Kollege hat einen Virus TR/Agent.616546.19 und kann ihn nicht entfernen?!

[overthat]

Hallo

ein Kollege meinerseits hat einen Virus "TR/Agent.616546.19" und bekommt ihn nicht entfernt (ebenso hat er versucht sein Avira zu deinstallieren, um Kaspersky zu installieren, funktioniert nicht er bekommt Avira nicht deinstalliert).

Was kann man hier machen?

lg

 

[frankyboy1967]

Um ganz sicher zu gehn das alles weg ist, einmal format c: und Windows etc neu.

 

[AdoK]

Mit einer Live-CD starten, die persönlichen Daten wie Bilder, Dokumente, Filme, Musik, etc. pp. sichern und das System neu aufsetzen.

Bevor die zuvor gesicherten Daten wieder zurück auf/ in das neu installierte System kopiert werden, diese auf einen evtl. vorhandenen Befall überprüfen.

 

[species_0001]

http://rescuedisk.kaspersky-labs.com/rescuedisk/updatable/kav_rescue_10.iso
http://www.bitdefender.de/support/bitdefender-notfall-cd-erstellen-627.html
aber der einzig sichere Weg ist, wie schon gesagt wurde, Windows neu aufsetzen.

 

[cbtestarossa]

Avira und AVG bieten ebenso LiveCDs

 

[purzelbär]

Wenn dein Kollege nicht Windows neu aufsetzen will, ladet an einem sauberen PC eine Antivirus Live CD wie die von Kaspersky runter, untersucht und bereinigt damit das System und macht danach noch eine Bereinigung mit Malwarebytes Free oder Emsisoft Emergency Kit die jeweils auch im Abgesicherten Modus OnDemand das System scannen und bereinigen können. Ich versteh aber ehrlich gesagt die User nicht die hergehen und sich keine Backups/Images der Systempartition oder gesamten Festplatte machen. Wäre das nämlich der Fall wäre innerhalb von ungefähr einer halben Stunde ein sauberes Backup/Image des Systems eingespielt und man müsste nicht stundenlang Windows neu installieren oder mit Scannern bereinigen.

 

[emlyn d.]

ein Kollege meinerseits hat einen Virus "TR/Agent.616546.19"

Hallo,
wie lautet die genaue Fundmeldung?

Bitte beide FRST-Logs(siehe Signatur) posten/anhängen.

 

[overthat]

Edit: Okay hier der komplette Log

1)
Additional scan result of Farbar Recovery Scan Tool (x64) Version: 25-05-2014 02
Ran by **at 2014-05-28 19:07:44
Running from C:\Users\**\Downloads
Boot Mode: Normal
==========================================================


==================== Security Center ========================

AV: Avira Desktop (Enabled - Up to date) {4D041356-F94D-285F-8768-AAE50FA36859}
AS: Avira Desktop (Enabled - Up to date) {F665F2B2-DF77-27D1-BDD8-9197742422E4}
AS: Windows Defender (Enabled - Up to date) {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}

