Hallo!

Auf dem Rechner von nem Bekannten hatte sich einiges an Spyware, Viren usw. angesammelt. Mit diversen Spywareprogrammen und AntiVir ist alles weg ausser der ISTBar ... die findet Spybot immer wieder.

Kann mir jemand da noch einen Tip geben?

Hier die Logfile:

Logfile of HijackThis v1.99.1
Scan saved at 20:25:51, on 07.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\Programme\ewido anti-malware\ewidoguard.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\carpserv.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Microsoft Works\WkDetect.exe
C:\Programme\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.msn.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://search.msn.de/
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.msn.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.freenet.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .UVR: C:\Programme\Internet Explorer\Plugins\NPUPano.dll
O14 - IERESET.INF: START_PAGE_URL=h**p://www.arcor.de
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1140966483491
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1140968539399
O17 - HKLM\System\CCS\Services\Tcpip\..\{AA5DEBCA-6833-4CF8-B801-B19F3C2A7B8A}: NameServer = 192.168.1.1
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido anti-malware\ewidoguard.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe
O23 - Service: Universal Plug and Play Device Configuration (UPnP Configuration) - Unknown owner - C:\WINDOWS\System32\upnp.exe (file missing)

Hallo,

sanne mal folgende Dateien online bei Jotti und poste das Ergebnis hier:

C:\WINDOWS\System32\Shdocvw.dll
C:\WINDOWS\System32\upnp.exe

Ich tippe auf http://www.sophos.com/virusinfo/anal...startpafg.html

Gruß

Schrulli

NgkTB

und:
ServiceFilter.zip
http://virus-protect.org/artikel/too...viceFilter.zip

- entzippen
- doppelklick auf die datei ServiceFilter.vbs
- versions-nummer bestätigen
- scannen
- öffnen von wordpad oder editor erlauben
- POST_THIS.TXT abkopieren

Hallo!

Der Virusscan fuer die dll war negativ und die exe gibts auf dem system nicht mehr.

Hier die Auswertung aus der post_this

ServiceFilter 1.1
by rand1038

Microsoft Windows XP Home Edition
Version: 5.1.2600 Service Pack 2
Mrz 9, 2006 17:57:07


---> Begin Service Listing <---

Unknown Service # 1
Service Name: AntiVirScheduler
Display Name: AntiVir Scheduler
Start Mode: Auto
Start Name: LocalSystem
Description: Dienst zur Planung und Steuerung von Prüf- und Updateaufgaben der AntiVir PersonalEdition ...
Service Type: Own Process
Path: c:\programme\antivir personaledition classic\sched.exe
State: Running
Process ID: 1232
Started: Wahr
Exit Code: 0
Accept Pause: Wahr
Accept Stop: Wahr

Unknown Service # 2
Service Name: AntiVirService
Display Name: AntiVir PersonalEdition Classic Service
Start Mode: Auto
Start Name: LocalSystem
Description: Echtzeit Virenschutz durch H+BEDV AntiVir ...
Service Type: Own Process
Path: c:\programme\antivir personaledition classic\avguard.exe
State: Running
Process ID: 1244
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service # 3
Service Name: ewido security suite control
Display Name: ewido security suite control
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\programme\ewido anti-malware\ewidoctrl.exe
State: Running
Process ID: 1272
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service # 4
Service Name: ewido security suite guard
Display Name: ewido security suite guard
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\programme\ewido anti-malware\ewidoguard.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 5
Service Name: Secure System
Display Name: Secure System
Start Mode: Disabled
Start Name: LocalSystem
Description: ...
Service Type: Share Process
Path: "c:\windows\system32\integitor.exe" -service
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #6
Service Name: SLService
Display Name: SmartLinkService
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: slserv.exe
State: Running
Process ID: 1380
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #7
Service Name: SwPrv
Display Name: MS Software Shadow Copy Provider
Start Mode: Manual
Start Name: LocalSystem
Description: Verwaltet Software-basierte Schattenkopien des Volumeschattenkopie-Dienstes. Software-basierte ...
Service Type: Own Process
Path: c:\windows\system32\dllhost.exe /processid:{4c118d76-daf3-4d60-99e1-419379488191}
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 8
Service Name: UPnP Configuration
Display Name: Universal Plug and Play Device Configuration
Start Mode: Disabled
Start Name: LocalSystem
Description: Handling all UPnP related system ...
Service Type: Own Process
Path: c:\windows\system32\upnp.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

---> End Service Listing <---

There are 83 Win32 services on this machine.
8 were unrecognized.

