Virus.Win32.Fontra.c / kompletter Computer anfänger

thomas1982 · 12.03.2008, 17:13

hi leute.

hoffe ihr könnt mir weiterhelfen!

mein virenscanner fanden einen worm VB-133 im internet fand ich diese bezeichung --> Virus.Win32.Fontra.c

im ordnern c:/programme werden folgende datein immer erstellt:
a.ico
b.ico
a.zip
b.zip
c.zip
setup.exe
track_03.exe
video.exe

wie kann ich diesen trojaner loswerden!
bitte wenns geht eifnach erklären. bin nicht der computer profi!!!!
vielen dank für eure hilf im voraus!!!!!!!

THomas

thomas1982 · 12.03.2008, 17:43

wird jemand da schlau?

Logfile of HijackThis v1.99.1
Scan saved at 17:39:02, on 12.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\VGhvbWFz\command.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Network Monitor\netmon.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\mmrtkrnl.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\Fonts\svchost.exe
C:\WINDOWS\mrofinu1000106.exe
C:\Programme\ClamWin\bin\ClamTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\Fonts\svchost.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\T-Mobile\web 'n' walk Manager\Web 'n' Walk Manager.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.813\HijackThis.exe

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PDUiP6210DMon] C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: auto-bit.lnk = C:\SYSPREP\bit\bit.exe
O4 - Global Startup: dllhost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

12.03.2008, 22:19

C:\WINDOWS\VGhvbWFz\command.exe
-->Eventuell gut. Laut der Datenbank von HijackThis müsste der Pfad so heißen:c:\windows\ia\....
Es könnte schädlich sein !*

[B][C:\WINDOWS\system32\mmrtkrnl.exe/B]
Alarmstufe rot! Ein unbekannter Prozess!*

C:\WINDOWS\Fonts\svchost.exe
Müsste schädlich sein. Die svchost.exe läuft doch eigentlich nur in system32.*

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
Könnte auch schädlich sein!*

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
Nicht bekanntes Programm!*

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
Dieses Programm ist auch nicht bekannt.*

O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
auch nicht bekannt.*

[O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe/B]
Bestimmt zu 75 % schädlich. Da bin ich mir sicher.*

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310
Diese Fuzzyallgemeinprüfung ist schädlich.*

[BO4 - Global Startup: dllhost.exe]
nicht bekanntes Programm.*

O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
Kennst Du die Domäne ?*

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe
schädlich!*

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
auch schädlich!*

Da hast Du viel Müll drauf. Alle Dateien die mit * gekenntzeichnet sind auf Virustotal.com hochladen und vollständige Ergebnisse hier psoten.
Usa-ko

thomas1982 · 13.03.2008, 10:57

C:\WINDOWS\VGhvbWFz\command.exe
-->Eventuell gut. Laut der Datenbank von HijackThis müsste der Pfad so heißen:c:\windows\ia\....
Es könnte schädlich sein !*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-Trojan/Proxy.293888
AntiVir 7.6.0.73 2008.03.12 TR/Spy.Banbra.df.199
Authentium 4.93.8 2008.03.13 W32/Agent.WF
Avast 4.7.1098.0 2008.03.13 Win32:Adware-gen
AVG 7.5.0.516 2008.03.12 Adware Generic2.OQO
BitDefender 7.2 2008.03.13 Adware.CommAd.A
CAT-QuickHeal 9.50 2008.03.12 AdWare.CommAd.a (Not a Virus)
ClamAV 0.92.1 2008.03.13 Trojan.Downloader.VB-104
DrWeb 4.44.0.09170 2008.03.13 Trojan.Proxy.493
eSafe 7.0.15.0 2008.03.09 Spyware.Gen
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 Adware.CommAd
FileAdvisor 1 2008.03.13 Low threat detected
Fortinet 3.14.0.0 2008.03.13 W32/Agent.WF!tr
F-Prot 4.4.2.54 2008.03.12 W32/Agent.WF
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 not-a-virus:AdWare.Win32.CommAd.a
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:AdWare.Win32.CommAd.a
McAfee 5250 2008.03.12 potentially unwanted program Adware-Isearch
Microsoft 1.3301 2008.03.12 Adware:Win32/CMDService
NOD32v2 2943 2008.03.13 Win32/Adware.CommAd
Norman 5.80.02 2008.03.12 W32/CommAd.A
Panda 9.0.0.4 2008.03.12 Adware/CommAd
Prevx1 V2 2008.03.13 Adware Generic2.OQO
Rising 20.35.31.00 2008.03.13 Backdoor.BlackHole.ax
Sophos 4.27.0 2008.03.13 CommAd
Sunbelt 3.0.930.0 2008.03.05 Command Service
TheHacker 6.2.92.244 2008.03.12 Adware/CommAd.a
VBA32 3.12.6.2 2008.03.13 AdWare.Win32.CommAd.a
VirusBuster 4.3.26:9 2008.03.12 Adware.CommAd.C
Webwasher-Gateway 6.6.2 2008.03.13 Trojan.Spy.Banbra.df.199

[b][C:\WINDOWS\system32\mmrtkrnl.exe/B]
Alarmstufe rot! Ein unbekannter Prozess!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.12 -
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 -
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV 0.92.1 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 -
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 Suspicious:W32/Malware!Gemini
Ikarus T3.1.1.20 2008.03.13 -
Kaspersky 7.0.0.125 2008.03.13 -
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 -
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 -
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 -

