Hallo Daniel,

danke für Deine Antwort, allerdings ist diese für mich als Nicht-Guru teilweise ziemlich verwirrend!


Combofix setze ich nicht nach gut dünken ein, sonder nach Anweisung durch Helfer! Was habe ich falsch gemacht?

Welcher Registry Eintrag ist gemeint? Wie soll ich's machen?

Ich verstehe auch diese Äusserung nicht...

Oder war ich mit der Antwort nicht gemeint? Bitte um etwas Aufklärung.

Danke,
Winfried

Zumindest die myfidelio.net habe ich selbst eingetragen, brauchte ich geschäftlich, aber jetzt nicht mehr. Die aekyung.kr ... weiss nicht mehr wozu die noch gut wäre, kann auch weg. Ich mache das selbst.

Was müssen wir sonst noch tun? Siehe auch Einwände von Daniel...

Der Taskmanager scheint wieder einwandfrei zu gehen... Aber manchmal kommen mir Programmstartzeiten halt noch etwas lang vor. So richtig wohl fühle ich mich noch nicht.

Gruss,
Winfried

Hallo,

der Post vom Daniel war an mich gerichtet - also davon nicht irritieren lassen ;)

Bitte noch mal einen Durchlauf mit SuperAntiSpyware machen, dann haben wir mehr Gewissheit, dass dein System wieder sauber ist.

OK, Superantispyware ist durchgelaufen und Wir sind wohl noch nicht fertig, aber vielleicht "Herr der Lage"...

Irgendwie hat das Programm aber anders weitergeführt als in der Anleitung... und die Malwareträchtigen Dateien entfernt! Ich hoffe das ist kein Problem... Jedenfalls hat Windows normal gebootet, dann hat sich SASW nochmal kurz gemeldet und ist in der Taskleiste aktiv.
Soll ich das ändern?

Auch die früheren Funde von MBR.exe machen mir noch Sorge:

Was ist das?

Gruss,
Winfried

Macht nichts, dass SAS die Funde entfernt hat.
Wegen dem Fund von SuperAntiSpyware bitte nochmal ein frisches RSIT -Log posten.

Mach mal bitte noch ein Log mit mbr.exe (Start -> Ausführen -> "cmd", "C:\mbr.exe -f" eingeben)

Keine Einwände, nur etwas was man als neuer Helfer nicht wissen kann :)


Wird dieser PC gewerblich genutzt ?

OK, hier die Ergebnisse:

RSIT:MBR.exe -f:Was meinst Du?

Gruss,
Winfried

Eigentlich nicht, ich hatte es mir nur eingerichtet mit dem Notebook PC eine Website bedienen zu können. War Historie, die Site habe ich aus den trusted Zones gelöscht, das war nur damals vergessen worden.

Gruss,
Winfried

Leider habe ich auf meine Log Posts von vorgestern keine Antwort, aber es sieht aus, als wäre noch nicht alles ganz OK mit dem Masterbootrecord...

Wie geht's weiter?

Gruss,
Winfried

Sorry für die späte Antwort!
Ein paar Dinge aus dem RSIT-Log sind auffällig. Daher bitte folgende Punkte abarbeiten:


schritt 1
Registry mit ERUNT sichern

Da wir in der Registry Änderungen vornehmen müssen, wirst Du die Registry vorher wie folgt sichern:
Lade das Tool ERUNT von Lars Hederer herunter und installiere es. Starte die erunt.exe und erstelle damit eine Backup der Registry in den vorgegebenen Ordner. Unter Sicherungsoptionen bitte alle drei Möglichkeiten anhaken. Das Programm nicht in den Systemstart aufnehmen.


schritt 2

Falls noch nicht vorhanden, lade Dir OTM von OldTimer herunter.

