Hi, ich habe mir vor ein paar Tagen einen Virus/Trojaner/Wurm eingefangen, bin mir da nicht genau sicher, was es nun wirklich ist. Ich bekam über MSN einen Link zugeschickt, den ich auf Grund des Absenders für vertrauensvoll hielt. Die Message sah so aus: haha, sexy? h**p://imaageshaack.com/img/image.php?=meine@email-addy

So, ich habe nun ständig Antivir Meldungen über diverse .dll-Dateien aus dem system 32-Ordner, Antirvir sagt dabei es handele sich um den TR/Monder Trojaner. Der Windows Defender findet ebenfalls einige .dll-Dateien und sagt etwas von einem Vundo-Trojaner. Auch mit Ad-Aware habe ich einige kritische Einträge entfernt. Einige der Dateien ließen sich jedoch nicht entfernen, weder im normalen noch im abgesicherten Modus. Spürbar wird das ganze dadurch, dass zum einen immer wieder mein Vista Sicherheitscenter die Automatischen Updates deaktiviert und ab und zu der Windows Explorer neustartet. Auch PopUps, die vorher nicht auftauchten, sind nun immer wieder da. Habe bereits mit HijackThis einige der dll-Einträge entfernt. Ich poste einfach mal meinen aktuellen Log und hoffe, dass ihr damit was anfangen könnt.


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 00:25:37, on 19.06.2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\System32\smss.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\wininit.exe
C:\Windows\system32\csrss.exe
C:\Windows\system32\services.exe
C:\Windows\system32\lsass.exe
C:\Windows\system32\lsm.exe
C:\Windows\system32\winlogon.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\SLsvc.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Windows\System32\spoolsv.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\taskeng.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\system32\svchost.exe
C:\Windows\system32\svchost.exe
C:\Program Files\Enigma Software Group\SpyHunter\SHService.exe
C:\Windows\system32\svchost.exe
C:\Windows\System32\svchost.exe
C:\Windows\system32\SearchIndexer.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Program Files\Apoint2K\Apoint.exe
C:\Windows\BisonCam\BisonAPP.exe
C:\Windows\system32\DRIVERS\xaudio.exe
C:\Program Files\Power Manager\PM.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Common Files\Real\Update_OB\realsched.exe
C:\Program Files\ICQLite\ICQLite.exe
C:\Program Files\Apoint2K\Apntex.exe
C:\Program Files\iTunes\iTunesHelper.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Enigma Software Group\SpyHunter\SpyHunter3.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Windows Sidebar\sidebar.exe
C:\Program Files\DAEMON Tools Lite\daemon.exe
C:\Program Files\Windows Live\Messenger\msnmsgr.exe
C:\Program Files\iPod\bin\iPodService.exe
C:\Program Files\Windows Live\Messenger\usnsvc.exe
C:\Windows\system32\taskeng.exe
C:\Program Files\Mozilla Firefox\firefox.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe
C:\Windows\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.arcor.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.arcor.de
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,First Home Page = http://www.arcor.de
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\program files\google\googletoolbar1.dll
O2 - BHO: (no name) - {E89DEACE-6D75-44BD-994C-7AE95E5D3D79} - C:\Windows\system32\nnnnLeFW.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\program files\google\googletoolbar1.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 8\SnagItIEAddin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [Apoint] C:\Program Files\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [BisonAPP] C:\Windows\BisonCam\BisonAPP.exe
O4 - HKLM\..\Run: [PowerManager] C:\Program Files\Power Manager\PM.exe
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Program Files\Common Files\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ICQ Lite] "C:\Program Files\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Program Files\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SpyHunter Security Suite] C:\Program Files\Enigma Software Group\SpyHunter\SHStartup.exe
O4 - HKCU\..\Run: [Sidebar] C:\Program Files\Windows Sidebar\sidebar.exe /autoRun
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [MsnMsgr] "C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [AdobeUpdater] C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Program Files\ICQLite\ICQLite.exe -trayboot
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programs\PartyGaming\PartyPoker\RunApp.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Program Files\ICQLite\ICQLite.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O13 - Gopher Prefix:
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: AntiVir PersonalEdition Classic Scheduler (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: SpyHunter3 Service - Enigma Software Group, Inc. - C:\Program Files\Enigma Software Group\SpyHunter\SHService.exe
O23 - Service: XAudioService - Conexant Systems, Inc. - C:\Windows\system32\DRIVERS\xaudio.exe

