oh jetzt habe ich es schon gemacht, war wohl zu ungeduldig, gleich die nächste Frage, aber diesmal warte ich, wenn ich die Fehler in der Registry beheben will, fragt er mich, ob ich die Änderungen in der Registry sichern will

Ja, das ist eine Sicherheitsoption. Du kannst davon ein backup machen, um im Fall der Fälle die gelöschten Registry-Einträge wiederherzustellen. Ist in den allermeisten Fällen jedoch unnötig und ich hab das schon auf vielen Rechnern mit dem CCleaner so gemacht und noch nei das Backup benötigt.

ok, dann mach ich mal weiter

der CCleaner behebt alle Fehler bis auf einen: ungenützte Dateiendung der Registryschlüssel ist HKCR/{8068........... hat das was zu bedeuten?
ich mache jetzt mal mit malware weiter, die externe festplatte kann es ja diesmal nicht erwischt haben, da ich sie seit plattmachen noch nicht dran hatte, oder?

Das Zippen war eigentlich nur dafür gedacht, dass Du mehrere Logdateien in einer Datei packst und ich mir mit einem Download so alle Informationen habe. Aber so isses auch okay.

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien (sofern diese noch existieren) bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen. Du kannst auch einfach den Ergebnislink posten:

C:\TV.dll
C:\ts.dll
C:\WINDOWS\system32\CNMLM86.DLL
         

moin Arne,
beim Anzeigen aller Dateien muss ich da jeweils die Adressen einzeln also C:\TV.dll dann C:\ts.dll und C:\WINDOWS\system32\CNMLM86.DLL suchen lassen, ich habe nämlich nichts in die Suchzeile eingetragen und er hat 95000 Dateien gefunden

habe jetzt mal die einzelnen Adressen in die Suche eingetragen, er findet sie auch, aber wozu benötige ich das eigentlich, ich habe doch die Pfade und kann virustotal direkt z.B. nach C:\TV.dll durchsuchen lassen. oder mache ich was falsch Ergebnis war:

Die Datei wurde bereits analysiert:
MD5: 137c3036469cde5dff49704f7c25c95e
First received: 2009.06.26 06:27:28 UTC
Datum 2010.01.06 20:49:42 UTC [>12D]
Ergebnisse 0/41
Permalink: analisis/8830187fca4ffa7a49ce3751eea25cbf4dc2d1ae7d77dad6ad1a29a964c880f2-1262810982

und das sind die Ergebnisse
Datei TV.dll empfangen 2010.01.06 20:49:42 (UTC)
Status: Beendet
Ergebnis: 0/41 (0.00%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.48 2010.01.06 -
AhnLab-V3 5.0.0.2 2010.01.06 -
AntiVir 7.9.1.122 2009.12.31 -
Antiy-AVL 2.0.3.7 2010.01.06 -
Authentium 5.2.0.5 2010.01.06 -
Avast 4.8.1351.0 2010.01.06 -
AVG 8.5.0.430 2010.01.04 -
BitDefender 7.2 2010.01.06 -
CAT-QuickHeal 10.00 2010.01.05 -
ClamAV 0.94.1 2010.01.06 -
Comodo 3490 2010.01.06 -
DrWeb 5.0.1.12222 2010.01.06 -
eSafe 7.0.17.0 2010.01.06 -
eTrust-Vet 35.1.7219 2010.01.06 -
F-Prot 4.5.1.85 2010.01.06 -
F-Secure 9.0.15370.0 2010.01.06 -
Fortinet 4.0.14.0 2010.01.06 -
GData 19 2010.01.06 -
Ikarus T3.1.1.79.0 2010.01.06 -
Jiangmin 13.0.900 2010.01.06 -
K7AntiVirus 7.10.940 2010.01.06 -
Kaspersky 7.0.0.125 2010.01.06 -
McAfee 5853 2010.01.06 -
McAfee+Artemis 5853 2010.01.06 -
McAfee-GW-Edition 6.8.5 2010.01.06 -
Microsoft 1.5302 2010.01.06 -
NOD32 4749 2010.01.06 -
Norman 6.04.03 2010.01.06 -
nProtect 2009.1.8.0 2010.01.06 -
Panda 10.0.2.2 2010.01.06 -
PCTools 7.0.3.5 2010.01.06 -
Prevx 3.0 2010.01.06 -
Rising 22.29.02.06 2010.01.06 -
Sophos 4.49.0 2010.01.06 -
Sunbelt 3.2.1858.2 2010.01.06 -
Symantec 20091.2.0.41 2010.01.06 -
TheHacker 6.5.0.3.137 2010.01.06 -
TrendMicro 9.120.0.1004 2010.01.06 -
VBA32 3.12.12.1 2010.01.06 -
ViRobot 2010.1.6.2124 2010.01.06 -
VirusBuster 5.0.21.0 2010.01.06 -
weitere Informationen
File size: 98304 bytes
MD5 : 137c3036469cde5dff49704f7c25c95e
SHA1 : 223f31c1b38b5b6f4eaaeea2d6136836d44fa3cc
SHA256: 8830187fca4ffa7a49ce3751eea25cbf4dc2d1ae7d77dad6ad1a29a964c880f2
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x6879
timedatestamp.....: 0x4A433827 (Thu Jun 25 10:41:11 2009)
machinetype.......: 0x14C (Intel I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xBE62 0xC000 6.68 77abee142c0341be5258f32cb1ecdb49
.rdata 0xD000 0x2BC2 0x3000 5.24 08649e5fd81bbcb6a297b4c6dc7f8fb1
.data 0x10000 0x1C04 0x1000 2.30 f950bb4464c639d64069f404d021afcc
.sharedv 0x12000 0x3858 0x4000 0.00 53b90e5e40933d84db12d4d3c4dce0f7
.rsrc 0x16000 0xBE0 0x1000 4.71 9da0721f84279aa05911a65c9a977944
.reloc 0x17000 0x13D2 0x2000 3.78 1ed1fb2bd73a51afa13257bd8060024e

