Gestern hat AntiVir eien Trojaner bzw. Keylogger auf meinem Computer gefunden. Es handelt sich, wie in der Überschrift genannt um TR\FakeAV.C[Trojan]. Ich hab Löschen ausgewählt und bestätigt bin mir jedoch jetzt nicht sicher ob der Trojaner wirklich weg ist.
Außerdem wird bei jedem Start des PCs nun folgende Fehlermeldung angezeigt: "C:\WINDOWS\system32\xml_inc.dll Modul nicht gefunden."

Mein Computer hat sich beim Virenscan mit AntiVir jedes mal bei der Datei "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\...\100007.dev" aufgehangen welche ich daraufhin gesucht aber nicht gefunden hab. (Weiß nicht ob das was mit dem Trojaner zu tuhen hat)

Im WoW Forum hat man mir gesagt ich solle Hijacker herunterladen und den Log hier posten:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:41:11, on 10.01.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Google\Update\1.2.183.13\GoogleCrashHandler.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\vsnp2uvc.exe
C:\WINDOWS\FixCamera.exe
C:\WINDOWS\tsnp2uvc.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\Programme\MSI\Core Center\CoreCenter.exe
C:\Programme\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
C:\Programme\Logitech\SetPoint\SetPoint.exe
C:\Programme\RALINK\Common\RaUI.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In SSV Helper - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.4.4525.1752\swg.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [snp2uvc] C:\WINDOWS\vsnp2uvc.exe
O4 - HKLM\..\Run: [FixCamera] C:\WINDOWS\FixCamera.exe
O4 - HKLM\..\Run: [tsnp2uvc] C:\WINDOWS\tsnp2uvc.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [MS_MASTER] RUNDLL32.EXE C:\WINDOWS\system32\xml_inc.dll,i
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [NVIDIA nTune] "C:\Programme\NVIDIA Corporation\nTune\nTuneCmd.exe" clear
O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: CoreCenter.lnk = C:\Programme\MSI\Core Center\CoreCenter.exe
O4 - Global Startup: Logitech Desktop Messenger.lnk = C:\Programme\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\SetPoint.exe
O4 - Global Startup: p6_19_erinnerung.lnk = C:\Programme\phase6\phase6_19\WinStart\p6erinnerung.exe
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Programme\RALINK\Common\RaUI.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - C:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D0C0F75C-683A-4390-A791-1ACFD5599AB8} (Oberon Flash Game Host) - http://icq.oberon-media.com/Gameshell/GameHost/1.0/OberonGameHost.cab
O18 - Protocol: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - C:\Programme\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTServ.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
O23 - Service: nTune Service (nTuneService) - NVIDIA - C:\Programme\NVIDIA Corporation\nTune\nTuneService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 9290 bytes





Ist der Trojaner weg oder versteckt er sich noch irgentwo? Und was ist mit dem nicht gefundenem Modul? Kann/muss es ersetzt oder ist es ersetzt weden?

Hallo und

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!! )

Wichtig für Benutzer mit Windows Vista und Windows 7: Bitte alle Tools per Rechtsklick => Als Admin ausführen!

Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Hab CCleaner und Rist durchlaufen lassen.

Bei Malwarebytes hat sich mein Pc jedoch bei der Datei "C:\Dokumente und EInstellungen\AllUsers\Anwendungsdaten\Logitech\setPoint\Decices\PointingDevice\100007D\5.png" aufgehangen.

RistLog: File-Upload.net - RistLog.zip

Mach bitte nen Lauf mit CF:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

ComboFix 10-01-04.01 - Janik 10.01.2010 18:38:55.1.2 - x86
ausgeführt von:: c:\dokumente und einstellungen\Janik\Desktop\cofi.exe
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programme\ICQ6.5\updates\ICQLRun.exe.91c2e91e127ccb34d0b0bbd8b0533169
c:\windows\system32\SIntf16.dll

.
((((((((((((((((((((((( Dateien erstellt von 2009-12-10 bis 2010-01-10 ))))))))))))))))))))))))))))))
.

