Rechner startet sich nach wenigen Minuten neu

Rooq · 04.07.2009, 11:50

Hallo liebe Trojaner Boardler,

Ich gestehe erstens das ich eigentlich keine Ahnung von Rechnern hab und das ich mir zweitens wohl irgendwas auf dem Rechner eingefangen hab das ich nicht näher betiteln kann. Ich kann nur sagen das mein Rechner beim start von Win XP schon error meldungen rausschmeisst und mir mitteilt das diverse Programme beendet werden mussten (gestern teilte er mir beim starten schon mit das WIn XP jetzt beendet werden müsste und hat das dann auch getan).

Generell passiert aber folgendes: Ich schmeiss den Firefox an und nach einigen Minuten läuft alles einfach so ab als hätte ich dem Rechner gesagt er soll sich neu starten (firefox beendet sich, alle anderen programme beenden sich und rechner startet neu).

Wie gesagt, ich hab leider echt keine Ahnung von Rechnern, aber ich hab hier als erstes einen HijackThis log und ich lasse grad noch antivir und mbam laufen und poste die logs dann auch noch. Ich hoffe das mir irgendwer helfen kann weil ich wirklich keine Ahnung habe was ich mir da eingefangen hab..

Ach so...ein Neuaufsetzen des systems kommt leider nicht in Frage weil ich die arbeiten die ich an dem rechner erstellt hab nicht einfach so speicherrn kann. Es wär cool wenn irgendjemand eine andere Lösung sehen würde :-)

Hijackthis Log:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 12:32:55, on 04.07.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Program Files\Google\Update\GoogleUpdate.exe
C:\Program Files\Google\Update\1.2.183.7\GoogleCrashHandler.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
D:\Andere Programme\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Program Files\Canon\CAL\CALMAIN.exe
C:\WINDOWS\system32\msiexec.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\CTHELPER.EXE
C:\Program Files\Winamp\winampa.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe
C:\Program Files\Creative Professional\Digital Audio System\E-MU PatchMix DSP\EmuPatchMixDSP.exe
C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe
C:\Program Files\Java\jre6\bin\jusched.exe
C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Program Files\Messenger\msmsgs.exe
C:\Program Files\Veoh Networks\Veoh\VeohClient.exe
C:\Program Files\Skype\Phone\Skype.exe
C:\WINDOWS\System32\svchost.exe
C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
C:\Program Files\Ultra Flat Metal USB-Hub Keyboard\MagicKey.exe
C:\Program Files\Ultra Flat Metal USB-Hub Keyboard\OSD.EXE
C:\Program Files\OpenOffice.org 2.4\program\soffice.exe
C:\Program Files\OpenOffice.org 2.4\program\soffice.BIN
C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
c:\program files\avira\antivir personaledition classic\avcenter.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Program Files\Skype\Plugin Manager\skypePM.exe
C:\Program Files\Avira\AntiVir PersonalEdition Classic\avscan.exe
C:\Program Files\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Program Files\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [WinampAgent] "C:\Program Files\Winamp\winampa.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Program Files\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Program Files\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [H2O] C:\Program Files\SyncroSoft\Pos\H2O\cledx.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Program Files\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [StartCCC] "C:\Program Files\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [HP Software Update] C:\Program Files\HP\HP Software Update\HPWuSchd2.exe
O4 - HKCU\..\Run: [SetDefaultMIDI] MIDIDef.exe
O4 - HKCU\..\Run: [DAEMON Tools Lite] "C:\Program Files\DAEMON Tools Lite\daemon.exe" -autorun
O4 - HKCU\..\Run: [MSMSGS] "C:\Program Files\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Veoh] "C:\Program Files\Veoh Networks\Veoh\VeohClient.exe" /VeohHide
O4 - HKCU\..\Run: [Skype] "C:\Program Files\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [WAB] C:\Documents and Settings\Admin\Application Data\Macromedia\Common\0052801619.exe
O4 - HKUS\S-1-5-18\..\Run: [rundll32.exe] (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\Run: [WAB] C:\Documents and Settings\LocalService\Application Data\Macromedia\Common\0052801619.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [rundll32.exe] (User 'Default user')
O4 - Startup: hamachi.lnk = C:\Program Files\Hamachi\hamachi.exe
O4 - Startup: OneNote 2007 Screen Clipper and Launcher.lnk = C:\Program Files\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Program Files\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Program Files\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: Ultra Flat Metal USB-Hub Keyboard.lnk = C:\Program Files\Ultra Flat Metal USB-Hub Keyboard\MagicKey.exe
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O17 - HKLM\System\CCS\Services\Tcpip\..\{F72864FF-A966-4C46-8B04-395E1328C119}: NameServer = 213.191.74.11 213.191.92.82
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Program Files\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Program Files\Common Files\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Canon Camera Access Library 8 (CCALib8) - Canon Inc. - C:\Program Files\Canon\CAL\CALMAIN.exe
O23 - Service: Droppix Service - Droppix - C:\Program Files\Common Files\Droppix\DxService.exe
O23 - Service: Google Update Service (gupdate1c904a970227da4) (gupdate1c904a970227da4) - Google Inc. - C:\Program Files\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Program Files\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Program Files\Java\jre6\bin\jqs.exe
O23 - Service: NMSAccessU - Unknown owner - D:\Andere Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Program Files\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Program Files\Spyware Doctor\pctsSvc.exe

