hallo,

ich habe mir schon Lösungen durchgelesen, die waren nur auf den PC von dem Benutzer zugeschnitten.
Ich habe mir auch den Virus Alert eingefangen und wie aus anderen Beiträgen zu lesen war mit eScan Toolkit das System im Abgesicherten Modus gescant. Dann habe ich mit HijackThis gescant. Ich weiß nicht, wie ich jetzt weiter machen muss... bin im abesicherten Modus

Bitte um dringende Hilfe...

Danke LG

Hallo pior.

- Folge bitte dieser Anleitung und poste den rapport.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

HI,
herzlichen Dank für die schnelle Hilfe, hier ist die SmitfraudFix log Datei:

Ich habe die 2 (Reinigung) und Enter ausführen wollen, ging aber nicht. Der angegebene Dateifad konnte nicht gefunden werden.


SmitFraudFix v2.329

Scan done at 13:19:11,15, 17.07.2008
Run from C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is FAT32
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\systems.txt FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Administrator\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\ADMINI~1\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme

C:\Programme\tmp???????.exe FOUND !
C:\Programme\antiviirus.exe FOUND !
C:\Programme\tmp?.exe FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

[!] Suspicious: RomStd.dll
SSODL: RomStd - {8e2214c6-ae17-4214-9fd9-6281085d8b19}


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Paketplaner-Miniport
DNS Server Search Order: 192.168.178.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End


LG pior00

Hast du die Reinigung vorgenommen?

Hallo,

ja die Reinigung mit dem CCleaner.,..

aber die Reinigung mit SmitFraudFix ging nicht.... Dort kam folgende Meldung:

Das System konnte den angegebenen Pfad nicht finden.

Hier die ComboFix log Datei:

ComboFix 08-07-15.4 - Administrator 2008-07-17 13:42:19.1 - FAT32x86 NETWORK
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.792 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Administrator\Desktop\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\Sara\Anwendungsdaten\FunWebProducts
C:\Dokumente und Einstellungen\Sara\Desktop\Error Cleaner.url
C:\Dokumente und Einstellungen\Sara\Desktop\Privacy Protector.url
C:\Dokumente und Einstellungen\Sara\Desktop\Spyware&Malware Protection.url
C:\Dokumente und Einstellungen\Sara\Favoriten\Error Cleaner.url
C:\Dokumente und Einstellungen\Sara\Favoriten\Privacy Protector.url
C:\Dokumente und Einstellungen\Sara\Favoriten\Spyware&Malware Protection.url
C:\Programme\FunWebProducts
C:\Programme\FunWebProducts\PopSwatr\History\allowed
C:\Programme\FunWebProducts\PopSwatr\History\notallow
C:\Programme\FunWebProducts\ScreenSaver\Images\01EE2D85.urr
C:\Programme\FunWebProducts\Shared\Cache\AvatarSmallBtn.html
C:\Programme\FunWebProducts\Shared\Cache\CursorManiaBtn-new.html
C:\Programme\FunWebProducts\Shared\Cache\CursorManiaBtn.html
C:\Programme\FunWebProducts\Shared\Cache\FunBuddyIconBtn.html
C:\Programme\FunWebProducts\Shared\Cache\MyFunCardsIMBtn.html
C:\Programme\FunWebProducts\Shared\Cache\SmileyCentralBtn.html
C:\WINDOWS\Downloaded Program Files\setup.inf
C:\WINDOWS\eprt.exe
C:\WINDOWS\evgratsm.dll
C:\WINDOWS\regedit.com
C:\WINDOWS\system32\977751
C:\WINDOWS\system32\977751\977751.dll
C:\WINDOWS\system32\blphcv94j0ep61.scr
C:\WINDOWS\system32\drivers\npf.sys
C:\WINDOWS\system32\lphcv94j0ep61.exe
C:\WINDOWS\system32\packet.dll
C:\WINDOWS\system32\phcv94j0ep61.bmp
C:\WINDOWS\system32\pthreadVC.dll
C:\WINDOWS\system32\taskmgr.com
C:\WINDOWS\system32\wpcap.dll
D:\Autorun.inf

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_NPF


((((((((((((((((((((((( Dateien erstellt von 2008-06-17 bis 2008-07-17 ))))))))))))))))))))))))))))))
.

