Hallo!

Habe mir einen Trojaner eingefangen, wodurch mein PC zeitweise immer ziemlich hängen geblieben ist. Ansonsten läuft allerdings noch alles.
Jedenfalls hat das entfernen mit avira oder malewarebytes nicht funktioniert.
Findet jedesmal wieder etwas mit der Bezeichnung "Rootkit.TDSS" als registry key bzw. infizierte dateien mit diesem anfang C:\WINDOWS\system32\rotscx...

Jedenfalls habe ich es nun noch mit Combofix (nach diesem Tutorial) versucht. Der Log ist unten zu sehen.
Wurde da nun alles entfernt? Oder ist immer noch etwas auf meinem PC?



ComboFix 09-09-12.A0 - *** 13.09.2009 10:20.1.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2047.1486 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\***\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.
ADS - WINDOWS: deleted 24 bytes in 1 streams.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

----- BITS: Eventuell infizierte Webseiten -----

hxxp://win2003-server
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_rotscxptdpxdvi
-------\Service_rotscxptdpxdvi


((((((((((((((((((((((( Dateien erstellt von 2009-08-13 bis 2009-09-13 ))))))))))))))))))))))))))))))
.

2009-09-12 17:02 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-25
2009-09-08 17:03 . 2009-09-08 17:03 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\Malwarebytes
2009-09-08 17:03 . 2009-08-03 11:36 38160 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2009-09-08 17:03 . 2009-09-08 17:03 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2009-09-08 17:03 . 2009-09-08 17:03 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-09-08 17:03 . 2009-08-03 11:36 19096 ----a-w- c:\windows\system32\drivers\mbam.sys
2009-09-06 21:45 . 2009-09-07 09:13 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-09-06 18:41 . 2009-09-06 18:44 -------- d-----w- c:\temp\plugtmp-24
2009-09-06 17:36 . 2009-09-06 18:35 -------- d-----w- c:\temp\plugtmp-23
2009-09-06 17:05 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-22
2009-09-06 15:24 . 2009-09-13 08:23 -------- d-----w- c:\temp\WERd9ed.dir00
2009-09-04 17:57 . 2009-09-10 19:51 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\vlc
2009-09-04 17:50 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-21
2009-08-31 17:51 . 2009-08-31 18:35 -------- d-----w- c:\temp\plugtmp-20
2009-08-29 18:31 . 2009-09-13 08:23 -------- d-----w- c:\temp\outlook logging
2009-08-29 13:13 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-19
2009-08-28 18:45 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-18
2009-08-28 16:54 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-17
2009-08-28 09:14 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-16
2009-08-28 08:58 . 2009-08-28 09:04 -------- d-----w- c:\temp\plugtmp-15
2009-08-27 06:30 . 2009-09-13 08:23 -------- d-----w- c:\temp\CR_6.tmp
2009-08-26 12:13 . 2009-09-08 09:05 -------- d-----w- c:\temp\msohtmlclip1
2009-08-26 12:13 . 2009-08-26 12:13 -------- d-----w- c:\temp\msohtmlclip
2009-08-25 14:37 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-14
2009-08-24 21:37 . 2009-09-13 08:23 -------- d-s---w- c:\temp\Cookies
2009-08-24 21:37 . 2009-08-24 21:37 -------- d-s---w- c:\temp\Verlauf
2009-08-24 21:37 . 2009-08-24 21:37 -------- d-s---w- c:\temp\Temporary Internet Files
2009-08-24 20:38 . 2006-10-26 17:56 32592 ----a-w- c:\windows\system32\msonpmon.dll
2009-08-24 20:37 . 2009-08-24 20:37 -------- d-----w- c:\programme\MSBuild
2009-08-24 20:32 . 2009-08-24 20:32 -------- d-----w- c:\programme\Microsoft Visual Studio 8
2009-08-24 20:32 . 2009-08-24 20:32 -------- d-----w- c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\Microsoft Help
2009-08-24 20:31 . 2009-09-10 19:02 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2009-08-19 09:34 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-13
2009-08-16 19:23 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-12
2009-08-16 19:17 . 2009-09-13 08:23 -------- d-----w- c:\temp\plugtmp-11

