Virus hindert mich am Updaten von AntiVir?!

Hallo,

Combofix
Download: Combofix.exe

• Speicher die Combofix.exe auf dem Desktop und führe sie aus.
• User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
• Vor dem Ausführen unbedingt alle Antiviren – Antispyware- Programme deaktivieren. Dies geht meistens per rechtsklick im Systemtray.
• Doppelklick auf die Combofix.exe und befolge die Anweisungen
• Es ist möglich, dass der PC während der Bereinigung neustartet.
• Nach dem Neustart erscheint eine Textdatei.
• Lade bitte das Logfile bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.
• Nicht vergessen nach dem Scan alle Antiviren – Antispyware- Programme wieder zu Aktivieren.

Hallo,

das Combofix ist recht lang. Bracu da noch etwas Zeit für.

Gehe wie folgt vor:

OTL
Download: http://oldtimer.geekstogo.com/OTL.exe

1. Doppelklick auf die OTL.exe
2. User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
3. Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimal-Ausgabe
4. Setze einen Haken Oben bei Scanne alle Benutzer.
5. Unter "Extra Registrierung wähle "Benutze SafeList"
6. Rechts unten Haken setzen bei "LOP Prüfung" und "Purity Prüfung "
7. Kopiere in die Textbox (ohen das Wort Code: )

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
logevent.dll
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

8. Klicke "Scan"
9. Es werden 2 Reporte erstellt:
10. OTL.Txt sowie Extras.Txt
11. Lade bitte das Logfile bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier im Forum.

• Starte bitte die OTL.exe
• Kopiere nun folgendes in die Textbox (ohne das Wort Code: ).

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen Inhalt in deiner nächsten antwort hier reinkopieren.

Hinweis für Mitleser:

Dieses Script wurde speziell für diesen User erstellt.
Es kann nicht auf anderen System (trotz ähnlicher Sympthome) übertragen werden.
Dieses Script kann bei falscher Anwendungen einen Rechner starke schäden anrichten!

Danach bitte dies tun:

Rechner normal booten.
Von hier den PPFScanner herunterladen und die ZIP in einen eigenen Ordner entpacken (zum Beispiel nach C:\PPFS).
Danach die PPFScan.exe starten.
Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
Wähle im Untermenü Script laden und ausführen.
Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Hallo MikeyS....

Ich möchte einer Datei bei dir gerne etwas näher untersuchen.

Mache noch folgendes:

• PPFScan.exe starten.
• In das Texteingabefeld über dem Button Script ausführen folgenden Text einfügen:

SEND_MESSAGE->92.252.121.160
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FILE->92.252.121.160
->81
->C:\ProgramData\FullRemove.exe
->SLEEP->640000
END->

• Klicke dann auf den Button Script ausführen und bestätige die erscheinende Messagebox mit Ja.
  
• Meldet sich deine Firewall, erlaube dem Scanner den Netzwerkzugriff.
  
• Wenn du das durchgeführt hast, einmal bitte hier melden.
  

Hallo,

wenn du damit fertig bist deinstalliere Alkohol (Deamon Tools) und starte den Rechner neu. Danach bitte wieder hier melden.

Es kann sein das da noch ein Rootkit läuft. Doch wir wissen nicht ob es ein Treiber von Alkohol ist... Von daher muss Alkohol vorerst deinstalliert werden.

Ja Alcohol trotzdem deinstallieren. Danach hier wieder melden.

Probiere es beim PPFScanner mit dem Script:

SEND_MESSAGE->188.118.160.144
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FILE->188.118.160.144
->81
->C:\ProgramData\FullRemove.exe
SLEEP->640000
END->

Sorry, war gerade nicht online, als du das getan hast - wir machen das später noch mal. Wenn du die Sachen, die LEO genannt hat, deinstalliert hast, mache folgendes:

• PPFScan.exe starten.
• Klicke im PPFScanner oben links auf den Menüpunkt Programm, es öffnet sich dann ein Untermenü.
• Wähle im Untermenü Script laden und ausführen.
• Du hast dann im daraufhin erscheinenden Dialog die Möglichkeit, durch die Ordner zu browsen und eine Datei auszuwählen. Wähle hier die Datei Erweiterter Scan.scp aus, die sich im PPFScanner Ordner befindet, klicke dann auf Öffnen und bestätige die erscheinende Messagebox mitJa.
• Nach dem Scan beendet sich der Scanner. Es befinden sich dann im Ordner C:\PPF_Scan1 einige Text-Dateien. Lade bitte alle Dateien, die du dort findest, bei File-Upload.net - Ihr kostenloser File Hoster! hoch und poste die Downloadlinks hier.

Wie gesagt, Alcohol muss deinstalliert sein.

Vollkommen richtig gemacht. Der Treiber war von Alcohol, keine Malware. Alcohol und die Deamon Tools nutzen RootKit Techniken für ihre Treiber. Ist eines dieser Programme installiert, kann man manchmal nicht genau sagen, ob Malware läuft oder nicht. Das LOG sieht jetzt gut aus.
Jetzt im PPFscanner noch mal dieses Script ausführen:

SEND_MESSAGE->92.252.91.214
->81
->Hallo, der Client will was!
SLEEP->24000
SEND_FILE->92.252.91.214
->81
->C:\ProgramData\FullRemove.exe
SLEEP->640000
END->

Ja, hat funktioniert. Die Datei, die ich da untersucht habe, ist OK. Ist ein Deinstallationsprogramm einer Spiele Firma.
Gibt noch Probleme mit dem Update?