--
End of file - 9125 bytes

Hi und

Als erstes solltest du deinem Freund raten er soll sich mal schleunigst informieren was er auf seinem System hat

Dass war nicht gut dass du die Einträge gefixt hast wie sollten wir jetzt heraus finden wo die Dateien sind und um was es sich handelt???

Bitte wende als erstes Malwarebytes (alles löschen was er findet und Report posten) an und poste bitte die genauen Pfade der schädlichen Dateien die dir gemeldet werden

So, nachdem ich beim Scan mit Malware Bytes im Normalmodus ständig Bluescreens bekam, habe ich den Scan im Abgesicherten Modus einmal schnell und einmal komplett ausgeführt. Hier sind die beiden Logs (ich habe die betroffenen Dateien entfernt, die Logs wurden bloß vor der Entfernung erstellt, daher steht dort no action taken):

Malwarebytes' Anti-Malware 1.17
Datenbank Version: 869

15:48:50 19.06.2008
mbam-log-6-19-2008 (15-48-46).txt

Scan Art: Schnell Scan
Objekte gescannt: 37744
Scan Dauer: 4 minute(s), 15 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 5
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\aoprndtws (Malware.Trace) -> No action taken.
HKEY_CURRENT_USER\Software\Microsoft\rdfa (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> No action taken.

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
C:\Windows\System32\clkcnt.txt (Trojan.Vundo) -> No action taken.



Malwarebytes' Anti-Malware 1.17
Datenbank Version: 869

19:18:45 19.06.2008
mbam-log-6-19-2008 (19-18-41).txt

Scan Art: Komplett Scan (C:\|D:\|)
Objekte gescannt: 250000
Scan Dauer: 53 minute(s), 56 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
(Keine Malware Objekte gefunden)

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
C:\Program Files\Trend Micro\HijackThis\backups\backup-20080616-230617-727.dll (Trojan.Vundo) -> No action taken.
C:\Users\...\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\0780A0QQ\css4[1] (Trojan.Vundo) -> No action taken.
C:\Users\...\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\6SXJ6X0I\kb456456[1] (Trojan.Vundo) -> No action taken.

Hi

Bitte wende nun ComboFix (Signatur) an und poste das Log
Dazu auch ein neues HijackThis Logfile posten bitte

ComboFix 08-06-19.2 - Sascha 2008-06-20 13:49:25.1 - NTFSx86
Microsoft® Windows Vista™ Home Premium 6.0.6001.1.1252.1.1031.18.1374 [GMT 2:00]
ausgeführt von:: C:\Users\Sascha\Desktop\anti trojaner shit\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\fsc.tmp\1010132\_desktop.ini
C:\fsc.tmp\1010132\Eula\_desktop.ini
C:\Windows\System32\beNVFfhk.ini
C:\Windows\System32\beNVFfhk.ini2
C:\Windows\system32\cxymovyk.ini
C:\Windows\system32\hpytfden.ini
C:\Windows\system32\ifkrmvum.ini
C:\Windows\system32\jqxhknrc.ini
C:\Windows\system32\mcrh.tmp
C:\Windows\System32\qtnkprel.ini2
C:\Windows\System32\qtnkprel.tmp
C:\Windows\system32\rkhlemll.ini
C:\Windows\system32\TtuwGggh.ini
C:\Windows\System32\TtuwGggh.ini2
C:\Windows\system32\WFeLnnnn.ini
C:\Windows\System32\WFeLnnnn.ini2

.
((((((((((((((((((((((( Dateien erstellt von 2008-05-20 bis 2008-06-20 ))))))))))))))))))))))))))))))
.

