Google öffnet in Firefox falsche/Werbefenster

Lodda · 01.04.2009, 15:43

Hallo zusammen,

ich habe das Problem, dass wenn ich mit google suche, und auf eine Ergebniss klicke, eine andere /Werbeseite göffnet wird.

Ich habe schon verschiedene Sachen versucht, und mir auch hier im Forum ähnliche Threads durchgelesen, leider bisher ohne Erfolg, so dass ich nun selber einen Thread eröffne.

Was habe ich bisher gemacht:
- AVG Antivir laufen lassen: Trojaner Silent.Banker gefunden & entfernt

- AVIRA Antivir laufen lassen: Exploits EXP/Pidief.YF gefunden & gelöscht, Trojanische Pferd TR/Crypt.XPACK.Gen gefunden & gelöscht.

- sämtliche Cookies und private Daten im Browser (Firefox) gelöscht

- einen Online Scan durchgeführt (glaube Kaspersky war´s), keine weiteren Ergebnisse

- einen antirootkit laufen lassen , kein Ergbenis

- Ccleaner nach Anleitung laufen lassen

- Navilog1 laufen lassen

- Malwarebytes Anti-Malware habe ich VERSUCHT, aber leider lässt sich das Programm bei mir nicht ausführen.

- und eben hijackthis, deren log & Softwareliste ich dann hier mal einstellen möchte[Vollnamen und Links sollten nicht vorhanden sein]:

Logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:10:10, on 01.04.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Programme\TOSHIBA\ConfigFree\NDSTray.exe
C:\Programme\Synaptics\SynTP\Toshiba.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\System32\DLA\DLACTRLW.EXE
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Windows Desktop Search\WindowsSearch.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Bene\Desktop\HiJackThis.exe

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {06ec6572-7280-485a-a712-c380526bc048} - (no file)
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: MSN Suche Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\msntb.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O3 - Toolbar: MSN Suche Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [NVRotateSysTray] rundll32.exe C:\WINDOWS\system32\nvsysrot.dll,Enable
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [THotkey] C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [SmoothView] C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: &MSN Suche - res://C:\Programme\MSN Toolbar Suite\msntb.dll/search.htm
O8 - Extra context menu item: In neuer Registerkarte im Hintergrund öffnen - res://C:\Programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/229?179e8bc44eb34a0686cdf87aca9c5169
O8 - Extra context menu item: In neuer Registerkarte im Vordergrund öffnen - res://C:\Programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/230?179e8bc44eb34a0686cdf87aca9c5169
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Unknown owner - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe (file missing)
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Unknown owner - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE (file missing)
O23 - Service: Norton Protection Center Service (NSCService) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe (file missing)
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 12340 bytes

Software Liste:

Code:

ATTFilter

2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
Adobe Flash Player 10 Plugin
Adobe Flash Player ActiveX
Adobe Reader 7.0.8 - Deutsch
Avira AntiVir Personal - Free Antivirus
AVS Audio Converter version 5.1
AVS4YOU Software Navigator 1.2
Bluetooth Stack for Windows by Toshiba
Brother 1450
Brownie
CC_ccProxyExt
ccCommon
CCleaner (remove only)
ccPxyCore
CD/DVD Drive Acoustic Silencer
Colin McRae Rally 2005
Command & Conquer Generals
Command and Conquer(TM) Generäle Die Stunde Null 
DIE SIEDLER - Das Erbe der Könige
Disc2Phone
FLV Player 2.0, build 24
Free WMA to MP3 Converter 1.16
FUSSBALL MANAGER 06
Gimp 2.6.2 Debug
Google Earth
Google Toolbar for Internet Explorer
Google Updater
High Definition Audio Driver Package - KB888111
HijackThis 2.0.2
Hotfix for Windows Media Player 10 (KB903157)
Hotfix for Windows XP (KB915800-v4)
Hotfix for Windows XP (KB915865)
Hotfix für Windows Media Player 10 (KB910393)
Hotfix für Windows XP (KB888795)
Hotfix für Windows XP (KB891593)
Hotfix für Windows XP (KB893357)
Hotfix für Windows XP (KB894871)
Hotfix für Windows XP (KB896243)
Hotfix für Windows XP (KB896256)
Hotfix für Windows XP (KB899337)
Hotfix für Windows XP (KB899510)
Hotfix für Windows XP (KB902841)
Hotfix für Windows XP (KB910728)
Hotfix für Windows XP (KB917332)
Hotfix für Windows XP (KB935448)
Hotfix für Windows XP (KB952287)
ICQ Toolbar
ICQ6
Intel(R) PRO Network Connections Drivers
Intel(R) PROSet/Wireless Software
InterVideo WinDVD Creator 2
InterVideo WinDVD for TOSHIBA
J2SE Runtime Environment 5.0 Update 6
Macromedia Flash Player
Malwarebytes' Anti-Malware
mCore
mDrWiFi
mHelp
Microsoft .NET Framework 1.0 Hotfix (KB930494)
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1 German Language Pack
Microsoft .NET Framework 1.1 Hotfix (KB928366)
Microsoft .NET Framework 2.0
Microsoft Office Access MUI (German) 2007
Microsoft Office Enterprise 2007
Microsoft Office Enterprise 2007
Microsoft Office Excel MUI (German) 2007
Microsoft Office Groove MUI (German) 2007
Microsoft Office InfoPath MUI (German) 2007
Microsoft Office OneNote MUI (German) 2007
Microsoft Office Outlook MUI (German) 2007
Microsoft Office PowerPoint MUI (German) 2007
Microsoft Office Proof (English) 2007
Microsoft Office Proof (French) 2007
Microsoft Office Proof (German) 2007
Microsoft Office Proof (Italian) 2007
Microsoft Office Proofing (German) 2007
Microsoft Office Publisher MUI (German) 2007
Microsoft Office Shared MUI (German) 2007
Microsoft Office Word MUI (German) 2007
Microsoft Visual C++ 2005 Redistributable
mIWA
mLogView
mMHouse
Mozilla Firefox (3.0.8)
mPfMgr
mPfWiz
mProSafe
MSN Suche Toolbar
MSXML 4.0 SP2 (KB936181)
mWlsSafe
mXML
mZConfig
Navilog1 3.7.6
No23 Recorder
Norton Internet Security
Norton Internet Security
Norton Protection Center
NVIDIA Drivers
PDFCreator
PDFCreator Toolbar
Realtek High Definition Audio Driver
SD Secure Module
Security Update for 2007 Microsoft Office System (KB951596)
Security Update for 2007 Microsoft Office System (KB951944)
Security Update for CAPICOM (KB931906)
Security Update for CAPICOM (KB931906)
Security Update for Microsoft Office Excel 2007 (KB951546)
Security Update for Microsoft Office OneNote 2007 (KB950130)
Security Update for Microsoft Office PowerPoint 2007 (KB951338)
Security Update for Microsoft Office Publisher 2007 (KB950114)
Security Update for Microsoft Office system 2007 (KB951808)
Security Update for Microsoft Office system 2007 (KB954326)
Security Update for Microsoft Office Word 2007 (KB950113)
Sicherheitsupdate für Windows Media Player (KB911564)
Sicherheitsupdate für Windows Media Player 10 (KB917734)
Sicherheitsupdate für Windows Media Player 10 (KB936782)
Sicherheitsupdate für Windows Media Player 6.4 (KB925398)
Sicherheitsupdate für Windows XP (KB890046)
Sicherheitsupdate für Windows XP (KB893756)
Sicherheitsupdate für Windows XP (KB896358)
Sicherheitsupdate für Windows XP (KB896422)
Sicherheitsupdate für Windows XP (KB896423)
Sicherheitsupdate für Windows XP (KB896424)
Sicherheitsupdate für Windows XP (KB896428)
Sicherheitsupdate für Windows XP (KB899587)
Sicherheitsupdate für Windows XP (KB899589)
Sicherheitsupdate für Windows XP (KB899591)
Sicherheitsupdate für Windows XP (KB900725)
Sicherheitsupdate für Windows XP (KB901017)
Sicherheitsupdate für Windows XP (KB901214)
Sicherheitsupdate für Windows XP (KB902400)
Sicherheitsupdate für Windows XP (KB904706)
Sicherheitsupdate für Windows XP (KB905414)
Sicherheitsupdate für Windows XP (KB905749)
Sicherheitsupdate für Windows XP (KB908519)
Sicherheitsupdate für Windows XP (KB908531)
Sicherheitsupdate für Windows XP (KB911280)
Sicherheitsupdate für Windows XP (KB911562)
Sicherheitsupdate für Windows XP (KB911567)
Sicherheitsupdate für Windows XP (KB911927)
Sicherheitsupdate für Windows XP (KB912919)