Script Execution Time: 16,11328 seconds.

NgkTB

1.
Click Start>> Ausfuehren>> Services.msc und Click OK!
"Eigenschaften" >> Click "Stop">> Starttyp "deaktiviert"

- Universal Plug and Play Device Configuration (UPnP Configuration) --> nur diese, keine andere !!!
- Secure System

2.
Start --> Ausfuehren --> reinkopieren (wenn eine Fehlermeldung kommt...ignorieren) --> klicke nach jedem O.K.

sc delete Universal Plug and Play Device Configuration
sc delete UPnP Configuration
sc delete Secure System

3.
Download Registry Search by Bobbi Flekman
http://virus-protect.org/artikel/tools/regsearch.html
und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

Universal Plug and Play Device Configuration

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

UPnP Configuration

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

Secure System

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

--------------------------------------------------------------------------------------
4.
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

5.
Kopiere diese 4 Textdateien. Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

zu 3:

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.0.1

; Results at 10.03.2006 17:27:24 for strings:
; 'universal plug and play device configuration'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_USERS\S-1-5-21-2669302297-645757453-568730901-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"b"="sc delete universal plug and play device configuration\\1"

; End Of The Log...


REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.0.1

; Results at 10.03.2006 17:30:59 for strings:
; 'upnp configuration'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AE1E00AA-3FD5-403C-8A27-2BBDC30CD0E1}]
@="Home Networking NAT Traversal via UPnP Configuration Manager"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration\Enum]

[HKEY_USERS\S-1-5-21-2669302297-645757453-568730901-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"c"="sc delete UPnP configuration\\1"

; End Of The Log...

REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.0.1

; Results at 10.03.2006 17:38:02 for strings:
; 'secure system'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System\Enum]

[HKEY_USERS\S-1-5-21-2669302297-645757453-568730901-1007\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU]
"d"="sc delete secure system\\1"

; End Of The Log...

und zu 5.

Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\

10.03.2006 17:54 0 sys.txt
10.03.2006 17:54 10.237 system.txt
10.03.2006 17:54 127 systemtemp.txt
10.03.2006 17:53 95.120 system32.txt
10.03.2006 17:16 132.698.112 hiberfil.sys
10.03.2006 17:16 201.326.592 pagefile.sys
07.03.2006 19:50 3.346 Scan Report_20060307.txt.txt
26.02.2006 19:07 211 boot.ini
26.02.2006 18:28 47.564 NTDETECT.COM
26.02.2006 18:28 251.184 ntldr
10.02.2005 11:11 8.628 wkhlpqms.GID

Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\WINDOWS\system32

07.03.2006 18:06 1.374 wpa.dbl
26.02.2006 21:27 208.896 FNTCACHE.DAT
26.02.2006 20:03 40.800 perfc009.dat
26.02.2006 20:03 313.082 perfh009.dat
26.02.2006 20:03 318.436 perfh007.dat
26.02.2006 20:03 49.226 perfc007.dat
26.02.2006 20:03 728.266 PerfStringBackup.INI
26.02.2006 18:54 247 spupdwxp.log
26.02.2006 12:01 167.936 nmeproxy.exe
07.02.2006 21:28 4.513.120 MRT.exe
18.01.2006 13:05 57.344 avsda.dll
04.01.2006 04:35 68.096 webclnt.dll
29.12.2005 03:54 280.064 gdi32.dll

Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\WINDOWS

10.03.2006 17:54 24 pyguJ
10.03.2006 17:19 0 0.log
10.03.2006 17:18 4.142 ModemLog_SoftK56 Data Fax Voice Speakerphone CARP.txt
10.03.2006 17:17 157 wiadebug.log
10.03.2006 17:17 728.332 WindowsUpdate.log
10.03.2006 17:17 50 wiaservc.log
10.03.2006 17:16 2.048 bootstat.dat
09.03.2006 17:52 107.134 UninstallFirefox.exe
09.03.2006 17:52 2.266 mozver.dat
08.03.2006 19:28 388.220 setupapi.log
07.03.2006 21:26 436.812 ntbtlog.txt
26.02.2006 21:23 32.634 SchedLgU.Txt
26.02.2006 20:13 222.662 setupact.log
26.02.2006 20:07 58.400 iis6.log
26.02.2006 20:07 134.108 comsetup.log
26.02.2006 20:07 80.951 ntdtcsetup.log
26.02.2006 20:07 150.426 tsoc.log
26.02.2006 20:07 19.149 ocmsn.log
26.02.2006 20:07 1.374 imsins.log
26.02.2006 20:07 11.192 KB901017.log
26.02.2006 20:07 186.091 ocgen.log
26.02.2006 20:07 19.091 msgsocm.log
26.02.2006 20:07 404.058 FaxSetup.log
26.02.2006 20:06 10.596 KB887472.log
26.02.2006 20:06 11.969 KB896358.log
26.02.2006 20:06 15.170 updspapi.log
26.02.2006 20:06 7.439 KB910437.log
26.02.2006 20:01 30.276 spupdsvc.log
26.02.2006 19:56 30.662 KB899587.log
26.02.2006 19:56 29.781 KB896422.log
26.02.2006 19:55 29.728 KB885835.log
26.02.2006 19:55 28.581 KB885836.log
26.02.2006 19:55 29.408 KB885250.log
26.02.2006 19:55 29.458 KB911927.log
26.02.2006 19:55 29.278 KB899591.log
26.02.2006 19:55 29.469 KB896424.log
26.02.2006 19:54 29.306 KB893756.log
26.02.2006 19:54 26.832 KB896423.log
26.02.2006 19:54 26.597 KB873339.log
26.02.2006 19:54 26.661 KB888113.log
26.02.2006 19:54 27.211 KB887742.log
26.02.2006 19:54 18.864 KB898458.log
26.02.2006 19:53 22.435 KB911564.log
26.02.2006 19:53 926 wmsetup.log
26.02.2006 19:53 30.517 KB905915.log
26.02.2006 19:52 24.065 KB891781.log
26.02.2006 19:52 29.342 KB902400.log
26.02.2006 19:51 21.239 KB890046.log
26.02.2006 19:51 20.972 KB905414.log
26.02.2006 19:51 20.217 KB901214.log
26.02.2006 19:51 18.784 KB888302.log
26.02.2006 19:50 20.662 KB900725.log
26.02.2006 19:50 17.729 KB912919.log
26.02.2006 19:50 12.009 KB886185.log
26.02.2006 19:50 18.254 KB904706.log
26.02.2006 19:50 17.533 KB905749.log
26.02.2006 19:49 16.494 KB896428.log
26.02.2006 19:49 11.806 KB911565.log
26.02.2006 19:48 18.204 KB894391.log
26.02.2006 19:48 14.621 KB908519.log
26.02.2006 19:48 10.888 KB913446.log
26.02.2006 19:48 20.071 KB890859.log
26.02.2006 19:09 8.971 KB893803v2.log
26.02.2006 19:08 6.909 KB898461.log
26.02.2006 19:07 653 win.ini
26.02.2006 19:07 326 system.ini
26.02.2006 19:02 731 DtcInstall.log
26.02.2006 19:00 316.640 WMSysPr9.prx
26.02.2006 19:00 1.925 OEWABLog.txt
26.02.2006 18:57 12.920 setuplog.txt
26.02.2006 18:50 439.010 svcpack.log
26.02.2006 18:45 200 cmsetacl.log
26.02.2006 18:43 3.685 sessmgr.setup.log
26.02.2006 17:07 28.022 xpsp1hfm.log
26.02.2006 17:07 35.042 KB835732.log
26.02.2006 17:06 27.473 Q810833.log
26.02.2006 17:04 23.864 KB834707-IE6-20040929.115007.log
26.02.2006 17:03 23.013 KB828741.log
26.02.2006 17:02 13.221 Q329834.log
26.02.2006 17:02 2.051 vminst.log
26.02.2006 17:01 15.588 KB823559.log
26.02.2006 16:59 15.161 Q817606.log
26.02.2006 16:57 14.698 Q329441.log
26.02.2006 16:55 11.313 Q810577.log
26.02.2006 16:53 8.653 Q811630.log
26.02.2006 16:51 4.947 Q329170.log
26.02.2006 16:48 2.158 Q329115.log
26.02.2006 16:48 1.797 Q329390.log
26.02.2006 16:48 1.421 Q323255.log
26.02.2006 16:48 654 Q329048.log
26.02.2006 16:31 5.893 KB842773.log
26.02.2006 11:45 0 VPC32.INI
30.10.2005 09:40 122 telephon.ini

