Zurück   Trojaner-Board > Malware entfernen > Log-Analyse und Auswertung

Log-Analyse und Auswertung: Spybot kann Win32.Agent.sxi nicht entfernen

Windows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.

Antwort
Alt 11.11.2008, 12:55   #1
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hallo!

Trotz Beachtung der üblichen Sicherheitsregeln scheine ich mir auf meinem Bürorechner einen Trojaner eingefangen zu haben. Zumindest meldete McAfee gestern den Befall von "res.dll" und "A0049273.dll" in der "System Volume Information" mit "New Malware.je". Die Dateien stehen jetzt unter Quarantäne. Auf den McAfee-Seiten habe ich dazu zunächst keine weiterhelfenden Infos gefunden.

Spybot (Ver. 1.6.0.30) erkannte dann den Trojaner "Win32.Agent.sxi". Das Beseitigen war zwar lt. Spybot erfolgreich, aber beim nächsten Scan findet sich der Schlingel wieder. Passend zur Beschreibung fand ich auf meinen USB-Sticks in letzter Zeit die Dateien "autorun.inf" und eine beliebige weitere dll, die ich jeweils entsorgt habe, ohne auf die Idee zu kommen, dass mein Rechner die Quelle ist

Das Recherchieren im Netz brachte bisher auch nur mäßig Erfolg, da ich keine exakte Übereinstimmung der Bezeichnungen fand und sich die Anleitungen zur Beseitigung doch sehr stark unterscheiden.

Ich poste daher nachfolgend ein HJT log-file und wäre für weiterführende Tipps sehr dankbar.

Code:
ATTFilter
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:00:09, on 11.11.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Network Associates\VirusScan\SHSTAT.EXE
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe
C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\VirusScan\Mcshield.exe
C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\lotus\notes\ntmulti.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Pmail\Programs\winpm-32.exe
C:\lotus\notes\NLNOTES.EXE
C:\lotus\notes\ntaskldr.EXE
C:\Programme\Adobe\Acrobat 6.0\Acrobat\Acrobat.exe
C:\WINDOWS\System32\WISPTIS.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.XXX.de
O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.XXX.de
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.XXX.de
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
         

ciao,
waldi1979

Alt 11.11.2008, 13:24   #2
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

das HJ-Log gibt nichts her, außer das hier:
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X
O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de

Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner?

MAM & RSIT:
Malwarebytes Antimalware (MAM).
Anleitung&Download hier: http://www.trojaner-board.de/51187-malwarebytes-anti-malware.html
Fullscan und alles bereinigen lassen! Log posten.

RSIT
Random's System Information Tool (RSIT) von random/random liest Systemdetails aus und erstellt ein aussagekräftiges Logfile.
Lade Random's System Information Tool (RSIT) herunter http://filepony.de/download-rsit/
speichere es auf Deinem Desktop.
Starte mit Doppelklick die RSIT.exe.
Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
Wenn Du HijackThis nicht installiert hast, wird RSIT das für Dich herunterladen und installieren.
In dem Fall bitte auch die Nutzungsbedingungen von Trend Micro (http://de.trendmicro.com/de/home) für HJT akzeptieren "I accept".
Wenn Deine Firewall fragt, bitte RSIT erlauben, ins Netz zu gehen.
Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

chris
__________________

__________________

Alt 11.11.2008, 13:41   #3
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi, Chris4You,

für die schnelle Antwort. Zunächst die einfachen Punkte:

>das HJ-Log gibt nichts her, außer das hier:
>O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.X
>O17 - HKLM\Software\..\Telephony: DomainName = intranet.XXX.de

>Kennst Du die Einträge und ist das ein geschäftlich genutzter Rechner?

Einträge sind mir bekannt/von mir mit XXX editiert. "Geschäftlich" genutzt ist sicherlich übertrieben (Forschungseinrichtung). Mein Brötchengeber XXX hätte sich halt nur ungern in diesen Einträgen wiedergefunden ;-)

Ich arbeite jetzt die Anleitung ab ...

waldi1979
__________________

Alt 11.11.2008, 15:49   #4
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

anbei als Nachtrag die gewünschten log-files (ich hoffe, dass das jetzt minimiert erscheint):

MAM

Code:
ATTFilter
Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1382
Windows 5.1.2600 Service Pack 2

11.11.2008 15:28:53
mbam-log-2008-11-11 (15-28-53).txt

Scan-Methode: Vollständiger Scan (C:\|E:\|)
Durchsuchte Objekte: 199865
Laufzeit: 1 hour(s), 18 minute(s), 50 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\cometcursor.cometcursor (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\cometcursor.cometcursor.1 (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Typelib\{3c0c31a2-70a2-11d1-b69e-444553540000} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{1678f7e1-c422-11d0-ad7d-00400515caaa} (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\Comet (Spyware.Comet.Cursor) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

RSIT (log.txt)

Code:
ATTFilter
Logfile of random's system information tool 1.04 (written by random/random)
Run by *** at 2008-11-11 15:31:27
Microsoft Windows XP Professional Service Pack 2
System drive C: has 47 GB (62%) free of 76 GB
Total RAM: 1015 MB (38% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:31:31, on 11.11.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Network Associates\VirusScan\SHSTAT.EXE
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\System32\hkcmd.exe
C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe
C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\VirusScan\Mcshield.exe
C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\lotus\notes\ntmulti.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\WISPTIS.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\welzel\Desktop\RSIT.exe
C:\Programme\Trend Micro\HijackThis\***.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.tu-chemnitz.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://go.microsoft.com/fwlink/?LinkId=33568
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: AcroIEToolbarHelper Class - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe
O4 - HKLM\..\Run: [Acronis Scheduler2 Service] "C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe"
O4 - HKLM\..\Run: [CorelDRAW Graphics Suite 11b] C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe /title="CorelDRAW Graphics Suite 12" /date=112508 serial=DR12WCX-1301868-SBM lang=DE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\Utils\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SSBkgdUpdate] "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\ScanSoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [ControlCenter2.0] C:\Programme\Brother\ControlCenter2\brctrcen.exe /autorun
O4 - HKLM\..\Run: [AcronisTimounterMonitor] C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Utils\Malwarebytes\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
O4 - Global Startup: AutoCAD-Startbeschleuniger.lnk = C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1105451114499
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = intranet.***.de
O17 - HKLM\Software\..\Telephony: DomainName = intranet.***.de
O17 - HKLM\System\CCS\Services\Tcpip\..\{64CC15B2-9D02-4A4A-B2A9-9A27807058FC}: Domain = intranet.***.de
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = intranet.***.de
O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
O23 - Service: Autodesk Licensing Service - Autodesk, Inc. - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Multi-user Cleanup Service - IBM Corp - C:\lotus\notes\ntmulti.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
         
und RSIT (info.txt)

