Trojaner-Board - Security Suite

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Security Suite (https://www.trojaner-board.de/90004-security-suite.html)

Hallo liebe Leute,

habe mir Security Suite eingefangen und nach Euren Anweisungen versucht zu bekämpfen. Malwarebytes habe ich runtergeladen, laufen lassen und alle "Störenfriede" entfernt. Security Suite ist nach wie vor aktiv. Ich wollte auch rkill.com laufen lassen, kann es aber nicht öffnen. Es kommt die Windows-Meldung: Das Programm, von dem die Datei erstellt wurde, muss bekannt sein, damit Sie geöffnet werden kann.
Wer kann mir helfen??

Gruß
manfred1102

öffne malwarebytes, logdateien, poste scan log(s)
wenn du ein 32 bit system nutzt, verwende combofix:
Ein Leitfaden und Tutorium zur Nutzung von ComboFix
evtl. im abgesicherten modus ausführen, bei pc start die f8-taste drücken, zu mindest ist das bei den meisten pcs so.

Hallo,
nachfolgend die die Dateien:

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4475

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

25.08.2010 16:28:34
mbam-log-2010-08-25 (16-28-34).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 148474
Laufzeit: 9 Minute(n), 36 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 13

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{bb05bd70-4605-4829-93fc-ad80d8cc5b66} (Rogue.PerformanceCenter) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:

du musst schon das ganze log posten sonst bringts nicht viel

hab jetzt combofix laufen lassen; nachfolgend der Report:Combofix Logfile:

Code:

ComboFix 10-08-24.0C - Steinhart 26.08.2010  11:11:38.1.1 - x86 NETWORK

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.495.294 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Steinhart\Eigene Dateien\Downloads\ComboFix.exe

AV: Symantec AntiVirus Corporate Edition *On-access scanning enabled* (Updated) {FB06448E-52B8-493A-90F3-E43226D3305C}

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\Steinhart\Lokale Einstellungen\Anwendungsdaten\dkywcvgkl

c:\dokumente und einstellungen\Steinhart\Lokale Einstellungen\Anwendungsdaten\dkywcvgkl\qxjoaceshdw.exe

c:\windows\lmhosts

c:\windows\system32\kWab.dll

c:\windows\system32\nfr.assembly

c:\windows\system32\nfr.gpref

C:\xcrashdump.dat
 

.

(((((((((((((((((((((((   Dateien erstellt von 2010-07-26 bis 2010-08-26  ))))))))))))))))))))))))))))))

.
 

2010-08-25 14:14 . 2010-08-25 14:14        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\Malwarebytes

2010-08-25 14:14 . 2010-04-29 10:19        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2010-08-25 14:13 . 2010-08-25 14:14        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2010-08-25 14:13 . 2010-08-25 14:13        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2010-08-25 14:13 . 2010-04-29 10:19        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2010-08-25 13:53 . 2010-08-25 13:53        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\Uniblue

2010-08-25 13:53 . 2010-08-25 13:53        --------        d-----w-        c:\programme\Uniblue

2010-08-25 13:47 . 2010-08-25 13:47        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\WinMaximizer
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2010-08-26 08:55 . 2006-02-02 13:32        --------        d-----w-        c:\programme\Symantec AntiVirus

2010-08-25 13:40 . 2004-11-23 11:05        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

2010-08-25 12:37 . 2003-11-20 11:32        --------        d-----w-        c:\programme\IVECO Angebotsverwaltung

2010-07-28 10:03 . 2003-11-04 14:15        --------        d-----w-        c:\programme\Gemeinsame Dateien\Adobe

2010-07-23 10:53 . 2004-02-26 17:24        --------        d-----w-        c:\programme\QuickTime

2010-07-23 10:47 . 2010-07-23 10:47        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\Apple Computer

2010-07-23 10:38 . 2010-07-23 10:38        --------        d-----w-        c:\programme\Gemeinsame Dateien\Apple

2010-07-23 10:37 . 2010-07-23 10:37        --------        d-----w-        c:\programme\Apple Software Update

2010-07-23 10:37 . 2010-07-23 10:37        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple

2010-07-21 13:41 . 2010-07-21 13:41        0        ----a-w-        c:\windows\nsreg.dat

2010-07-15 07:21 . 2010-07-15 07:21        --------        d-----w-        c:\programme\OnlineControl

2010-07-01 15:07 . 2010-07-01 15:07        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Ascentive

2010-07-01 15:07 . 2010-07-01 15:07        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\Ascentive

2010-07-01 14:42 . 2010-07-01 14:42        --------        d-----w-        c:\programme\Ascentive