2010-01-10 15:09 . 2010-01-10 15:09 -------- d-----w- C:\rsit
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Malwarebytes
2010-01-10 14:55 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-01-10 14:55 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-01-10 14:40 . 2010-01-10 14:40 -------- d-----w- c:\programme\CCleaner
2010-01-10 09:40 . 2010-01-10 09:40 -------- d-----w- c:\programme\Trend Micro
2010-01-09 13:39 . 2009-03-30 08:33 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys
2010-01-09 13:39 . 2009-02-13 10:29 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys
2010-01-09 13:39 . 2009-02-13 10:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys
2010-01-09 13:39 . 2010-01-09 13:39 -------- d-----w- c:\programme\Avira
2010-01-09 13:39 . 2010-01-09 13:39 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-01-04 15:40 . 2010-01-04 15:40 114856 ----a-w- c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\windows\system32\XPSViewer
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\programme\MSBuild
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\programme\Reference Assemblies
2010-01-04 15:40 . 2008-07-06 12:06 89088 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\filterpipelineprintproc.dll
2010-01-04 15:39 . 2008-07-06 12:06 89088 -c----w- c:\windows\system32\dllcache\filterpipelineprintproc.dll
2010-01-04 15:39 . 2008-07-06 12:06 575488 -c----w- c:\windows\system32\dllcache\xpsshhdr.dll
2010-01-04 15:39 . 2008-07-06 12:06 575488 ------w- c:\windows\system32\xpsshhdr.dll
2010-01-04 15:39 . 2008-07-06 12:06 117760 ------w- c:\windows\system32\prntvpt.dll
2010-01-04 15:39 . 2008-07-06 10:50 597504 -c----w- c:\windows\system32\dllcache\printfilterpipelinesvc.exe
2010-01-04 15:39 . 2008-07-06 10:50 597504 ------w- c:\windows\system32\Spool\prtprocs\w32x86\printfilterpipelinesvc.exe
2010-01-04 15:39 . 2008-07-06 12:06 1676288 -c----w- c:\windows\system32\dllcache\xpssvcs.dll
2010-01-04 15:39 . 2008-07-06 12:06 1676288 ------w- c:\windows\system32\xpssvcs.dll
2010-01-04 15:29 . 2010-01-04 15:29 -------- d-----r- C:\AHCache
2010-01-04 11:41 . 2010-01-04 11:41 361728 ----a-w- c:\windows\system32\TuneUpDefragService.exe
2010-01-04 11:41 . 2008-07-18 14:05 28416 ----a-w- c:\windows\system32\uxtuneup.dll
2010-01-04 11:40 . 2010-01-04 11:40 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
2010-01-04 11:40 . 2010-01-04 11:41 -------- d-----w- c:\programme\TuneUp Utilities 2008
2010-01-04 11:39 . 2010-01-04 11:39 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\TuneUp Software
2010-01-03 13:40 . 2010-01-03 13:40 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\launcher
2010-01-03 13:39 . 2010-01-03 13:39 -------- d-----w- c:\programme\Paragon Software
2010-01-03 13:34 . 2010-01-03 13:34 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\explauncher
2010-01-01 10:56 . 2010-01-01 10:56 -------- d-----w- c:\dokumente und einstellungen\Janik\Lokale Einstellungen\Anwendungsdaten\Temp
2009-12-30 11:56 . 2009-12-30 11:56 -------- d-----w- c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Google
2009-12-30 11:51 . 2009-12-30 11:51 -------- d-----w- c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Google
2009-12-28 09:56 . 2009-12-28 09:56 -------- d-----w- c:\dokumente und einstellungen\LocalService\Startmenü
2009-12-28 09:56 . 2009-11-25 10:19 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-12-23 13:32 . 2009-12-23 13:32 -------- d-----w- c:\windows\system32\wbem\Repository
2009-12-17 17:25 . 2009-12-17 17:25 -------- d-----w- c:\windows\Robin Hood 1.0

