Virus TR/Monder.32256

funk · 15.07.2008, 16:49

Hi!

hatte vor zwei tagen einen virenfund auf meinem pc (Windows Vista) und anschließend habe ich AntiVir durchlaufen lassen.

Hier der Report:

Beginne mit der Suche in 'C:\' <Festplatte>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Users\Daniel\AppData\Local\Temp\tmp0000cf11
[FUND] Ist das Trojanische Pferd TR/Monder.32256
[HINWEIS] Die Datei wurde gelöscht.
C:\Windows\System32\fccaApPI.dll
[FUND] Ist das Trojanische Pferd TR/Monder.32256
[WARNUNG] Die Datei konnte nicht gelöscht werden!
C:\Windows\System32\rqRHxYoo.dll
[FUND] Ist das Trojanische Pferd TR/Monder.32256
[HINWEIS] Die Datei wurde gelöscht.

habe die dateien während des durchlaufs dann jeweils sofort gelöscht (wie ersichtlich). ein weiterer durchlauf brachte keine viren mehr zum vorschein (Funde:0)

Seitdem bekomme ich nach dem hochfahren die fehlermeldung:

Fehler beim Laden von C:\Windows\System32\fccaApPI.dll
Das angegebene Modul wurde nicht gefunden.

(-> nichtmal google kennt diese datei)

Außerdem werden nichtmehr alle Symbole im System Tray angezeigt (wie z.B. Computer mit Weltkugel), was aber keine weiteren Auswirkungen hat (Internet funktioniert trotzdem)

würde mich sehr über Eure hilfe freuen!

**Sunny** · 15.07.2008, 17:08

Hallo funk und

SDFix

* Lade das SDFix herunter und speichere es auf deinem Desktop.

* Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
* Starte deinen Rechner neu auf, in den abgesicherten Modus

* Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
* Gib ein Y ein, um den Reinigungsprozess zu beginnen.
* Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
* Nun wirst du darum gebeten, eine Taste zu drücken, damit dein Rechner neu aufstarten kann.
* Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
* Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
* Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
* Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
* Kopiere den Inhalt dieses Report.txt und poste ihn, zusammen mit einem neuen HijackThis Logfile in deinem nächsten Posting.

Malwarebytes' Anti-Malware

Lies dir die Entfernungsanleitung durch und lass alles entfernen was gefunden wurde:

Download von Malwarebytes' Anti-Malware

funk · 16.07.2008, 15:21

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.20
Datenbank Version: 957
Windows 6.0.6001 Service Pack 1

23:33:22 15.07.2008
mbam-log-7-15-2008 (23-33-22).txt

Scan Art: Komplett Scan (C:\|D:\|)
Objekte gescannt: 205134
Scan Dauer: 1 hour(s), 17 minute(s), 24 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 2
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{62d6dda7-8fe9-47f1-b8e9-d1d0d3d9ff3a} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\MSServer (Malware.Trace) -> Quarantined and deleted successfully.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
(Keine Malware Objekte gefunden)

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:57:45, on 15.07.2008
Platform: Windows Vista SP1 (WinNT 6.00.1905)
MSIE: Internet Explorer v7.00 (7.00.6001.18000)
Boot mode: Normal

Running processes:
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Windows\system32\taskeng.exe
C:\Program Files\Windows Defender\MSASCui.exe
C:\Windows\RtHDVCpl.exe
C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe
C:\Program Files\Launch Manager\WButton.exe
C:\Program Files\Launch Manager\OSD.exe
C:\Program Files\Adobe\Reader 8.0\Reader\reader_sl.exe
C:\Windows\ehome\ehtray.exe
D:\Tobit ClipInc\Player\ClipIncTray.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\System32\rundll32.exe
C:\Windows\ehome\ehmsas.exe
C:\Windows\System32\mobsync.exe
C:\Program Files\Synaptics\SynTP\SynMedion.exe
C:\Users\XXX\AppData\Local\Temp\Rar$EX02.949\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://www.aldi.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 
O1 - Hosts: ::1 localhost
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Program Files\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Program Files\TechSmith\SnagIt 8\SnagItIEAddin.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [RtHDVCpl] RtHDVCpl.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Program Files\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] "C:\Program Files\Launch Manager\LaunchAp.exe"
O4 - HKLM\..\Run: [HotkeyApp] "C:\Program Files\Launch Manager\HotkeyApp.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [LMgrOSD] "C:\Program Files\Launch Manager\OSD.exe"
O4 - HKLM\..\Run: [UVS10 Preload] C:\Program Files\Ulead Systems\Ulead VideoStudio SE DVD\uvPL.exe
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvSvc] RUNDLL32.EXE C:\Windows\system32\nvsvc.dll,nvsvcStart
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\Windows\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\Windows\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [MSServer] rundll32.exe C:\Windows\system32\fccaApPI.dll,#1
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKCU\..\Run: [ehTray.exe] C:\Windows\ehome\ehTray.exe
O4 - HKCU\..\Run: [ClipIncSrvTray] "D:\Tobit ClipInc\Player\ClipIncTray.exe"
O4 - HKCU\..\Run: [WMPNSCFG] C:\Program Files\Windows Media Player\WMPNSCFG.exe
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETZWERKDIENST')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Program Files\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: p6_19_erinnerung.lnk = C:\Program Files\phase6\phase6_19_download\WinStart\p6erinnerung.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Program Files\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: eBay - Der weltweite Online-Marktplatz - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-1170-17534-17/4 (file missing)
O9 - Extra 'Tools' menuitem: eBay - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-1170-17534-17/4 (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Program Files\ICQ6\ICQ.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Program Files\PartyGaming.Net\PartyPokerNet\RunPF.exe
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Program Files\PartyGaming.Net\PartyPokerNet\RunPF.exe
O9 - Extra button: eBay - Der weltweite Online-Marktplatz - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-1170-17534-17/4 (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: eBay - {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - h**p://rover.ebay.com/rover/1/707-1170-17534-17/4 (file missing) (HKCU)
O13 - Gopher Prefix: 
O23 - Service: Adobe LM Service - Unknown owner - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Program Files\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - D:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - C:\Program Files\ALDI Sued Foto Service\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Program Files\Common Files\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Program Files\Common Files\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: Jetico Personal Firewall server - Unknown owner - C:\Program Files\Jetico\Jetico Personal Firewall\jpfsrv.exe (file missing)
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Program Files\Common Files\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Program Files\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: SiSoftware Database Agent Service (SandraDataSrv) - SiSoftware - C:\Program Files\SiSoftware Sandra Lite XIIc\Win32\RpcDataSrv.exe
O23 - Service: SiSoftware Sandra Agent Service (SandraTheSrv) - SiSoftware - C:\Program Files\SiSoftware Sandra Lite XIIc\RpcSandraSrv.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Program Files\Common Files\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: WisLMSvc - Wistron Corp. - C:\Program Files\Launch Manager\WisLMSvc.exe

