Nachdem einer meiner Accounts gehackt wurde habe ich mal einen kompletten Suchlauf mit AntiVir gestartet und bin dabei auf Sinowal.f gestossen.
Habe dann wie hier und in den meisten anderen Foren vorgeschlagen, beide Festplatten formatiert.

Nach dem Neuaufsetzten des Systems (XP SP3) bekam ich von AntiVir sofort wieder einen Fund angezeigt:

Die Datei 'Masterbootsektor HD1'
enthielt einen Virus oder unerwünschtes Programm 'BOO/Sinowal.F' [virus].
Durchgeführte Aktion(en):
Enthält Code des Bootsektorvirus BOO/Sinowal.F.
Der Sektor wurde nicht neu geschrieben!

Die Datei 'Bootsektor 'D:\''
enthielt einen Virus oder unerwünschtes Programm 'BOO/Sinowal.F' [virus].
Durchgeführte Aktion(en):
Enthält Code des Bootsektorvirus BOO/Sinowal.F.
Der Sektor wurde nicht neu geschrieben!


Hier noch der Log:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 14. August 2010 23:58

Es wird nach 2715134 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : HERBERT

Versionsinformationen:
BUILD.DAT : 10.0.0.567 32097 Bytes 19.04.2010 15:50:00
AVSCAN.EXE : 10.0.3.0 433832 Bytes 01.04.2010 11:37:35
AVSCAN.DLL : 10.0.3.0 56168 Bytes 30.03.2010 10:42:16
LUKE.DLL : 10.0.2.3 104296 Bytes 07.03.2010 17:32:59
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 18:27:49
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 16:37:42
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 15:37:42
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 10:29:03
VBASE005.VDF : 7.10.6.82 2494464 Bytes 15.04.2010 20:28:13
VBASE006.VDF : 7.10.7.218 2294784 Bytes 02.06.2010 20:28:23
VBASE007.VDF : 7.10.9.165 4840960 Bytes 23.07.2010 20:28:43
VBASE008.VDF : 7.10.9.166 2048 Bytes 23.07.2010 20:28:43
VBASE009.VDF : 7.10.9.167 2048 Bytes 23.07.2010 20:28:43
VBASE010.VDF : 7.10.9.168 2048 Bytes 23.07.2010 20:28:43
VBASE011.VDF : 7.10.9.169 2048 Bytes 23.07.2010 20:28:43
VBASE012.VDF : 7.10.9.170 2048 Bytes 23.07.2010 20:28:43
VBASE013.VDF : 7.10.9.198 157696 Bytes 26.07.2010 20:28:44
VBASE014.VDF : 7.10.9.255 997888 Bytes 29.07.2010 20:28:48
VBASE015.VDF : 7.10.10.28 139264 Bytes 02.08.2010 20:28:49
VBASE016.VDF : 7.10.10.52 127488 Bytes 03.08.2010 20:28:50
VBASE017.VDF : 7.10.10.84 137728 Bytes 06.08.2010 20:28:51