( 5 imports )

> advapi32.dll: RegQueryValueExA, RegOpenKeyExA, RegCloseKey
> comctl32.dll: InitCommonControlsEx
> gdi32.dll: CreateCompatibleBitmap, Rectangle, DeleteDC, DeleteObject, SelectObject, Polyline, GetDeviceCaps, CreatePen, CreateCompatibleDC, CreateSolidBrush, LineTo, ExtCreatePen, MoveToEx, GetPixel, GetObjectA, GetStockObject, BitBlt, SetPixel
> kernel32.dll: GetLastError, HeapSize, RtlUnwind, InitializeCriticalSection, WriteFile, GetLocaleInfoA, GetStringTypeW, GetStringTypeA, HeapReAlloc, VirtualAlloc, EnterCriticalSection, LeaveCriticalSection, GetSystemTimeAsFileTime, QueryPerformanceCounter, VirtualFree, HeapCreate, HeapDestroy, GetEnvironmentStringsW, FreeEnvironmentStringsW, GetEnvironmentStrings, FreeEnvironmentStringsA, DeleteCriticalSection, GetStartupInfoA, GetFileType, GetStdHandle, SetHandleCount, Sleep, ExitProcess, IsDebuggerPresent, SetUnhandledExceptionFilter, UnhandledExceptionFilter, GetCurrentProcess, TerminateProcess, LCMapStringW, MultiByteToWideChar, WideCharToMultiByte, LCMapStringA, GetVersionExA, ReleaseMutex, GetCurrentThreadId, LocalAlloc, GetTickCount, CreateMutexA, OpenMutexA, LoadLibraryA, FreeLibrary, LocalUnlock, GetModuleFileNameA, LocalFree, LocalLock, WaitForSingleObject, GetCurrentProcessId, GetProcAddress, CloseHandle, VirtualQuery, GetCommandLineA, HeapFree, HeapAlloc, GetProcessHeap, GetCPInfo, InterlockedIncrement, InterlockedDecrement, GetACP, GetOEMCP, IsValidCodePage, GetModuleHandleA, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, SetLastError
> user32.dll: UnhookWindowsHookEx, GetDesktopWindow, GetClassNameA, RegisterWindowMessageA, LoadBitmapA, BeginPaint, GetSysColor, SystemParametersInfoA, TrackMouseEvent, SetWindowPos, GetWindowRect, UnregisterClassA, GetSystemMetrics, IsWindowVisible, SetActiveWindow, GetWindowLongA, GetDC, ShowWindow, GetWindowDC, CallNextHookEx, GetWindowThreadProcessId, CreateWindowExA, RegisterClassA, GetWindowInfo, GetActiveWindow, ReleaseDC, GetClassInfoA, MoveWindow, EndPaint, IsWindow, MapWindowPoints, PostMessageA, FindWindowExA, SendNotifyMessageA, IsRectEmpty, FindWindowA, DestroyWindow, IsZoomed, DefWindowProcA, GetClientRect, SetRect, LoadCursorA, SetWindowsHookExA, SetWindowLongA, RedrawWindow, SendMessageA, UnionRect, InvalidateRect, SetRectEmpty