--
End of file - 8503 bytes

Das SDFix-Programm, konnte ich im abgesicherten Modus nicht starten, da das Fenster mit der Kommandozeile immer sofort wieder geschlossen wurde, sobald es offen war.
Aber seitdem ich das Malware-Programm durchlaufen lassen habe, erscheint die Fehlermeldung mit der Systemdatei nichtmehr.

funk · 21.07.2008, 15:00

würd mich freuen, wenn mir noch jemand weiterhelfen könnte...
Danke schonmal!

**Sunny** · 21.07.2008, 16:28

Zitat:

Zitat von funk

würd mich freuen, wenn mir noch jemand weiterhelfen könnte...
Danke schonmal!

Sorry, hatte die letzten Tag recht viel um die Ohren, aber nun gehts weiter:

ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

(ausführliche Anleitung -> Ein Leitfaden und Tutorium zur Nutzung von ComboFix)

funk · 21.07.2008, 21:06

kein problem, dachte nur, ich wäre vergessen worden

ComboFix 08-07-20.A0 - Daniel 2008-07-21 21:53:52.1 - NTFSx86
Microsoft® Windows Vista™ Home Premium 6.0.6001.1.1252.1.1031.18.362 [GMT 2:00]
ausgeführt von:: C:\Users\Daniel\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Windows\system32\MSINET.oca
C:\Windows\System32\UEhOnnnn.ini
C:\Windows\System32\UEhOnnnn.ini2

.
((((((((((((((((((((((( Dateien erstellt von 2008-06-21 bis 2008-07-21 ))))))))))))))))))))))))))))))
.

