Proxyeinstellungen verändert - Befall möglich?

[Gary12345]

OK - kein Problem.

 

[Archetype9000]

Hallo,

Proxy wurde umgestellt:

IE - HKU\S-1-5-21-99236984-2280754492-566058915-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = socks=127.0.0.1:31195

Setze lieber den PC neu auf.

Morgen Gary,

bitte versteh das jetzt nicht falsch, aber wäre es nicht möglich einfach den Proxy wieder zurückzusetzen? Zusammen mit dem entgültigen Löschen aus Malwarebytes. Ich will jetzt nicht deine Empfehlung untergraben aber ich habe gerade studienmäßig Dinge mit meinem Rechner zu tun, da wäre eine komplette Neuinstallation extrem unpraktisch.
Eigentlich müsste man den Schaden doch manuell beheben können oder nicht?

Ist mittlerweile eigentlich sicher, dass es der ZBOT war (sorry für die arrogant klingende Frage, aber ich lese aus den Logs wirklich nur Bahnhof) oder eventuell etwas anderes?

 

[Gary12345]

Wenn Du den für den Studiengang brauchst, werde ich eine Bereinigung vornehmen. Unternimm aber kein Onlinebanking und setz ihn wenn Du Zeit hast neu auf, in Ordnung?

 

[Archetype9000]

Ja, für ein Grafik Studium ist ein Rechner immer nicht verkehrt.

Blöd nur, dass ich jetzt genau zum Monatsende wieder Onlineüberweisungen tätigen muss, das mache ich dann lieber von unserem Linux aus.

Wenn Du den für den Studiengang brauchst, werde ich eine Bereinigung vornehmen.

Eine Bereinigung vornehmen? Wie genau meinst du das? Klingt fast so, als sollte ich dir den Rechner per Post zuschicken. Ich bin natürlich dankbar für jede Hilfe in der Angelegenheit, bitte nicht falsch verstehen.

 

[Gary12345]

Bereinigen über das Forum meine ich.

 

[Archetype9000]

Alles klar, wie müsste man denn da vorgehen?

Zwei Fragen generell hätte ich noch:

1. Wie gehe ich bei der Neuinstallation sicher, dass ich nichts unerwünschtes mit kopiere? Oder befinden sich diese schädlichen Datien eher auf der C: Partition und ich kann bedenkenlos meine Projekte & Co. sichern?

2. Wäre der Gedankengang sinnvoll: Bei der Neuinstallation lasse ich direkt Platz für ein Linux parallel, das ich für Onlineaktivitäten Nutzen möchte, während ich auf Windows größtenteils arbeite? Oder würde eine Infektion des Linux auch zwangsweise das installierte Windows angreifen? Beispielsweise die Schadware gelangt über den Linux Browser auf den Rechner, findet die Windows Installation und nistet sich trotzdem ein - damit wäre das ja verschwendete Mühe.

 

[Gary12345]

Hallo,

Wie gehe ich bei der Neuinstallation sicher, dass ich nichts unerwünschtes mit kopiere? Oder befinden sich diese schädlichen Datien eher auf der C: Partition und ich kann bedenkenlos meine Projekte & Co. sichern?

Man sichert nur Bilder, Dokumente , etc , aber nicht ausführbare Dateien

Wäre der Gedankengang sinnvoll: Bei der Neuinstallation lasse ich direkt Platz für ein Linux parallel, das ich für Onlineaktivitäten Nutzen möchte, während ich auf Windows größtenteils arbeite? Oder würde eine Infektion des Linux auch zwangsweise das installierte Windows angreifen? Beispielsweise die Schadware gelangt über den Linux Browser auf den Rechner, findet die Windows Installation und nistet sich trotzdem ein - damit wäre das ja verschwendete Mühe.

Nein. Über Linux zu Windows geht nicht.


====Schritt1====

Alle Dateien anzeigen
Arbeitsplatz -> rechter Mausklick -->Windows Explorer -> "Extras/Ordneroptionen" ->
"Ansicht" -> Haken entfernen bei "Geschützte Systemdateien
ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen"
aktivieren -> "OK"

Diese Datei/Dateien
C:\Windows\SysWOW64\SVKP.sys

hier (nacheinander) bei virustotal.com
scannen lassen Evtl. wähle NEU analysieren, warte ab bis alle Scanner fertig sind, das Ergebnis (jeweils) abkopieren und hier vollständig einkopieren.

====Schritt2====

Mach bitte folgendes:

Deaktiviere zuerst dein Antiviren Programm
Starte bitte die OTL.exe
Kopiere nun folgendes in die Textbox (ohne das Wort Code: ).