2008-07-17 13:46 . 2008-07-17 13:46 <DIR> d-------- C:\WINDOWS\resources
2008-07-17 13:09 . 2008-07-17 13:10 <DIR> d-------- C:\Programme\CCleaner
2008-07-16 23:47 . 2007-09-06 00:22 289,144 --a------ C:\WINDOWS\system32\VCCLSID.exe
2008-07-16 23:47 . 2006-04-27 17:49 288,417 --a------ C:\WINDOWS\system32\SrchSTS.exe
2008-07-16 23:47 . 2008-05-29 09:35 86,528 --a------ C:\WINDOWS\system32\VACFix.exe
2008-07-16 23:47 . 2008-05-18 21:40 82,944 --a------ C:\WINDOWS\system32\IEDFix.exe
2008-07-16 23:47 . 2008-07-02 13:33 82,432 --a------ C:\WINDOWS\system32\IEDFix.C.exe
2008-07-16 23:47 . 2008-05-23 18:21 81,920 --a------ C:\WINDOWS\system32\404Fix.exe
2008-07-16 23:47 . 2003-06-05 21:13 53,248 --a------ C:\WINDOWS\system32\Process.exe
2008-07-16 23:47 . 2004-07-31 18:50 51,200 --a------ C:\WINDOWS\system32\dumphive.exe
2008-07-16 23:47 . 2007-10-04 00:36 25,600 --a------ C:\WINDOWS\system32\WS2Fix.exe
2008-07-16 23:47 . 2008-07-17 13:31 7,774 --a------ C:\WINDOWS\system32\tmp.reg
2008-07-16 22:20 . 2008-07-16 22:20 0 --a------ C:\23990098.$$$
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\zts2.exe
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\system32\vcmgcd32.dll
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\system32\iifgfgf.dll
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\rundll16.exe
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\rundl132.dll
2008-07-16 19:53 . 2008-07-16 19:53 <DIR> d-a------ C:\WINDOWS\logo1_.exe
2008-07-16 19:25 . 2008-07-16 19:25 <DIR> d-------- C:\escan
2008-07-16 19:22 . 2008-07-16 19:50 26 --a------ C:\WINDOWS\Lic.xxx
2008-07-16 19:21 . 2008-04-14 07:53 153,600 --a------ C:\WINDOWS\R.COM
2008-07-16 19:21 . 2008-04-14 07:53 140,800 --a------ C:\WINDOWS\system32\T.COM
2008-07-16 18:38 . 2008-07-16 18:38 <DIR> d-------- C:\Programme\Trend Micro
2008-07-16 15:51 . 2008-07-16 14:29 102,400 --a------ C:\WINDOWS\agpqlrfm.exe
2008-07-16 15:32 . 2008-07-16 15:32 <DIR> d-------- C:\Programme\Blaze Audio
2008-07-16 15:32 . 2008-07-16 15:34 73 --ahs---- C:\WINDOWS\system32\SYSDRV004.SYS
2008-07-16 15:32 . 2008-07-16 15:32 61 --a------ C:\WINDOWS\system32\SYSTMBXNDRV.SYS
2008-07-16 15:14 . 2008-07-16 15:14 <DIR> d-------- C:\Programme\Foto-Colorierer 1
2008-07-16 15:14 . 2008-07-16 15:26 73,216 --a------ C:\WINDOWS\cadkasdeinst01.exe
2008-07-15 00:31 . 2008-04-14 00:10 10,240 --------- C:\WINDOWS\system32\drivers\sffp_mmc.sys
2008-07-14 22:31 . 2008-07-14 22:31 <DIR> d-------- C:\Programme\Microsoft Baseline Security Analyzer 2
2008-07-14 22:12 . 2008-07-14 22:12 <DIR> d-------- C:\Programme\Delfyn Software
2008-07-14 17:42 . 2008-07-14 17:42 <DIR> d-------- C:\Programme\iPod
2008-07-14 17:41 . 2008-07-14 17:41 <DIR> d-------- C:\Programme\Bonjour
2008-07-14 15:46 . 2008-07-14 15:46 <DIR> d-------- C:\Programme\NeroInstall.bak
2008-07-14 15:42 . 2008-07-14 15:42 <DIR> d-------- C:\Programme\Nero
2008-07-14 15:17 . 2008-07-14 15:17 <DIR> d-------- C:\Programme\Microsoft.NET
2008-07-14 15:15 . 2008-07-14 15:15 <DIR> d-------- C:\Programme\Microsoft Visual Studio 8
2008-07-14 15:14 . 2008-07-14 15:14 <DIR> d-------- C:\WINDOWS\SHELLNEW
2008-07-14 15:13 . 2008-07-14 15:13 <DIR> dr-h----- C:\MSOCache
2008-07-12 01:36 . 2008-07-12 01:36 <DIR> d-------- C:\Programme\Native Instruments
2008-07-11 01:45 . 2007-10-11 21:44 86,016 --------- C:\WINDOWS\system32\rlservice.exe
2008-07-11 01:42 . 2008-07-11 01:42 <DIR> d-------- C:\Programme\OneStepSearch
2008-07-11 01:37 . 2008-07-11 01:37 <DIR> d-------- C:\Programme\FileSubmit
2008-07-09 16:33 . 2006-10-26 19:56 32,592 --------- C:\WINDOWS\system32\msonpmon.dll
2008-07-09 16:26 . 2008-07-09 16:26 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-06-25 17:49 . 2008-07-14 16:10 54,156 ---h----- C:\WINDOWS\QTFont.qfn
2008-06-25 17:49 . 2008-06-25 17:49 1,409 --------- C:\WINDOWS\QTFont.for
2008-06-20 19:46 . 2008-06-20 19:46 247,296 --------- C:\WINDOWS\system32\dllcache\mswsock.dll
2008-06-20 19:46 . 2008-06-20 19:46 147,968 --------- C:\WINDOWS\system32\dllcache\dnsapi.dll
2008-06-20 13:51 . 2008-06-20 13:51 361,600 --------- C:\WINDOWS\system32\dllcache\tcpip.sys
2008-06-20 13:40 . 2008-06-20 13:40 138,496 --------- C:\WINDOWS\system32\dllcache\afd.sys
2008-06-20 13:08 . 2008-06-20 13:08 225,856 --------- C:\WINDOWS\system32\dllcache\tcpip6.sys

