Hallo,

ich hoffe auf Eure Hilfe! Hatte mit meinem XP-System in letzter Zeit immer wieder Fehlermeldungen zu WMI. Habe dann WMIDiag von Microsoft runtergeladen, gestartet und damit wohl "das Böse" aktiviert...

Jedes Mal, wenn ich jetzt ein Programm ausführen möchten, poppt nur kurz eine Shell auf und schliesst sich wieder. Das war's. Beim googeln stieß ich auf den Tipp, die Datei cscript.exe zu löschen - doch schwups, ist sie wieder da. Auch laufen die unterschiedlichsten, immer wieder andere Prozesse und wenn ich einen von ihnen lösche, erscheint ein anderer Prozess.

Der Rechner ist vom Netz, AVScanner kann ich nicht starten und auch sonst geht ausser dem Explorer nichts. Habe die Dateizuweisungen überprüft, aber auch die sind weg - beim neuen Zuweisen scheitert es daran, dass ich ja nichts ausführen kann. Die rundll32.exe war gelöscht, ein reinkopieren hat auch nicht geholfen.

Ein Lichtblick: Die anderen Daten sind alle noch auf der Festplatte (wenn auch eventuell verseucht...).

Hat jemand einen Tipp? Vorab vielen Dank!!!

Hallöle Schmittbauer

http://www.trojaner-board.de/69886-a...-beachten.html

Zusätzlich erläutere uns bitte was genau du ausgeführt hast und von wo du es geladen hast:

Habe dann WMIDiag von Microsoft runtergeladen

Außerdem müssten wir die Fehlermdungen genauer kennen:

Hatte mit meinem XP-System in letzter Zeit immer wieder Fehlermeldungen zu WM

Danke für die Begrüßung...

Hier noch nähere Infos:

- Ich habe die gute Einführung zu Trojaner-Board gelesen - kann aber leider keine der angegebenen Hilfen und Programme starten - das läßt mein System ja nicht zu.

- Ich habe das Programm WMIDiag von der offiziellen MS-Support-Seite geladen (sah jedenfalls so aus). Ich habe folgende Datei ausgeführt WMIDiag.vbs. Um die Ergebnisse in einer Shell zu sehen, sollte ich cscript.exe //H:cscript eingeben, was ich auch gemacht habe.

- Die Fehlermeldung lautet: "WMI hat ein Problem festgestellt und muss beendet werden". Bei den Details finde ich noch die Info, dass der szAppName: wmiprvse.exe ist - was auch immer das heisst. Im Problembericht steht dann im \Temp\WER6886.dir00\wmiprvse.exe.mdmp und \Temp\WER6886.dir00\appcompat.txt

Braucht ihr noch weitere Infos?

Vielen Dank!

Hast du das Programm noch?

Programm WMIDiag

Wenn ja dann lade es bitte bei Virustotal.com hoch und poste das komplette Ergebnis.

Es wäre hilfreich wenn du noch genau wüsstest welche Seite es war von der du gedownloaded hast..

Das Ganze hört sich aber erstmal nicht nach einem Schädling an... Gucken wir mal.

Viel hat sich getan... und es scheint ein Schädling zu sein!

1. Hier der Link zu der Seite, wo ich WMIDiag.vbs bzw .exe als zip her habe:
ht**://**w.microsoft.com/downloads/details.aspx?FamilyID=d7ba3cd6-18d1-4d05-b11e-4c64192ae97d&displaylang=en

***********************************************

2. Hier das Ergebnis der Analyse:

Die Datei wurde bereits analysiert:
MD5: f5085da17c72b3f2aaeaea7a87fc9c8a
First received: 2008.12.29 01:46:05 (CET)
Datum 2008.12.29 01:45:59 (CET) [>78D]
Ergebnisse 1/39
Permalink: analisis/7309db3e9b220e5106853dbb4e252f93