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
Könnte auch schädlich sein!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.13 Worm/Fontra.C
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Fontra-E
AVG 7.5.0.516 2008.03.12 Worm/Delf.ATB
BitDefender 7.2 2008.03.13 Backdoor.Genlot.KI
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV 0.92.1 2008.03.13 Worm.VB-133
DrWeb 4.44.0.09170 2008.03.13 BackDoor.Generic.1545
eSafe 7.0.15.0 2008.03.09 Virus.Win32.Fontra.c
eTrust-Vet 31.3.5611 2008.03.13 Win32/Gamtrap.A
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 High threat detected
Fortinet 3.14.0.0 2008.03.13 W32/Vbbot
F-Prot 4.4.2.54 2008.03.12 W32/Trojan5.GSM
F-Secure 6.70.13260.0 2008.03.13 W32/VBWorm.NDA
Ikarus T3.1.1.20 2008.03.13 Virus.Win32.Fontra.c
Kaspersky 7.0.0.125 2008.03.13 Virus.Win32.Fontra.c
McAfee 5250 2008.03.12 W32/Vbbot
Microsoft 1.3301 2008.03.12 Worm:Win32/VB.EB
NOD32v2 2943 2008.03.13 Win32/VB.NJQ
Norman 5.80.02 2008.03.12 W32/VBWorm.NDA
Panda 9.0.0.4 2008.03.12 Trj/Vb.TT
Prevx1 V2 2008.03.13 Worm/Delf.ATB
Rising 20.35.31.00 2008.03.13 Worm.VB.agv
Sophos 4.27.0 2008.03.13 W32/Fontra-F
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 W32.Fontra
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 Worm.Win32.VB.NJQ
VirusBuster 4.3.26:9 2008.03.12 Worm.Fontra.B
Webwasher-Gateway 6.6.2 2008.03.13 Worm.Fontra.C

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
Dieses Programm ist auch nicht bekannt.*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-AppCare/Ttc.217088
AntiVir 7.6.0.73 2008.03.13 ADSPY/TTC.D.1
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 Adware Generic2.ABNX
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 AdWare.TTC.d (Not a Virus)
ClamAV None 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 Not-A-Virus.Adware.TTC
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 Adware/TTC
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 AdWare.TTC.D.1
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:AdWare.Win32.TTC.d
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 -
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 W32/TTC.FM
Panda 9.0.0.4 2008.03.12 -
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 AdMoke
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 AdWare.Win32.TTC.d
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 Ad-Spyware.TTC.D.1

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
Nicht bekanntes Programm!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.13 -
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 -
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV None 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 -
F-Prot 4.4.2.54 2008.03.12 W32/Virtumonde.G.gen!Eldorado
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 -
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 Trojan:Win32/Vundo.gen!D
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 Suspicious file
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 -

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310
Diese Fuzzyallgemeinprüfung ist schädlich.*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-Trojan/Agent.37376.IZ
AntiVir 7.6.0.73 2008.03.13 TR/Crypt.ULPM.Gen
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Agent-RUQ
AVG 7.5.0.516 2008.03.12 Downloader.Agent.ADHN
BitDefender 7.2 2008.03.13 Trojan.Downloader.JJQW
CAT-QuickHeal 9.50 2008.03.12 TrojanDownloader.Agent.lak
ClamAV 0.92.1 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 Trojan.DownLoader.45546
eSafe 7.0.15.0 2008.03.09 suspicious Trojan/Worm
eTrust-Vet 31.3.5611 2008.03.13 Win32/Matcash.CU
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 W32/Agent.JHV!tr.dldr
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 Trojan-Downloader.Win32.Agent.lak
Ikarus T3.1.1.20 2008.03.13 Trojan-Downloader.Win32.Agent.kyk
Kaspersky 7.0.0.125 2008.03.13 Trojan-Downloader.Win32.Agent.lak
McAfee 5250 2008.03.12 Downloader-BCF
Microsoft 1.3301 2008.03.12 TrojanDownloader:Win32/Matcash.D
NOD32v2 2943 2008.03.13 a variant of Win32/TrojanDownloader.Agent.BLS
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 Suspicious file
Prevx1 V2 2008.03.13 Trojan.Downloader
Rising 20.35.31.00 2008.03.13 Trojan.DL.Win32.Mnless.xe
Sophos 4.27.0 2008.03.13 Mal/Behav-191
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 Downloader
TheHacker 6.2.92.244 2008.03.12 Trojan/Downloader.Agent.kyk
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 Trojan.Crypt.ULPM.Gen

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
auch schädlich!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-AppCare/Xema.94208.B
AntiVir 7.6.0.73 2008.03.13 SPR/NetMon.A
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Adware-gen
AVG 7.5.0.516 2008.03.12 Adware Generic.KGZ
BitDefender 7.2 2008.03.13 Adware.CommAd.A
CAT-QuickHeal 9.50 2008.03.12 Monitor.NetMon.a (Not a Virus)
ClamAV None 2008.03.13 Trojan.DNSChanger-45
DrWeb 4.44.0.09170 2008.03.13 Trojan.DnsChange
eSafe 7.0.15.0 2008.03.09 Spyware.Gen
eTrust-Vet 31.3.5611 2008.03.13 Win32/NetMon.A
Ewido 4.0 2008.03.12 Not-A-Virus.Monitor.Win32.NetMon.a
FileAdvisor 1 2008.03.13 Low threat detected
Fortinet 3.14.0.0 2008.03.13 Adware/SearchAid
F-Prot 4.4.2.54 2008.03.12 W32/Monitor.YV
F-Secure 6.70.13260.0 2008.03.13 W32/NetMon.C
Ikarus T3.1.1.20 2008.03.13 not-a-virus:Monitor.Win32.NetMon.a
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:Monitor.Win32.NetMon.a
McAfee 5250 2008.03.12 potentially unwanted program Tool-NetMon
Microsoft 1.3301 2008.03.12 TrojanDownloader:Win32/Monnet
NOD32v2 2943 2008.03.13 Win32/Monitor.Netmon.A
Norman 5.80.02 2008.03.12 W32/NetMon.C
Panda 9.0.0.4 2008.03.12 Adware/SearchAid
Prevx1 V2 2008.03.13 Adware Generic.KGZ
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 Netmon
Sunbelt 3.0.930.0 2008.03.05 Backdoor.Win32.NetMon
Symantec 10 2008.03.13 Spyware.ISearch
TheHacker 6.2.92.244 2008.03.12 Aplicacion/NetMon.a
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 Adware.NetMon.A
Webwasher-Gateway 6.6.2 2008.03.13 Riskware.NetMon.A

O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
Kennst Du die Domäne ?*
--> unter welchem pfad such ich diese datei kann hklm nicht finden!!!