( 1 exports )

> AddProcessExclusion, GetChangeRect, GetChangedWindowList, IsTitleBarButtonPressed, RemoveProcessExclusion, SetButtonXOffset, SetSingleWindow, ShowTitleBarButton, StartHooks, StopHooks
TrID : File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
ssdeep: 768:b40twhTfBFBVZUGZ6xkhQgKbnluGGJNFz5wDpfhLuRnQnltWGe:LtyTLBVZUwTVRJ7aJhwgltRe
PEiD : -
RDS : NSRL Reference Data Set
-

die Dritte kommt auch gleich noch
Die Datei wurde bereits analysiert:
MD5: a25c8f9cd27c79cb78c334483e5e37ff
First received: 2010.01.17 12:11:56 UTC
Datum 2010.01.19 08:54:57 UTC [<1D]
Ergebnisse 2/41
Permalink: analisis/cf42779570dca8d815c64ba724ab2c957570ff3aba6459cd7499196f72b96948-1263891297

Datei a25c8f9cd27c79cb78c334483e5e37ff empfangen 2010.01.19 08:54:57 (UTC)
Status: Beendet
Ergebnis: 2/41 (4.88%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.50 2010.01.19 -
AhnLab-V3 5.0.0.2 2010.01.19 -
AntiVir 7.9.1.142 2010.01.18 -
Antiy-AVL 2.0.3.7 2010.01.19 -
Authentium 5.2.0.5 2010.01.19 -
Avast 4.8.1351.0 2010.01.18 -
AVG 9.0.0.730 2010.01.18 -
BitDefender 7.2 2010.01.19 -
CAT-QuickHeal 10.00 2010.01.19 -
ClamAV 0.94.1 2010.01.19 -
Comodo 3634 2010.01.19 -
DrWeb 5.0.1.12222 2010.01.19 -
eSafe 7.0.17.0 2010.01.18 -
eTrust-Vet 35.2.7244 2010.01.18 -
F-Prot 4.5.1.85 2010.01.18 -
F-Secure 9.0.15370.0 2010.01.19 -
Fortinet 4.0.14.0 2010.01.19 -
GData 19 2010.01.19 -
Ikarus T3.1.1.80.0 2010.01.19 -
Jiangmin 13.0.900 2010.01.19 -
K7AntiVirus 7.10.950 2010.01.18 -
Kaspersky 7.0.0.125 2010.01.19 -
McAfee 5865 2010.01.18 -
McAfee+Artemis 5865 2010.01.18 -
McAfee-GW-Edition 6.8.5 2010.01.19 Heuristic.BehavesLike.Win32.Suspicious.L
Microsoft 1.5302 2010.01.19 -
NOD32 4784 2010.01.18 -
Norman 6.04.03 2010.01.18 -
nProtect 2009.1.8.0 2010.01.18 -
Panda 10.0.2.2 2010.01.18 Suspicious file
PCTools 7.0.3.5 2010.01.19 -
Prevx 3.0 2010.01.19 -
Rising 22.31.01.04 2010.01.19 -
Sophos 4.49.0 2010.01.19 -
Sunbelt 3.2.1858.2 2010.01.19 -
Symantec 20091.2.0.41 2010.01.19 -
TheHacker 6.5.0.6.156 2010.01.19 -
TrendMicro 9.120.0.1004 2010.01.19 -
VBA32 3.12.12.1 2010.01.19 -
ViRobot 2010.1.19.2144 2010.01.19 -
VirusBuster 5.0.21.0 2010.01.18 -
weitere Informationen
File size: 4096 bytes
MD5 : a25c8f9cd27c79cb78c334483e5e37ff
SHA1 : 5c9a5f2453c80c6523e70819f7c1e7a747e88eb2
SHA256: cf42779570dca8d815c64ba724ab2c957570ff3aba6459cd7499196f72b96948
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1188
timedatestamp.....: 0x4B4EBE8F (Thu Jan 14 07:49:51 2010)
machinetype.......: 0x14C (Intel I386)