Code:
ATTFilter
======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
AcroIEHlprObj Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\ActiveX\AcroIEHelper.dll [2003-05-14 50376]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}]
SSVHelper Class - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll [2008-06-10 509328]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{AE7CD045-E861-484f-8273-0445EE161910}]
AcroIEToolbarHelper Class - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
{47833539-D0C5-4125-9FA8-0819E2EAAC93} - Adobe PDF - C:\Programme\Adobe\Acrobat 6.0\Acrobat\AcroIEFavClient.dll [2003-05-15 147456]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"=C:\WINDOWS\System32\NvCpl.dll [2003-10-06 5058560]
"nwiz"=nwiz.exe /install []
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe [2001-07-09 155648]
"ShStatEXE"=C:\Programme\Network Associates\VirusScan\SHSTAT.EXE [2004-09-22 94208]
"McAfeeUpdaterUI"=C:\Programme\Network Associates\Common Framework\UpdaterUI.exe [2004-08-06 139320]
"IgfxTray"=C:\WINDOWS\System32\igfxtray.exe [2003-10-02 155648]
"HotKeysCmds"=C:\WINDOWS\System32\hkcmd.exe [2003-10-02 118784]
"Network Associates Error Reporting Service"=C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe [2003-10-07 147514]
"TrueImageMonitor.exe"=C:\Programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe [2006-11-16 1137545]
"Acronis Scheduler2 Service"=C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe [2006-11-14 135168]
"CorelDRAW Graphics Suite 11b"=C:\Programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe [2003-11-28 733184]
"QuickTime Task"=C:\Programme\Utils\QuickTime\qttask.exe [2007-02-12 98304]
"SSBkgdUpdate"=C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe [2003-10-14 155648]
"PaperPort PTD"=C:\Programme\ScanSoft\PaperPort\pptd40nt.exe [2004-03-09 57393]
"IndexSearch"=C:\Programme\ScanSoft\PaperPort\IndexSearch.exe [2004-03-09 40960]
"ControlCenter2.0"=C:\Programme\Brother\ControlCenter2\brctrcen.exe [2005-01-07 864256]
"AcronisTimounterMonitor"=C:\Programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe [2006-11-15 1870730]
"SunJavaUpdateSched"=C:\Programme\Java\jre1.6.0_07\bin\jusched.exe [2008-06-10 144784]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"Malwarebytes' Anti-Malware"=C:\Programme\Utils\Malwarebytes\mbamgui.exe [2008-10-22 399504]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe [2004-08-04 15360]

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
Acrobat Assistant.lnk - C:\Programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe
AutoCAD-Startbeschleuniger.lnk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\igfxcui]
C:\WINDOWS\system32\igfxsrvc.dll [2003-10-02 319488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\WgaLogon]
C:\WINDOWS\system32\WgaLogon.dll [2007-02-15 236928]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Lsa]
"authentication packages"=msv1_0
relog_ap

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1
"disablecad"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"
"C:\Programme\SmartFTP Client 2.0\SmartFTP.exe"="C:\Programme\SmartFTP Client 2.0\SmartFTP.exe:*:Enabled:SmartFTP Client 2.5"
"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"
"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"
"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"
"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client 3.0"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\Programme\Trillian\trillian.exe"="C:\Programme\Trillian\trillian.exe:*:Enabled:Trillian"
"C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe"="C:\Programme\Acronis\TrueImageWorkstation\TrueImage.exe:*:Enabled:TrueImage"
"C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe"="C:\Programme\Gemeinsame Dateien\Acronis\TrueImage\TrueImageService.exe:*:Enabled:TrueImageService"
"C:\Programme\Utils\LeechFTP\Leechftp.exe"="C:\Programme\Utils\LeechFTP\Leechftp.exe:*:Enabled:LeechFTP"
"C:\Programme\SmartFTP Client\SmartFTP.exe"="C:\Programme\SmartFTP Client\SmartFTP.exe:*:Enabled:SmartFTP Client"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\dguet.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]
shell\AutoRun\command - F:\


======List of files/folders created in the last 2 months======

2008-11-11 15:31:27 ----D---- C:\rsit
2008-11-11 13:52:15 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\Malwarebytes
2008-11-11 13:52:10 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-11-10 11:31:20 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-11-10 10:25:23 ----D---- C:\Programme\Trend Micro
2008-10-28 10:51:21 ----HDC---- C:\WINDOWS\$NtUninstallKB958644$
2008-10-15 09:17:54 ----HDC---- C:\WINDOWS\$NtUninstallKB956803$
2008-10-15 09:17:44 ----HDC---- C:\WINDOWS\$NtUninstallKB957095$
2008-10-15 09:15:13 ----HDC---- C:\WINDOWS\$NtUninstallKB954211$
2008-10-15 09:14:47 ----HDC---- C:\WINDOWS\$NtUninstallKB956841$
2008-09-12 08:07:41 ----HDC---- C:\WINDOWS\$NtUninstallKB938464$

======List of files/folders modified in the last 2 months======

2008-11-11 15:31:03 ----D---- C:\WINDOWS\Prefetch
2008-11-11 13:52:14 ----D---- C:\WINDOWS\system32\drivers
2008-11-11 13:52:10 ----D---- C:\Programme\Utils
2008-11-11 12:00:33 ----D---- C:\Temp
2008-11-11 11:57:09 ----D---- C:\Programme\Mozilla Firefox
2008-11-11 11:46:48 ----D---- C:\Programme\Trillian
2008-11-11 11:34:33 ----A---- C:\WINDOWS\hpbafd.ini
2008-11-11 10:32:15 ----D---- C:\WINDOWS\Temp
2008-11-11 09:23:46 ----D---- C:\WINDOWS\security
2008-11-11 09:18:07 ----D---- C:\WINDOWS\system32
2008-11-11 09:17:43 ----D---- C:\WINDOWS
2008-11-11 00:31:20 ----A---- C:\WINDOWS\SchedLgU.Txt
2008-11-10 18:32:24 ----D---- C:\Dokumente und Einstellungen\***\Anwendungsdaten\AdobeUM
2008-11-10 13:55:24 ----D---- C:\Quarantäne
2008-11-10 10:25:23 ----RD---- C:\Programme
2008-11-04 18:36:57 ----D---- C:\Literat
2008-10-28 10:51:28 ----HD---- C:\WINDOWS\inf
2008-10-28 10:51:24 ----RSHDC---- C:\WINDOWS\system32\dllcache
2008-10-28 10:50:41 ----HD---- C:\WINDOWS\$hf_mig$
2008-10-28 10:50:40 ----D---- C:\WINDOWS\system32\CatRoot2
2008-10-27 09:35:32 ----A---- C:\WINDOWS\system32\PerfStringBackup.INI
2008-10-15 17:57:39 ----A---- C:\WINDOWS\system32\netapi32.dll
2008-10-15 09:17:59 ----A---- C:\WINDOWS\imsins.BAK
2008-10-15 09:17:28 ----D---- C:\Programme\Internet Explorer
2008-10-15 09:17:15 ----D---- C:\WINDOWS\ie7updates
2008-10-15 09:16:57 ----SHD---- C:\WINDOWS\Installer
2008-10-15 09:16:41 ----A---- C:\WINDOWS\win.ini
2008-10-03 17:58:14 ----A---- C:\WINDOWS\system32\ieframe.dll
2008-09-23 22:54:30 ----D---- C:\Fotos
2008-09-12 08:07:42 ----D---- C:\WINDOWS\WinSxS