Sicherheitsupdate für Windows XP (KB913580)
Sicherheitsupdate für Windows XP (KB914388)
Sicherheitsupdate für Windows XP (KB914389)
Sicherheitsupdate für Windows XP (KB916281)
Sicherheitsupdate für Windows XP (KB917344)
Sicherheitsupdate für Windows XP (KB917953)
Sicherheitsupdate für Windows XP (KB918118)
Sicherheitsupdate für Windows XP (KB918439)
Sicherheitsupdate für Windows XP (KB920213)
Sicherheitsupdate für Windows XP (KB920670)
Sicherheitsupdate für Windows XP (KB920683)
Sicherheitsupdate für Windows XP (KB920685)
Sicherheitsupdate für Windows XP (KB923191)
Sicherheitsupdate für Windows XP (KB923414)
Sicherheitsupdate für Windows XP (KB923689)
Sicherheitsupdate für Windows XP (KB923980)
Sicherheitsupdate für Windows XP (KB924270)
Sicherheitsupdate für Windows XP (KB924496)
Sicherheitsupdate für Windows XP (KB924667)
Sicherheitsupdate für Windows XP (KB925902)
Sicherheitsupdate für Windows XP (KB926255)
Sicherheitsupdate für Windows XP (KB926436)
Sicherheitsupdate für Windows XP (KB927779)
Sicherheitsupdate für Windows XP (KB927802)
Sicherheitsupdate für Windows XP (KB928255)
Sicherheitsupdate für Windows XP (KB928843)
Sicherheitsupdate für Windows XP (KB929123)
Sicherheitsupdate für Windows XP (KB930178)
Sicherheitsupdate für Windows XP (KB931261)
Sicherheitsupdate für Windows XP (KB931784)
Sicherheitsupdate für Windows XP (KB932168)
Sicherheitsupdate für Windows XP (KB933729)
Sicherheitsupdate für Windows XP (KB935839)
Sicherheitsupdate für Windows XP (KB935840)
Sicherheitsupdate für Windows XP (KB936021)
Sicherheitsupdate für Windows XP (KB937894)
Sicherheitsupdate für Windows XP (KB938127)
Sicherheitsupdate für Windows XP (KB938464)
Sicherheitsupdate für Windows XP (KB941202)
Sicherheitsupdate für Windows XP (KB941569)
Sicherheitsupdate für Windows XP (KB941693)
Sicherheitsupdate für Windows XP (KB943055)
Sicherheitsupdate für Windows XP (KB943460)
Sicherheitsupdate für Windows XP (KB943485)
Sicherheitsupdate für Windows XP (KB944338)
Sicherheitsupdate für Windows XP (KB944653)
Sicherheitsupdate für Windows XP (KB945553)
Sicherheitsupdate für Windows XP (KB946026)
Sicherheitsupdate für Windows XP (KB946648)
Sicherheitsupdate für Windows XP (KB948590)
Sicherheitsupdate für Windows XP (KB950749)
Sicherheitsupdate für Windows XP (KB950759)
Sicherheitsupdate für Windows XP (KB950760)
Sicherheitsupdate für Windows XP (KB950762)
Sicherheitsupdate für Windows XP (KB950974)
Sicherheitsupdate für Windows XP (KB951066)
Sicherheitsupdate für Windows XP (KB951376-v2)
Sicherheitsupdate für Windows XP (KB951698)
Sicherheitsupdate für Windows XP (KB951748)
Sicherheitsupdate für Windows XP (KB952954)
Sicherheitsupdate für Windows XP (KB953838)
Sicherheitsupdate für Windows XP (KB953839)
Skype™ 3.8
Sonic DLA
Sonic Encoders
Sonic RecordNow!
Synaptics Pointing Device Driver
TeamSpeak 2 RC2
Texas Instruments PCIxx21/x515/xx12 drivers.
TOSHIBA Assist
TOSHIBA Benutzerhandbücher
TOSHIBA ConfigFree
TOSHIBA Controls
TOSHIBA Hotkey Utility
TOSHIBA PC-Diagnose-Tool
TOSHIBA Power Saver
TOSHIBA SD-Speicherkarten-Formatierung
TOSHIBA Software Modem
TOSHIBA TouchPad ON/Off Utility
TOSHIBA Utilities
TOSHIBA Virtual Sound
TOSHIBA Zoom-Dienstprogramm
Update for Microsoft Office Outlook 2007 (KB952142)
Update for Office 2007 (KB946691)
Update for Outlook 2007 Junk Email Filter (kb956080)
Update für Windows Media Player 10 (KB913800)
Update für Windows Media Player 10 (KB926251)
Update für Windows XP (KB894391)
Update für Windows XP (KB898461)
Update für Windows XP (KB900485)
Update für Windows XP (KB910437)
Update für Windows XP (KB916595)
Update für Windows XP (KB920872)
Update für Windows XP (KB922582)
Update für Windows XP (KB927891)
Update für Windows XP (KB930916)
Update für Windows XP (KB936357)
Update für Windows XP (KB938828)
Update für Windows XP (KB942763)
Update für Windows XP (KB951072-v2)
Update Rollup 2 für Windows XP Media Center Edition 2005
VideoLAN VLC media player 0.8.6i
Winamp
Windows Installer 3.1 (KB893803)
Windows Media Format Runtime
Windows Media Player Firefox Plugin
Windows Search 4.0
Windows XP Media Center Edition 2005 KB888316
Windows XP Media Center Edition 2005 KB894553
Windows XP Media Center Edition 2005 KB895678
Windows XP Media Center Edition 2005 KB914548
Windows XP-Hotfix - KB873339
Windows XP-Hotfix - KB885250
Windows XP-Hotfix - KB885835
Windows XP-Hotfix - KB885836
Windows XP-Hotfix - KB885855
Windows XP-Hotfix - KB886185
Windows XP-Hotfix - KB887472
Windows XP-Hotfix - KB888113
Windows XP-Hotfix - KB888302
Windows XP-Hotfix - KB888622
Windows XP-Hotfix - KB889673
Windows XP-Hotfix - KB890546
Windows XP-Hotfix - KB890859
Windows XP-Hotfix - KB891781
Windows XP-Hotfix - KB893056
Windows XP-Hotfix - KB895200
Windows XP-Hotfix - KB895961
WinRAR archiver
WinSCP 3.6.8
World of Warcraft
X10 Hardware(TM)
Yahoo! Toolbar

