System hängt, Avira & Malwarebytes crash nach Trojanerfund durch Avira
 

Hallo liebe Malwarehelfer!

ich bin ziemlich verzweifelt und ratlos, ich schreibe hier von meinem Zweit PC, denn den HauptPC habe ich von meinem Netzwerk abgetrennt und habe versucht nach der Anleitung FAQ, Links vorzugehen, aber schon das geht nicht:

Nachdem Avira einen Fund meldete, den ich mit "Zugriff verweigern" OK quittierte, passierte folgendes:

Bei Neustart zeigt AVguard kurz TR/Rootkit.gen an, verschwindet dann
Die Windows Firwall ist abgeschaltet, kann nicht eingeschaltet werden (Fehlermeldung, dass der Status wegen eines unbekannten Problemes nicht angezeigt kann)
Avira Full System Scan lässt sich starten, hängt dann
Avira Update hängt nach Start
Malwarebytes lässt sich starten findet mehr als 10 infizierte Dateien, hängt aber wenn ich die Log Datei speichern will oder die markierten Probleme beseitigen lassen will.
Der Windows Taskmanager startet nicht
Selbst Windows Exporer lässt sich nicht starten

Beim System Shutdown hängt der PC, nach reboot kann ich Malwarebytes aber starten

Ich kann also zunächst keine Logs posten und hier veröffentlichen. Ich könnte die Malwarebytesfunde hier eventuell abtippen... Würde das helfen?

Was kann ich tun? RSIT, Malwarebytes und Avenger sind auf dem System vorhanden, ich muss nur drankommen...

Das scheint mir eine harte Nuss zu sein.

BITTE um Hilfe!

Gruss,
Winfried

Hallo,

Was hast du für ein Betriebssystem? 2000, XP, Vista oder Windows 7? 32 oder 64bit?
Kannst du ein HijackThis Logfile machen, oder wird das auch unterdrückt?

Das würde im jeden Fall helfen, um hier sinnvoll weiterarbeiten zu können.
Alternativ kannst du auch ein Screenshot (taste "Druck") anfertigen und hier anhängen.

Hallo Julian,

danke für die schnelle Antwort! Etwas Klarstellung:

Betriebssystem ist WinXP-Pro mit allen Updates und Servicepacks.

Screenshot kann ich hier nicht anhängen, weil ich den befallenen PC vom Netz genommen habe und das System kein Dateispeichern zuzulassen scheint (hängt dann und ich muss neu booten).

Momentan läuft nochmal Malwarebytes Full Scan, ich schreibe nachher die Funde ab und stelle sie hier ein: Sind mindestens 14 infizierte Objekte ...

Gruss,
Winfried

Hier sind die 14 Funde von Malwarebytes. Irgendwie scheint das Programm zwischendurch mit dem Scan behindert worden zu sein, jedenfalls zählte der Scan nach ca 84000 Objekten nicht weiter und 1/2 Stunde späte habe ich dann abgebrochen. Hier die bis dahin geloggten Scan Ergebnisse:



Was ist damit anzufangen?

Ich habe nochmals versucht, Malwarebytes diese Objekte entfernen zu lassen, es zeigt dann ein "mbam-log2010-03-14 (12-51-37).txt" an, und in einer Dialogbox, dass nicht alle Dateien entfernt werden konnten. Es scheint, als sollten diese Dateien beim nächsten booten gelöscht werden. Wenn ich dann das Log ansehen will, friert der Bildschirm ein, der Zeiger lässt sich noch bewegen, aber nicht mehr auf die Taskleiste. Wenn ich versuche auf die geöffneten Fenster zu clicken, friert der Zeiger auch ein und nichts geht mehr...

Danke und Gruss,
Winfried

Versuch mal den Avenger zu starten:

http://s10b.directupload.net/images/...4/cxuan34w.jpg

* Haken wie im Bild setzen, folgendes Script in die Zwischenablage kopieren und mit "Paste from Clipboard" einfügen:

Hast du deinen Namen durch "xxxxxxxxxxxx" ersetzt, oder war das schon?
Wenn es schon so war, einfach so lassen, sonst wieder umändern!

* Alle Programme schließen
* Execute
* Rechner neustarten mit "Yes" bestätigen
* Das erscheinende Logfile (C:\avenger.txt) bitte hier posten.

