Hallo liebe Helfer,
ich bin ganz neu hier, habe gehört dieses Board sei das Beste !
Vorab: ich bin kein Computer pro.

Zu mein Problem:

Mein Internet ist extrem langsam (firefox IE). Immer wenn ich mein PC neu starte ist Antivir inaktiv und die firewall ist aus !!
Ich bin überzeugt das sich irgendetwas eingeschlichen hatt, ich habe sämtliche Programme im abgesicherten Modus durchlaufen lassen(spybot, ad- aware, Antivir, TuneUp, CCleaner) und es wurde nichts gefunden.
Also hab ich nun ein HiJakThis logfile erstellt, was ich leider nicht auswerten kann. Ich hab den log im normalen Modus erstellt, hoffe das war richtig.

Hier der log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:00:03, on 06.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16762)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
X:\xxx\MÖRTZ\programme\ad ware\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\TUProgSt.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.restorehomesite.com/?cm=211664&lt=1&it=2006-06-28%2022%3A42%3A35&dt=2008-06-29%2016%3A40%3A23&q=about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: {b0e82500-3a9b-f22b-a6b4-ccc69600f950} - {059f0069-6ccc-4b6a-b22f-b9a300528e0b} - (no file)
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: (no name) - {994E7964-0421-48CC-9AFD-2E52244CCD24} - (no file)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\4.1.805.4472\swg.dll
O2 - BHO: Ask Toolbar BHO - {F0D4B231-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Programme\AskSBar\bar\1.bin\ASKSBAR.DLL
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O3 - Toolbar: Ask Toolbar - {F0D4B239-DA4B-4daf-81E4-DFEE4931A4AA} - C:\Programme\AskSBar\bar\1.bin\ASKSBAR.DLL
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O20 - Winlogon Notify: vtUlMggf - vtUlMggf.dll (file missing)
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - X:\merz\MÖRTZ\programme\ad ware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\Programme\WinPcap\rpcapd.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TuneUp Program Statistics Service (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\WINDOWS\System32\TUProgSt.exe

--
End of file - 6898 bytes

Ich hoffe ihr könnt mir helfen.
Danke im voraus und schönen Feierabend...

Halli hallo claxton

Um alle weiteren Hilfeleistungen zu erleichtern und deine Systemsicherheit zu erhöhen arbeite bitte folgendes gründlich ab:

• Deinstalliere bitte Spybot, AdAware, Spyware Doctor und sonstige Anti-Spy/Malware Programme sowie personal-Firewalls wie ZoneAlarm!
  Installiert bleiben dürfen nur Anti-Malware oder SUPERAntiSpyware ohne Wächter.
  .
• Software Updates aller installierten Programme auf die neueste Version (Secunia PSI kann hier wertvolle Hilfe leisten).
  .
• Update der Viren-Signaturen deines Anti-Viren Programmes.
  .
• Treiberupdate der Hardware (Grafikkarte, Soundkarte).
  .
• Windows Update -> Der Frischmacher.
  .
• Vernünftige Ordneransicht -> Einstellungen.
  .
• Abschalten unnötiger Dienste:
  • Vista_ TechNET
  .
• Windows-Firewall aktivieren: (Wenn beim installiertem AV-Prog eine Firewall dabei ist so kann diese verwendet werden!)
  • XP_ Firewall
  • Vista_ Firewall
  .
• Internetoptionen sicher gestallten: Start->Systemsteuerung->Internetoptionen->Sicherheit
  • Sicherheit: -> höchste Stufe
    Wähle danach: Stufe anpassen. Ändere die Einstellung: Anwendungen und uns. Dateien starten -> "Bestätigen" und Installation von Desktopobj. -> "Bestätigen".
  • Datenschutz: -> alle Cookies blockieren
  Nutze nicht den MS-InternetExplorer sondern einen alternativen Browser wie FireFox, Opera o.ä..
  .
• Räume mit cCleaner auf; Punkte 1&2.
  .
  Oben genannte Konfigurationen sind grundlegend wichtig! Führe sie also gewissenhaft durch und poste wenn es zu Problemen gekommen ist die du nicht selbstständig mit Hilfe der Boardsuche, Google oder Freunden lösen konntest.
  
  Häufig gestellte Fragen: XP | Vista

Panda AntiRootkit

• Lade dir bitte Panda's AntiRootkit.zip und entpacke es auf dem Desktop.
• Starte die PAVARK.exe durch einen Doppelklick.
• Setze für die Option In-depth Scan ein Häkchen. Der Rechner muss danach neugestartet werden damit ein Treiber installiert werden kann.
• Starte den Scan nach dem Neustarte mit einem Klick auf Scan starten.
• Sollten Rootkits gefunden worden sein werden sie dir im zweiten Schritt aufgelistet. Es ist unbedingt notwendig, dass wir diese Informationen erhalten!
  Kopiere sie also entweder ab oder erstelle einen Screenshot und stelle ihn uns zur Verfügung.
• Bereinige die Funde anschließend!

Blacklight


Scanne den Rechner danach zusätzlich mit Blacklight und poste das log! (C:\fsbl.log)
Evtl. Funde lasse bitte ebenfalls beheben/umbennen.



