Hi,
Was passiert denn wenn du bei virustotal in das Fenster folgenden Text eingibst (einfach abkopieren und einfügen):

C:\Dokumente und Einstellungen\Toby\Lokale Einstellungen\Temp\Explorer32.exe

Vielleicht funktioniert das ja so.
Sry für die Umstände, aber wir müssen erstmal wissen was aufm Rechner ist bevor wir es entfernen können.

lg myrtille

Hi, vielen Dank für die Mühe...

ich hab mir gestern auch Mühe gegeben und wollte die explorer32.exe finden, habe aber auch nach Veränderung der Einstellungen nichts finden können. Die andere Datei (aY...dll) war auch nicht zu finden. Habe dann aber die dpevflbg.dll gelöscht und wollte die vadokmxt.dll und die wdpoefan.dll auch löschen, das ging aber leider nicht. Bin auch sicherheitshalber mit dem Rechner garnicht mehr online (hab immer alles über den Memorystick erledigt). Aber wenn es nicht schadet, würde ich es dann machen, damit Virustotal so zugreifen kann.

Habe auch ganz verpaßt, die Windowsupdates zu machen und ne Firewall hab ich von Windows, die, die dabei war.

Hier ist die Suche von der Smitfraudfix.exe:

Viele Grüße

_______________________________________________________________

SmitFraudFix v2.317

Scan done at 1:09:50,70, 07.05.2008
Run from C:\Dokumente und Einstellungen\Toby\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\SCardSvr.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\DWRCS.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\oodag.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\Programme\Spyware Doctor\pctsSvc.exe
C:\WINDOWS\system32\DWRCST.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\D-Tools\daemon.exe
C:\Programme\Java\jre1.5.0_04\bin\jusched.exe
C:\Programme\Microsoft IntelliPoint\point32.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\Programme\TuneUp Utilities 2006\MemOptimizer.exe
C:\Programme\Adobe\Acrobat 6.0 pro\Distillr\acrotray.exe
C:\Programme\Spyware Doctor\pctsTray.exe
C:\WINDOWS\System32\tcpsvcs.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Virtual CD v4\System\vcdsecs.exe
C:\WINDOWS\system32\CNAB4RPK.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\cmd.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Toby


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Toby\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\Toby\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop


»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

[!] Suspicious: wdpoefan.dll
SSODL: wdpoefan - {375CBF9A-662A-43D7-9F6E-783D8DB44FD9}


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix
!!!Attention, following keys are not inevitably infected!!!

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"Userinit"="C:\\WINDOWS\\system32\\userinit.exe,"
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: VIA VT6105 Rhine III Fast Ethernet Adapter
DNS Server Search Order: 141.70.104.1
DNS Server Search Order: 141.37.218.10

HKLM\SYSTEM\CCS\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10
HKLM\SYSTEM\CS1\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10
HKLM\SYSTEM\CS3\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End

Hi,
Smitfraudfix wird fündig, die Bereinigung wird allerdings wohl nicht ganz vollständig sein, da einige Dateien bereits gelöscht wurden.

• Führe bitte dennoch erstmal den Schritt "Reinigung" bei der Smitfraudifxanleitung durch.
• Lade dir danach SDFix herunter und speichere es auf deinem Desktop.
• Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
• Starte deinen Rechner neu auf, in den abgesicherten Modus
• Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
• Gib ein Y ein, um den Reinigungsprozess zu beginnen.
• Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
• Nun wirst du darum gebeten, eine Taste zu drücken, damit dein Rechner neu aufstarten kann.
• Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
• Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
• Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
• Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
  
• Abschließend bitte einen Scan mit Malwarebytes machen: Anleitung Lass Malwarebytes bitte alle gefundenen Probleme beheben und poste abschließend die Berichte von Smitfraudfix, SDFix und Malwarebytes sowie ein neues Hijackthislog hier.