Dazu solltest du deinen Rechner wieder ans Netz anschließen, da wir evtl. noch ein paar andere Tools brauchen werden.

Hallo Julian,

Danke für den Hinweis! Inzwischen konnte ich mal CCleaner starten und jetzt findet Malwarebytes nur noch die 2 ersten infizierten Objekte. Aber AV Guard fand zusätzlich die Datei 2E.tmp den Trojaner TR/Rootkit.gen wieder.

Habe Avenger gestartet, natürlich ohne Script, ich ahbe ja keines und es gab dann den Reboot bekannt. Windows Einstellungen speichern und herunterfahren dauerte mehrere Minuten.

Nach Neustart kam das Logfile: Avenger 2.0 - No rootkits found!

Im nächsten Moment: AV Guard meldet wieder TR/Rootkit.gen mit "Zugriff verweigern" OK Meldung beendet.

Also habe ich Avenger nochmals gestartet, wie angegeben. Wieder extrem lange Herunterfahrzeit, länger als voriges mal... Diesmal kam kein Log!

Dass die Malware aktiv ist, merke ich daran, dass immer die Firewall ausgeschaltet wird...

Ich hänge den Rechner ungerne ans Netzwerk, weil eventuell andere Rechner (z.B. dieser hier) dann auch gefährdet werden. Lieber lade ich die anderen Tools hier herunter und lasse sie vom Memorystick laufen... OK?

"XXXXXXXX" habe ich nicht im System, sondern im Beitragseditor geändert.

Danke und Gruss,
Winfried

Tschuldigung ich war bescheuert... Habe natürlich Dein Script komplett überlesen, das geht jetzt auf Mamorystick und wird benutzt.

Komme bald wieder!

Gruss,
Winfried

Beim letzten Lauf von Avenger bootete der PC erst normal, aber dann gab's einen schwarzen Bildschirm und einen Neustart. Alles sehr mysteriös!

In Windows\temp (in dieses Verzeichnis zeigt der Avira Guard nach dem Booten, wenn er den TR/Rootkit.gen als Datei 4.tmp findet, die später aber nicht dort ist...) habe ich noch zwei eigenartige versteckte Dateien gefunden, die sich nicht löschen lassen: $$$dq3e und $67we.$ Sie tragen den Timestamp zur Bootzeit....

Was machen wir mit denen?

Gruss,
Winfried

Leute, ich war mutig und habe die zwei Dateien einfach mit in einen Avenger Script eingetragen und laufen lassen. Ja, ich weis: Risiko!

Nach dem letzten Avenger Lauf, als der PC neu gebootet war, kam dieses Log:

Malwarebytes Scan diesen Report ergeben:

Avira full scan hat nichts gefunden

RSIT werde ich noch laufen lassen. Melde mich dann nochmal, noch traue ich dem Braten nicht wirklich...

Danke und Gruss,
Winfried

Hallo,

sorry, dass ich nicht geantwortet habe, mein Windows hat wieder einen IRQL_NOT_LESS_OR_EQUAL :headbang:

Mit der Anwendung des Avengers hast nichts falsch gemacht ;)
Ich traue dem Braten auch noch nicht, würde daher nach dem Avira und RSIT noch einen GMER-Durchlauf hinterherschicken.

GMER - Rootkit Scanner

Die Logfiles dann bitte hier zur Auswertung posten.

Jetzt ist RSIT auch gelaufen und sieht so aus (ich kann's nicht wirklich interpretieren...):

Ist der PC nun CLEAN? Oder was sollte ich noch machen?

Danke und Gruss,
Winfried

Ich werde den RSIT-Log mal analysieren.
Bitte währendessen GMER durchlaufen lassen.

OK,

Was mich stutzig macht ist, dass die Einträge in C:\Windows\temp trotz erfolgreicher Avenger Löschung doch (teilweise) nach fertigem boot wieder da sind! Und zwar mit boot-time-stamp!

Beim Laufenlassen von GMER gab's gerade nach ca. 3 Minuten Scanzeit ein blue-screen, mit Aufforderung zu Checkdisk... Was jetzt?

Ich habe GMER nach reboot einfach nochmal gestartet. Mal sehen...

Gruss,
Winfried

Das war fast zu erwarten...
Wäre auch zu schön gewesen.

Im RSIT habe ich was gefunden, was vmtl. der Ursprung des ganzen ist.