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-10 15:10 . 2009-11-24 11:46 79488 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sun\Java\jre1.6.0_17\gtapi.dll
2010-01-10 14:58 . 2007-12-06 18:20 31363104 --sha-w- c:\windows\system32\drivers\fidbox.dat
2010-01-10 13:02 . 2009-05-22 09:02 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\teamspeak2
2010-01-09 22:03 . 2008-03-03 19:09 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2010-01-08 21:05 . 2008-05-24 05:54 18888957 ----a-w- c:\windows\Internet Logs\tvDebug.zip
2010-01-05 13:02 . 2007-12-05 19:54 42168 ----a-w- c:\dokumente und einstellungen\Janik\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-01-05 09:19 . 2007-12-06 18:20 369500 --sha-w- c:\windows\system32\drivers\fidbox.idx
2010-01-04 15:41 . 2006-02-28 12:00 80928 ----a-w- c:\windows\system32\perfc007.dat
2010-01-04 15:41 . 2006-02-28 12:00 451970 ----a-w- c:\windows\system32\perfh007.dat
2010-01-01 10:58 . 2008-03-03 19:09 -------- d-----w- c:\programme\Google
2009-12-30 16:39 . 2009-03-19 14:33 -------- d-----w- c:\programme\ICQ6.5
2009-12-24 09:27 . 2008-07-07 09:03 -------- d-----w- c:\programme\WiFiConnector
2009-12-18 13:21 . 2009-12-18 13:23 48640 ----a-w- c:\windows\Internet Logs\xDB12.tmp
2009-12-17 18:39 . 2007-12-05 19:36 -------- d-----w- c:\programme\InstallShield Installation Information
2009-12-17 17:49 . 2009-09-03 14:55 -------- d-----w- c:\programme\Ubisoft
2009-12-17 17:45 . 2009-12-17 17:47 1458176 ----a-w- c:\windows\Internet Logs\xDB11.tmp
2009-12-17 17:07 . 2008-04-26 13:19 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sierra
2009-11-27 16:56 . 2009-04-03 19:50 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Apple Computer
2009-11-22 09:10 . 2009-11-22 09:10 33558 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google\Toolbar for Firefox\Firefox_Toolbar_Uninstaller.exe
2009-11-19 10:48 . 2009-11-27 13:11 872960 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
2009-11-19 10:48 . 2009-11-27 13:11 43008 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\googletoolbarloader.dll
2009-11-19 10:48 . 2009-11-27 13:11 340480 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff2.dll
2009-11-19 10:48 . 2009-11-27 13:11 346624 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff3.dll
2009-11-03 15:43 . 2009-11-03 15:43 79488 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sun\Java\jre1.6.0_15\gtapi.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2006-12-23 143360]
"NVIDIA nTune"="c:\programme\NVIDIA Corporation\nTune\nTuneCmd.exe" [2007-04-04 81920]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-03-03 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-05-10 8429568]
"nwiz"="nwiz.exe" [2007-05-10 1626112]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-05-10 81920]
"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-06-21 919016]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 76304]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-12-29 136600]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 76304]
"snp2uvc"="c:\windows\vsnp2uvc.exe" [2007-11-30 581632]
"FixCamera"="c:\windows\FixCamera.exe" [2007-02-12 20480]
"tsnp2uvc"="c:\windows\tsnp2uvc.exe" [2007-12-04 249856]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-01-05 413696]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2009-04-02 342312]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-02-28 15360]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
CoreCenter.lnk - c:\programme\MSI\Core Center\CoreCenter.exe [2007-12-5 931840]
Logitech Desktop Messenger.lnk - c:\programme\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [2008-1-28 67128]
Logitech SetPoint.lnk - c:\programme\Logitech\SetPoint\SetPoint.exe [2008-8-9 805392]
p6_19_erinnerung.lnk - c:\programme\phase6\phase6_19\WinStart\p6erinnerung.exe [2007-2-11 49152]
Ralink Wireless Utility.lnk - c:\programme\RALINK\Common\RaUI.exe [2008-3-1 626688]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2008-05-02 00:42 72208 ----a-w- c:\programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTWLgn.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe"=
"c:\\Programme\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"29000:TCP"= 29000:TCP:SpecForce

R0 sfdrv01a;StarForce Protection Environment Driver (version 1.x.a);c:\windows\system32\drivers\sfdrv01a.sys [05.07.2006 13:46 63352]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [09.01.2010 14:39 108289]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [30.12.2009 12:46 135664]
S3 FANTOM;LEGO MINDSTORMS NXT Driver;c:\windows\system32\drivers\fantom.sys [30.05.2007 16:34 39424]
S3 jgameenp;jgameenp;\??\c:\dokume~1\Janik\LOKALE~1\Temp\jgameenp.sys --> c:\dokume~1\Janik\LOKALE~1\Temp\jgameenp.sys [?]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [10.01.2010 15:55 38224]