2008-06-19 14:33 . 2008-06-19 14:33 <DIR> d-------- C:\Users\Sascha\AppData\Roaming\Malwarebytes
2008-06-19 14:33 . 2008-06-19 14:33 <DIR> d-------- C:\Users\All Users\Malwarebytes
2008-06-19 14:33 . 2008-06-19 14:33 <DIR> d-------- C:\ProgramData\Malwarebytes
2008-06-19 14:33 . 2008-06-19 14:33 <DIR> d-------- C:\Program Files\Malwarebytes' Anti-Malware
2008-06-19 14:33 . 2008-06-10 19:02 34,296 --a------ C:\Windows\System32\drivers\mbamcatchme.sys
2008-06-19 14:33 . 2008-06-10 19:02 15,864 --a------ C:\Windows\System32\drivers\mbam.sys
2008-06-18 21:36 . 2008-06-18 21:36 524,288 --ahs---- C:\ntuser.dat{35fdf2c8-3d6c-11dd-8bf1-001060d10f24}.TMContainer00000000000000000002.regtrans-ms
2008-06-18 21:36 . 2008-06-18 23:27 524,288 --ahs---- C:\ntuser.dat{35fdf2c8-3d6c-11dd-8bf1-001060d10f24}.TMContainer00000000000000000001.regtrans-ms
2008-06-18 21:36 . 2008-06-18 21:36 524,288 --ahs---- C:\ntuser.dat{35fdf2bc-3d6c-11dd-8bf1-001060d10f24}.TMContainer00000000000000000002.regtrans-ms
2008-06-18 21:36 . 2008-06-18 21:36 524,288 --ahs---- C:\ntuser.dat{35fdf2bc-3d6c-11dd-8bf1-001060d10f24}.TMContainer00000000000000000001.regtrans-ms
2008-06-18 21:36 . 2008-06-18 23:27 262,144 --a------ C:\ntuser.dat
2008-06-18 21:36 . 2008-06-18 23:27 65,536 --ahs---- C:\ntuser.dat{35fdf2c8-3d6c-11dd-8bf1-001060d10f24}.TM.blf
2008-06-18 21:36 . 2008-06-18 21:36 65,536 --ahs---- C:\ntuser.dat{35fdf2bc-3d6c-11dd-8bf1-001060d10f24}.TM.blf
2008-06-18 21:36 . 2008-06-18 23:27 5,120 --ah----- C:\ntuser.dat.LOG1
2008-06-18 21:36 . 2008-06-18 21:36 0 --ah----- C:\ntuser.dat.LOG2
2008-06-18 21:30 . 2008-06-18 21:30 <DIR> d-------- C:\Program Files\Enigma Software Group
2008-06-15 14:24 . 2008-04-23 06:42 428,544 --a------ C:\Windows\System32\EncDec.dll
2008-06-15 14:24 . 2008-04-23 06:42 293,376 --a------ C:\Windows\System32\psisdecd.dll
2008-06-15 14:24 . 2008-04-23 06:41 218,624 --a------ C:\Windows\System32\psisrndr.ax
2008-06-15 14:24 . 2008-04-23 06:41 57,856 --a------ C:\Windows\System32\MSDvbNP.ax
2008-06-15 03:14 . 2008-06-15 03:24 <DIR> d-------- C:\Users\All Users\Lavasoft
2008-06-15 03:14 . 2008-06-15 03:24 <DIR> d-------- C:\ProgramData\Lavasoft
2008-06-15 03:14 . 2008-06-15 03:14 <DIR> d-------- C:\Program Files\Lavasoft
2008-06-12 16:51 . 2008-06-12 16:51 <DIR> d-------- C:\Program Files\Trend Micro
2008-06-02 17:35 . 2008-06-02 17:35 102,400 --a------ C:\Windows\DIIUnin.exe
2008-06-02 17:35 . 2008-06-18 03:55 41,419 --a------ C:\Windows\DIIUnin.dat
2008-06-02 17:35 . 2008-06-02 17:35 2,829 --a------ C:\Windows\DIIUnin.pif
2008-06-02 15:56 . 2008-06-02 15:58 <DIR> d-------- C:\Program Files\RegCleaner
2008-05-31 22:08 . 2008-06-18 03:55 43,520 --a------ C:\Windows\System32\CmdLineExt03.dll
2008-05-31 22:07 . 2008-06-02 17:44 21,840 --a----t- C:\Windows\System32\SIntfNT.dll
2008-05-31 22:07 . 2008-06-02 17:44 17,212 --a----t- C:\Windows\System32\SIntf32.dll
2008-05-31 22:07 . 2008-06-02 17:44 12,067 --a----t- C:\Windows\System32\SIntf16.dll
2008-05-31 20:25 . 2008-05-31 20:25 <DIR> d-------- C:\Program Files\Lavalys
2008-05-28 13:06 . 2008-03-08 04:08 4,240,384 --a------ C:\Windows\System32\GameUXLegacyGDFs.dll
2008-05-28 13:06 . 2008-03-08 06:21 1,695,744 --a------ C:\Windows\System32\gameux.dll
2008-05-25 01:14 . 2008-05-25 01:14 <DIR> d-------- C:\sierra