Dateiauswertung bei Virustotal.com
* Stelle sicher, dass Dir alle Dateien angezeigt werden
* Lade folgende Datei bei Virustotal hoch:
* Sollte die Datei bereits ausgewertet sein, bitte trotzdem auswerten lassen.
* Den Ergebnislink dann bitte hier posten.

Hier ist das GMER Scan Ergebnis. Allerdings glaube ich, dass ich bei diesem AVGuard nicht abgeschaltet hatte, jetzt spinnt irgendwas und ich kann die gewünschte Datei nicht finden, weil der Windows Explorer spinnt und der Taskmanager ist irgendwie blockiert....

Ich boote nochmal und sehe dann ob ich die Datei hochladen kann...

Gruss,
Winfried

Zum Taskmanager:

Editor öffnen, folgenden Text reinkopieren:

als "test.bat" auf dem Desktop abspeichern (Dateityp: "Alle Dateien" auswählen). Dann mit Doppelklick ausführen - TM sollte wieder funktionieren.

Konntest du die svchost.exe schon hochladen?

An der angegebenen Stelle gab es keine svchost.exe, aber an 4 anderen Stellen:

1. Windows/system32/dllcache:
http://www.virustotal.com/de/analisi...ef0-1268599462
In dem Ergebnis sah ich was von esafe win32.TrojanHorse

2. Windows/system32:
http://www.virustotal.com/de/analisi...ef0-1268599641
In dem Ergebnis sah ich was von esafe win32.TrojanHorse

3. Windows ... servicpackfiles:
http://www.virustotal.com/de/analisi...ef0-1268599977
In dem Ergebnis sah ich was von esafe win32.TrojanHorse

4. Windows ... NTservicepack
http://www.virustotal.com/de/analisi...bf5-1268600137

Ein neues Ergebnis von GMER (ohne AV guard und Absturz) habe ich eigentlich auch, aber es lässt sich zwar in den Editor pasten, die Datei aber nicht speichern: Bei Wahl von Speichern unter kommt nur das Uhrglas dann ist der Editor blockiert. :crazy:

Jetzt hat's doch noch gaaaaanzzzz langsaaaam geklappt:

Gruss,
Winfried

Kannst du cmd öffnen? (Start->Ausführen->"cmd")
bitte nacheinander eingeben, mit Enter zwischen jeder Zeile:
Es erscheint eine längere Liste, bitte dort schauen, ob eine svchost.exe auftaucht.


ComboFix anwenden:

* combofix.exe herunterladen und auf dem Desktop speichern (als cofi.exe) - Noch nicht ausführen!
* Mit CrapCleaner alle temporären Dateien löschen
* Antivirenprogramme deaktivieren, Firewall deaktivieren.
* Während ComboFix scannt, bitte nicht die Maus bewegen oder die Tastatur benutzen. Dies könnte CF zum Absturz bringen.
* Der Rechner muss ans Internet angeschlossen sein, damit CF eine Wiederherstellungskonsole herunterladen kann!
* Doppelklick auf cofi.exe
* Alle Dialoge mit "Yes" bzw. "Ja" beantworten.
* In dem blauen Fenster dann "1" eingeben und auf Enter.
* Nun scannt CF, startet neu und erstellt ein Logfile.
* Den Inhalt des Logfiles dann hier posten.

CMD gemacht: kein svchost.exe

jetzt kommt Cofi: Nach "Ja" Antwort kam das blaue Fenster mit ein paar Hinweisen, aber der Scan startete automatisch, ohne mir die chance für eine Eingabe zu geben. Also die Stufen liefen durch. Jetzt laufen massenweise Dateinamen mit ihren Ordnern durch den blauen Bildschirm. Weiss nicht was das jetzt ist.... Logfile sehe ich (noch) nicht.

Gruss,
Winfried

Nun, zu guter Letzt kam doch ein CoFi Logfile (mit 373 k leider zu lang...):

Ich habe Dir einen Rapidshare Link per PN gesandt.

Vielen Dank für die Hilfe! Ich wäre sonst verloren mit diesem Mist!

Gruss,
Winfried

Hallo,

Logfile ist angekommen.
Ergebnis: Rootkit im MasterBootRecord!
ComboFix scheint das Problem gelöst zu haben, dennoch:

mbr.exe - Wiederherstellung des ursprünglichen MasterBootRecord
* mbr.exe herunterladen und unter C:\ speichern
* cmd starten (Start -> Ausführen -> "cmd"), eingeben: (zwischen jeder Zeile "Enter" drücken)
* In C:\ wird nun ein Logfile erstellt (c:\mbr.log). Den Inhalt des Logs bitte hier posten.

