"Your system is infected with virus"-PopUp..Brauch Hilfe von euch um ihn loszuwerden!

soulmage · 27.05.2008, 07:26

Hallo,
seit ein paar Tagen taucht bei mir ständig ein PopUp auf, das sagt:

"Your system is infected with dangerous virus!
Note: Strongly recommend to install antispyware program to clean your system and avoid total crash of your computer!

Click OK to download the antispyware. (Recommended)"

Und das immer, nachdem ich einen neuen Ordner öffne, oder IE benutzen will.

Ich habe schon gegooglet, aber es hat mir nicht sehr weitergeholfen, da es bei jedem an etwas anderes lag.
Habe auch Antivirenprogramme durchlaufen lassen, aber es findet erst garnichts -.-"

Ich hoffe, hier kann mir jemand helfen! Ich verzweifele T_T

Hier erst'mal mein HijackThis-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:12:13, on 27.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5700.0007)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\Programme\FolderSize\FolderSizeSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\rundll32.exe
C:\Acer\Empowering Technology\eRecovery\Monitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\Rundll32.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\NETGEAR\WG111v2 Configuration Utility\RtlWake.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\Programme\Safari\Safari.exe
C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=54729
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.windowsxlive.net
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = http://seek.yisou.com/srchcust.htm
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: {7af2de21-6ef2-a08b-4624-5386404b1c25} - {52c1b404-6835-4264-b80a-2fe612ed2fa7} - C:\WINDOWS\system32\bcmhsqdb.dll
O2 - BHO: IE - {616D534C-3CA8-43AB-B439-618F850F1D2B} - C:\WINDOWS\apsagy.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\GEMEIN~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [320d18a1] rundll32.exe "C:\WINDOWS\system32\scjuhega.dll",b
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [BM313e2b3d] Rundll32.exe "C:\WINDOWS\system32\vymcfjaw.dll",s
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WG111v2 Smart Wizard Wireless Setting.lnk = ?
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Programme\MP3 Player Utilities 3.74\AMVConverter\grab.html
O8 - Extra context menu item: Add to AMV Converter... - C:\Programme\MP3 Player Utilities 4.04\AMVConverter\grab.html
O8 - Extra context menu item: Add to Windows &Live Favorites - http://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Programme\MP3 Player Utilities 4.04\MediaManager\grab.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {48DD0448-9209-4F81-9F6D-D83562940134} (MySpace Uploader Control) - http://lads.myspace.com/upload/MySpaceUploader1006.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {6BEA1C48-1850-486C-8F58-C7354BA3165E} - http://updates.lifescapeinc.com/installers/pinstall/pinstall.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://webcam03.lugano.ch/activex/AxisCamControl.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by136fd.bay136.hotmail.msn.com/activex/HMAtchmt.ocx
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\..\{2E1ACCC7-6B9F-4559-BE66-36FB0D40491D}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\..\{90A32034-E0C3-4B2E-A251-79F513396827}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O17 - HKLM\System\CS1\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O17 - HKLM\System\CS2\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O20 - Winlogon Notify: winemx32 - C:\WINDOWS\SYSTEM32\winemx32.dll
O22 - SharedTaskScheduler: IE Component Categories cache daemon - {553858A7-4922-4e7e-B1C1-97140C1C16EF} - C:\WINDOWS\system32\ieframe.dll
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Folder Size (FolderSize) - Brio - C:\Programme\FolderSize\FolderSizeSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 10990 bytes

Chris4You · 27.05.2008, 10:24

Hi,

sieht nicht gut aus, Teile eines Rootkits gefunden, z. B.:
winemx32.dll -> WINEMX32.DLL, Spyware Remove

Neu Aufsetzten wäre besser!

Bitte folgende Files prüfen:

Zitat:

C:\WINDOWS\system32\bcmhsqdb.dll
C:\WINDOWS\apsagy.dll
C:\WINDOWS\system32\scjuhega.dll
C:\WINDOWS\system32\vymcfjaw.dll
C:\WINDOWS\SYSTEM32\winemx32.dll
C:\WINDOWS\system32\ieframe.dll

VirusTotal - Free Online Virus and Malware Scan
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen

Poste mit Filename!

so, Deine gesamte Internetverbindung wird über die Ukraine geleitet,
damit sofort von einem sauberen Rechner aus ALLE Passwörter ändern
und ggf. Konten etc. sperren lassen

Also:
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")

Code:

ATTFilter

registry keys to delete:
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winemx32

Registry values to delete:
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|BM313e2b3d
HKLM\Software\Microsoft\Windows\CurrentVersion\Run|320d18a1
 
Files to delete:
C:\WINDOWS\system32\bcmhsqdb.dll
C:\WINDOWS\apsagy.dll
C:\WINDOWS\system32\scjuhega.dll
C:\WINDOWS\system32\vymcfjaw.dll
C:\WINDOWS\SYSTEM32\winemx32.dll
C:\WINDOWS\system32\ieframe.dll

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Hijackthis, fixen:
öffne das HijackThis -- Button "scan" -- vor den nachfolgenden Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten
Beim fixen müssen alle Programme geschlossen sein!