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-06-18 22:24 --------- d-----w C:\Users\Sascha\AppData\Roaming\uTorrent
2008-06-16 21:06 27,430 ----a-w C:\Users\Sascha\AppData\Roaming\nvModes.dat
2008-06-15 01:13 --------- d-----w C:\Program Files\Common Files\Wise Installation Wizard
2008-06-14 23:14 --------- d-----w C:\Program Files\NCH Swift Sound
2008-06-14 23:13 --------- d-----w C:\Program Files\PDF Passwort Knacker 1
2008-06-12 01:23 --------- d-----w C:\Program Files\Windows Mail
2008-05-21 02:23 --------- d-----w C:\ProgramData\eMule
2008-05-17 21:50 70,656 ----a-w C:\Windows\ScUnin.exe
2008-05-16 09:58 12,632 ----a-w C:\Windows\System32\lsdelete.exe
2008-05-12 21:02 --------- d-----w C:\Users\Sascha\AppData\Roaming\temp
2008-05-10 01:33 113,664 ----a-w C:\Windows\system32\drivers\rmcast.sys
2008-05-04 19:30 0 ---ha-w C:\Windows\system32\drivers\Msft_User_WpdMtpDr_01_00_00.Wdf
2008-05-01 03:26 --------- d-----w C:\ProgramData\TechSmith
2008-05-01 03:26 --------- d-----w C:\Program Files\WMR11
2008-05-01 03:26 --------- d-----w C:\Program Files\TechSmith
2008-05-01 03:19 --------- d---a-w C:\ProgramData\TEMP
2008-05-01 02:56 --------- d-----w C:\Program Files\Common Files\TechSmith Shared
2008-05-01 02:40 --------- d-----w C:\Users\Sascha\AppData\Roaming\Orbit
2008-05-01 02:40 --------- d-----w C:\Program Files\AviSynth 2.5
2008-04-29 09:20 15,648 ----a-w C:\Windows\system32\drivers\NSDriver.sys
2008-04-29 09:19 15,648 ----a-w C:\Windows\system32\drivers\Awrtrd.sys
2008-04-29 09:19 12,960 ----a-w C:\Windows\system32\drivers\Awrtpd.sys
2008-04-29 03:54 181,760 ----a-w C:\Windows\System32\fsquirt.exe
2008-04-29 01:42 29,184 ----a-w C:\Windows\system32\drivers\BTHUSB.SYS
2008-04-29 01:42 220,160 ----a-w C:\Windows\system32\drivers\bthport.sys
2008-04-26 08:08 1,314,816 ----a-w C:\Windows\System32\quartz.dll
2008-04-25 04:35 826,880 ----a-w C:\Windows\System32\wininet.dll
2008-04-20 12:17 0 ---ha-w C:\Windows\system32\drivers\Msft_User_WpdFs_01_00_00.Wdf
2008-04-18 00:01 174 --sha-w C:\Program Files\desktop.ini
2008-04-17 23:17 82,432 ----a-w C:\Windows\System32\axaltocm.dll
2008-04-17 23:17 101,888 ----a-w C:\Windows\System32\ifxcardm.dll
2008-04-17 22:16 47,560 ----a-w C:\Windows\System32\SPReview.exe
2008-04-17 22:16 152,576 ----a-w C:\Windows\System32\SPWizUI.dll
2008-02-27 15:52 27,240 ----a-w C:\Users\Gast\AppData\Roaming\nvModes.dat
.