==================== Installed Programs ======================

Adobe Flash Player 13 ActiveX (HKLM-x32\...\Adobe Flash Player ActiveX) (Version: 13.0.0.214 - Adobe Systems Incorporated)
Adobe Flash Player 13 Plugin (HKLM-x32\...\Adobe Flash Player Plugin) (Version: 13.0.0.214 - Adobe Systems Incorporated)
Adobe Reader XI (11.0.07) - Deutsch (HKLM-x32\...\{AC76BA86-7AD7-1031-7B44-AB0000000001}) (Version: 11.0.07 - Adobe Systems Incorporated)
Apple Mobile Device Support (HKLM\...\{787136D2-F0F8-4625-AA3F-72D7795AC842}) (Version: 7.1.1.3 - Apple Inc.)
Bonjour (HKLM\...\{6E3610B2-430D-4EB0-81E3-2B57E8B9DE8D}) (Version: 3.0.0.10 - Apple Inc.)
CCleaner (HKLM\...\CCleaner) (Version: 4.14 - Piriform)
Curse (HKLM-x32\...\{DEE70742-F4E9-44CA-B2B9-EE95DCF37295}) (Version: 6.0.0.0 - Curse)
GIMP 2.8.10 (HKLM\...\GIMP-2_is1) (Version: 2.8.10 - The GIMP Team)
IrfanView (remove only) (HKLM-x32\...\IrfanView) (Version: 4.37 - Irfan Skiljan)
iTunes (HKLM\...\{B8BA155B-1E75-405F-9CB4-8A99615D09DC}) (Version: 11.1.5.5 - Apple Inc.)
Microsoft .NET Framework 4.5.1 (DEU) (Version: 4.5.50938 - Microsoft Corporation) Hidden
Microsoft .NET Framework 4.5.1 (Deutsch) (HKLM\...\{92FB6C44-E685-45AD-9B20-CADF4CABA132} - 1031) (Version: 4.5.50938 - Microsoft Corporation)
Microsoft .NET Framework 4.5.1 (HKLM\...\{92FB6C44-E685-45AD-9B20-CADF4CABA132} - 1033) (Version: 4.5.50938 - Microsoft Corporation)
Microsoft .NET Framework 4.5.1 (Version: 4.5.50938 - Microsoft Corporation) Hidden
Microsoft Visual C++ 2005 Redistributable (x64) (HKLM\...\{6ce5bae9-d3ca-4b99-891a-1dc6c118a5fc}) (Version: 8.0.59192 - Microsoft Corporation)
Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.17 (HKLM\...\{8220EEFE-38CD-377E-8595-13398D740ACE}) (Version: 9.0.30729 - Microsoft Corporation)
Mozilla Firefox 29.0.1 (x86 de) (HKLM-x32\...\Mozilla Firefox 29.0.1 (x86 de)) (Version: 29.0.1 - Mozilla)
Mozilla Maintenance Service (HKLM-x32\...\MozillaMaintenanceService) (Version: 29.0.1 - Mozilla)
NVIDIA 3D Vision Controller-Treiber 337.88 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.NVIRUSB) (Version: 337.88 - NVIDIA Corporation)
NVIDIA GeForce Experience 2.0.1 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.GFExperience) (Version: 2.0.1 - NVIDIA Corporation)
NVIDIA Grafiktreiber 337.88 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.Driver) (Version: 337.88 - NVIDIA Corporation)
NVIDIA HD-Audiotreiber 1.3.30.1 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_HDAudio.Driver) (Version: 1.3.30.1 - NVIDIA Corporation)
NVIDIA Install Application (Version: 2.1002.154.1168 - NVIDIA Corporation) Hidden
NVIDIA LED Visualizer 1.0 (Version: 1.0 - NVIDIA Corporation) Hidden
NVIDIA Network Service (Version: 1.0 - NVIDIA Corporation) Hidden
NVIDIA PhysX-Systemsoftware 9.13.1220 (HKLM\...\{B2FE1952-0186-46C3-BAEC-A80AA35AC5B8}_Display.PhysX) (Version: 9.13.1220 - NVIDIA Corporation)
NVIDIA ShadowPlay 12.4.67 (Version: 12.4.67 - NVIDIA Corporation) Hidden
NVIDIA Systemsteuerung 337.88 (Version: 337.88 - NVIDIA Corporation) Hidden
NVIDIA Update 12.4.67 (Version: 12.4.67 - NVIDIA Corporation) Hidden
NVIDIA Update Core (Version: 12.4.67 - NVIDIA Corporation) Hidden
NVIDIA Virtual Audio 1.2.23 (Version: 1.2.23 - NVIDIA Corporation) Hidden
SHIELD Streaming (Version: 2.1.108 - NVIDIA Corporation) Hidden
Skype™ 6.13 (HKLM-x32\...\{7A3C7E05-EE37-47D6-99E1-2EB05A3DA3F7}) (Version: - )
Spotify (HKCU\...\Spotify) (Version: 0.9.10.14.g578d350b - Spotify AB)
TeamSpeak 3 Client (HKLM\...\TeamSpeak 3 Client) (Version: 3.0.14 - TeamSpeak Systems GmbH)
WinRAR 5.01 (64-bit) (HKLM\...\WinRAR archiver) (Version: 5.01.0 - win.rar GmbH)

==================== Restore Points =========================

27-05-2014 16:08:41 Installed AMD OverDrive.
27-05-2014 16:50:46 Removed AMD OverDrive.

