Trojaner-Board - Wiederbefall Antispyware, Windows XP stürzt beim Booten ab

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Wiederbefall Antispyware, Windows XP stürzt beim Booten ab (https://www.trojaner-board.de/96915-wiederbefall-antispyware-windows-xp-stuerzt-beim-booten-ab.html)

Wiederbefall Antispyware, Windows XP stürzt beim Booten ab

hi,

ich habe folgendes problem mit meinem windows xp, sp3:
vor einiger zeit habe ich bereits einmal hier gepostet, ich hatte antispyware als maleware auf meinem system. ich hab es irgendwie geschafft mein system scheinbar sauber und wieder funktionstüchtig zu kriegen.
gestern hat ein studienkollege bei mir etwas zu installieren versucht und dabei leider den antivir guard deaktiviert. innerhalb kürzester zeit wurde ich geflutet von falschen virusmeldungen von antispyware 2010 oder 2011. ich hab den pc sofort abgeschalten und extern mit mbam gereinigt. es wurde nach 3 durchläufen nichts mehr gefunden. allerdings hängt sich mein system beim booten auf. einmal kam eine fehlermeldung der system datei in system32\config.
abgesicherter modus und letzte konfig funktionieren auch nicht.
ich habe eine alte vollständige kopie der installationspartions auf die partition geschrieben und die vorhergehende gelöscht. immer noch das gleiche problem.
windows istallations cd funktioniert auch nicht. beim reparieren passiert nach dem booten nichts mehr.
komplette neuinstallation ist möglich, wär aber ungünstig und ich würds noch nicht machen, wenn sich das problem auch anders lösen ließe.

hat jemand tipps und ratschläge?

Zitat:

hat jemand tipps und ratschläge?

Sieht bei diesem defekten System eher schlecht aus IMHO. Aber man könnte es mit OTLPE probieren. Zuerst würde ich aber gern alle Malwarebytes-Logs sehen.

hey,
hab die logs hochgeladen. lief wie gesagt über mein notebook, deshalb ist E: die infizierte windowspartition meines standPC.

und ich hab ja die dateien in der windows partition über linux gelöscht und eine kopie von vor 2 wochen kopiert. zumindest von windows, den systemdateien, die volume information und die dokumente und einstellungen. also wenn an windows etwas verändert wurde, müsste es jetzt ja eigentlich wieder laufen.
aber wenn sich keine andere lösung ergibt, werd ich die partition komplett formatieren und die älteren ordner 1:1 kopieren versuchen.
sonst hab ich keine idee, wo der fehler stecken könnte.

Falls Du kein Brennprogramm installiert hast, lade
dir bitte ISOBurner herunter.
Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen.
Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.

Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop.
Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.
Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
Lege eine leere CD in Deinen Brenner.
ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von den Rechner mit defektem Windows von der OTLPE CD. Die Platte hast du ja zurückverbaut.
Hinweis: Wie boote ich von CD

Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
Mache einen Doppelklick auf das OTLPE Icon.
Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
OTLpe sollte nun starten.
Drücke Run Scan, um den Scan zu starten.
Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
Bitte poste den Inhalt von C:\OTL.Txt und Extras.Txt.

hab die datei erstellt. aber nach "load remote registry" wurde ich nicht gefragt

Zitat:

[2011/03/28 19:55:31 | 000,256,512 | ---- | C] () -- C:\WINDOWS\PEV.exe
[2011/03/28 19:55:31 | 000,098,816 | ---- | C] () -- C:\WINDOWS\sed.exe
[2011/03/28 19:55:31 | 000,088,064 | ---- | C] () -- C:\WINDOWS\MBR.exe
[2011/03/28 19:55:31 | 000,080,412 | ---- | C] () -- C:\WINDOWS\grep.exe

Och nö, wer hat dir gesagt du sollst Combofix laufen lassen! :balla:
Wann wurde es ausgeführt, am 28.3., kurz bevor Windows zerstört wurde? :pfeiff:

ich hab combofix drüber laufen lassen, aber das war höchstens vor über zwei monaten. das genaue datum weiß ich nicht mehr. da hatte mir das ein freund geraten und das war bevor ich hier im board das thema dazu gelesen hatte.
seit meinem letzten absturz vor über zwei monaten, wozu ich auch hier einen beitrag verfasst hab (und das mit combofix erwähnt hab), habe ich aber definitiv kein combofix benutzt. darauf geb ich brief und siegel. warum auch immer da 28.3. steht, aber combofix lief da nicht.

nur wie sieht die sachlage nun aus?

Mach einen OTL-Fix über die OTLPE-CD => kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL von OTLPE): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2009/10/25 20:06:53 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O32 - AutoRun File - [2010/01/31 00:06:03 | 000,000,000 | ---D | M] - E:\AutoCAD_2006 -- [ NTFS ]

O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]

O4 - HKU\Martin_ON_C..\Run: [AntiVirus AntiSpyware 2011] C:\Dokumente und Einstellungen\Martin\Anwendungsdaten\AntiVirus AntiSpyware 2011\AntiVirus AntiSpyware.exe (Tech Software Ltd.)

O4 - HKU\Martin_ON_C..\Run: [AntiVirus AntiSpyware 2011 Security] C:\Dokumente und Einstellungen\Martin\Anwendungsdaten\AntiVirus AntiSpyware 2011\securitymanager.exe ()

O4 - HKU\Martin_ON_C..\Run: [AutoStartNPSAgent]  File not found

O4 - HKU\Martin_ON_C..\Run: [ICQ]  File not found

O4 - HKU\Martin_ON_C..\Run: [Ohitalebinurif] C:\WINDOWS\cacapg.dll (FileZilla Project)

O4 - HKU\Martin_ON_C..\Run: [SandboxieControl]  File not found

O4 - HKU\Martin_ON_C..\Run: [Skype]  File not found

O4 - HKU\Martin_ON_C..\Run: [WkXDBaBYglla.exe]  File not found

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

ich hoffe, das ist die richtige txt
windows stuerzt allerdings noch ab

Dann ist dein Windows tot. So aus der Ferne hab ich keine Idee mehr, wie man es noch wiederbeleben könnte.

ok, dann mach ich mich mal ans neu aufsetzen. danke für deine hilfe