<pre>
----a-w         2,827,858 2007-11-04 15:50:44  C:\Users\Sascha\Desktop\laptop backup\fm 08 stuff\sozonefile_08_sponsors_mainsponsors .exe
</pre>
         

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E89DEACE-6D75-44BD-994C-7AE95E5D3D79}]
C:\Windows\system32\nnnnLeFW.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Sidebar"="C:\Program Files\Windows Sidebar\sidebar.exe" [2008-01-18 23:33 1233920]
"DAEMON Tools Lite"="C:\Program Files\DAEMON Tools Lite\daemon.exe" [2008-01-17 18:51 486856]
"MsnMsgr"="C:\Program Files\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 12:34 5724184]
"AdobeUpdater"="C:\Program Files\Common Files\Adobe\Updater5\AdobeUpdater.exe" [2007-03-01 00:06 2321600]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\RunOnce]
"ICQ Lite"="C:\Program Files\ICQLite\ICQLite.exe" [2006-07-11 12:15 3144800]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Apoint"="C:\Program Files\Apoint2K\Apoint.exe" [2006-11-07 22:57 159744]
"BisonAPP"="C:\Windows\BisonCam\BisonAPP.exe" [2007-05-17 23:22 49152]
"PowerManager"="C:\Program Files\Power Manager\PM.exe" [2007-03-13 16:01 29696]
"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-18 12:43 262401]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 04:25 144784]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 19:51 39792]
"TkBellExe"="C:\Program Files\Common Files\Real\Update_OB\realsched.exe" [2008-01-31 20:37 185896]
"ICQ Lite"="C:\Program Files\ICQLite\ICQLite.exe" [2006-07-11 12:15 3144800]
"QuickTime Task"="C:\Program Files\QuickTime\QTTask.exe" [2008-02-01 00:13 385024]
"iTunesHelper"="C:\Program Files\iTunes\iTunesHelper.exe" [2008-02-19 14:10 267048]
"NvSvc"="C:\Windows\system32\nvsvc.dll" [2007-07-19 02:31 86016]
"NvCplDaemon"="C:\Windows\system32\NvCpl.dll" [2007-07-19 02:31 8466432]
"NvMediaCenter"="C:\Windows\system32\NvMcTray.dll" [2007-07-19 02:31 81920]
"SpyHunter Security Suite"="C:\Program Files\Enigma Software Group\SpyHunter\SHStartup.exe" [2008-01-23 15:48 344064]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.i420"= i420vfw.dll
"vidc.DIV3"= DivXc32.dll
"vidc.DIV4"= DivXc32f.dll
"msacm.divxa32"= DivXa32.acm
"vidc.yv12"= yv12vfw.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"{60AEF8EA-164E-432F-9DCF-6483372BF034}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)
"TCP Query User{A7B5DFF2-2B1E-4151-8386-ABC2840D5372}C:\\program files\\icq6\\icq.exe"= UDP:C:\program files\icq6\icq.exe:ICQ Library
"UDP Query User{B31452E0-7FE8-48C3-B48B-56849669EBBC}C:\\program files\\icq6\\icq.exe"= TCP:C:\program files\icq6\icq.exe:ICQ Library
"{1687681D-5B58-467B-8073-915E80AB3EE6}"= UDP:C:\Program Files\Bonjour\mDNSResponder.exe:Bonjour
"{B7D57569-447D-4B2D-B1AF-9AC3B57998C2}"= TCP:C:\Program Files\Bonjour\mDNSResponder.exe:Bonjour
"{C0B33BB8-92F8-478A-A756-07C66655EDC2}"= UDP:C:\Program Files\uTorrent\uTorrent.exe:µTorrent