2008-07-21 21:43 . 2008-07-21 21:43 <DIR> d-------- C:\Program Files\CCleaner
2008-07-15 22:09 . 2008-07-15 22:09 <DIR> d-------- C:\Users\Daniel\AppData\Roaming\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:08 <DIR> d-------- C:\Users\All Users\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:08 <DIR> d-------- C:\ProgramData\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:09 <DIR> d-------- C:\Program Files\Malwarebytes' Anti-Malware
2008-07-15 22:08 . 2008-07-07 17:35 34,296 --a------ C:\Windows\System32\drivers\mbamcatchme.sys
2008-07-15 22:08 . 2008-07-07 17:35 17,144 --a------ C:\Windows\System32\drivers\mbam.sys
2008-07-13 12:14 . 2008-07-13 12:14 <DIR> d-------- C:\Users\All Users\TechSmith
2008-07-13 12:14 . 2008-07-13 12:14 <DIR> d-------- C:\ProgramData\TechSmith
2008-07-13 12:13 . 2008-07-13 12:13 <DIR> d-------- C:\Program Files\TechSmith
2008-07-11 15:33 . 2008-06-26 03:45 12,240,896 --a------ C:\Windows\System32\NlsLexicons0007.dll
2008-07-11 15:33 . 2008-06-26 03:45 2,644,480 --a------ C:\Windows\System32\NlsLexicons0009.dll
2008-07-11 15:33 . 2008-06-26 05:29 801,280 --a------ C:\Windows\System32\NaturalLanguage6.dll
2008-07-06 14:54 . 2008-07-06 14:55 <DIR> d-------- C:\Users\Daniel\AppData\Roaming\dvdcss
2008-07-02 19:22 . 2008-07-02 19:22 0 --ah----- C:\Windows\System32\drivers\Msft_User_WpdFs_01_00_00.Wdf
2008-06-25 16:32 . 2008-05-10 05:35 885,248 --a------ C:\Windows\System32\RacEngn.dll
2008-06-25 16:32 . 2008-05-10 00:22 9,127 --a------ C:\Windows\System32\RacUR.xml
2008-06-25 16:32 . 2008-05-10 00:22 153 --a------ C:\Windows\System32\RacUREx.xml
2008-06-23 22:16 . 2008-01-19 09:33 2,623,488 --a------ C:\Windows\System32\SLsvc.exe
2008-06-23 22:16 . 2008-01-19 09:36 1,541,120 --a------ C:\Windows\System32\onex.dll
2008-06-23 22:14 . 2008-01-19 05:12 3,662,296 --a------ C:\Windows\System32\locale.nls
2008-06-23 22:13 . 2008-01-19 09:35 4,875,776 --a------ C:\Windows\System32\NlsData0009.dll
2008-06-23 22:12 . 2008-01-19 09:35 9,847,296 --a------ C:\Windows\System32\NlsData000a.dll
2008-06-23 22:11 . 2008-01-19 09:35 3,072,000 --a------ C:\Windows\System32\networkmap.dll
2008-06-23 22:10 . 2008-01-19 09:36 2,588,160 --a------ C:\Windows\System32\UIHub.dll
2008-06-23 22:09 . 2008-01-19 08:06 8,147,456 --a------ C:\Windows\System32\wmploc.DLL
2008-06-23 22:08 . 2008-01-19 09:33 599,552 --a------ C:\Windows\System32\vsp1cln.exe
2008-06-23 22:08 . 2008-01-05 13:31 145,455 --a------ C:\Windows\System32\perfmon.msc
2008-06-23 22:08 . 2008-01-05 13:22 144,909 --a------ C:\Windows\System32\fsmgmt.msc
2008-06-23 22:08 . 2008-01-05 13:34 15,181 --a------ C:\Windows\System32\gatherWirelessInfo.vbs
2008-06-23 22:08 . 2008-01-05 13:21 12,198 --a------ C:\Windows\System32\gatherWiredInfo.vbs
2008-06-23 22:08 . 2008-01-19 07:37 2,048 --a------ C:\Windows\System32\wertargets.wtl
2008-06-23 22:08 . 2008-01-05 13:31 3 --a------ C:\Windows\System32\drivers\MsftWdf_Kernel_01007_Inbox_Critical.Wdf
2008-06-23 22:07 . 2008-01-19 09:36 704,512 --a------ C:\Windows\System32\SmiEngine.dll
2008-06-23 22:07 . 2008-01-19 09:36 357,888 --a------ C:\Windows\System32\wbemcomn.dll
2008-06-23 22:07 . 2008-01-19 09:36 139,264 --a------ C:\Windows\System32\SmiInstaller.dll
2008-06-23 22:06 . 2008-01-19 09:34 305,152 --a------ C:\Windows\System32\msdelta.dll
2008-06-23 22:06 . 2008-01-19 09:34 258,560 --a------ C:\Windows\System32\dpx.dll
2008-06-23 22:06 . 2008-01-19 09:34 246,784 --a------ C:\Windows\System32\drvstore.dll
2008-06-23 22:06 . 2008-01-19 09:36 218,624 --a------ C:\Windows\System32\wdscore.dll
2008-06-23 22:06 . 2008-01-19 09:33 130,560 --a------ C:\Windows\System32\PkgMgr.exe
2008-06-23 22:06 . 2008-01-19 09:35 35,328 --a------ C:\Windows\System32\mspatcha.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-07-21 14:35 61,624 ----a-w C:\Users\Daniel\AppData\Roaming\nvModes.dat
2008-07-21 13:56 --------- d-----w C:\ProgramData\AntiVir PersonalEdition Classic
2008-07-20 08:49 --------- d-----w C:\Program Files\Trillian
2008-07-13 10:06 --------- d-----w C:\Program Files\Common Files\Wise Installation Wizard
2008-07-10 15:47 --------- d-----w C:\Program Files\Windows Mail
2008-07-09 13:43 1,553,160 ----a-w C:\Windows\CISUnins.exe
2008-07-09 13:43 1,553,160 ----a-w C:\Windows\CICUnins.exe
2008-06-24 19:13 174 --sha-w C:\Program Files\desktop.ini
2008-06-24 18:58 --------- d-----w C:\Program Files\Windows Sidebar
2008-06-24 18:58 --------- d-----w C:\Program Files\Windows Calendar
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Photo Gallery
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Journal
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Defender
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Collaboration
2008-06-24 17:13 82,432 ----a-w C:\Windows\System32\axaltocm.dll
2008-06-24 17:13 101,888 ----a-w C:\Windows\System32\ifxcardm.dll
2008-05-15 08:20 111,368 ----a-w C:\Users\Daniel\AppData\Roaming\GDIPFONTCACHEV1.DAT
2008-05-10 03:35 564,736 ----a-w C:\Windows\System32\emdmgmt.dll
2008-05-08 21:59 90,112 ----a-w C:\Windows\System32\wshext.dll
2008-05-08 21:59 430,080 ----a-w C:\Windows\System32\vbscript.dll
2008-05-08 21:59 180,224 ----a-w C:\Windows\System32\scrobj.dll
2008-05-08 21:59 172,032 ----a-w C:\Windows\System32\scrrun.dll
2008-05-08 21:59 155,648 ----a-w C:\Windows\System32\wscript.exe
2008-05-08 21:58 135,168 ----a-w C:\Windows\System32\cscript.exe
2008-04-26 08:25 3,600,952 ----a-w C:\Windows\System32\ntkrnlpa.exe
2008-04-26 08:25 3,549,240 ----a-w C:\Windows\System32\ntoskrnl.exe
2008-04-26 08:08 1,314,816 ----a-w C:\Windows\System32\quartz.dll
2008-04-25 04:35 826,880 ----a-w C:\Windows\System32\wininet.dll
2008-04-23 04:42 428,544 ----a-w C:\Windows\System32\EncDec.dll
2008-04-23 04:42 293,376 ----a-w C:\Windows\System32\psisdecd.dll
2008-03-31 09:24 208 ----a-w C:\Users\Daniel\AppData\Roaming\wklnhst.dat
2007-12-27 16:24 16,384 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2007-12-27 16:24 32,768 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2007-12-27 16:24 16,384 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
2008-03-29 11:03 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\MSHist012008032920080330\index.dat
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray.exe"="C:\Windows\ehome\ehTray.exe" [2008-01-19 09:33 125952]
"ClipIncSrvTray"="D:\Tobit ClipInc\Player\ClipIncTray.exe" [2008-07-02 10:55 591112]
"WMPNSCFG"="C:\Program Files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 09:33 202240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2007-02-15 22:50 857648]
"LaunchAp"="C:\Program Files\Launch Manager\LaunchAp.exe" [2005-07-25 14:36 32768]
"HotkeyApp"="C:\Program Files\Launch Manager\HotkeyApp.exe" [2006-12-14 17:53 192512]
"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-19 16:16 266497]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"Wbutton"="C:\Program Files\Launch Manager\Wbutton.exe" [2006-11-09 15:37 86016]
"LMgrOSD"="C:\Program Files\Launch Manager\OSD.exe" [2006-12-26 12:23 180224]
"UVS10 Preload"="C:\Program Files\Ulead Systems\Ulead VideoStudio SE DVD\uvPL.exe" [2006-08-09 13:27 36864]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]
"NvSvc"="C:\Windows\system32\nvsvc.dll" [2007-01-13 11:40 90191]
"NvCplDaemon"="C:\Windows\system32\NvCpl.dll" [2007-01-13 11:40 7766016]
"NvMediaCenter"="C:\Windows\system32\NvMcTray.dll" [2007-01-13 11:40 81920]
"RtHDVCpl"="RtHDVCpl.exe" [2007-02-15 18:07 4390912 C:\Windows\RtHDVCpl.exe]

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\
Adobe Gamma Loader.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2007-06-04 16:01:34 113664]
Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 01:01:04 83360]
p6_19_erinnerung.lnk - C:\Program Files\phase6\phase6_19_download\WinStart\p6erinnerung.exe [2007-02-11 20:20:42 49152]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"msacm.l3acm"= C:\Windows\system32\l3codecp.acm
"msacm.dvacm"= C:\PROGRA~1\COMMON~1\ULEADS~1\Vio\Dvacm.acm
"msacm.MPEGacm"= C:\PROGRA~1\COMMON~1\ULEADS~1\MPEG\MPEGacm.acm
"msacm.ulmp3acm"= C:\PROGRA~1\COMMON~1\ULEADS~1\MPEG\ulmp3acm.acm
"msacm.l3codec"= C:\Windows\system32\l3codecp.acm

