[King_James4]

Hey,

Ich habe folgendes Problem: Jedes mal wenn ich den Pc starte(Win 7 Premium x64) und ihn mithilfe von der aktuellen Version Malwarebytes Anti-malware scannen lasse, erscheint der oftmals gelöschte Virus, der immer den selben Registry key befällt. Wenn ich ihn aber entferne und dann nochmal einen Scanvorgang durchführe, ist er weg. Doch bei einem Neustart wird er mir wieder angezeigt.

Wie soll ich vorangehen um diesen Schädling ein für alle mal zu entfernen ?

Mfg King_James4

[stanleybeamish]

Schreibe deinen Boot-Sector zurück (Abgesicherter Modus, Eingabeaufforderung)
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
Um TSR-Bootviren auszuschliessen.
Überprüfe alle Autostart Möglichkeiten und lass das hier im abgesicherten durchlaufen :
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
Wenn du dann noch Probleme hast , solltest du ernsthaft über Neuinstall nachdenken.
Damit bist du in wenigen Stunden durch.......und komplettes Formatieren nicht verachten.
Kannst dir überlegen, ob du die hier alle durchlaufen lassen willst (dauert) und unsicher bleibst....der Schädling hatte ja "Remote-Zugriff"
oder neu anfängst
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
Gruss

[King_James4]

[QUOTE=stanleybeamish;24234392]Schreibe deinen Boot-Sector zurück (Abgesicherter Modus, Eingabeaufforderung)
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]


Für das oben gennante programm muss man leider bezahlen... Hättest du einen kostenlose Alternative ?

[stanleybeamish]

Hier ist das, was ich meinte :
runterscrollen
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]
C:\> MbrFix /drive 0 fixmbr /win7 /yes
wenn du die Mbrfix64.exe nach C:\ kopiert hast
Gruss

[ckjthedogmaster]

Mach nochmal n vollen Scan mit Malwarebytes und pack das Ergebnis in Spoiler..

Dann deaktiviere unter Start--> Systemsteuerung-->Netzwerk und Internet-->Internetoptionen
Verbindungen-->Keine Verbindung wählen--> Lan Einstellungen --> Haken bei Benutze Proxyserver wegmachen, sofern er vorhanden ist.

Danach neu starten und in den abges. Modus starten:

%AppData%\Programs\[rnd].exe
%AllUsersProfile%\Application Data\.dll
%AllUsersProfile%\Application Data\.exe(rnd)

und

Start --> Ausführen --> regedit eingeben

HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Run “[\].exe”
HKEY_CURRENT_USER\Software\Microsoft\Windows\Curre ntVersion\Settings “net
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Shell “”

In Klammern sind zufällige Dateinamen... Danach neustarten und nochmals mit Malwarebyts scannen

Mfg

[King_James4]

Malwarebytes Anti-Malware (PRO) 1.70.0.1100
[ Link nur für registrierte Mitglieder sichtbar. Bitte einloggen oder neu registrieren ]

Datenbank Version: v2013.01.29.07

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
xxx :: xxx [Administrator]

Schutz: Aktiviert

29.01.2013 18:05:02
mbam-log-2013-01-29 (18-05-02).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|Q:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 454835
Laufzeit: 1 Stunde(n), 2 Minute(n), 8 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext \Stats\{C1ED9DA0-AFD0-4B90-AC6A-D3874F591014} (PUP.Datamngr) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Bitte schön

[ckjthedogmaster]

ok, danke....

Das {C1ED9DA0-AFD0-4B90-AC6A-D3874F591014} weist auf ein BHO, eingespeist durch irgendeine Toolbar. Searchqu oder sowas, deaktiviere im Browser unter Addons die Toolbars, bzw. deinstalliere sie.

Dann kopiere mal folgendes in die Eingabeaufforderung ( als Admin starten ) :

echo Start
echo #
echo ######################## Default dirctory for x86 x64 ########################
echo #
echo this command is default system32 directory for x86 OS or x64 OS
cd %windir% & cd system32
echo Remove IE BHO 01 & reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex plorer\Browser Helper Objects\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Remove IE BHO 02 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Stats\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Remove IE BHO 03 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Settings\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 01 & reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 02 & reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 03 & reg delete "HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 04 & reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex t\PreApproved\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 05 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Stats\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo CLSID delete & reg delete "HKCR\CLSID\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo #
echo ######################## Change the dirctory for x64 ########################
echo #
echo this command is x86 application's registry for x64 OS
cd %windir% & cd syswow64
echo Remove IE BHO 01 & reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex plorer\Browser Helper Objects\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Remove IE BHO 02 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Stats\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Remove IE BHO 03 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Settings\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 01 & reg delete "HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 02 & reg delete "HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 03 & reg delete "HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks" /v "{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 04 & reg delete "HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Ex t\PreApproved\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo Toolbar delete 05 & reg delete "HKCU\Software\Microsoft\Windows\CurrentVersion\Ex t\Stats\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo CLSID delete & reg delete "HKCR\CLSID\{C1ED9DA0-AFD0-4b90-AC6A-D3874F591014}" /f
echo End

Das sind die gängigen Registryeinträge, die mit diesem Wert angelegt werden. So löscht du sie quasi alle auf einmal, wenn nicht vorhanden wird auch nichts gelöscht.


Mfg

[King_James4]

hab meine avg toolbar entfernt und deine eingabeaufforderung durchgeführt. Leider ohne Erfolg. Ist immer noch da

[King_James4]

push*

[thyriel]

Auch wenns dir schon n paar mal gesagt wurde, installier Windows neu und formatier die Festplatte komplett. Anders wirst du das nicht mehr hinbekommen

[King_James4]

Zitat von Coffeetime

Starte am besten im abgesicherten Modus ohne Internetverbindung und führe dann noch einmal einen Scan durch. So sollte es funktionieren.

Hat nicht geklappt, ist weiterhin immernoch da

Lg