"{D9BCF50E-D5C1-4F95-9C9B-CE66A2CB5979}"= TCP:C:\Program Files\uTorrent\uTorrent.exe:µTorrent
"TCP Query User{E6158AB6-5A05-4644-BBBB-3BE77DF6AEC2}C:\\program files\\mozilla firefox\\firefox.exe"= UDP:C:\program files\mozilla firefox\firefox.exe:Firefox
"UDP Query User{4E9CE05E-A84F-4279-A16F-FEECA88C9419}C:\\program files\\mozilla firefox\\firefox.exe"= TCP:C:\program files\mozilla firefox\firefox.exe:Firefox
"TCP Query User{8A9F0D8F-F2FE-4348-934F-9A5086B54ECC}C:\\program files\\icqlite\\icqlite.exe"= UDP:C:\program files\icqlite\icqlite.exe:ICQLite
"UDP Query User{A58ADC33-4C3B-4CA5-B007-A7466E82FFBD}C:\\program files\\icqlite\\icqlite.exe"= TCP:C:\program files\icqlite\icqlite.exe:ICQLite
"TCP Query User{A5C5AD22-549C-4E28-8190-AE4F5899966D}C:\\program files\\tvuplayer\\tvuplayer.exe"= UDP:C:\program files\tvuplayer\tvuplayer.exe:TVUPlayer Component
"UDP Query User{6126F591-54C5-433B-BA52-62050A9893DE}C:\\program files\\tvuplayer\\tvuplayer.exe"= TCP:C:\program files\tvuplayer\tvuplayer.exe:TVUPlayer Component
"{620430DA-F057-4FC3-B120-5E38679ACA36}"= UDP:C:\Program Files\Windows Live\Messenger\msnmsgr.exe:Windows Live Messenger
"{B7A31D29-6A0A-49E4-AF2B-F6EAA88E4A00}"= TCP:C:\Program Files\Windows Live\Messenger\msnmsgr.exe:Windows Live Messenger
"{E9AA0CF0-0A55-4596-8E9A-C1968DF863E2}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)
"{AC379221-E89E-44E1-A705-A9AC5BF82070}"= UDP:C:\Program Files\iTunes\iTunes.exe:iTunes
"{791FB095-D58C-4366-8646-7F908EA1F5E8}"= TCP:C:\Program Files\iTunes\iTunes.exe:iTunes
"{5B884311-9DB1-464F-AE02-CF53B521E919}"= UDP:C:\Program Files\uTorrent\uTorrent.exe:µTorrent
"{DE2FE0D8-BAE0-4400-85B1-F77442F542F7}"= TCP:C:\Program Files\uTorrent\uTorrent.exe:µTorrent
"TCP Query User{C640C860-D8FE-40CB-B907-BBDC70178BC2}C:\\program files\\mozilla firefox\\firefox.exe"= UDP:C:\program files\mozilla firefox\firefox.exe:Firefox
"UDP Query User{A614A57E-25CC-404C-8481-524F61CE86BE}C:\\program files\\mozilla firefox\\firefox.exe"= TCP:C:\program files\mozilla firefox\firefox.exe:Firefox
"TCP Query User{8D0C3426-E0E4-45E7-B2A9-56347057259A}C:\\program files\\tvuplayer\\tvuplayer.exe"= UDP:C:\program files\tvuplayer\tvuplayer.exe:TVUPlayer Component
"UDP Query User{912BD638-39F0-4E73-9AE5-28A23665303F}C:\\program files\\tvuplayer\\tvuplayer.exe"= TCP:C:\program files\tvuplayer\tvuplayer.exe:TVUPlayer Component
"TCP Query User{5139D1C6-3466-408D-8326-926770D160FF}C:\\program files\\sopcast\\adv\\sopadver.exe"= UDP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"UDP Query User{8E6D36D7-76A4-4588-BF43-F4924767B441}C:\\program files\\sopcast\\adv\\sopadver.exe"= TCP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"TCP Query User{34F82ED7-9123-49F6-ADCB-500B35DC4451}C:\\program files\\sopcast\\sopcast.exe"= UDP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"UDP Query User{CF6804EB-02A1-4771-BDFE-825A3E95E357}C:\\program files\\sopcast\\sopcast.exe"= TCP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"TCP Query User{C2C8BA3E-A15A-4291-8D8A-D362031C451C}C:\\program files\\icqlite\\icqlite.exe"= UDP:C:\program files\icqlite\icqlite.exe:ICQLite