--- Andere Dienste/Treiber im Speicher ---

*Deregistered* - PCAlertDriver

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2010-01-10 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2008\OneClickStarter.exe [2008-08-21 17:47]

2009-12-29 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

2010-01-10 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-03-03 16:48]

2010-01-10 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-30 11:46]

2010-01-10 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-30 11:46]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://start.icq.com/
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
uInternet Settings,ProxyOverride = *.local
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\programme\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
FF - ProfilePath - c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - ICQ Search
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=
FF - component: c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.183.13\npGoogleOneClick8.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npzylomgamesplayer.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-10 18:42
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1100)
c:\programme\gemeinsame dateien\logitech\bluetooth\LBTWlgn.dll
c:\programme\gemeinsame dateien\logitech\bluetooth\LBTServ.dll
.
Zeit der Fertigstellung: 2010-01-10 18:43:14
ComboFix-quarantined-files.txt 2010-01-10 17:43

Vor Suchlauf: 9 Verzeichnis(se), 46.384.521.216 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 46.408.441.856 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

Current=3 Default=3 Failed=2 LastKnownGood=4 Sets=1,2,3,4
- - End Of File - - 40B72F99F0B8BF46698F3C9129BDD3D3

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

DirLook::
c:\dokumente und einstellungen\All Users\Anwendungsdaten\explauncher
C:\AHCache
c:\windows\system32\XPSViewer
c:\programme\MSBuild

File::
c:\dokume~1\Janik\LOKALE~1\Temp\jgameenp.sys

Driver::
jgameenp
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

ComboFix 10-01-04.01 - Janik 11.01.2010 15:19:07.2.2 - x86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.2047.1579 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Janik\Desktop\cofi.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Janik\Desktop\CFScript.txt
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
FW: ZoneAlarm Firewall *disabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

FILE ::
"c:\dokume~1\Janik\LOKALE~1\Temp\jgameenp.sys"
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_JGAMEENP
-------\Service_jgameenp


((((((((((((((((((((((( Dateien erstellt von 2009-12-11 bis 2010-01-11 ))))))))))))))))))))))))))))))
.