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-07-15 19:22 39,854 ------w C:\Dokumente und Einstellungen\Sara\Anwendungsdaten\wklnhst.dat
2008-06-20 17:46 247,296 ----a-w C:\WINDOWS\system32\mswsock.dll
2008-06-20 11:51 361,600 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 11:40 138,496 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 11:08 225,856 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-06-14 17:32 273,024 ------w C:\WINDOWS\system32\drivers\bthport.sys
2008-06-14 17:32 273,024 ------w C:\WINDOWS\system32\dllcache\bthport.sys
2008-06-11 15:22 --------- d-----w C:\Programme\Gemeinsame Dateien\DVDVideoSoft
2008-06-11 10:53 96,032 ------w C:\Dokumente und Einstellungen\Sara\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2008-06-10 13:56 --------- d-----w C:\Dokumente und Einstellungen\Sara\Anwendungsdaten\Talkback
2008-05-09 10:54 90,112 ----a-w C:\WINDOWS\system32\wshext.dll
2008-05-09 10:54 90,112 ------w C:\WINDOWS\system32\dllcache\wshext.dll
2008-05-09 10:54 512,000 ------w C:\WINDOWS\system32\dllcache\jscript.dll
2008-05-09 10:54 430,080 ----a-w C:\WINDOWS\system32\vbscript.dll
2008-05-09 10:54 430,080 ------w C:\WINDOWS\system32\dllcache\vbscript.dll
2008-05-09 10:54 180,224 ----a-w C:\WINDOWS\system32\scrobj.dll
2008-05-09 10:54 180,224 ------w C:\WINDOWS\system32\dllcache\scrobj.dll
2008-05-09 10:54 172,032 ----a-w C:\WINDOWS\system32\scrrun.dll
2008-05-09 10:54 172,032 ------w C:\WINDOWS\system32\dllcache\scrrun.dll
2008-05-08 14:02 203,136 ------w C:\WINDOWS\system32\dllcache\rmcast.sys
2008-05-08 11:24 155,648 ----a-w C:\WINDOWS\system32\wscript.exe
2008-05-08 11:24 155,648 ------w C:\WINDOWS\system32\dllcache\wscript.exe
2008-05-07 09:07 135,168 ----a-w C:\WINDOWS\system32\cscript.exe
2008-05-07 09:07 135,168 ------w C:\WINDOWS\system32\dllcache\cscript.exe
2008-05-07 05:10 1,293,824 ----a-w C:\WINDOWS\system32\quartz.dll
2008-05-07 05:10 1,293,824 ------w C:\WINDOWS\system32\dllcache\quartz.dll
2008-04-23 20:16 3,591,680 ------w C:\WINDOWS\system32\dllcache\mshtml.dll
2008-04-22 07:40 625,664 ------w C:\WINDOWS\system32\dllcache\iexplore.exe
2008-04-22 07:39 70,656 ------w C:\WINDOWS\system32\dllcache\ie4uinit.exe
2008-04-22 07:39 13,824 ------w C:\WINDOWS\system32\dllcache\ieudinit.exe
2008-04-20 05:07 161,792 ------w C:\WINDOWS\system32\dllcache\ieakui.dll
2007-12-22 16:16 7,724 --sh--w C:\WINDOWS\system32\KGyGaAvL.sys
2007-04-25 15:33 168 --sh--r C:\WINDOWS\system32\A312BD5267.sys
2007-12-22 16:16 168 --sh--r C:\WINDOWS\system32\F92A8C2A0E.sys
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 07:52 15360]
"WinSweep Popupblocker"="D:\Programme\WinSweep\WSPopup.Exe" [2005-10-28 22:43 69632]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2008-04-14 07:52 1695232]