Datentr„ger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\DOKUME~1\Monika\LOKALE~1\Temp

Hallo

WORM_CODBOT.B
http://www.trendmicro-middleeast.com...DBOT.B&VSect=T

ich weiss nicht, ob es Sinn macht, das System zu reinigen, denn es ist auch noch ein Apropos drauf... um ihn zu loeschen, reicht es erst mal , dass du im abgesicherten modus damit scannst...dann poste den scanreport, dann sehen wir weiter.

aproposfix
http://swandog46.geekstogo.com/aproposfix.exe

lade aproposfix.exe -->boote in den abgesicherten Modus--> klicke RunThis.bat
klicke "enter" und warte, bis sich das Fenster schliesst.
dann kopiere die log.txt ab.

dann loesche : (mit der killbox oder manuell: http://virus-protect.org/killbox.html )
C:\WINDOWS\system32\nmeproxy.exe
c:\windows\system32\integitor.exe
c:\windows\system32\upnp.exe

und alle Eintraege in der Registry --> siehe unten...

Start -->Ausfuehren --> regedit

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_SECURE_SYSTEM\0000

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSConfig\startupreg\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Secure System

usw... (siehe unten)

HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]

usw... (siehe unten)

Sollte man Probleme haben, die Einträge zu löschen,
Legacy_ .....kann nicht gelöscht werden. Fehler beim Löschen des Schlüssels,
dann gehe mit Rechtsklick im Kontextmenü auf: "Berechtigungen" Setze das Häkchen bei "Vollzugriff zulassen"
Übernehmen, OK
Danach sollte(n) sich der(die) betreffenden Schlüssel löschen lassen.

PC neustarten

dann scanne mit kaspersky und poste den Scanreport
http://virus-protect.org/onlinescan.html

Zitat von Sabina

aproposfix
http://swandog46.geekstogo.com/aproposfix.exe

der Link funktioniert leider nicht :/

der Link funktioniert sehr wohl, aber falls nicht, dann werde ich das Tool, sobald ich an meinem PC bin, auf meinen Server laden und dir posten.
Aber ich habe den link gerade ausprobiert...es geht wunderbar.

Danke ... inzwischen geht der Link echt wieder ... Die Logs poste ich dann auch gleich ...

aproposfix log:

Registry entries found:

[HKEY_LOCAL_MACHINE\Software\CyPRoA36bVED]
@="hy9.m7BGHHGHHIHA8vu9w\\GHHGWJHqchXiqmHmE89y2NMHx7.By78H8C22wSDDI8E8"
"Device"="\\\\.\\usbatch"
"DriverPath"="C:\\WINDOWS\\System32\\drivers\\swmmc8xx.sys"
"DriverName"="NetiSrv"
"HideUninstallerName"="C:\\Programme\\Dasmaker\\ntiint35.exe"
"UninstallerPath"="C:\\WINDOWS\\System32\\nmeproxy.exe"
"UninstallerRegKey"="HKEY_LOCAL_MACHINE\\SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Uninstall\\{CCE2CD53-4D53-40DC-B2B1-1673DA6DD6A5}"
"UninstallerParams"="/CTUN"
"HDll"="C:\\WINDOWS\\System32\\rasreg.dll"
"ServerAddress"="adchannel.contextplus.net"
"LegalNote"="h**p://adchannel.contextplus.net/legal-note/nonbranded.html"
"PartnerId"="CP.IST2"
"InstallationId"="{X3982f01-0617-1240-ccaf-45726f670bdb}"
"PageFiltering"=dword:00000001
"ClientName"="C:\\Programme\\Dasmaker\\msydmlog.exe"

************

Removing hidden service:
Service NetiSrv removed.

Removing hidden folder:
Deletion of folder Dasmaker succeeded!

Deleting files:

Deletion of file C:\WINDOWS\System32\drivers\swmmc8xx.sys succeeded!
Deletion of file C:\WINDOWS\System32\iasrprof.exe succeeded!
Deletion of file C:\WINDOWS\System32\rasreg.dll succeeded!
Deletion of file C:\WINDOWS\System32\nmeproxy.exe succeeded!

Backing up files:
Done!

Removing registry entries:

REGEDIT4

[-HKEY_CURRENT_USER\Software\CyPRoA36bVED]
[-HKEY_LOCAL_MACHINE\Software\CyPRoA36bVED]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{CCE2CD53-4D53-40DC-B2B1-1673DA6DD6A5}]

Done!
Finished!

Der Onlinescan von kaspersky hat nix ergeben ...

NgkTB

dann poste das neue Log vom HijackThis + die 4 Logs von Datfindbat (zur Ueberpruefung)
+
ueberpuefe noch mal mit Registry Search 2.0 by Bobbi Flekman, ob alle Eintraege aus der Registry geloescht sind.....

und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

Universal Plug and Play Device Configuration

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

UPnP Configuration

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

in: "Enter search strings" (reinschreiben oder reinkopieren)

Secure System

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

Logfile of HijackThis v1.99.1
Scan saved at 20:19:41, on 13.03.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\Programme\ewido anti-malware\ewidoguard.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\carpserv.exe
C:\Programme\Microsoft Works\WkDetect.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\HiJackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=surfproxy.freenet.de:8080
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [CARPService] carpserv.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKCU\..\Run: [Microsoft Works Update Detection] C:\Programme\Microsoft Works\WkDetect.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.lycos.de/
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/english/kavwebscan_unicode.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1140966483491
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1140968539399
O17 - HKLM\System\CCS\Services\Tcpip\..\{AA5DEBCA-6833-4CF8-B801-B19F3C2A7B8A}: NameServer = 192.168.1.1
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: ewido security suite guard - ewido networks - C:\Programme\ewido anti-malware\ewidoguard.exe
O23 - Service: SmartLinkService (SLService) - Smart Link - C:\WINDOWS\SYSTEM32\slserv.exe


Datenträger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\DOKUME~1\Monika\LOKALE~1\Temp