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 intelppm;Intel-Prozessortreiber; C:\WINDOWS\System32\DRIVERS\intelppm.sys [2004-08-04 40192]
R1 NaiAvTdi1;NaiAvTdi1; C:\WINDOWS\system32\drivers\mvstdi5x.sys [2004-09-22 58048]
R2 CVPNDRVA;Cisco Systems IPsec Driver; \??\C:\WINDOWS\system32\Drivers\CVPNDRVA.sys []
R2 tifsfilter;Acronis True Image FS Filter; C:\WINDOWS\System32\DRIVERS\tifsfilt.sys [2007-06-15 32768]
R3 {6080A529-897E-4629-A488-ABA0C29B635E};Intel(R) Graphics Platform (SoftBIOS) Driver; C:\WINDOWS\system32\drivers\ialmsbw.sys [2003-10-08 120830]
R3 {D31A0762-0CEB-444e-ACFF-B049A1F6FE91};Intel(R) Graphics Chipset (KCH) Driver; C:\WINDOWS\system32\drivers\ialmkchw.sys [2003-10-08 98842]
R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164; C:\WINDOWS\system32\drivers\A302.sys [2003-10-08 11831]
R3 aeaudio;aeaudio; C:\WINDOWS\system32\drivers\aeaudio.sys [2002-04-01 4816]
R3 DNE;Deterministic Network Enhancer Miniport; C:\WINDOWS\system32\DRIVERS\dne2000.sys [2005-06-29 110080]
R3 E1000;Intel(R) PRO/1000 Adapter Driver; C:\WINDOWS\System32\DRIVERS\e1000325.sys [2003-08-14 125952]
R3 EntDrv51;EntDrv51; \??\C:\WINDOWS\system32\drivers\EntDrv51.sys []
R3 ialm;ialm; C:\WINDOWS\System32\DRIVERS\ialmnt5.sys [2003-10-08 93979]
R3 NaiAvFilter1;NaiAvFilter1; C:\WINDOWS\system32\drivers\naiavf5x.sys [2004-09-22 108256]
R3 smwdm;smwdm; C:\WINDOWS\system32\drivers\smwdm.sys [2003-06-13 578752]
R3 StillCam;Treiber für serielle Digitalkamera; C:\WINDOWS\system32\DRIVERS\serscan.sys [2001-08-18 7040]
R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbehci.sys [2004-08-04 26624]
R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\System32\DRIVERS\usbhub.sys [2004-08-04 57600]
R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbuhci.sys [2004-08-04 20480]
S2 DS1410D;DS1410D; C:\WINDOWS\SYSTEM32\drivers\DS1410D.SYS []
S3 bfturboh;BUFFALO TurboUSB for HD Filter; C:\WINDOWS\system32\drivers\bfturboh.sys [2007-08-01 15872]
S3 CVirtA;Cisco Systems VPN Adapter; C:\WINDOWS\system32\DRIVERS\CVirtA.sys [2005-05-17 5315]
S3 nv;nv; C:\WINDOWS\System32\DRIVERS\nv4_mini.sys [2003-10-06 1550043]
S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2004-08-04 15104]
S3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2004-08-04 26496]
S3 vsdatant;vsdatant; \??\C:\WINDOWS\system32\vsdatant.sys []
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 AcrSch2Svc;Acronis Scheduler2 Service; C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe [2006-11-14 397312]
R2 CVPND;Cisco Systems, Inc. VPN Service; C:\Programme\Cisco Systems\VPN Client\cvpnd.exe [2005-11-04 1516584]
R2 McAfeeFramework;McAfee Framework-Dienst; C:\Programme\Network Associates\Common Framework\FrameworkService.exe [2004-08-06 102463]
R2 McShield;Network Associates McShield; C:\Programme\Network Associates\VirusScan\Mcshield.exe [2004-09-22 221191]
R2 McTaskManager;Network Associates Task Manager; C:\Programme\Network Associates\VirusScan\VsTskMgr.exe [2004-09-22 28672]
R2 MDM;Machine Debug Manager; C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE [2003-06-19 322120]
R2 Multi-user Cleanup Service;Multi-user Cleanup Service; C:\lotus\notes\ntmulti.exe [2005-12-01 57393]
R2 SoundMAX Agent Service (default);SoundMAX Agent Service; C:\Programme\Analog Devices\SoundMAX\SMAgent.exe [2002-09-20 45056]
S2 NVSvc;NVIDIA Display Driver Service; C:\WINDOWS\System32\nvsvc32.exe [2003-10-06 81920]
S3 aspnet_state;ASP.NET-Zustandsdienst; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2007-04-13 33632]
S3 Autodesk Licensing Service;Autodesk Licensing Service; C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe [2007-02-12 74360]
S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2007-04-13 68952]
S3 ose;Office Source Engine; C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE [2003-07-28 89136]

-----------------EOF-----------------
         
Danke vorab,
waldi1979

Alt 11.11.2008, 16:46   #5
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

da sind einige seltsame Mountpoints:
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815e9-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\dguet.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
shell\AutoRun\command - F:\
shell\open\command - rundll32.exe .\\jgsl400.dll,InstallM

Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick?
Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur Ausführung eingetragen haben...(inklusiver der Betriebssystem HD)

Mal sehen was es ist:
Versuche die Dateien Online testen zu lassen:
virustotal

Dateien Online überprüfen lassen:
  • Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
Code:
ATTFilter
F:\jgsl400.dll
F:\dguet.dll
         
  • Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
  • Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
  • Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Mountpoints ausgeben:
http://forums.techguy.org/attachments/112705d1186263628/mountpoints_diagnostic.zip
Auf den Desktop downloaden, auspacken und per Doppelklick starten.
Es wird eine Datei Diagnostic.txt erstellt, die im Notepad angezeigt wird. Abkopieren und im Forum posten!

chris

__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 11.11.2008, 17:52   #6
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

>Der letzte Eintrag ist abgeschnitten, ist "F" Dein USB-Stick?
>Dann dürfte das Teil auf allen angeschlossenen Festplatten sich zur >Ausführung eingetragen haben...(inklusiver der Betriebssystem HD)

F: ist leider nicht ausschließlich *ein* USB-Stick.