--
End of file - 7219 bytes

MBAM Log (von gestern abend):

Malwarebytes' Anti-Malware 1.38
Database version: 2355
Windows 5.1.2600 Service Pack 2

04.07.2009 12:22:48
mbam-log-2009-07-04 (12-22-48).txt

Scan type: Quick Scan
Objects scanned: 116114
Time elapsed: 4 minute(s), 34 second(s)

Memory Processes Infected: 1
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 2
Registry Data Items Infected: 8
Folders Infected: 0
Files Infected: 7

Memory Processes Infected:
C:\WINDOWS\9129837.exe (Trojan.Agent) -> Unloaded process successfully.

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\rundll32.exe (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ttool (Trojan.Agent) -> Quarantined and deleted successfully.

Registry Data Items Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\wave1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\midi1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\mixer1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux1 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\midi2 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\wave2 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\aux2 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Drivers32\mixer2 (Hijack.Sound) -> Bad: (C:\DOCUME~1\Admin\APPLIC~1\MACROM~1\Common\005280161.dll) Good: (wdmaud.drv) -> Quarantined and deleted successfully.

Folders Infected:
(No malicious items detected)

Files Infected:
c:\documents and settings\Admin\local settings\temp\~TM112.tmp (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\Admin\local settings\temporary internet files\Content.IE5\O50ZGBCV\load[2].exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\Admin\start menu\Programs\Startup\legupd32.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\Admin\application data\macromedia\Common\005280161.dll (Hijack.Sound) -> Quarantined and deleted successfully.
C:\WINDOWS\9129837.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\WINDOWS\temp\wpv611246555974.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\documents and settings\Admin\Application Data\wiaserva.log (Malware.Trace) -> Quarantined and deleted successfully.

4RobSen8 · 04.07.2009, 12:25

Hallo...und

Sieht überhaupt nicht gut aus.
Starker Verdacht auch Silent Banker.

Silent Banker: Online-Bankraub in aller Stille - PC-WELT

Für weiter Informationen:
http://www.trojaner-board.de/39939-c...-dahinter.html
Silent Banker hat mich gefunden - Viren und andere Sicherheitsrisiken - Avira Support Forum

Bitte arbeite folgende Programme ab.
Superantispyware

Blacklight scannen lassen

Lade BlackLight runter in einen eigenen Ordner, z.B. C:\programme\blacklight. Sollte der Download nicht klappen, dann probiere es mit diesem Link.
Starte in diesem Ordner blbeta.exe. Alle anderen Programme schließen.
Klick "I accept the agreement", "next", "Scan".
Wenn der Scan fertig ist beende Blacklight mit "Close".
Im Verzeichnis von Blacklight findest Du das erstellte Log fsbl-XXX.log, anstelle der XXX steht eine längere Folge von Ziffern.

Suche bitte schonmal deine Windows cd.

Rooq · 04.07.2009, 12:54

ok...gleich um 16 uhr noch einen termin, danach mach ich mich daran die punkte abzuarbeiten. Danke schonmal.