GMER - Rootkit Detection

• Lade GMER von hier
• entpacke es auf den Dektop
• Dopperlklicke die gmer.exe
• Der Reiter Rootkit oben ist schon angewählt

• Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
• nach Beendigung des Scan, drücke "Copy"
• nun kannst Du das Ergebnis hier posten
• Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

Danke für die schnelle Antwort.
Ok.
Ich arbeite jetzt alles ab...puh, ganz schön viel, ich hoffe ich schaff das heute noch.
ich poste dann meine Ergebnisse.
Greetz,
claXton

Geschaft,

ich hab die Liste abgearbeitet.
Gescannt hab ich im normalen Modus, hoffe das ist richtig.
Das AntiRootkit hatt nichts gefunden.
Anti-Maleware hatt 10 einträge gefunden, hab alle entfernt.(den Log hab ich gespeichert, weiss nicht ob der gebraucht wird)

Blacklight Log:

01/07/09 17:57:11 [Info]: BlackLight Engine 2.2.1092 initialized
01/07/09 17:57:11 [Info]: OS: 5.1 build 2600 (Service Pack 3)
01/07/09 17:57:12 [Note]: 7019 4
01/07/09 17:57:12 [Note]: 7005 0
01/07/09 17:57:26 [Note]: 7006 0
01/07/09 17:57:26 [Note]: 7011 176
01/07/09 17:57:26 [Note]: 7035 0
01/07/09 17:57:26 [Note]: 7026 0
01/07/09 17:57:26 [Note]: 7026 0
01/07/09 17:57:28 [Note]: FSRAW library version 1.7.1024
01/07/09 18:06:31 [Note]: 2000 1012
01/07/09 18:08:19 [Note]: 7007 0

GMER - Rootkit Detection Log:

GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2009-01-07 19:16:59
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.14 ----

SSDT B8FAF96C ZwCreateThread
SSDT B8FAF958 ZwOpenProcess
SSDT B8FAF95D ZwOpenThread
SSDT B8FAF967 ZwTerminateProcess
SSDT B8FAF962 ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

? oooath.sys Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.14 ----

.text C:\Programme\Windows Live\Messenger\msnmsgr.exe[1712] kernel32.dll!SetUnhandledExceptionFilter 7C8449FD 5 Bytes JMP 0056DBBD C:\Programme\Windows Live\Messenger\msnmsgr.exe (Windows Live Messenger/Microsoft Corporation)

---- EOF - GMER 1.0.14 ----

Gmer hatt nichts gesagt zum schluss. Soll das heißen er hatt was gefunden ?


Mein AntiVir Guard ist weiterhin inaktiv, wenn ich hochfahre. Und, etwas neues ist aufgetreten, wenn ich mit Firefox surfe, springt der Windows IE auf und zeigt mir Werbung an. woran kann das liegen ?
Biitte helft.

Anti-Maleware hatt 10 einträge gefunden, hab alle entfernt.(den Log hab ich gespeichert, weiss nicht ob der gebraucht wird)

Wer hat was von einem Scan mit Anti-Malware geschrieben?

Poste das log bitte. Poste generell alle logs!

Die Werbung blendet dir der Schädling ein.



ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Ok, ich dachte das kann niocht schaden.

Der Log von Anti- Malware:

Malwarebytes' Anti-Malware 1.32
Datenbank Version: 1627
Windows 5.1.2600 Service Pack 3

07.01.2009 17:47:13
mbam-log-2009-01-07 (17-47-06).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 56409
Laufzeit: 10 minute(s), 38 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 3
Infizierte Registrierungsschlüssel: 24
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 10

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\Programme\Mozilla Firefox\plugins\NPAskSBr.dll (Trojan.Agent) -> No action taken.
C:\Programme\AskSBar\bar\1.bin\A2PLUGIN.DLL (Adware.MyWebSearch) -> No action taken.
C:\Programme\AskSBar\bar\1.bin\ASKSBAR.DLL (Adware.AskSBAR) -> No action taken.

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\TypeLib\{f0d4b230-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{f0d4b23a-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{f0d4b23c-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{b15fd82e-85bc-430d-90cb-65db1b030510} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{f0d4b231-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{f0d4b231-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{f0d4b231-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{f0d4b239-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{f0d4b239-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{f0d4b23b-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\PreApproved\{f0d4b23b-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{9989f1f6-70de-4244-ac9f-6672983681a0} (Rogue.AntiSpyCheck) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{85bdd81d-31fd-4a6b-a73c-3955b128d2ec} (Trojan.Zlob) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{b8301af7-d00e-4ea4-87c1-5ff4644fbba1} (Trojan.Zlob) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{28abc5c0-4fcb-11cf-aax5-81cx1c635612} (Trojan.Agent) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\xpreapp (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\antispycheck 2.1 (Rogue.AntiSpyCheck) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\IProxyProvider (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Live.com (Trojan.FakeAlert) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{f0d4b239-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{f0d4b239-da4b-4daf-81e4-dfee4931a4aa} (Adware.AskSBAR) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013 (Trojan.Agent) -> No action taken.

Infizierte Dateien:
C:\Programme\Mozilla Firefox\plugins\NPAskSBr.dll (Trojan.Agent) -> No action taken.
C:\Programme\AskSBar\bar\1.bin\A2PLUGIN.DLL (Adware.MyWebSearch) -> No action taken.
C:\Programme\AskSBar\bar\1.bin\ASKSBAR.DLL (Adware.AskSBAR) -> No action taken.
C:\RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\mcrh.tmp (Malware.Trace) -> No action taken.
C:\WINDOWS\cookies.ini (Malware.Trace) -> No action taken.
C:\is155932.exe (Trojan.Agent) -> No action taken.
C:\WINDOWS\BM1b86c15c.xml (Trojan.Vundo) -> No action taken.
C:\WINDOWS\BM1b86c15c.txt (Trojan.Vundo) -> No action taken.
C:\Dokumente und Einstellungen\merz\Anwendungsdaten\addon.dat (Malware.Trace) -> No action taken.