==================== Hosts content: ==========================

2009-07-14 04:34 - 2009-06-10 23:00 - 00000824 ____A C:\Windows\system32\Drivers\etc\hosts

==================== Scheduled Tasks (whitelisted) =============

Task: {286B1A8E-2727-4794-9521-E237FC90CD02} - System32\Tasks\Adobe Flash Player Updater => C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe [2014-05-14] (Adobe Systems Incorporated)
Task: {4CEE4507-6C40-4EDC-B2F0-405089B4D0DC} - System32\Tasks\{181F69D1-DBE5-4647-BA30-2D31C2D2A6F4} => Firefox.exe http://ui.skype.com/ui/0/6.16.0.105/de/go/help.faq.installer?LastError=1638
Task: {6E3357BF-8214-4981-9A61-C89D5D1D6E63} - System32\Tasks\{059C9B21-B6F6-4131-8356-7C7AF2DFF8BB} => Firefox.exe http://ui.skype.com/ui/0/6.16.60.105/de/go/help.faq.installer?LastError=1638
Task: {86CED3B2-186F-4736-B922-A2ACE9F5DC7A} - System32\Tasks\Microsoft\Windows\WindowsBackup\AutomaticBackup => Rundll32.exe /d sdengin2.dll,ExecuteScheduledBackup
Task: {BCA6FD79-1C94-4491-B954-8049DCFFECBF} - System32\Tasks\Apple\AppleSoftwareUpdate => C:\Program Files (x86)\Apple Software Update\SoftwareUpdate.exe [2011-06-01] (Apple Inc.)
Task: {ECB82599-1EDE-4C5A-ABF4-B36B988FC379} - System32\Tasks\CCleanerSkipUAC => C:\Program Files\CCleaner\CCleaner.exe [2014-05-20] (Piriform Ltd)
Task: C:\Windows\Tasks\Adobe Flash Player Updater.job => C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
Task: C:\Windows\Tasks\APSnotifierPP1.job => C:\Program Files (x86)\AnyProtectEx\AnyProtect.exe <==== ATTENTION

==================== Loaded Modules (whitelisted) =============

2014-02-11 15:08 - 2014-05-20 03:25 - 00116568 _____ () C:\Program Files\NVIDIA Corporation\Display\NvSmartMax64.dll
2014-02-12 21:58 - 2014-02-12 21:58 - 00073544 _____ () C:\Program Files (x86)\Common Files\Apple\Apple Application Support\zlib1.dll
2014-02-12 21:58 - 2014-02-12 21:58 - 01044808 _____ () C:\Program Files (x86)\Common Files\Apple\Apple Application Support\libxml2.dll
2014-05-21 23:07 - 2014-05-07 04:27 - 03839088 _____ () C:\Program Files (x86)\Mozilla Firefox\mozjs.dll
2014-05-14 20:57 - 2014-05-14 20:57 - 16361136 _____ () C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_13_0_0_214.dll

==================== Alternate Data Streams (whitelisted) =========


==================== Safe Mode (whitelisted) ===================


==================== EXE Association (whitelisted) =============


==================== Disabled items from MSCONFIG ==============

MSCONFIG\startupfolder: C:^Users^**^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^Curse.lnk => C:\Windows\pss\Curse.lnk.Startup
MSCONFIG\startupreg: iTunesHelper => "C:\Program Files (x86)\iTunes\iTunesHelper.exe"
MSCONFIG\startupreg: Spotify => "C:\Users\**\AppData\Roaming\Spotify\Spotify.exe" /uri spotify:autostart
MSCONFIG\startupreg: Spotify Web Helper => "C:\Users\**\AppData\Roaming\Spotify\Data\SpotifyWebHelper.exe"

==================== Faulty Device Manager Devices =============


==================== Event log errors: =========================

Application errors:
==================
Error: (05/27/2014 08:29:08 PM) (Source: Application Hang) (EventID: 1002) (User: )
Description: Programm kis14.0.0.4651de-de.exe, Version 14.0.0.4651 kann nicht mehr unter Windows ausgeführt werden und wurde beendet. Überprüfen Sie den Problemverlauf in der Wartungscenter-Systemsteuerung, um nach weiteren Informationen zum Problem zu suchen.