Datei WMIDiag.vbs empfangen 2008.12.29 01:45:12 (CET)
Status: Beendet

Ergebnis: 1/39 (2.56%)
Filter Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.0.0.73 2008.12.29 -
AhnLab-V3 2008.12.25.0 2008.12.27 -
AntiVir 7.9.0.45 2008.12.28 -
Authentium 5.1.0.4 2008.12.28 -
Avast 4.8.1281.0 2008.12.28 -
AVG 8.0.0.199 2008.12.28 -
BitDefender 7.2 2008.12.29 -
CAT-QuickHeal 10.00 2008.12.27 -
ClamAV 0.94.1 2008.12.28 -
Comodo 834 2008.12.28 -
DrWeb 4.44.0.09170 2008.12.29 -
eSafe 7.0.17.0 2008.12.28 VBS.Happy.
eTrust-Vet 31.6.6279 2008.12.28 -
Ewido 4.0 2008.12.28 -
F-Prot 4.4.4.56 2008.12.28 -
F-Secure 8.0.14332.0 2008.12.28 -
Fortinet 3.117.0.0 2008.12.28 -
GData 19 2008.12.29 -
Ikarus T3.1.1.45.0 2008.12.29 -
K7AntiVirus 7.10.568 2008.12.27 -
Kaspersky 7.0.0.125 2008.12.29 -
McAfee 5477 2008.12.28 -
McAfee+Artemis 5477 2008.12.28 -
Microsoft 1.4205 2008.12.28 -
NOD32 3719 2008.12.27 -
Norman 5.80.02 2008.12.26 -
Panda 9.0.0.4 2008.12.28 -
PCTools 4.4.2.0 2008.12.28 -
Prevx1 V2 2008.12.29 -
Rising 21.09.62.00 2008.12.28 -
SecureWeb-Gateway 6.7.6 2008.12.29 -
Sophos 4.37.0 2008.12.28 -
Sunbelt 3.2.1809.2 2008.12.22 -
Symantec 10 2008.12.29 -
TheHacker 6.3.1.4.201 2008.12.28 -
TrendMicro 8.700.0.1004 2008.12.26 -
VBA32 3.12.8.10 2008.12.28 -
ViRobot 2008.12.26.1536 2008.12.26 -
VirusBuster 4.5.11.0 2008.12.28 -
weitere Informationen
File size: 4345133 bytes
MD5...: f5085da17c72b3f2aaeaea7a87fc9c8a
SHA1..: fae8fa3c794bc729326311202b0835447f1f8379
SHA256: 3621be3680f92d4015e6a62df29bd8e5dc36a05fe740afb19aa1478868cfa1d8
SHA512: 7f6fce2ddd33a6bed8145be2428f750351dd823cccfc9287c1bb85a1cbec5fed
75d509566c58fae5ffd37433c5fb43fd8c4305273e9b2438f584f2f00ff5d2f0

ssdeep: 6144:xmJm21WtR8ZQBgGkjY8t5tQPHgz5tQPHgf5tQPHgp5tQPHg1VR+v3uSVYVV
R+v3Y:e1WH8ZQBgGkDCkxCISBNuSQ

PEiD..: -
TrID..: File type identification
Unknown!
PEInfo: -

******************************************************

3. Ich habe mal so lange auf ein Programm geklickt (kam mir vor wie früher bei SummeGames), bis die kurz aufpoppende Shell stehen blieb. Folgende Meldung wurde angezeigt:

C:\Windows\System32\CScript.exe
Microsoft (R) Windows Script Host, Version 5.6
Copyright blabla
Eingabefehler: Für die Dateierweiterung ".exe" gibt es kein Scriptmodul.

********************************************************

4. Habe mein Festplatte mit AntiVir überprüft (rechte Maustaste im Explorer, dann "Ausgewählte Dateien mit AntiVir überprüfen". Ergebnis: 16 Warnungen, keine Funde.

*****************************************************+

5. Plötzlich taucht, ohne das ich was am Rechner mache, eine Meldung von AntiVir mit Tronjaner-Fund auf:

c:\System Volume Information\...\A0015370.dll
Ist das Trojanische Pferd TR/Agent.64512

Habe ich gelöscht, keine Beschwerde vom Programm. ABER! Kurze Zeit später der nächste Fund, Rechner wieder nicht in aktiver Benutzung:

c:\Dokumente und Einstellungen\pcadmin\...\3fa5e0261.dll
Ist das Trojanische Pferd TR/Agent.btxi

Auch das gelöscht, doch dann kommt mal wieder:

c:\System Volume Information\...\A0031030.dll
Ist das Trojanische Pferd TR/Agent.btxi

und

c:\Dokumente und Einstellungen\pcadmin\...\3fa5e0262.tmp
Ist das Trojanische Pferd TR/Agent.btxi

Sie lassen sich immer löschen... und kommen doch wieder, wie

c:\Dokumente und Einstellungen\pcadmin\...\3fa5e0261.dll
Ist das Trojanische Pferd TR/Agent.btxi

***************************************************

Soviel von meinem Sytem! Hilft dir/euch das weiter? Wäre toll!!!

P.S.: Die Daten (docs etc.) sind ja noch da und kann ich auch auf z. B. eine extrerne Festplatte kopieren - doch verseuche ich mir mit denen auch den nächsten Rechner, wo ich die Daten aufrufe?

Mittlereweile ist er auch hier gelandet:

c:\WINDOWS\system32\config\systemprofile\...\3fa5e0261.dll
Ist das Trojanische Pferd TR/Agent.btxi

Also das WMI Diagnosis Utility -- Version 2.0 von der MS Website ist sicherlich kein Trojaner! en musst du dir wo anders eingefangen haben.

- Update die AntiVir Datenbanken.
- Wechsel in den abgesicherten Modus.
- Führe dort einen Vollscan nach folgender Anleitung durch:
http://www.trojaner-board.de/54192-anleitung-avira-antivir-agressive-einstellungen.html

Überprüfe den Rechner danach mit SUPERAntiSpyware und Anti-Malware und poste die logs.