Danke das Sie mir helfen. Ich mach ab jetzt alles was Sie sagen.
So mach dann mal weiter mit ComboFiX. Poste später alles. ThX,
claXton

Hast du die Anti-Malware Funde wirklich löschen lassen? Im log steht du hättest nichts gemacht..

Lösche bitte den Ordner: C:\Programme\AskSBar

So, ComboFix ist grade fertig geworden.

ComboFix Log:

ComboFix 09-01-07.01 - merz 2009-01-07 20:39:12.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.1279.877 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\merz\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\daliimfh.ini
c:\windows\system32\DegOnnnn.ini
c:\windows\system32\DegOnnnn.ini2
c:\windows\system32\jSDccMoq.ini
c:\windows\system32\jSDccMoq.ini2
c:\windows\system32\okrqcecr.ini
c:\windows\system32\oxlhitte.ini
c:\windows\system32\tnxcnlfb.ini
c:\windows\system32\uwifxbnj.ini

.
((((((((((((((((((((((( Dateien erstellt von 2008-12-07 bis 2009-01-07 ))))))))))))))))))))))))))))))
.

2009-01-07 18:01 . 2009-01-07 18:50 250 --a------ c:\windows\gmer.ini
2009-01-07 16:52 . 2006-08-01 15:02 49,152 --a------ c:\windows\system32\ChCfg.exe
2009-01-07 16:51 . 2009-01-07 16:51 <DIR> d-------- c:\programme\Realtek AC97
2009-01-07 16:51 . 2006-12-08 15:20 10,528,768 --a------ c:\windows\system32\RTLCPL.exe
2009-01-07 16:51 . 2006-10-18 02:53 147,456 --a------ c:\windows\system32\RtlCPAPI.dll
2009-01-07 16:06 . 2009-01-07 16:06 <DIR> d-------- c:\programme\Uniblue
2009-01-07 16:06 . 2009-01-07 16:07 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\DriverScanner
2009-01-07 16:04 . 2009-01-07 16:06 <DIR> d--h-c--- c:\dokumente und einstellungen\All Users\Anwendungsdaten\{66E2F539-12B6-4870-A500-7689CDE75C5E}
2009-01-07 15:50 . 2009-01-07 15:50 <DIR> d-------- c:\dokumente und einstellungen\merz\Anwendungsdaten\ATI
2009-01-07 15:42 . 2009-01-07 15:44 <DIR> d-------- c:\programme\ATI Technologies
2009-01-07 15:42 . 2006-05-03 11:57 520,192 --------- c:\windows\system32\ati2sgag.exe
2009-01-07 15:34 . 2009-01-07 15:34 <DIR> d-------- c:\programme\Lavalys
2009-01-07 15:04 . 2009-01-07 15:04 <DIR> d-------- c:\programme\Secunia
2009-01-07 15:00 . 2009-01-07 15:00 <DIR> d-------- c:\programme\Malwarebytes' Anti-Malware
2009-01-07 15:00 . 2009-01-07 15:00 <DIR> d-------- c:\dokumente und einstellungen\merz\Anwendungsdaten\Malwarebytes
2009-01-07 15:00 . 2009-01-07 15:00 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-01-07 15:00 . 2009-01-04 18:38 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2009-01-07 15:00 . 2009-01-04 18:38 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2009-01-06 16:34 . 2009-01-06 16:34 <DIR> d-------- c:\programme\Trend Micro
2009-01-06 16:04 . 2009-01-06 16:04 <DIR> d-------- c:\programme\TuneUp Utilities 2009
2009-01-06 16:04 . 2009-01-06 16:04 <DIR> d-------- c:\dokumente und einstellungen\merz\Anwendungsdaten\TuneUp Software
2009-01-06 16:04 . 2009-01-06 16:04 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
2009-01-06 16:04 . 2009-01-06 16:04 603,904 --a------ c:\windows\system32\TUProgSt.exe
2009-01-06 16:04 . 2009-01-06 16:04 360,192 --a------ c:\windows\system32\TuneUpDefragService.exe
2009-01-06 16:04 . 2008-12-11 13:31 27,904 --a------ c:\windows\system32\uxtuneup.dll
2009-01-06 16:03 . 2009-01-06 16:03 <DIR> d--hs---- c:\dokumente und einstellungen\All Users\Anwendungsdaten\{55A29068-F2CE-456C-9148-C869879E2357}
2009-01-05 18:38 . 2009-01-05 18:38 <DIR> d--h----- c:\windows\system32\GroupPolicy
2009-01-04 21:18 . 2008-03-29 15:19 <DIR> d--h----- c:\dokumente und einstellungen\Administrator\Vorlagen
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> dr------- c:\dokumente und einstellungen\Administrator\Startmenü
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> d--h----- c:\dokumente und einstellungen\Administrator\Netzwerkumgebung
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> d--h----- c:\dokumente und einstellungen\Administrator\Lokale Einstellungen
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> d-------- c:\dokumente und einstellungen\Administrator\Favoriten
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> d--h----- c:\dokumente und einstellungen\Administrator\Druckumgebung
2009-01-04 21:18 . 2008-02-01 15:10 <DIR> dr-h----- c:\dokumente und einstellungen\Administrator\Anwendungsdaten
2009-01-04 21:18 . 2009-01-04 21:18 <DIR> d-------- c:\dokumente und einstellungen\Administrator
2009-01-04 17:25 . 2009-01-07 14:56 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
2009-01-03 20:44 . 2009-01-03 20:44 169 --a------ c:\windows\RtlRack.ini
2008-12-29 13:41 . 2008-12-29 13:43 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\DVD Shrink
2008-12-28 16:37 . 2008-12-28 16:37 <DIR> d-------- c:\windows\system32\Samsung PC Studio Codecs
2008-12-28 16:18 . 2008-12-28 16:18 <DIR> d-------- c:\windows\system32\Samsung
2008-12-28 16:18 . 2005-01-24 15:38 84,512 --a------ c:\windows\system32\drivers\ss_mdm.sys
2008-12-28 16:18 . 2005-01-24 15:38 52,384 --a------ c:\windows\system32\drivers\ss_bus.sys
2008-12-28 16:18 . 2005-01-24 15:38 6,080 --a------ c:\windows\system32\drivers\ss_cmnt.sys
2008-12-28 16:18 . 2005-01-24 15:38 6,080 --a------ c:\windows\system32\drivers\ss_cm.sys
2008-12-28 16:18 . 2005-01-24 15:38 6,064 --a------ c:\windows\system32\drivers\ss_mdfl.sys
2008-12-28 16:18 . 2005-01-24 15:38 5,744 --a------ c:\windows\system32\drivers\ss_whnt.sys
2008-12-28 16:18 . 2005-01-24 15:38 5,744 --a------ c:\windows\system32\drivers\ss_wh.sys
2008-12-28 16:18 . 2005-08-28 20:51 766 --a------ c:\windows\system32\Uninstall.ico
2008-12-27 10:35 . 2008-10-15 17:35 337,408 -----c--- c:\windows\system32\dllcache\netapi32.dll
2008-12-22 21:17 . 2008-04-14 03:22 21,504 --a------ c:\windows\system32\hidserv.dll
2008-12-22 21:17 . 2008-04-14 03:22 21,504 --a--c--- c:\windows\system32\dllcache\hidserv.dll
2008-12-22 21:17 . 2008-04-14 02:58 14,720 --a------ c:\windows\system32\drivers\kbdhid.sys
2008-12-22 21:17 . 2008-04-14 02:58 14,720 --a--c--- c:\windows\system32\dllcache\kbdhid.sys
2008-12-22 21:17 . 2008-04-13 19:45 10,368 --a------ c:\windows\system32\drivers\hidusb.sys
2008-12-22 21:17 . 2008-04-13 19:45 10,368 --a--c--- c:\windows\system32\dllcache\hidusb.sys
2008-12-10 15:17 . 2008-12-10 15:17 7,808 --a------ c:\windows\system32\drivers\psi_mf.sys
2008-12-09 10:43 . 2004-08-03 23:57 221,184 --a--c--- c:\windows\system32\wmpns.dll
2008-12-08 17:57 . 2008-12-08 17:57 <DIR> d-------- c:\windows\system32\de
2008-12-08 17:57 . 2008-12-08 17:57 <DIR> d-------- c:\windows\system32\bits
2008-12-08 17:57 . 2008-12-08 17:57 <DIR> d-------- c:\windows\l2schemas