2010-01-10 21:11 . 2006-02-28 12:00 221184 ----a-w- c:\windows\system32\wmpns.dll
2010-01-10 21:09 . 2010-01-10 21:09 -------- d-----w- c:\windows\ServicePackFiles
2010-01-10 18:35 . 2010-01-10 18:54 -------- d-----w- c:\windows\system32\CatRoot_bak
2010-01-10 18:26 . 2008-06-14 17:57 273024 -c----w- c:\windows\system32\dllcache\bthport.sys
2010-01-10 18:26 . 2008-06-14 17:57 273024 ------w- c:\windows\system32\drivers\bthport.sys
2010-01-10 17:29 . 2010-01-10 17:43 -------- d-----w- C:\cofi
2010-01-10 15:09 . 2010-01-10 15:09 -------- d-----w- C:\rsit
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Malwarebytes
2010-01-10 14:55 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-01-10 14:55 . 2010-01-10 14:55 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-01-10 14:55 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-01-10 14:40 . 2010-01-10 14:40 -------- d-----w- c:\programme\CCleaner
2010-01-10 09:40 . 2010-01-10 09:40 -------- d-----w- c:\programme\Trend Micro
2010-01-09 13:39 . 2009-03-30 08:33 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys
2010-01-09 13:39 . 2009-02-13 10:29 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys
2010-01-09 13:39 . 2009-02-13 10:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys
2010-01-09 13:39 . 2010-01-09 13:39 -------- d-----w- c:\programme\Avira
2010-01-09 13:39 . 2010-01-09 13:39 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-01-04 15:40 . 2010-01-04 15:40 114856 ----a-w- c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\windows\system32\XPSViewer
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\programme\MSBuild
2010-01-04 15:40 . 2010-01-04 15:40 -------- d-----w- c:\programme\Reference Assemblies
2010-01-04 15:40 . 2008-07-06 12:06 89088 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\filterpipelineprintproc.dll
2010-01-04 15:39 . 2008-07-06 12:06 89088 -c----w- c:\windows\system32\dllcache\filterpipelineprintproc.dll
2010-01-04 15:39 . 2008-07-06 12:06 575488 -c----w- c:\windows\system32\dllcache\xpsshhdr.dll
2010-01-04 15:39 . 2008-07-06 12:06 575488 ------w- c:\windows\system32\xpsshhdr.dll
2010-01-04 15:39 . 2008-07-06 12:06 117760 ------w- c:\windows\system32\prntvpt.dll
2010-01-04 15:39 . 2008-07-06 10:50 597504 -c----w- c:\windows\system32\dllcache\printfilterpipelinesvc.exe
2010-01-04 15:39 . 2008-07-06 10:50 597504 ------w- c:\windows\system32\Spool\prtprocs\w32x86\printfilterpipelinesvc.exe
2010-01-04 15:39 . 2008-07-06 12:06 1676288 -c----w- c:\windows\system32\dllcache\xpssvcs.dll
2010-01-04 15:39 . 2008-07-06 12:06 1676288 ------w- c:\windows\system32\xpssvcs.dll
2010-01-04 15:29 . 2010-01-04 15:29 -------- d-----r- C:\AHCache
2010-01-04 11:41 . 2010-01-04 11:41 361728 ----a-w- c:\windows\system32\TuneUpDefragService.exe
2010-01-04 11:41 . 2008-07-18 14:05 28416 ----a-w- c:\windows\system32\uxtuneup.dll
2010-01-04 11:40 . 2010-01-04 11:40 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\TuneUp Software
2010-01-04 11:40 . 2010-01-04 11:41 -------- d-----w- c:\programme\TuneUp Utilities 2008
2010-01-04 11:39 . 2010-01-04 11:39 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\TuneUp Software
2010-01-03 13:40 . 2010-01-03 13:40 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\launcher
2010-01-03 13:39 . 2010-01-03 13:39 -------- d-----w- c:\programme\Paragon Software
2010-01-03 13:34 . 2010-01-03 13:34 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\explauncher
2010-01-01 10:56 . 2010-01-01 10:56 -------- d-----w- c:\dokumente und einstellungen\Janik\Lokale Einstellungen\Anwendungsdaten\Temp
2009-12-30 11:56 . 2009-12-30 11:56 -------- d-----w- c:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Google
2009-12-30 11:51 . 2009-12-30 11:51 -------- d-----w- c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Google
2009-12-28 09:56 . 2009-12-28 09:56 -------- d-----w- c:\dokumente und einstellungen\LocalService\Startmenü
2009-12-28 09:56 . 2009-11-25 10:19 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-12-23 13:32 . 2009-12-23 13:32 -------- d-----w- c:\windows\system32\wbem\Repository
2009-12-17 17:25 . 2009-12-17 17:25 -------- d-----w- c:\windows\Robin Hood 1.0