Danke für die Antwort. Ich habe das Update durchgeführt und prompt kan noch die Meldung, dass die Datei c:\ARKA6F.tmp auch der TR/Agent.btxi ist...

Habe den PC im abgesicherten Modus hochgefahren, doch wenn ich AntiVir starten möchte, um es nach der Anleitung zu konfigurieren, bekomme ich die Meldung:

Der Dienst kann nicht im abgesicherten Modus gestartet werden.

Hast du eine Idee? In der Zwischenzeit lasse ich noch einmal den Scan über die rechte Maustaste über C: laufen. Bis jetzt noch kein Fund - bei 50%.

Im abgesicherten Modus habe ich kein Internet. Wie kann ich dann mit mit SUPERAntiSpyware und Anti-Malware testen? Bin um jeden Tipp dankbar...

AntiVir ist durch und hat zig-mal den Trojaner in diversen dlls gefunden. Ich habe immer brav löschen gedrückt...

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Bei Panda ActiveScan wurden 4 Dateien entdeckt:

E:\downloads\6169431\rkfree_setup.exe
E:\downloads\223011\HDCleaner181.exe[E:\downl...11\HDCleaner181.exe][HDWiper32.dll]
C:\System Volume Information\_restore{C8B5EB2...34-11E132C219D9}\RP195\A0020953.dll
C:\Dokumente und Einstellungen\pcadmin\Desktop\rkfree_setup.exe

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Habe mittlerweile Anti-Malware mit ein paar Tricks ausführen können, hier der Report:



Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1878
Windows 5.1.2600 Service Pack 2

20.03.2009 22:19:16
mbam-log-2009-03-20 (22-19-16).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 202615
Laufzeit: 1 hour(s), 43 minute(s), 53 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 12
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rundll32.exe (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CLASSES_ROOT\exefile\shell\open\command\ (Broken.OpenCommand) -> Bad: (%SystemRoot%\System32\CScript.exe "%1" %*) Good: ("%1" %*) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\piffile\shell\open\command\ (Broken.OpenCommand) -> Bad: (%SystemRoot%\System32\CScript.exe "%1" %*) Good: ("%1" %*) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\scrfile\shell\open\command\ (Broken.OpenCommand) -> Bad: (%SystemRoot%\System32\CScript.exe "%1" %*) Good: ("%1" /S) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\regfile\shell\open\command\ (Broken.OpenCommand) -> Bad: (%SystemRoot%\System32\CScript.exe "%1" %*) Good: (regedit.exe "%1") -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\wave1 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\midi1 (Hijack.Sound) -> Bad: (C:\DOKUME~1\pcadmin\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\mixer1 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux1 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\midi2 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\wave2 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux2 (Hijack.Sound) -> Bad: (C:\DOKUME~1\pcadmin\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\mixer2 (Hijack.Sound) -> Bad: (C:\DOKUME~1\LOCALS~1\ANWEND~1\MACROM~1\Common\3fa5e0261.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Versuche mich dann an SUPERAntiSpyware. Bin super gespannt...

Musste neu starten - und die Programme starten wieder!!!

Doch poppte direkt wieder der WMI-Fehler auf, in den Details mit folgenden Infos:

C:\DOKUME~1\pcadmin\LOKALE~1\Temp\WER386a.dir00\wmiprvse.exe.mdmp
C:\DOKUME~1\pcadmin\LOKALE~1\Temp\WER386a.dir00\appcompat.txt

Lasse jetzt SUPERAntiSpyware laufen...

Moin, hier das Ergebnis von SUPERAntiSpyware:

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 03/21/2009 at 01:14 AM

Application Version : 4.25.1014

Core Rules Database Version : 3807
Trace Rules Database Version: 1762

Scan type : Complete Scan
Total Scan Time : 01:36:39

Memory items scanned : 785
Memory threats detected : 0
Registry items scanned : 7977
Registry threats detected : 0
File items scanned : 122709
File threats detected : 1

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\pcadmin\Cookies\pcadmin@doubleclick[1].txt

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

Guten Morgen!

Hast du die Panda-Funde entfernen lassen?
Danach geht's weiter.


ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.


Führe danach nacheinader alle Reparaturen mit SUPERAntiSpyware durch.
Preferences -> Repairs


Öffne danach die Eingabekonsole (Start -> ausführen -> cmd eintippen und mit Enter bestätigen.
Gib dort sfc /scannow ein und bestätige mit Enter.


Bringt das Besserung?

Ja, habe die Panda-Ergebnisse gelöscht...