Code:

ATTFilter

O2 - BHO: {7af2de21-6ef2-a08b-4624-5386404b1c25} - {52c1b404-6835-4264-b80a-2fe612ed2fa7} - C:\WINDOWS\system32\bcmhsqdb.dll
O2 - BHO: IE - {616D534C-3CA8-43AB-B439-618F850F1D2B} - C:\WINDOWS\apsagy.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\..\{2E1ACCC7-6B9F-4559-BE66-36FB0D40491D}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\..\{90A32034-E0C3-4B2E-A251-79F513396827}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O17 - HKLM\System\CS1\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CS2\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O17 - HKLM\System\CS2\Services\Tcpip\..\{2C0D3CD0-613D-42C6-B1BA-5C97D71501BF}: NameServer = 85.255.115.53,85.255.112.217
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.115.53 85.255.112.217
O22 - SharedTaskScheduler: IE Component Categories cache daemon - {553858A7-4922-4e7e-B1C1-97140C1C16EF} - C:\WINDOWS\system32\ieframe.dll

Combofix durchführen
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
Weitere Anleitung unter:Ein Leitfaden und Tutorium zur Nutzung von ComboFix

DNS-Einträge entfernen:
Achtung:
Solltest du Probleme mit deiner Internet Verbindung bekommen:
Entweder Provider-Disk bereithalten, oder:
Systemsteuerung > wähle Netzwerk und Internet Verbindungen oder mach einen
Doppelklick auf Netzwerk-Verbindungen > Klick mit der rechten Maustaste
auf Default Connection (Normale Verindung), das ist normalerweise die
örtliche Umgebung, Kabel oder DSL Verbindung > Klick mit der linken
Maustaste auf Eigenschaften > Doppelklick auf Internet Protocol (TCP/IP) >
wähle den Knopf der dafür steht, dass die DNS Verbindung automatisch
aufrecht erhalten wird > zweimal auf "OK" klicken > den Rechner neu
starten (Diese Einstellungen sind nicht auf allen Systemen gleich oder
vorhanden)

Danach noch ein neues HJ-Log!

Chris

soulmage · 28.05.2008, 19:23

Erst einmal vielen Dank!!! Aber was mich ehrlich geschockt hat, ist, dass unsere Verbindung über die Ukraine geleitet wird! Wie das??

Dann noch die VirusTotal-Logs (diese Infos?):

1.) C:\WINDOWS\system32\bcmhsqdb.dll
nicht mehr auf'm Rechner

2.) C:\WINDOWS\apsagy.dll
nicht mehr auf'm Rechner

3.) C:\WINDOWS\system32\scjuhega.dll
File size: 94272 bytes
MD5...: d9d0fce841e432387e2891b39549d0b5
SHA1..: d316cc97445794357d4ca6cf2c7371c9f060bc48
SHA256: 5c955e25a65c777a075df21ce19b7a034100ed1c3111d0d47fdde94027f497e5
SHA512: 1af8d5ed9f65bb0aa0f05df1506e00451680c9f09ffe0de10a447d9f800bbdc3
03ceb4724b1328adb2dc0ae308c712df0de6c2c4229c1738d8239b0f61b2e429
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10006f77
timedatestamp.....: 0xa920d07 (Fri Aug 15 14:09:11 1975)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x18000 0x6400 7.60 fcf572eb4804677209d4d2caaa56f2d1
.data 0x19000 0x10000 0x10000 7.99 f3ff0ce85381e6686611f498be5ec3f6
.rdata 0x29000 0x1000 0x400 6.41 0fefb55e0cf6a85d5fdb7d369a9d0515
.idata 0x2a000 0x1000 0x400 1.91 086d8c9899169e1705c28fa812f4f252

( 1 imports )
> kernel32.dll: CloseHandle, EnumResourceLanguagesA, ExitProcess, ExitThread, GetStartupInfoA, LocalAlloc, OpenFileMappingA, ReadFile, TlsAlloc, TlsFree, lstrcmpA