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-01-07 15:57 --------- d-----w c:\programme\CCleaner
2009-01-07 15:51 --------- d-----w c:\programme\Gemeinsame Dateien\InstallShield
2009-01-07 15:06 --------- d-----w c:\dokumente und einstellungen\merz\Anwendungsdaten\Uniblue
2009-01-07 13:57 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-01-06 19:50 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-01-05 17:39 --------- d-----w c:\programme\Yahoo!
2008-12-28 21:04 --------- d-----w c:\dokumente und einstellungen\merz\Anwendungsdaten\dvdcss
2008-12-28 15:37 --------- d--h--w c:\programme\InstallShield Installation Information
2008-12-08 16:43 --------- d-----w c:\programme\Java
2008-12-03 03:51 --------- d-----w c:\programme\DivX
2008-11-28 03:26 --------- d-----w c:\programme\Xvid
2008-11-26 01:14 --------- d-----w c:\dokumente und einstellungen\merz\Anwendungsdaten\DivX
2008-11-20 15:24 --------- d-----w c:\dokumente und einstellungen\merz\Anwendungsdaten\FrostWire
2000-01-01 00:00 23 -csh--r c:\windows\mtlid64s2.dat
2006-07-16 14:09 2,334 -csha-w c:\windows\Bifrost\klog.dat
2006-05-03 10:06 163,328 --sh--r c:\windows\system32\flvDX.dll
2007-02-21 11:47 31,232 -csh--r c:\windows\system32\msfDX.dll
2007-12-17 13:43 27,648 -csh--w c:\windows\system32\Smab0.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\programme\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 5724184]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-17 266497]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"ctfmon.exe"=c:\windows\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SoundMan"=SOUNDMAN.EXE