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-12 17:02 . 2009-05-12 20:07 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\Move Networks
2009-09-12 07:45 . 2009-04-04 12:09 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-09-07 22:31 . 2009-07-23 09:20 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\Canon
2009-09-05 15:13 . 2009-01-04 14:57 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\uTorrent
2009-08-29 18:31 . 2004-11-11 12:00 73698 ----a-w- c:\windows\system32\perfc007.dat
2009-08-29 18:31 . 2004-11-11 12:00 415106 ----a-w- c:\windows\system32\perfh007.dat
2009-08-24 21:37 . 2008-12-30 14:37 70160 ----a-w- c:\dokumente und einstellungen\***\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-08-24 20:37 . 2008-12-30 14:41 -------- d-----w- c:\programme\Microsoft Works
2009-08-06 09:22 . 2009-08-05 09:21 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-08-05 09:21 . 2009-08-05 09:21 -------- d-----w- c:\programme\Avira
2009-08-05 09:21 . 2009-08-05 09:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2009-08-04 19:15 . 2009-05-01 20:59 -------- d-----w- c:\dokumente und einstellungen\***\Anwendungsdaten\dvdcss
2009-07-23 09:02 . 2009-01-17 18:00 -------- d-----w- c:\programme\FRITZ!DSL
2009-07-23 09:02 . 2009-01-17 17:29 -------- d-----w- c:\programme\avmwlanstick
2009-07-23 09:02 . 2009-01-04 16:52 -------- d-----w- c:\programme\Real Alternative
2009-07-23 09:02 . 2009-01-04 16:52 -------- d-----w- c:\programme\QT Lite
2009-07-23 09:02 . 2008-12-31 09:38 -------- d-----w- c:\programme\NFO-Viewer
2009-07-23 09:01 . 2009-07-23 09:01 73216 ----a-w- c:\windows\cadkasdeinst01.exe
2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\programme\mozilla firefox\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\programme\mozilla firefox\plugins\ssldivx.dll
.

------- Sigcheck -------

[-] 2004-11-11 12:00 . 5FDCCC838CD95F61097D8A637F842AA8 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\mspmsnsv.dll
[-] 2004-11-11 12:00 . 5FDCCC838CD95F61097D8A637F842AA8 . 25600 . . [10.0.3790.3646] . . c:\windows\system32\dllcache\mspmsnsv.dll
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2008-01-22 152872]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2009-04-04 39408]
"SpybotSD TeaTimer"="d:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-08-29 61440]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2008-05-28 570664]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"zBrowser Launcher"="c:\programme\Logitech\iTouch\iTouch.exe" [2004-03-18 892928]
"AVMWlanClient"="c:\programme\avmwlanstick\wlangui.exe" [2009-05-07 1904640]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-04-15 148888]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"GrooveMonitor"="d:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2008-07-23 16804864]
"SoundMan"="SOUNDMAN.EXE" - c:\windows\SoundMan.exe [2008-06-18 77824]
"AlcWzrd"="ALCWZRD.EXE" - c:\windows\alcwzrd.exe [2008-06-19 2808832]
"Logitech Utility"="Logi_MwX.Exe" - c:\windows\LOGI_MWX.EXE [2003-12-17 19968]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
Adobe Gamma Loader.exe.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2009-5-9 110592]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"d:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\UltraVNC\\winvnc.exe"=
"c:\\Programme\\FRITZ!DSL\\IGDCTRL.EXE"=
"c:\\Programme\\FRITZ!DSL\\FBOXUPD.EXE"=
"c:\\Programme\\Veoh Networks\\VeohWebPlayer\\veohwebplayer.exe"=
"e:\\programme\\torrent v1.8.1\\utorrent.exe"=
"d:\\Programme\\torrent v1.8.1\\utorrent.exe"=
"d:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Dokumente und Einstellungen\\***\\Desktop\\utorrent.exe"=
"c:\\Programme\\Java\\jre6\\bin\\java.exe"=
"d:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"d:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"d:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

R0 iteraid;ITERAID_Service_Install;c:\windows\system32\drivers\iteraid.sys [29.12.2008 19:17 24827]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [05.08.2009 11:21 108289]
R3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\drivers\fwlanusb.sys [17.01.2009 20:02 265088]
R3 LCcfltr;Logitech USB Filter Driver;c:\windows\system32\drivers\LCcfltr.sys [15.01.2009 14:32 14095]
S2 gupdate1c9b51e6030ac7e;Google Update Service (gupdate1c9b51e6030ac7e);c:\programme\Google\Update\GoogleUpdate.exe [04.04.2009 14:10 133104]
S3 avmeject;AVM Eject;c:\windows\system32\drivers\avmeject.sys [17.01.2009 20:02 4352]
.
Inhalt des "geplante Tasks" Ordners

2009-09-13 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-04-04 12:09]
.
.
------- Zusätzlicher Suchlauf -------
.
uInternet Settings,ProxyOverride = fritz.box
IE: Copy to Semagic - d:\programme\Semagic\copy.htm
IE: Nach Microsoft &Excel exportieren - d:\progra~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
IE: Nach Microsoft E&xel exportieren - d:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
IE: Semagic - d:\programme\Semagic\link.htm
FF - ProfilePath - c:\dokumente und einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\v99cw2rq.default\
FF - plugin: c:\dokumente und einstellungen\***\Anwendungsdaten\Mozilla\Firefox\Profiles\v99cw2rq.default\extensions\moveplayer@movenetworks.com\platform\WINNT_x86-msvc\plugins\npmnqmp071303000004.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.183.7\npGoogleOneClick8.dll
FF - plugin: c:\programme\Veoh Networks\VeohWebPlayer\NPVeohTVPlugin.dll
FF - plugin: c:\programme\Veoh Networks\VeohWebPlayer\npWebPlayerVideoPluginATL.dll
FF - plugin: d:\programme\DivX\DivX Web Player\npdivx32.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2009-09-13 10:28
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h–€|ÿÿÿÿ¤•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1620)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'explorer.exe'(2400)
c:\programme\Logitech\MouseWare\System\LgWndHk.dll
c:\programme\Gemeinsame Dateien\Logitech\Scrolling\LgMsgHk.dll
c:\programme\Logitech\iTouch\iTchHk.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\windows\system32\ati2evxx.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\FRITZ!DSL\IGDCTRL.EXE
c:\programme\avmwlanstick\WLanNetService.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
c:\programme\Logitech\MouseWare\system\EM_EXEC.EXE
c:\programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
c:\programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-09-13 10:31 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2009-09-13 08:31



Danke schon mal für eure Hilfe!
diomira

Hallo und Herzlich Willkommen!