2010-07-01 14:42 . 2003-11-19 17:27        --------        d--h--w-        c:\programme\InstallShield Installation Information

2010-07-01 14:39 . 2010-07-01 14:39        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\InstallShield

2010-07-01 13:31 . 2010-07-01 12:36        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\ElevatedDiagnostics

2010-06-30 14:23 . 2010-06-30 14:21        --------        d-----w-        c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\TeamViewer

2010-06-30 11:46 . 2010-06-30 11:46        --------        d-----w-        c:\programme\CCleaner

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Performance Center"="c:\programme\Ascentive\Performance Center\ApcMain.exe" [2009-04-21 3239936]

"PC SpeedScan Pro"="c:\programme\Ascentive\PC SpeedScan Pro\PCSpeedScan.exe" [2010-05-31 2080768]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"HPDJ Taskbar Utility"="c:\windows\System32\spool\drivers\w32x86\3\hpztsb04.exe" [2001-11-29 196608]

"GW Port Controller"="c:\progra~1\samsung\smarthru\PORTCTRL.EXE" [2004-02-09 163840]

"ccApp"="c:\programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2005-07-12 48752]

"vptray"="c:\progra~1\SYMANT~2\VPTray.exe" [2005-08-19 86112]

"Adobe Photo Downloader"="c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-06-20 35760]

"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-06-09 976832]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]

"ALUAlert"="c:\programme\Symantec\LiveUpdate\ALUNotify.exe" [2005-04-11 263776]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

OnlineControl.lnk - c:\programme\OnlineControl\ocontrol.exe [2010-7-15 126976]
 

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]

"{0D3BCEA8-4976-4486-958B-5CCC018D11E8}"= "c:\windows\system32\seqsb.dll" [2004-11-17 45056]
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk

backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk

backup=c:\windows\pss\Microsoft Office.lnkCommon Startup
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^SmarThru Engine.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\SmarThru Engine.lnk

backup=c:\windows\pss\SmarThru Engine.lnkCommon Startup
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Photo Downloader]

2007-03-16 09:45        63712        ----a-w-        c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CARPService]

2002-03-20 16:48        4608        ----a-w-        c:\windows\system32\carpserv.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Dit]

2002-09-05 17:14        69632        -c--a-w-        c:\windows\Dit.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FreePDF Assistant]

2004-04-21 18:23        102912        -c--a-w-        c:\programme\FreePDF_XP\fpassist.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]

2002-10-08 10:03        155648        ----a-r-        c:\windows\system32\NeroCheck.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]

"DisableMonitoring"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\T-Eumex\\Tk-Suite-Basic\\tkserver\\tksock.exe"=

"c:\\Programme\\T-Eumex\\Tk-Suite-Basic\\tkserver\\tkmedia.exe"=

"c:\\Programme\\Samsung\\SmarThru\\UtlServer.EXE"=

"c:\\Programme\\Messenger\\msmsgs.exe"=

"c:\\Programme\\Java\\jre1.5.0_04\\bin\\java.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\WINDOWS\\system32\\java.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"7070:TCP"= 7070:TCP:nfra
 

R3 AVMWAN;AVM NDIS WAN CAPI-Treiber;c:\windows\system32\drivers\avmwan.sys [17.11.2003 11:56 37568]

R3 fpcmbase;FRITZ!Card PCMCIA;c:\windows\system32\drivers\fpcmbase.sys [17.11.2003 11:56 481104]

S2 agfucapi;T-Eumex;c:\windows\system32\drivers\AGFUCAPI.sys [28.09.2004 12:18 273664]

S3 CVIA2AUD;Fujitsu VIA2 3D Environmental Audio;c:\windows\system32\drivers\cvia2aud.sys [04.11.2003 16:19 321472]

S3 CVIA2HALA;CVIA2HALA;c:\windows\system32\drivers\cvia2hal.sys [04.11.2003 16:19 217024]

S3 HSFHWVIA;HSFHWVIA;c:\windows\system32\drivers\HSFHWVIA.sys [04.11.2003 16:19 154148]

S3 IwUSB;IwUSB Driver;c:\windows\system32\drivers\IwUSB.sys [29.11.2002 00:01 20645]

S3 TOMCATWAN;T-Online DynamicISDN (WDM);c:\windows\system32\DRIVERS\WTOMCAT.SYS --> c:\windows\system32\DRIVERS\WTOMCAT.SYS [?]
 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

yucoajiyw

.