C:\WINDOWS\Fonts\svchost.exe
Müsste schädlich sein. Die svchost.exe läuft doch eigentlich nur in system32.*
--> heute unter fonts kann ich keine svchost.exe finden

jetzt bin ich noch mehr verzweifelt!!!!!
bitte um hilfe!!!

Sabina · 13.03.2008, 13:11

Hallo,

1.
Start -- Ausführen -- schreib rein: cmd
reinkopieren in das schwarze dos-Fenster:
(eventuelle Fehlermeldungen übergehe...)

sc stop Network Monitor

[klicke "enter"]

und warte ein bisschen, dann kopiere rein:

sc delete Network Monitor

[klicke "enter"]

sc stop Command Service

[klicke "enter"]

sc delete Command Service

[klicke "enter"]

sc stop cmdService

[klicke "enter"]

sc delete cmdService

[klicke "enter"]

-------------------------------------------------------------------------------

2.
mit dem HijackThis löschen ("fixen")
Klicke: "Do a system scan only"
Setze ein Häckchen in das Kästchen vor den genannten Eintrag
und wähle fix checked

Zitat:

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310

O4 - Global Startup: dllhost.exe

O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe

3.
lade sdfix
SDFix
beachte, funktioniert nur im abgesicherten Modus

scanne im abgesicherten Modus + poste dann hier den report, der erscheint

4.
lade otmoveIt
OTMoveIt by OldTimer

Kopiere rein: im linken Fenster ,wo steht: Paste Standart List of Files/Folders to be Move

Code:

ATTFilter

C:\Programme\Internet Explorer\satof89104.dll
C:\WINDOWS\mrofinu1000106.exe
C:\WINDOWS\SYSTEM32\byxurss.dll
C:\Programme\Network Monitor
C:\WINDOWS\VGhvbWFz

Klicke auf den Roten MoveIt!

5.
wende bitte Combofix an + poste hier den Report
combofix

thomas1982 · 13.03.2008, 20:42

hi,

erstmals danke!

zu punkt 1)

bei network monitor und command service bekomm ich immer die fehlermeldung
Failed 1060
der angegebene dienst ist kein installierter dienst!
nur bei cmdService war es successfull!!!!

zu punkt 2)

diese zeile lässt sich nicht entfernen:
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll

anbei aktuelles hijack:

ogfile of HijackThis v1.99.1
Scan saved at 18:19:16, on 13.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\mmrtkrnl.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\ClamWin\bin\ClamTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\T-Mobile\web 'n' walk Manager\Web 'n' Walk Manager.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\cmd.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.953\HijackThis.exe

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: 0 - {B15F656D-7087-4959-2785-BB32EB95AC5D} - C:\Programme\MSN Gaming Zone\zyjib.dll (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PDUiP6210DMon] C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: auto-bit.lnk = C:\SYSPREP\bit\bit.exe
O4 - Global Startup: dllhost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

zu punkt 3)

anbei der report:

SDFix: Version 1.156

Run by Thomas on 13.03.2008 at 17:54

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix

Checking Services :

Name:
Network Monitor

Path:
C:\Programme\Network Monitor\netmon.exe service

Network Monitor - Deleted

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting

Checking Files :

Trojan Files Found:

C:\WINDOWS\SYSTEM32\TASKKILL.EXE - Deleted
C:\PROGRA~1\MSNGAM~1\ZYJIB - Deleted
C:\PROGRA~1\MSNGAM~1\ZYJIB.DLL - Deleted
C:\PROGRA~1\INTERN~1\SATOF8~1.DLL - Deleted
C:\Temp\1cb\syscheck.log - Deleted
C:\n.bat - Deleted
C:\WINDOWS\mrofinu1000106.exe - Deleted
C:\WINDOWS\mrofinu1188.exe - Deleted
C:\Programme\a.zip - Deleted
C:\Programme\b.zip - Deleted
C:\Programme\c.zip - Deleted
C:\Programme\A.ico - Deleted
C:\Programme\B.ico - Deleted
C:\Programme\Network Monitor\netmon.exe - Deleted
C:\Programme\Setup.exe - Deleted
C:\Programme\Track_03.exe - Deleted
C:\Programme\Video.exe - Deleted
C:\Dokumente und Einstellungen\Thomas\services.exe - Deleted
C:\services.exe - Deleted
C:\smss.exe - Deleted
C:\svchost.exe - Deleted
C:\winlogon.exe - Deleted
C:\x.dat - Deleted
C:\z.dat - Deleted
C:\WINDOWS\Fonts\Crack.exe - Deleted
C:\WINDOWS\Fonts\svchost.exe - Deleted
C:\WINDOWS\system32\atmtd.dll - Deleted
C:\WINDOWS\system32\atmtd.dll._ - Deleted
C:\WINDOWS\system32\p2pnetworking.exe - Deleted
C:\WINDOWS\system32\pac.txt - Deleted
C:\WINDOWS\system32\WINLOGO.EXE - Deleted
C:\WINDOWS\tk58.exe - Deleted
C:\WINDOWS\uninstall_nmon.vbs - Deleted

x.dat and z.dat data copied to \SDFix\Data.txt

Folder C:\Programme\Network Monitor - Removed
Folder C:\Temp\1cb - Removed
Folder C:\WINDOWS\Fonts\' - Removed

Removing Temp Files

ADS Check :

Final Check :

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-13 18:06:47
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

Remaining Services :

zu punkt 5)

combofix
läuft jedoch jedoch 2mal bei fertiggestellt stufe 8 bzw 9 tut sich nicht mehr! computer mehr als 1 stunde laufen gelassen! kann das seine!

danke für weitere schritte!!!!

thomas1982 · 13.03.2008, 22:18

so jetzt doch noch der combofix report:

ComboFix 08-03-10.1 - Thomas 2008-03-13 22:12:51.6 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.706 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Thomas\Eigene Dateien\Meine empfangenen Dateien\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-02-13 bis 2008-03-13 ))))))))))))))))))))))))))))))
.