Habe eine USB-HDD zur Datensicherung, die jedoch nur an ist, wenn auch gesichert wird. Diese bekommt F: zugeordnet. Ansonsten (sofern ext. HDD aus) bekommen die USB-Sticks in der Regel F: zugeordnet. Zwei davon habe ich bei mir und soeben getestet. An den dritten komme ich innerhalb der nächsten 12 h erstmal nicht heran.

Außerdem wird halt gelegentlich mal ein fremder Stick eines Kollegen angeschlossen.

Einiges davon kann ein geübter Blick wahrscheinlich auch der "Diagnostics.txt" entnehmen. (Anmerkung: C:, E: = 2 lokale HDDs, D: = DVD, K - O: sind per Domänenskript verbundene Netzlaufwerke)

Leider kann ich nur Teilvollzug melden , denn ich habe weder auf meinen 2 USB-Sticks, noch auf der System-HD (C bzw. der zweiten HD (E und der externen USB-Platte die genannten dlls finden können ...
Ehrlich gesagt, kann ich mich auch nicht erinnern, dass ich **diese** dlls in letzter Zeit von meinen USB-Sticks gelöscht habe (die hießen anders).


Diagnostic.txt

Sorry, aber die Ausgabe ist so umfangreich, dass ich über das 25000 Zeichen-Limit und das 19.5-KB-Limit des Editors komme; ich muss die Datei daher leider aufsplitten und in zwei Teilen anhängen.


waldi1979

Alt 12.11.2008, 07:45   #7
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

wir werfen den Eintrag per combofix aus dem Rennen:

Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.

Den folgenden Text in den Editor (Start -> Zubehör -> Editor) kopieren und als cfscript.txt mit 'Speichern unter' auf dem Desktop ablegen.
Gib an "Alle Dateien" - Speichern:
Code:
ATTFilter
Registry:: 
[-HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{82d815e9-7f08-11dd-913d-003005774536}]
         
Jetzt solltest Du diese Datei auf Deinem Desktop finden, mit der Maus anklicken (rechte Taste gedrückt halten)
und per drag-and-drop auf das Combofix-Icon fallen lassen. Der sollte nun starten und das Script abarbeiten; Poste danach das Log von Combofix.

Poste das Log von combofix und noch das Log von Prevx (falls der was findet):
http://www.prevx.com/freescan.asp

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 12.11.2008, 12:50   #8
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

Anwort hat etwas gedauert, weil wohl die hausinterne Firewall den vollst. Download von ComboFix zu verhindern wusste. Als ich nach 2h und unzähligen Versuchen endlich dahinter gekommen war und mir das Programm habe anderweitig zukommen lassen, sind die vorgeschlagenen Tasks ausgeführt worden.

log von ComboFix hängt an. Anmerkung: während der Ausführung (Scan) wurde Mcafee wieder aktiv und hat eine "Av-test.txt" unter Quarantäne gestellt

Prevx hat mir kein log-file erstellt; es wurde ein Thread gefunden: ich kann den nur per Hand hier eintragen. Zu dessen Behebung müsste ich mir jetzt eine Lizenz von Prevx organisieren Wie sollte ich weiter vorgehen?

Code:
ATTFilter
ComboFix 08-11-11.01 - XXX 2008-11-12 12:12:39.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.509 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\XXX\Desktop\cfscript.txt
 * Neuer Wiederherstellungspunkt wurde erstellt
 * Resident AV is active

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\windows\IE4 Error Log.txt
c:\windows\system32\wmcache.nld

----- BITS: Eventuell infizierte Webseiten -----

hxxp://inp-ad2
.
(((((((((((((((((((((((   Dateien erstellt von 2008-10-12 bis 2008-11-12  ))))))))))))))))))))))))))))))
.

2008-11-11 22:05 . 2008-11-12 11:18	<DIR>	d--------	c:\temp\trojaner
2008-11-11 15:31 . 2008-11-11 15:31	<DIR>	d--------	C:\rsit
2008-11-11 13:52 . 2008-11-11 13:52	<DIR>	d--------	c:\dokumente und einstellungen\XXX\Anwendungsdaten\Malwarebytes
2008-11-11 13:52 . 2008-11-11 13:52	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-11-11 13:52 . 2008-10-22 16:10	38,496	--a------	c:\windows\system32\drivers\mbamswissarmy.sys
2008-11-11 13:52 . 2008-10-22 16:10	15,504	--a------	c:\windows\system32\drivers\mbam.sys
2008-11-10 11:31 . 2008-11-10 12:03	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-11-10 10:25 . 2008-11-10 10:25	<DIR>	d--------	c:\programme\Trend Micro

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-11-12 09:07	---------	d-----w	c:\programme\Trillian
2008-11-11 12:52	---------	d-----w	c:\programme\Utils
2008-11-10 17:32	---------	d-----w	c:\dokumente und einstellungen\XXX\Anwendungsdaten\AdobeUM
2004-08-04 12:00	180,224	--sha-r	c:\windows\system32\tqpmon.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\System32\NvCpl.dll" [2003-10-06 5058560]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"ShStatEXE"="c:\programme\Network Associates\VirusScan\SHSTAT.EXE" [2004-09-22 94208]
"McAfeeUpdaterUI"="c:\programme\Network Associates\Common Framework\UpdaterUI.exe" [2004-08-06 139320]
"IgfxTray"="c:\windows\System32\igfxtray.exe" [2003-10-02 155648]
"HotKeysCmds"="c:\windows\System32\hkcmd.exe" [2003-10-02 118784]
"Network Associates Error Reporting Service"="c:\programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe" [2003-10-07 147514]
"TrueImageMonitor.exe"="c:\programme\Acronis\TrueImageWorkstation\TrueImageMonitor.exe" [2006-11-16 1137545]
"Acronis Scheduler2 Service"="c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe" [2006-11-14 135168]
"CorelDRAW Graphics Suite 11b"="c:\programme\Corel\Corel Graphics 12\Languages\DE\Programs\Registration.exe" [2003-11-28 733184]
"QuickTime Task"="c:\programme\Utils\QuickTime\qttask.exe" [2007-02-12 98304]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"PaperPort PTD"="c:\programme\ScanSoft\PaperPort\pptd40nt.exe" [2004-03-09 57393]
"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2004-03-09 40960]
"ControlCenter2.0"="c:\programme\Brother\ControlCenter2\brctrcen.exe" [2005-01-07 864256]
"AcronisTimounterMonitor"="c:\programme\Acronis\TrueImageWorkstation\TimounterMonitor.exe" [2006-11-15 1870730]
"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]
"nwiz"="nwiz.exe" [2003-10-06 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Acrobat Assistant.lnk - c:\programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-05-15 217193]
AutoCAD-Startbeschleuniger.lnk - c:\programme\Gemeinsame Dateien\Autodesk Shared\acstart16.exe [2004-02-25 10872]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"disablecad"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Trillian\\trillian.exe"=
"c:\\Programme\\Utils\\LeechFTP\\Leechftp.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\Acronis\\TrueImageWorkstation\\TrueImage.exe"=
"c:\\Programme\\Gemeinsame Dateien\\Acronis\\TrueImage\\TrueImageService.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:*:Disabled:@xpsp2res.dll,-22009