Wie gesagt: ich kann das System nicht neu aufsetzen weil ich meine Arbeit an dem rechner nicht einfach so speichern kann. Ich meld mich sobald ich die Punkte abgearbeitet hab :-)

4RobSen8 · 04.07.2009, 13:23

Gut mach das...
Ich bin zeitlich knapp dran...

Du hattest, oder hast wahrscheinlich noch 2 Vierenscanner....
Antivir und Ikarus, beide behindern sich und erfüllen damit nicht ihren Zweck.
Hier im Forum wird allgemein meist Antivir empfohlen...

Intressant wäre noch der Fundort von Antivir.

Rooq · 04.07.2009, 15:33

Ich kann mich nicht daran erinnern jemals Ikarus installiert zu haben !? Also ich glaub dir das, aber ich hab keine Ahnung wie das auf meinen Rechner gekommen ist !?
An die beiden Schritte die du vorgeschlagen hast mach ich mich sobald ich mit Arbeit durch bin. Hier erstmal der Antivir Bericht:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Saturday, July 04, 2009 12:32

Es wird nach 1446709 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir Personal - FREE Antivirus
Seriennummer: 0000149996-ADJIE-0000001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: SYSTEM
Computername: ROOQ

Versionsinformationen:
BUILD.DAT : 8.2.0.353 17048 Bytes 5/15/2009 12:02:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 11/25/2008 11:20:56
AVSCAN.DLL : 8.1.4.0 48897 Bytes 7/17/2008 17:36:19
LUKE.DLL : 8.1.4.5 164097 Bytes 7/17/2008 17:36:19
LUKERES.DLL : 8.1.4.0 12545 Bytes 7/17/2008 17:36:19
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 10/27/2008 00:27:00
ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 6/24/2009 01:07:20
ANTIVIR2.VDF : 7.1.4.173 306688 Bytes 7/2/2009 01:06:32
ANTIVIR3.VDF : 7.1.4.180 29696 Bytes 7/3/2009 10:32:08
Engineversion : 8.2.0.204
AEVDF.DLL : 8.1.1.1 106868 Bytes 5/1/2009 14:02:10
AESCRIPT.DLL : 8.1.2.13 426362 Bytes 7/3/2009 01:06:34
AESCN.DLL : 8.1.2.3 127347 Bytes 5/15/2009 16:42:21
AERDL.DLL : 8.1.2.2 438642 Bytes 7/3/2009 01:06:33
AEPACK.DLL : 8.1.3.18 401783 Bytes 5/27/2009 19:55:11
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 6/17/2009 19:56:29
AEHEUR.DLL : 8.1.0.137 1823095 Bytes 6/27/2009 01:06:29
AEHELP.DLL : 8.1.3.6 205174 Bytes 6/11/2009 19:56:11
AEGEN.DLL : 8.1.1.48 348532 Bytes 7/3/2009 01:06:33
AEEMU.DLL : 8.1.0.9 393588 Bytes 10/15/2008 23:21:35
AECORE.DLL : 8.1.6.12 180599 Bytes 5/27/2009 19:55:10
AEBB.DLL : 8.1.0.3 53618 Bytes 10/15/2008 23:21:34
AVWINLL.DLL : 1.0.0.12 15105 Bytes 7/17/2008 17:36:19
AVPREF.DLL : 8.0.2.0 38657 Bytes 7/17/2008 17:36:19
AVREP.DLL : 8.0.0.3 155688 Bytes 4/21/2009 13:49:54
AVREG.DLL : 8.0.0.1 33537 Bytes 7/17/2008 17:36:19
AVARKT.DLL : 1.0.0.23 307457 Bytes 2/12/2008 08:29:19
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 7/17/2008 17:36:19
SQLITE3.DLL : 3.3.17.1 339968 Bytes 1/22/2008 17:28:02
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 7/17/2008 17:36:19
NETNT.DLL : 8.0.0.1 7937 Bytes 1/25/2008 12:05:07
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 7/17/2008 17:36:17
RCTEXT.DLL : 8.0.52.0 86273 Bytes 7/17/2008 17:36:17

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\program files\avira\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:, D:, E:, N:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Abweichende Archivtypen..........: +BSD Mailbox, +Netscape/Mozilla Mailbox, +Eudora Mailbox, +Squid cache, +Pegasus Mailbox, +MS Outlook Mailbox,
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Saturday, July 04, 2009 12:32