Prozess-ID: 1320

Startzeit: 01cf79d9614a0210

Endzeit: 6

Anwendungspfad: C:\Users\**\Downloads\kis14.0.0.4651de-de.exe

Berichts-ID: c5dbe311-e5cc-11e3-b334-002511735126

Error: (05/27/2014 07:59:04 PM) (Source: PerfNet) (EventID: 2004) (User: )
Description:

Error: (05/27/2014 06:47:44 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: Name der fehlerhaften Anwendung: NvBackend.exe, Version: 12.4.67.0, Zeitstempel: 0x535fafd9
Name des fehlerhaften Moduls: nvapi.dll_unloaded, Version: 0.0.0.0, Zeitstempel: 0x537a8d9c
Ausnahmecode: 0xc0000005
Fehleroffset: 0x70f28850
ID des fehlerhaften Prozesses: 0xc94
Startzeit der fehlerhaften Anwendung: 0xNvBackend.exe0
Pfad der fehlerhaften Anwendung: NvBackend.exe1
Pfad des fehlerhaften Moduls: NvBackend.exe2
Berichtskennung: NvBackend.exe3

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7042) (User: )
Description: Windows Search wird aufgrund eines Problems bei der Indizierung The catalog is corrupt beendet.


Details:
Der Inhaltsindexkatalog ist fehlerhaft. (HRESULT : 0xc0041801) (0xc0041801)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7040) (User: )
Description: Vom Suchdienst wurden beschädigte Datendateien im Index {id=4400} erkannt. Vom Dienst wird versucht, dieses Problem durch Neuerstellung des Indexes automatisch zu beheben.


Details:
Der Inhaltsindexkatalog ist fehlerhaft. (HRESULT : 0xc0041801) (0xc0041801)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7010) (User: )
Description: Der Index kann nicht initialisiert werden.


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3058) (User: )
Description: Die Anwendung kann nicht initialisiert werden.

Kontext: Windows Anwendung


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3028) (User: )
Description: Das Gatherer-Objekt kann nicht initialisiert werden.

Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3029) (User: )
Description: Plug-In in <Search.TripoliIndexer> kann nicht initialisiert werden.

Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7042) (User: )
Description: Windows Search wird aufgrund eines Problems bei der Indizierung The catalog is corrupt beendet.

Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Der Inhaltsindexkatalog ist fehlerhaft. 0xc0041801 (0xc0041801)


System errors:
=============
Error: (05/27/2014 08:22:38 PM) (Source: Service Control Manager) (EventID: 7031) (User: )
Description: Der Dienst "Apple Mobile Device" wurde unerwartet beendet. Dies ist bereits 1 Mal vorgekommen. Folgende Korrekturmaßnahmen werden in 60000 Millisekunden durchgeführt: Neustart des Diensts.

Error: (05/27/2014 08:14:49 PM) (Source: Service Control Manager) (EventID: 7001) (User: )
Description: Der Dienst "Peer Name Resolution-Protokoll" ist vom Dienst "Peernetzwerkidentitäts-Manager" abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:
%%1053

Error: (05/27/2014 08:14:49 PM) (Source: Service Control Manager) (EventID: 7001) (User: )
Description: Der Dienst "Peernetzwerk-Gruppenzuordnung" ist vom Dienst "Peernetzwerkidentitäts-Manager" abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:
%%1053

Error: (05/27/2014 08:14:49 PM) (Source: Service Control Manager) (EventID: 7000) (User: )
Description: Der Dienst "Peernetzwerkidentitäts-Manager" wurde aufgrund folgenden Fehlers nicht gestartet:
%%1053

Error: (05/27/2014 08:14:49 PM) (Source: Service Control Manager) (EventID: 7009) (User: )
Description: Das Zeitlimit (30000 ms) wurde beim Verbindungsversuch mit dem Dienst Peernetzwerkidentitäts-Manager erreicht.

Error: (05/27/2014 08:13:11 PM) (Source: Service Control Manager) (EventID: 7000) (User: )
Description: Der Dienst "NVIDIA Stereoscopic 3D Driver Service" wurde aufgrund folgenden Fehlers nicht gestartet:
%%2

Error: (05/27/2014 08:13:11 PM) (Source: EventLog) (EventID: 6008) (User: )
Description: Das System wurde zuvor am ‎27.‎05.‎2014 um 20:09:16 unerwartet heruntergefahren.

Error: (05/27/2014 07:58:53 PM) (Source: Service Control Manager) (EventID: 7000) (User: )
Description: Der Dienst "Apple Mobile Device" wurde aufgrund folgenden Fehlers nicht gestartet:
%%1053

Error: (05/27/2014 07:58:53 PM) (Source: Service Control Manager) (EventID: 7009) (User: )
Description: Das Zeitlimit (30000 ms) wurde beim Verbindungsversuch mit dem Dienst Apple Mobile Device erreicht.