2008-03-13 18:21 . 2008-03-13 18:21 <DIR> d-------- C:\_OTMoveIt
2008-03-13 18:10 . 2008-03-13 21:59 218,600 --a------ C:\Programme\c.zip
2008-03-13 18:10 . 2008-03-13 21:59 217,700 --a------ C:\Programme\b.zip
2008-03-13 18:10 . 2008-03-13 21:59 201,621 --a------ C:\Programme\a.zip
2008-03-13 17:48 . 2008-03-13 17:49 <DIR> d-------- C:\WINDOWS\ERUNT
2008-03-13 17:40 . 2008-03-13 18:09 <DIR> d-------- C:\SDFix
2008-03-12 17:39 . 2008-03-12 17:40 <DIR> d-------- C:\Programme\Hij
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Programme\ClamWin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\.clamwin
2008-03-12 15:46 . 2008-03-12 15:46 237 --a------ C:\348.bat
2008-03-12 15:46 . 2008-03-12 15:46 77 --a------ C:\Dokumente und Einstellungen\Thomas\2311.bat
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\md4
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\iDlo18
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\ex3
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\axs9
2008-03-12 15:04 . 2008-03-13 18:35 <DIR> d-------- C:\Temp
2008-03-12 15:04 . 2008-03-12 15:04 57,344 --------- C:\lx.exe
2008-03-12 15:04 . 2008-03-12 15:04 237 --a------ C:\879.bat
2008-03-12 15:02 . 2008-03-13 10:15 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-03-12 15:00 . 2008-03-13 21:59 417,792 --a------ C:\Programme\Video.exe
2008-03-12 15:00 . 2008-03-13 21:59 417,792 --a------ C:\Programme\Track_03.exe
2008-03-12 15:00 . 2007-02-05 10:19 393,216 --a------ C:\Programme\Setup.exe
2008-03-12 15:00 . 2008-03-12 15:00 147,456 --a------ C:\WINDOWS\system32\vbzip10.dll
2008-03-12 14:26 . 2004-03-09 10:00 152,848 --a------ C:\WINDOWS\system32\comdlg32.ocx
2008-03-12 14:26 . 2002-09-21 15:33 65,536 --a------ C:\WINDOWS\system32\cpvslider.ocx
2008-03-12 14:26 . 2002-09-13 17:09 45,056 --a------ C:\WINDOWS\system32\BPM_Control.ocx
2008-03-11 19:51 . 2008-03-12 14:24 <DIR> d-------- C:\OtsLabs
2008-03-03 19:02 . 2007-12-17 13:53 159,458 --a------ C:\WINDOWS\system32\nvapps.nvb
2008-03-03 19:01 . 2008-03-03 19:01 <DIR> d-------- C:\NVIDIA
2008-03-03 19:01 . 2007-12-05 02:53 356,352 --a------ C:\WINDOWS\system32\NVUNINST.EXE
2008-03-03 18:14 . 2007-05-16 16:45 3,497,832 --a------ C:\WINDOWS\system32\d3dx9_34.dll
2008-03-03 18:14 . 2006-09-28 16:05 2,414,360 --a------ C:\WINDOWS\system32\d3dx9_31.dll
2008-03-03 18:14 . 2008-03-03 18:14 278,728 --a------ C:\WINDOWS\system32\drivers\atksgt.sys
2008-03-03 18:14 . 2008-03-03 18:14 25,416 --a------ C:\WINDOWS\system32\drivers\lirsgt.sys
2008-03-03 18:10 . 2008-03-03 18:10 <DIR> d-------- C:\Programme\Ubisoft
2008-02-28 08:00 . 2008-03-12 14:19 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\skypePM
2008-02-28 08:00 . 2008-02-28 08:00 32 --a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Skype
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Skype

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-13 21:02 --------- d-----w C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-03-13 20:59 25,214 ----a-w C:\Programme\B.ico
2008-03-13 20:59 25,214 ----a-w C:\Programme\A.ico
2008-03-13 09:20 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\LimeWire
2008-03-12 14:56 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 13:58 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\Skype
2008-03-11 18:41 --------- d-----w C:\Programme\UltraMixer
2008-03-03 17:10 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-02 20:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-28 06:58 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2008-02-12 17:08 --------- d-----w C:\Programme\JetAudio
2008-01-15 18:10 --------- d-----w C:\Programme\MP3-DJ
2008-01-15 18:06 --------- d-----w C:\Programme\d-lusion
2008-01-13 12:56 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\AlcaTech
2008-01-13 12:56 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AlcaTech
2008-01-13 10:21 --------- d-----w C:\Programme\Java
2005-11-12 14:15 901 -c--a-w C:\Programme\uninstal.log
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"Power2GoExpress"="" []
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-08-14 18:05 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2004-10-27 07:49 73728 C:\WINDOWS\soundman.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 20:24 32768]
"PDUiP6210DMon"="C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe" [2005-05-06 19:28 69632]
"Easy-PrintToolBox"="C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 02:10 409600]
"ccApp"="C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2004-08-13 21:17 58488]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496]
"Realtime Audio Engine"="mmrtkrnl.exe" [2007-07-18 15:52 70144 C:\WINDOWS\system32\mmrtkrnl.exe]
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 11:45 63712]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"ClamWin"="C:\Programme\ClamWin\bin\ClamTray.exe" [2008-01-20 22:08 77824]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Ubisoft\\DIE SIEDLER - Aufstieg eines Königreichs\\base\\bin\\Settlers6.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

R1 BIOS;BIOS;C:\WINDOWS\system32\drivers\BIOS.sys [2005-03-16 07:23]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D]
\Shell\AutoRun\command - D:\autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]
\Shell\AutoRun\command - E:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b0-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b1-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