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-11 14:28 . 2007-12-06 18:20 31926304 --sha-w- c:\windows\system32\drivers\fidbox.dat
2010-01-11 14:16 . 2009-11-24 11:46 79488 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sun\Java\jre1.6.0_17\gtapi.dll
2010-01-11 14:14 . 2006-02-28 12:00 80928 ----a-w- c:\windows\system32\perfc007.dat
2010-01-11 14:14 . 2006-02-28 12:00 451970 ----a-w- c:\windows\system32\perfh007.dat
2010-01-11 14:11 . 2008-03-03 19:09 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2010-01-10 21:17 . 2007-12-06 18:20 376964 --sha-w- c:\windows\system32\drivers\fidbox.idx
2010-01-10 13:02 . 2009-05-22 09:02 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\teamspeak2
2010-01-08 21:05 . 2008-05-24 05:54 18888957 ----a-w- c:\windows\Internet Logs\tvDebug.zip
2010-01-05 13:02 . 2007-12-05 19:54 42168 ----a-w- c:\dokumente und einstellungen\Janik\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-01-01 10:58 . 2008-03-03 19:09 -------- d-----w- c:\programme\Google
2009-12-30 16:39 . 2009-03-19 14:33 -------- d-----w- c:\programme\ICQ6.5
2009-12-24 09:27 . 2008-07-07 09:03 -------- d-----w- c:\programme\WiFiConnector
2009-12-18 13:21 . 2009-12-18 13:23 48640 ----a-w- c:\windows\Internet Logs\xDB12.tmp
2009-12-17 18:39 . 2007-12-05 19:36 -------- d-----w- c:\programme\InstallShield Installation Information
2009-12-17 17:49 . 2009-09-03 14:55 -------- d-----w- c:\programme\Ubisoft
2009-12-17 17:45 . 2009-12-17 17:47 1458176 ----a-w- c:\windows\Internet Logs\xDB11.tmp
2009-12-17 17:07 . 2008-04-26 13:19 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sierra
2009-11-27 16:56 . 2009-04-03 19:50 -------- d-----w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Apple Computer
2009-11-22 09:10 . 2009-11-22 09:10 33558 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google\Toolbar for Firefox\Firefox_Toolbar_Uninstaller.exe
2009-11-19 10:48 . 2009-11-27 13:11 872960 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
2009-11-19 10:48 . 2009-11-27 13:11 43008 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\googletoolbarloader.dll
2009-11-19 10:48 . 2009-11-27 13:11 340480 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff2.dll
2009-11-19 10:48 . 2009-11-27 13:11 346624 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\libraries\googletoolbar-ff3.dll
2009-11-03 15:43 . 2009-11-03 15:43 79488 ----a-w- c:\dokumente und einstellungen\Janik\Anwendungsdaten\Sun\Java\jre1.6.0_15\gtapi.dll
2009-10-29 05:44 . 2006-02-28 12:00 667648 ----a-w- c:\windows\system32\wininet.dll
.

(((((((((((((((((((((((((((((((((((((((((((( Look )))))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
---- Directory of C:\AHCache ----


---- Directory of c:\dokumente und einstellungen\All Users\Anwendungsdaten\explauncher ----

2010-01-03 13:34 . 2010-01-03 13:34 0 ----a-w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\explauncher\explauncher.log

---- Directory of c:\programme\MSBuild ----

2008-02-19 17:26 . 2008-02-19 17:26 5182 ----a-w- c:\programme\MSBuild\Microsoft\Windows Workflow Foundation\v3.0\Workflow.VisualBasic.Targets
2007-12-11 14:23 . 2007-12-11 14:23 4726 ----a-w- c:\programme\MSBuild\Microsoft\Windows Workflow Foundation\v3.0\Workflow.Targets

---- Directory of c:\windows\system32\XPSViewer ----

2008-07-29 20:26 . 2008-07-29 20:26 301568 ----a-w- c:\windows\system32\XPSViewer\XPSViewer.exe
2008-07-29 04:55 . 2008-07-29 04:55 3584 ----a-w- c:\windows\system32\XPSViewer\en-US\XPSViewer.exe.mui
2007-02-04 22:51 . 2007-02-04 22:51 74436 ----a-w- c:\windows\system32\XPSViewer\XPSViewerManifest.xml


(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2006-12-23 143360]
"NVIDIA nTune"="c:\programme\NVIDIA Corporation\nTune\nTuneCmd.exe" [2007-04-04 81920]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-03-03 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SkyTel"="SkyTel.EXE" [2006-05-16 2879488]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-05-10 8429568]
"nwiz"="nwiz.exe" [2007-05-10 1626112]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-05-10 81920]
"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-06-21 919016]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 76304]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-12-29 136600]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2008-02-29 76304]
"snp2uvc"="c:\windows\vsnp2uvc.exe" [2007-11-30 581632]
"FixCamera"="c:\windows\FixCamera.exe" [2007-02-12 20480]
"tsnp2uvc"="c:\windows\tsnp2uvc.exe" [2007-12-04 249856]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-01-05 413696]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2009-04-02 342312]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2006-02-28 15360]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
CoreCenter.lnk - c:\programme\MSI\Core Center\CoreCenter.exe [2007-12-5 931840]
Logitech Desktop Messenger.lnk - c:\programme\Logitech\Desktop Messenger\8876480\Program\LogitechDesktopMessenger.exe [2008-1-28 67128]
Logitech SetPoint.lnk - c:\programme\Logitech\SetPoint\SetPoint.exe [2008-8-9 805392]
p6_19_erinnerung.lnk - c:\programme\phase6\phase6_19\WinStart\p6erinnerung.exe [2007-2-11 49152]
Ralink Wireless Utility.lnk - c:\programme\RALINK\Common\RaUI.exe [2008-3-1 626688]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LBTWlgn]
2008-05-02 00:42 72208 ----a-w- c:\programme\Gemeinsame Dateien\Logitech\Bluetooth\LBTWLgn.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe"=
"c:\\Programme\\Logitech\\Desktop Messenger\\8876480\\Program\\LogitechDesktopMessenger.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"29000:TCP"= 29000:TCP:SpecForce