VBASE018.VDF : 7.10.10.107 176640 Bytes 09.08.2010 20:28:52
VBASE019.VDF : 7.10.10.130 132608 Bytes 10.08.2010 20:28:52
VBASE020.VDF : 7.10.10.158 131072 Bytes 12.08.2010 20:28:53
VBASE021.VDF : 7.10.10.159 2048 Bytes 12.08.2010 20:28:53
VBASE022.VDF : 7.10.10.160 2048 Bytes 12.08.2010 20:28:53
VBASE023.VDF : 7.10.10.161 2048 Bytes 12.08.2010 20:28:53
VBASE024.VDF : 7.10.10.162 2048 Bytes 12.08.2010 20:28:53
VBASE025.VDF : 7.10.10.163 2048 Bytes 12.08.2010 20:28:53
VBASE026.VDF : 7.10.10.164 2048 Bytes 12.08.2010 20:28:53
VBASE027.VDF : 7.10.10.165 2048 Bytes 12.08.2010 20:28:53
VBASE028.VDF : 7.10.10.166 2048 Bytes 12.08.2010 20:28:54
VBASE029.VDF : 7.10.10.167 2048 Bytes 12.08.2010 20:28:54
VBASE030.VDF : 7.10.10.168 2048 Bytes 12.08.2010 20:28:54
VBASE031.VDF : 7.10.10.182 49664 Bytes 13.08.2010 20:28:54
Engineversion : 8.2.4.34
AEVDF.DLL : 8.1.2.1 106868 Bytes 14.08.2010 20:29:08
AESCRIPT.DLL : 8.1.3.42 1364347 Bytes 14.08.2010 20:29:08
AESCN.DLL : 8.1.6.1 127347 Bytes 14.08.2010 20:29:06
AESBX.DLL : 8.1.3.1 254324 Bytes 14.08.2010 20:29:09
AERDL.DLL : 8.1.8.2 614772 Bytes 14.08.2010 20:29:06
AEPACK.DLL : 8.2.3.5 471412 Bytes 14.08.2010 20:29:05
AEOFFICE.DLL : 8.1.1.8 201081 Bytes 14.08.2010 20:29:03
AEHEUR.DLL : 8.1.2.11 2834805 Bytes 14.08.2010 20:29:03
AEHELP.DLL : 8.1.13.2 242039 Bytes 14.08.2010 20:28:58
AEGEN.DLL : 8.1.3.19 393587 Bytes 14.08.2010 20:28:57
AEEMU.DLL : 8.1.2.0 393588 Bytes 14.08.2010 20:28:56
AECORE.DLL : 8.1.16.2 192887 Bytes 14.08.2010 20:28:56
AEBB.DLL : 8.1.1.0 53618 Bytes 14.08.2010 20:28:55
AVWINLL.DLL : 10.0.0.0 19304 Bytes 14.01.2010 10:59:10
AVPREF.DLL : 10.0.0.0 44904 Bytes 14.01.2010 10:59:07
AVREP.DLL : 10.0.0.8 62209 Bytes 18.02.2010 15:47:40
AVREG.DLL : 10.0.3.0 53096 Bytes 01.04.2010 11:35:44
AVSCPLR.DLL : 10.0.3.0 83816 Bytes 01.04.2010 11:39:49
AVARKT.DLL : 10.0.0.14 227176 Bytes 01.04.2010 11:22:11
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 26.01.2010 08:53:25
SQLITE3.DLL : 3.6.19.0 355688 Bytes 28.01.2010 11:57:53
AVSMTP.DLL : 10.0.0.17 63848 Bytes 16.03.2010 14:38:54
NETNT.DLL : 10.0.0.0 11624 Bytes 19.02.2010 13:40:55
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.53.0 98152 Bytes 09.04.2010 13:14:28