R3 {E6759E0C-470B-44DC-A4A1-627E68BB3A85};AIM 3.0 SI164;c:\windows\system32\drivers\A302.sys [2003-10-08 11831]
S3 bfturboh;BUFFALO TurboUSB for HD Filter;c:\windows\system32\drivers\bfturboh.sys [2007-08-01 15872]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{82d815ea-7f08-11dd-913d-003005774536}]
\Shell\AutoRun\command - F:\
\Shell\open\Command - rundll32.exe .\\jgsl400.dll,InstallM

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9ee4c052-cf17-11dc-90bc-003005774536}]
\Shell\AutoRun\command - F:\
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-11-12 12:16:57
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...


c:\windows\system32\wmcache.nld 2930 bytes

Scan erfolgreich abgeschlossen
versteckte Dateien: 1

**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe
c:\programme\Cisco Systems\VPN Client\cvpnd.exe
c:\programme\Network Associates\Common Framework\FrameworkService.exe
c:\programme\Network Associates\VirusScan\Mcshield.exe
c:\programme\Network Associates\VirusScan\VsTskMgr.exe
c:\progra~1\NETWOR~1\COMMON~1\naPrdMgr.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\lotus\notes\ntmulti.exe
c:\programme\Analog Devices\SoundMAX\SMAgent.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-11-12 12:19:46 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2008-11-12 11:19:41

Vor Suchlauf: 22 Verzeichnis(se), 48,903,958,528 Bytes frei
Nach Suchlauf: 22 Verzeichnis(se), 49,036,398,592 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptOut

122	--- E O F ---	2008-10-28 09:51:29
         
Code:
ATTFilter
PrevX (manuell)
Status = bad
C:\windows\system32\tqpmon.dll (Cloaked Malware)
         
bis hierhin
waldi1979

Alt 12.11.2008, 13:50   #9
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

ja, Prevx ist nur der Scanner, beseitigen kostet... .

Macht aber nix, jetzt wissen wir wo das Ding abliegt (nur wo es aufgerufen wird, das haben wir noch nicht gefunden...).


Bitte folgende Files prüfen:

Dateien Online überprüfen lassen:
  • Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
Code:
ATTFilter
c:\windows\system32\wmcache.nld
C:\windows\system32\tqpmon.dll
         
  • Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
  • Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
  • Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

Beide Files sind versteckt, daher am Besten gleich das File komplett mit Pfad reinkopieren!

So, wenn alles erkannt wurde, dann hast Du ein größerer Problem!
Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk repliziert...
-> A network-aware worm that attempts to replicate across the existing network(s).
Was will ich Dir damit sagen? Wenn wir ihn runterlöschen und er gleich wieder da ist, dann existiert er bereits in dem Netzwerk, dann solltes Du Dir alle Rechner einzeln vornehmen...

Also (falls beide erkannt):
Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:



2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld:
(bei -> "input script here")


Code:
ATTFilter
Files to delete:
c:\windows\system32\wmcache.nld
C:\windows\system32\tqpmon.dll
         
3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem Ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

chris

Ps.: Da Avenger ähnlich wie ein Trojaner agiert, kann es notwendig sein Mcafee abzuschalten. Nimm dazu den Rechner dann auch vom Netz (INetz und lokal)
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 12.11.2008, 14:41   #10
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

so, beide Dateien gescannt; Ergebnis nachfolgend:

Code:
ATTFilter
File wmcache.nld received on 11.12.2008 14:09:02 (CET)
Antivirus	Version	Last Update	Result
AhnLab-V3	2008.11.11.2	2008.11.12	-
AntiVir	7.9.0.31	2008.11.12	-
Authentium	5.1.0.4	2008.11.12	-
Avast	4.8.1248.0	2008.11.11	-
AVG	8.0.0.161	2008.11.11	-
BitDefender	7.2	2008.11.12	-
CAT-QuickHeal	9.50	2008.11.12	-
ClamAV	0.94.1	2008.11.12	-
DrWeb	4.44.0.09170	2008.11.12	-
eSafe	7.0.17.0	2008.11.11	-
eTrust-Vet	31.6.6204	2008.11.11	-
Ewido	4.0	2008.11.11	-
F-Prot	4.4.4.56	2008.11.11	-
F-Secure	8.0.14332.0	2008.11.12	-
Fortinet	3.117.0.0	2008.11.12	-
GData	19	2008.11.12	-
Ikarus	T3.1.1.45.0	2008.11.12	-
K7AntiVirus	7.10.522	2008.11.11	-
Kaspersky	7.0.0.125	2008.11.12	-
McAfee	5431	2008.11.12	-
Microsoft	1.4104	2008.11.12	-
NOD32	3606	2008.11.12	-
Norman	5.80.02	2008.11.12	-
Panda	9.0.0.4	2008.11.11	-
PCTools	4.4.2.0	2008.11.12	-
Prevx1	V2	2008.11.12	-
Rising	21.03.22.00	2008.11.12	-
SecureWeb-Gateway	6.7.6	2008.11.12	-
Sophos	4.35.0	2008.11.12	-
Sunbelt	3.1.1785.2	2008.11.11	-
Symantec	10	2008.11.12	-
TheHacker	6.3.1.1.149	2008.11.12	-
TrendMicro	8.700.0.1004	2008.11.12	-
VBA32	3.12.8.9	2008.11.11	-
ViRobot	2008.11.12.1463	2008.11.12	-
VirusBuster	4.5.11.0	2008.11.11	-
Additional information
File size: 2930 bytes
MD5...: cb82993af6dbaf5d1c96f656adb880aa
SHA1..: 13d56e50201182c4f8d1e2383be2a62f681c2607
SHA256: 6a0806311df0e55d2b3921d58e2036e862192ab162d63a70395eca73b93dae70
SHA512: 5443246757b6a2c29f113802cf641ca321f6dbd8e51c35e0880af1e2373d36fb<br>8a9632f4fcec798acc458f1b6f8219e68f90b2bf108f6584735dfc8bdd3ea13e
PEiD..: -
TrID..: File type identification<br>Unknown!
PEInfo: -
         