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-09-07 23:01 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Wireless Console 2"="C:\Programme\Wireless Console 2\wcourier.exe" [2005-10-17 17:09 987136]
"SynTPEnh"="C:\Programme\Synaptics\SynTP\SynTPEnh.exe" [2005-10-21 02:26 761945]
"ATICCC"="c:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2005-08-12 14:43 45056]
"DataLayer"="C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE" [2004-12-09 12:14 1068032]
"HControl"="C:\WINDOWS\ATK0100\HControl.exe" [2006-02-23 05:40 106496]
"ISUSPM Startup"="C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe" [2005-02-16 16:15 221184]
"ISUSScheduler"="C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" [2005-02-16 16:15 81920]
"ehTray"="C:\WINDOWS\ehome\ehtray.exe" [2004-08-10 04:04 59392]
"ABLKSR"="C:\windows\ABLKSR\ABLKSR.exe" [2006-01-02 21:14 61440]
"ACMON"="C:\Programme\ASUS\Splendid\ACMON.exe" [2005-11-08 11:23 17920]
"RemoteControl"="C:\Programme\ASUSTeK\ASUSDVD\PDVDServ.exe" [2004-11-02 20:24 32768]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-03-11 21:46 185896]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]
"'Ashampoo AntiSpyWare 2 Guard'"="D:\Programme\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWare2Guard.exe" [2008-03-13 14:36 2316632]
"GrooveMonitor"="C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 07:00 33648]
"NeroFilterCheck"="C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe" [2008-02-28 09:59 570664]
"NBKeyScan"="C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-02-18 16:29 2221352]
"AppleSyncNotifier"="C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleSyncNotifier.exe" [2008-07-10 09:47 116040]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-05-27 10:50 413696]
"iTunesHelper"="D:\Programme\iTunes\iTunesHelper.exe" [2008-07-10 10:51 289064]
"RTHDCPL"="RTHDCPL.EXE" [2005-12-09 08:49 15691264 C:\WINDOWS\RTHDCPL.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 07:52 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoInstrumentation"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"D:\\ICQ6\\ICQ.exe"=
"C:\\Programme\\Messenger\\MSMSGS.EXE"=
"D:\\Programme\\EA GAMES\\Need for Speed Most Wanted\\speed.exe"=
"C:\\WINDOWS\\System32\\dplaysvr.exe"=
"C:\\Programme\\Yahoo!\\Messenger\\YahooMessenger.exe"=
"C:\\Programme\\Yahoo!\\Messenger\\YServer.exe"=
"D:\\Programme\\MailPassword\\MailPsw.exe"=
"D:\\Programme\\FritzBox\\IGDCTRL.EXE"=
"D:\\Programme\\FritzBox\\FBOXUPD.EXE"=
"C:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"D:\\Programme\\Veoh Networks\\Veoh\\VeohClient.exe"=
"D:\\Programme\\Zattoo\\zattood.exe"=
"D:\\Programme\\Zattoo\\Zattoo2.exe"=
"C:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\groove.exe"=
"C:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"C:\\Programme\\Bonjour\\mDNSResponder.exe"=
"D:\\Programme\\iTunes\\iTunes.exe"=
"C:\\WINDOWS\\System32\\mmc.exe"=