Habe SUPERAntiSpyware noch im abgesicherten Modus laufen lassen, dort fand er noch:

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 03/21/2009 at 01:00 PM

Application Version : 4.25.1014

Core Rules Database Version : 3784
Trace Rules Database Version: 1741

Scan type : Complete Scan
Total Scan Time : 03:40:55

Memory items scanned : 222
Memory threats detected : 0
Registry items scanned : 8376
Registry threats detected : 1
File items scanned : 121326
File threats detected : 0

Trojan.Media-Codec
HKU\S-1-5-21-1659004503-1202660629-682003330-500\Software\Internet Security

Danach wurde das System neu gestartet, in der Systemkonfiguration musste ich dann aber nicht mehr den Haken bei /SAFEBOOT in der BOOT.INI rausnehmen, der war schon weg.

Mache dann nachher mit deiner nächsten Anweisung weiter! Finde es btw super, wie du mir schon geholfen hast!

Habe ComboFix laufen lassen (dafür musste ich AntiVir deinstallieren - konnte den Prozess nicht stoppen) und folgender Report wurde rausgeschrieben:

ComboFix 09-03-19.02 - pcadmin 2009-03-22 13:16:58.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1535.1065 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\pcadmin\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

----- BITS: Eventuell infizierte Webseiten -----

hxxp://gllto.glpals.com
.
((((((((((((((((((((((( Dateien erstellt von 2009-02-22 bis 2009-03-22 ))))))))))))))))))))))))))))))
.

2009-03-21 18:46 . 2009-03-21 18:29 211 --ah----- C:\boot.ini.SAB
2009-03-21 09:15 . 2009-03-21 09:15 <DIR> d-------- c:\dokumente und einstellungen\Administrator\Anwendungsdaten\SUPERAntiSpyware.com
2009-03-20 22:41 . 2009-03-20 22:41 <DIR> d-------- c:\dokumente und einstellungen\pcadmin\Anwendungsdaten\Windows Desktop Search
2009-03-20 22:41 . 2009-03-20 22:41 <DIR> d-------- c:\dokumente und einstellungen\pcadmin\Anwendungsdaten\ATI
2009-03-20 22:32 . 2009-03-20 22:32 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2009-03-20 22:31 . 2009-03-20 22:31 <DIR> d-------- c:\programme\SUPERAntiSpyware
2009-03-20 22:31 . 2009-03-20 22:31 <DIR> d-------- c:\dokumente und einstellungen\pcadmin\Anwendungsdaten\SUPERAntiSpyware.com
2009-03-20 20:21 . 2009-03-20 20:21 <DIR> d-------- c:\dokumente und einstellungen\pcadmin\Anwendungsdaten\Malwarebytes
2009-03-20 20:20 . 2009-03-20 20:21 <DIR> d-------- c:\programme\Malwarebytes' Anti-Malware
2009-03-20 20:20 . 2009-03-20 20:20 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-03-20 20:20 . 2009-02-11 10:19 38,496 --a------ c:\windows\system32\drivers\mbamswissarmy.sys
2009-03-20 20:20 . 2009-02-11 10:19 15,504 --a------ c:\windows\system32\drivers\mbam.sys
2009-03-19 20:22 . 2008-06-19 16:24 28,544 --a------ c:\windows\system32\drivers\pavboot.sys
2009-03-19 20:20 . 2009-03-19 20:20 <DIR> d-------- c:\programme\Panda Security
2009-03-16 09:24 . 2009-03-16 09:24 <DIR> d-------- c:\programme\TweakNow RegCleaner Std
2009-03-16 08:53 . 2009-03-16 08:53 <DIR> d-------- c:\programme\Process Revealer Free Edition
2009-03-16 08:53 . 2009-03-16 08:53 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\prfree
2009-03-16 08:43 . 2009-03-16 08:43 <DIR> d-------- c:\programme\Daphne
2009-03-15 23:33 . 2009-03-15 23:39 <DIR> d-------- c:\programme\Wise Registry Cleaner 3
2009-03-15 21:03 . 2009-03-22 13:12 <DIR> dr------- c:\dokumente und einstellungen\pcadmin\Eigene Dateien
2009-03-08 17:50 . 2006-07-25 14:43 <DIR> d--h----- c:\dokumente und einstellungen\pcadmin\Vorlagen
2009-03-08 17:50 . 2006-07-25 15:37 <DIR> dr------- c:\dokumente und einstellungen\pcadmin\Startmenü
2009-03-08 17:50 . 2009-03-22 10:56 <DIR> d--h----- c:\dokumente und einstellungen\pcadmin\Netzwerkumgebung
2009-03-08 17:50 . 2006-07-25 15:37 <DIR> d--h----- c:\dokumente und einstellungen\pcadmin\Lokale Einstellungen
2009-03-08 17:50 . 2009-03-20 22:34 <DIR> d-------- c:\dokumente und einstellungen\pcadmin\Favoriten
2009-03-08 17:50 . 2006-07-25 15:37 <DIR> d--h----- c:\dokumente und einstellungen\pcadmin\Druckumgebung
2009-03-08 17:50 . 2009-03-20 22:41 <DIR> dr-h----- c:\dokumente und einstellungen\pcadmin\Anwendungsdaten
2009-03-08 17:50 . 2009-03-22 13:11 <DIR> d-------- c:\dokumente und einstellungen\pcadmin
2009-03-06 17:52 . 2009-03-06 18:04 788,714,300 --a------ c:\dokumente und einstellungen\Administrator\Eigene Dateien.zip
2009-03-06 17:01 . 2004-08-04 08:56 98,304 --a------ c:\windows\system32\cscript_alt.exe
2009-03-06 16:29 . 2009-03-06 16:29 <DIR> d--hs---- C:\$RECYCLE.BIN