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\Veoh Networks\\Veoh\\VeohClient.exe"=
"x:\\merz\\MÖRTZ\\programme\\limewire\\FrostWire\\FrostWire.exe"=
"c:\\Programme\\Pando Networks\\Pando\\pando.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Programme\\Avira\\AntiVir PersonalEdition Classic\\avcenter.exe"=
"c:\\Programme\\Zattoo\\Zattoo2.exe"=
"c:\\Programme\\Zattoo\\Zattoo.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Anti-Virus 2009\\german\\setup.exe"=
"c:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Internet Security 2009\\German\\setup.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=
"c:\\Programme\\Zattoo\\zattood.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"56424:TCP"= 56424:TCP:Pando P2P TCP Listening Port
"56424:UDP"= 56424:UDP:Pando P2P UDP Listening Port

R4 TuneUp.ProgramStatisticsSvc;TuneUp Program Statistics Service;c:\windows\system32\TUProgSt.exe [2009-01-06 603904]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2005-08-02 32512]
S3 PSI;PSI;c:\windows\system32\drivers\psi_mf.sys [2008-12-10 7808]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{31485FEE-94E2-729F-9399-E3461EEBB8A6}]
c:\windows\Bifrost\svhost.exe s
.
Inhalt des "geplante Tasks" Ordners

2009-01-07 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2009\OneClickStarter.exe [2008-12-11 19:07]

2008-07-22 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-04-11 16:57]

2008-11-16 c:\windows\Tasks\Uniblue SpeedUpMyPC Nag.job
- c:\programme\SpeedUpMyPC 3\SpeedUpMyPC.exe [2008-04-02 08:50]

2008-07-09 c:\windows\Tasks\Uniblue SpeedUpMyPC.job
- c:\programme\SpeedUpMyPC 3\SpeedUpMyPC.exe [2008-04-02 08:50]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{059f0069-6ccc-4b6a-b22f-b9a300528e0b} - (no file)
BHO-{994E7964-0421-48CC-9AFD-2E52244CCD24} - (no file)
Notify-vtUlMggf - vtUlMggf.dll


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.restorehomesite.com/?cm=211664&lt=1&it=2006-06-28%2022%3A42%3A35&dt=2008-06-29%2016%3A40%3A23&q=about:blank
uInternet Settings,ProxyOverride = *.local
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: psi.secunia.com
FF - ProfilePath - c:\dokumente und einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\
FF - prefs.js: browser.search.defaulturl - hxxp://de.search.yahoo.com/search?ei=UTF-8&fr=ytff-flv&p=
FF - prefs.js: browser.startup.homepage - google.de
FF - prefs.js: keyword.URL - hxxp://de.search.yahoo.com/search?ei=UTF-8&fr=ytff-flv&p=
FF - plugin: c:\programme\Google\Google Updater\2.4.1368.5602\npCIDetect13.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npPandoWebInst.dll
FF - plugin: c:\programme\Veoh Networks\Veoh\Plugins\noreg\NPVeohVersion.dll

---- FIREFOX POLICIES ----
FF - user.js: network.http.max-persistent-connections-per-server - 4
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-01-07 20:42:30
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- LOCKED REGISTRY KEYS ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*NULL*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
"AB141C35E9F4BF344B9FC010BB17F68A"=""
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1052)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\windows\system32\ati2evxx.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\programme\Nero\Nero8\Nero BackItUp\NBService.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-01-07 20:46:49 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2009-01-07 19:46:47

Vor Suchlauf: 11 Verzeichnis(se), 56.439.050.240 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 56,922,955,776 Bytes frei

219 --- E O F --- 2008-12-22 20:25:15


Zu Anti-Malware: alle gelöscht.
cya

Systembereinigung

• Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.
  
• Räume mit cCleaner auf. (Punkt 1 & 2)
  
• Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  
• Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  
• Beende alle anderen Arbeiten am PC und speichere alle offenen Projekte.
  
• Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes und schließe alle AntiViren Programme komplett!
  
  
• Unter File -> Database Update ->Start drücken.
  
• Unter AVZPM -> Install extended monitoring driver drücken.
  
• Unter AVZGuard -> Enable AVZGuard drücken dieser verhindert alle anderen Arbeiten am PC!
  
  
• Im Hauptfenster oben sind verschiedene Reiter. Im Linken kannst du die Search Range einstellen. Mache hier bitte Haken vor alle deine Festplatten.
  
• Im Reiter daneben kannst du die File Types einstellen. Wähle hier bitte All files.
  
• Im Reiter ganz rechts kannst du die Search parameters einstellen. Schiebe den Regler der Heuristic Analysis bitte nach ganz oben und setzte den Haken bei Extended analysis. Alles weitere bleibt wie es ist!
  
• Dann setzte rechts im Hauptfenster unter Actions den Haken bei Perform healing und danach unbedingt auch den Haken bei Copy deletet files to "infected" Folder. Sonst werden keine Backups erstellt!

Die letzten Einstellungen werden nochmal in folgendem Bild zusammengefasst. Gleiche sie bitte genau mit deinen Einstellungen ab!

• Nun starte den Scan bitte durch Drücken des Start Buttons.
  
  
• Nachdem der Scan beendet ist klicke auf den Disketten Speicher-Button und speichere das log im AVZ Ordner auf dem Desktop.
  Danach klicke auf die Brille darunter. Es öffnet sich ein Fenster bei dem unten rechts bitte auf Save as CSV klickst und die Datei ebenfalls im AVZ Ordner abspeicherst.