Code:
ATTFilter
File tqpmon.dll received on 11.12.2008 14:13:46 (CET)
Current status: Loading ... queued waiting scanning finished NOT FOUND STOPPED
Result: 27/36 (75%)
Loading server information...
Your file is queued in position: 5.
Estimated start time is between 70 and 100 seconds.
Do not close the window until scan is complete.
The scanner that was processing your file is stopped at this moment, we are going to wait a few seconds to try to recover your result.
If you are waiting for more than five minutes you have to resend your file.
Your file is being scanned by VirusTotal in this moment,
results will be shown as they're generated.
Compact Compact
Print results Print results
Your file has expired or does not exists.
Service is stopped in this moments, your file is waiting to be scanned (position: ) for an undefined time.

You can wait for web response (automatic reload) or type your email in the form below and click "request" so the system sends you a notification when the scan is finished.
Email: 	
	
Antivirus 	Version 	Last Update 	Result
AhnLab-V3	2008.11.11.2	2008.11.12	-
AntiVir	7.9.0.31	2008.11.12	TR/Autorun.acy
Authentium	5.1.0.4	2008.11.12	W32/Worm.WKR
Avast	4.8.1248.0	2008.11.11	Win32:AutoRun-SD
AVG	8.0.0.161	2008.11.11	Worm/Generic.IPV
BitDefender	7.2	2008.11.12	Worm.Generic.18299
CAT-QuickHeal	9.50	2008.11.12	Worm.AutoRun.ejg
ClamAV	0.94.1	2008.11.12	Worm.Autorun-1662
DrWeb	4.44.0.09170	2008.11.12	Win32.HLLW.Autoruner.2293
eSafe	7.0.17.0	2008.11.11	-
eTrust-Vet	31.6.6203	2008.11.11	-
Ewido	4.0	2008.11.12	Worm.AutoRun.ejg
F-Prot	4.4.4.56	2008.11.11	W32/Worm.WKR
F-Secure	8.0.14332.0	2008.11.12	Worm.Win32.AutoRun.ejg
Fortinet	3.117.0.0	2008.11.12	-
GData	19	2008.11.12	Worm.Generic.18299
Ikarus	T3.1.1.45.0	2008.11.12	Virus.Win32.AutoRun.sd
K7AntiVirus	7.10.522	2008.11.11	Worm.Win32.AutoRun.ejg
Kaspersky	7.0.0.125	2008.11.12	Worm.Win32.AutoRun.ejg
McAfee	5431	2008.11.12	-
Microsoft	1.4104	2008.11.12	Worm:Win32/Autorun.FC
NOD32	3606	2008.11.12	Win32/AutoRun.RW
Norman	5.80.02	2008.11.12	W32/AutoRun.ELD
Panda	9.0.0.4	2008.11.11	W32/Autorun.AHC.worm
PCTools	4.4.2.0	2008.11.12	-
Prevx1	V2	2008.11.12	Cloaked Malware
Rising	21.03.22.00	2008.11.12	Worm.Win32.Autorun.exn
SecureWeb-Gateway	6.7.6	2008.11.12	Trojan.Autorun.acy
Sophos	4.35.0	2008.11.12	Mal/FakeAle-B
Sunbelt	3.1.1785.2	2008.11.11	Porn-Dialer.Win32.CapreDeam.BL (vf)
Symantec	10	2008.11.12	W32.SillyFDC
TheHacker	6.3.1.1.149	2008.11.12	-
TrendMicro	8.700.0.1004	2008.11.12	-
VBA32	3.12.8.9	2008.11.11	Win32.AutoRun.RW
ViRobot	2008.11.12.1463	2008.11.12	Worm.Win32.Autorun.180224
VirusBuster	4.5.11.0	2008.11.11	-
Additional information
File size: 180224 bytes
MD5...: 98cf09c3264f6accbb90693c5ffb3eed
SHA1..: cf9bad31cf144bc004bd02cc255c87f99ebdc35a
SHA256: 9f59cefd8e01863607b564bcdc20dad88f1387c1f940af838ec0f83101673baf
SHA512: 6d33d27b5f6759aab8669f4fc000a72ea4214bffded32db6fdc3e2e527b2b741
373f9a985216dc67b31e8c85f2e1efe001b887909b7bc489120b03663e05cffb
PEiD..: Armadillo v1.xx - v2.xx
TrID..: File type identification
Win64 Executable Generic (59.6%)
Win32 Executable MS Visual C++ (generic) (26.2%)
Win32 Executable Generic (5.9%)
Win32 Dynamic Link Library (generic) (5.2%)
Generic Win/DOS Executable (1.3%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1001730e
timedatestamp.....: 0x484d672c (Mon Jun 09 17:23:56 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1f775 0x20000 6.39 746cce0896f6f856f6d5d9f22f5b6827
.rdata 0x21000 0x1e59 0x2000 5.02 73fdad62a081be4375e688263d147978
.data 0x23000 0x74a4 0x5000 2.97 262ebf81a8de20300ae2697a50eb9a58
.rsrc 0x2b000 0x6d8 0x1000 1.44 fa226b072974eab2b3292c577dc02b26
.reloc 0x2c000 0x26b4 0x3000 4.80 19806e9e364fa4ba076e15df9a84b1cb