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-03-22 10:32 --------- d-----w c:\programme\McAfee
2009-03-22 10:18 --------- d---a-w c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2009-03-22 09:59 --------- d-----w c:\programme\CCleaner
2009-03-21 21:53 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-20 21:52 --------- d-----w c:\programme\Companion OneTouch
2009-03-20 21:31 --------- d-----w c:\programme\Gemeinsame Dateien\Wise Installation Wizard
2009-03-15 22:48 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2009-03-06 17:13 --------- d-----w c:\programme\Spyware Doctor
2009-03-06 16:16 --------- d-----w c:\programme\Ad-Aware
2009-03-06 15:19 98,304 ----a-w c:\windows\system32\cscript.exe
2009-03-05 11:30 --------- d-----w c:\programme\Plaxo
2009-03-04 09:24 --------- d-----w c:\programme\Gemeinsame Dateien\Symantec Shared
2009-03-04 09:23 --------- d-----w c:\programme\Norton Security Scan
2009-03-01 21:49 --------- d-----w c:\dokumente und einstellungen\LocalService\Anwendungsdaten\SACore
2009-02-23 12:37 --------- d-----w c:\programme\Gemeinsame Dateien\Adobe
2009-02-15 22:33 --------- d-----w c:\dokumente und einstellungen\Administrator\Anwendungsdaten\SiteAdvisor
2009-02-15 17:49 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\DVD Shrink
2009-02-09 14:14 1,846,400 ----a-w c:\windows\system32\win32k.sys
2009-02-04 08:06 --------- d-----w c:\programme\FreePDF_XP
2008-08-20 08:37 14,852 ----a-w c:\programme\settings.dat
2008-01-30 07:05 32 ----a-w c:\dokumente und einstellungen\All Users\Anwendungsdaten\ezsid.dat
2007-11-28 19:28 67,696 ----a-w c:\programme\mozilla firefox\components\jar50.dll
2007-11-28 19:28 54,376 ----a-w c:\programme\mozilla firefox\components\jsd3250.dll
2007-11-28 19:28 34,952 ----a-w c:\programme\mozilla firefox\components\myspell.dll
2007-11-28 19:28 46,720 ----a-w c:\programme\mozilla firefox\components\spellchk.dll
2007-11-28 19:28 172,144 ----a-w c:\programme\mozilla firefox\components\xpinstal.dll
2008-01-03 09:06 51,559,456 --sha-w c:\windows\system32\drivers\fidbox.dat
2008-01-03 09:07 2,370,592 --sha-w c:\windows\system32\drivers\fidbox2.dat
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"type32"="c:\programme\Microsoft IntelliType Pro\type32.exe" [2003-05-16 114688]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"OneTouch Monitor"="c:\progra~1\COMPAN~2\ONETOU~3.EXE" [2005-04-05 122880]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2003-07-28 4841472]
"MFServices"="c:\programme\Companion Suite IH\MFServices.exe" [2005-04-05 159744]
"MFPrintServer"="c:\programme\Companion Suite IH\MFPrintServer.exe" [2005-04-05 65536]
"IntelliPoint"="c:\programme\Microsoft IntelliPoint\point32.exe" [2003-05-16 163840]
"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2005-02-03 40960]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"FreePDF Assistant"="c:\programme\FreePDF_XP\fpassist.exe" [2005-05-27 310272]
"AVMWlanClient"="c:\programme\avmwlanstick\wlangui.exe" [2006-07-31 1544192]
"CardScanAgent"="c:\programme\CardScan\CardScan\CardScanAgent.exe" [2006-10-20 176128]
"Lto Manager"="c:\programme\Quick GPS Connection Data Download Manager\DesktopLtoManager.exe" [2005-06-29 53248]
"TrayServer"="c:\programme\MAGIX\Video_deluxe_2007_SE\TrayServer.exe" [2006-10-04 86016]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"MSConfig"="c:\windows\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2004-08-04 160768]
"SerExt"="SerExt.exe" [2005-03-01 c:\windows\system32\SerExt.exe]
"nwiz"="nwiz.exe" [2003-07-28 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-04 15360]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
CAPI - Monitor.lnk - c:\programme\Gigaset DECT\capi\Tools\CALLTRAY.exe [2003-06-17 45056]
PocketScan Start.lnk.disabled [2008-06-05 579]
talk&surf 6.0 - Monitor.lnk - c:\programme\Gigaset DECT\talk&surf_6_0\semon21.exe [2005-03-01 172032]
Windows Desktop Search.lnk - c:\programme\Windows Desktop Search\WindowsSearch.exe [2006-10-19 110080]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2006-10-19 293888]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\programme\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2008-12-22 11:05 356352 c:\programme\SUPERAntiSpyware\SASWINLO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.iv41"= ir41_32.dll
"msacm.clmp3enc"= c:\progra~1\HOMECI~1\Power2Go\CLMP3Enc.ACM

