Hallo,
ich habe die Vermutung, dass ein Bekannter (Dipl. Informatiker und absolute Koryphäe) auf mein System eingedrungen ist.
Leider kenne ich mich in der Tiefe (eventuell selbst programmierte Trojaner/Rootkit o.ä.) nicht mehr aus.
Zu nächst habe ich meinen PC formatiert und neu eingerichtet.
Das ist jetzt auch schon wieder ein paar Monate her und ich frage mich ob er es wieder "gehacked" haben könnte.

Bitte um Mithilfe und wäre dafür sehr dankbar!

p.s. bei einem "Hijack This" check ist mir besonders die datei "shell explorer.exe" aufgefallen.
Hijack meldete einige Trojaner und Keylogger beim im kontext mit dieser Datei!

Meine Logfile:

HiJackFree Logfile v3.0
Scan gespeichert um 11:07:46, am 07.09.2008
Betriebssystem: Windows XP Service Pack 3 (Windows NT 5.1.2600)
MSIE: Internet Explorer v 7.0 Service Pack 3 (7.0.5730.13)

Aktive Prozesse:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\Programme\PostgreSQL\8.3\bin\postgres.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\Intel\Wireless\Bin\EOUWiz.exe
C:\Programme\Microsoft IntelliPoint\ipoint.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Spybot
C:\PROGRA~1\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Skype\Phone\Skype.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\Programme\FRITZ!DSL\FwebProt.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\Programme\a-squared HiJackFree\a2hijackfree.exe
C:\Programme\GNU\GnuPG\WinPT.exe
C:\WINDOWS\Regedit.exe
C:\Programme\Mozilla Firefox\firefox.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://WWW.BenQ.COM/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL =
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) =
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Links
O2 - BHO: - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} -
O2 - BHO: - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.7\NppBho.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O3 - Toolbar: Norton-Symbolleiste anzeigen - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.7\UIBHO.dll
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [EOUApp] "C:\Programme\Intel\Wireless\Bin\EOUWiz.exe"
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] CHDAudPropShortcut.exe
O4 - HKLM\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKLM\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O7 - Regedit - Aktiv
O8 - Extra Kontextmenü Eintrag: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\main.ico
O9 - Extra button: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.ico
O9 - Extra "Tools" menuitem: Titan Poker - {49783ED4-258D-4f9f-BE11-137C18D3E543} - C:\Poker\Titan Poker\casino.ico
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~1\Skype\Toolbars\INTERN~1\favicon.ico
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\images\ppicon.ico
O9 - Extra "Tools" menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\images\ppicon.ico
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\bt_cold_icon.ico
O9 - Extra "Tools" menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\bt_cold_icon.ico
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra "Tools" menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll
O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll
O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll
O10 - Unbekannte Winsock LSP Datei: C:\Programme\FRITZ!DSL\sarah.dll
O14 - IERESET.INF: START_PAGE_URL=http://WWW.BenQ.COM/
O14 - IERESET.INF: SEARCH_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch"
O14 - IERESET.INF: MS_START_PAGE_URL="http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome"
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1220275101921
O20 - Winlogon Notify: dimsntfy - C:\WINDOWS\
O21 - ShellServiceObjectDelayLoad: PostBootReminder -
O21 - ShellServiceObjectDelayLoad: CDBurn -
O21 - ShellServiceObjectDelayLoad: WebCheck -
O21 - ShellServiceObjectDelayLoad: SysTray -
O22 - SharedTaskScheduler: Browseui preloader -
O22 - SharedTaskScheduler: Component Categories cache daemon - C:\WINDOWS\system32\browseui.dll
O23 - Dienst: Lavasoft Ad-Aware Service - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Dienst: Warndienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Gatewaydienst auf Anwendungsebene - C:\WINDOWS\System32\alg.exe
O23 - Dienst: AntiVir PersonalEdition Classic Planer - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Dienst: AntiVir PersonalEdition Classic Guard - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Dienst: Anwendungsverwaltung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: ASP.NET State Service - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe
O23 - Dienst: Windows Audio - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: AVM IGD CTRL Service - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Dienst: Intelligenter Hintergrundübertragungsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Computerbrowser - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Bluetooth Service - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
O23 - Dienst: Symantec Event Manager - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Dienst: Symantec Settings Manager - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Dienst: Indexdienst - C:\WINDOWS\system32\cisvc.exe
O23 - Dienst: Ablagemappe - C:\WINDOWS\system32\clipsrv.exe
O23 - Dienst: .NET Runtime Optimization Service v2.0.50727_X86 - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
O23 - Dienst: Symantec Lic NetConnect service - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Dienst: COM Host - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe
O23 - Dienst: COM+-Systemanwendung - C:\WINDOWS\system32\dllhost.exe
O23 - Dienst: Kryptografiedienste - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: DCOM-Server-Prozessstart - C:\WINDOWS\system32\svchost
O23 - Dienst: AVM FRITZ!web Routing Service - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Dienst: DHCP-Client - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Verwaltungsdienst für die Verwaltung logischer Datenträger - C:\WINDOWS\System32\dmadmin.exe
O23 - Dienst: Verwaltung logischer Datenträger - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: DNS-Client - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Automatische Konfiguration (verkabelt) - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Extensible Authentication-Protokolldienst - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Fehlerberichterstattungsdienst - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Ereignisprotokoll - C:\WINDOWS\system32\services.exe