Danke für die Arbeit!

Momentan funktioniert der PC teilweise, ich habe nach einigen Minuten bis ca. 1 Stunde system hangs mit eingefrorenem Bildschirm, wohl je nachdem was/wieviel ich mache, muss dann abschalten und neu booten. Manchmal manchmal wird die Firewall deaktiviert. Malwarebytes und Avira haben keine Infektion gefunden.

MBR.exe war erfolgreich:

Ich habe MBR.exe -f (ohne reboot) nochmals laufen lassen. Ergebnis:

Ist das so on Ordnung? Mir kommt's komisch vor, weil ich die Recovery console benutzen soll, obwohl vorher alles OK schien...

Soll ich beim boot die Recovery Console wie o.a. benutzen oder was rätst Du?

Gruss,
Winfried

Rechner booten, Recovery Console starten.
Dann wie im Log angegeben fixmbr eingeben, *Enter*.
Wenn der Rechner wieder oben ist, nochmal "MBR.exe -f" laufen lassen und Ergebnis posten.


Dann bitte noch folgende Datei bei Virustotal auswerten lassen:
c:\windows\system32\dllcache\moviemk.exe
Link posten.


Rootkitscan mit Blacklight
* fsbl.exe auf dem Desktop speichern
* mit CrapCleaner Temporäre Dateien löschen
* Alle anderen Programme schließen, fsbl.exe ausführen
* Nacheinander "I accept", "Next" und "Scan" anklicken
* Nach Ende des Scans beenden ("Close") und das Log fsbl-(Datum).txt posten (befindet sich auf dem Desktop)

Es erfolgt ein Bluescreen ohne dass ich etwas einzugeben aufgefordert werde.
Soll ich chkdsk im CMD Window laufen lassen? Das wird auf dem blue-screen geraten.

Gruss,
Winfried

Hast du eine Windows-CD?
Boote mal von CD (im BIOS von HardDisk auf CD umstellen), und starte nach Laden der Daten mit "R" die Recovery-Konsole.
Laufwerk C: auswählen (meistens mit "1") und Kennwort eingeben.
Dann hast du sowas ähnliches wie ein CMD-Fenster.
Dort dann versuchen mbrfix zu starten.

Alles gemacht.

C:}mbrfix mochte er nicht - unbekannter Befehl

C:\}MBR.exe -f mochte er nicht - unbekannter Befehl

C:\}c: mbr.exe -f meckerte er nicht an, quittierte mit C:}_

Scheint also funktioniert zu haben oder?

WindowsXP hat normal von HD gebootet und dann habe ich im CMD Window mbr.exe -f gestartet.

Ergebnis: Findet immernoch malicious code...

Also nochmal von CD gebootet und help gelesen. Befehl heisst "FIXMBR" nicht mbrfix !!! ;)

Neuer MBR geschrieben - Schwitz - WinXP bootet, Willkommen, Desktop ist da, Avira startet...

Jetzt nochmal mbr.exe -f gestartet.
Ergebnis: Findet immernoch malicious code...

Virustotal Ergebnis für Moviemk.exe:
http://www.virustotal.com/de/analisi...4e5-1268683934

FSBL hat nichts gefunden.

Kommen wir eigentlich weiter? Ich bin etwas am verzweifeln... Aber so bleiben kann's ja auch nicht und das System neu aufsetzen wäre wegen Software und Daten der Wahnsinn! Bitte hilf weiter! Danke!

Gruss,
Winfried

Peinlich, peinlich :o

Es wird aber zumindest kein "MBR rootkit code detected !" mehr angezeigt, das lässt schon mal hoffen.

Bitte nochmal ein HijackThis Log posten.
Ich habe da einige Koreanische Website gesehen, die wir fixen sollten. (Dazu später)

Wie verhält sich der Rechner derzeit?

OK, wenn Du Hoffnung schöpfst, dann ich erst recht!

Hijack This Log (.exe gestartet von Memorystick):

Ansonsten verhält sich der Rechner scheinbar recht stabil, bisher kein "hang" mehr, Firewall bleibt aktiv, Avira meckert nicht,...