Error: (05/27/2014 07:58:06 PM) (Source: Service Control Manager) (EventID: 7009) (User: )
Description: Das Zeitlimit (30000 ms) wurde beim Verbindungsversuch mit dem Dienst Adobe Acrobat Update Service erreicht.


Microsoft Office Sessions:
=========================
Error: (05/27/2014 08:29:08 PM) (Source: Application Hang) (EventID: 1002) (User: )
Description: kis14.0.0.4651de-de.exe14.0.0.4651132001cf79d9614a02106C:\Users\**\Downloads\kis14.0.0.4651de-de.exec5dbe311-e5cc-11e3-b334-002511735126

Error: (05/27/2014 07:59:04 PM) (Source: PerfNet) (EventID: 2004) (User: )
Description:

Error: (05/27/2014 06:47:44 PM) (Source: Application Error) (EventID: 1000) (User: )
Description: NvBackend.exe12.4.67.0535fafd9nvapi.dll_unloaded0.0.0.0537a8d9cc000000570f28850c9401cf79cb26ecaa40C:\Program Files (x86)\NVIDIA Corporation\Update Core\NvBackend.exenvapi.dll9fdebb00-e5be-11e3-aedd-002511735126

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7042) (User: )
Description:
Details:
Der Inhaltsindexkatalog ist fehlerhaft. (HRESULT : 0xc0041801) (0xc0041801)
The catalog is corrupt

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7040) (User: )
Description:
Details:
Der Inhaltsindexkatalog ist fehlerhaft. (HRESULT : 0xc0041801) (0xc0041801)
4400

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7010) (User: )
Description:
Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3058) (User: )
Description: Kontext: Windows Anwendung


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3028) (User: )
Description: Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 3029) (User: )
Description: Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Die Inhaltsindexdatenbank ist fehlerhaft. (HRESULT : 0xc0041800) (0xc0041800)
Search.TripoliIndexer

Error: (05/27/2014 11:57:14 AM) (Source: Windows Search Service) (EventID: 7042) (User: )
Description: Kontext: Windows Anwendung, SystemIndex Katalog


Details:
Der Inhaltsindexkatalog ist fehlerhaft. 0xc0041801 (0xc0041801)
The catalog is corrupt


==================== Memory info ===========================

Percentage of memory in use: 51%
Total physical RAM: 2047.37 MB
Available physical RAM: 1000.45 MB
Total Pagefile: 4094.73 MB
Available Pagefile: 2476.49 MB
Total Virtual: 8192 MB
Available Virtual: 8191.84 MB

==================== Drives ================================

Drive c: () (Fixed) (Total:465.66 GB) (Free:421.6 GB) NTFS

==================== MBR & Partition Table ==================

========================================================
Disk: 0 (MBR Code: Windows 7 or 8) (Size: 466 GB) (Disk ID: 37751774)
Partition 1: (Active) - (Size=100 MB) - (Type=07 NTFS)
Partition 2: (Not Active) - (Size=466 GB) - (Type=07 NTFS)

==================== End Of Log ============================

 

[emlyn d.]

Bitte beide Logs(FRST.txt und Addition.txt) komplett posten.
Und noch einmal:
Wie lautet die genaue Fundmeldung?

 

[overthat]

Edit: Ich schicks als Datei (Text wäre sonst zu groß)

1) file-upload.net/download-8968347/FRST.txt.html
2) file-upload.net/download-8968350/Addition.txt.html

Meldung: Die Datei 'C:\Users\Gruber\AppData\Local\Temp\ICReinstall_nszE13E.tmp' enthielt einen Virus oder unerwünschtes Programm 'TR/Agent.616546.19' [trojan]. Durchgeführte Aktion(en): Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '560b5420.qua' verschoben!

(musste einen Link verwenden, finde hier keine Option eine Datei anzuhängen)

 

[emlyn d.]

Hallo,
Anhänge kannst Du mittels des Büroklammer-Symbols verwalten.

Bitte die angehängte Fixlist.txt in den Ordner speichern, von dem FRST ausgeführt wurde, bei FRST auf "Fix" klicken und Fixlog.txt posten/anhängen.

Dann einen MBAM(http://downloads.malwarebytes.org/mbam-download-exe.php, Testphase für die Vollversion abwählen & updaten)-Bericht erstellen und posten/anhängen.

Als letztes http://www.bleepingcomputer.com/download/adwcleaner/dl/125/(Download startet automatisch) ausführen, auf "Suchen" klicken und das Log posten oder anhängen.