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^Administrator^Startmenü^Programme^Autostart^OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk]
backup=c:\windows\pss\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnkStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SUPERAntiSpyware]
--a------ 2009-02-17 11:43 1830128 c:\programme\SUPERAntiSpyware\SUPERAntiSpyware.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"RemoteControl"="c:\programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Games\\Command and Conquer Generals\\game.dat"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Games\\Dune2000\\DUNE2000.DAT"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\Firefly Studios\\Stronghold 2\\Stronghold2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Home Cinema\\PowerDirector\\PDR.exe"=
"c:\programme\Microsoft ActiveSync\rapimgr.exe"= c:\programme\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"c:\programme\Microsoft ActiveSync\wcescomm.exe"= c:\programme\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"c:\programme\Microsoft ActiveSync\WCESMgr.exe"= c:\programme\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
"c:\\WINDOWS\\system32\\sgbxcoms.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [2009-03-19 28544]
R1 mfxnt;mfxnt;c:\windows\system32\drivers\mfxnt.sys [2007-03-25 61288]
R1 SASDIFSV;SASDIFSV;c:\programme\SUPERAntiSpyware\sasdifsv.sys [2009-02-17 8944]
R1 SASKUTIL;SASKUTIL;c:\programme\SUPERAntiSpyware\SASKUTIL.SYS [2009-02-17 55024]
R1 uigxrdr;uigxrdr;c:\windows\system32\drivers\uigxrdr.SYS [2007-07-04 148864]
R2 CAPI;CAPI 2.0 Service;c:\windows\system32\drivers\capi.sys [2007-01-29 28740]
R2 McAfee SiteAdvisor Service;McAfee SiteAdvisor Service;c:\programme\McAfee\SiteAdvisor\McSACore.exe [2008-09-10 210216]
R2 MSSQL$MSSMLBIZ;SQL Server (MSSMLBIZ);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2008-02-26 29183504]
R2 NDISCAPI;NDIS CAPI Service;c:\windows\system32\drivers\ndiscapi.sys [2007-01-29 41037]
R3 DectEnum;DectEnum;c:\windows\system32\drivers\DectEnum.sys [2005-03-01 8448]
R3 Gigusb;Dect USB Driver;c:\windows\system32\drivers\Gigusb.sys [2005-03-01 53632]
R3 HRCMPA;ISDN Wan driver (Ver. 1.20.0032);c:\windows\system32\drivers\hrcmpa.sys [2004-09-08 263751]
R3 HttpUsb;XML interface;c:\windows\system32\drivers\HttpUsb.sys [2007-03-25 31784]
R3 IUAPIWDM;ISDN USB Interface (Ver. 1.20.0032);c:\windows\system32\drivers\IUAPIWDM.sys [2004-09-08 50759]
R3 PAC207;Trust WB-1400T Webcam;c:\windows\system32\drivers\PFC027.sys [2005-02-24 162176]
R3 siellif;siellif;c:\windows\system32\drivers\siellif.sys [2005-03-01 113408]
R3 TTDVBUSB;TechnoTrend - TT-DVB USB Driver;c:\windows\system32\drivers\ttdvbusb.sys [2007-03-14 59616]
R3 UsbItf;MF F@X activities;c:\windows\system32\drivers\UsbItf.sys [2007-03-25 10240]
R3 vmdmd;Softmodem/Fax Port Driver;c:\windows\system32\drivers\vmdmd.sys [2003-06-17 185696]
R3 xControlCOM;xControlCOM;c:\programme\Gigaset DECT\talk&surf_6_0\xcontrolcom.exe [2005-03-01 327680]
S2 Passwdrenew;Passwdrenew;System32\rnpasswd.exe --> System32\rnpasswd.exe [?]
S3 AVMWAN;AVM NDIS WAN CAPI-Treiber;c:\windows\system32\drivers\avmwan.sys [2006-07-25 37568]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\MAGIX\Common\Database\bin\fbserver.exe [2009-01-04 1527900]
S3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI;c:\windows\system32\drivers\fpcibase.sys [2006-07-25 444416]
S3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\drivers\fwlanusb.sys [2008-01-02 264704]
S3 NDISLOOP;Virtual TT-DVB USB Adapter Driver;c:\windows\system32\drivers\ndisloop.sys [2007-03-14 39980]
S3 SASENUM;SASENUM;c:\programme\SUPERAntiSpyware\SASENUM.SYS [2009-02-17 7408]
S3 sdAuxService;PC Tools Auxiliary Service;c:\programme\Spyware Doctor\svcntaux.exe --> c:\programme\Spyware Doctor\svcntaux.exe [?]
S3 sgbx_device;sgbx_device;c:\windows\system32\sgbxcoms.exe -service --> c:\windows\system32\sgbxcoms.exe -service [?]
S3 telch;Firmware Upload Service;c:\windows\system32\drivers\telch.sys [2007-03-25 33625]