( 0 exports )

4.) C:\WINDOWS\system32\vymcfjaw.dll
File size: 102976 bytes
MD5...: 3e48cf7e9e6c85ab2bc8f3a0b7e480c6
SHA1..: 338b20e6fe380ce3babed291b44d35ac5f92c0cd
SHA256: 2376fdb7008baf736340a6aab63d5843d4c32de059c3f26f23d184b4b309aa50
SHA512: 8aa1f9a45ebd0b559af743a6fd525bdba59322905bc24da0deee226b646fe64c
0bd78ed0901c80ac392bf320171ff5bf446b05058515c248d1b338392f43d5a7
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x100071a3
timedatestamp.....: 0xa97a094 (Tue Aug 19 19:40:04 1975)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1a000 0x6600 7.70 eb79f2722be03ff515ca828ab2c2d5a2
.data 0x1b000 0x12000 0x12000 7.99 4e40271dc5749f03d759275986fafda2
.rdata 0x2d000 0x1000 0x400 7.17 f334dd3826c64253f1ff109ac49ef8a7
.idata 0x2e000 0x1000 0x400 1.92 ef2cbb7c611af07516db7ff2e3681e35

( 1 imports )
> kernel32.dll: ExitProcess, GetDateFormatA, GetLocalTime, GetModuleHandleA, GetVersionExA, LoadLibraryA, RaiseException, SleepEx, TlsAlloc, lstrcmpiA, lstrcpynA

( 0 exports )

5.) C:\WINDOWS\SYSTEM32\winemx32.dll
nicht mehr auf'm Rechner

6.) C:\WINDOWS\system32\ieframe.dll
"Fehler: Verbindung unterbrochen"

soulmage · 28.05.2008, 19:42

Der Avenger-Log:

Logfile of The Avenger Version 2.0, (c) by Swandog46
Swandog46's Public Anti-Malware Tools

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: file "C:\WINDOWS\system32\bcmhsqdb.dll" not found!
Deletion of file "C:\WINDOWS\system32\bcmhsqdb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: file "C:\WINDOWS\apsagy.dll" not found!
Deletion of file "C:\WINDOWS\apsagy.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\system32\scjuhega.dll" deleted successfully.
File "C:\WINDOWS\system32\vymcfjaw.dll" deleted successfully.

Error: file "C:\WINDOWS\SYSTEM32\winemx32.dll" not found!
Deletion of file "C:\WINDOWS\SYSTEM32\winemx32.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

File "C:\WINDOWS\system32\ieframe.dll" deleted successfully.
Registry key "HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winemx32" deleted successfully.
Registry value "HKLM\Software\Microsoft\Windows\CurrentVersion\Run|BM313e2b3d" deleted successfully.
Registry value "HKLM\Software\Microsoft\Windows\CurrentVersion\Run|320d18a1" deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

soulmage · 28.05.2008, 20:59

Der Combofix-Log:

Code:

ATTFilter

ComboFix 08-05-27.4 - *** 2008-05-28 21:16:12.1 - FAT32x86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.1.1031.18.165 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\***\Desktop\ComboFix.exe
 * Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((((((((((((((((   Weitere L”schungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\smp.bat
C:\WINDOWS\BM313e2b3d.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\agehujcs.ini
C:\WINDOWS\system32\ckugudym.ini
C:\WINDOWS\system32\h@tkeysh@@k.dll
C:\WINDOWS\system32\jqtmcavx.dll
C:\WINDOWS\system32\kblxogeb.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\nmhnpotr.ini
C:\WINDOWS\system32\ntiowafi.ini
C:\WINDOWS\system32\pqvosrui.ini
C:\WINDOWS\system32\pskill.exe
C:\WINDOWS\system32\rstwa.ini
C:\WINDOWS\system32\rstwa.ini2
C:\WINDOWS\system32\sefgwaok.ini
C:\WINDOWS\system32\xvejmgcr.ini
C:\WINDOWS\system32\yvegxqno.ini

.
(((((((((((((((((((((((((((((((((((((((   Drivers/Services   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_CNSMINKP
-------\Legacy_NPF


(((((((((((((((((((((((   Dateien erstellt von 2008-04-28 bis 2008-05-28  ))))))))))))))))))))))))))))))
.