Inhalt des "geplante Tasks" Ordners
 

2010-07-30 c:\windows\Tasks\AppleSoftwareUpdate.job

- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = https://collaboration.fiatgroup.com/CookieAuth.dll?GetLogon?curl=Z2FsitesZ2FIvecoShareZ2FGermany&reason=0&formdir=3

uInternet Settings,ProxyServer = http=127.0.0.1:6522

uInternet Settings,ProxyOverride = <local>

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\Office10\EXCEL.EXE/3000

Trusted Zone: fiat.de\www.fis

TCP: {24CA77FE-D855-4D07-80C2-C129089B305C} = 192.168.1.1

DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

DPF: {F0BC061F-DAF9-4533-8011-53BCB4C10307} - hxxp://install.power-url.de/InstallationsAssistent.ocx

FF - ProfilePath - c:\dokumente und einstellungen\Steinhart\Anwendungsdaten\Mozilla\Firefox\Profiles\ktwl66su.default\

FF - prefs.js: browser.startup.homepage - hxxps://collaboration.fiatgroup.com/CookieAuth.dll?GetLogon?curl=Z2FsitesZ2FIvecoShareZ2FGermany&reason=0&formdir=3

FF - prefs.js: network.proxy.http - localhost

FF - prefs.js: network.proxy.http_port - 7070

FF - prefs.js: network.proxy.type - 0

FF - plugin: c:\programme\Java\jre1.5.0_04\bin\NPJPI150_04.dll
 

---- FIREFOX Richtlinien ----

c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type",                  5);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size",  4096);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);

c:\programme\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);

c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);

c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");

c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);

c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -
 

HKCU-Run-lbeqvbqt - c:\dokumente und einstellungen\Steinhart\Lokale Einstellungen\Anwendungsdaten\dkywcvgkl\qxjoaceshdw.exe

HKCU-Run-RegistryBooster - c:\programme\Uniblue\RegistryBooster\launcher.exe

HKLM-Run-lbeqvbqt - c:\dokumente und einstellungen\Steinhart\Lokale Einstellungen\Anwendungsdaten\dkywcvgkl\qxjoaceshdw.exe

MSConfigStartUp-AuditMode - c:\sysprep\factory.exe

MSConfigStartUp-hid - c:\windows\hid.exe

MSConfigStartUp-ISDN SpeedManager - c:\programme\T-Online\ISDN SpeedManager\Tomcat.exe

MSConfigStartUp-MsnMsgr - c:\programme\MSN Messenger\MsnMsgr.Exe

MSConfigStartUp-pp - c:\windows\pp03.exe

MSConfigStartUp-QuickTime Task - c:\programme\QuickTime\qttask.exe

MSConfigStartUp-spywarefighterguard - c:\programme\Fighters\spywarefighter\SpywarefighterUser.exe

MSConfigStartUp-sysldtray - c:\windows\ld02.exe

MSConfigStartUp-Windows AdControl - c:\program files\Windows AdControl\WinAdCtl.exe

MSConfigStartUp-Yahoo! Pager - c:\programme\Yahoo!\Messenger\ypager.exe
 
 
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2010-08-26 11:15

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------
 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]

@Denied: (A 2) (Everyone)

@="FlashBroker"

"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"
 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]

"Enabled"=dword:00000001
 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]

@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"
 

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]

@DACL=(02 0010)

@Denied: (A 2) (Everyone)

@="IFlashBroker4"
 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]

@DACL=(02 0010)

@="{00020424-0000-0000-C000-000000000046}"
 

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]

@DACL=(02 0010)

@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

"Version"="1.0"

.

Zeit der Fertigstellung: 2010-08-26  11:19:27

ComboFix-quarantined-files.txt  2010-08-26 09:19
 

Vor Suchlauf: 14 Verzeichnis(se), 11.120.848.896 Bytes frei

Nach Suchlauf: 15 Verzeichnis(se), 11.109.470.208 Bytes frei
 

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn
 

- - End Of File - - BB09221B2FFCC349A6DBB45AAD725373

--- --- ---

und noch der komplette Ausdruck von Malwarebytes:

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4475

Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 8.0.6001.18702

25.08.2010 16:28:34
mbam-log-2010-08-25 (16-28-34).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 148474
Laufzeit: 9 Minute(n), 36 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 13