R0 sfdrv01a;StarForce Protection Environment Driver (version 1.x.a);c:\windows\system32\drivers\sfdrv01a.sys [05.07.2006 13:46 63352]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [09.01.2010 14:39 108289]
R3 PCAlertDriver;PCAlertDriver;c:\programme\MSI\Core Center\NTGLM7X.sys [05.12.2007 20:40 28160]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [30.12.2009 12:46 135664]
S3 FANTOM;LEGO MINDSTORMS NXT Driver;c:\windows\system32\drivers\fantom.sys [30.05.2007 16:34 39424]
S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [10.01.2010 15:55 38224]

--- Andere Dienste/Treiber im Speicher ---

*NewlyCreated* - PCALERTDRIVER

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2010-01-11 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2008\OneClickStarter.exe [2008-08-21 17:47]

2009-12-29 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 10:34]

2010-01-11 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2008-03-03 16:48]

2010-01-11 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-30 11:46]

2010-01-10 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-12-30 11:46]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://start.icq.com/
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
mDefault_Search_URL = hxxp://www.google.com/ie
uInternet Settings,ProxyOverride = *.local
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
mSearchAssistant = hxxp://www.google.com/ie
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Handler: bwfile-8876480 - {9462A756-7B47-47BC-8C80-C34B9B80B32B} - c:\programme\Logitech\Desktop Messenger\8876480\Program\GAPlugProtocol-8876480.dll
FF - ProfilePath - c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - ICQ Search
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=
FF - component: c:\dokumente und einstellungen\Janik\Anwendungsdaten\Mozilla\Firefox\Profiles\tvde1w0i.default\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}\components\frozen.dll
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll
FF - plugin: c:\programme\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.183.13\npGoogleOneClick8.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npzylomgamesplayer.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-11 15:25
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1108)
c:\programme\gemeinsame dateien\logitech\bluetooth\LBTWlgn.dll
c:\programme\gemeinsame dateien\logitech\bluetooth\LBTServ.dll

- - - - - - - > 'explorer.exe'(3712)
c:\programme\Logitech\SetPoint\lgscroll.dll
c:\windows\system32\msi.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
c:\programme\Google\Update\1.2.183.13\GoogleCrashHandler.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
c:\programme\NVIDIA Corporation\nTune\nTuneService.exe
c:\windows\system32\nvsvc32.exe
c:\windows\system32\RUNDLL32.EXE
c:\programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
c:\windows\system32\wscntfy.exe
c:\programme\iPod\bin\iPodService.exe
c:\programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE
c:\programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-01-11 15:29:57 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-01-11 14:29
ComboFix2.txt 2010-01-10 17:43

Vor Suchlauf: 12 Verzeichnis(se), 44.499.415.040 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 44.390.768.640 Bytes frei

Current=3 Default=3 Failed=2 LastKnownGood=4 Sets=1,2,3,4
- - End Of File - - FF5F0833E8E796E26C60E2B2C73F41DF

Sieht für mich ok aus. Wenn nun keine Auffälligkeiten mehr sind, bitte unbedingt die Updates prüfen:


Windows-/Internet Explorer Update
Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren. Vista-User: Anleitung Windows-Update
Es geht v.a. ums SP3 und den IE8, auch wenn Du ihn nicht nutzt.