.
Inhalt des "geplante Tasks" Ordners
"2008-03-07 19:00:03 C:\WINDOWS\Tasks\Norton AntiVirus - Scan my computer - Thomas.job"
- C:\PROGRA~1\NORTON~1\Navw32.exel/task:
"2008-03-13 15:15:00 C:\WINDOWS\Tasks\Symantec NetDetect.job"
- C:\Programme\Symantec\LiveUpdate\NDETECT.EXE
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-13 22:14:44
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-03-13 22:15:37
ComboFix-quarantined-files.txt 2008-03-13 21:15:34
.
2007-10-30 19:40:25 --- E O F ---

bitte um weiter hilfe

Sabina · 14.03.2008, 00:15

1.
wende bitte CCleaner an + loesche die temp-Dateien
CCleaner

ich schaue inzwischen das log an

Sabina · 14.03.2008, 00:24

Hallo,

1-
lade die exe hoch, lasse sie prüfen + poste den report
VirusTotal - Kostenloser online Viren- und Malwarescanner

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe

Auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren mit Strg V) --> Klick auf die zu prüfende Datei und öffnen--> klick auf "Senden der Datei"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren

2.
otmoveIt
OTMoveIt by OldTimer
ffne: OTMoveIt.exe

Kopiere rein: im linken Fenster ,wo steht: Paste Standart List of Files/Folders to be Move

Code:

ATTFilter

C:\Programme\Setup.exe
C:\WINDOWS\system32\byxurss.dll
C:\Programme\B.ico
C:\Programme\A.ico
C:\WINDOWS\system32\md4
C:\WINDOWS\system32\iDlo18
C:\WINDOWS\system32\ex3
C:\WINDOWS\system32\axs9
C:\348.bat
C:\Dokumente und Einstellungen\Thomas\2311.bat
C:\Programme\c.zip
C:\Programme\b.zip
C:\Programme\a.zip
C:\lx.exe
C:\879.bat
C:\Programme\Video.exe
C:\Programme\Track_03.exe
C:\WINDOWS\system32\vbzip10.dll

Klicke auf den Roten MoveIt!

3.
In Datei C:\_OTMoveIt\MovedFiles\
Log - Mit rechtem Mausklick abkopieren und ins Forum mit rechtem Mausklick "einfügen"

___

4.
wende combofix noch mal an + poste den report

5.
wende datfindbat an ..kopiere hier das Log (3 Monate von jedem Log reichen (ist nach Datum geordnet)
Datfindbat

«

thomas1982 · 14.03.2008, 09:42

also cccleaner durchgeführt!

zu punkt 1 )
die von dir angegbene datei:
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
gibts es in diesem verzeichnis nicht mehr!

( ist das ein gutes zeichen? )

zu punkt 2 )

done

zu punkt 3 )

C:\Programme\Setup.exe moved successfully.
File/Folder C:\WINDOWS\system32\byxurss.dll not found.
C:\Programme\B.ico moved successfully.
C:\Programme\A.ico moved successfully.
C:\WINDOWS\system32\md4 moved successfully.
C:\WINDOWS\system32\iDlo18 moved successfully.
C:\WINDOWS\system32\ex3 moved successfully.
C:\WINDOWS\system32\axs9 moved successfully.
C:\348.bat moved successfully.
C:\Dokumente und Einstellungen\Thomas\2311.bat moved successfully.
C:\Programme\c.zip moved successfully.
C:\Programme\b.zip moved successfully.
C:\Programme\a.zip moved successfully.
C:\lx.exe moved successfully.
C:\879.bat moved successfully.
C:\Programme\Video.exe moved successfully.
C:\Programme\Track_03.exe moved successfully.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\vbzip10.dll
C:\WINDOWS\system32\vbzip10.dll NOT unregistered.
C:\WINDOWS\system32\vbzip10.dll moved successfully.

OTMoveIt2 by OldTimer - Version 1.0.21 log created on 03142008_092921

Zu punkt 4)

Done
Anbei der logreport

ComboFix 08-03-10.1 - Thomas 2008-03-14 9:33:53.7 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.678 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Thomas\Eigene Dateien\Meine empfangenen Dateien\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-02-14 bis 2008-03-14 ))))))))))))))))))))))))))))))
.

2008-03-14 08:59 . 2008-03-14 08:59 <DIR> d-------- C:\Programme\CCleaner
2008-03-13 18:21 . 2008-03-13 18:21 <DIR> d-------- C:\_OTMoveIt
2008-03-13 17:48 . 2008-03-13 17:49 <DIR> d-------- C:\WINDOWS\ERUNT
2008-03-13 17:40 . 2008-03-13 18:09 <DIR> d-------- C:\SDFix
2008-03-12 17:39 . 2008-03-12 17:40 <DIR> d-------- C:\Programme\Hij
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Programme\ClamWin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\.clamwin
2008-03-12 15:04 . 2008-03-13 18:35 <DIR> d-------- C:\Temp
2008-03-12 15:02 . 2008-03-13 10:15 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-03-12 14:26 . 2004-03-09 10:00 152,848 --a------ C:\WINDOWS\system32\comdlg32.ocx
2008-03-12 14:26 . 2002-09-21 15:33 65,536 --a------ C:\WINDOWS\system32\cpvslider.ocx
2008-03-12 14:26 . 2002-09-13 17:09 45,056 --a------ C:\WINDOWS\system32\BPM_Control.ocx
2008-03-11 19:51 . 2008-03-12 14:24 <DIR> d-------- C:\OtsLabs
2008-03-03 19:02 . 2007-12-17 13:53 159,458 --a------ C:\WINDOWS\system32\nvapps.nvb
2008-03-03 19:01 . 2008-03-03 19:01 <DIR> d-------- C:\NVIDIA
2008-03-03 19:01 . 2007-12-05 02:53 356,352 --a------ C:\WINDOWS\system32\NVUNINST.EXE
2008-03-03 18:14 . 2007-05-16 16:45 3,497,832 --a------ C:\WINDOWS\system32\d3dx9_34.dll
2008-03-03 18:14 . 2006-09-28 16:05 2,414,360 --a------ C:\WINDOWS\system32\d3dx9_31.dll
2008-03-03 18:14 . 2008-03-03 18:14 278,728 --a------ C:\WINDOWS\system32\drivers\atksgt.sys
2008-03-03 18:14 . 2008-03-03 18:14 25,416 --a------ C:\WINDOWS\system32\drivers\lirsgt.sys
2008-03-03 18:10 . 2008-03-03 18:10 <DIR> d-------- C:\Programme\Ubisoft
2008-02-28 08:00 . 2008-03-12 14:19 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\skypePM
2008-02-28 08:00 . 2008-02-28 08:00 32 --a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Skype
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Skype