Vielen Dank schon einmal für eure Hilfe.

Lodda · 01.04.2009, 18:18

Mal ein kleines Update:

Was ich noch versucht habe:

- SuperAntiSpyware: Startet nicht, es ercheint nur das "... hat ein Problem und muss beendet werden" Fenster.

- ComboFix: Passiert gar nchts. Auch nicht, nachdem ich FixPolicies, was als Lösung für dieses Problem genannt wird, ausgeführt habe.

- Malware´s Anti-Malware: Das dieses Programm nicht funktioniert, hatte ich ja schon geschrieben.

john.doe · 01.04.2009, 18:34

Hallo und

GMER - Rootkit Detection

Lade Trallala von file-upload.net
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Trallala.exe
Der Reiter Rootkit oben ist schon angewählt

Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

ciao, andreas

Lodda · 01.04.2009, 20:29

Hi,
hier das log des GMER - ne ganze Menge war rot dabei:

edit: zu lang, also als Link:

http://www.materialordner.de/b41dGcS...mAHYotzDu.html

john.doe · 01.04.2009, 20:41

1.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

Doppelklick auf das Avenger-Symbol

Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

Code:

ATTFilter

Drivers to delete:
UACd.sys

Registry keys to delete:
HKLM\SYSTEM\ControlSet002\Services\UACd.sys

Files to delete:
C:\Dokumente und Einstellungen\Bene\Lokale Einstellungen\Temp\UAC21f4.tmp 
C:\WINDOWS\system32\uacinit.dll
C:\WINDOWS\system32\drivers\UACejwfvmqf.sys
C:\WINDOWS\system32\UACucboexml.dll
C:\WINDOWS\system32\UACteptalkd.dat
C:\WINDOWS\system32\UACwjhwgrft.dll
C:\WINDOWS\system32\UACyjpcyvtt.dll
C:\WINDOWS\system32\UACwprmmbqv.dll
C:\WINDOWS\system32\UACmpcfaitt.dll
C:\WINDOWS\system32\UACltaxlysh.log
C:\WINDOWS\system32\UACgfalrvjd.log
C:\WINDOWS\system32\UACovyhxilr.log
C:\WINDOWS\Temp\UAC7327.tmp
C:\WINDOWS\Temp\UAC7bf1.tmp

Schliesse nun alle Programme und Browser-Fenster

Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet

Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

2.) Poste ein neues Gmer-Log.

ciao, andreas

Lodda · 01.04.2009, 21:26

So,

Schritt 1, Avenger, durchgeführt. Log unten.
Schritt 2, erneuter Scan mit GMER, starte ich gleich. Das hat aber vorhin seeehr lange gedauert, sicher über ne Stunde. Log davon erfolgt also spät, oder morgen.

Und.... Vielen Dank schonmal für die Hilfe!

Code:

ATTFilter

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "UACd.sys" found!
ImagePath:  \systemroot\system32\drivers\UACejwfvmqf.sys 
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "UACd.sys" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet002\Services\UACd.sys" deleted successfully.
File "C:\Dokumente und Einstellungen\Bene\Lokale Einstellungen\Temp\UAC21f4.tmp" deleted successfully.
File "C:\WINDOWS\system32\uacinit.dll" deleted successfully.
File "C:\WINDOWS\system32\drivers\UACejwfvmqf.sys" deleted successfully.
File "C:\WINDOWS\system32\UACucboexml.dll" deleted successfully.
File "C:\WINDOWS\system32\UACteptalkd.dat" deleted successfully.
File "C:\WINDOWS\system32\UACwjhwgrft.dll" deleted successfully.
File "C:\WINDOWS\system32\UACyjpcyvtt.dll" deleted successfully.
File "C:\WINDOWS\system32\UACwprmmbqv.dll" deleted successfully.
File "C:\WINDOWS\system32\UACmpcfaitt.dll" deleted successfully.
File "C:\WINDOWS\system32\UACltaxlysh.log" deleted successfully.

Error:  file "C:\WINDOWS\system32\UACgfalrvjd.log" not found!
Deletion of file "C:\WINDOWS\system32\UACgfalrvjd.log" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\UACovyhxilr.log" not found!
Deletion of file "C:\WINDOWS\system32\UACovyhxilr.log" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\Temp\UAC7327.tmp" deleted successfully.

Error:  file "C:\WINDOWS\Temp\UAC7bf1.tmp" not found!
Deletion of file "C:\WINDOWS\Temp\UAC7bf1.tmp" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Completed script processing.

*******************

Finished!  Terminate.

john.doe · 01.04.2009, 22:11

Lasse nach GMER ComboFix laufen und poste das Log. Werde erst morgen abend wieder on sein.

ciao, andreas

Lodda · 02.04.2009, 13:07

Hier das neue Log von GMER:

Die Google Suche klappt auch wieder.

Code:

ATTFilter

GMER 1.0.15.14966 - http://www.gmer.net
Rootkit scan 2009-04-02 14:04:32
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.15 ----

SSDT            856F5FC0                                                           ZwConnectPort
SSDT            F7BA016C                                                           ZwCreateThread
SSDT            F7BA0158                                                           ZwOpenProcess
SSDT            F7BA015D                                                           ZwOpenThread
SSDT            F7BA0167                                                           ZwTerminateProcess
SSDT            F7BA0162                                                           ZwWriteVirtualMemory

---- User code sections - GMER 1.0.15 ----

.text           C:\WINDOWS\system32\SearchIndexer.exe[244] kernel32.dll!WriteFile  7C810D87 7 Bytes  JMP 00585C0C C:\WINDOWS\system32\MSSRCH.DLL (mssrch.dll/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                             SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Ip                                           SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                            SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                          SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\prodrv06 \Device\ProDrv06                                  E182CC30
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3                        prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdePort0                                 prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdePort1                                 prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-e                        prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\prohlp02 \Device\ProHlp02                                  E101F1B0

AttachedDevice  \Driver\Tcpip \Device\Udp                                          SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                        SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \FileSystem\Cdfs \Cdfs                                             DLAIFS_M.SYS (Drive Letter Access Component/Sonic Solutions)

---- Files - GMER 1.0.15 ----

File            C:\WINDOWS\system32\config\software.LOG                            (size mismatch) 16384/1024 bytes
File            C:\WINDOWS\system32\config\system.LOG                              (size mismatch) 12288/8192 bytes

---- EOF - GMER 1.0.15 ----

Lodda · 02.04.2009, 14:01

Und hier das Combofix Log:

Code:

ATTFilter

ComboFix 09-04-01.01 - Bene 2009-04-02 14:54:14.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.1022.641 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Bene\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Bene\Desktop\WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
AV: Norton Internet Security 2006 *On-access scanning enabled* (Updated)
FW: Norton Internet Security 2006 *enabled*
FW: Norton Internet Worm Protection *disabled*
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

----- BITS: Eventuell infizierte Webseiten -----

hxxp://loyal-tube.com
.
(((((((((((((((((((((((   Dateien erstellt von 2009-03-02 bis 2009-04-02  ))))))))))))))))))))))))))))))
.