 

[frankyboy1967]

Mittlerweile wäre Windows etc auch schon neuinstalliert. ;-)

 

[okni]

Mittlerweile wäre Windows etc auch schon neuinstalliert. ;-)

Ja stimmt, da wäre er schneller fertig gewesen und hätte dann auch ganz sicher ein sauberes System.
Und wenn er dann regelmäßig Images der Systempartition oder besser der ganzen Festplatte macht, dann ist er das nächste mal für solche Szenarien gut gerüstet, und hat sein System innerhalb kürzester Zeit wieder hergestellt.

 

[performi]

und noch ein bißchen mehr Hintergrund...

zusätzlich zu den o.g. Logs ebenfalls einen neuen Avira-KPL-scan mit log...
denn ich bin sicher nicht weit weg, wenn ich vermute der "tmp-Fund" kam durch die Infektion WIEDER trotz ccleaner-Reinigung...
dürfte natürlich nach emlyn nicht mehr sein...

also dementsprechend und zur Einsichtnahme der Einstellungen etc., die "wir" zwar selber momentan bei anderen Experten ergoogeln müßten, aber auch das kriegen wir sicher hin, es sei denn emlyn hats selber ?
ist Avira wie man so schön sagt "uptodate"...

was bedeutet die vorgehabte Deinstallation von Avira ?
was bedeuten die KIS und ESET Dinger ? Wolltet ihr nur mal ein bißchen damit rumspielen, wegen Fund ?
KIS-Abbruch wegen vorhandenem Avira ?

2014-05-27 20:27 - 2014-05-27 20:27 - 00000000 ____D () C:\ProgramData\Kaspersky Lab Setup Files

Fragen über Fragen ?

ach und Feststellungen noch: Firefox gibt es nur bei Mozilla und nicht bei CHIP !
http://www.camp-firefox.de/
Mozilla hat mindestens ebenso, wenn nicht noch mehr (fast) werbefreie Seiten im Internet und da kann man eigentlich gar nicht dran vorbeilaufen!

aber trotzdem Danke! für den update-Hinweis auf die neue ccleaner-slim...
die kommt ja immer erst, wenn all die weltweiten update-checker, hoffentlich oft genug mit Toolbar installiert haben...

 

[purzelbär]

Und wenn er dann regelmäßig Images der Systempartition oder besser der ganzen Festplatte macht, dann ist er das nächste mal für solche Szenarien gut gerüstet, und hat sein System innerhalb kürzester Zeit wieder hergestellt.

Hatte ich auch schon angedeutet okni:

Ich versteh aber ehrlich gesagt die User nicht die hergehen und sich keine Backups/Images der Systempartition oder gesamten Festplatte machen. Wäre das nämlich der Fall wäre innerhalb von ungefähr einer halben Stunde ein sauberes Backup/Image des Systems eingespielt und man müsste nicht stundenlang Windows neu installieren oder mit Scannern bereinigen.

Und selbst wenn der Betroffene keine USB Festplatte hätte, die kriegt man heutzutage an jeder Ecke(Beispiel: MM, Amazon, aktuell Aldi Süd)für faires Geld und es ist eine einmalige Investition für die nächsten Jahre.

 

[emlyn d.]

Welche Zeit das Datensichern und Neuaufsetzen beim Hilfesuchenden beansprucht, vermag ich nicht zu beurteilen.

Bei dem, was in den bisherigen Logs auffällig ist, handelt es sich nur um PUPs/Adware.

 

[performi]

zumal ein Placebo-Backup zumindestens ansatzweise zu erkennen:

Task: {86CED3B2-186F-4736-B922-A2ACE9F5DC7A} - System32\Tasks\Microsoft\Windows\WindowsBackup\AutomaticBackup => Rundll32.exe /d sdengin2.dll,ExecuteScheduledBackup

vermag ich aber auch nicht zu beurteilen...

was ich aber völlig vergessen hatte bzw. nicht gesehen ?

ebenso hat er versucht sein Avira zu deinstallieren

wie auch, ohne "Microsoft Visual C++ 2010 Redistributable" x64 und wer immer das wieder gefressen hat, vllt. ja das backup...
m.E. jedenfalls Grundvoraussetzung für ein "uptodate" Avira und vieles weitere...z.b.
http://forum.avira.com/wbb/index.php?page=Thread&postID=1290090#post1290090