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Samstag, 14. August 2010 23:58

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'opera.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '53' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeaTimer.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOUNDMAN.EXE' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '96' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '160' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ati2evxx.exe' - '28' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[FUND] Enthält Code des Bootsektorvirus BOO/Sinowal.F
[HINWEIS] Der Sektor wurde nicht neu geschrieben!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[FUND] Enthält Code des Bootsektorvirus BOO/Sinowal.F
[HINWEIS] Der Sektor wurde nicht neu geschrieben!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:

Die Registry wurde durchsucht ( '305' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
Beginne mit der Suche in 'D:\'


Ende des Suchlaufs: Sonntag, 15. August 2010 00:12
Benötigte Zeit: 13:24 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

2494 Verzeichnisse wurden überprüft
71465 Dateien wurden geprüft
2 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
71465 Dateien ohne Befall
596 Archive wurden durchsucht
0 Warnungen
2 Hinweise
331981 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden


Bin nun mit meinem Latein echt am Ende und brauche fachmännische Ratschläge!

Gruß

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

• Bitte arbeite alle Schritte der Reihe nach ab.
• Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
• Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
• Bitte kein Crossposting ( posten in mehreren Foren).
• Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
• Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
• Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.

Schritt 1

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hi, danke für die schnelle Antwort!

Wie gesagt ich wäre auch gerne bereit den Rechner einfach zu formatieren. Habe ich ja auch schon einmal gemacht, nur leider mit dem Ergebnis, dass mir AntiVir den Virus immernoch angezeigt hat.
Muss ich vor oder beim Formatieren irgendetwas besonders beachten bzw. tun um Sinowal.f endgültig zu verbannen?

Poste mir mal die Logfile.
Windows XP CD vorhanden ?

Es handelt sich bei dem infizierten Rechener nicht um meinen, sondern um den meiner Eltern. Bin erst morgen wieder bei denen und melde mich dann. WinXP CD ist vorhanden. Welche Logfile möchtest du denn dann haben?

Diese Logfile

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

So hier das Log:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000001d

Kernel Drivers (total 112):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806D1000 \WINDOWS\system32\hal.dll
0xBA5A8000 \WINDOWS\system32\KDCOM.DLL
0xBA4B8000 \WINDOWS\system32\BOOTVID.dll
0xB9F78000 ACPI.sys
0xBA5AA000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xB9F67000 pci.sys
0xBA0A8000 isapnp.sys
0xBA670000 pciide.sys
0xBA328000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xBA0B8000 MountMgr.sys
0xB9F48000 ftdisk.sys
0xBA330000 PartMgr.sys
0xBA0C8000 VolSnap.sys
0xB9F30000 atapi.sys
0xB9F1A000 nvatabus.sys
0xBA0D8000 disk.sys
0xBA0E8000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xB9EFA000 fltmgr.sys
0xB9EE8000 sr.sys
0xB9ED1000 KSecDD.sys
0xB9E44000 Ntfs.sys
0xB9E17000 NDIS.sys
0xB9DFD000 Mup.sys
0xBA228000 \SystemRoot\system32\DRIVERS\processr.sys
0xBA340000 \SystemRoot\system32\DRIVERS\usbohci.sys
0xB936D000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xBA348000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xB8F97000 \SystemRoot\system32\drivers\ALCXWDM.SYS
0xB7DE1000 \SystemRoot\system32\drivers\portcls.sys
0xBA2B8000 \SystemRoot\system32\drivers\drmk.sys
0xB7DBE000 \SystemRoot\system32\drivers\ks.sys
0xBA2C8000 \SystemRoot\system32\DRIVERS\imapi.sys
0xBA2D8000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xB9421000 \SystemRoot\system32\DRIVERS\redbook.sys
0xBA580000 \SystemRoot\system32\DRIVERS\nvnetbus.sys
0xB7D7E000 \SystemRoot\system32\DRIVERS\NVNRM.SYS
0xB7D4B000 \SystemRoot\system32\DRIVERS\NVSNPU.SYS
0xB7995000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xB7981000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xBA388000 \SystemRoot\system32\DRIVERS\fdc.sys
0xB9411000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xBA390000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xBA6F8000 \SystemRoot\system32\DRIVERS\audstub.sys
0xB9401000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xBA584000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB796A000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xB93F1000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xB93E1000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xBA398000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB7959000 \SystemRoot\system32\DRIVERS\psched.sys
0xB93D1000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xBA3A0000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xBA3A8000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB93C1000 \SystemRoot\system32\DRIVERS\termdd.sys