Die Tools bitte in der angegebenen Reihenfolge ausführen.
Eine bebilderte Anleitung für den abgesicherten Modus gibt es hier


lg myrtille

vielen Dank für die Anleitung, ich werde es heute Abend gerne so machen... :aplaus:

soll ich die gelöschte Datei wieder in den Windows-Ordner einfügen? Ich hab alles vor dem Löschen auf die externe Festplatte gespeichert...

Viele Grüße

Nein, lass das lieber.

Es dreht sich bei der Sache hauptsächlich um Registryeinträge, diese kann man auch problemlos mit HijackThis entfernen.
Ich würde dich aber in Zukunft bitten nur die Sachen zu löschen, wo du darum gebeten wurdest.

lg myrtille

HILFE!!!

nachdem ich die Smitfraudfix.exe und SDFix.exe gestartet und damit gereinigt habe, fährt der Rechner nicht mehr richtig hoch. Schon während dem Reinigungsprozess von SDFix.exe (also nach dem Start der RunThis.bat) hat der Computer mehrere Anläufe gebraucht, um wieder zu starten, zwischendurch ist er während dem Startprozess immer wieder abgestürzt. Dann hat er es doch geschafft hochgefahren zu bleiben, Windows ist dann aber nach circa 10 Minuten einfach so abgestürzt. Seit dem geht das System nur noch im abgesicherten Modus zu starten, wenn ich im normalen Modus starten will, dann stürzt Windows immer nach dem blauen "Willkommen" Bildschirm ab, wenn die Sanduhr läuft und startet dann wieder neu. Wenn es Windows nach mehrmaligen Versuchen dann doch schafft, hochzukommen, läuft es nur sehr instabil.

Ich habe dann im abgesicherten Modus eine Systemwiederherstellung vom 5. Mai gemacht, doch das hat auch nichts geholfen, das wiederhergestellte Windows lief nur direkt nach der Herstellung stabil, aber nach ausmachen und wieder neu hochstarten kam das Problem dann doch immer wieder.

Weiß jetzt garnicht, was ich machen soll, hier sind aber erstmal die Reportdateien...

Hoffe ihr könnt mir jetzt noch weiterhelfen...

Vielen Dank

SmitFraudFix v2.317

Scan done at 23:40:14,29, Fr 09.05.2008
Run from C:\Dokumente und Einstellungen\Administrator\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» VACFix

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri
C:\WINDOWS\wdpoefan.dll deleted.


»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» 404Fix

404Fix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10
HKLM\SYSTEM\CS1\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10
HKLM\SYSTEM\CS3\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer=141.70.104.1,141.37.218.10


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

SDFix: Version 1.180
Run by Administrator on Sa 10.05.2008 at 00:16

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix

Checking Services :


Restoring Windows Registry Values
Restoring Windows Default Hosts File
Restoring Default HomePage Value
Restoring Default Desktop Components Value

Rebooting


Checking Files :

Trojan Files Found:

C:\Dokumente und Einstellungen\Toby\Desktop\Error Cleaner.url - Deleted
C:\Dokumente und Einstellungen\Toby\Favoriten\Error Cleaner.url - Deleted
C:\Dokumente und Einstellungen\Toby\Desktop\Privacy Protector.url - Deleted
C:\Dokumente und Einstellungen\Toby\Favoriten\Privacy Protector.url - Deleted
C:\Dokumente und Einstellungen\Toby\Desktop\Spyware&Malware Protection.url - Deleted
C:\Dokumente und Einstellungen\Toby\Favoriten\Spyware&Malware Protection.url - Deleted
C:\WINDOWS\vadokmxt.dll - Deleted





Removing Temp Files

ADS Check :



Final Check :

catchme 0.3.1359.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-10 00:32:14
Windows 5.1.2600 Service Pack 2 NTFS

detected NTDLL code modification:
ZwClose

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf40]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf41]
"khjeh"=hex:20,02,00,00,b0,51,15,3c,8e,00,6d,83,19,33,18,df,48,d1,7c,43,4b,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf42]
"khjeh"=hex:20,02,00,00,51,51,15,3c,31,72,a3,bc,00,26,ea,77,a3,15,76,c9,9a,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\d347prt\Cfg\0Jf43]
"khjeh"=hex:20,02,00,00,41,51,15,3c,c1,cb,2c,63,90,ff,ff,ff,f3,02,1e,49,ea,..