( 2 sections )
name viradd virsiz rawdsiz ntrpy md5
.code 0x1000 0xB09 0xC00 5.49 aaadb7b81152ae585429dff9c78f2aa1
.reloc 0x2000 0xC0 0x200 2.95 a66859ca609ad8e20a77ee27eebce5d9

( 5 imports )

> advapi32.dll: RegCloseKey, RegCreateKeyA, RegSetValueExA
> kernel32.dll: CreateProcessA, CreateThread, ExitProcess, GetModuleFileNameA, LocalAlloc, Sleep, VirtualProtect, WaitForSingleObject, lstrlenA, lstrlenW
> user32.dll: CallWindowProcA, CreateDialogParamW, SetWindowLongA, SetWindowTextW, ShowWindow
> wininet.dll: InternetConnectA
> ws2_32.dll: WSASocketA, closesocket, connect, gethostbyname, ntohs, send, socket

( 1 exports )

> Hooks
TrID : File type identification
Win32 Executable Generic (67.8%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
VXD Driver (0.2%)
ssdeep: 96:Z14st4wcMQk2p1JKaTLHJK9fPkRh7LUC:dm5p+afHJK9HkRRAC
PEiD : -
RDS : NSRL Reference Data Set

Die Datei wurde bereits analysiert:
MD5: 63b2f2ecd892570b276f874a881ad9cd
First received: 2009.06.01 10:38:08 UTC
Datum 2009.09.17 19:57:29 UTC [>123D]
Ergebnisse 0/41
Permalink: analisis/59dcc78bd2818435c3c70c9bf4e76c45ac13adce56207ba1527b51b6887342a6-1253217449

Ist richtig so. Was ist mit den anderen beiden Dateien?

Lösch die drei Dateien trotzdem mal, die haben direkt auf C: eigentlich nichts verloren!
Bitte CF anwenden:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

völlig verwirrt ,
-hatte guard in antivir deaktiviert, als ich ihn jetzt wieder einschalten wollte, war er schon aktiviert,
-ich habe als er mich nach download von Konsole gefragt hat, kurz firefox aufgemacht, weil ich nochmal nachfragen wollte, ist das ein problem
- habe ich eigentlich die drei Dateien jetzt gelöscht durch das Prozdedere oder hätte ich sie irgendwann angeben müssen oder manuell löschen müssen????


ComboFix 10-01-18.02 - Pepe 19.01.2010 12:20:47.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.2.1252.49.1031.18.1022.543 [GMT 1:00]
ausgeführt von:: d:\downloads\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\recycler\S-1-5-21-1965055333-3391897381-2678861898-1006
c:\recycler\S-1-5-21-1965055333-3391897381-2678861898-1007

Infizierte Kopie von c:\windows\system32\userinit.exe wurde gefunden und desinfiziert
Kopie von - c:\windows\system32\dllcache\userinit.exe wurde wiederhergestellt

.
((((((((((((((((((((((( Dateien erstellt von 2009-12-19 bis 2010-01-19 ))))))))))))))))))))))))))))))
.