R2 AASW2_Service;Ashampoo AntiSpyWare 2 Service;D:\Programme\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWareService.exe [2008-03-13 14:36]
R2 litsgt;litsgt;C:\WINDOWS\system32\DRIVERS\litsgt.sys [2008-03-14 02:55]
R2 OneStep Search Service;OneStep Search Service;C:\Programme\OneStepSearch\onestep.exe C:\Programme\OneStepSearch\onestep.dll Service []
R2 tansgt;tansgt;C:\WINDOWS\system32\DRIVERS\tansgt.sys [2008-03-14 02:55]
R3 AVerM115;AVerM115 service;C:\WINDOWS\system32\DRIVERS\AVerM115.sys [2005-08-24 10:07]
R3 ITECIR;ITE CIR Driver;C:\WINDOWS\system32\DRIVERS\ITECIR.sys [2004-04-22 15:03]
R3 SynMini;USB2.0 1.3M Web Cam;C:\WINDOWS\system32\Drivers\SynMini.sys [2005-06-20 11:48]
R3 SynScan;USB2.0 1.3M Web Cam Still Image;C:\WINDOWS\system32\Drivers\SynScan.sys [2005-06-20 11:48]
S2 MyWebSearchService;My Web Search Service;C:\PROGRA~1\MYWEBS~1\bar\1.bin\mwssvc.exe []
S3 NETFWDSL;AVM FRITZ!web DSL PPP;C:\WINDOWS\system32\DRIVERS\NETFWDSL.SYS [2005-11-21 10:41]
S3 uscsc108;uscsc108;C:\WINDOWS\system32\DRIVERS\uscsc108.sys []