Das mit den koreanischen Websites hört sich intererssant an, auf einige haben wir geschäftlich zugegriffen.

Gruss,
Winfried

Hast du diese zwei Seiten selbst zu den "Vertrauenswürdigen Sites" hinzugefügt?
Normalerweise sind Adressen mit ausländischen Kürzeln verdächtig (z.B. .ru, .pl, ...), aber wenn du sagst, ihr habt wissentlich auf die Websites zugegriffen und Dateien heruntergeladen, dann dürfte das kein Problem darstellen.

Funktioniert auch der Taskmanager wieder?

Bezüglich Combofix, dieses Tool ist für DICH tabu ohne eine Freigabe von einem KTler. Geht auch dem Helferteam nicht anders.

Die Batch wird die svchost auch nicht finden da die sicher +h ist bzw wird diese sich schützen.
Gmer ist sauber also ist nur noch der Eintrag in der Registry vorhanden. Den sollte man vl auch löschen :p

Eine Systemdatei.exe im drivers Ordner braucht man nicht wirklich online scannen ;)

Und nun viel Spass an Board, bei Fragen gerne Via PN :)

Hallo Daniel,

danke für Deine Antwort, allerdings ist diese für mich als Nicht-Guru teilweise ziemlich verwirrend!


Combofix setze ich nicht nach gut dünken ein, sonder nach Anweisung durch Helfer! Was habe ich falsch gemacht?

Welcher Registry Eintrag ist gemeint? Wie soll ich's machen?

Ich verstehe auch diese Äusserung nicht...

Oder war ich mit der Antwort nicht gemeint? Bitte um etwas Aufklärung.

Danke,
Winfried

Zumindest die myfidelio.net habe ich selbst eingetragen, brauchte ich geschäftlich, aber jetzt nicht mehr. Die aekyung.kr ... weiss nicht mehr wozu die noch gut wäre, kann auch weg. Ich mache das selbst.

Was müssen wir sonst noch tun? Siehe auch Einwände von Daniel...

Der Taskmanager scheint wieder einwandfrei zu gehen... Aber manchmal kommen mir Programmstartzeiten halt noch etwas lang vor. So richtig wohl fühle ich mich noch nicht.

Gruss,
Winfried

Hallo,

der Post vom Daniel war an mich gerichtet - also davon nicht irritieren lassen ;)

Bitte noch mal einen Durchlauf mit SuperAntiSpyware machen, dann haben wir mehr Gewissheit, dass dein System wieder sauber ist.

OK, Superantispyware ist durchgelaufen und Wir sind wohl noch nicht fertig, aber vielleicht "Herr der Lage"...

Irgendwie hat das Programm aber anders weitergeführt als in der Anleitung... und die Malwareträchtigen Dateien entfernt! Ich hoffe das ist kein Problem... Jedenfalls hat Windows normal gebootet, dann hat sich SASW nochmal kurz gemeldet und ist in der Taskleiste aktiv.
Soll ich das ändern?

Auch die früheren Funde von MBR.exe machen mir noch Sorge:

Was ist das?

Gruss,
Winfried

Macht nichts, dass SAS die Funde entfernt hat.
Wegen dem Fund von SuperAntiSpyware bitte nochmal ein frisches RSIT -Log posten.

Mach mal bitte noch ein Log mit mbr.exe (Start -> Ausführen -> "cmd", "C:\mbr.exe -f" eingeben)

Keine Einwände, nur etwas was man als neuer Helfer nicht wissen kann :)


Wird dieser PC gewerblich genutzt ?

OK, hier die Ergebnisse:

RSIT:MBR.exe -f:Was meinst Du?

Gruss,
Winfried

Eigentlich nicht, ich hatte es mir nur eingerichtet mit dem Notebook PC eine Website bedienen zu können. War Historie, die Site habe ich aus den trusted Zones gelöscht, das war nur damals vergessen worden.

Gruss,
Winfried

Leider habe ich auf meine Log Posts von vorgestern keine Antwort, aber es sieht aus, als wäre noch nicht alles ganz OK mit dem Masterbootrecord...

Wie geht's weiter?