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"TCP Query User{EF9CE83C-9C9A-41CB-8D92-2D6FA1C1F2E7}C:\\program files\\trillian\\trillian.exe"= UDP:C:\program files\trillian\trillian.exe:Trillian
"UDP Query User{9EE540D6-3AC8-4FCD-9E0F-01520F03D37E}C:\\program files\\trillian\\trillian.exe"= TCP:C:\program files\trillian\trillian.exe:Trillian
"TCP Query User{C2649D01-0807-4636-8AEF-8AB7985B1151}C:\\program files\\icq6\\icq.exe"= UDP:C:\program files\icq6\icq.exe:ICQ Library
"UDP Query User{5E0907F7-E9BF-4254-A540-F9B0FF4F5389}C:\\program files\\icq6\\icq.exe"= TCP:C:\program files\icq6\icq.exe:ICQ Library
"TCP Query User{0DCB5951-E4DD-4936-81FD-308CF401F87A}C:\\program files\\mozilla firefox\\firefox.exe"= UDP:C:\program files\mozilla firefox\firefox.exe:Firefox
"UDP Query User{6F0FAD9F-A100-4443-BA4E-B52BA39B1702}C:\\program files\\mozilla firefox\\firefox.exe"= TCP:C:\program files\mozilla firefox\firefox.exe:Firefox
"TCP Query User{C6698B95-8DCE-4B32-814A-861B338238B4}C:\\program files\\internet explorer\\iexplore.exe"= UDP:C:\program files\internet explorer\iexplore.exe:Internet Explorer
"UDP Query User{C065ECF7-DEF4-410D-A4F0-CA401F6A8DA6}C:\\program files\\internet explorer\\iexplore.exe"= TCP:C:\program files\internet explorer\iexplore.exe:Internet Explorer
"TCP Query User{EC2F1377-6D9E-4730-8409-D0E7A8868548}C:\\program files\\cs\\hl.exe"= UDP:C:\program files\cs\hl.exe:Half-Life Launcher
"UDP Query User{8B789B58-BDD0-4BB1-A3B7-D87F1E67DEC7}C:\\program files\\cs\\hl.exe"= TCP:C:\program files\cs\hl.exe:Half-Life Launcher
"TCP Query User{5F429750-4AF8-4C9C-9EAF-5DDCEDB47349}C:\\users\\daniel\\desktop\\counter-strike source\\hl2.exe"= UDP:C:\users\daniel\desktop\counter-strike source\hl2.exe:hl2.exe
"UDP Query User{66594882-2505-4338-901F-B860B92F5FAE}C:\\users\\daniel\\desktop\\counter-strike source\\hl2.exe"= TCP:C:\users\daniel\desktop\counter-strike source\hl2.exe:hl2.exe
"TCP Query User{DFA649F4-6EB1-4FFD-9718-6B6E1ACEEEC1}D:\\tobit clipinc\\player\\clipinc-player.exe"= UDP

:\tobit clipinc\player\clipinc-player.exe:ClipInc. Player
"UDP Query User{D9E5045D-55F6-42AD-91F5-243BEC5E2688}D:\\tobit clipinc\\player\\clipinc-player.exe"= TCP

:\tobit clipinc\player\clipinc-player.exe:ClipInc. Player
"TCP Query User{1BAB2B2D-7B50-40D4-B292-F5CC7401D836}C:\\program files\\counter-strike source\\hl2.exe"= UDP:C:\program files\counter-strike source\hl2.exe:hl2
"UDP Query User{B9C81022-916C-4A2D-B01A-61CD4840A7C1}C:\\program files\\counter-strike source\\hl2.exe"= TCP:C:\program files\counter-strike source\hl2.exe:hl2
"{E12CDC3A-A133-48A0-B4CE-914CE6AAB354}"= UDP

:\Tobit ClipInc\Server\ClipInc-Server.exe:ClipInc Server
"{64EF6BE3-F91E-4E4D-91B2-3C594F88BC8A}"= TCP

:\Tobit ClipInc\Server\ClipInc-Server.exe:ClipInc Server
"TCP Query User{D96DD701-6DE2-432B-8996-AE344ECEC671}C:\\program files\\sopcast\\sopcast.exe"= UDP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"UDP Query User{E65866CF-5D26-4501-92EA-187CAC3842D4}C:\\program files\\sopcast\\sopcast.exe"= TCP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"TCP Query User{9D66560D-B95B-41D4-A007-5752BCCA1C44}C:\\program files\\sopcast\\adv\\sopadver.exe"= UDP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"UDP Query User{8D8D1BE8-1B62-4BD4-BCAD-9CD3444531E6}C:\\program files\\sopcast\\adv\\sopadver.exe"= TCP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"TCP Query User{ED94B354-97C0-4638-A4FE-579C7546ADE9}C:\\program files\\tvuplayer\\tvuplayer.exe"= UDP:C:\program files\tvuplayer\tvuplayer.exe:TVU Player Component
"UDP Query User{E4FAB088-2DA9-4E26-B775-64FEE608560A}C:\\program files\\tvuplayer\\tvuplayer.exe"= TCP:C:\program files\tvuplayer\tvuplayer.exe:TVU Player Component
"TCP Query User{C675931B-2E4D-491F-8DC2-B067D6FE10B0}C:\\program files\\trillian\\trillian.exe"= UDP:C:\program files\trillian\trillian.exe:Trillian
"UDP Query User{997C9588-598D-4D1A-AF0F-BBEA63D5E691}C:\\program files\\trillian\\trillian.exe"= TCP:C:\program files\trillian\trillian.exe:Trillian

