /!\ wscsvc - Type de démarrage = 4 --------------- [ Recherche dans supports amovibles] ---------------- +- Informations : C: - Eingebautes Laufwerk +- presence des fichiers : --------------- [ Registre / Moutpoint2 ] ---------------- -> Recherche négative. ------------------- ! Fin du rapport ! -------------------- |
@ Mentalmaxxl Format C ist hierbei der einzige Weg was sinnvoll ist. Und nicht in Fremde Threads posten, der hier gehört runner. So Back MBR ist OK :) schritt 1 Registry mit ERUNT sichern Da wir in der Registry Änderungen vornehmen müssen, wirst Du die Registry vorher wie folgt sichern: Lade das Tool ERUNT von Lars Hederer herunter und installiere es. Starte die erunt.exe und erstelle damit eine Backup der Registry in den vorgegebenen Ordner. Unter Sicherungsoptionen bitte alle drei Möglichkeiten anhaken. Das Programm nicht in den Systemstart aufnehmen. schritt 2 Abgesicherterten Modus reparieren
Zitat:
Berichte ob es geklappt hat. Windows CD ist vorhanden wie ich gelesen habe :) |
Anleitung befolgt ;D Der abgesicherte Modus funktioniert. :applaus: |
<< the best :singsing: So räumen wir auf :) Tool-Bereinigung mit OTM Wir werden nun die CleanUp!-Funktion von OTM nutzen, um die meisten Programme, die wir zur Bereinigung installiert haben, wieder von Deinem System zu löschen.
Zu CCLeaner kommen wir dann noch. Der kann das nämlich auch ;) Schlankes AntiViren Programm Avira :) Poste mir bitte eine HJT Logfile und berichte wie sich der Rechner macht. (ich meld mich gegen 22 uhr wieder. Muss in die schule :pukeface:) |
Super und nochmal vielen Dank. :taenzer: Der Rechner macht sich sehr gut. Läuft soweit alles perfekt. EDIT: Nur der vorletzte Eintrag bei HJT ich habe hier keine Google Software installiert (Googel Earth oder sonstiges). Ich sehe auch keinen Google Ordner in den Programmen oder Software etc: Code: O23 - Service: Google Update Service (gupdate1c9b2e728892258) (gupdate1c9b2e728892258) - Unknown owner - C:\Programme\Google\Update\GoogleUpdate.exe (file missing)HJT: Code: Logfile of Trend Micro HijackThis v2.0.2 |
dann nehmen wir das noch raus :) Starte Hijackthis--> open Misc Tool selection--> delete an NT Service Kopiere nun bitte den Namen aus der Code-Box und füge ihn in das Fenster ein Code: gupdate1c9b2e728892258Was mir noch aufgefallen ist. Mir fehlt ein Anti Vir Programm im Autostart. Bitte folgendes.
Poste bitte eine neue HJT Logfile |
Liste der Anhänge anzeigen (Anzahl: 1) Jap, AntiVir habe ich mit CClenaer estmal aus dem Autostart genommen. Dachte es könnte sich mit einigen Programmen zur Beseitigung der restlichen Viren ins gehege kommen. Habe es mittlerweile wieder im Autostart. Wenn ich den Schritt mit HJT gehen möchte bekomme ich folgende Meldung (im Anhang). Soll ich es mal im abgesicherten Modus versuchen? |
Dann machen wir es anders :) start --> ausführen (Vista User: suche starten) --> notepad (reinschreiben) Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument Code: @echo offWähle bei Dateityp alle Dateien aus. Bei Codierung bitte ANSI auswählen. Doppelklick auf die service.bat Vista- User: Mit Rechtsklick "als Administrator starten" ausführen Poste danach eine neue HJT Logfile |
Okay ;D Sehr schön der Eintrag ist weg. Code: Logfile of Trend Micro HijackThis v2.0.2 |
Logfile ist sauber :daumenhoc: Wenn es keine Probleme oder Fragen mehr gibt, hab ich Hier noch was zu lesen für Dich zum Thema Sicherheit von JigSaw. |
| Alle Zeitangaben in WEZ +1. Es ist jetzt 07:59 Uhr. |
Copyright ©2000-2025, Trojaner-Board