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\System]
"OODEFRAG06.00.00.01WORKSTATION"="8BCD46326251B433CE513EE5F7E52A8933BF2AFA4694A42FA6D4232723EBAEC6628AE8C0504CBADDB0B07BE68F2CBEF5FEBC9E127BECC74CFEBC 9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74C9DB7CE019D40AA5CA6171C11EC38DE3DA2D97226D213B555A9C6AECB7A5D1407F9BE5E37D7 2C9D9826FB565B4836A4E13FA2919EBBDE6C6B9C3BBF6E65252E5485959F2188E16EEAF7DC1B9C8E8E213E891376C72CDAE079CECA8DD00B17358BD43AA243166FEB2AAC1ABE68C5EE7C9A 07589B80045DFC50DD1729439F642FD4ADFC9538CF0A8F8B42D8ED56C274FE398D8B4FFD438A7DDF99CF20386C5666EDF84565CF663DD2BAD9559A33C01078D11A5E22A8CE561E0D763A47 D59B84AC08458A498E6FEB3AD43ADBF87FDD05B70EC812EA206B8BA3308C2EB4F53FDF54C6405B37A963C748EB4C50836F9C6F140E5F7E4434C6475494181843A74A2B344542D76B102158 85861F27756B63B867E5C1100D6A6EFBFAF9F678912E177CA90F41B467DD6879801D64EC52117CA38E1A7DC466FD576E6516AE6285FDE0BD93255CBD6FE8DFDBC61FF03E5D3016446C273F B0355AD8B9E50F677FC2C447AE567D524E89B79103706EBF4EA04DC38365FCDBF9A6222C4AD482EB0CB75E50E2D7808AD70306E8C513E0EEE2E9207A9D637C49DC26AB73E20CFDADD7905E E3BF850B0CDFEDC33851CDBFBED6C8969425D3FDA228E67E3118E9083E47C20BCD81CDEE05001C93B52440CA97189351D27CA84C27BF5F594C55519758D184DFBE36257045E3A54D79130E B28128E22354DD5827B81AC92D1057A8995685508A4B3F824842CF677D0245E09D2B1E941622D45BC0DEC3A3A0AC31DAECB601E7ECEB5562A3949681E2303666A5E4244866244430BFC45A AF0C35C656E5A0794A1EFC82C42579225870C8B64D5927F8E404ABDED73FB892737EA1D18E4D5937C2693EA5ABDF517094CE7669CB3A8A6E131469AF584F2E33B9B6CB6279DD4E9559CCD5 F1205DA112A058C547993FCC6A3F6EF311BB72BB17112D74D891488E855FF94AECAC9B14AC2E9DA81BF351CF681B21C5348E1F1DAD4A8A3F6A56B04E0CE6598872628A7378B0E074859B4E 1A759B6B3D9F62C1AF7B7CAAB121492F6640C683E1315390B2C3601BE1F85488D5B37AC11D2B4E38F71601A1B9DBF1CF504E1BC70AAB9804E4703A778E3E66474FD934CC0B82EB551B29F5 B324CBD912ADF743A918394D34C472FCD57CF0204379330AE991285761E5F3BFD9A67591EA4290E0DD0B8311E22D542D481181D12AEA9C81289FEFB31645CA8242D734A9C176005CCFC10B 86C12131949794B24F1F5C09634E878126A2CD93A7CEB1B63AF1D4C2DF9E00A0D6FC44BDBC3EB69DF1382C7E3DD100DC58AB364A5F15167CDD4D8EE9DB1CEF6C2D30"
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