R1 bc_hash_f;BC_HASH_Filter;C:\Windows\system32\drivers\bc_hash_f.sys [2007-04-09 10:39]
R1 Hotkey;Hotkey;C:\Windows\system32\drivers\Hotkey.sys [2003-04-28 12:27]
R2 UxTuneUp;TuneUp Designerweiterung;C:\Windows\System32\svchost.exe [2008-01-19 09:33]
R3 athrusb;Atheros Wireless LAN USB device driver;C:\Windows\system32\DRIVERS\athrusb.sys [2007-01-08 20:34]
R3 BcfilterMP;BcfilterMP;C:\Windows\system32\DRIVERS\bcfilter.sys [2007-01-26 07:58]
R3 WisLMSvc;WisLMSvc;C:\Program Files\Launch Manager\WisLMSvc.exe [2006-11-17 21:45]
S2 ClipInc001;ClipInc 001;D:\Tobit ClipInc\Server\ClipInc-Server.exe 001 []
S2 Jetico Personal Firewall server;Jetico Personal Firewall server;C:\Program Files\Jetico\Jetico Personal Firewall\jpfsrv.exe []
S3 Bcfilter;Jetico Personal Firewall Network Monitor;C:\Windows\system32\DRIVERS\bcfilter.sys [2007-01-26 07:58]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\Program Files\ALDI Sued Foto Service\Common\Database\bin\fbserver.exe []
S4 Ivbpncdpui;Ivbpncdpui;C:\Windows\system32\drivers\cdrom.sys [2008-01-19 07:49]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a26b9020-6b6e-11dc-a29f-0016d382413c}]
\shell\AutoRun\command - F:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ad5e0ea6-8b85-11dc-80de-0016d382413c}]
\shell\AutoRun\command - setupSNK.exe

*Newly Created Service* - CATCHME
*Newly Created Service* - PROCEXP90

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{AB827DD6-9B4B-B33D-97DB-D232CB6C97C2}]
C:\Windows\mswinapp\info.exe s
.
Inhalt des "geplante Tasks" Ordners
"2008-07-18 15:18:08 C:\Windows\Tasks\1-Klick-Wartung.job"
- C:\Program Files\TuneUp Utilities 2007\SystemOptimizer.exe
"2008-07-21 13:55:36 C:\Windows\Tasks\User_Feed_Synchronization-{DBA1B8AB-4362-4A3A-BE89-7F58925D41BD}.job"
- C:\Windows\system32\msfeedssync.exe
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

WebBrowser-{8FF5E180-ABDE-46EB-B09E-D2AAB95CABE3} - (no file)

.
------- Supplementary Scan -------
.
R0 -: HKCU-Main,Start Page = hxxp://web.de/
R1 -: HKCU-Internet Settings,ProxyOverride = *.local
O8 -: Nach Microsoft &Excel exportieren - C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000
O8 -: Nach Microsoft E&xel exportieren - C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 -: {0B65DCC9-1740-43dc-B19C-4F309FB6A6CA} - http://rover.ebay.com/rover/1/707-1170-17534-17/4
O9 -: {F4430FE8-2638-42e5-B849-800749B94EED} - C:\Program Files\PartyGaming.Net\PartyPokerNet\RunPF.exe

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-07-21 21:58:44
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-07-21 22:00:33
ComboFix-quarantined-files.txt 2008-07-21 20:00:25

Pre-Run: 8 Verzeichnis(se), 16,017,215,488 Bytes frei
Post-Run: 15 Verzeichnis(se), 15,901,794,304 Bytes frei

211 --- E O F --- 2008-07-16 19:14:04

funk · 05.08.2008, 19:20

weiss noch jemand was....?

**Sunny** · 05.08.2008, 19:39

Scripten mit Combofix

Öffne den Editor ( Start -> Zubehör -> Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

ATTFilter

FILE::
C:\Users\Daniel\AppData\Local\Temp\tmp0000cf11
C:\Windows\System32\fccaApPI.dll
C:\Windows\System32\rqRHxYoo.dll

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann

Danach nochmal mit Antivir scannen, jedoch mit diesen Einstellungen:

http://www.trojaner-board.de/54192-a...tellungen.html

funk · 12.08.2008, 00:24

ComboFix 08-07-20.A0 - Daniel 2008-08-09 17:14:17.2 - NTFSx86
Microsoft® Windows Vista™ Home Premium 6.0.6001.1.1252.1.1031.18.374 [GMT 2:00]
ausgeführt von:: C:\Users\Daniel\Desktop\ComboFix.exe
Command switches used :: C:\Users\Daniel\Desktop\cfscript.txt
* Neuer Wiederherstellungspunkt wurde erstellt
.
- REDUZIERTER FUNKTIONALITÄT -

FILE ::
C:\Users\Daniel\AppData\Local\Temp\tmp0000cf11
C:\Windows\System32\fccaApPI.dll
C:\Windows\System32\rqRHxYoo.dll
.

((((((((((((((((((((((( Dateien erstellt von 2008-07-09 bis 2008-08-09 ))))))))))))))))))))))))))))))
.