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avnotify.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'skypePM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CCC.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.bin' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'soffice.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OSD.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MagicKey.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VeohClient.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MOM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpwuSchd2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'cledx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EmuPatchMixDSP.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GrooveMonitor.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winampa.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTHELPER.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'reader_sl.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msiexec.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CALMAIN.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NMSAccessU.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleCrashHandler.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'GoogleUpdate.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '53' Prozesse mit '53' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [1381]: The maximum number of secrets that may be stored in a single system has been exceeded.
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [1381]: The maximum number of secrets that may be stored in a single system has been exceeded.
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [1381]: The maximum number of secrets that may be stored in a single system has been exceeded.
Bootsektor 'N:\'
[INFO] Es wurde kein Virus gefunden!
[WARNUNG] Systemfehler [1381]: The maximum number of secrets that may be stored in a single system has been exceeded.

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '59' Dateien ).

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <Win XP Prof.SP2>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\Documents and Settings\Admin\Application Data\Sun\Java\Deployment\cache\6.0\31\1f843e1f-318de6e3
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.J.1
[HINWEIS] Die Datei wurde gelöscht.
C:\Documents and Settings\Admin\Local Settings\temp\jar_cache1690088273557569705.tmp
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agent.J.1
[HINWEIS] Die Datei wurde gelöscht.
C:\Documents and Settings\Admin\Local Settings\temp\plugtmp-58\plugin-beAsAnd.pdf
[0] Archivtyp: PDF Stream
--> Object
[FUND] Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Shellcode.Gen
[HINWEIS] Die Datei wurde gelöscht.
C:\WINDOWS\system32\aqiynbc.exe
[FUND] Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen
[HINWEIS] Die Datei wurde gelöscht.
Beginne mit der Suche in 'D:\' <data>
D:\Audio Programme\MOTION-STUDIO_G-UNIT-LOOPS_SAMPLES.part2.rar
[0] Archivtyp: RAR
--> MOTION STUDIO G-UNIT LOOPS\G-UNIT LOOPS\G-UNIT DRUMS\FX\click-01.L.wav
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
D:\Audio Programme\MOTION-STUDIO_G-UNIT-LOOPS_SAMPLES.part3.rar
[0] Archivtyp: RAR
--> MOTION STUDIO G-UNIT LOOPS\SAMPLES\88BPM\881\MOOG SUB_01-01.wav
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
D:\Audio Programme\MOTION-STUDIO_G-UNIT-LOOPS_SAMPLES.part4.rar
[0] Archivtyp: RAR
--> MOTION STUDIO G-UNIT LOOPS\SAMPLES\102BPM\1021\SQUARE SYNTH.wav
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
Beginne mit der Suche in 'E:\' <data>
Beginne mit der Suche in 'N:\'

Ende des Suchlaufs: Saturday, July 04, 2009 14:46
Benötigte Zeit: 2:14:20 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

24682 Verzeichnisse wurden überprüft
1189190 Dateien wurden geprüft
4 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
4 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
1189185 Dateien ohne Befall
8110 Archive wurden durchsucht
8 Warnungen
4 Hinweise

4RobSen8 · 04.07.2009, 23:03

Deinstaliere:
Spywaredoctor
Googleupdater

Führe bitte einmal CCLeaner durch.

1.)

GMER - Rootkit Detection

Lade Trallala von file-upload.net
Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
Doppelklick auf Trallala.exe
Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
nach Beendigung des Scan, drücke "Copy"
nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
Sollte GMER sagen "Gmer hasen´t found any System Modifikation", so hat GMER keine Einträge gefunden.

2.)

Du hast Antivir nicht auf scharf eingestellt.
http://www.trojaner-board.de/54192-a...tellungen.html

3.)

Kaspersky Online Scan

Überprüfe Dein komplettes System mit dem Kaspersky Online-Scanner. Bitte während des Scans alle evtl. vorhandenen externen Festplatten einschalten/anschließen. Außerdem während des Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliche) abstellen und nicht vergessen, sie hinterher wieder einzuschalten.