2010-01-18 23:21 . 2010-01-18 23:21 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\IrfanView
2010-01-18 23:03 . 2010-01-18 23:03 -------- d-----w- c:\programme\trend micro
2010-01-18 23:03 . 2010-01-18 23:03 -------- d-----w- C:\rsit
2010-01-18 21:28 . 2010-01-18 21:28 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Malwarebytes
2010-01-18 21:28 . 2010-01-07 15:07 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-18 21:28 . 2010-01-18 22:32 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-01-18 21:28 . 2010-01-18 21:28 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes
2010-01-18 21:28 . 2010-01-07 15:07 19160 ----a-w- c:\windows\system32\drivers\mbam.sys
2010-01-18 20:44 . 2010-01-18 20:44 -------- d-----w- c:\programme\CCleaner
2010-01-18 11:24 . 2010-01-18 11:24 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\TeamViewer
2010-01-18 11:16 . 2010-01-14 10:49 4096 ----a-w- C:\ts.dll
2010-01-18 11:16 . 2009-06-25 10:41 98304 ----a-w- C:\TV.dll
2010-01-18 11:15 . 2004-08-03 22:58 25088 ----a-w- c:\windows\system32\stu2.exe
2010-01-13 13:42 . 2010-01-13 13:42 411368 ----a-w- c:\windows\system32\deploytk.dll
2010-01-13 13:41 . 2010-01-13 13:41 -------- d-----w- c:\programme\Java
2010-01-13 13:41 . 2010-01-13 13:41 152576 ----a-w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Sun\Java\jre1.6.0_17\lzma.dll
2010-01-13 13:40 . 2010-01-13 13:40 79488 ----a-w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Sun\Java\jre1.6.0_17\gtapi.dll
2010-01-11 22:14 . 2010-01-11 22:14 -------- d-----w- c:\programme\DivX
2010-01-05 12:09 . 2010-01-05 12:09 -------- d--h--w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\CanonBJ
2010-01-05 12:09 . 2006-04-30 20:00 65024 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\CNMPP86.DLL
2010-01-05 12:09 . 2006-04-30 20:00 22528 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\CNMPD86.DLL
2010-01-05 12:09 . 2006-04-30 20:00 161792 ----a-w- c:\windows\system32\CNMLM86.DLL
2010-01-04 19:38 . 2004-08-03 22:01 25856 -c--a-w- c:\windows\system32\dllcache\usbprint.sys
2010-01-04 19:38 . 2004-08-03 22:01 25856 ----a-w- c:\windows\system32\drivers\usbprint.sys
2010-01-04 19:31 . 2010-01-04 19:31 -------- d-----w- c:\windows\system32\wbem\Repository
2010-01-03 05:13 . 2010-01-18 13:40 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\vlc
2010-01-03 05:11 . 2010-01-03 05:11 -------- d-----w- c:\programme\VideoLAN
2010-01-03 04:26 . 2010-01-03 04:26 18240 ----a-w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-12-28 14:54 . 2009-12-28 14:54 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\Identities
2009-12-28 14:25 . 2009-11-25 10:19 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-12-28 14:25 . 2009-03-30 08:33 96104 ----a-w- c:\windows\system32\drivers\avipbb.sys
2009-12-28 14:25 . 2009-02-13 10:29 22360 ----a-w- c:\windows\system32\drivers\avgntmgr.sys
2009-12-28 14:25 . 2009-02-13 10:17 45416 ----a-w- c:\windows\system32\drivers\avgntdd.sys
2009-12-28 14:25 . 2009-12-28 14:25 -------- d-----w- c:\programme\Avira
2009-12-28 14:25 . 2009-12-28 14:25 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Avira
2009-12-28 14:20 . 2009-12-28 14:21 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\MediaMonkey
2009-12-28 14:20 . 2009-12-28 14:20 -------- d-----w- c:\programme\MediaMonkey
2009-12-28 14:18 . 2009-12-28 14:18 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\InterVideo
2009-12-28 14:16 . 2002-11-21 09:57 204800 ----a-w- c:\windows\system32\IVIresizeW7.dll
2009-12-28 14:16 . 2002-11-21 09:57 200704 ----a-w- c:\windows\system32\IVIresizeA6.dll
2009-12-28 14:16 . 2002-11-21 09:57 192512 ----a-w- c:\windows\system32\IVIresizeP6.dll
2009-12-28 14:16 . 2002-11-21 09:57 192512 ----a-w- c:\windows\system32\IVIresizeM6.dll
2009-12-28 14:16 . 2002-11-21 09:57 188416 ----a-w- c:\windows\system32\IVIresizePX.dll