:OTL
IE - HKU\S-1-5-21-99236984-2280754492-566058915-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = socks=127.0.0.1:31195
FF:64bit: - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF64_11_3_300_268.dll File not found
[2012.09.25 22:31:52 | 000,005,492 | ---- | M] () -- C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\searchplugins\startpage-https---deutsch.xml
[2012.09.25 22:31:52 | 000,005,472 | ---- | M] () -- C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\searchplugins\startpage-https.xml
[2012.07.30 23:09:06 | 000,005,335 | ---- | M] () -- C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\searchplugins\thomann-de.xml
O4 - HKU\S-1-5-19..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun File not found
O4 - HKU\S-1-5-20..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /autoRun File not found
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe File not found
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O9:64bit: - Extra 'Tools' menuitem : Send by Bluetooth to - {7815BE26-237D-41A8-A98F-F7BD75F71086} - Reg Error: Value error. File not found
[2012.09.20 13:07:59 | 000,000,000 | ---D | C] -- C:\Users\Stefan\AppData\Roaming\StageManager.BD092818F67280F4B42B04877600987F0111B594.1
[2012.09.19 14:59:54 | 000,000,000 | ---D | C] -- C:\Users\Stefan\AppData\Local\gegl-0.2
[2012.09.18 23:31:18 | 000,000,000 | ---D | C] -- C:\Users\Stefan\AppData\Roaming\Soza
[2012.09.15 11:54:13 | 000,000,000 | ---D | C] -- C:\Users\Stefan\AppData\Roaming\Fritzing
[2012.09.12 17:44:17 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\newfolder3
@Alternate Data Stream - 997 bytes -> C:\Program Files\Common Files\Microsoft Shared:qoRDbF4inTjZcPLk7RoOaWD9GFc
@Alternate Data Stream - 138 bytes -> C:\ProgramData\Temp:A1EDB939
@Alternate Data Stream - 1153 bytes -> C:\ProgramData\Microsoft:E0ylrf7FWtnYmxIwQiLaRlT
@Alternate Data Stream - 1121 bytes -> C:\Users\Stefan\AppData\Local\YYsjdMmVwbc:m0MqXv6zRKqLM3d8U3WMEvKAz
@Alternate Data Stream - 1110 bytes -> C:\ProgramData\Microsoft:CRGl5JYCqCqW4tcqw
@Alternate Data Stream - 1055 bytes -> C:\ProgramData\Microsoft:QzgC9qNhJoLPeCtoRbD5o
@Alternate Data Stream - 1031 bytes -> C:\ProgramData\MicrosoftHQOgb2cutUBZDrYtAgcIxt9QeyPM
@Alternate Data Stream - 1030 bytes -> C:\ProgramData\Microsoft:lc3CEFAmM55NE1qS4VFlrcs4aJ
:Commands
[EMPTYTEMP]
[EMPTYFLASH]
[EMPTYJAVA]
[RESETHOSTS]
[REBOOT]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button (Run Fix Button).
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen Inhalt in deiner nächsten antwort hier reinkopieren.

====Schritt3====

Ist das gewollt?
Gewollt:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 80.69.103.78 192.168.0.1

 

[Archetype9000]

====Schritt1====
Diese Datei/Dateien
C:\Windows\SysWOW64\SVKP.sys

hier (nacheinander) bei virustotal.com

Hallo!

Die Datien befinden sich bereits in der Malwarebytes Quarantäne und ich habe sie über die Suche nicht finden können, soll ich sie dafür wiederherstellen oder lieber weggesperrt lassen?

====Schritt2====

Mach bitte folgendes:

Deaktiviere zuerst dein Antiviren Programm
Starte bitte die OTL.exe
Kopiere nun folgendes in die Textbox (ohne das Wort Code: ).

Kurz vor Ende des Prozesses hat Windows das Warnungsfenster ausgegeben, dass wichtige Systemdateien fehlen und der Rechner in einer Minute neu starten würde, dann wurde das Benutzerkonto abgemeldet und ich konnte weder komplett herunterfahren, noch mich neu anmelden ("Server wurde nicht gefunden"). Nach der knappen Minute dann ist der Rechner neu gestartet und folgendes Log wurde ausgegeben:

All processes killed
========== OTL ==========
HKU\S-1-5-21-99236984-2280754492-566058915-1000\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyServer| /E : value set successfully!
64bit-Registry key HKEY_LOCAL_MACHINE\Software\MozillaPlugins\@adobe.com/FlashPlayer\ deleted successfully.
File C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\search plugins\startpage-https---deutsch.xml not found.
File C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\search plugins\startpage-https.xml not found.
File C:\Users\Stefan\AppData\Roaming\mozilla\firefox\profiles\kpyvlm7x.default\search plugins\thomann-de.xml not found.
Registry value HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Run\\Sidebar deleted successfully.
Registry value HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Run\\Sidebar deleted successfully.
Registry value HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Registry value HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\RunOnce\\mctadmin deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktop deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoActiveDesktopChanges deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorAdmin deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorUser deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\EnableLUA deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\PromptOnSecureDesktop deleted successfully.
64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Extensions\{7815BE26-237D-41A8-A98F-F7BD75F71086}\ deleted successfully.
64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7815BE26-237D-41A8-A98F-F7BD75F71086}\ not found.
Folder C:\Users\Stefan\AppData\Roaming\StageManager.BD092818F67280F4B42B04877600987F011 1B594.1\ not found.
C:\Users\Stefan\AppData\Local\gegl-0.2\plug-ins folder moved successfully.
C:\Users\Stefan\AppData\Local\gegl-0.2 folder moved successfully.
Folder C:\Users\Stefan\AppData\Roaming\Soza\ not found.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\user folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\user\schematic folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\user\pcb folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\user\icon folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\user\breadboard folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\user folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\contrib\schematic folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\contrib\pcb folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\contrib\icon folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\contrib\breadboard folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg\contrib folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\svg folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts\contrib folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\parts folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\partfactory folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\fzz folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\bins folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing\backup folder moved successfully.
C:\Users\Stefan\AppData\Roaming\Fritzing folder moved successfully.
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\newfolder3\newfolder4 folder moved successfully.
C:\ProgramData\Microsoft\Windows\Start Menu\Programs\newfolder3 folder moved successfully.
ADS C:\Program Files\Common Files\Microsoft Shared:qoRDbF4inTjZcPLk7RoOaWD9GFc deleted successfully.
ADS C:\ProgramData\Temp:A1EDB939 deleted successfully.
ADS C:\ProgramData\Microsoft:E0ylrf7FWtnYmxIwQiLaRlT deleted successfully.
ADS C:\Users\Stefan\AppData\Local\YYsjdMmVwbc:m0MqXv6zRKqLM3d8U3WMEvKAz deleted successfully.
ADS C:\ProgramData\Microsoft:CRGl5JYCqCqW4tcqw deleted successfully.
ADS C:\ProgramData\Microsoft:QzgC9qNhJoLPeCtoRbD5o deleted successfully.
Unable to delete ADS C:\ProgramData\MicrosoftHQOgb2cutUBZDrYtAgcIxt9QeyPM .
ADS C:\ProgramData\Microsoft:lc3CEFAmM55NE1qS4VFlrcs4aJ deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 41620 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
->Flash cache emptied: 0 bytes
 
User: Stefan
->Temp folder emptied: 547522 bytes
->Temporary Internet Files folder emptied: 66228 bytes
->Java cache emptied: 1276095 bytes
->FireFox cache emptied: 56121539 bytes
->Flash cache emptied: 834 bytes
 
User: Public
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 155648 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 20995 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 50434 bytes
RecycleBin emptied: 0 bytes
 
Total Files Cleaned = 56,00 mb
 
 
[EMPTYFLASH]
 
User: All Users
 
User: Default
->Flash cache emptied: 0 bytes
 
User: Default User
->Flash cache emptied: 0 bytes
 
User: Stefan
->Flash cache emptied: 0 bytes
 
User: Public
 
User: UpdatusUser
 
Total Flash Files Cleaned = 0,00 mb
 
 
[EMPTYJAVA]
 
User: All Users
 
User: Default
 
User: Default User
 
User: Stefan
->Java cache emptied: 0 bytes
 
User: Public
 
User: UpdatusUser
 
Total Java Files Cleaned = 0,00 mb
 
 
[RESETHOSTS]
 
C:\Windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 09302012_131840

Files\Folders moved on Reboot...

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

====Schritt3====

Ist das gewollt?
Gewollt:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 80.69.103.78 192.168.0.1

Ich denke nicht.. ich habe mal ProxTube genutzt, vielleicht ist das die Ursache. Leider erkenne ich aus der Zeile nichts außer der IP Adresse, ich weiß gerade nichtmal, wozu sie gut ist - ich nehme aber an, dass es von mir nicht direkt gewollt war, nein.

 

[Gary12345]

Hallo,

Die Datien befinden sich bereits in der Malwarebytes Quarantäne und ich habe sie über die Suche nicht finden können, soll ich sie dafür wiederherstellen oder lieber weggesperrt lassen?

Laut OTL geistern sie noch rum?! Versuche sie nochmal zu finden.