2009-04-01 15:47 . 2009-04-01 18:34	<DIR>	d--------	c:\programme\Malwarebytes' Anti-Malware
2009-04-01 15:47 . 2009-04-01 15:47	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-04-01 15:47 . 2009-03-26 16:49	38,496	--a------	c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-01 15:47 . 2009-03-26 16:49	15,504	--a------	c:\windows\system32\drivers\mbam.sys
2009-04-01 15:26 . 2009-04-01 15:36	<DIR>	d--------	c:\programme\Navilog1
2009-04-01 15:19 . 2009-04-01 15:19	<DIR>	d--------	c:\programme\CCleaner
2009-04-01 14:55 . 2009-04-01 14:55	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Search
2009-03-29 22:50 . 2009-03-31 18:10	<DIR>	d--h-----	C:\$AVG8.VAULT$
2009-03-29 22:41 . 2009-03-29 22:41	<DIR>	d--------	c:\programme\AVG
2009-03-29 22:41 . 2009-03-31 18:16	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-03-18 19:26 . 2009-03-18 19:26	<DIR>	d--------	c:\programme\Teamspeak2_RC2
2009-03-18 19:26 . 2009-03-18 19:26	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\teamspeak2
2009-03-18 19:26 . 2009-03-18 19:26	34,064	--a------	c:\windows\system32\lhacm.acm
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\windows\system32\GroupPolicy
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\windows\system32\de-DE
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Desktop Search
2009-03-10 13:28 . 2008-03-07 18:56	192,000	-----c---	c:\windows\system32\dllcache\offfilt.dll
2009-03-10 13:28 . 2008-03-07 18:56	98,304	-----c---	c:\windows\system32\dllcache\nlhtml.dll
2009-03-10 13:28 . 2008-03-07 18:56	29,696	-----c---	c:\windows\system32\dllcache\mimefilt.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-02 12:47	---------	d-----w	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Skype
2009-04-02 12:24	---------	d-----w	c:\dokumente und einstellungen\Bene\Anwendungsdaten\skypePM
2009-04-01 20:13	---------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-31 14:58	---------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2009-03-15 18:15	---------	d-----w	c:\programme\Google
2009-03-10 11:32	---------	d-----w	c:\programme\Windows Desktop Search
2009-02-27 12:42	---------	d-----w	c:\programme\Gemeinsame Dateien\AVSMedia
2009-02-27 12:39	---------	d-----w	c:\programme\AVS4YOU
2009-02-24 13:43	---------	d-----w	c:\programme\EA SPORTS
2008-08-05 18:05	14,852	----a-w	c:\programme\settings.dat
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-10 15360]
"TOSCDSPD"="c:\programme\TOSHIBA\TOSCDSPD\toscdspd.exe" [2005-04-12 65536]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2004-10-13 1694208]
"Skype"="c:\programme\Skype\Phone\Skype.exe" [2008-11-07 21633320]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-29 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-05-01 7557120]
"NVRotateSysTray"="c:\windows\system32\nvsysrot.dll" [2006-05-01 49152]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"THotkey"="c:\programme\Toshiba\Toshiba Applet\thotkey.exe" [2006-08-25 356352]
"Tvs"="c:\programme\TOSHIBA\Tvs\TvsTray.exe" [2006-02-02 73728]
"SmoothView"="c:\programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe" [2005-05-13 118784]
"DLA"="c:\windows\System32\DLA\DLACTRLW.EXE" [2005-10-06 122940]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2006-08-02 802816]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2006-08-02 696320]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2008-08-04 36352]
"nwiz"="nwiz.exe" [2006-05-01 c:\windows\system32\nwiz.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-05-05 c:\windows\RTHDCPL.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2005-12-13 c:\windows\agrsmmsg.exe]
"TPSMain"="TPSMain.exe" [2005-08-03 c:\windows\system32\TPSMain.exe]
"NDSTray.exe"="NDSTray.exe" [BU]
"TFncKy"="TFncKy.exe" [BU]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-10 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Windows Search.lnk - c:\programme\Windows Desktop Search\WindowsSearch.exe [2008-05-26 123904]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-26 304128]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"wave1"= 14779319361.CPX

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"="1"
"UpdatesDisableNotify"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Dokumente und Einstellungen\\Bene\\Desktop\\allesskype\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Toshiba\\ConfigFree\\CFXFER.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [2008-07-22 222456]
R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [2006-09-14 7040]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;"c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe" --> c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [?]
S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2009-01-05 16512]
.
Inhalt des "geplante Tasks" Ordners