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLacsd.exe"="C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLacsd.exe:*:Enabled:AOL"
"C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLDial.exe"="C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLDial.exe:*:Enabled:AOL"
"C:\\Programme\\AOL 9.0\\waol.exe"="C:\\Programme\\AOL 9.0\\waol.exe:*:Enabled:AOL 9.0"
"C:\\Programme\\Yahoo!\\Messenger\\YPager.exe"="C:\\Programme\\Yahoo!\\Messenger\\YPager.exe:*:Enabled:Yahoo! Messenger"
"C:\\Programme\\Yahoo!\\Messenger\\YServer.exe"="C:\\Programme\\Yahoo!\\Messenger\\YServer.exe:*:Enabled:Yahoo! FT Server"
"C:\\Programme\\MSN Messenger\\msnmsgr.exe"="C:\\Programme\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.0"
"C:\\Programme\\VoipBuster.com\\VoipBuster\\VoipBuster.exe"="C:\\Programme\\VoipBuster.com\\VoipBuster\\VoipBuster.exe:*:Enabled:VoipBuster"
"C:\\WINDOWS\\system32\\CNAB4RPK.EXE"="C:\\WINDOWS\\system32\\CNAB4RPK.EXE:*:Enabled:Canon LBP2900 RPC Server Process"
"C:\\Programme\\Bonjour\\mDNSResponder.exe"="C:\\Programme\\Bonjour\\mDNSResponder.exe:*:Enabled:Bonjour"
"C:\\Programme\\iTunes\\iTunes.exe"="C:\\Programme\\iTunes\\iTunes.exe:*:Enabled:iTunes"
"C:\\Programme\\uTorrent\\uTorrent.exe"="C:\\Programme\\uTorrent\\uTorrent.exe:*:Enabled:æTorrent"
"C:\\Programme\\Skype\\Phone\\Skype.exe"="C:\\Programme\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLacsd.exe"="C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLacsd.exe:*:Enabled:AOL"
"C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLDial.exe"="C:\\Programme\\Gemeinsame Dateien\\aol\\ACS\\AOLDial.exe:*:Enabled:AOL"
"C:\\Programme\\AOL 9.0\\waol.exe"="C:\\Programme\\AOL 9.0\\waol.exe:*:Enabled:AOL 9.0"
"C:\\Programme\\MSN Messenger\\msnmsgr.exe"="C:\\Programme\\MSN Messenger\\msnmsgr.exe:*:Enabled:MSN Messenger 7.0"

Remaining Files :


File Backups: - C:\SDFix\backups\backups.zip

Files with Hidden Attributes :

Mon 10 May 2004 54,384 A..H. --- "C:\Programme\AOL 9.0\aolphx.exe"
Mon 10 May 2004 156,784 A..H. --- "C:\Programme\AOL 9.0\aoltray.exe"
Mon 10 May 2004 31,344 A..H. --- "C:\Programme\AOL 9.0\RBM.exe"
Wed 13 Oct 2004 1,694,208 ..SH. --- "C:\Programme\Messenger\msmsgs.exe"
Mon 28 Jan 2008 1,404,240 A.SHR --- "C:\Programme\Spybot - Search & Destroy\SDUpdate.exe"
Mon 28 Jan 2008 5,146,448 A.SHR --- "C:\Programme\Spybot - Search & Destroy\SpybotSD.exe"
Mon 28 Jan 2008 2,097,488 A.SHR --- "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe"
Thu 2 Nov 2006 32,768 A..H. --- "C:\Programme\Vokabeltrainer 3\ImportVT2.exe"
Thu 28 Sep 2006 77,824 A..H. --- "C:\Programme\Vokabeltrainer 3\Interop.DAO.dll"
Thu 29 Jul 2004 202,240 A..H. --- "C:\Programme\Vokabeltrainer 3\lame.exe"
Fri 18 Mar 2005 53,248 A..H. --- "C:\Programme\Vokabeltrainer 3\Microsoft.DirectX.AudioVideoPlayback.dll"
Fri 18 Mar 2005 223,232 A..H. --- "C:\Programme\Vokabeltrainer 3\Microsoft.DirectX.dll"
Fri 18 Mar 2005 178,176 A..H. --- "C:\Programme\Vokabeltrainer 3\Microsoft.DirectX.DirectSound.dll"
Fri 18 Mar 2005 473,600 A..H. --- "C:\Programme\Vokabeltrainer 3\Microsoft.DirectX.Direct3D.dll"
Sat 27 Mar 2004 4,348 ..SH. --- "C:\Dokumente und Einstellungen\All Users\DRM\DRMv1.bak"
Fri 2 Apr 2004 401 ..SH. --- "C:\Dokumente und Einstellungen\All Users\DRM\DRMv18.bak"
Mon 24 Mar 2008 74,752 ...H. --- "C:\Dokumente und Einstellungen\Toby\Eigene Dateien\~WRL0005.tmp"
Sat 10 May 2008 168 A..H. --- "C:\Programme\Common Files\X10\Common\x10prod.sys"