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{10880D85-AAD9-4558-ABDC-2AB1552D831F}]
"C:\Programme\Gemeinsame Dateien\LightScribe\LSRunOnce.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{621FCD24-4498-4324-A81E-07D331376EDF}]
C:\Programme\PixiePack Codec Pack\InstallerHelper.exe
.
Inhalt des "geplante Tasks" Ordners
"2008-04-04 13:00:02 C:\WINDOWS\Tasks\Norton Security Scan.job"
- C:\Programme\Norton Security Scan\Nss.exe)/scan-full /scheduleignorenav /scheduled
"2008-04-16 21:03:14 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
- - - - ORPHANS REMOVED - - - -

HKLM-Run-lphcv94j0ep61 - C:\WINDOWS\system32\lphcv94j0ep61.exe
SSODL-evgratsm-{EA9C1492-6BB9-43BC-BD73-54CED497DB71} - C:\WINDOWS\evgratsm.dll


**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-17 13:46:31
Windows 5.1.2600 Service Pack 3 FAT NTAPI

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\explorer.exe
-> ?:\WINDOWS\system32\MLANG.dll
-> ?:\WINDOWS\system32\MLANG.dll
-> ?:\WINDOWS\system32\MLANG.dll
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE
C:\PROGRAMME\INTEL\WIRELESS\BIN\EVTENG.EXE
C:\PROGRAMME\INTEL\WIRELESS\BIN\S24EVMON.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\APPLE\MOBILE DEVICE SUPPORT\BIN\APPLEMOBILEDEVICESERVICE.EXE
D:\Programme\FritzBox\IGDCTRL.EXE
C:\PROGRAMME\BONJOUR\MDNSRESPONDER.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\INTERVIDEO\DEVICESERVICE\DEVSVC.EXE
C:\WINDOWS\EHOME\EHRECVR.EXE
C:\WINDOWS\EHOME\EHSCHED.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\LIGHTSCRIBE\LSSRVC.EXE
C:\PROGRAMME\NERO\NERO8\NERO BACKITUP\NBSERVICE.EXE
C:\WINDOWS\EHOME\EHREC.EXE
C:\WINDOWS\MICROSOFT.NET\FRAMEWORK\V3.0\WINDOWS COMMUNICATION FOUNDATION\SMSVCHOST.EXE
C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE
C:\PROGRAMME\ONESTEPSEARCH\ONESTEP.EXE
C:\WINDOWS\SYSTEM32\IOCTLSVC.EXE
C:\WINDOWS\SYSTEM32\PSISERVICE.EXE
C:\PROGRAMME\INTEL\WIRELESS\BIN\REGSRVC.EXE
C:\PROGRAMME\ONESTEPSEARCH\ONESTEP.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\PCSUITE\DATALAYER\DATALA~1.EXE
C:\WINDOWS\SYSTEM32\ACENGSVR.EXE
C:\WINDOWS\EHOME\EHMSAS.EXE
C:\PROGRAMME\GEMEINSAME DATEIEN\PCSUITE\SERVICES\SERVIC~1.EXE
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-07-17 13:51:03 - machine was rebooted [****]
ComboFix-quarantined-files.txt 2008-07-17 11:50:54

12 Verzeichnis(se), 32,691,879,936 Bytes frei
21 Verzeichnis(se), 34,370,125,824 Bytes frei

280 --- E O F --- 2008-07-14 23:54:41

Nach dieser Combofix Ausführung, scheint alles soweit von dem Virus Alert befreit zu sein.
Nun habe ich in der Anleitung von Combofix gelesen das ich eine Wiederherstellungskonsole installieren soll. (Habe hier eine Recovery CD-Rom, geht das mit der auch?) Und muss dass im abgesicherten Modus gemacht werden?

MfG pior00

Achso, noch ein Problem....

Während dem Befall der Infektion hatte ich die Externe Festplatte an.

Hatte sie kurz danach ausgemacht, wo ich es bemerkt habe.

Nun ist die Frage: Wenn ich die externe Festplatte wieder anmache, geht das mit der Infektion auf meinem Pc von vorne los?

Ich weiss nicht ob die auch Schaden genommen hat.

mfg pior00

Hm. Versuche bitte Smitfraud nochmal von vorne Schritt für Schritt genau nach der Anleitung auszuführen. Sollte es dann immer noch nicht klappen dann nutze bitte dieses Tool:


-- Rogue Spyware --

* Downloade RVAXO.exe von hier --> http://home.hetnet.nl/~stefsmeenk/RVAXO.exe
* Speichere es auf dem Desktop.
* starte die RVAXO.exe mit einem Doppelklick
* eventuell öffnet sich ein Uninstaller
* schliesse ihn nicht, lass das Programm laufen
* Starte deinen Rechner danach neu
* nach dem Neustart mach einen Doppelklick auf die RVAXO.exe
* ist sehr wichtig!
* das Logfile findest du hier: C:\RVAXO-results.log


Und führe bitte noch einen Scan mit SUPERAntiSpyware durch.