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{bb05bd70-4605-4829-93fc-ad80d8cc5b66} (Rogue.PerformanceCenter) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Steinhart\Anwendungsdaten\avdrn.dat (Malware.Trace) -> Quarantined and deleted successfully.
C:\logon.cmd (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\wins\SVCHOST.EXE (Backdoor.IRCBot) -> Quarantined and deleted successfully.
C:\WINDOWS\Downloaded Program Files\ia.inf (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\WINDOWS\hosts (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\msacm32.drv (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\rasqervy.dll (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\sdfinacs.dll (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\sdfixwcs.dll (Malware.Trace) -> Quarantined and deleted successfully.
C:\WINDOWS\t55ft4244f44.dat (Worm.KoobFace) -> Quarantined and deleted successfully.
C:\WINDOWS\tmlpcert2005 (Adware.EGDAccess) -> Quarantined and deleted successfully.
C:\WINDOWS\wuasirvy.dll (Trojan.Banker) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Steinhart\Eigene Dateien\downloads\eXplorer.exe (Heuristics.Reserved.Word.Exploit) -> Quarantined and deleted successfully.

öffne arbeitsplatz, dort c: dann rechtsklick auf qoobox und wähle zu qoobox.rar oder zip hinzufügen, dieses archiv an uns hochladen.
wenn das erleidt ist, geb bescheid.
machst du online banking, oder wickelst sonstige geschäfte online ab?

sorry, konnte zwar einen ordner qoobox.zip erstellen, kriege ihn aber nicht hier rein kopiert.
was tun??
Zu deiner frage - ich mache onlinebanking und ebay-geschäfte.

sorry, hier sollst du es hochladen.
dateiupload:
http://www.trojaner-board.de/54791-a...ner-board.html
die passwörter müsen von nem sauberen pc aus geendert werden, lasse online banking bitte sperren und fange an daten zu sichern, du wirst den pc neu aufsetzen müssen.

habe das archiv eben hochgeladen.
wäre echt bescheiden, wenn ich den rechner neu aufsetzen müsste.
gibt es denn keine andere lösung?

keine mit der du jemals wieder sicher online banking machen kannst, ich würde von diesem pc aus kein onlinebanking mehr machen da du immer ein restrisiko zurückbehällst.
ich zeig dir, wie du ihn absicherst, ein backup programm, damit kannst du das nächste mal bei malwarebefall innerhalb von 10 minuten n sauberes backup zurückspielen.

damit kann ich leben. mache onlinebanking von einem anderen rechner. die passwörter habe ich bereits geändert. ich hoffe wir können sonst retten, was zu retten ist.

du meinst daten retten? najawas machst du wenn der 2te pc auch irgendwann mal malware hatt, dir nen dritten fürs online banking kaufen :p es geht ja nicht nur um online banking, alle passwörter die du dort eingibst sind nicht mehr sicher, einige bereits bereinigte pcs infizieren sich schneller und man kann auch nicht alles sehen unbedingt, was geendert wurde. zumal die bereinigung zeit in anspruch nimmt, ich nur noch heute da bin und wir eh nicht fertig werden bis dahin, in der zeit hast du alles schon 2 mal neu aufgesetzt.

vom prinzip hast dur recht. dieser rechner wird vorwiegend für die firma genutzt und es wäre eine riesen-action alle programme wieder neu zu besorgen und zu laden. in ca. 1 jahr wird dieser laptop sowieso ausgetauscht - und so lange möchte ich mich noch über die zeit retten.
ich muß dazu noch sagen, dass ich selbst noch nie einen rechner neu konfiguriert habe und ich nicht weiß ob ich das überhaupt kann.

gruß
manfred

nachtrag:
was soll ich in der zwischenzeit machen? kann/darf ich mit dem laptop arbeiten? nur im abgesicherten modus? installiert sich dieses miese teil wieder neu, bevor wir irgendetwas unternommen haben?

naja, firmen pc ist ein noch viel besserer grund sofort neu aufzusetzen. wenn da daten für die arbeit drauf sind, oder noch schlimmer kundenbezogene daten.
des weiteren muss ich dich dann mal fragen, warum gibts kein backup, was machst du bei festplatten chrash?

habt ihr ne it abteilung?
wenn nein, hast du ne windows cd dazu?
und das formatieren ist kein problem, dass hat bisher nahezu jeder hinbekommen und dazu gibts anleitungen mit bild, außerdem hast du nen 2ten pc über den du uns erreichen kannst

wir haben keine it-abteilung - ich habe eine CD von Fujitsu Siemens Product Recovery CD-ROM Windows XP Professional SP1
meinst du wir kriegen das hin???

klar. das ist wirklich total easy.
zu erst solltest du wichtige daten irgendwo hin kopieren, laufwerk c: wird formatiert. dann gibtst du bescheid wenn das erledigt wurde.

so - geschafft - alle wichtigen daten habe ich auf meinen usb-stick gesichert (hoffentlich nicht inklusive aller viren, trojaner etc.)
wie geht es weiter?

muss meine pc-tätigkeiten auf morgen nachmittag verschieben - habe noch auswärtstermine gekriegt. vorab schon mal vielen dank für die hilfe.

gruß
manfred

ich bin aber erst sonntag oder montag wieder da.

kein Problem. Dann verschieben wir das auf Montag.