2008-05-27 22:04 . 2008-05-27 22:04	<DIR>	d--------	C:\Programme\Image-Line
2008-05-27 21:53 . 2008-05-27 21:53	<DIR>	d--------	C:\Dokumente und Einstellungen\***\Anwendungsdaten\Morphine
2008-05-26 21:50 . 2008-05-26 21:50	<DIR>	d--------	C:\Programme\Trend Micro
2008-05-26 17:58 . 2008-05-26 17:58	<DIR>	d--------	C:\Programme\Windows Sidebar
2008-05-26 17:58 . 2008-05-26 17:58	<DIR>	d--------	C:\Programme\Norton AntiVirus
2008-05-26 17:56 . 2008-05-26 17:59	123,952	--a------	C:\WINDOWS\system32\drivers\SYMEVENT.SYS
2008-05-26 17:56 . 2008-05-26 17:59	60,808	--a------	C:\WINDOWS\system32\S32EVNT1.DLL
2008-05-26 17:56 . 2008-05-26 17:59	10,652	--a------	C:\WINDOWS\system32\drivers\SYMEVENT.CAT
2008-05-26 17:56 . 2008-05-26 17:59	806	--a------	C:\WINDOWS\system32\drivers\SYMEVENT.INF
2008-05-26 16:21 . 2008-05-28 20:37	54,156	--ah-----	C:\WINDOWS\QTFont.qfn
2008-05-26 16:21 . 2008-05-26 22:05	1,409	--a------	C:\WINDOWS\QTFont.for
2008-05-26 13:58 . 2008-05-26 13:58	<DIR>	d--------	C:\Programme\Avira
2008-05-26 13:08 . 2008-05-26 13:08	57,856	--a------	C:\WINDOWS\system32\nnnnMGwu.dll
2008-05-26 13:08 . 2008-05-26 13:08	57,856	--a------	C:\WINDOWS\system32\ljJBqNeB.dll
2008-05-26 12:44 . 2008-05-26 12:44	<DIR>	d--------	C:\Programme\Symantec
2008-05-25 19:57 . 2008-05-25 19:57	<DIR>	d--------	C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-05-19 23:57 . 2008-05-19 23:57	75,776	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\rbqt450.DLL
2008-05-19 23:57 . 2008-05-19 23:57	64,512	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\rbap450.dll
2008-05-19 23:57 . 2008-05-19 23:57	54,272	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSQTImporterPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	53,760	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSPicturePlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	52,224	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\EHZComp.dll
2008-05-19 23:57 . 2008-05-19 23:57	51,712	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSWinPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	49,664	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSQuickTimePlugin1636.dll
2008-05-19 23:57 . 2008-05-19 23:57	48,128	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSResPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	41,984	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSMainPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	41,472	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\RBShell400.dll
2008-05-19 23:57 . 2008-05-19 23:57	37,376	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSPictureMacPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	36,352	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSRegistryPlugin1636.dll
2008-05-19 23:57 . 2008-05-19 23:57	36,352	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSFolderitemsCreatePlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	33,280	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSEncryptPlugin1636.dll
2008-05-19 23:57 . 2008-05-19 23:57	32,256	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSProcessPlugin1636.dll
2008-05-19 23:57 . 2008-05-19 23:57	32,256	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSIconPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	29,184	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSRectPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	29,184	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSMemoryPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	26,624	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSUsernamePlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	26,112	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSResStreamPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	26,112	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSRegistrationPlugin1636.dll
2008-05-19 23:57 . 2008-05-19 23:57	25,088	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSPluginVersionPlugin1635.dll
2008-05-19 23:57 . 2008-05-19 23:57	19,968	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\EHMD5.dll
2008-05-19 23:57 . 2008-05-19 23:57	18,432	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\EHEncrypt.dll
2008-05-19 23:56 . 2008-05-19 23:56	28,672	--ah-----	C:\Dokumente und Einstellungen\***\Anwendungsdaten\MBSMacOSXPlugin1635.dll
2008-05-09 15:00 . 2008-05-09 15:00	<DIR>	d--------	C:\Dokumente und Einstellungen\***\Anwendungsdaten\Propellerhead Software
2008-05-09 15:00 . 2008-05-09 15:00	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Propellerhead Software
2008-05-09 15:00 . 2008-05-09 15:00	233,472	--a------	C:\WINDOWS\system32\REX Shared Library.dll
2008-05-04 00:12 . 2008-05-04 00:12	664	--a------	C:\WINDOWS\system32\d3d9caps.dat
2008-05-03 21:44 . 2008-05-03 21:44	<DIR>	d--------	C:\Programme\IMVU
2008-05-03 21:44 . 2008-05-03 21:44	<DIR>	d--------	C:\Dokumente und Einstellungen\***\Anwendungsdaten\IMVU
2008-05-02 16:29 . 2008-05-02 16:29	<DIR>	d--------	C:\Programme\4Movy DVD Video Converter
2008-04-29 13:11 . 2008-04-29 13:11	<DIR>	d--------	C:\Programme\FLV Player