2009-04-02 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-03-22 02:19]
.
.
------- Zusätzlicher Suchlauf -------
.
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: &MSN Suche - c:\programme\MSN Toolbar Suite\msntb.dll/search.htm
IE: In neuer Registerkarte im Hintergrund öffnen - c:\programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/229?179e8bc44eb34a0686cdf87aca9c5169
IE: In neuer Registerkarte im Vordergrund öffnen - c:\programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/230?179e8bc44eb34a0686cdf87aca9c5169
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Bene\Anwendungsdaten\Mozilla\Firefox\Profiles\l2hpb68z.default\
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava11.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava12.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava14.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava32.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJPI150_06.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPOJI610.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-02 14:56:01
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(928)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2009-04-02 14:57:06
ComboFix-quarantined-files.txt  2009-04-02 12:57:04

Vor Suchlauf: 21 Verzeichnis(se), 11,133,022,208 Bytes frei
Nach Suchlauf: 20 Verzeichnis(se), 11,595,075,584 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /noexecute=optin /fastdetect

168	--- E O F ---	2008-09-25 11:57:01

john.doe · 02.04.2009, 15:51

Seit wann hast du Probleme?

1.) Deinstalliere:

Navilog
Google Updater
ICQ Toolbar
MSN Toolbar

2.) Entscheide dich für ein Antivirenprogramm und deinstalliere die anderen. Setze die Removaltools vom jeweiligen Hersteller ein.

3.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

ATTFilter

KILLALL::

Driver::
ICQ Service

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"=-
"Skype"=-
"swg"=
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinampAgent"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"wave1"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=-
"UpdatesDisableNotify"=-

File::
c:\windows\Tasks\Google Software Updater.job

Folder::
c:\programme\Google\Google Updater

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

4.) Neustart => Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

Code:

ATTFilter

C:\WINDOWS\System32\14779319361.CPX

Markiere jeweils eine Zeile, kopiere sie und füge sie bei Virustotal ein. Sollte die Meldung kommen, dass die Datei schon analysiert wurde, dann klicke trotzdem auf Analysieren.

5.) Erstelle ein Filelisting.

Lade die Datei File-Upload.net - listing9.bat auf deinen Desktop
Doppelklicke auf listing9.bat
Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. www.materialordner.de) hochladen und hier den Link posten.

ciao, andreas

Lodda · 02.04.2009, 18:15

Hi,

das Problem bestand seit etwa einer Woche und ist seit gestern, nach GMER, behoben.

Die 5.Schritte schaffe ich heute vermutlich nicht mehr, setze mich aber sonst morgen dran und poste dann die entsprechenden Logs.

Bis dahin

john.doe · 02.04.2009, 18:21

Zitat:

und ist seit gestern, nach GMER, behoben.

Das war Avenger, aber du hast da noch einen Banker am Laufen. Bitte umgehend das Script von ComboFix laufen lassen.

ciao, andreas

Lodda · 03.04.2009, 10:33

So, ich habs geschafft:

1) Programme deinstalliert

2) Werde Antivir nutzen, hab es noch nicht wieder aktiviert, weil ja noch combofix laufen muss

3) Hier das Log von Combofix, nachdem ich es wie in der Anleitung genutzt habe:

Code:

ATTFilter

ComboFix 09-04-01.01 - Bene 2009-04-03 11:00:18.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.1022.634 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Bene\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Bene\Desktop\cfscript.txt
AV: Norton Internet Security 2006 *On-access scanning enabled* (Updated)
FW: Norton Internet Security 2006 *enabled*
FW: Norton Internet Worm Protection *disabled*
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
c:\windows\Tasks\Google Software Updater.job
.

(((((((((((((((((((((((   Dateien erstellt von 2009-03-03 bis 2009-04-03  ))))))))))))))))))))))))))))))
.