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-14 07:45 --------- d-----w C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-03-13 09:20 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\LimeWire
2008-03-12 14:56 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 13:58 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\Skype
2008-03-11 18:41 --------- d-----w C:\Programme\UltraMixer
2008-03-03 17:10 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-02 20:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-28 06:58 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2008-02-12 17:08 --------- d-----w C:\Programme\JetAudio
2008-01-15 18:10 --------- d-----w C:\Programme\MP3-DJ
2008-01-15 18:06 --------- d-----w C:\Programme\d-lusion
2005-11-12 14:15 901 -c--a-w C:\Programme\uninstal.log
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"Power2GoExpress"="" []
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-08-14 18:05 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2004-10-27 07:49 73728 C:\WINDOWS\soundman.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 20:24 32768]
"PDUiP6210DMon"="C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe" [2005-05-06 19:28 69632]
"Easy-PrintToolBox"="C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 02:10 409600]
"ccApp"="C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2004-08-13 21:17 58488]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496]
"Realtime Audio Engine"="mmrtkrnl.exe" [2007-07-18 15:52 70144 C:\WINDOWS\system32\mmrtkrnl.exe]
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 11:45 63712]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"ClamWin"="C:\Programme\ClamWin\bin\ClamTray.exe" [2008-01-20 22:08 77824]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Ubisoft\\DIE SIEDLER - Aufstieg eines Königreichs\\base\\bin\\Settlers6.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

R1 BIOS;BIOS;C:\WINDOWS\system32\drivers\BIOS.sys [2005-03-16 07:23]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D]
\Shell\AutoRun\command - D:\autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]
\Shell\AutoRun\command - E:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b0-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b1-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

.
Inhalt des "geplante Tasks" Ordners
"2008-03-07 19:00:03 C:\WINDOWS\Tasks\Norton AntiVirus - Scan my computer - Thomas.job"
- C:\PROGRA~1\NORTON~1\Navw32.exel/task:
"2008-03-13 15:15:00 C:\WINDOWS\Tasks\Symantec NetDetect.job"
- C:\Programme\Symantec\LiveUpdate\NDETECT.EXE
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-14 09:35:07
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-03-14 9:35:53
ComboFix-quarantined-files.txt 2008-03-14 08:35:50
ComboFix2.txt 2008-03-13 21:15:38
.
2007-10-30 19:40:25 --- E O F ---

zu punkt 5)

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 301D-E602

Verzeichnis von c:\

14.03.2008 09:39 0 dirdat.txt
14.03.2008 09:35 7.864 ComboFix.txt
14.03.2008 08:43 1.072.156.672 hiberfil.sys
14.03.2008 08:43 1.610.612.736 pagefile.sys
23.08.2007 18:48 3.236 step1_wxBitmap_after.png
23.08.2007 18:48 3.236 step1_wxBitmap_before.png
23.08.2007 18:46 3.236 wxStaticBitmap.png
23.08.2007 18:46 3.236 wxBitmap.png
23.08.2007 18:46 3.221 wxImage.png
04.08.2007 20:23 3.021 crashAddress.txt
24.11.2005 16:05 211 boot.ini
12.11.2005 14:05 0 MSDOS.SYS
12.11.2005 14:05 0 IO.SYS
12.11.2005 14:05 0 CONFIG.SYS
12.11.2005 14:05 0 AUTOEXEC.BAT
04.08.2004 13:00 4.952 bootfont.bin
04.08.2004 13:00 47.564 NTDETECT.COM
04.08.2004 13:00 251.184 ntldr
18 Datei(en) 2.683.100.369 Bytes
0 Verzeichnis(se), 160.627.924.992 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 301D-E602