2009-12-28 14:16 . 2002-11-21 09:57 20480 ----a-w- c:\windows\system32\IVIresize.dll
2009-12-28 14:16 . 2009-12-28 14:16 -------- d-----w- c:\programme\InterVideo
2009-12-28 14:16 . 2009-12-28 14:16 -------- d-----w- c:\programme\Gemeinsame Dateien\InterVideo
2009-12-28 14:15 . 2009-12-28 14:15 -------- d-----w- C:\Program Files
2009-12-28 14:15 . 2009-12-28 14:15 -------- d-----w- c:\programme\Creative
2009-12-28 14:15 . 2003-11-11 09:44 333600 ----a-w- c:\windows\system32\drivers\ctdvda2k.sys
2009-12-28 14:15 . 2003-11-11 09:43 77824 ----a-w- c:\windows\system32\ctdvda32.dll
2009-12-28 14:15 . 2003-07-14 15:49 122880 ----a-w- c:\windows\system32\cddvdint.dll
2009-12-28 14:15 . 2003-01-27 15:32 831600 ----a-w- c:\windows\system32\Ctaa1.dat
2009-12-28 14:15 . 2009-12-28 14:15 -------- d-----w- c:\dokumente und einstellungen\PEPE~1~EE-\LOKALE~1
2009-12-28 14:15 . 2009-12-28 14:15 -------- d-----w- c:\dokumente und einstellungen\PEPE~1~EE-
2009-12-28 14:13 . 2010-01-18 11:15 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\AdobeUM
2009-12-28 14:13 . 2009-12-28 14:13 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\Adobe
2009-12-28 14:07 . 2009-12-28 14:07 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Ashampoo
2009-12-28 14:06 . 2009-12-28 14:06 -------- d-----w- c:\programme\IrfanView
2009-12-28 14:02 . 2009-12-28 14:02 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\ashampoo
2009-12-28 14:02 . 2009-12-28 14:02 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\ashampoo
2009-12-28 14:02 . 2009-12-28 14:02 -------- d-----w- c:\programme\Ashampoo
2009-12-28 14:01 . 2009-12-28 14:09 -------- d-----w- c:\programme\audiograbber
2009-12-28 13:57 . 2004-03-22 13:17 25840 ----a-w- c:\windows\system32\Spool\prtprocs\w32x86\mdippr.dll
2009-12-28 13:57 . 2004-03-22 13:17 24816 ----a-w- c:\windows\system32\mdimon.dll
2009-12-28 13:51 . 2009-12-28 13:51 56 ---ha-w- c:\windows\system32\ezsidmv.dat
2009-12-28 13:51 . 2010-01-19 09:27 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\skypePM
2009-12-28 13:47 . 2009-12-28 13:47 0 ----a-w- c:\windows\nsreg.dat
2009-12-28 13:47 . 2009-12-28 13:47 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Lokale Einstellungen\Anwendungsdaten\Mozilla
2009-12-28 13:45 . 2010-01-19 11:25 -------- d-----w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Skype
2009-12-28 13:45 . 2009-12-28 13:45 -------- d-----r- c:\programme\Skype
2009-12-28 13:45 . 2009-12-28 13:45 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Skype
2009-12-28 13:42 . 2009-12-28 13:42 -------- d-s---w- c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\UserData
2009-12-28 13:26 . 2005-01-27 14:31 260352 ----a-w- c:\windows\system32\drivers\smwdm.sys
2009-12-28 13:26 . 2004-10-05 15:10 23040 ----a-w- c:\windows\system32\PostProc.dll
2009-12-28 13:26 . 2004-09-23 06:55 311296 ----a-w- c:\windows\system32\Edcrypt.dll
2009-12-28 13:26 . 2004-09-17 08:02 732928 ----a-w- c:\windows\system32\drivers\senfilt.sys
2009-12-28 13:26 . 2001-09-19 11:47 765952 ----a-w- c:\windows\system\crlds3d.dll
2009-12-28 13:24 . 2004-12-15 11:01 176128 ----a-w- c:\windows\system32\nvudisp.exe
2009-12-28 12:43 . 2010-01-04 19:31 -------- d-sh--w- c:\dokumente und einstellungen\LocalService.NT-AUTORITÄT
2009-12-28 12:43 . 2010-01-04 19:31 -------- d-sh--w- c:\dokumente und einstellungen\NetworkService.NT-AUTORITÄT
2009-12-28 12:40 . 2004-08-03 20:32 15872 -c--a-w- c:\windows\system32\dllcache\padrs404.dll
2009-12-28 12:39 . 2004-08-03 22:57 8192 -c--a-w- c:\windows\system32\dllcache\httpmb51.dll
2009-12-28 12:38 . 2003-03-24 15:52 20540 -c--a-w- c:\windows\system32\dllcache\admin.dll
2009-12-28 12:38 . 2009-12-28 12:38 -------- d-----w- c:\dokumente und einstellungen\Default User.WINDOWS\Lokale Einstellungen\Anwendungsdaten\Microsoft
2009-12-28 12:37 . 2009-12-28 12:38 -------- d-sh--w- c:\dokumente und einstellungen\All Users.WINDOWS\DRM