2009-04-03 10:51 . 2009-04-03 10:51	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Malwarebytes
2009-04-01 15:47 . 2009-04-03 10:53	<DIR>	d--------	c:\programme\Malwarebytes' Anti-Malware
2009-04-01 15:26 . 2009-04-03 10:43	<DIR>	d--------	c:\programme\Navilog1
2009-04-01 15:19 . 2009-04-01 15:19	<DIR>	d--------	c:\programme\CCleaner
2009-04-01 14:55 . 2009-04-01 14:55	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Search
2009-03-29 22:50 . 2009-03-31 18:10	<DIR>	d--h-----	C:\$AVG8.VAULT$
2009-03-29 22:41 . 2009-03-29 22:41	<DIR>	d--------	c:\programme\AVG
2009-03-29 22:41 . 2009-03-31 18:16	<DIR>	d--------	c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-03-18 19:26 . 2009-03-18 19:26	<DIR>	d--------	c:\programme\Teamspeak2_RC2
2009-03-18 19:26 . 2009-03-18 19:26	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\teamspeak2
2009-03-18 19:26 . 2009-03-18 19:26	34,064	--a------	c:\windows\system32\lhacm.acm
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\windows\system32\GroupPolicy
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\windows\system32\de-DE
2009-03-10 13:30 . 2009-03-10 13:30	<DIR>	d--------	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Desktop Search
2009-03-10 13:28 . 2008-03-07 18:56	192,000	-----c---	c:\windows\system32\dllcache\offfilt.dll
2009-03-10 13:28 . 2008-03-07 18:56	98,304	-----c---	c:\windows\system32\dllcache\nlhtml.dll
2009-03-10 13:28 . 2008-03-07 18:56	29,696	-----c---	c:\windows\system32\dllcache\mimefilt.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-03 08:55	---------	d-----w	c:\dokumente und einstellungen\Bene\Anwendungsdaten\Skype
2009-04-03 08:45	---------	d-----w	c:\programme\Yahoo!
2009-04-03 08:43	---------	d-----w	c:\programme\Google
2009-04-03 08:39	---------	d-----w	c:\dokumente und einstellungen\Bene\Anwendungsdaten\skypePM
2009-03-31 14:58	---------	d-----w	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2009-03-10 11:32	---------	d-----w	c:\programme\Windows Desktop Search
2009-02-27 12:42	---------	d-----w	c:\programme\Gemeinsame Dateien\AVSMedia
2009-02-27 12:39	---------	d-----w	c:\programme\AVS4YOU
2009-02-24 13:43	---------	d-----w	c:\programme\EA SPORTS
2008-08-05 18:05	14,852	----a-w	c:\programme\settings.dat
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-10 15360]
"TOSCDSPD"="c:\programme\TOSHIBA\TOSCDSPD\toscdspd.exe" [2005-04-12 65536]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-29 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-05-01 7557120]
"NVRotateSysTray"="c:\windows\system32\nvsysrot.dll" [2006-05-01 49152]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"THotkey"="c:\programme\Toshiba\Toshiba Applet\thotkey.exe" [2006-08-25 356352]
"Tvs"="c:\programme\TOSHIBA\Tvs\TvsTray.exe" [2006-02-02 73728]
"SmoothView"="c:\programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe" [2005-05-13 118784]
"DLA"="c:\windows\System32\DLA\DLACTRLW.EXE" [2005-10-06 122940]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2006-08-02 802816]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2006-08-02 696320]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"nwiz"="nwiz.exe" [2006-05-01 c:\windows\system32\nwiz.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-05-05 c:\windows\RTHDCPL.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2005-12-13 c:\windows\agrsmmsg.exe]
"TPSMain"="TPSMain.exe" [2005-08-03 c:\windows\system32\TPSMain.exe]
"NDSTray.exe"="NDSTray.exe" [BU]
"TFncKy"="TFncKy.exe" [BU]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-10 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Windows Search.lnk - c:\programme\Windows Desktop Search\WindowsSearch.exe [2008-05-26 123904]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-26 304128]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Dokumente und Einstellungen\\Bene\\Desktop\\allesskype\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Toshiba\\ConfigFree\\CFXFER.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [2006-09-14 7040]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;"c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe" --> c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [?]
S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2009-01-05 16512]
.
.
------- Zusätzlicher Suchlauf -------
.
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
mDefault_Search_URL = hxxp://www.google.com/ie
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
mSearchAssistant = hxxp://www.google.com/ie
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Bene\Anwendungsdaten\Mozilla\Firefox\Profiles\l2hpb68z.default\
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava11.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava12.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava14.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava32.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJPI150_06.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPOJI610.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-03 11:05:44
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(932)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\windows\system32\BRSS01A.EXE
c:\programme\Toshiba\ConfigFree\CFSvcs.exe
c:\windows\ehome\ehrecvr.exe
c:\windows\ehome\ehSched.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
c:\progra~1\COMMON~1\X10\Common\X10nets.exe
c:\windows\ehome\mcrdsvc.exe
c:\windows\system32\searchindexer.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\rundll32.exe
c:\windows\ehome\ehmsas.exe
c:\programme\Synaptics\SynTP\Toshiba.exe
c:\windows\system32\rundll32.exe
c:\programme\Toshiba\ConfigFree\NDSTray.exe
c:\windows\system32\TPSBattM.exe
c:\programme\Intel\Wireless\Bin\Dot1XCfg.exe
c:\windows\system32\dllhost.exe
c:\windows\system32\searchprotocolhost.exe
c:\windows\system32\searchfilterhost.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-03 11:08:04 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-03 09:08:02
ComboFix2.txt  2009-04-02 12:57:07

Vor Suchlauf: 21 Verzeichnis(se), 11.266.904.064 Bytes frei
Nach Suchlauf: 20 Verzeichnis(se), 11,258,572,800 Bytes frei

169	--- E O F ---	2008-09-25 11:57:01

Nach dem Nutzen von combofix und dem Neustart des Rechners haben sich unten rechts am Desktop folgende 2 Icon gemeldet:
- Google hat erkannt, das die Suchroutine sich geändert hat (habe ich nicht weiter drauf reagiert)
- Das Windows Security-Center hat mich aufgefordert, automatische Updates für Virusschutz und Firewall zu aktivieren. Das habe ich dann auch gemacht.

4) Der Scan der Datei durch Virustotal hat eine Ergebnis (von 40 Scans) gebracht (markiert):

Code:

ATTFilter

Antivirus  	Version  	letzte aktualisierung  	Ergebnis
a-squared	4.0.0.101	2009.04.03	-
AhnLab-V3	5.0.0.2	2009.04.03	-
AntiVir	7.9.0.129	2009.04.03	-
Antiy-AVL	2.0.3.1	2009.04.03	-
Authentium	5.1.2.4	2009.04.03	-
Avast	4.8.1335.0	2009.04.02	-
AVG	8.5.0.285	2009.04.02	-
BitDefender	7.2	2009.04.03	-
CAT-QuickHeal	10.00	2009.04.03	-
ClamAV	0.94.1	2009.04.03	-
Comodo	1096	2009.04.02	-
DrWeb	4.44.0.09170	2009.04.03	-
eSafe	7.0.17.0	2009.04.02	-
eTrust-Vet	31.6.6434	2009.04.03	-
F-Prot	4.4.4.56	2009.04.02	-
F-Secure	8.0.14470.0	2009.04.03	-
Fortinet	3.117.0.0	2009.04.03	-
GData	19	2009.04.03	-
Ikarus	T3.1.1.49.0	2009.04.03	-
K7AntiVirus	7.10.690	2009.04.01	-
Kaspersky	7.0.0.125	2009.04.03	-
McAfee	5572	2009.04.02	-
McAfee+Artemis	5572	2009.04.02	-
McAfee-GW-Edition	None	2009.04.03	BlockReason.0
Microsoft	1.4502	2009.04.03	-
NOD32	3984	2009.04.02	-
Norman	6.00.06	2009.04.02	-
nProtect	2009.1.8.0	2009.04.03	-
Panda	10.0.0.14	2009.04.02	-
PCTools	4.4.2.0	2009.04.02	-
Prevx1	V2	2009.04.03	-
Rising	21.23.41.00	2009.04.03	-
Sophos	4.40.0	2009.04.03	-
Sunbelt	3.2.1858.2	2009.04.03	-
Symantec	1.4.4.12	2009.04.03	-
TheHacker	6.3.4.0.300	2009.04.03	-
TrendMicro	8.700.0.1004	2009.04.03	-
VBA32	3.12.10.2	2009.04.02	-
ViRobot	2009.4.3.1675	2009.04.03	-
VirusBuster	4.6.5.0	2009.04.02	-
weitere Informationen
File size: 2676 bytes
MD5...: b85dce9dc4299ce9e380cb655a67e406
SHA1..: f51a4d669b1985b5e0c7d3618548e32bf7e5a173
SHA256: fabca5792061efe3efb4063c7500a9d784d67b0667a52fb8035a8ff15249be10
SHA512: 733a06d3c08b81eb582c2d5b479cea817892028003eb429cfd58409e2b289598
dc2c8c99f663dff003aefa21e1074a7e213ce1aafa491f67070119a5014b23f4
ssdeep: 48:uvQPnGLGvs8BVjh1oI6GGZ2uw5/fN9EJS72ZXbQRPGGPUlpz:uIPnGKvs8TjD
SvZ2uK/IJfNbMPGGPepz
PEiD..: -
TrID..: File type identification
Unknown!

5) Das Filelisting ist hier:
http://www.materialordner.de/kDjuEp5JJ7Gt9GiIdempLID9hecPFb.html

Viele Grüße

Lodda · 03.04.2009, 11:31

Kleines Edit noch: Ich hab jetzt noch einen komplettes Systemcheck von antivir laufen lassen: Keine Virenfunde, aber 2 Warnungen. Das Komplette Log kann ich bei Bedarf posten.

Code:

ATTFilter

C:\hiberfil.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
    [WARNUNG]   Die Datei konnte nicht geöffnet werden!

john.doe · 03.04.2009, 16:28

Mit dem Banker habe ich mich geirrt. Funktioniert dein Sound noch? Checke das bitte, falls nicht, dann stellen wir den Eintrag wieder her.

Die Warnmeldungen haben nichts zu bedeuten.

Schau mal mit dem Windowsexplorer in den Ordner C:\Windows. Alle Bilder (*.bmp) mit Ausnahme von winnt256.bmp und winnt.bmp können gelöscht werden, falls du sie nicht brauchst.

Du hast drei verschiedene Anmeldekonten. Wozu?

1.) Deinstalliere (falls möglich):

Avenger
Gmer
Fixwareout
Navilog
Adobe Reader 7.0.8 - Deutsch
Avira AntiVir Personal - Free Antivirus
Google Toolbar for Internet Explorer
Google Updater
ICQ Toolbar
ICQ6
J2SE Runtime Environment 5.0 Update 6
MSN Suche Toolbar
Norton Internet Security
Norton Protection Center
PDFCreator Toolbar
Yahoo! Toolbar

2.) Download und Ausführung des Norton-Entfernungsprogramms

3.) Entferne Javareste mit SourceForge.net: JavaRa: Downloading ...

4.) Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

ATTFilter

KILLALL::

Driver::
Automatisches LiveUpdate - Scheduler

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

File::
C:\avenger.txt
C:\cleannavi.txt
C:\fixnavi.txt
C:\LHT17E.tmp
C:\LHT118.tmp
C:\ctapi_out_gr.txt
C:\Boot.bak
C:\SWSTAMP.TXT
C:\WINDOWS\system32\wuauclt.exe.wusetup.369578.bak
C:\WINDOWS\system32\wuapi.dll.wusetup.369421.bak
C:\WINDOWS\system32\wuaueng.dll.wusetup.369828.bak

Folder::
C:\Avenger
C:\fixwareout
C:\WINDOWS\Downloaded Program Files
C:\Programme\Navilog1
C:\Programme\Symantec
C:\Programme\Online-Dienste
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files

DirLook::
C:\CMPNENTS
C:\TOOLSCD
C:\WINDOWS\system32\URTTemp

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

5.) Reinige mit CCleaner alle temporären Dateien und die Registry.

6.) Installiere (Toolbars immer abwählen, Haken weg):

7.) MalwareBytes starten und Log posten.

8.) SuperAntiSpyware starten und Log posten.

9.) Neues HJT-Log posten.

ciao, andreas

Google öffnet in Firefox falsche/Werbefenster

Plagegeister aller Art und deren Bekämpfung: Google öffnet in Firefox falsche/Werbefenster