Verzeichnis von C:\WINDOWS\system32

13.03.2008 17:46 115.768 FNTCACHE.DAT
12.03.2008 10:59 1.374 wpa.dbl
03.03.2008 19:14 161.773 nvapps.xml
14.01.2008 17:52 30.208 usb496.dat
13.01.2008 11:21 5.686 jupdate-1.6.0_03-b05.log
12.01.2008 17:02 4.924 jupdate-1.6.0_02-b06.log
17.12.2007 13:53 159.458 nvapps.nvb
05.12.2007 02:53 356.352 NVUNINST.EXE
05.12.2007 01:41 335.872 nvwrsel.dll
05.12.2007 01:41 286.720 nvwrseng.dll
05.12.2007 01:41 335.872 nvwrses.dll
05.12.2007 01:41 327.680 nvwrsesm.dll
05.12.2007 01:41 303.104 nvwrsfi.dll
05.12.2007 01:41 327.680 nvwrsfr.dll
05.12.2007 01:41 278.528 nvwrshe.dll
05.12.2007 01:41 315.392 nvwrshu.dll
05.12.2007 01:41 323.584 nvwrsit.dll
05.12.2007 01:41 212.992 nvwrsja.dll
05.12.2007 01:41 81.920 nvwddi.dll
05.12.2007 01:41 319.488 nvwrsnl.dll
05.12.2007 01:41 3.715.072 nvvitvsr.dll
05.12.2007 01:41 3.710.976 nvvitvs.dll
05.12.2007 01:41 286.720 nvwrscs.dll
05.12.2007 01:41 311.296 nvwrsde.dll
05.12.2007 01:41 282.624 nvwrsar.dll
05.12.2007 01:41 425.984 keystone.exe
05.12.2007 01:41 299.008 nvwrsno.dll
05.12.2007 01:41 5.773.568 nv4_disp.dll
05.12.2007 01:41 385.024 nvapi.dll
05.12.2007 01:41 442.368 nvappbar.exe
05.12.2007 01:41 196.608 nvwrsko.dll
05.12.2007 01:41 1.019.904 nvwimg.dll
05.12.2007 01:41 35.328 nvcod.dll
05.12.2007 01:41 35.328 nvcodins.dll
05.12.2007 01:41 147.456 nvcolor.exe
05.12.2007 01:41 413.696 nvcpl.cpl
05.12.2007 01:41 8.523.776 nvcpl.dll
05.12.2007 01:41 753.664 nvcplui.exe
05.12.2007 01:41 1.073.152 nvcpluir.dll
05.12.2007 01:41 1.089.536 nvcuda.dll
05.12.2007 01:41 17.737 nvdisp.nvu
05.12.2007 01:41 6.549.504 nvdisps.dll
05.12.2007 01:41 5.611.520 nvdispsr.dll
05.12.2007 01:41 294.912 nvwrspl.dll
05.12.2007 01:41 1.339.392 nvdspsch.exe
05.12.2007 01:41 307.200 nvexpbar.dll
05.12.2007 01:41 3.420.160 nvgames.dll
05.12.2007 01:41 294.912 nvwrsda.dll
05.12.2007 01:41 3.334.144 nvgamesr.dll
05.12.2007 01:41 1.474.560 nview.dll
05.12.2007 01:41 229.376 nvmccs.dll
05.12.2007 01:41 323.584 nvwrspt.dll
05.12.2007 01:41 45.056 nvmccsrs.dll
05.12.2007 01:41 188.416 nvmccss.dll
05.12.2007 01:41 458.752 nvmccssr.dll
05.12.2007 01:41 81.920 nvmctray.dll
05.12.2007 01:41 1.228.800 nvmobls.dll
05.12.2007 01:41 2.854.912 nvmoblsr.dll
05.12.2007 01:41 286.720 nvnt4cpl.dll
05.12.2007 01:41 6.901.760 nvoglnt.dll
05.12.2007 01:41 319.488 nvwrsptb.dll
05.12.2007 01:41 327.680 nvrsar.dll
05.12.2007 01:41 249.856 nvrscs.dll
05.12.2007 01:41 253.952 nvrsda.dll
05.12.2007 01:41 278.528 nvrsde.dll
05.12.2007 01:41 282.624 nvrsel.dll
05.12.2007 01:41 245.760 nvrseng.dll
05.12.2007 01:41 282.624 nvrses.dll
05.12.2007 01:41 274.432 nvrsesm.dll
05.12.2007 01:41 249.856 nvrsfi.dll
05.12.2007 01:41 282.624 nvrsfr.dll
05.12.2007 01:41 327.680 nvrshe.dll
05.12.2007 01:41 258.048 nvrshu.dll
05.12.2007 01:41 278.528 nvrsit.dll
05.12.2007 01:41 266.240 nvrsja.dll
05.12.2007 01:41 258.048 nvrsko.dll
05.12.2007 01:41 274.432 nvrsnl.dll
05.12.2007 01:41 315.392 nvwrsru.dll
05.12.2007 01:41 299.008 nvwrssk.dll
05.12.2007 01:41 253.952 nvrsno.dll
05.12.2007 01:41 303.104 nvwrssl.dll
05.12.2007 01:41 294.912 nvwrssv.dll
05.12.2007 01:41 290.816 nvwrsth.dll
05.12.2007 01:41 303.104 nvwrstr.dll
05.12.2007 01:41 253.952 nvrspl.dll
05.12.2007 01:41 163.840 nvwrszhc.dll
05.12.2007 01:41 253.952 nvrssv.dll
05.12.2007 01:41 167.936 nvwrszht.dll
05.12.2007 01:41 2.498.560 nvwss.dll
05.12.2007 01:41 2.519.040 nvwssr.dll
05.12.2007 01:41 356.352 nvudisp.exe
05.12.2007 01:41 73.728 nvtuicpl.cpl
05.12.2007 01:41 274.432 nvrspt.dll
05.12.2007 01:41 1.626.112 nwiz.exe
05.12.2007 01:41 155.716 nvsvc32.exe
05.12.2007 01:41 466.944 nvshell.dll
05.12.2007 01:41 126.976 nvrszht.dll
05.12.2007 01:41 225.280 nvrszhc.dll
05.12.2007 01:41 266.240 nvrsptb.dll
05.12.2007 01:41 270.336 nvrsru.dll
05.12.2007 01:41 258.048 nvrssk.dll
05.12.2007 01:41 258.048 nvrssl.dll
05.12.2007 01:41 258.048 nvrstr.dll
05.12.2007 01:41 253.952 nvrsth.dll
05.12.2007 01:41 1.703.936 nvwdmcpl.dll

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 301D-E602

Verzeichnis von C:\WINDOWS

14.03.2008 09:36 6.440 ModemLog_HUAWEI Mobile Connect - 3G Modem #2.txt
14.03.2008 09:35 227 system.ini
14.03.2008 09:33 1.159.661 WindowsUpdate.log
14.03.2008 08:44 157 wiadebug.log
14.03.2008 08:44 50 wiaservc.log
14.03.2008 08:43 2.048 bootstat.dat
13.03.2008 22:29 32.494 SchedLgU.Txt
12.03.2008 16:38 10.360 ModemLog_HUAWEI Mobile Connect - 3G Modem.txt
19.01.2008 11:13 5.946 CDex.INI
25.11.2007 11:06 606.848 flashax.exe
25.11.2007 11:06 12.288 impborl.dll

Sabina · 14.03.2008, 10:55

Hallo,

1.
laden, dann bitte im abgesicherten modus scannen + poste den report
Kaspersky - VirusRemoval Programm - AVPTool

(falls der Rechner langsam wird, deinstalliere: ClamWin)

2.
poste bitte ein neus Log vom HijackThis

thomas1982 · 14.03.2008, 18:02

Scan
----
Scanned: 245633
Detected: 34
Untreated: 0
Start time: 14.03.2008 11:04:34
Duration: 06:46:37
Finish time: 14.03.2008 17:51:11