( 5 imports )
> KERNEL32.dll: GetProcAddress, LoadLibraryA, FindClose, FindFirstFileA, UnmapViewOfFile, GetLastError, MapViewOfFile, CreateFileMappingA, GetFileSize, lstrcmpA, GetTempFileNameA, GetTempPathA, lstrlenA, SetLastError, SetFileAttributesA, CopyFileA, WriteFile, GetPrivateProfileStringA, FindNextFileA, OpenEventA, GetVolumeInformationA, GetDriveTypeA, ExitProcess, GetModuleHandleA, GetModuleFileNameA, SetFilePointer, ReadFile, CreateProcessA, Sleep, lstrcatA, GetSystemDirectoryA, GetSystemTime, SetFileTime, GetTempPathW, FreeLibrary, GetEnvironmentVariableW, GetComputerNameW, GetTimeZoneInformation, GetLocalTime, MultiByteToWideChar, lstrcatW, lstrlenW, GetVersionExA, GetTickCount, GetComputerNameA, WaitForSingleObject, ResumeThread, TerminateProcess, FileTimeToSystemTime, GetWindowsDirectoryA, GetEnvironmentVariableA, CreateDirectoryA, CreateMutexA, ReleaseMutex, OutputDebugStringA, GetFileTime, InterlockedIncrement, InterlockedDecrement, SetEnvironmentVariableA, CompareStringW, CompareStringA, GetStringTypeW, GetStringTypeA, DeleteFileA, lstrcpyA, CreateFileA, GetFileInformationByHandle, CloseHandle, GetFileAttributesA, FileTimeToLocalFileTime, FileTimeToDosDateTime, GetWindowsDirectoryW, IsBadCodePtr, IsBadReadPtr, GetOEMCP, GetACP, GetCPInfo, GetEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsW, FreeEnvironmentStringsA, LCMapStringW, LCMapStringA, WideCharToMultiByte, UnhandledExceptionFilter, HeapSize, SetUnhandledExceptionFilter, FlushFileBuffers, GetCurrentProcess, GetStartupInfoA, GetStdHandle, HeapAlloc, HeapFree, GetFileType, EnterCriticalSection, LeaveCriticalSection, RaiseException, RtlUnwind, CreateThread, TlsSetValue, TlsGetValue, ExitThread, GetCommandLineA, GetVersion, HeapDestroy, HeapCreate, VirtualFree, VirtualAlloc, HeapReAlloc, IsBadWritePtr, InitializeCriticalSection, DeleteCriticalSection, GetCurrentThreadId, TlsAlloc, TlsFree, SetStdHandle, SetEndOfFile, SetHandleCount
> USER32.dll: RegisterClassExA, CreateWindowExA, DefWindowProcA, CharLowerBuffA, wsprintfA, wsprintfW, GetMessageA, TranslateMessage, DispatchMessageA
> ADVAPI32.dll: RegCreateKeyA, RegDeleteValueA, RegQueryValueExA, RegSetValueExA, RegCreateKeyExA, RegEnumValueA, RegCloseKey
> RPCRT4.dll: UuidToStringA, UuidCreate, RpcStringFreeA
> WS2_32.dll: -, -, -, -

( 3 exports )
Entry, InstallM, InstallS
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=73ED3BC00079C5D8C06802A47D9536002FF75420
         
Die "wmcache.nld" ist lt. den zur Auswertung genutzten Scannern nicht infiziert. War mir unsicher was ich machen sollte und habe erstmal nicht mit Avenger getilgt, sondern per Hand mit anderer Extension in den Quarantäne-Ordner gelegt. War das Unfug/unnötig oder sollte ich sie doch noch killen?

Avenger hat seine Arbeit auch verrichtet:

Code:
ATTFilter
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

File "C:\WINDOWS\system32\tqpmon.dll" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
         
Datei ist nach einmaligem Neustart noch nicht wieder aufgetaucht.

>So, wenn alles erkannt wurde, dann hast Du ein größerer Problem!
>Bei der wmcache.nld handelt es sich um einen Wurm, der sich per Netzwerk >repliziert...



Da ich bis gestern davon ausging, dass ich den Schädling mit meinen Sticks weiterverbreitet habe, habe ich die unmittelbar greifbaren Rechner bereits negativ mit Spybot geprüft. Das vermeintlich betroffene Netz ist deutlich größer ...

Ich kann die obigen Ergebnisse (nur eine der beiden Dateien erkannt; zunächst erfolgreich gekillt) mit meinen Laienkenntnissen nicht wirklich interpretieren. Was kann/sollte ich im Augenblick noch tun?

Danke auf jeden Fall schonmal für die bisher immer leicht verständlichen und klaren Anweisungen!

waldi1979

Alt 12.11.2008, 15:26   #11
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

wenn Du Zugang zu einen anderen Rechner im Netz hast, dann prüfe den mal (weist ja jetzt wie es geht)...
Tauch auch dort der Wurm auf, dann bleibt nur der "offizielle" Weg.
Es ist ja nicht klar, wo der Wurm herkam (wer ihn eingeschleppt hat)...

Lass bitte noch ein mal PrevX laufen und einen Scan mit Kapi-Online...
Kaskpersky OnlineScanner
http://www.kaspersky.com/de/virusscanner

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 12.11.2008, 16:28   #12
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

Zwischeninformation: zwei weitere Rechner im Netz, an die ich recht schnell herankam waren lt. PrevX "clean"; was über die restlichen > 100 natürlich nichts aussagt.

Eigener Rechner ist lt. PrevX auch (noch) clean. Kapersky installiert und scannt gerade, aber das scheint ein abenfüllendes Programm zu werden (5% nach 5 Minuten in nur 1 Kategorie), daher die Zwischeninfo.

Ich hoffe, dass KapiOnline auch nix findet und danke nochmals

waldi1979

Alt 12.11.2008, 21:41   #13
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

muss mich doch noch einmal zurückmelden ;(

Kapi-Online hat neben einer ganzen Menge für ihn nicht zugreifbaren Dateien auch 3 "infizierte" gefunden

Auszug aus dem Protokoll:
Code:
ATTFilter
-------------------------------------------------------------------------------
 PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
 Mittwoch, 12. November 2008 21:19:10
 Betriebssystem: Microsoft Windows XP Professional, Service Pack 2 (Build 2600)
 Version von Kaspersky Online Scanner: 5.0.98.1
 Letztes Update der Antiviren-Datenbanken: 12/11/2008
 Anzahl der Einträge in den Antiviren-Datenbanken: 1381677
-------------------------------------------------------------------------------

Scan-Einstellungen:
	Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte
	Archive untersuchen: ja
	Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Ordner:
	C:\
	E:\

Untersuchungsergebnisse:
	Untersuchte Objekte insgesamt: 146353
	Viren gefunden: 3
	Infizierte Objekte gefunden: 3
	Verdächtige Objekte gefunden: 0
	Untersuchungszeit: 03:50:45

Name des infizierten Objekts / Virusname / Letzte Aktion
...
C:\Quarantäne\Av-test.txt.Vir	Infizierte Objekte: EICAR-Test-File	übersprungen
C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP532\A0049343.DLL	Infizierte Objekte: not-a-virus:AdWare.Win32.Comet.ap	übersprungen
C:\System Volume Information\_restore{5932837D-68B9-4C4E-A3FA-8D13379F10CA}\RP535\A0049629.dll	Infizierte Objekte: Worm.Win32.AutoRun.ejg	übersprungen
C
...
         