"UDP Query User{D81739DE-DFE9-4F1F-8131-B12A5CEDCA30}C:\\program files\\icqlite\\icqlite.exe"= TCP:C:\program files\icqlite\icqlite.exe:ICQLite
"{4A7ACBF7-A557-45F0-AAC1-4D7FB7DE3661}"= UDP:\Program Files\Konami\Pro Evolution Soccer 2008\PES2008.exe:Pro Evolution Soccer 2008
"{DEBD5240-95F7-44EF-BE56-A7F87A4E8DBA}"= TCP:\Program Files\Konami\Pro Evolution Soccer 2008\PES2008.exe:Pro Evolution Soccer 2008
"{5A73D03D-F608-4DFD-AAC2-4B5AB384FDB6}"= C:\Program Files\Windows Live\Messenger\livecall.exe:Windows Live Messenger (Phone)
"TCP Query User{C099F3FA-E487-4BD5-8365-AF1E2AA9CBB9}C:\\program files\\konami\\pro evolution soccer 6\\pes6.exe"= UDP:C:\program files\konami\pro evolution soccer 6\pes6.exees6.exe
"UDP Query User{F5DFAAA6-77BD-4340-B799-F70622BD36E8}C:\\program files\\konami\\pro evolution soccer 6\\pes6.exe"= TCP:C:\program files\konami\pro evolution soccer 6\pes6.exees6.exe
"TCP Query User{943BE138-DA75-4E23-B701-6B526906908B}C:\\program files\\emule\\emule.exe"= UDP:C:\program files\emule\emule.exe:eMule
"UDP Query User{0F50E18D-04ED-45E6-A6BD-77E1F782D1DD}C:\\program files\\emule\\emule.exe"= TCP:C:\program files\emule\emule.exe:eMule
"TCP Query User{5E2951DA-D914-4CCA-B0DA-C7AC78D9B4C2}C:\\program files\\real\\realplayer\\realplay.exe"= UDP:C:\program files\real\realplayer\realplay.exe:RealPlayer
"UDP Query User{0575DBEE-3827-4564-9AEA-71A5A98D9AAE}C:\\program files\\real\\realplayer\\realplay.exe"= TCP:C:\program files\real\realplayer\realplay.exe:RealPlayer
"TCP Query User{DB18C99E-6FC3-4B90-8415-9ADB68C85D21}D:\\starcraft\\starcraft.exe"= UDP:\starcraft\starcraft.exe:StarCraft
"UDP Query User{BA73B9A1-27E9-4D11-8EA1-E086840EC8ED}D:\\starcraft\\starcraft.exe"= TCP:\starcraft\starcraft.exe:StarCraft
"{861B7A80-06EB-44FD-B150-6ED7AA061B09}"= UDP:C:\Users\Sascha\Desktop\Half-Life\hl.exe:hl.exe
"{CCF827EB-DBBC-401A-A918-6469B814579F}"= TCP:C:\Users\Sascha\Desktop\Half-Life\hl.exe:hl.exe
"TCP Query User{D2E03D7F-3CE9-403E-87B4-083EBCFD5F7E}D:\\program files\\emule\\emule.exe"= UDP:\program files\emule\emule.exe:eMule
"UDP Query User{1E5E1283-0EAF-4B82-92A2-CC1CAECE5A3E}D:\\program files\\emule\\emule.exe"= TCP:\program files\emule\emule.exe:eMule
"TCP Query User{D5181DB5-A3CB-4096-B199-975C4F13B92A}C:\\program files\\internet explorer\\iexplore.exe"= UDP:C:\program files\internet explorer\iexplore.exe:Internet Explorer
"UDP Query User{3D5CC842-C755-4D18-89BD-6EBA09FA1BE7}C:\\program files\\internet explorer\\iexplore.exe"= TCP:C:\program files\internet explorer\iexplore.exe:Internet Explorer