• Die beiden logs hänge bitte an deinen nächsten Post an.
  
  
• Deaktiviere den AVZGuard: Im Hauptfenster unter AVZGuard -> Disable AVZGuard.

Systemanalyse

• Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.
  
• Räume mit cCleaner auf. (Punkt 1 & 2)
  
• Deaktiviere den Wächter/On-Access-Modul (Echtzeit-Scanner) deines AntiViren Programmes und schließe alle AntiViren Programme komplett!
  
• Downloade AVZ und speichere es in einen eigenen Ordner auf dem Desktop.
  
• Entpacke es in diesem Ordner und starte die Anwendung durch einen Doppelklick auf die AVZ.exe.
  
• Unter AVZPM -> Install extended monitoring driver wählen. Der Treiber wird installiert.
  
• Starte den Rechner neu. Öffne abermals die AVZ.exe und gehe sicher, dass der AVZPM Driver installiert ist.
  
• Alle AntiViren Programme und Wächter sollten weiterhin deaktiviert sein!
  
• Unter AVZGuard -> Enable AVZGuard wählen. => Der Wächter verhindert die Ausführung aller anderen Anwendungen und muss nach der Analyse unbedingt wieder deaktviert werden!!
  
• Unter File -> Database Update Start drücken.
  
• Während des Scans sollte der Rechner weiterhin Verbindung mit dem Internet haben.
  
• Danach unter File -> System Analys, die Option Attach System Analysis log to ZIP anhaken und Start drücken. Wähle als Speicherort den von dir erstellten AVZ-Ordner.
  
• Deaktiviere den AVZGuard!
  
• Nachdem der Scan beendet ist lade die avz_sysinfo.zip bei Rapidshare hoch und poste den Download-Link.

Ok, ich bin wieder ein Schritt weiter.

Das AVZ Log:

AVZ Antiviral Toolkit log; AVZ version is 4.30
Scanning started at 08.01.2009 16:21:52
Database loaded: signatures - 204891, NN profile(s) - 2, microprograms of healing - 56, signature database released 08.01.2009 17:46
Heuristic microprograms loaded: 372
SPV microprograms loaded: 9
Digital signatures of system files loaded: 75597
Heuristic analyzer mode: Maximum heuristics level
Healing mode: enabled
Windows version: 5.1.2600, Service Pack 3 ; AVZ is launched with administrator rights
System Restore: Disabled
1. Searching for Rootkits and programs intercepting API functions
1.1 Searching for user-mode API hooks
Analysis: kernel32.dll, export table found in section .text
Analysis: ntdll.dll, export table found in section .text
Analysis: user32.dll, export table found in section .text
Analysis: advapi32.dll, export table found in section .text
Analysis: ws2_32.dll, export table found in section .text
Analysis: wininet.dll, export table found in section .text
Analysis: rasapi32.dll, export table found in section .text
Analysis: urlmon.dll, export table found in section .text
Analysis: netapi32.dll, export table found in section .text
1.4 Searching for masking processes and drivers
Searching for masking processes and drivers - complete
Driver loaded successfully
1.5 Checking of IRP handlers
Checking - complete
2. Scanning memory
Number of processes found: 28
Analyzer: process under analysis is 2032 C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
[ES]:Contains network functionality
[ES]:Application has no visible windows
[ES]:Loads RASAPI DLL - may use dialing ?
Analyzer: process under analysis is 572 C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
[ES]:Contains network functionality
[ES]:Listens on TCP ports !
[ES]:Application has no visible windows
Analyzer: process under analysis is 616 C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
[ES]:Application has no visible windows
[ES]:Registered in autoruns !!
Analyzer: process under analysis is 768 C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
[ES]:Application has no visible windows
Analyzer: process under analysis is 1624 C:\WINDOWS\System32\TUProgSt.exe
[ES]:Application has no visible windows
[ES]:Located in system folder
Analyzer: process under analysis is 2660 C:\Programme\Mozilla Firefox\firefox.exe
[ES]:Contains network functionality
[ES]:Loads RASAPI DLL - may use dialing ?
Number of modules loaded: 305
Scanning memory - complete
3. Scanning disks
Direct reading C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nero\Nero8\Nero BackItUp\Cache\NeroBackItUpScheduler3.log
Direct reading C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Program Statistics\ProgramStatistics.tudb
Direct reading C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\cert8.db
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\content-prefs.sqlite
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\cookies.sqlite
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\formhistory.sqlite
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\key3.db
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\places.sqlite
Direct reading C:\Dokumente und Einstellungen\merz\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\places.sqlite-journal
Direct reading C:\Dokumente und Einstellungen\merz\Cookies\index.dat
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\Cache\_CACHE_001_
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\Cache\_CACHE_002_
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\Cache\_CACHE_003_
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\x1dw5fa0.default\Cache\_CACHE_MAP_
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\temp\etilqs_SqaGilFOWm1Wiv5d9qOy
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Verlauf\History.IE5\index.dat
Direct reading C:\Dokumente und Einstellungen\merz\Lokale Einstellungen\Verlauf\History.IE5\MSHist012009010820090109\index.dat
Direct reading C:\Dokumente und Einstellungen\merz\ntuser.dat
Direct reading C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Direct reading C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT
C:\WINDOWS\$NtServicePackUninstall$\format.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\format.com)
C:\WINDOWS\$NtServicePackUninstall$\more.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\more.com)
C:\WINDOWS\$NtServicePackUninstall$\tree.com - PE file with modified extension, allowing its launch (often typical for viruses)(dangerousness level is 35%)
File quarantined succesfully (C:\WINDOWS\$NtServicePackUninstall$\tree.com)
Direct reading C:\WINDOWS\SchedLgU.Txt
Direct reading C:\WINDOWS\SoftwareDistribution\ReportingEvents.log
Direct reading C:\WINDOWS\system32\CatRoot2\edb.log
Direct reading C:\WINDOWS\system32\CatRoot2\tmp.edb
Direct reading C:\WINDOWS\system32\config\AppEvent.Evt
Direct reading C:\WINDOWS\system32\config\default
Direct reading C:\WINDOWS\system32\config\DriverScanner.evt
Direct reading C:\WINDOWS\system32\config\Internet.evt
Direct reading C:\WINDOWS\system32\config\SAM
Direct reading C:\WINDOWS\system32\config\SecEvent.Evt
Direct reading C:\WINDOWS\system32\config\SECURITY
Direct reading C:\WINDOWS\system32\config\SysEvent.Evt
Direct reading C:\WINDOWS\system32\config\system
Direct reading C:\WINDOWS\system32\config\TuneUp.evt
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA
Direct reading C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP
Direct reading C:\WINDOWS\WindowsUpdate.log
X:\merz\MÖRTZ\Produktion\audition\Audition.exe.BAK - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (X:\merz\MÖRTZ\Produktion\audition\Audition.exe.BAK)
X:\merz\MÖRTZ\programme\azureus\Azureus\plugins\azemp\azmplay.exe.bak - PE file with non-standard extension(dangerousness level is 5%)
File quarantined succesfully (X:\merz\MÖRTZ\programme\azureus\Azureus\plugins\azemp\azmplay.exe.bak)
4. Checking Winsock Layered Service Provider (SPI/LSP)
LSP settings checked. No errors detected
5. Searching for keyboard/mouse/windows events hooks (Keyloggers, Trojan DLLs)
6. Searching for opened TCP/UDP ports used by malicious programs
Checking disabled by user
7. Heuristic system check
Checking - complete
8. Searching for vulnerabilities
>> Services: potentially dangerous service allowed: TermService (Terminaldienste)
>> Services: potentially dangerous service allowed: SSDPSRV (SSDP-Suchdienst)
>> Services: potentially dangerous service allowed: Schedule (Taskplaner)
>> Services: potentially dangerous service allowed: mnmsrvc (NetMeeting-Remotedesktop-Freigabe)
>> Services: potentially dangerous service allowed: RDSessMgr (Sitzungs-Manager für Remotedesktophilfe)
> Services: please bear in mind that the set of services depends on the use of the PC (home PC, office PC connected to corporate network, etc)!
>> Security: disk drives' autorun is enabled
>> Security: administrative shares (C$, D$ ...) are enabled
>> Security: anonymous user access is enabled
>> Security: sending Remote Assistant queries is enabled
Checking - complete
9. Troubleshooting wizard
>> HDD autorun are allowed
>> Autorun from network drives are allowed
>> Removable media autorun are allowed
Checking - complete
Files scanned: 6928884, extracted from archives: 6797922, malicious software found 0, suspicions - 0
Scanning finished at 08.01.2009 20:19:38
Time of scanning: 03:57:47
If you have a suspicion on presence of viruses or questions on the suspected objects,
you can address http://virusinfo.info conferen