Gruss,
Winfried

Sorry für die späte Antwort!
Ein paar Dinge aus dem RSIT-Log sind auffällig. Daher bitte folgende Punkte abarbeiten:


schritt 1
Registry mit ERUNT sichern

Da wir in der Registry Änderungen vornehmen müssen, wirst Du die Registry vorher wie folgt sichern:
Lade das Tool ERUNT von Lars Hederer herunter und installiere es. Starte die erunt.exe und erstelle damit eine Backup der Registry in den vorgegebenen Ordner. Unter Sicherungsoptionen bitte alle drei Möglichkeiten anhaken. Das Programm nicht in den Systemstart aufnehmen.


schritt 2

Falls noch nicht vorhanden, lade Dir OTM von OldTimer herunter.

• Speichere das Programm auf Deinem Desktop.
• Sollte Dein Anti-Virus-Programm "Alarm" schlagen, bitte ignorieren und/oder OTM auf die Liste der Ausnahmen setzen.
• Doppelklick auf die OTM.exe, um das Programm auszuführen.
• Vista-User bitte per Rechtsklick und "Ausführen als Administrator" starten.
• Einen Haken setzen bei "Unregister Dll's and Ocx's"
• Kopiere den Inhalt der folgenden Codebox komplett in die OTM-Box mit dem gelben Titel
  (Paste Instructions for Items to be Moved)
  
  Code:

  ---

  :processes
explorer.exe
:services
{1E8183A0-AD58-443E-9E68AFC050BD2775}
{26D3AAC3-8C2B-4207-B121BAB5A93998F9}
:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{E0E899AB-F487-11D5-8D29-0050BA6940E3}"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standard profile\authorizedapplications\list]
"%windir%\system32\drivers\svchost.exe"=-
[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainpr ofile\authorizedapplications\list]
"%windir%\system32\drivers\svchost.exe"=-
:files
C:\WINDOWS\TEMP\4.tmp
C:\WINDOWS\TEMP\3.tmp
:commands
[purity]
[resethosts]
[emptytemp]
[start explorer]
[Reboot]

  ---

• Den roten Moveit! Button anklicken.
• Bitte alles aus dem Ergebnisfenster (Results) herauskopieren oder
• den Inhalt der Datei C:\_OTM\MovedFiles\<datum_nr.>.log kopieren
  und das Ergebnis in Deine nächste Antwort posten.
• Die Dateien und/oder Ordner werden nach C:\_OTM\MovedFiles\ verschoben.
• Schließe OTM

Sollte eine Datei oder ein Ordner nicht verschoben werden können, wirst Du eventuell aufgefordert, den PC neuzustarten damit der Prozess abgeschlossen werden kann. Sollte dies der Fall sein, bestätige das mit Ja.


schritt 3

RSIT erneut das System scannen lassen

• Schließe alle Fenster und Programme inkl. Browser.
• Lösche C:\rsit\info.txt manuell.
• Start => ausführen (bei Vista: im Feld "Suche starten")
• "%userprofile%\desktop\rsit.exe" /info (reinkopieren),
  damit die alten Logdateien von RSIT überschrieben werden.
• Bitte poste den Inhalt folgender Logs hier in den Thread:
  C:\rsit\log.txt und C:\rsit\info.txt (<= wird minimiert in der Taskleiste dargestellt).

Hi,

du hast dir die neueste Variante von Mebroot/Sinowal eingefangen. Als erstes möchte ich daher sagen, dass es sich dabei um einen Backdoor trojaner handelt, sprich andere konnten auf deinen Rechner zugreifen, deine Passwörter auslesen und Einstellungen verändern.

Das sicherste ist in solchen Fällen immer zu neuaufzusetzen, wir können dir aber helfen die Überreste des Befalls zu entfernen, wenn du nicht neuaufsetzen willst.

Wenn du bereinigen möchtest, dann lade dir bitte folgendes Programm runter und führe es aus: profiles.exe
Es erstellt eine Textdatei, bitte kopiere den Inhalt in deine nächste Antwort.

Bitte führe auch folgendes aus:
Windows + R Taste drücken --> notepad (reinschreiben)
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklick auf die file.bat, poste mir den Inhalt des Textdokuments.

Es sollte sich eine Textdatei öffnen, bitte kopiere auch den Inhalt dieser Datei in deine nächste Antwort.

MfG myrti

Hallo Myrti und Julian,

soll ich jetzt beide Prozeduren hintereinander durchführen oder nur die von Myrti?? :dummguck:

Übrigens benutze ich keinerlei automatisierten Zugangsdaten, gebe immer von Hand ein, falls das was hilft...?