Datenträger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\WINDOWS

10.03.2006 17:54 24 pyguJ
10.03.2006 17:19 0 0.log
10.03.2006 17:18 4.142 ModemLog_SoftK56 Data Fax Voice Speakerphone CARP.txt
10.03.2006 17:17 157 wiadebug.log
10.03.2006 17:17 728.332 WindowsUpdate.log
10.03.2006 17:17 50 wiaservc.log
10.03.2006 17:16 2.048 bootstat.dat
09.03.2006 17:52 107.134 UninstallFirefox.exe
09.03.2006 17:52 2.266 mozver.dat
08.03.2006 19:28 388.220 setupapi.log
07.03.2006 21:26 436.812 ntbtlog.txt
26.02.2006 21:23 32.634 SchedLgU.Txt
26.02.2006 20:13 222.662 setupact.log
26.02.2006 20:07 58.400 iis6.log
26.02.2006 20:07 134.108 comsetup.log
26.02.2006 20:07 80.951 ntdtcsetup.log
26.02.2006 20:07 150.426 tsoc.log
26.02.2006 20:07 19.149 ocmsn.log
26.02.2006 20:07 1.374 imsins.log
26.02.2006 20:07 11.192 KB901017.log
26.02.2006 20:07 186.091 ocgen.log
26.02.2006 20:07 19.091 msgsocm.log
26.02.2006 20:07 404.058 FaxSetup.log
26.02.2006 20:06 10.596 KB887472.log
26.02.2006 20:06 11.969 KB896358.log
26.02.2006 20:06 15.170 updspapi.log
26.02.2006 20:06 7.439 KB910437.log
26.02.2006 20:01 30.276 spupdsvc.log
26.02.2006 19:56 30.662 KB899587.log
26.02.2006 19:56 29.781 KB896422.log
26.02.2006 19:55 29.728 KB885835.log
26.02.2006 19:55 28.581 KB885836.log
26.02.2006 19:55 29.408 KB885250.log
26.02.2006 19:55 29.458 KB911927.log
26.02.2006 19:55 29.278 KB899591.log
26.02.2006 19:55 29.469 KB896424.log
26.02.2006 19:54 29.306 KB893756.log
26.02.2006 19:54 26.832 KB896423.log
26.02.2006 19:54 26.597 KB873339.log
26.02.2006 19:54 26.661 KB888113.log
26.02.2006 19:54 27.211 KB887742.log
26.02.2006 19:54 18.864 KB898458.log
26.02.2006 19:53 22.435 KB911564.log
26.02.2006 19:53 926 wmsetup.log
26.02.2006 19:53 30.517 KB905915.log
26.02.2006 19:52 24.065 KB891781.log
26.02.2006 19:52 29.342 KB902400.log
26.02.2006 19:51 21.239 KB890046.log
26.02.2006 19:51 20.972 KB905414.log
26.02.2006 19:51 20.217 KB901214.log
26.02.2006 19:51 18.784 KB888302.log
26.02.2006 19:50 20.662 KB900725.log
26.02.2006 19:50 17.729 KB912919.log
26.02.2006 19:50 12.009 KB886185.log
26.02.2006 19:50 18.254 KB904706.log
26.02.2006 19:50 17.533 KB905749.log
26.02.2006 19:49 16.494 KB896428.log
26.02.2006 19:49 11.806 KB911565.log
26.02.2006 19:48 18.204 KB894391.log
26.02.2006 19:48 14.621 KB908519.log
26.02.2006 19:48 10.888 KB913446.log
26.02.2006 19:48 20.071 KB890859.log
26.02.2006 19:09 8.971 KB893803v2.log
26.02.2006 19:08 6.909 KB898461.log
26.02.2006 19:07 653 win.ini
26.02.2006 19:07 326 system.ini
26.02.2006 19:02 731 DtcInstall.log
26.02.2006 19:00 316.640 WMSysPr9.prx
26.02.2006 19:00 1.925 OEWABLog.txt
26.02.2006 18:57 12.920 setuplog.txt
26.02.2006 18:50 439.010 svcpack.log
26.02.2006 18:45 200 cmsetacl.log
26.02.2006 18:43 3.685 sessmgr.setup.log
26.02.2006 17:07 28.022 xpsp1hfm.log
26.02.2006 17:07 35.042 KB835732.log
26.02.2006 17:06 27.473 Q810833.log
26.02.2006 17:04 23.864 KB834707-IE6-20040929.115007.log
26.02.2006 17:03 23.013 KB828741.log
26.02.2006 17:02 13.221 Q329834.log
26.02.2006 17:02 2.051 vminst.log
26.02.2006 17:01 15.588 KB823559.log
26.02.2006 16:59 15.161 Q817606.log
26.02.2006 16:57 14.698 Q329441.log
26.02.2006 16:55 11.313 Q810577.log
26.02.2006 16:53 8.653 Q811630.log
26.02.2006 16:51 4.947 Q329170.log
26.02.2006 16:48 2.158 Q329115.log
26.02.2006 16:48 1.797 Q329390.log
26.02.2006 16:48 1.421 Q323255.log
26.02.2006 16:48 654 Q329048.log
26.02.2006 16:31 5.893 KB842773.log
26.02.2006 11:45 0 VPC32.INI
30.10.2005 09:40 122 telephon.ini