Über die beiden ersten mache ich mir weniger Sorgen, aber um den dritten.

Ich habe mittlerweile auf meinen Platten per Explorer-Suche die in

h**p://www.threatexpert.com/threats/worm-win32-autorun-ejg.html

aufgelisteten "usrv4ga.dll" und "conimsp.dll" gesucht und glücklicherweise nicht gefunden.

Wie werde ich jetzt aber diesen Wiederherstellungspunkt (ist doch einer?) bzw. die eine dll darin noch los?

waldi1979

Alt 13.11.2008, 07:27   #14
Chris4You
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

das erste ist ein allgemeingültiger "Virenscannertest", daher ungefährlich;

Der Rest muss tatsächlich weg:
(Und wie sagt Dir jetzt das Licht, äh, oder so ähnlich ;o)...

Systemwiederherstellung löschen
http://www.systemwiederherstellung-deaktivieren.de/windows-xp.html
Wenn der Rechner einwandfrei läuft abschließend alle Systemwiederherstellungspunkte löschen lassen(das sind die: C:\System Volume Information\_restore - Dateien die gefunden wurden, d.h. der Trojaner wurde mit gesichert und wenn Du auf einen Restorepunkt zurück gehen solltest, dann ist er wieder da) wie folgt:

Arbeitsplatz ->rechte Maus -> Eigenschaften -> Systemwiederherstellung ->
anhaken: "Systemwiederherstellung auf allen Laufwerken deaktivieren" -> Übernehmen -> Sicherheitsabfrage OK -> Fenster mit OK schliessen -> neu Booten;

Dann das gleiche nochmal nur das Häkchen entfernen (dann läuft sie wieder).

Einen ersten Restorepunkt setzten:
Start->Programme->Zubehör->Systemprogramme->Systemwiederherstellung->einen Wiederherstellungspunkt erstellen->weiter, Beschreibung ausdenken->Erstellen

chris
__________________
Don't bring me down
Vor dem posten beachten!
Spenden
(Wer spenden will, kann sich gerne melden )

Alt 13.11.2008, 17:04   #15
waldi1979
 
Spybot kann Win32.Agent.sxi nicht entfernen - Standard

Spybot kann Win32.Agent.sxi nicht entfernen



Hi,

so, die Systemwiederherstellung wurde kurzzeitig deaktiviert und ein neuer Wdh.-Punkt gesetzt.

Ich lasse jetzt nochmals alle bisher genutzten Scan-Tools drüberlaufen (Kapersky arbeitet schon seit 6 h). Danach noch ein Image vom (hoffentlich) gereinigten Rechner. Noch bin ich optimistisch, dass er jetzt clean ist und das auch vorerst so bleibt

& h:
waldi1979

Antwort

Themen zu Spybot kann Win32.Agent.sxi nicht entfernen
adobe, beseitigung, bho, controlcenter, entfernen, error, excel, explorer, hijack, hijackthis, hkus\s-1-5-18, internet, internet explorer, log-file, microsoft, nvidia, object, pdf, programme, rundll, scan, software, system, system volume information, trojaner, trojaner eingefangen, windows, windows xp



Ähnliche Themen: Spybot kann Win32.Agent.sxi nicht entfernen


  1. Spybot kann Win32.Qhost.ahnj nicht löschen
    Log-Analyse und Auswertung - 03.05.2015 (20)
  2. Spybot kann Malwares anscheinend nicht entfernen
    Log-Analyse und Auswertung - 04.07.2014 (13)
  3. Spybot findet win32.downloader.gen, kann diesen aber nicht reparieren/löschen
    Log-Analyse und Auswertung - 08.02.2014 (6)
  4. Windows 8 - SpyBot findet Maleware C kann diese aber nicht entfernen!
    Plagegeister aller Art und deren Bekämpfung - 18.12.2013 (9)
  5. Spybot findet "mysearchdial" kann es aber nicht entfernen
    Plagegeister aller Art und deren Bekämpfung - 22.10.2013 (9)
  6. Win32.Downloade.gen von Spybot gefunden, kann aber nicht entfernt werden
    Plagegeister aller Art und deren Bekämpfung - 01.10.2013 (7)
  7. win32.gen wurde von Spybot erkannt, von Antivir und Antimalware aber nicht, lässt sich nicht entfernen
    Log-Analyse und Auswertung - 28.07.2013 (15)
  8. PWS:Win32/Zbot.gen!AL- Kann ihn nicht entfernen
    Log-Analyse und Auswertung - 07.06.2013 (1)
  9. Virtumonde.atr von Spybot S&D gefunden und kann es nicht entfernen
    Plagegeister aller Art und deren Bekämpfung - 09.06.2011 (23)
  10. nach spybot durchlauf... Win32.Agent.ieu, Win32.FraudLoad, Win32.PornPopup
    Log-Analyse und Auswertung - 08.08.2010 (3)
  11. spybot: Hupigon13 avast: Win32 agent ACII
    Log-Analyse und Auswertung - 16.04.2009 (3)
  12. BDS/Agent.vxa.1 kann ich nicht entfernen
    Mülltonne - 24.12.2008 (0)
  13. Spybot findet win32.agent.sd
    Plagegeister aller Art und deren Bekämpfung - 21.11.2008 (1)
  14. Spybot kann win32.agent.pz nicht entfernen
    Log-Analyse und Auswertung - 17.03.2008 (5)
  15. Win32.Agent.Pz lässt sich nicht entfernen
    Plagegeister aller Art und deren Bekämpfung - 05.10.2007 (2)
  16. ich kann TR/Dldr.Agent nicht entfernen
    Plagegeister aller Art und deren Bekämpfung - 04.03.2007 (2)
  17. P2P-Worm.Win32.Spybot.fb / kann nicht entfernt werden
    Plagegeister aller Art und deren Bekämpfung - 24.02.2005 (2)

Zum Thema Spybot kann Win32.Agent.sxi nicht entfernen - Hallo! Trotz Beachtung der üblichen Sicherheitsregeln scheine ich mir auf meinem Bürorechner einen Trojaner eingefangen zu haben. Zumindest meldete McAfee gestern den Befall von "res.dll" und "A0049273.dll" in der "System - Spybot kann Win32.Agent.sxi nicht entfernen...
Archiv
Du betrachtest: Spybot kann Win32.Agent.sxi nicht entfernen auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.