Wenn ein System kompromittiert wurde, ist das System nicht mehr vertrauenswürdig
Eine Neuinstallation garantiert die rückstandsfreie Entfernung der Infektion - Sicherheitskonzept v. SETI@home/Punkt 1.

Falls du doch für die Systemreinigung entscheidest:

- Die Anweisungen bitte gründlich lesen und immer streng einhalten, da ich die Reihenfolge nach bestimmten Kriterien vorbereitet habe:

1.
Spybot - "Tea Timer" bitte abstellen:
Modus-->Erweiterte Modus-->Ja-->Werkzeuge-->Resident--> das Häkchen entfernen aus der "Resident "TeaTimer" (Schutz aller Systemeinstellungen) > exit.

2.
Um einen tieferen Einblick in dein System, um eine mögliche Infektion mit einem Rootkit/Info v.wikipedia.org) aufzuspüren, werden wir ein Tool - Gmer - einsetzen :
Achtung!::
gleich beim Download/speichern, musst Du die Installdatei also gmer.exe umbenennen! Wähle eine beliebige Dateiname, die Endung soll *.com sein!

• - also lade Dir Gmer herunter
  - entpacke es auf deinen Desktop
  - [b]schließe alle Programme, ausserdem Antiviren und andere Schutzprogramme usw müssen deaktiviert sein, keine Verbindung zum Internet, WLAN auch trennen)
  - Starte gmer.exe<-hier "umbenannt.com".
  - Achte darauf, dass "Show all" soll nicht angehakt sein! - dann klicke auf "Scan", um das Tool zu starten
  - bitte nichts am Pc machen während der Scan läuft!
  - wenn der Scan fertig ist klicke auf "Copy" (das Log wird automatisch in die Zwischenablage kopiert) und mit STRG + V musst Du gleich da einfügen
  - mit "Ok" wird GMER beendet.
  - das Log aus der Zwischenablage hier in Deinem Thread vollständig hineinkopieren

** keine Verbindung zu einem Netzwerk und Internet - WLAN nicht vergessen
Wenn der Scan beendet ist, bitte alle Programme und Tools wieder aktivieren!

3.
lade Dir HijackThis 2.0.2 von *von hier* herunter
HijackThis starten→ "Do a system scan and save a logfile" klicken→ das erhaltene Logfile "markieren" → "kopieren"→ hier in deinem Thread (rechte Maustaste) "einfügen"

4.
ich brauche mehr `Übersicht` bzw Daten über einen längeren Zeitraum - dazu bitte Versteckte - und Systemdateien sichtbar machen::
→ Klicke unter Start auf Arbeitsplatz.
→ Klicke im Menü Extras auf Ordneroptionen.
→ Dateien und Ordner/Erweiterungen bei bekannten Dateitypen ausblenden → Haken entfernen
→ Geschützte und Systemdateien ausblenden → Haken entfernen
→ Versteckte Dateien und Ordner/Alle Dateien und Ordner anzeigen → Haken setzen.
→ Bei "Geschützte Systemdateien ausblenden" darf kein Häkchen sein und "Alle Dateien und Ordner anzeigen" muss aktiviert sein.

5.
Für XP und Win2000 (ansonsten auslassen)
→ lade Dir das filelist.zip auf deinen Desktop herunter
→ entpacke die Zip-Datei auf deinen Desktop
→ starte nun mit einem Doppelklick auf die Datei "filelist.bat" - Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
→ kopiere aus die erzeugten Logfile alle 7 Verzeichnisse ("C\...") usw - aber nur die Einträge der letzten 6 Monate - hier in deinem Thread
** vor jedem Eintrag steht ein Datum, also Einträge, die älter als 6 Monate sind bitte herauslöschen!

6.
Ich würde gerne noch all deine installierten Programme sehen:
Lade dir das Tool CCleaner herunter
installieren ("Füge CCleaner Yahoo! Toolbar hinzu" abwählen)→ starten→ unter Options settings-> "german" einstellen
dann klick auf "Extra (um die installierten Programme auch anzuzeigen)→ weiter auf "Als Textdatei speichern..."
wird eine Textdatei (*.txt) erstellt, kopiere dazu den Inhalt und füge ihn da ein

Damit dein Thread übersichtlicher und schön lesbar bleibt, am besten nutze den Code-Tags für deinen Post:
→ vor dein Log schreibst Du:[code]
hier kommt dein Logfile rein
→ dahinter:[/code]

** Möglichst nicht ins internet gehen, kein Online-Banking, File-sharing, Chatprogramme usw

gruß
Coverflow