Hallo,
nachdem ich eine scheinbar bösartige datei geöffnet habe (ich idiot!!!), ist mein system befallen.
AntiVir warnte noch und ich habe auch das Löschen der infizierten datei gewählt, aber scheinbar war es schon zu spät.

Symptome:
Mein Standard-Browser (Firefox) startet von ALLEIN und zeigt die seite bt2net.com oder bt2shop.com. Zwischendurch auch eine "winantivir pro 2004"-seite u.ä.
Dann stürzt er ab.
Das parallel installierte Mozilla startet erst gar nicht.

Der IE funzt, nur beim start meldet antivir mehrere trojaner, die scheinbar nicht zu löschen sind.

Hier der hijack-this-log:

Logfile of HijackThis v1.99.1
Scan saved at 10:04:48, on 12.09.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Tools\sicherheit\AVPersonal\AVGUARD.EXE
C:\Programme\Tools\sicherheit\AVPersonal\AVWUPSRV.EXE
C:\Programme\Tools\cd-dvd\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\HHVcdV6Sys\VC6SecS.exe
C:\Programme\Tools\netzwerk\Virtual CD NMS\Bin\vc6nmssrv.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\system32\install32m.exe
C:\Programme\Tools\mobil\sony-ericsson\Mobile\audevicemgr.exe
C:\WINDOWS\sys2516.exe
c:\PROGRA~1\INTUWA~1\Shared\MROUTE~1\MROUTE~2.EXE
C:\PROGRA~1\Tools\mobil\SONY-E~1\Mobile\CONNEC~1\CONNMN~1.EXE
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Dokumente und Einstellungen\jcc\cool.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\sys2629.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\sys2828.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\jcc\LOKALE~1\Temp\Rar$EX01.023\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = C:\WINDOWS\system32\msblank.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
F2 - REG:system.ini: Shell=Explorer.exe install32m.exe
F3 - REG:win.ini: run=C:\WINDOWS\system32\svc.exe
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [Userinit] C:\Programme\Gemeinsame Dateien\system\lsass.exe
O4 - HKLM\..\Run: [KernelCheck] C:\WINDOWS\system32\sys2516.exe
O4 - HKLM\..\Run: [ControlPanel] C:\WINDOWS\system32\popcorn320.exe rundll.dll,LoadMouseProfile
O4 - HKLM\..\Run: [sys2349] C:\WINDOWS\system32\sys2349.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [KernelCheck] C:\WINDOWS\system32\sys2516.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Global Startup: Telefonverbindungsmonitor.lnk = ?
O4 - Global Startup: CAPIControl.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\BÜRO\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\BÜRO\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: eBay - Homepage - {EF79EAC5-3452-4E02-B8BD-BA4C89F1AC7A} - C:\Programme\Tools\Grafik\IrfanView\Ebay\Ebay.htm
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {205FF73B-CA67-11D5-99DD-444553540000} - http://www.spywarestormer.com/files2/Install.cab
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\Tools\sicherheit\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\Tools\sicherheit\AVPersonal\AVWUPSRV.EXE
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Tools\cd-dvd\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: Virtual CD v6 Management Service (VC6SecS) - H+H Software GmbH - C:\Programme\HHVcdV6Sys\VC6SecS.exe
O23 - Service: Virtual CD NMS - H+H Software GmbH - C:\Programme\Tools\netzwerk\Virtual CD NMS\Bin\vc6nmssrv.exe
         

Mir kommen die SYS*-dateien suspekt vor, aber ich wollte erst mal die geballte kompetenz dieses foerums befragen.
spybot und antivir habe ich schon durchlaufen lassen, die festplatten sind bereinigt und neugestartet habe ich auch schon.

Vielen dank für schnelle Hilfe...

Grüße,
champpain

@champpain
1. Firefox zu Hijacken ist theo-praktisch nicht möglich, denn der Browser verfügt über keine AktiveX-Elemente.
2. Anzahl und Art der Malware, die man, aus deinem Log ausgehend, an deinem PC vermuten kann, macht alle Bereinigungsversuche sinnlos. Bitte PC nach Anleitung in meiner Signatur neu aufsetzen.

Hallo, champpain!
Dieser Eintrag

F3 - REG:win.ini: run=C:\WINDOWS\system32\svc.exe

http://securityresponse.symantec.com...r.madfind.html
und http://castlecops.com/s3570-svc_exe.html
Wird von Symantec sogar als Backdoor identifiziert!

Lass die Datei mal bei Jotti prüfen http://virusscan.jotti.org/de/
und poste das Ergebnis
supormundi
[Edit] Rene-gad war schneller

Hallo.
Ich hatte (wahrscheinlich aus Frust) ganz vergessen mich noch zu bedanken.

Danke!

Seit dem Vorfall nutze ich vermehrt das tool brain.exe und bisher hat es gut funktioniert.