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-26 18:52	---------	d-----w	C:\Programme\ASIO4ALL v2
2008-04-26 18:50	---------	d-----w	C:\Programme\Outsim
2008-04-16 19:02	---------	d-----w	C:\Programme\iTunes
2008-04-16 19:02	---------	d-----w	C:\Programme\iPod
2008-04-16 18:42	---------	d-----w	C:\Programme\Safari
2008-03-31 21:25	831,488	----a-w	C:\WINDOWS\system32\divx_xx0a.dll
2008-03-31 21:25	823,296	----a-w	C:\WINDOWS\system32\divx_xx0c.dll
2008-03-31 21:25	823,296	----a-w	C:\WINDOWS\system32\divx_xx07.dll
2008-03-31 21:25	802,816	----a-w	C:\WINDOWS\system32\divx_xx11.dll
2008-03-31 21:25	682,496	----a-w	C:\WINDOWS\system32\DivX.dll
2008-03-31 21:25	161,096	----a-w	C:\WINDOWS\system32\DivXCodecVersionChecker.exe
2008-03-21 20:30	524,288	----a-w	C:\WINDOWS\system32\DivXsm.exe
2008-03-21 20:30	3,596,288	----a-w	C:\WINDOWS\system32\qt-dx331.dll
2008-03-21 20:30	200,704	----a-w	C:\WINDOWS\system32\ssldivx.dll
2008-03-21 20:30	1,044,480	----a-w	C:\WINDOWS\system32\libdivx.dll
2008-03-21 20:28	81,920	----a-w	C:\WINDOWS\system32\dpl100.dll
2008-03-21 20:28	593,920	----a-w	C:\WINDOWS\system32\dpuGUI11.dll
2008-03-21 20:28	57,344	----a-w	C:\WINDOWS\system32\dpv11.dll
2008-03-21 20:28	53,248	----a-w	C:\WINDOWS\system32\dpuGUI10.dll
2008-03-21 20:28	344,064	----a-w	C:\WINDOWS\system32\dpus11.dll
2008-03-21 20:28	294,912	----a-w	C:\WINDOWS\system32\dpu11.dll
2008-03-21 20:28	294,912	----a-w	C:\WINDOWS\system32\dpu10.dll
2008-03-21 20:28	196,608	----a-w	C:\WINDOWS\system32\dtu100.dll
2008-03-21 20:28	12,288	----a-w	C:\WINDOWS\system32\DivXWMPExtType.dll
2008-03-19 07:59	98,304	----a-w	C:\WINDOWS\system32\CmdLineExt.dll
2006-06-07 15:39	0	----a-w	C:\Dokumente und Einstellungen\***\Anwendungsdaten\wklnhst.dat
2006-12-05 14:44	80	--sh--r	C:\WINDOWS\system32\5BF6A6F747.dll
2007-03-02 20:07	3,350	--sha-w	C:\WINDOWS\system32\KGyGaAvL.sys
2007-03-02 20:07	88	--sh--r	C:\WINDOWS\system32\47F7A6F65B.sys
.

------- Sigcheck -------

2006-08-28 10:23  800256  22e36dd7440854eb2c0a71c8661c6fde	C:\WINDOWS\system32\wininet.dll
2005-01-27 18:12  663552  d9460271895adbb382769af1fc701169	C:\WINDOWS\$hf_mig$\KB867282\SP2QFE\wininet.dll
2005-05-02 21:58  664576  8c907b730e9cfcfdf0157f3ea20d4424	C:\WINDOWS\$hf_mig$\KB883939\SP2QFE\wininet.dll
2005-03-10 08:47  663552  235d1d42c2d23fa1bc8a9edb267ffe86	C:\WINDOWS\$hf_mig$\KB890923\SP2QFE\wininet.dll
2005-07-03 03:11  665088  e992695b2d5628154b65fe8dfb0f3cca	C:\WINDOWS\$hf_mig$\KB896727\SP2QFE\wininet.dll
2006-06-23 13:25  670208  05e47ea6708bd99df2d8e4abd55df079	C:\WINDOWS\ie7\wininet.dll