Nun habe ich in der Anleitung von Combofix gelesen das ich eine Wiederherstellungskonsole installieren soll.

Musst du nicht. XP CD reicht aus. Da ist die RC implementiert.

Wenn ich die externe Festplatte wieder anmache, geht das mit der Infektion auf meinem Pc von vorne los?

jönnte sein, ja. Du solltest die Platte mit eScan, SASW und Anti-Malware checken bevor du wieder Daten mit ihr tauscht.

Hier die aktuellste Log Datei von Smitfraud:

SmitFraudFix v2.329

Scan done at 16:12:38.68, 2008-07-17
Run from C:\Dokumente und Einstellungen\Sara\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is FAT32
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWareService.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
d:\Programme\FritzBox\IGDCTRL.EXE
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Gemeinsame Dateien\InterVideo\DeviceService\DevSvc.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\eHome\ehRec.exe
C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\OneStepSearch\onestep.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\system32\PSIService.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\OneStepSearch\onestep.exe
C:\Programme\Wireless Console 2\wcourier.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\DATALA~1\DATALA~1.EXE
C:\WINDOWS\ATK0100\HControl.exe
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\ASUS\Splendid\ACMON.exe
C:\Programme\ASUSTeK\ASUSDVD\PDVDServ.exe
C:\WINDOWS\system32\ACEngSvr.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Programme\Ashampoo\Ashampoo AntiSpyWare 2\AntiSpyWare2Guard.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\QuickTime\QTTask.exe
D:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\WinSweep\WSPopup.Exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\WINDOWS\ATK0100\ATKOSD.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\explorer.exe
C:\Dokumente und Einstellungen\Sara\Desktop\SmitfraudFix\Policies.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32

C:\WINDOWS\system32\systems.txt FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Sara


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Sara\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\SARA\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri



»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Intel(R) PRO/Wireless 3945ABG Network Connection - Paketplaner-Miniport
DNS Server Search Order: 192.168.178.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{D3F98F00-085C-47F9-9CAA-6FC51E9D41BD}: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.178.1


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

Hat die Bereinigung funktioniert?

der Downloadlink funktioniert nicht, der zu Rogue Spyware...

Mit SmitFraud hat die Bereinungung immer noch nicht funktioniert.

Und, muss das ganze im abgesicherten Modus ausgeführt werden?

gruß pior00

Und, muss das ganze im abgesicherten Modus ausgeführt werden?

jap!

Und scanne dein System bitte mit SUPERAntiSpyware und Anti-Malware.

oh man,

ich bin im Abgesicherten Modus, wenn ich Superantispywarepro starten will kommt folgendes:

"Der Systemadministrator hat Richtlinien erlassen, um diese Installation zu verhindern"

Das geht auch nicht... ich bin schon fast am verzweifeln...

nicht verzagen. Ist doch alles halb so wild.

SuperAntiSpyware muss nicht im abgesicherten Modus ausgeführt werden! Ich dachte du würdest dich auf die Bereinigung mit Smitfraudfix beziehen.
Im normalen Modus solltest du SUPERAntiSpyware installieren können. Melde dich als Administrator an.

Ich bin jetzt nicht im abgesicherten Modus,

da will SUPERAntiSpyware auch nicht installieren.

"Error 1327 Invalid Drive G:\" (das ist meine Externe Festplatte)

dann kommt noch ein Fenster

"Installation Ended prematurely because of an error"



Was muss ich jetzt machen/einstellen? Mein Pc will immer auf die Externe Festplatte G:\ zugreifen, bei Installationen..... die warscheinlich auch infiziert ist...