Datenträger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\WINDOWS\system32

07.03.2006 18:06 1.374 wpa.dbl
26.02.2006 21:27 208.896 FNTCACHE.DAT
26.02.2006 20:03 40.800 perfc009.dat
26.02.2006 20:03 313.082 perfh009.dat
26.02.2006 20:03 318.436 perfh007.dat
26.02.2006 20:03 49.226 perfc007.dat
26.02.2006 20:03 728.266 PerfStringBackup.INI
26.02.2006 18:54 247 spupdwxp.log
26.02.2006 12:01 167.936 nmeproxy.exe
07.02.2006 21:28 4.513.120 MRT.exe
18.01.2006 13:05 57.344 avsda.dll
04.01.2006 04:35 68.096 webclnt.dll
29.12.2005 03:54 280.064 gdi32.dll
19.12.2005 19:30 4.730.880 wmp.dll
01.12.2005 04:31 1.492.480 shdocvw.dll
24.11.2005 00:58 1.022.464 browseui.dll
24.11.2005 00:58 3.013.632 mshtml.dll
05.11.2005 04:16 606.208 urlmon.dll
05.11.2005 04:16 1.056.256 danim.dll
23.10.2005 12:30 0 shupd64.exe

Datenträger in Laufwerk C: ist System
Volumeseriennummer: 987F-9031

Verzeichnis von C:\

10.03.2006 17:54 0 sys.txt
10.03.2006 17:54 10.237 system.txt
10.03.2006 17:54 127 systemtemp.txt
10.03.2006 17:53 95.120 system32.txt
10.03.2006 17:16 132.698.112 hiberfil.sys
10.03.2006 17:16 201.326.592 pagefile.sys
07.03.2006 19:50 3.346 Scan Report_20060307.txt.txt
26.02.2006 19:07 211 boot.ini
26.02.2006 18:28 47.564 NTDETECT.COM
26.02.2006 18:28 251.184 ntldr
10.02.2005 11:11 8.628 wkhlpqms.GID


; Results at 13.03.2006 20:25:03 for strings:
; 'universal plug and play device configuration'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"DeviceDesc"="Universal Plug and Play Device Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration]
"DisplayName"="Universal Plug and Play Device Configuration"

; End Of The Log...

; Results at 13.03.2006 20:28:32 for strings:
; 'upnp configuration'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{AE1E00AA-3FD5-403C-8A27-2BBDC30CD0E1}]
@="Home Networking NAT Traversal via UPnP Configuration Manager"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\UPnP Configuration\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_UPNP_CONFIGURATION\0000]
"Service"="UPnP Configuration"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\UPnP Configuration\Enum]

; End Of The Log...

; Results at 13.03.2006 20:30:47 for strings:
; 'secure system'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Secure System\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet004\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_SECURE_SYSTEM\0000]
"Service"="Secure System"
"DeviceDesc"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System]
"DisplayName"="Secure System"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Secure System\Enum]

; End Of The Log...

es ist alles noch drauf....

C:\WINDOWS\pyguJ -->Apropos
C:\WINDOWS\system32\nmeproxy.exe --> Backdoor

C:\WINDOWS\system32\shupd64.exe --> W32/Forbot-GA
http://www.sophos.com/virusinfo/anal...2forbotga.html

+ die Eintraege der Dienste in der Registry, auch die vom W32/Forbot-GA, den ich bis jetzt noch nicht gesehen hatte....
wenn du das alles nicht geloescht bekommst...formatiere, ist das beste. Dann hast du wieder ein sauberes System.

Danke fuer die Hilfe, aber ich hab das System nun doch neu aufgelegt.

Greets!