Finished!

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 03:49:54, on 10.5.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Safe mode

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aldi.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
R3 - Default URLSearchHook is missing
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0 pro\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0 pro\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0 pro\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 8\SnagItIEAddin.dll
O3 - Toolbar: dpevflbg - {859D10F7-0E0F-43A8-8DF7-EC0466A40301} - C:\WINDOWS\dpevflbg.dll
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE
O4 - HKLM\..\Policies\Explorer\Run: [q5JCgPwvfE] C:\DOKUME~1\Toby\LOKALE~1\Temp\explorer32.exe
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\Run: [InfoCockpit] C:\Programme\T-Online\T-Online_Software_6\Info-Cockpit\IC_START.EXE /nosplash (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0 pro\Distillr\acrotray.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\npjpi150_04.dll
O9 - Extra button: Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {4528BBE0-4E08-11D5-AD55-00010333D0AD} - C:\PROGRA~1\Yahoo!\Common\yhexbmesde.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\PROGRA~1\ICQ\ICQ.exe
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Programme\Bonjour\ExplorerPlugin.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU)
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.adobe.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{27001091-6C7E-4F60-833A-ACFF11F4211B}: NameServer = 141.70.104.1,141.37.218.10
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: iexplore - eYrg4.dll (file missing)
O21 - SSODL: wdpoefan - {375CBF9A-662A-43D7-9F6E-783D8DB44FD9} - C:\WINDOWS\wdpoefan.dll
O21 - SSODL: vadokmxt - {DFB5476F-AE45-4F45-BB39-7F0217946B80} - C:\WINDOWS\vadokmxt.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\PROGRA~1\GEMEIN~1\aol\ACS\AOLacsd.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: CA-Lizenz-Client (CA_LIC_CLNT) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmt.exe
O23 - Service: CA-Lizenzserver (CA_LIC_SRVR) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\lic98rmtd.exe
O23 - Service: DameWare Mini Remote Control (DWMRCS) - DameWare Development LLC - C:\WINDOWS\system32\DWRCS.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE
O23 - Service: Ereignisprotokoll-Überwachung (LogWatch) - Computer Associates - C:\Programme\CA\SharedComponents\CA_LIC\LogWatNT.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe
O23 - Service: Virtual CD v4 Security service (VCDSecS) - H+H Software GmbH - C:\Programme\Virtual CD v4\System\vcdsecs.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 6951 bytes

Hi,
deaktiviere bitte mal den automatischen Neustart indem du unter
Start->Systemsteuerung->Erweitert->Start & Wiederherstellen auf Einstellungen->Haken bei "automatischen Neustart durchführen" rausnehmen.

Damit sollte beim nächsten Absturz ein blauer Bildschirm kommen, auf dem eine Fehlermeldung steht.
Diese bitte komplett abschreiben und hier posten.

lg myrtille

Hallo,

hier ist der Text vom blauen Bildschirm:

"
Es wurde ein Problem festgestellt. Windows wurde heruntergefahren, damit der Computer nicht beschädigt wird.