2008-07-21 21:43 . 2008-07-21 21:43 <DIR> d-------- C:\Program Files\CCleaner
2008-07-15 22:09 . 2008-07-15 22:09 <DIR> d-------- C:\Users\Daniel\AppData\Roaming\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:08 <DIR> d-------- C:\Users\All Users\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:08 <DIR> d-------- C:\ProgramData\Malwarebytes
2008-07-15 22:08 . 2008-07-15 22:09 <DIR> d-------- C:\Program Files\Malwarebytes' Anti-Malware
2008-07-15 22:08 . 2008-07-07 17:35 34,296 --a------ C:\Windows\System32\drivers\mbamcatchme.sys
2008-07-15 22:08 . 2008-07-07 17:35 17,144 --a------ C:\Windows\System32\drivers\mbam.sys
2008-07-13 12:14 . 2008-07-13 12:14 <DIR> d-------- C:\Users\All Users\TechSmith
2008-07-13 12:14 . 2008-07-13 12:14 <DIR> d-------- C:\ProgramData\TechSmith
2008-07-13 12:13 . 2008-07-13 12:13 <DIR> d-------- C:\Program Files\TechSmith
2008-07-11 15:33 . 2008-06-26 03:45 12,240,896 --a------ C:\Windows\System32\NlsLexicons0007.dll
2008-07-11 15:33 . 2008-06-26 03:45 2,644,480 --a------ C:\Windows\System32\NlsLexicons0009.dll
2008-07-11 15:33 . 2008-06-26 05:29 801,280 --a------ C:\Windows\System32\NaturalLanguage6.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-09 15:10 --------- d-----w C:\Program Files\Trillian
2008-08-09 14:44 61,624 ----a-w C:\Users\Daniel\AppData\Roaming\nvModes.dat
2008-08-09 14:44 --------- d-----w C:\ProgramData\AntiVir PersonalEdition Classic
2008-07-22 18:07 --------- d-----w C:\Program Files\Java
2008-07-13 10:06 --------- d-----w C:\Program Files\Common Files\Wise Installation Wizard
2008-07-10 15:47 --------- d-----w C:\Program Files\Windows Mail
2008-07-09 13:43 1,553,160 ----a-w C:\Windows\CISUnins.exe
2008-07-09 13:43 1,553,160 ----a-w C:\Windows\CICUnins.exe
2008-07-06 12:55 --------- d-----w C:\Users\Daniel\AppData\Roaming\dvdcss
2008-07-02 17:22 0 ---ha-w C:\Windows\system32\drivers\Msft_User_WpdFs_01_00_00.Wdf
2008-06-24 19:13 174 --sha-w C:\Program Files\desktop.ini
2008-06-24 18:58 --------- d-----w C:\Program Files\Windows Sidebar
2008-06-24 18:58 --------- d-----w C:\Program Files\Windows Calendar
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Photo Gallery
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Journal
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Defender
2008-06-24 18:57 --------- d-----w C:\Program Files\Windows Collaboration
2008-06-24 17:13 82,432 ----a-w C:\Windows\System32\axaltocm.dll
2008-06-24 17:13 101,888 ----a-w C:\Windows\System32\ifxcardm.dll
2008-05-15 08:20 111,368 ----a-w C:\Users\Daniel\AppData\Roaming\GDIPFONTCACHEV1.DAT
2008-05-10 03:35 885,248 ----a-w C:\Windows\System32\RacEngn.dll
2008-05-10 03:35 564,736 ----a-w C:\Windows\System32\emdmgmt.dll
2008-03-31 09:24 208 ----a-w C:\Users\Daniel\AppData\Roaming\wklnhst.dat
2007-12-27 16:24 16,384 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
2007-12-27 16:24 32,768 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
2007-12-27 16:24 16,384 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
2008-03-29 11:03 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\MSHist012008032920080330\index.dat
.

((((((((((((((((((((((((((((( snapshot@2008-07-21_21.59.52.59 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-07-21 19:02:30 2,048 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
+ 2008-08-09 10:44:07 2,048 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive0.dat
- 2008-07-21 19:02:30 2,048 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
+ 2008-08-09 10:44:07 2,048 --sha-w C:\Windows\ServiceProfiles\LocalService\AppData\Local\lastalive1.dat
- 2008-07-21 19:05:04 262,144 ----a-w C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT
+ 2008-08-09 11:19:19 262,144 ----a-w C:\Windows\ServiceProfiles\LocalService\NTUSER.DAT
+ 2008-08-09 11:19:19 262,144 ---ha-w C:\Windows\ServiceProfiles\LocalService\ntuser.dat.LOG1
- 2008-07-21 19:58:16 217,088 ----a-w C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT
+ 2008-08-09 15:14:53 217,088 ----a-w C:\Windows\ServiceProfiles\NetworkService\NTUSER.DAT
- 2008-07-21 19:02:31 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
+ 2008-08-09 14:44:16 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\History\History.IE5\index.dat
- 2008-07-21 19:02:31 376,832 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
+ 2008-08-09 14:44:16 393,216 --sha-w C:\Windows\System32\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files\Content.IE5\index.dat
- 2008-07-21 19:02:31 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
+ 2008-08-09 14:44:16 32,768 --sha-w C:\Windows\System32\config\systemprofile\AppData\Roaming\Microsoft\Windows\Cookies\index.dat
- 2008-07-21 19:53:41 262,144 ----a-w C:\Windows\System32\config\systemprofile\ntuser.dat
+ 2008-08-09 15:14:01 262,144 ----a-w C:\Windows\System32\config\systemprofile\ntuser.dat
+ 2008-08-09 15:14:01 262,144 ---ha-w C:\Windows\System32\config\systemprofile\ntuser.dat.LOG1
- 2008-02-22 00:23:35 135,168 ----a-w C:\Windows\System32\java.exe
+ 2008-06-09 23:21:01 135,168 ----a-w C:\Windows\System32\java.exe
- 2008-02-22 00:23:39 135,168 ----a-w C:\Windows\System32\javaw.exe
+ 2008-06-09 23:21:04 135,168 ----a-w C:\Windows\System32\javaw.exe
- 2008-02-22 01:33:32 139,264 ----a-w C:\Windows\System32\javaws.exe
+ 2008-06-10 00:32:34 139,264 ----a-w C:\Windows\System32\javaws.exe
- 2008-07-15 16:52:57 122,648 ----a-w C:\Windows\System32\perfc007.dat
+ 2008-07-24 19:26:45 122,648 ----a-w C:\Windows\System32\perfc007.dat
- 2008-07-15 16:52:57 101,250 ----a-w C:\Windows\System32\perfc009.dat
+ 2008-07-24 19:26:45 101,250 ----a-w C:\Windows\System32\perfc009.dat
- 2008-07-15 16:52:57 618,430 ----a-w C:\Windows\System32\perfh007.dat
+ 2008-07-24 19:26:45 618,430 ----a-w C:\Windows\System32\perfh007.dat
- 2008-07-15 16:52:57 587,178 ----a-w C:\Windows\System32\perfh009.dat
+ 2008-07-24 19:26:45 587,178 ----a-w C:\Windows\System32\perfh009.dat
- 2008-07-21 19:05:04 11,572 ----a-w C:\Windows\System32\WDI\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-591754283-1394516240-172930677-1001_UserData.bin
+ 2008-08-09 10:47:00 11,644 ----a-w C:\Windows\System32\WDI\{86432a0b-3c7d-4ddf-a89c-172faa90485d}\S-1-5-21-591754283-1394516240-172930677-1001_UserData.bin
- 2008-07-21 19:05:03 64,866 ----a-w C:\Windows\System32\WDI\BootPerformanceDiagnostics_SystemData.bin
+ 2008-08-09 10:46:59 65,056 ----a-w C:\Windows\System32\WDI\BootPerformanceDiagnostics_SystemData.bin
- 2008-07-21 19:04:55 47,224 ----a-w C:\Windows\System32\WDI\ShutdownPerformanceDiagnostics_SystemData.bin
+ 2008-08-09 10:46:53 47,506 ----a-w C:\Windows\System32\WDI\ShutdownPerformanceDiagnostics_SystemData.bin
- 2008-07-21 14:35:29 193,364 ----a-w C:\Windows\System32\WDI\SuspendPerformanceDiagnostics_SystemData_S3.bin
+ 2008-08-09 14:44:07 195,330 ----a-w C:\Windows\System32\WDI\SuspendPerformanceDiagnostics_SystemData_S3.bin
.
-- Snapshot reset to current date --
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray.exe"="C:\Windows\ehome\ehTray.exe" [2008-01-19 09:33 125952]
"ClipIncSrvTray"="D:\Tobit ClipInc\Player\ClipIncTray.exe" [2008-07-02 10:55 591112]
"WMPNSCFG"="C:\Program Files\Windows Media Player\WMPNSCFG.exe" [2008-01-19 09:33 202240]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPEnh"="C:\Program Files\Synaptics\SynTP\SynTPEnh.exe" [2007-02-15 22:50 857648]
"LaunchAp"="C:\Program Files\Launch Manager\LaunchAp.exe" [2005-07-25 14:36 32768]
"HotkeyApp"="C:\Program Files\Launch Manager\HotkeyApp.exe" [2006-12-14 17:53 192512]
"avgnt"="C:\Program Files\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-19 16:16 266497]
"SunJavaUpdateSched"="C:\Program Files\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 04:27 144784]
"Wbutton"="C:\Program Files\Launch Manager\Wbutton.exe" [2006-11-09 15:37 86016]
"LMgrOSD"="C:\Program Files\Launch Manager\OSD.exe" [2006-12-26 12:23 180224]
"UVS10 Preload"="C:\Program Files\Ulead Systems\Ulead VideoStudio SE DVD\uvPL.exe" [2006-08-09 13:27 36864]
"Adobe Reader Speed Launcher"="C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]
"NvSvc"="C:\Windows\system32\nvsvc.dll" [2007-01-13 11:40 90191]
"NvCplDaemon"="C:\Windows\system32\NvCpl.dll" [2007-01-13 11:40 7766016]
"NvMediaCenter"="C:\Windows\system32\NvMcTray.dll" [2007-01-13 11:40 81920]
"RtHDVCpl"="RtHDVCpl.exe" [2007-02-15 18:07 4390912 C:\Windows\RtHDVCpl.exe]