Detected
--------
Status Object
------ ------
deleted: virus Virus.Win32.Fontra.c File: C:\Dokumente und Einstellungen\Thomas\Eigene Dateien\LimeWire\Saved\A Fine Frenzy - Almost Lover.mp3.exe
deleted: virus Virus.Win32.Fontra.c File: C:\Dokumente und Einstellungen\Thomas\Eigene Dateien\LimeWire\Saved\_\q7q7q7q7q7q7q7q7xx.zip/Setup.exe
deleted: adware not-a-virus:AdWare.Win32.Virtumonde.gen File: C:\QooBox\Quarantine\catchme2008-03-13_221441.82.zip/byxurss.dll
disinfected: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/a.zip/Setup.exe
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/b.zip/Video.exe
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/c.zip/Track_03.exe
deleted: Trojan program Trojan.Win32.Agent.cmn File: C:\SDFix\backups\backups.zip/backups/Crack.exe
deleted: Trojan program Trojan-Downloader.Win32.Agent.lak File: C:\SDFix\backups\backups.zip/backups/mrofinu1000106.exe
deleted: Trojan program Trojan-Downloader.Win32.Agent.lak File: C:\SDFix\backups\backups.zip/backups/mrofinu1188.exe
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/p2pnetworking.exe
deleted: adware not-a-virus:AdWare.Win32.TTC.d File: C:\SDFix\backups\backups.zip/backups/satof89104.dll
deleted: Trojan program Trojan-Downloader.Win32.Small.sth File: C:\SDFix\backups\backups.zip/backups/services.exe//PE_Patch.Upolyx//PE_Patch.UPX//UPX
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/Setup.exe
deleted: Trojan program Trojan-Downloader.Win32.VB.ceh File: C:\SDFix\backups\backups.zip/backups/smss.exe//data0006
deleted: Trojan program Trojan.Win32.Agent.cmn File: C:\SDFix\backups\backups.zip/backups/svchost.exe
deleted: Trojan program Trojan.Win32.BHO.ab File: C:\SDFix\backups\backups.zip/backups/tk58.exe
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/Track_03.exe
deleted: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/Video.exe
deleted: Trojan program Trojan.Win32.BHO.ab File: C:\SDFix\backups\backups.zip/backups/zyjib.dll
deleted: adware not-a-virus:AdWare.Win32.CommAd.a File: C:\_OTMoveIt\MovedFiles\03132008_182130\WINDOWS\VGhvbWFz\asappsrv.dll//UPX
deleted: adware not-a-virus:AdWare.Win32.CommAd.a File: C:\_OTMoveIt\MovedFiles\03132008_182130\WINDOWS\VGhvbWFz\command.exe//UPX
deleted: adware not-a-virus:AdWare.Win32.Virtumonde.gen File: C:\_OTMoveIt\MovedFiles\03142008_092921\lx.exe
disinfected: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\a.zip/Setup.exe
deleted: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\b.zip/Video.exe
deleted: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\c.zip/Track_03.exe
deleted: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\Setup.exe
deleted: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\Track_03.exe
deleted: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\Video.exe
deleted: adware not-a-virus:AdWare.Win32.TTC.d File: C:\_OTMoveIt\MovedFiles\03142008_092921\WINDOWS\system32\axs9\key89104.exe//data0002
deleted: Trojan program Trojan-Downloader.Win32.Small.snf File: C:\_OTMoveIt\MovedFiles\03142008_092921\WINDOWS\system32\ex3\madn1107.exe//PE_Patch.Upolyx//PE_Patch.UPX//UPX
deleted: Trojan program Trojan-Downloader.Win32.VB.ceh File: C:\_OTMoveIt\MovedFiles\03142008_092921\WINDOWS\system32\iDlo18\iDlo182328.exe
deleted: Trojan program Trojan-Downloader.Win32.Small.buy File: C:\_OTMoveIt\MovedFiles\03142008_092921\WINDOWS\system32\md4\vomb33dll.exe//UPX
disinfected: virus Virus.Win32.Fontra.c File: C:\SDFix\backups\backups.zip/backups/a.zip
disinfected: virus Virus.Win32.Fontra.c File: C:\_OTMoveIt\MovedFiles\03142008_092921\Programme\a.zip

Logfile of HijackThis v1.99.1
Scan saved at 18:01:53, on 14.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\T-Mobile\web 'n' walk Manager\Web 'n' Walk Manager.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\mmrtkrnl.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\ClamWin\bin\ClamTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\internet explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.016\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PDUiP6210DMon] C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - HKLM\..\Run: [AVP] "C:\Dokumente und Einstellungen\All Users\Desktop\Kaspersky Lab Tool\setup_7.0.0.180_14.03.2008_11-23.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: auto-bit.lnk = C:\SYSPREP\bit\bit.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: setup_7.0.0.180_14.03.2008_11-23 - Unknown owner - C:\Dokumente und Einstellungen\All Users\Desktop\Kaspersky Lab Tool\setup_7.0.0.180_14.03.2008_11-23.exe" -r (file missing)
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Sabina · 14.03.2008, 22:52

Hallo

das sieht ja schon viiiel besser aus

scanne online mit bitdefender + poste den report
Online Virenscanner

thomas1982 · 15.03.2008, 09:49

aus irgendeinem grund kann ich bitdefender nicht runterladen!!!!

Sabina · 15.03.2008, 10:14

Hallo,

1.
fixe mit dem Hijackthis

O4 - HKLM\..\Run: [AVP] "C:\Dokumente und Einstellungen\All Users\Desktop\Kaspersky Lab Tool\setup_7.0.0.180_14.03.2008_11-23.exe"

damit es aus dem Systemstart kommt.

+
PC neustarten

--------------------------------------

2.
scanne mit sysclean (nach Anleitung) + poste den report
Sysclean von Trendmicro

Virus.Win32.Fontra.c / kompletter Computer anfänger

Plagegeister aller Art und deren Bekämpfung: Virus.Win32.Fontra.c / kompletter Computer anfänger