• Speichere das Programm auf Deinem Desktop.
• Sollte Dein Anti-Virus-Programm "Alarm" schlagen, bitte ignorieren und/oder OTM auf die Liste der Ausnahmen setzen.
• Doppelklick auf die OTM.exe, um das Programm auszuführen.
• Vista-User bitte per Rechtsklick und "Ausführen als Administrator" starten.
• Einen Haken setzen bei "Unregister Dll's and Ocx's"
• Kopiere den Inhalt der folgenden Codebox komplett in die OTM-Box mit dem gelben Titel
  (Paste Instructions for Items to be Moved)
  
  Code:

  ---

  :processes
explorer.exe
:services
{1E8183A0-AD58-443E-9E68AFC050BD2775}
{26D3AAC3-8C2B-4207-B121BAB5A93998F9}
:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{E0E899AB-F487-11D5-8D29-0050BA6940E3}"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standard profile\authorizedapplications\list]
"%windir%\system32\drivers\svchost.exe"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainpr ofile\authorizedapplications\list]
"%windir%\system32\drivers\svchost.exe"=-
:files
C:\WINDOWS\TEMP\4.tmp
C:\WINDOWS\TEMP\3.tmp
:commands
[purity]
[resethosts]
[emptytemp]
[start explorer]
[Reboot]

  ---

• Den roten Moveit! Button anklicken.
• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren oder
• den Inhalt der Datei C:\_OTM\MovedFiles\<datum_nr.>.log kopieren
  und das Ergebnis in Deine nächste Antwort posten.
• Die Dateien und/oder Ordner werden nach C:\_OTM\MovedFiles\ verschoben.
• Schließe OTM

Sollte eine Datei oder ein Ordner nicht verschoben werden können, wirst Du eventuell aufgefordert, den PC neuzustarten damit der Prozess abgeschlossen werden kann. Sollte dies der Fall sein, bestätige das mit Ja.


schritt 3

RSIT erneut das System scannen lassen

• Schließe alle Fenster und Programme inkl. Browser.
• Lösche C:\rsit\info.txt manuell.
• Start => ausführen (bei Vista: im Feld "Suche starten")
• "%userprofile%\desktop\rsit.exe" /info (reinkopieren),
  damit die alten Logdateien von RSIT überschrieben werden.
• Bitte poste den Inhalt folgender Logs hier in den Thread:
  C:\rsit\log.txt und C:\rsit\info.txt (<= wird minimiert in der Taskleiste dargestellt).

Hi,

du hast dir die neueste Variante von Mebroot/Sinowal eingefangen. Als erstes möchte ich daher sagen, dass es sich dabei um einen Backdoor trojaner handelt, sprich andere konnten auf deinen Rechner zugreifen, deine Passwörter auslesen und Einstellungen verändern.

Das sicherste ist in solchen Fällen immer zu neuaufzusetzen, wir können dir aber helfen die Überreste des Befalls zu entfernen, wenn du nicht neuaufsetzen willst.

Wenn du bereinigen möchtest, dann lade dir bitte folgendes Programm runter und führe es aus: profiles.exe
Es erstellt eine Textdatei, bitte kopiere den Inhalt in deine nächste Antwort.

Bitte führe auch folgendes aus:
Windows + R Taste drücken --> notepad (reinschreiben)
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklick auf die file.bat, poste mir den Inhalt des Textdokuments.

Es sollte sich eine Textdatei öffnen, bitte kopiere auch den Inhalt dieser Datei in deine nächste Antwort.

MfG myrti

Hallo Myrti und Julian,

soll ich jetzt beide Prozeduren hintereinander durchführen oder nur die von Myrti?? :dummguck:

Übrigens benutze ich keinerlei automatisierten Zugangsdaten, gebe immer von Hand ein, falls das was hilft...?

Danke und Gruss,
Winfried

Hi,

hatte nicht gesehen, dass noch andere Anleitungen ausstanden. Arbeite bitte beide Beiträge ab, die Reihenfolge dürfte egal sein.

lg myrtille

Myrti,

hier sind die Logs für Dich:

Gruss,
Winfried

So, jetzt zu Julians Anweisung:

ERUNT lief OK

OTM lief etwas anders als beschrieben und bootete selbstanändig den PC, nach Neustart wurde das Log angezeigt:
Zu guter Letzt RSIT Log:
So, ich bitte um Analyse unf hoffe, wir sind bald am Ziel, damit auch andere an die Reihe kommen... :daumenhoc

Danke und Gruss,
Winfried