Das Brillen Log habe ich auch mit RapidShare hochgeladen.
Link:
http://rapidshare.com/files/181165808/avz_log.csv.html

Und dann ist da noch die .zip Datei.
Link:
http://rapidshare.com/files/181155783/avz_sysinfo.zip.html

Ich hoffe es ist alles richtig.
Ich danke dir für deine zeitaufwändig Hilfe.

Dein Rechner ist kompromitiert. Lass die Finger in Zukunft von illegalen Dateien aus dem Netz.

Führe mit AVZ folgendes Skript aus (File -> Custom Skript):

begin
SetAVZGuardStatus(True);
SearchRootkit(true, true);
BC_DeleteFile('C:\WINDOWS\Bifrost\svhost.exe');
BC_DeleteFile('C:\WINDOWS\Bifrost\klog.dat');
BC_DeleteFile('c:\windows\mtlid64s2.dat');
BC_ImportDeletedList;
ExecuteSysClean;
BC_Activate;
RebootWindows(true);
end.

Der rechner startet dabei neu!

Bereinigung nach einer Kompromitierung

Hinweis: Die Analyse eines Virenscanners ist völlig unzureichend, um Aussagen über das System zu machen, kann aber als Hilfsmittel eingesetzt werden, sofern er von einem sauberen System aus betrieben wird.

Leider tauchen momentan immer mehr Schädlinge auf die sich in den Master Boot Record, kurz MBR einschreiben. Dieser wird bei einer herkömmlichen Neuinstallation nicht komplett überschrieben und stellt somit ein erhebliches Sicherheitsrisiko dar. Vor der Neuinstallation sollte daher sichergegangen werden, dass der MBR in Ordnung ist.

Master Boot Record überprüfen:

Lade dir die mbr.exe von GMER auf den Desktop und führe die Datei aus.

Sollte ein MBR Rootkit gefunden worde sein, das wird im log durch den Ausdruck

MBR rootkit code detected !

indiziert, musst du eine Bereinigung vornehmen.