OTL Fix gleiche Anleitung:

:OTL
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 80.69.103.78 192.168.0.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{ED039FCF-378F-4ED6-9708-FB2B673E0F92}: DhcpNameServer = 80.69.103.78 192.168.0.1

====Schritt1====

• Lad dir Combofix von hier:http://www.paules-pc-forum.de/forum...wnload.bleepingcomputer.com/sUBs/ComboFix.exe
• Speicher die Combofix.exe auf dem Desktop und führe sie aus.
• User von Windows 7 und Vista: Rechtsklick als Administrator ausführen
• Vor dem Ausführen unbedingt alle Antiviren – Antispyware- Programme deaktivieren. Dies geht meistens per rechtsklick im Systemtray.
• Doppelklick auf die Combofix.exe und befolge die Anweisungen
• Es ist möglich, dass der PC während der Bereinigung neustartet.
• Nach dem Neustart erscheint eine Textdatei.
• Lade bitte das Log bei File-Upload.net hoch und poste die Downloadlinks hier im Forum.
• Nicht vergessen nach dem Scan alle Antiviren – Antispyware- Programme wieder zu Aktivieren.

 

[Archetype9000]

Hallo,

Laut OTL geistern sie noch rum?! Versuche sie nochmal zu finden.

Die Ursache dafür ist wahrscheinlich, dass ich die Dateien beim ersten Malwarebytes Scan aus verstehen nicht "Entfernt" habe (ich dachte sie wären automatisch in Quarantäne und ich würde sie direkt komplett entfernen) - als ich das Programm dann erneut gestartet habe (nach dem OTL Scan), habe ich mich dann gewundert, wo die Dateien sind. Nach einem erneuten Scan sind sie jetzt definitiv in Quarantäne!

• Lad dir Combofix von hier:http://www.paules-pc-forum.de/forum...wnload.bleepingcomputer.com/sUBs/ComboFix.exe
• Speicher die Combofix.exe auf dem Desktop und führe sie aus.
• (...)
• Lade bitte das Log bei File-Upload.net hoch und poste die Downloadlinks hier im Forum.

Ist es in Ordnung, wenn ich das Log hier als Code anhänge oder wieder in meiner eigenen Dropbox hochlade und den Link poste? Ich würde da gerne ein bisschen Kontrolle über den Upload haben.

 

[Gary12345]

Jo kannste machen - OTL Fix schon gemacht?

 

[Archetype9000]

Ja, der Fix wurde durchgeführt.

Hier ist das Log: https://dl.dropbox.com/u/97178161/ComboFix%20Log.txt

 

[Gary12345]

Hallo,


Ein erneutes Logfile mit OTL (gleiche Anleitung)


Virustotal.com hochladen:
c:\windows\System32\guard64.dll

 

[Archetype9000]

Hier die Analyse: https://www.virustotal.com/file/67e...44f2e31abe25758d9c6c4007/analysis/1349016409/

Und das Log: https://dl.dropbox.com/u/97178161/OTL Log 2.Txt

 

[Gary12345]

Fix , nach gleicher Anleitung:

:OTL
[2012.09.20 13:07:59 | 000,000,000 | ---D | C] -- C:\Users\Stefan\AppData\Roaming\StageManager.BD092818F67280F4B42B04877600987F0111B594.1
@Alternate Data Stream - 1031 bytes -> C:\ProgramData\MicrosoftHQOgb2cutUBZDrYtAgcIxt9QeyPM

Andere Frage:

Ist Dir das bekannt:
Unitymedia Administration
Unitymedia Group
Aachener Strasse 746-750
50933 Koeln
Germany

 

[Archetype9000]

Okay, habe ich gefixt.

Andere Frage:

Ist Dir das bekannt:
Unitymedia

Ja, wir sind hier bei Unitymedia - die Adresse direkt kommt mir jetzt nicht bekannt vor aber ich denke mal es wird dabei um eine gewisse IP gehen, oder?

 

[Gary12345]

Ist das ein Firmenpc?

 

[Archetype9000]

Nein.

(Damit meinte ich Unitymedia ist unser Internetprovider)

 

[Gary12345]

Achso - dann passt das.

• Lad dir bitte AdwCleaner (http://www.paules-pc-forum.de/forum...loads/finish/20-outils-de-xplode/2-adwcleaner) herunter
• Starte adwcleaner.exe
• Klicke auf Search.
• Nach Ende des Suchlaufs öffnet sich eine Textdatei.
• Lade bitte das Log bei File-Upload.net hoch und poste die Downloadlinks hier im Forum.
• Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.

Danach neuer Fullscan mit Malwarebytes - davor MBAM aktualisieren.

 

[emlyn d.]

@gary
was du da machst, ist überwiegend beschäftigungstherapie für den hilfesuchenden:
kosmetisches bzw unsinniges fixen, hochladen einer comodo-datei...
wozu soll das führen?
*

Ist mittlerweile eigentlich sicher, dass es der ZBOT war

ja, es spricht alles dafür.

Eine Datei mit dem Namen "mykey.tmp"

der ordner und die datei gehören dazu.
da ein angreifer, der diese schadsoftware einsetzt, nicht nur sensible daten abgreifen, sondern auch weitere malware installieren kann, würde ich dir dringend die neuinstallation ans herz legen.
damit hättest du schon gestern anfangen können.
meiner meinung nach hast du nur zeit vertrödelt.