O23 - Dienst: COM+-Ereignissystem - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Intel(R) PROSet/Wireless Event Log - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Dienst: Kompatibilität für schnelle Benutzerumschaltung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Windows Presentation Foundation Font Cache 3.0.0.0 - C:\WINDOWS\Microsoft.Net\Framework\v3.0\WPF\PresentationFontCache.exe
O23 - Dienst: Hilfe und Support - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: HID Input Service - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Integritätsschlüssel- und Zertifikatverwaltungsdienst - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: HTTP-SSL - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Windows CardSpace - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
O23 - Dienst: IMAPI-CD-Brenn-COM-Dienste - C:\WINDOWS\system32\imapi.exe
O23 - Dienst: Server - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Arbeitsstationsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: LiveUpdate - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Dienst: LiveUpdate Notice Service Ex - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe
O23 - Dienst: LiveUpdate Notice Service - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
O23 - Dienst: TCP/IP-NetBIOS-Hilfsprogramm - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: MEMSWEEP2 - C:\WINDOWS\system32\1.tmp
O23 - Dienst: Nachrichtendienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: NetMeeting-Remotedesktop-Freigabe - C:\WINDOWS\system32\mnmsrvc.exe
O23 - Dienst: Distributed Transaction Coordinator - C:\WINDOWS\system32\msdtc.exe
O23 - Dienst: Windows Installer - C:\WINDOWS\system32\msiexec.exe
O23 - Dienst: Netzwerk-DDE-Dienst - C:\WINDOWS\system32\netdde.exe
O23 - Dienst: Netzwerk-DDE-Serverdienst - C:\WINDOWS\system32\netdde.exe
O23 - Dienst: Anmeldedienst - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Netzwerkverbindungen - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Net.Tcp Port Sharing Service - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe
O23 - Dienst: NLA (Network Location Awareness) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: NT-LM-Sicherheitsdienst - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Wechselmedien - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: NVIDIA Display Driver Service - C:\WINDOWS\system32\nvsvc32.exe
O23 - Dienst: PostgreSQL Database Server 8.3 - C:\Programme\PostgreSQL\8.3\bin\pg_ctl.exe
O23 - Dienst: Plug & Play - C:\WINDOWS\system32\services.exe
O23 - Dienst: IPSEC-Dienste - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Geschützter Speicher - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Verwaltung für automatische RAS-Verbindung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: RAS-Verbindungsverwaltung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Sitzungs-Manager für Remotedesktophilfe - C:\WINDOWS\system32\sessmgr.exe
O23 - Dienst: Intel(R) PROSet/Wireless Registry Service - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Dienst: Routing und RAS - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: RPC-Locator - C:\WINDOWS\system32\locator.exe
O23 - Dienst: Remoteprozeduraufruf (RPC) - C:\WINDOWS\system32\svchost
O23 - Dienst: QoS-RSVP - C:\WINDOWS\system32\rsvp.exe
O23 - Dienst: Intel(R) PROSet/Wireless Service - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Dienst: Sicherheitskontenverwaltung - C:\WINDOWS\system32\lsass.exe
O23 - Dienst: Smartcard - C:\WINDOWS\System32\SCardSvr.exe
O23 - Dienst: Taskplaner - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Sekundäre Anmeldung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Systemereignisbenachrichtigung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Firewall/Gemeinsame Nutzung der Internetverbindung - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Shellhardwareerkennung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Druckwarteschlange - C:\WINDOWS\system32\spoolsv.exe
O23 - Dienst: Systemwiederherstellungsdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: SSDP-Suchdienst - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Bilderfassung (WIA) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: MS Software Shadow Copy Provider - C:\WINDOWS\system32\dllhost.exe
O23 - Dienst: Symantec Core LC - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
O23 - Dienst: Leistungsdatenprotokolle und Warnungen - C:\WINDOWS\system32\smlogsvc.exe
O23 - Dienst: Telefonie - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Terminaldienste - C:\WINDOWS\System32\svchost
O23 - Dienst: Designs - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Überwachung verteilter Verknüpfungen (Client) - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Universeller Plug & Play-Gerätehost - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Unterbrechungsfreie Stromversorgung - C:\WINDOWS\System32\ups.exe
O23 - Dienst: Volumeschattenkopie - C:\WINDOWS\System32\vssvc.exe
O23 - Dienst: Windows-Zeitgeber - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Webclient - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Windows-Verwaltungsinstrumentation - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Dienst für Seriennummern der tragbaren Medien - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: WMI-Leistungsadapter - C:\WINDOWS\system32\wbem\wmiapsrv.exe
O23 - Dienst: Sicherheitscenter - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Automatische Updates - C:\WINDOWS\system32\svchost.exe
O23 - Dienst: Konfigurationsfreie drahtlose Verbindung - C:\WINDOWS\System32\svchost.exe
O23 - Dienst: Netzwerkversorgungsdienst - C:\WINDOWS\System32\svchost.exe

Habe gerade mit dem Sophos Anti Rootkit mein System gescannt und folgendes entdeckt:

Area: Windows registry
Description: Hidden registry key
Location: \HKEY_USERS\S-1-5-21-1343024091-1085031214-725345543-1005
Removable: No
Notes: (no more detail available)

ich weiß nicht ob das hier rein gehört, aber vielleicht hilft es bei der Auswertung.

Danke.

edit: habe diesen Eintrag in der registry gesucht, aber nicht gefunden!??

es wäre wirklich sehr nett, wenn jemand mal über meine Logfile schauen würde.

Danke