Kaspersky Online Scanner
- Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
- Java muss installiert, aktiv und erlaubt sein.
- Bebilderte Anleitung von sundavis.
- Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
- Wir werden Dir helfen, die Funde manuell vom System zu entfernen.
- Die Datenschutzerklärung akzeptieren.
- Programm installieren lassen.
- Update der Signaturen installieren lassen.
- Wenn der Status "Complete" ist,
- Scan-Einstellungen (Settings) Standard lassen
- Links den Link "My Computer" anklicken.
- Scan beginnt automatisch.
- Wenn der Scan fertig ist, auf "View scan report" klicken,
- "Save report as" und Dateityp auf .txt umstellen,
- und auf dem Desktop als Kaspersky.txt speichern.
- Logdatei hier posten.
- Deinstallation ist nicht nötig, alle Dateien werden in temporären Ordnern gespeichert.

Code:

ATTFilter

O23 - Service: Droppix Service - Droppix - C:\Program Files\Common Files\Droppix\DxService.exe

guardxservice.exe is a GuardX\r belonging to GuardX\r from Ikarus Security Software GmbH\r

Post Scriptum:
Ich habe das nochmal zusammengefasst, dann mußte nicht scrollen.

Suche trotzdem schonmal deine Windows-Cd.

Rooq · 05.07.2009, 01:48

Werd ich tun, ich danke dir schonmal für deine Hilfe. Seit 3 Stunden läuft jetzt der Super Anti-Spyware ....und ist noch nicht fertig :-)

Rooq · 05.07.2009, 03:35

Nach 4 1/2 Stunden endlich das Super Anti-Spyware Log:

SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 07/05/2009 at 04:32 AM

Application Version : 4.26.1006

Core Rules Database Version : 3972
Trace Rules Database Version: 1912

Scan type : Complete Scan
Total Scan Time : 04:44:13

Memory items scanned : 900
Memory threats detected : 0
Registry items scanned : 7804
Registry threats detected : 7
File items scanned : 394936
File threats detected : 16

Adware.Tracking Cookie
C:\Documents and Settings\Admin\Cookies\admin@adfarm1.adition[1].txt
C:\Documents and Settings\Admin\Cookies\admin@atwola[1].txt
C:\Documents and Settings\Admin\Cookies\admin@doubleclick[1].txt
C:\Documents and Settings\Admin\Cookies\admin@aolde.122.2o7[1].txt
C:\Documents and Settings\Admin\Cookies\admin@de.at.atwola[1].txt
C:\Documents and Settings\Admin\Cookies\admin@zbox.zanox[1].txt
C:\Documents and Settings\Admin\Cookies\admin@serving-sys[2].txt
C:\Documents and Settings\Admin\Cookies\admin@mediaplex[2].txt
C:\Documents and Settings\Admin\Cookies\admin@tradedoubler[2].txt
C:\Documents and Settings\Admin\Cookies\admin@bs.serving-sys[1].txt
C:\Documents and Settings\Admin\Cookies\admin@apmebf[1].txt
C:\Documents and Settings\Admin\Cookies\admin@adserver.71i[1].txt
C:\Documents and Settings\Nora\Cookies\nora@atdmt[2].txt

Rogue.Component/Trace
HKLM\Software\Microsoft\943EB8C9
HKLM\Software\Microsoft\943EB8C9#943eb8c9
HKLM\Software\Microsoft\943EB8C9#Version
HKLM\Software\Microsoft\943EB8C9#943e1549
HKLM\Software\Microsoft\943EB8C9#943e7cac
HKU\S-1-5-21-73868346-2500763925-1663247047-1003\Software\Microsoft\FIAS4018
HKU\S-1-5-21-73868346-2500763925-1663247047-1003\Software\Microsoft\FIAS4052N

Trojan.Downloader-Gen/Suspicious
D:\AUDIO PROGRAMME\D16 GROUP DECIMORT VST V1.0\KEYGEN.EXE

Trace.Known Threat Sources
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\O50ZGBCV\Twista - American Gangster _Produced by Toxic_[1].mp3
C:\Documents and Settings\Admin\Local Settings\Temporary Internet Files\Content.IE5\0AXY1YUY\JayZ-DOA_twista740[1].mp3

Alles andere nachdem ich eine Mütze Schlaf genommen hab :-)

4RobSen8 · 05.07.2009, 12:00

Code:

ATTFilter

D:\AUDIO PROGRAMME\D16 GROUP DECIMORT VST V1.0\KEYGEN.EXE

Damit hättest du dich eh für das Neuaufsetzten qualifiziert.