C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup\
Adobe Gamma Loader.lnk - C:\Program Files\Common Files\Adobe\Calibration\Adobe Gamma Loader.exe [2007-06-04 16:01:34 113664]
Microsoft Office.lnk - C:\Program Files\Microsoft Office\Office10\OSA.EXE [2001-02-13 01:01:04 83360]
p6_19_erinnerung.lnk - C:\Program Files\phase6\phase6_19_download\WinStart\p6erinnerung.exe [2007-02-11 20:20:42 49152]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"msacm.l3acm"= C:\Windows\system32\l3codecp.acm
"msacm.dvacm"= C:\PROGRA~1\COMMON~1\ULEADS~1\Vio\Dvacm.acm
"msacm.MPEGacm"= C:\PROGRA~1\COMMON~1\ULEADS~1\MPEG\MPEGacm.acm
"msacm.ulmp3acm"= C:\PROGRA~1\COMMON~1\ULEADS~1\MPEG\ulmp3acm.acm
"msacm.l3codec"= C:\Windows\system32\l3codecp.acm

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\FirewallRules]
"TCP Query User{EF9CE83C-9C9A-41CB-8D92-2D6FA1C1F2E7}C:\\program files\\trillian\\trillian.exe"= UDP:C:\program files\trillian\trillian.exe:Trillian
"UDP Query User{9EE540D6-3AC8-4FCD-9E0F-01520F03D37E}C:\\program files\\trillian\\trillian.exe"= TCP:C:\program files\trillian\trillian.exe:Trillian
"TCP Query User{C2649D01-0807-4636-8AEF-8AB7985B1151}C:\\program files\\icq6\\icq.exe"= UDP:C:\program files\icq6\icq.exe:ICQ Library
"UDP Query User{5E0907F7-E9BF-4254-A540-F9B0FF4F5389}C:\\program files\\icq6\\icq.exe"= TCP:C:\program files\icq6\icq.exe:ICQ Library
"TCP Query User{0DCB5951-E4DD-4936-81FD-308CF401F87A}C:\\program files\\mozilla firefox\\firefox.exe"= UDP:C:\program files\mozilla firefox\firefox.exe:Firefox
"UDP Query User{6F0FAD9F-A100-4443-BA4E-B52BA39B1702}C:\\program files\\mozilla firefox\\firefox.exe"= TCP:C:\program files\mozilla firefox\firefox.exe:Firefox
"TCP Query User{C6698B95-8DCE-4B32-814A-861B338238B4}C:\\program files\\internet explorer\\iexplore.exe"= UDP:C:\program files\internet explorer\iexplore.exe:Internet Explorer
"UDP Query User{C065ECF7-DEF4-410D-A4F0-CA401F6A8DA6}C:\\program files\\internet explorer\\iexplore.exe"= TCP:C:\program files\internet explorer\iexplore.exe:Internet Explorer
"TCP Query User{EC2F1377-6D9E-4730-8409-D0E7A8868548}C:\\program files\\cs\\hl.exe"= UDP:C:\program files\cs\hl.exe:Half-Life Launcher
"UDP Query User{8B789B58-BDD0-4BB1-A3B7-D87F1E67DEC7}C:\\program files\\cs\\hl.exe"= TCP:C:\program files\cs\hl.exe:Half-Life Launcher
"TCP Query User{5F429750-4AF8-4C9C-9EAF-5DDCEDB47349}C:\\users\\daniel\\desktop\\counter-strike source\\hl2.exe"= UDP:C:\users\daniel\desktop\counter-strike source\hl2.exe:hl2.exe
"UDP Query User{66594882-2505-4338-901F-B860B92F5FAE}C:\\users\\daniel\\desktop\\counter-strike source\\hl2.exe"= TCP:C:\users\daniel\desktop\counter-strike source\hl2.exe:hl2.exe
"TCP Query User{DFA649F4-6EB1-4FFD-9718-6B6E1ACEEEC1}D:\\tobit clipinc\\player\\clipinc-player.exe"= UDP