2007-06-13 15:21  978944  a86cf44578efd4786d2c17142784c98e	C:\WINDOWS\explorer.exe
2007-06-13 15:10  1036288  331ed93570baf3cfe30340298762cd56	C:\WINDOWS\$hf_mig$\KB938828\SP2QFE\explorer.exe
.
((((((((((((((((((((((((((((   Autostart Punkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{6D53EC84-6AAE-4787-AEEE-F4628F01010C}]
2008-05-26 21:37	116088	--a------	C:\PROGRA~1\GEMEIN~1\SYMANT~1\IDS\IPSBHO.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MsnMsgr"="C:\Programme\Windows Live\Messenger\msnmsgr.exe" [2007-10-18 11:34 5724184]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 05:00 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"LaunchApp"="Alaunch" []
"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.exe" [2004-08-04 05:00 208952]
"MSPY2002"="C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-04 05:00 59392]
"eRecoveryService"="C:\Acer\Empowering Technology\eRecovery\Monitor.exe" [2005-11-16 17:00 397312]
"BearShare"="C:\Programme\BearShare\BearShare.exe" [2006-07-26 13:48 3305472]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-12 10:06 262401]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2008-03-28 23:37 413696]
"ccApp"="C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2007-08-25 07:07 51048]
"osCheck"="C:\Programme\Norton AntiVirus\osCheck.exe" [2007-08-25 06:53 714608]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2006-07-08 11:49 180269]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2008-03-30 10:36 267048]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 05:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.I420"= i420vfw.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\ICQLite\\ICQLite.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\BearShare\\BearShare.exe"=
"C:\\Programme\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\Programme\\Real\\RealPlayer\\RealPlay.exe"=
"C:\\Dokumente und Einstellungen\\***\\Desktop\\***\\***\\Trackmania\\TrackMania Sunrise Extreme Demo\\TmSunriseExtremeDemo.exe"=
"C:\\Dokumente und Einstellungen\\***\\Desktop\\***\\TrackMania Nations ESWC\\TmNationsESWC.exe"=
"C:\\Dokumente und Einstellungen\\***\\Desktop\\***\\***\\TrackMania Nations ESWC\\TmNationsESWC.exe"=
"C:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"C:\\WINDOWS\\system32\\winver.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=

R2 EAPPkt;Realtek EAPPkt Protocol;C:\WINDOWS\system32\DRIVERS\EAPPkt.sys [2005-03-31 19:43]
R2 int15.sys;int15.sys;C:\Acer\Empowering Technology\eRecovery\int15.sys [2005-01-13 14:46]
R2 LiveUpdate Notice;LiveUpdate Notice;"C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe" /h ccCommon []
R3 CLEDX;Team H2O CLEDX service;C:\WINDOWS\system32\DRIVERS\cledx.sys [2005-05-09 20:08]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;"C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe" [2007-08-23 22:35]
S3 ASPI;Advanced SCSI Programming Interface Driver;C:\WINDOWS\System32\DRIVERS\ASPI32.sys [1999-09-10 14:06]
S3 COH_Mon;COH_Mon;C:\WINDOWS\system32\Drivers\COH_Mon.sys [2008-03-06 21:32]
S3 DMSKSSRh;DMSKSSRh;C:\DOKUME~1\***\LOKALE~1\Temp\DMSKSSRh.sys []
S3 MagixASIODrv;MAGIX_ASIO_BoostDriver;C:\Programme\MAGIX\Samplitude_SE_No9\mxasio.sys [2002-04-16 12:10]
S3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-15 19:39]
S3 S6U12AScanner;MUSTEK 1200 CU PLUS Still Image Device Service;C:\WINDOWS\system32\drivers\usbscan.sys [2004-08-03 22:58]

.
Inhalt des "geplante Tasks" Ordners
"2007-08-15 12:03:48 C:\WINDOWS\Tasks\RegistrySmart Scheduled Scan.job"
- C:\Programme\RegistrySmart\RegistrySmart.ex
- C:\Programme\RegistrySmar
"2008-04-19 05:53:50 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
"2008-05-28 09:24:08 C:\WINDOWS\Tasks\Norton AntiVirus - Run Full System Scan - ***.job"
- C:\Programme\Norton AntiVirus\Navw32.exel/TASK:
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-28 21:21:41
Windows 5.1.2600 Service Pack 2 FAT NTAPI