95% aller Keygens etc. sind heutzutage verseucht.
Der Support wird hier und auch in anderen Foren eingestellt, für Leute die sich bewusst Keygens ziehen.
Da wird auch niemand Mitleid haben, dass du deinen Rechner nicht Neuaufsetzten kannst/willst.

Du hast dir den Silent Banker eingefangen...

Zitat:

O4 - HKCU\..\Run: [WAB] C:\Documents and Settings\Admin\Application Data\Macromedia\Common\0052801619.exe
dieser WAB is immer silentbanker
O4 - HKUS\S-1-5-18\..\Run: [WAB] C:\Documents and Settings\LocalService\Application Data\Macromedia\Common\0052801619.exe (User 'SYSTEM')

Überprüfe deine Bankverbindungen, ändere alle Passwörter von einem neutralen Rechner aus.

Mit dem Silent Banker ist nicht zu scherzen!
http://www.pcwelt.de/start/sicherhei..._aller_stille/

@ John Doe

Und wieder einer für die Liste, die wird immer länger.

Rooq · 05.07.2009, 21:51

Ganz ehrlich: Ich danke dir für den Einblick ins Thema "Keygen". Ich kann persönlich halt nur sagen das ich nicht wusste wie gefährlich so ein Keygen sein kann...und ich verfolge ehrlich gesagt auch nicht regelmässig die Diskussionen in diesem oder anderen Sicherheitsforen. Aber wie gesagt: Ich danke dir für die Auskünfte :-)

PS: Über diesen Rechner wird übrigens kein Online Banking betrieben. Ich denke deshalb ist das wohl nicht ganz so schlimm mit dem Silent Banker oder ?

4RobSen8 · 05.07.2009, 22:32

Zitat:

PS: Über diesen Rechner wird übrigens kein Online Banking betrieben. Ich denke deshalb ist das wohl nicht ganz so schlimm mit dem Silent Banker oder ?

Kurz und knapp:
Du machst dich Strafbar.
Du hast dich nicht ausreichend um die Sicherheit deines Rechners und der Sicherheit der Mitnuzter im Internet gekümmert.
Dein Rechner gehört nicht mehr dir....
Also mehr kann ich dir nicht mehr sagen...
Internetkabel abziehen und Neuaufsetzten.

Silentbanker kennt sich mit den technischen Details von etwa 400 Banken aus, neben den US-Banken auch diverse europäische. Weitere Informationen über Änderungen oder neu eingepflegte Banken holt er sich aus einer Konfigurationsdatei im Internet, die mehrmals täglich aktualisiert wird.
Der Schädling agiert als "Mann in der Mitte", wenn der Benutzer eines infizierten Rechners Kontakt mit seiner Bank aufnehmen will. Sobald das Opfer sich angemeldet und eine Überweisung getätigt hat, ändert Trojan.Silentbanker das Zielkonto der Überweisung, gaukelt dem Benutzer jedoch weiterhin vor, alles laufe wie beabsichtigt. SSL-verschlüsselte Verbindungen sind keine Hürde, denn der Schädling klinkt sich zwischen Benutzerschnittstelle und Verschlüsselungsmodul ein.
Zum Repertoire von Trojan.Silentbanker gehören auch Umleitungen auf andere Server durch DNS-Manipulation. Selbst wenn der Schädling entfernt wird, können noch falsche DNS-Einträge zurück bleiben, die den Benutzer weiterhin zum Online-Banking-Server der Angreifer schicken.
Außerdem sammelt Trojan.Silentbanker Passwörter für Mail-, FTP- und Web-Konten. Er kennt ferner mehr als 600 Web-Adressen von Porno-Websites, die er dem Benutzer zeigen kann, um von Partnerprogrammen der Porno-Sites zu profitieren. Schließlich kann er auch noch weitere Malware aus dem Internet laden und den Rechner in einen Proxy oder Web-Server verwandeln..

Rechner startet sich nach wenigen Minuten neu

Plagegeister aller Art und deren Bekämpfung: Rechner startet sich nach wenigen Minuten neu