:\tobit clipinc\player\clipinc-player.exe:ClipInc. Player
"UDP Query User{D9E5045D-55F6-42AD-91F5-243BEC5E2688}D:\\tobit clipinc\\player\\clipinc-player.exe"= TCP

:\tobit clipinc\player\clipinc-player.exe:ClipInc. Player
"TCP Query User{1BAB2B2D-7B50-40D4-B292-F5CC7401D836}C:\\program files\\counter-strike source\\hl2.exe"= UDP:C:\program files\counter-strike source\hl2.exe:hl2
"UDP Query User{B9C81022-916C-4A2D-B01A-61CD4840A7C1}C:\\program files\\counter-strike source\\hl2.exe"= TCP:C:\program files\counter-strike source\hl2.exe:hl2
"{E12CDC3A-A133-48A0-B4CE-914CE6AAB354}"= UDP

:\Tobit ClipInc\Server\ClipInc-Server.exe:ClipInc Server
"{64EF6BE3-F91E-4E4D-91B2-3C594F88BC8A}"= TCP

:\Tobit ClipInc\Server\ClipInc-Server.exe:ClipInc Server
"TCP Query User{D96DD701-6DE2-432B-8996-AE344ECEC671}C:\\program files\\sopcast\\sopcast.exe"= UDP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"UDP Query User{E65866CF-5D26-4501-92EA-187CAC3842D4}C:\\program files\\sopcast\\sopcast.exe"= TCP:C:\program files\sopcast\sopcast.exe:SopCast Main Application
"TCP Query User{9D66560D-B95B-41D4-A007-5752BCCA1C44}C:\\program files\\sopcast\\adv\\sopadver.exe"= UDP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"UDP Query User{8D8D1BE8-1B62-4BD4-BCAD-9CD3444531E6}C:\\program files\\sopcast\\adv\\sopadver.exe"= TCP:C:\program files\sopcast\adv\sopadver.exe:SopCast Adver
"TCP Query User{ED94B354-97C0-4638-A4FE-579C7546ADE9}C:\\program files\\tvuplayer\\tvuplayer.exe"= UDP:C:\program files\tvuplayer\tvuplayer.exe:TVU Player Component
"UDP Query User{E4FAB088-2DA9-4E26-B775-64FEE608560A}C:\\program files\\tvuplayer\\tvuplayer.exe"= TCP:C:\program files\tvuplayer\tvuplayer.exe:TVU Player Component
"TCP Query User{C675931B-2E4D-491F-8DC2-B067D6FE10B0}C:\\program files\\trillian\\trillian.exe"= UDP:C:\program files\trillian\trillian.exe:Trillian
"UDP Query User{997C9588-598D-4D1A-AF0F-BBEA63D5E691}C:\\program files\\trillian\\trillian.exe"= TCP:C:\program files\trillian\trillian.exe:Trillian

R1 bc_hash_f;BC_HASH_Filter;C:\Windows\system32\drivers\bc_hash_f.sys [2007-04-09 10:39]
R1 Hotkey;Hotkey;C:\Windows\system32\drivers\Hotkey.sys [2003-04-28 12:27]
R2 ClipInc001;ClipInc 001;D:\Tobit ClipInc\Server\ClipInc-Server.exe 001 []
R2 UxTuneUp;TuneUp Designerweiterung;C:\Windows\System32\svchost.exe [2008-01-19 09:33]
R3 athrusb;Atheros Wireless LAN USB device driver;C:\Windows\system32\DRIVERS\athrusb.sys [2007-01-08 20:34]
R3 BcfilterMP;BcfilterMP;C:\Windows\system32\DRIVERS\bcfilter.sys [2007-01-26 07:58]
R3 WisLMSvc;WisLMSvc;C:\Program Files\Launch Manager\WisLMSvc.exe [2006-11-17 21:45]
S2 Jetico Personal Firewall server;Jetico Personal Firewall server;C:\Program Files\Jetico\Jetico Personal Firewall\jpfsrv.exe []
S3 Bcfilter;Jetico Personal Firewall Network Monitor;C:\Windows\system32\DRIVERS\bcfilter.sys [2007-01-26 07:58]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\Program Files\ALDI Sued Foto Service\Common\Database\bin\fbserver.exe []
S4 Ivbpncdpui;Ivbpncdpui;C:\Windows\system32\drivers\cdrom.sys [2008-01-19 07:49]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{a26b9020-6b6e-11dc-a29f-0016d382413c}]
\shell\AutoRun\command - F:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ad5e0ea6-8b85-11dc-80de-0016d382413c}]
\shell\AutoRun\command - setupSNK.exe

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{AB827DD6-9B4B-B33D-97DB-D232CB6C97C2}]
C:\Windows\mswinapp\info.exe s
.
Inhalt des "geplante Tasks" Ordners
"2008-08-08 15:17:43 C:\Windows\Tasks\1-Klick-Wartung.job"
- C:\Program Files\TuneUp Utilities 2007\SystemOptimizer.exe
"2008-08-09 14:44:22 C:\Windows\Tasks\User_Feed_Synchronization-{DBA1B8AB-4362-4A3A-BE89-7F58925D41BD}.job"
- C:\Windows\system32\msfeedssync.exe
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKLM-Run-CtrlVol - C:\Program Files\Launch Manager\CtrlVol.exe

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-09 17:15:25
Windows 6.0.6001 Service Pack 1 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
CtrlVol = C:\Program Files\Launch Manager\CtrlVol.exe?????H????????????5???XMw?????5??????0???$???????d???4?Gw??????????MwR?Mw?????????????a$v????4???o??v????????x???t???? A?????????? A??g?!?a$v|????????a@?H??????????? ?A?b?U!????? A???@??????x@??????g?!??@????????

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-08-09 17:19:32
ComboFix-quarantined-files.txt 2008-08-09 15:19:07
ComboFix2.txt 2008-07-21 20:00:34

Pre-Run: 8 Verzeichnis(se), 14,429,216,768 Bytes frei
Post-Run: 15 Verzeichnis(se), 14,309,150,720 Bytes frei

212 --- E O F --- 2008-08-08 13:35:18

Virus TR/Monder.32256

Plagegeister aller Art und deren Bekämpfung: Virus TR/Monder.32256