winlogon
 

Hallo,

versuche schon 2 Tagen meine Winlogon.exe zu "reparieren". Verwende AVG und dieser zeigt mir diese Datei als infiziert an.

Habe sie schon mit Jotti auch gescannt, 7 von 19 haben sie als infiziert erkannt.

Habe es weiters mit sfc und mit killbox versucht, beides fehlgeschlagen.

Bitte um Hilfe, will ein Neu-Aufsetzten vermeiden.

Danke

Hallo und :hallo:

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lies die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.



Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hi,

anbei Malware:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Database version: 5064

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

07.11.2010 02:01:21
mbam-log-2010-11-07 (02-01-21).txt

Scan type: Full scan (C:\|E:\|F:\|G:\|)
Objects scanned: 476982
Time elapsed: 59 minute(s), 20 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)

Und OTL:OTL Logfile:
--- --- ---

OTL EXTRAS Logfile:
--- --- ---

Wie oft hast Du schon mit Malwarebytes gescannt? Wars es das erste mal?

Nein, hatte vor ca. Wochen Thinkpoint, seit dem habe ich auc Malwarebytes.

Es gibt also nur dieses Log von malwarebytes? Sry dass ich so nachfrage, aber es ist schon oft vorgekommen, dass nur das Log ohne Funde gepostet wurde und das macht ja nun wenig Sinn :D

das war das erste Logfile:

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Database version: 4950

Windows 5.1.2600 Service Pack 3
Internet Explorer 7.0.5730.13

26.10.2010 12:02:48
mbam-log-2010-10-26 (12-02-48).txt

Scan type: Quick scan
Objects scanned: 177991
Time elapsed: 6 minute(s), 52 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 1
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\shell (Trojan.Agent) -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hi,

anbei der neue report. Darf ich nur fragen was hier gemacht worden ist?

Danke


All processes killed
========== OTL ==========
Service toogmft stopped successfully!
Service toogmft deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service scinetu stopped successfully!
Service scinetu deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service oruqjr stopped successfully!
Service oruqjr deleted successfully!
File C:\Program Files\Movie Maker\hqhakc.dll File not found not found.
Service oqimg stopped successfully!
Service oqimg deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service mlkynlqkb stopped successfully!
Service mlkynlqkb deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service eqkfl stopped successfully!
Service eqkfl deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service bmljcgc stopped successfully!
Service bmljcgc deleted successfully!
File C:\WINDOWS\System32\hqhakc.dll File not found not found.
Service xltsaaqhvemjujj stopped successfully!
Service xltsaaqhvemjujj deleted successfully!
C:\WINDOWS\system32\drivers\vdrkdlxgsthjem.sys moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0bdb1810-dcad-11dd-b36a-002354091e0f}\ not found.
File J:\LaunchU3.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0bdb1811-dcad-11dd-b36a-002354091e0f}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0bdb1811-dcad-11dd-b36a-002354091e0f}\ not found.
File VLkmed0349-v-sd90jk129-0G\1490304-609127988309-709234\taskmgr.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0bdb1811-dcad-11dd-b36a-002354091e0f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0bdb1811-dcad-11dd-b36a-002354091e0f}\ not found.
File VLkmed0349-v-sd90jk129-0G\1490304-609127988309-709234\taskmgr.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{9c3ca953-2d55-11df-9a46-002354091e0f}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{9c3ca953-2d55-11df-9a46-002354091e0f}\ not found.
File K:\SamsungSoftware\APPInst.exe not found.
File C:\WINDOWS\System32\drivers\vdrkdlxgsthjem.sys not found.
C:\bar.emf moved successfully.
C:\WINDOWS\system32\sysprs7.dll moved successfully.
C:\WINDOWS\system32\clauth2.dll moved successfully.
C:\WINDOWS\system32\clauth1.dll moved successfully.
C:\WINDOWS\system32\lsprst7.dll moved successfully.
C:\WINDOWS\system32\ssprs.dll moved successfully.
C:\WINDOWS\SurCode.INI moved successfully.
ADS C:\WINDOWS:41484591AEF3A391 deleted successfully.
ADS C:\Documents and Settings\All Users\Application Data\TEMP:408F95E5 deleted successfully.
========== FILES ==========
C:\WINDOWS\tasks\At1.job moved successfully.
C:\WINDOWS\tasks\At10.job moved successfully.
C:\WINDOWS\tasks\At11.job moved successfully.
C:\WINDOWS\tasks\At12.job moved successfully.
C:\WINDOWS\tasks\At13.job moved successfully.
C:\WINDOWS\tasks\At14.job moved successfully.
C:\WINDOWS\tasks\At15.job moved successfully.
C:\WINDOWS\tasks\At16.job moved successfully.
C:\WINDOWS\tasks\At17.job moved successfully.
C:\WINDOWS\tasks\At18.job moved successfully.
C:\WINDOWS\tasks\At19.job moved successfully.
C:\WINDOWS\tasks\At2.job moved successfully.
C:\WINDOWS\tasks\At20.job moved successfully.
C:\WINDOWS\tasks\At21.job moved successfully.
C:\WINDOWS\tasks\At22.job moved successfully.
C:\WINDOWS\tasks\At23.job moved successfully.
C:\WINDOWS\tasks\At24.job moved successfully.
C:\WINDOWS\tasks\At3.job moved successfully.
C:\WINDOWS\tasks\At4.job moved successfully.
C:\WINDOWS\tasks\At5.job moved successfully.
C:\WINDOWS\tasks\At6.job moved successfully.
C:\WINDOWS\tasks\At7.job moved successfully.
C:\WINDOWS\tasks\At8.job moved successfully.
C:\WINDOWS\tasks\At9.job moved successfully.
File\Folder C:\Program Files\Movie Maker\hqhakc.dll not found.
File\Folder C:\WINDOWS\System32\hqhakc.dll not found.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 3334016 bytes
->Temporary Internet Files folder emptied: 22336245 bytes
->FireFox cache emptied: 5473537 bytes
->Flash cache emptied: 1172 bytes