--- Andere Dienste/Treiber im Speicher ---

*Deregistered* - CSIScanner
*Deregistered* - pxark
.
Inhalt des "geplante Tasks" Ordners

2009-03-20 c:\windows\Tasks\Norton Security Scan.job
- c:\programme\Norton Security Scan\Nss.exe [2007-09-18 23:42]

2009-03-22 c:\windows\Tasks\User_Feed_Synchronization-{D7CACACC-420D-4F2A-A877-00C5917C46A0}.job
- c:\windows\system32\msfeedssync.exe [2006-10-17 11:58]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-avgnt - c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe


.
------- Zusätzlicher Suchlauf -------
.
mStart Page = about:blank
uInternet Connection Wizard,ShellNext = hxxp://mensch-chance.de/
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~3\Office12\EXCEL.EXE/3000
FF - ProfilePath -
.
.
------- Dateityp-Verknüpfung -------
.
chm.file=%SystemRoot%\System32\CScript.exe "%1" %*
inffile=%SystemRoot%\System32\CScript.exe "%1" %*
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-22 13:18:24
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(656)
c:\programme\SUPERAntiSpyware\SASWINLO.dll
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2009-03-22 13:20:13
ComboFix-quarantined-files.txt 2009-03-22 12:20:11

Vor Suchlauf: 23 Verzeichnis(se), 39.254.085.632 Bytes frei
Nach Suchlauf: 23 Verzeichnis(se), 39,312,146,432 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

228 --- E O F --- 2009-03-16 02:32:08

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

scannow konnte ich nicht durchführen, da das Sytem meine XP-Recovery CD nicht erkannt bzw. akzeptiert hat.

Status:
PC startet hoch, die Programme lassen sich auch starten und ich hatte jetzt keinen WMI-Fehler.

Zwei Fragen:
Ist mein Sytem jetzt wieder sauber?
Kann ich meine externe Festplatte jetzt wieder anschliessen und wie verhindere ich ein "überspringen", wenn die auch infiziert war?

Habe wohl Mist gebaut... und brauche noch einmal Hilfe!

Nach dem letzten Posting sah ja alles soweit gut aus... bis ich mich unter einem anderen Benutzer (Administrator) angemeldet habe. Spybot S&D fragte mich, ob ich Änderungen in der Registry zulassen wolle (u.a. was mit einer .dll im ZUsammenhang mit Macromedia) und ich habe immer "verweigern" getippt. Hätte ich besser mal gelassen, denn da war mein System wieder so, wie ich es vorher hatte: die Programmstarts wurden wieder in eine Shell umgeleitet. Mist!

Also alles von vorne, im Anhang gleich die diversen log-Dateien. Ein anderes Problem habe ich jetzt aber noch - die USB-Ports sind eingeschränkt (wurde ich ja bei ComboFix vor gewarnt) und wenn ich sfc /scannow mache, erkennt er meine XP-CD nicht. Habe mir jetzt noch eine CD von einem Bekannten (auch Vollversion XP Pro) ausgeliehen, aber auch die wird nicht erkannt.

So, jetzt hier die logs:

Malwarebytes: *****************************************
Malwarebytes' Anti-Malware 1.34
Database version: 1897
Windows 5.1.2600 Service Pack 2

28.03.2009 19:05:46
mbam-log-2009-03-28 (19-05-45).txt

Scan type: Full Scan (C:\|)
Objects scanned: 203351
Time elapsed: 1 hour(s), 17 minute(s), 42 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 0
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
(No malicious items detected)

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)
*****************************************

AntiVir Personal *****************************************

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 23. März 2009 16:14

Es wird nach 1311617 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 2) [5.1.2600]
Boot Modus : Abgesicherter Modus
Benutzername : Administrator
Computername : MARCUSTOWER