Downloade dir dafür die mbr.bat.txt von BataAlexander und speichere sie neben der mbr.exe auf dem Desktop.
Ändere die Endung der mbr.txt.bat in mbr.bat Eine vernünftige Ordneransicht ist dafür nötig.
Dann führe die mbr.bat. durch einen Doppelklick aus.
Dabei muss sich die mbr.exe von GMER ebenfalls auf dem Desktop befinden!

Der MBR wird bereinigt und es erscheint ein log. Dieses log solltest du hier posten!

Nachdem das O.k. durch deinen Helfer gegeben wurde kannst du mit der sicheren Neuinstallation beginnen.

Lies dir bitte bevor du dich an die Arbeit machst folgende Anleitung ganz genau durch:

Neuaufsetzen des Systems mit abschließender Absicherung.

Wenn du diese Anleitung zum Neuaufsetzen nicht ganz genau befolgst ist das Neuaufsetzen sinnlos!

Alle Festplatten müssen komplett formatiert werden!

Daten solltest du am besten keine sichern.
Wenn du sehr wichtige, unersetzliche Dateien sichern möchtest so musst du dies nach strengen Kriterien tun:

a) Die Datei darf nicht ausführbar sein. Das heisst sie darf keine der hier aufgeführte Dateiendung haben. Beachte bitte, dass einige Schädlinge ihre Dateiendung tarnen. Abhilfe schafft hier eine vernünftige Ordneransicht.

b) Jede Datei sollte, bevor sie wieder auf den frischen Rechner gelangt mit MWAV/eScan durchsucht werden.

c) Auch wenn du die Punkte a) und b) ganz genau einhältst sind die Dateien nicht vertrauenswürdig!!
Schädlinge können auch nicht-ausführbare Dateien wie .mp3 .doc usw. infizieren!! Und MWAV sowie andere AV-Scanner findet nur einen Bruchteil aller infizierten Dateien!

Nachdem du neuaufgesetzt hast musst du unbedingt alle Passwörter und Zugangsaccounts ändern!!!


Und hier noch ein paar Sachen damit der Rechner danach auch sauber bleibt..

• Installiere keine Anti-Spyware/Anti-Malware oder sonstige "Sicherheits"-Programme sondern nur ein normales AntiViren Programm wie zum Beispiel: Avira AntiVir free, Kaspersky oder avast free.
  Mit einem Anti-Malware-Scanner ohne Wächter wie SUPERAntiSpyware oder Anti-Malware kann der PC bei Verdacht überprüft werden.
  .
• Halte immer alle Anwendungen aktuell (Secunia PSI kann hier wertvolle Hilfe leisten).
  .
• Update die Viren-Signaturen deines Anti-Viren Programmes reglemäßig.
  .
• Beachte bitte, dass jegliche Anti-Viren Scanner (auch in Kombination) nur einen Bruchteil aller Schädlinge finden!
  .
• Update auch regelmäßig die Hardwaretreiber (Grafikkarte, Soundkarte).
  .
• Das Windows Update sollte automatisch erfolgen -> Der Frischmacher.
  .
• Das aktuelle ServicePack sollte installiert sein:
  • XP_ ServicePack3
  • Vista_ ServicePack1
  .
• Eine vernünftige Ordneransicht erschwert es Malware sich vor dir zu verstecken -> Einstellungen.
  .
• Bei Windows Vista können einige Dienste deaktiviert werden: TechNET
  .
• Windows-Firewall aktivieren: (Wenn beim installiertem AV-Prog eine Firewall dabei ist so kann diese verwendet werden!)
  • XP_ Firewall
  • Vista_ Firewall
    Vista_Firewall punktgenau konfigurieren
  .
• Internetoptionen sicher gestallten: Start->Systemsteuerung->Internetoptionen
  • Sicherheit: -> höchste Stufe
    Wähle danach: Stufe anpassen. Ändere die Einstellung: Anwendungen und uns. Dateien starten -> "Bestätigen"
    und Installation von Desktopobj. -> "Bestätigen".
  • Datenschutz: -> alle Cookies blockieren
  Nutze nicht den MS-InternetExplorer sondern einen alternativen Browser wie FireFox, Opera o.ä..
  .
• Räume den Rechner regelmäßig mit dem cCleaner auf; Punkte 1&2.
  .
• Als letztes der wichtigste Punkt: Downloade dir keine illegalen oder nicht vertrauenswürdigen Daten aus dem Internet! Besonders Filesharing Tauschbörsen wie eMule, Kazaa, Bittorrent und andere Peer-to-Peer (P2P) Netzwerke sind extrem gefährlich! Sehr häufig sind die Dateien mit Schädlingen infiziert die von keinem Virenscanner entdeckt werden!!
  .
  Allgemeine Informationen zu dieser Problematik

Häufig gestellte Fragen: XP | Vista



Zusätzlich kannst du natürlich immer gerne hier posten wenn du absolut nicht weiterkommst..

Ok, das heißt ich komme nicht um ein Neuinstalation ! Misst !
Aber die Daten auf meinen Pc brauche ich unbedingt, Sie sind sehr wichtig für meine Arbeit.
Und ich habe keine Windows DVD/CD, dass heißt ich muss Sie mir erst noch besorgen.
Ich danke dir für deine Hilfe. Ich schaff das irgendwie.
Ich poste dann mein MBR Log hier.
Bye, claxton