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE
C:\WINDOWS\SYSTEM32\ATI2EVXX.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\PROGRAMME\GEMEINSAME DATEIEN\APPLE\MOBILE DEVICE SUPPORT\BIN\APPLEMOBILEDEVICESERVICE.EXE
C:\PROGRAMME\FOLDERSIZE\FOLDERSIZESVC.EXE
C:\WINDOWS\system32\UAService7.exe
C:\Programme\NETGEAR\WG111v2 Configuration Utility\RtlWake.exe
C:\Programme\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-28 21:26:26 - machine was rebooted
ComboFix-quarantined-files.txt  2008-05-28 19:26:16

              19 Verzeichnis(se),  8,450,834,432 Bytes frei
              23 Verzeichnis(se), 10,272,243,712 Bytes frei

227	--- E O F ---	2007-12-13 10:26:41

soulmage · 28.05.2008, 21:03

Zum Schluss noch der HijackThis-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:02:16, on 28.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5700.0007)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Acer\Empowering Technology\eRecovery\Monitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\FolderSize\FolderSizeSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\NETGEAR\WG111v2 Configuration Utility\RtlWake.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = Google
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Live Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Live Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = Windows X's Live - The ultimate Vista experiences
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: Symantec Intrusion Prevention - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - C:\PROGRA~1\GEMEIN~1\SYMANT~1\IDS\IPSBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [osCheck] "C:\Programme\Norton AntiVirus\osCheck.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WG111v2 Smart Wizard Wireless Setting.lnk = ?
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Programme\MP3 Player Utilities 3.74\AMVConverter\grab.html
O8 - Extra context menu item: Add to AMV Converter... - C:\Programme\MP3 Player Utilities 4.04\AMVConverter\grab.html
O8 - Extra context menu item: Add to Windows &Live Favorites - Add to Windows Live Favorites
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Programme\MP3 Player Utilities 4.04\MediaManager\grab.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {48DD0448-9209-4F81-9F6D-D83562940134} (MySpace Uploader Control) - http://lads.myspace.com/upload/MySpaceUploader1006.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - http://webcam03.lugano.ch/activex/AxisCamControl.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary...t.cab56907.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - http://eu.download.games.yahoo.com/z...ylomloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - http://by136fd.bay136.hotmail.msn.co...x/HMAtchmt.ocx
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatic LiveUpdate Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\AluSchedulerSvc.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Folder Size (FolderSize) - Brio - C:\Programme\FolderSize\FolderSizeSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\LuComServer_3_4.EXE
O23 - Service: LiveUpdate Notice - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Service: Symantec Core LC - Unknown owner - C:\PROGRA~1\GEMEIN~1\SYMANT~1\CCPD-LC\symlcsvc.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 9060 bytes

Chris4You · 29.05.2008, 06:36

Hi,

folgende Files mit Avenger (kannst Du ja jetzt schon) löschen lassen:

Zitat:

Files to delete:
C:\WINDOWS\QTFont.qfn
C:\WINDOWS\QTFont.for
C:\WINDOWS\system32\nnnnMGwu.dll
C:\WINDOWS\system32\ljJBqNeB.dll

Danach noch ein Scan mit Antimalewarebyte:
http://www.trojaner-board.de/51187-a...i-malware.html

Poste ein neues HJ-Log;

Bin ab jetzt leider zwei Tage unterwegs....

chris

soulmage · 29.05.2008, 15:06

Logfile of Trend Micro HijackThis v2.0.2

[edit]
Bitte editiere zukünftig deine Links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

Danke.
Sunny
[/edit]

soulmage · 29.05.2008, 15:09

Oke, dann werd' ich auch nach 2 Tagen oder so wieder vorbeischauen. ^^
Und ich bin dir unendlich dankbar für deine Hilfe!!!!

Indiana84 · 29.05.2008, 22:04

Schönen guten Abend,
habe das gleiche Problem wie das Mitglied, konnte aber in der Lösung von Anfang an leider nicht den Schritten folgen, bin ein ziemlicher Anfänger. Könnte mir nochmal jemand helfen, wie ich von Grund auf mit dem Problem verfahre? Das wäre echt spitze.
Habe sicherheitshalber schon meine wichtigsten Passwörter im Netz über einen sicheren Rechner geändert.
Bitte um Hilfe, mache mir wirklich Sorgen

Vielen Dank im Vorraus für alle erbrachten Mühen

Chris4You · 30.05.2008, 11:58

@Indiana84
Bitte eigenen Thread eröffnen mit Problembeschreibung und HJ-Log (siehe Link/Signatur)...

chris

soulmage · 04.06.2008, 07:06

Guten Morgen Chris,

Seit gestern Abend taucht schon wieder eine Fehlermeldung auf, die so ähnlich klingt wie die erste. Soll ich es hier weiterbeschreiben oder auch einen neuen Thread eröffnen??