Adobe Acrobat Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Wir empfehlen daher, die alte Version über Systemsteuerung => Software zu deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. Starte den Rechner neu und downloade den aktuellen Acrobat-Reader herunter und installiere ihn.

Falls Dir der Adobe Acrobat Reader nicht gefällt, kannst Du alternativ auch Foxit PDF Reader installieren. Er ist "schlanker" und benutzt weniger Resourcen.


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Super

Vielen vielen dank für die Hilfe!

hallo,
habe das selbe problem
Avira findet den selben trojaner auch nach dem löschen kommt bei jedem neustart die selbe fehlermeldung.
jetzt meine frage: Soll ich jeden schritt genauso ausführen wie hier beschrieben oder kann es sein dass da dann doch etwas schieflaufen kann oder so in die richtung?
bitte um hilfe.

mfg lemu

Zitat von Lemuerte

hallo,
habe das selbe problem
Avira findet den selben trojaner auch nach dem löschen kommt bei jedem neustart die selbe fehlermeldung.
jetzt meine frage: Soll ich jeden schritt genauso ausführen wie hier beschrieben oder kann es sein dass da dann doch etwas schieflaufen kann oder so in die richtung?
bitte um hilfe.

mfg lemu

*sich kurz einmischt*

@Lemuerte
Mache bitte einen eigenen Thread auf, in dem dir dann geholfen wird, damit die Helfer nicht durcheinander kommen.
Du kannst dann ggf., als Hinweis einen Link von diesem Thread posten.

*sich kurz ausmischt*^^

Für alle, die wie ich von dem Trojaner befallen sind hier mal meine Lsg:

Dieser Trojaner scheint nach meinen Internetrecherchen momentan recht verbreitet und sehr gefährlich zu sein. Die Fehlermeldung beim Windowsstart ist schonmal eine gute Nachricht, denn d.h. dass der Trojaner zwar weiterhin versucht sich zu laden, dies aber durch dein Antivir nicht schafft.
Beseitigen kannst du ihn, indem du das Systemkonfigurationsprogramm öffnest (über Start -> Ausführen -> "msconfig") dann bei dem Reiter Systemstart xml_inc.dll suchen und Härkchen rausmachen. Anschließend im "Abgesicherten Modus" (beim Neustart F8 drücken oder vorher in der Systemkonfiguration im Reiter BOOT.INI "/safeboot" auswählen). Sobald du im "Abgesichtern Modus" bist, die Registy aufrufen (über Start -> Ausführen -> "regedit"). Dann den Arbeitsplatz anwählen (das ist wichtig, damit wirklich die komplette Registry durchsucht wird und nach "xml_inc" durchsuchen. Wichtig ist, dass du das Dateianhängsel dll nicht mitsuchst, da wirst du nichts finden. Dann alle Einträge, die gefunden wurden löschen. Anschließend in der Systemkonfiguration wieder Windows normal starten lassen und erneut nachschauen ob "xml_inc" noch irgendwo auftaucht.
Systemwiederherstellung mal abschalten (da viele Trojaner/Viren, die im Autostart festsitzen sonst wohlmöglich durch deine Schutzprogramme nicht entdeckt werden) und alle Programme erneut durchsuchen lassen.
Die Logfile von Hijack auf "http://www.hijackthis.de/de" auswerten und selber analysieren. Du selbst weist am besten, welche Programme du installiert hast und welche du trotz Warnung als sicher einstufen kannst, denn Hijack zeigt auch solche Programmabläufe an, die u.U. von dir gewollt und vollkommend harmlos sind.
Anschließend (wenn noch nicht getan) sämtliche Passwörter (von Email Acc, Wow, Online-Banking etc.) vorsichtshalber ändern. Am besten von einem anderen nicht infizierten Computer, da bist du dann ganz sicher. Curse.exe oder andere Addonprogramme -falls du solche benutzt- entfernen und Addons in Zukunft manuel suchen (ist zwar mehr Arbeit aber sicherer). Und zu guter letzt geh ich davon aus, dass du nur ein Benutzerkonto bei Windows hast. In Zukunft, immer wenn du im Internet bist und selbst nichts installieren willst, zweites Gastkonto mit eingeschränkten Benutzerrechten anlegen.

Dann hoffe ich ist alles beseitigt.

Lg