R2 SpyHunter3 Service;SpyHunter3 Service;"C:\Program Files\Enigma Software Group\SpyHunter\SHService.exe" [2008-01-23 15:48]
R3 SIS163u;SiS163 USB Wireless LAN Adapter Driver;C:\Windows\system32\DRIVERS\sis163u.sys [2007-05-07 14:48]
R3 smscirrx;SMSC CIR Receive;C:\Windows\system32\DRIVERS\smscirrx.sys [2007-02-02 10:51]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs REG_MULTI_SZ BthServ

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{693b3dd0-cabc-11dc-a96a-003005da97ac}]
\shell\AutoRun\command - F:\SETUP.EXE

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{8b34a1be-ca9a-11dc-957d-806e6f6e6963}]
\shell\AutoRun\command - E:\SETUP.EXE

.
Inhalt des "geplante Tasks" Ordners
"2008-06-19 17:24:32 C:\Windows\Tasks\User_Feed_Synchronization-{878468E2-ACB6-4295-87A1-E601750FFA9F}.job"
- C:\Windows\system32\msfeedssync.exe
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-06-20 13:56:38
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\Windows\System32\audiodg.exe
C:\Program Files\Lavasoft\Ad-Aware\aawservice.exe
C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Program Files\Bonjour\mDNSResponder.exe
C:\Windows\System32\drivers\XAudio.exe
C:\Windows\System32\conime.exe
C:\Program Files\Apoint2K\ApMsgFwd.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\Apoint2K\ApntEx.exe
C:\Windows\System32\rundll32.exe
C:\Program Files\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-06-20 14:04:20 - machine was rebooted
ComboFix-quarantined-files.txt 2008-06-20 12:04:09

13 Verzeichnis(se), 8,029,159,424 Bytes frei
20 Verzeichnis(se), 7,761,092,608 Bytes frei

236 --- E O F --- 2008-06-18 11:42:16

Logfile of Trend Micro HijackThis v2.0.2

[edit]
bitte editiere zukünftig deine links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

danke
GUA
[/edit]

Bitte folgende Dateien Bei VirusTotal hochladen und Ergebnise posten:

C:\Windows\ScUnin.exe
C:\Windows\System32\ifxcardm.dll
C:\Windows\System32\SPReview.exe
C:\Windows\System32\SPWizUI.dll
C:\Windows\system32\nnnnLeFW.dll
C:\Program Files\Bonjour\mDNSResponder.exe

Was ist das??
C:\Users\Sascha\Desktop\laptop backup\fm 08 stuff\sozonefile_08_sponsors_mainsponsors .exe
</pre>

Bitte wende mal noch CCleaner an (KEIN log benötigt)

sozonefile_08_sponsors_mainsponsors .exe ist eine heruntergeladene Datei für den Fussball Manager 08, die original Sponsoren ins Spiel bringt. Die ScUnin.exe ist die Deinstallations Exe für Starcraft Broodwar.

Vielleicht sagst du mir noch, was für Ergebnisse du genau willst. Nur die Ergebnisse aus den einzelnen AntivirenTools oder auch die "weiteren Informationen"?

P.S.: Für die missratenen Logs, musste zur Arbeit und hatte nicht die Zeit die Logs noch groß zu bearbeiten.

Kein Problem

Du sollst die genannten Dateien hochladen und dann jedes einzelne Ergebnis posten (mit MD5 Angaben)