Gruß, SM

Chris4You · 04.06.2008, 07:27

Hi,

dann bitte noch einmal ein HJ-Log;

Nenne die HJ-Exe vor dem Start auf test.com um, und vergiss nicht das Log nach den Boardregeln zu editieren (Links nicht aufrufbar z.B. h**p und keine privaten Pfade (eigene Dokumente\****\)...

Zusätzlich bitte noch DSS:
Download dss zum Desktop (http://www.techsupportforum.com/sect...eckard/dss.exe)
Doppelklick dss.exe
Kopiere den Inhalt des Berichts C:\main.txt und extra.txt in Deinen Thread

chris

soulmage · 04.06.2008, 07:41

Nach dem Umbenennen kommen Warnmeldungen vom Antivirenprogr. ->normal?

Als erstes der HJT-Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 08:37:50, on 04.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FolderSize\FolderSizeSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UAService7.exe
C:\Acer\Empowering Technology\eRecovery\Monitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\NETGEAR\WG111v2 Configuration Utility\RtlWake.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\Programme\Trend Micro\HijackThis\test.com.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://seek.yisou.com/srchcust.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SVC plugin - {C12FC24B-A7B9-487F-9603-5481EBF00C6F} - C:\WINDOWS\odsagy.dll
O4 - HKLM\..\Run: [LaunchApp] Alaunch
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe
O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: WG111v2 Smart Wizard Wireless Setting.lnk = ?
O8 - Extra context menu item: Add to AMV Convert Tool... - C:\Programme\MP3 Player Utilities 3.74\AMVConverter\grab.html
O8 - Extra context menu item: Add to AMV Converter... - C:\Programme\MP3 Player Utilities 4.04\AMVConverter\grab.html
O8 - Extra context menu item: Add to Windows &Live Favorites - h**p://favorites.live.com/quickadd.aspx
O8 - Extra context menu item: MediaManager tool grab multimedia file - C:\Programme\MP3 Player Utilities 4.04\MediaManager\grab.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {48DD0448-9209-4F81-9F6D-D83562940134} (MySpace Uploader Control) - h**p://lads.myspace.com/upload/MySpaceUploader1006.cab
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - h**p://gfx1.hotmail.com/mail/w2/resources/MSNPUpld.cab
O16 - DPF: {917623D1-D8E5-11D2-BE8B-00104B06BDE3} (CamImage Class) - h**p://webcam03.lugano.ch/activex/AxisCamControl.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h**p://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O16 - DPF: {CE69F98F-2AF3-4306-BAC6-A79070EDA1B4} (Zylom Loader Object) - h**p://eu.download.games.yahoo.com/zylom/activex/zylomloader.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O16 - DPF: {F04A8AE2-A59D-11D2-8792-00C04F8EF29D} (Hotmail Attachments Control) - h**p://by136fd.bay136.hotmail.msn.com/activex/HMAtchmt.ocx
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Unknown owner - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: Folder Size (FolderSize) - Brio - C:\Programme\FolderSize\FolderSizeSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: SecuROM User Access Service (V7) (UserAccess7) - Unknown owner - C:\WINDOWS\system32\UAService7.exe
O24 - Desktop Component 0: (no name) - (no file)

--
End of file - 8091 bytes

Chris4You · 04.06.2008, 07:53

Hi,

ja kann sein dass Warnmeldungen kommen, HJ verhält sich in etwas wie ein Trojaner... Und wenn das AV-Programm nur den Namen prüft (und wir haben es ja umbennante...);

Okay erstes Feedback:
Parasit: O2 - BHO: SVC plugin - {C12FC24B-A7B9-487F-9603-5481EBF00C6F} - C:\WINDOWS\odsagy.dll

Zitat:

Parasite redirecting to fake security sites, member of the FakeAlert aka SmitFraud malware family - produces IEDefender , FilesSecure , MalwareBell , IE_Antivirus or similar popups

Ausserdem ist Bearshare auf dem Rechner, was immer gut ist für Fakeware/Parasiten etc., das sollte ebenfalls unbedingt weg;

Dann ist da noch das hier:
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = h**p://seek.yisou.com/srchcust.htm (Kenn ich nicht)...

chris

"Your system is infected with virus"-PopUp..Brauch Hilfe von euch um ihn loszuwerden!

Plagegeister aller Art und deren Bekämpfung: "Your system is infected with virus"-PopUp..Brauch Hilfe von euch um ihn loszuwerden!