Danke und Gruss,
Winfried

Hi,

hatte nicht gesehen, dass noch andere Anleitungen ausstanden. Arbeite bitte beide Beiträge ab, die Reihenfolge dürfte egal sein.

lg myrtille

Myrti,

hier sind die Logs für Dich:

Gruss,
Winfried

So, jetzt zu Julians Anweisung:

ERUNT lief OK

OTM lief etwas anders als beschrieben und bootete selbstanändig den PC, nach Neustart wurde das Log angezeigt:
Zu guter Letzt RSIT Log:
So, ich bitte um Analyse unf hoffe, wir sind bald am Ziel, damit auch andere an die Reihe kommen... :daumenhoc

Danke und Gruss,
Winfried

Hi,

ja, sieht gut aus.

Windows + R Taste drücken --> notepad (reinschreiben)
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Führe die Datei per Doppelklick aus.

MfG Kathrin

OK Kathrin,

ist gemacht. Und jetzt? Alles klar?

Gruss,
Winfried

Hi,

wir sind fast durch. Wie verhält sich das System denn jetzt?

Windows + R Taste drücken --> notepad (reinschreiben)
Kopiere nun folgenden Text aus der Code-Box in das leere Textdokument
Speichere diese unter file.bat auf Deinem Desktop.
Wähle bei Dateityp alle Dateien aus.
Doppelklick auf die file.bat, poste mir den Inhalt des Textdokuments.

Mache bitte auch noch nen scan mit Eset:

• ESET Online Scanner
  • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
  • Button "ESET Online Scanner" drücken.
  • Firefox-User müssen ein zusätzliches Addon (esetsmartinstaller_enu.exe) installieren.
  • Das Firefox-Addon auf dem Desktop speichern und dann installieren.
  • IE-User müssen das Installieren eines ActiveX Elements erlauben.
  • Den Haken bei "Remove found threads" nicht setzen und bei "Scan archives" setzen.
  • Start drücken.
  • Der Scan beginnt automatisch.
  • Finish drücken.
  • Browser schließen.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt suchen und mit Deinem Editor öffnen.
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

MfG Myrtille

Hallo!

Sorry, war sehr beschäftigt, darum erst jetzt das Log:

ESET kommt gleich.

Gruss,
Winfried

So, also ESET hat seine Arbeit jetzt beendet und "no threats found" angezeigt. Hier der Log:

Heisst das nun: "alles wieder klar"?

Und noch eine letzte Frage: Ich habe ja noch einen weiteren Rechner an meinem LAN. Wie stelle ich fest, dass dieser nicht auch diese Probleme hat? Reicht Malwarebytes oder soll ich da auch mal ESET drüberlaufen lassen? Bitte um Rat!

Vielen Dank für die extensive Hilfe und beharrliche Problembearbeitung!

Beste Grüsse,
Winfried

Hi,

ja das sieht nach klar schiff aus! :) Freut mich, dass der PC wieder läuft.

Lass neben Malwarebytes auf dem anderen Rechner auch noch folgende Batch laufen und ich kann dir dann sagen ob diese auch von dem MBR Rootkit befallen sind:
Poste das erstellte Log hier in den Thread.

Ein zusätzlicher Scan mit Eset ist in der Regel nicht zwingend notwendig, kann aber auch nicht schaden. ;)

lg myrtille

Hier der Log meines zweiten PCs, der am Netzwerk dranhängt. Mir kommt es sauber vor.

Malwarebytes muss ich noch laufen lassen.

Gruss,
Winfried

Hi,

das sieht gut aus. :)

MfG myrtille

So, das wäre dann also geschafft!

Ich bedanke mich bei allen Helfern, die mich durch diesen "Dschungel" geleitet und letztendlich das Problem beseitigt haben! SUPER gemacht

:Boogie: :huepp:

Winfried
PS: Das Thema kann als "erledigt" markiert werden.

Hi,

du kannst die programme die wir benutzt haben, indem du OTC.exe herunterlädst und ausführst. Alle verbleibenden Batches kannst du dann auch einfach entfernen.

lg myrtille

Sorry, in Deinem Satz fehlt irgendwie das entscheidende Wort... :dummguck:
Gruss,
Winfried

Hi,

das kann eigentlich gar nicht sein. :balla: Ich vergesse nie was.:blabla:

lg myrtille