Wenn Sie diese Fehlermeldung zum ersten mal angezeigt bekommen, sollten Sie den Computer neu starten. Wenn diese Meldung weiterhin angezeigt wird, müssen Sie folgenden Schritten folgen:

Stellen Sie sicher, daß ausreichend Festplattenspeicherplatz verfügbar ist. Deaktivieren Sie den Treiber oder fragen Sie den Hersteller nach einem Update, falls ein Treiber in der Nachricht angegeben ist. Tauschen Sie die Videokarten aus.

Fragen Sie Ihren Hardwarehersteller nach BIOS-Updates. Deaktivieren Sie BIOS-Speicheroptionen wie Caching oder Shadowing. Starten Sie den Computer neu, drücken Sie die F8-Taste, um die erweiterten Startoptionen auszuwählen, und wählen Sie dann "Erweiterte Startoptionen", falls Sie den abgesicherten Modus zum Löschen oder Deaktivieren von Komponenten verwenden müssen.

Technische Informationen:

*** STOP: 0x0000008E (0xC0000005, 0x80550AE2, 0xB21AB820, 0x00000000)

"

Als der Spyware Doctor letzte Woche meinen Computer gescannt hat (immer wenn ich ihn drüberlaufen ließ, um die nervigen Popups zu löschen) hat er einen "Adware.Agent.BN" festgestellt, der hat die Desktop Icons "Privacy Protector", "Error Cleaner" und "Spyware + Malware Protection" auf meinen Desktop gestellt und war laut Spyware Doctor in der "Microsoft/VideoPlugin" vorhanden.

Kann ja vielleicht sein, daß sich der Trojaner da in einen Treiber festgebissen hat, den nun das Reinigungsprogramm gelöscht hat und somit der Trojaner einiges mitgerissen hat, oder? Muß ich wieder was neu installieren, eventuell Windows komplett neu drüberinstallieren? Oder einige Dateien von der Sicherungsfestplatte neu rüberkopieren? Ich kann auch die Festplatte, wo C: D:und E: drauf sind ausbauen und dann über einen anderen Rechner das System wieder reparieren...

Also danke erstmal und viele Grüße...

Hi es könnt daran liegen, dass smf einen Eintrag in der Registry geändert hat.

Rufe über Start->Ausführen->Regedit auf und navigiere zu folgendem Schlüssel:

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
         

Befinden sich dort ein Eintrag userinit?
Wenn nicht, dann erstelle bitte zuerst eine Sicherung der Registry, indem du sie nach Datei->exportieren->backup.reg exportierst.

Mache dann einen Rechtsklick in den rechten Teil von regedit, ein Fenster mit dem Titel "neu" sollte erscheinen.
Wähle dort "Wert der mehrteiligen Zeichenfolge" aus und nenne ihn "userinit". Wenn du den Wert erstellt hast, mache einen Rechtsklick auf den Wert und klicke auf "Ändern".
Es sollte ein Fenster mit dem Titel "Zeichenfolge bearbeiten" erscheinen. Unter dem Feld "Namen" steht "userinit" und das Feld "Wert" ist noch leer. Kopiere Folgendes in das Feld "Wert":

C:\WINDOWS\system32\userinit.exe,
         

Berichte ob es besser wird.

Die beiden Programme haben an sich keine Treiber entfernt, zumindest geht das aus den Logs hervors.

lg myrtille

Hallo,

der Eintrag "userinit" hat sich in der Registry schon befunden, ich konnte also nichts machen, außer ein Backup von der Registry zu erstellen...

Das Problem, daß ich den normalen Windowsmodus nicht mehr starten kann, besteht natürlich noch weiterhin.

Was soll ich als nächstes tun?

Vielen Dank und noch ein schönes Pfingstwochenende!

Viele Grüße

... was ich noch anmerken wollte: Das Herunterfahren von Windows dauert nach Auftreten des Problems (also nach der Reinigungsaktion mit smf und sdfix) irrsinnig lange, manchmal 3 Minuten...