Versionsinformationen:
BUILD.DAT : 9.0.0.386 17962 Bytes 11.03.2009 15:51:00
AVSCAN.EXE : 9.0.3.3 464641 Bytes 24.02.2009 11:13:22
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 11:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 10:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 09:41:59
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 11:30:36
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 19:33:26
ANTIVIR2.VDF : 7.1.2.199 1008640 Bytes 22.03.2009 22:00:53
ANTIVIR3.VDF : 7.1.2.200 2048 Bytes 22.03.2009 22:00:53
Engineversion : 8.2.0.120
AEVDF.DLL : 8.1.1.0 106868 Bytes 27.01.2009 16:36:42
AESCRIPT.DLL : 8.1.1.67 364923 Bytes 22.03.2009 22:00:55
AESCN.DLL : 8.1.1.8 127346 Bytes 22.03.2009 22:00:55
AERDL.DLL : 8.1.1.3 438645 Bytes 29.10.2008 17:24:41
AEPACK.DLL : 8.1.3.10 397686 Bytes 04.03.2009 12:06:10
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 26.02.2009 19:01:56
AEHEUR.DLL : 8.1.0.107 1663352 Bytes 22.03.2009 22:00:55
AEHELP.DLL : 8.1.2.2 119158 Bytes 26.02.2009 19:01:56
AEGEN.DLL : 8.1.1.30 336245 Bytes 22.03.2009 22:00:53
AEEMU.DLL : 8.1.0.9 393588 Bytes 09.10.2008 13:32:40
AECORE.DLL : 8.1.6.6 176501 Bytes 17.02.2009 13:22:44
AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 13:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 07:47:56
AVPREF.DLL : 9.0.0.1 43777 Bytes 03.12.2008 10:39:55
AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 13:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 14:25:04
AVARKT.DLL : 9.0.0.1 292609 Bytes 09.02.2009 06:52:20
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 09:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 14:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 07:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 14:41:21
RCIMAGE.DLL : 9.0.0.21 2438401 Bytes 09.02.2009 10:41:16
RCTEXT.DLL : 9.0.35.0 87809 Bytes 11.03.2009 14:50:50

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: ein
Optimierter Suchlauf..................: ein
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Montag, 23. März 2009 16:14

Untersuchung der Systemdateien wird begonnen:
Signiert -> 'C:\WINDOWS\system32\svchost.exe'
Signiert -> 'C:\WINDOWS\system32\winlogon.exe'
Signiert -> 'C:\WINDOWS\explorer.exe'
Signiert -> 'C:\WINDOWS\system32\smss.exe'
Signiert -> 'C:\WINDOWS\system32\wininet.DLL'
Signiert -> 'C:\WINDOWS\system32\wsock32.DLL'
Signiert -> 'C:\WINDOWS\system32\ws2_32.DLL'
Signiert -> 'C:\WINDOWS\system32\services.exe'
Signiert -> 'C:\WINDOWS\system32\lsass.exe'
Signiert -> 'C:\WINDOWS\system32\csrss.exe'
Signiert -> 'C:\WINDOWS\system32\drivers\kbdclass.sys'
Signiert -> 'C:\WINDOWS\system32\spoolsv.exe'
Signiert -> 'C:\WINDOWS\system32\alg.exe'
Signiert -> 'C:\WINDOWS\system32\wuauclt.exe'
Signiert -> 'C:\WINDOWS\system32\advapi32.DLL'
Signiert -> 'C:\WINDOWS\system32\user32.DLL'
Signiert -> 'C:\WINDOWS\system32\gdi32.DLL'
Signiert -> 'C:\WINDOWS\system32\kernel32.DLL'
Signiert -> 'C:\WINDOWS\system32\ntdll.DLL'
Signiert -> 'C:\WINDOWS\system32\ntoskrnl.exe'
Signiert -> 'C:\WINDOWS\system32\ctfmon.exe'
Die Systemdateien wurden durchsucht ('21' Dateien)

Der Suchlauf nach versteckten Objekten wird begonnen.
Der Treiber konnte nicht initialisiert werden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '11' Prozesse mit '11' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:

Der Suchlauf über die Bootsektoren wird begonnen:

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '69' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\Dokumente und Einstellungen\pcadmin\Desktop\ComboFix.exe
[0] Archivtyp: RAR SFX (self extracting)
--> 32788R22FWJFW\psexec.cfexe
[1] Archivtyp: RSRC
--> Object
[FUND] Enthält Erkennungsmuster der Anwendung APPL/PsExec.E
C:\Dokumente und Einstellungen\pcadmin\Desktop\rkfree_setup.exe
[FUND] Enthält Erkennungsmuster des SPR/RevealerKeylogger.F-Programmes

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\pcadmin\Desktop\ComboFix.exe
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a34d477.qua' verschoben!
C:\Dokumente und Einstellungen\pcadmin\Desktop\rkfree_setup.exe
[FUND] Enthält Erkennungsmuster des SPR/RevealerKeylogger.F-Programmes
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a2dd475.qua' verschoben!


Ende des Suchlaufs: Montag, 23. März 2009 19:25
Benötigte Zeit: 1:58:51 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

9252 Verzeichnisse wurden überprüft
376295 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
2 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
376292 Dateien ohne Befall
3261 Archive wurden durchsucht
1 Warnungen
3 Hinweise

*****************************************