User: All Users

User: Babsi
->Temp folder emptied: 16384 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 3176393 bytes

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 41661 bytes

User: LocalService
->Temp folder emptied: 992536 bytes
->Temporary Internet Files folder emptied: 112094 bytes

User: Martin
->Temp folder emptied: 68901750 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 45624972 bytes
->Flash cache emptied: 989 bytes

User: NetworkService
->Temp folder emptied: 2376632 bytes
->Temporary Internet Files folder emptied: 73387677 bytes
->Flash cache emptied: 2058 bytes

User: test
->Temp folder emptied: 4229843 bytes
->Temporary Internet Files folder emptied: 130845 bytes
->FireFox cache emptied: 12648103 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 20825954 bytes
%systemroot%\System32 .tmp files removed: 2577 bytes
%systemroot%\System32\dllcache .tmp files removed: 4319680 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 5658057 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temp folder emptied: 0 bytes
%systemroot%\system32\config\systemprofile\Local Settings\Temporary Internet Files folder emptied: 33170 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 261,00 mb


OTL by OldTimer - Version 3.2.17.3 log created on 11082010_225831

Files\Folders moved on Reboot...
C:\Documents and Settings\Martin\Local Settings\Temp\~DFEDFA.tmp moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\Cache\_CACHE_001_ moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\Cache\_CACHE_002_ moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\Cache\_CACHE_003_ moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\Cache\_CACHE_MAP_ moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\urlclassifier3.sqlite moved successfully.
C:\Documents and Settings\Martin\Local Settings\Application Data\Mozilla\Firefox\Profiles\hag7fc90.default\XUL.mfl moved successfully.
File\Folder C:\Documents and Settings\NetworkService\Local Settings\Temp\Perflib_Perfdata_39c.dat not found!
File\Folder C:\WINDOWS\temp\ZLT06ce9.TMP not found!

Registry entries deleted on Reboot...

Wir haben schädliche Einträge gelöscht.
Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo,

CCleaner verwende ich beinahe jeden Tag. Der Combo Report:

Combofix Logfile:
--- --- ---

Dieses Teil bitte deinstallieren. ZoneAlarm ist wirkungslos bis kontraproduktiv...
Nach der Deinstallation bitte so weitermachen:

Diese saubere winlogon.exe direkt nach c:\ herunterladen => File-Upload.net - winlogon.exe
Anschließend kommen weitere Schritte mit CF:


Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hi,

wow, wie kann man sich so gut auskennen?

Combofix Logfile:
--- --- ---