Schönes Wochenende

1. solltest du nur noch als eingeschrenkter nutzer arbeiten , das admin konto ist nur für instalationen gedacht.
Benutzerkonten in Windows XP - Teil 1: Neue Benutzerkonten anlegen
die konten sollten mit einem passwort geschützt werden.
dazu auf konto endern klicken und passwörter vergeben.

Die folgenden konfigurationen als admin ausführen:
2. dep aktivieren:
dep für alle prozesse:
Datenausführungsverhinderung (DEP)
• "Datenausführungsverhinderung für alle Programme und Dienste mit Ausnahme der ausgewählten einschalten:".
wenn es zu problemen kommen sollte, kann man die betroffenen prozesse aus der Überwachung entfernen.

3.
regelmäßige Backups des systems sind sehr wichtig, du weist nie, ob deine festplatte mal kaputt geht.
Acronis True Image 2011 - Festplatten-Backup-Software, Datei-Backup und Disk Imaging, Wiederherstellung von Anwendungseinstellungen, Backup von Musik, Videos, Fotos und Outlook-Mails
außerdem kannst du, bei neuerlichem malware befall das system zurücksetzen.
Das Backup sollte möglichst auf eine externe festplatte etc emacht werden, nicht auf die selbe, wo sich die zu sichernden daten befinden.
Von sehr wichtigen Daten könnte man noch eine zusätzliche Sicherung auf dvds/cds erstellen, dazu könnte man auch wiederbeschreibbare verwenden (rws) falls die sammlung mal erneuert werden soll.
so ab jetzt nur noch im standard nutzerkonto arbeiten und dort nur noch in der sandbox surfen.
klicke dazu auf "sandboxed web browser".

4. als browser den firefox nutzen:
Webbrowser Firefox | Schneller, sicherer & anpassbar | Mozilla Europe
5. als adon noscript, es werden dadurch alle scripts (java) zb blockiert, du kannst diese dann frei geben, in dem du auf der seite, die freigegeben werden
soll, nen rechtsklick machst, noscript wählst, und temporär alle berectigungen aufheben wählst, somit werden sie für den besuch aufgehoben, oder alle beschrenkungen
aufheben, somit wird die seite freigegeben. das kann man natürlich wieder rückgängig machen.
http://filepony.de/download-noscript//
6.

adblock+ um werbung zu blockieren:
http://filepony.de/download-adblock_firefox//
hier gibt es noch filterlisten:
Adblock Plus: Bekannte Filterlisten für Adblock Plus
hier würde ich 2 oder 3 deutsche filter auswählen.

unter sonstiges die malware blocklist.
7.
um das surfen sicherer zu machen, würde ich sandboxie empfehlen.
Download:
Sandboxie Download
anleitung:
drop.io
(als pdf)
wenn du mit dem programm gut auskommst, ist ne lizenz zu empfehlen.
1. es gibt dann noch ein paar mehr funktionen.
2. kommt nach nem monat die anzeige, dass das programm freeware ist, die verschwindet erst nach ner zeit, find ich n bissel nerfig.
3. ist die lizenz lebenslang gültig, kostenpunkt rund 25 €, und du kannst sie auf allen pcs in deinem haushalt einsetzen.
ab sofort also nur noch in der sanbox surfen bitte.
8. autorun für usb deaktivieren:
über diesen weg werden sehr häufig schaddateien verbreitet, schalte die funktion also ab.
Tipparchiv - Autorun/Autoplay gezielt für Laufwerkstypen oder -buchstaben abschalten - WinTotal.de
9. um deine software aktuell zu halten, instaliere secunia.
http://www.trojaner-board.de/83959-s...ector-psi.html
und file hippo update checker:
FileHippo.com Update Checker - FileHippo.com
10.
passwörter endern.
11. nun melde dich als eingeschrenkter nutzer an und nutze nur noch dieses konto.

So - geschafft! Habe alles nach Deiner Liste abgearbeitet. Alle Programme laufen wieder.
Nochmals vielen, vielen Dank

Gruß
Manfred

auf das wir uns in diesem teil des forums nicht mehr wieder sehen :-)