2009-12-28 12:34 . 2004-08-03 22:57 6656 -c--a-w- c:\windows\system32\dllcache\wuauserv.dll
2009-12-28 12:33 . 2009-12-28 12:33 21740 ----a-w- c:\windows\system32\emptyregdb.dat
2009-12-28 12:31 . 2001-08-18 10:00 76800 -c--a-w- c:\windows\system32\dllcache\wmipicmp.dll
2009-12-28 12:27 . 2001-08-17 12:59 3072 ----a-w- c:\windows\system32\drivers\audstub.sys
2009-12-28 12:26 . 2004-08-03 23:40 57600 ----a-w- c:\windows\system32\drivers\redbook.sys
2009-12-28 12:26 . 2001-08-17 12:46 6400 ----a-w- c:\windows\system32\drivers\enum1394.sys
2009-12-28 12:25 . 2004-08-03 23:44 5504 ----a-w- c:\windows\system32\drivers\intelide.sys
2009-12-28 12:25 . 2004-08-03 23:57 77312 ----a-w- c:\windows\system32\usbui.dll
2009-12-28 12:20 . 2010-01-19 11:15 -------- d--h--w- c:\dokumente und einstellungen\Default User.WINDOWS
2009-12-28 12:20 . 2009-12-28 12:37 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-12-28 14:16 . 2005-05-23 13:12 -------- d--h--w- c:\programme\InstallShield Installation Information
2009-12-28 14:06 . 2005-05-29 07:54 -------- d-----w- c:\programme\Gemeinsame Dateien\Adobe
2009-12-28 13:45 . 2008-11-03 18:27 -------- d-----w- c:\programme\Gemeinsame Dateien\Skype
2009-12-28 13:15 . 2009-12-28 12:37 86327 ----a-w- c:\windows\PCHEALTH\HELPCTR\OfflineCache\index.dat
2009-12-28 12:45 . 2001-08-18 10:00 48156 ----a-w- c:\windows\system32\perfc007.dat
2009-12-28 12:45 . 2001-08-18 10:00 316594 ----a-w- c:\windows\system32\perfh007.dat
2009-12-22 11:31 . 2009-08-17 08:10 -------- d-----w- c:\dokumente und einstellungen\Pepe\Anwendungsdaten\Skype
2009-12-22 10:08 . 2009-08-17 08:11 -------- d-----w- c:\dokumente und einstellungen\Pepe\Anwendungsdaten\skypePM
2009-12-13 18:12 . 2005-05-29 08:30 71872 ----a-w- c:\dokumente und einstellungen\Pepe\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-12-09 11:10 . 2009-12-09 11:10 -------- d-----w- c:\dokumente und einstellungen\Pepe\Anwendungsdaten\ASCOMP Software
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="c:\programme\Skype\Phone\Skype.exe" [2009-10-09 25623336]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2004-12-15 5513216]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2010-01-13 149280]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-03 15360]

c:\dokumente und einstellungen\All Users.WINDOWS\Startmen�\Programme\Autostart\
Acrobat Assistant.lnk - c:\programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-5-15 217193]
InterVideo WinCinema Manager.lnk - c:\programme\InterVideo\Common\Bin\WinCinemaMgr.exe [2009-12-28 237568]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\InterVideo\\DVD6\\WinDVD.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [28.12.2009 15:25 108289]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Pepe.EE-4595AB77ACA3\Anwendungsdaten\Mozilla\Firefox\Profiles\auvza3ph.default\
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-19 12:26
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Skype\Plugin Manager\skypePM.exe
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-01-19 12:28:48 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-01-19 11:28

Vor Suchlauf: 12 Verzeichnis(se), 123.147.464.704 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 124.260.392.960 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

- - End Of File - - 100B3A7AADFE7ABFB5A8704F6381D644

und nebenbei ich bekomme schon immer eine meldung dass meine firewall nicht installiert ist

und fast vergessen, das fenster ging nicht auf zum Ändern des Namens in cofi.exe

Alles easy, nicht verzweifeln

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

KILLALL::

Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

File::
C:\ts.dll
C:\TV.dll
         

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.



6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!