0xBA3B0000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xBA5D2000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB78FB000 \SystemRoot\system32\DRIVERS\update.sys
0xBA58C000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xB6FD9000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB6FC9000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xBA5F6000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xBA440000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xB6FA9000 \SystemRoot\system32\DRIVERS\NVENETFD.sys
0xBA5F8000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA763000 \SystemRoot\System32\Drivers\Null.SYS
0xBA5FA000 \SystemRoot\System32\Drivers\Beep.SYS
0xBA450000 \SystemRoot\System32\drivers\vga.sys
0xBA5FC000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xBA5FE000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xBA458000 \SystemRoot\System32\Drivers\Msfs.SYS
0xBA460000 \SystemRoot\System32\Drivers\Npfs.SYS
0xBA53C000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xA98C4000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xA986B000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xA9843000 \SystemRoot\system32\DRIVERS\netbt.sys
0xA9821000 \SystemRoot\System32\drivers\afd.sys
0xB6F69000 \SystemRoot\system32\DRIVERS\netbios.sys
0xBA468000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xA97F6000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xA975E000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xB6F59000 \SystemRoot\System32\Drivers\Fips.SYS
0xA9738000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xB6F49000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xB5FC3000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xA9459000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xA921F000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xB5FBF000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xA3C9F000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xBA5B0000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xB68C9000 \SystemRoot\System32\Drivers\Cdfs.SYS
0x9FCBD000 \SystemRoot\System32\Drivers\dump_nvatabus.sys
0xBA5D0000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xA0374000 \SystemRoot\System32\drivers\Dxapi.sys
0xB654A000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xBA7BB000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\ati2dvag.dll
0xBF065000 \SystemRoot\System32\ati2cqag.dll
0xBF0FE000 \SystemRoot\System32\atikvmag.dll
0xBF182000 \SystemRoot\System32\atiok3x2.dll
0xBF1CD000 \SystemRoot\System32\ati3duag.dll
0xBF572000 \SystemRoot\System32\ativvaxx.dll
0x9DAA8000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xA3288000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0x9D98B000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0x9D94E000 \SystemRoot\system32\drivers\wdmaud.sys
0xA3686000 \SystemRoot\system32\drivers\sysaudio.sys
0x9D6F5000 \SystemRoot\system32\DRIVERS\srv.sys
0x9D3BC000 \SystemRoot\System32\Drivers\HTTP.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 30):
0 System Idle Process
4 System
548 C:\WINDOWS\system32\smss.exe
596 csrss.exe
628 C:\WINDOWS\system32\winlogon.exe
672 C:\WINDOWS\system32\services.exe
684 C:\WINDOWS\system32\lsass.exe
848 C:\WINDOWS\system32\ati2evxx.exe
864 C:\WINDOWS\system32\svchost.exe
928 svchost.exe
1068 C:\WINDOWS\system32\svchost.exe
1124 C:\WINDOWS\system32\ati2evxx.exe
1192 svchost.exe
1300 svchost.exe
1440 C:\WINDOWS\system32\spoolsv.exe
1488 C:\Programme\Avira\AntiVir Desktop\sched.exe
1656 svchost.exe
1908 C:\WINDOWS\explorer.exe
2008 C:\WINDOWS\soundman.exe
2016 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
2032 C:\WINDOWS\system32\ctfmon.exe
2040 C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
116 C:\Programme\Messenger\msmsgs.exe
220 C:\Programme\Avira\AntiVir Desktop\avguard.exe
912 C:\WINDOWS\system32\wuauclt.exe
1016 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
1228 C:\Programme\Opera\opera.exe
2208 alg.exe
2576 wmiprvse.exe
2668 C:\Dokumente und Einstellungen\Herbert Kiesewetter\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: SAMSUNGSP0812N, Rev: TK100-24
PhysicalDrive1 Model Number: WDCWD800BB-00JHA0, Rev: 05.01C05

Size Device Name MBR Status
--------------------------------------------
74 GB \\.\PhysicalDrive0

Downloade Dir bitte bootkit_remover. Entpacke den Bootkitremover bitte und doppelklick in dem ordner auf remove.exe.
Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen

So in dem Fenster steht MBR Status OK.

Anbei die debug.txt Datei.

AntiVir meldet mir allerdings noch immer das er sie angeblich findet, wenn er die Bootsektoren überprüft.

Windows mit Wiederherstellungskonsole starten

• Lege bitte die XP CD in das Laufwerk und starte den Rechner neu.
• Wenn Du dazu aufgefordert wirst, wähle alle Optionen aus, die für einen Start des Computers von CD-ROM erforderlich sind.
• Wenn die Willkommensseite angezeigt wird, starte mit der Taste R die Wiederherstellungskonsole.
• Wähle zur Installation C:\Windows aus.
• Gib nun das Administratorkennwort ein, wenn Du dazu aufgefordert wirst. Wenn es sich bei dem Administratorkennwort um ein leeres Kennwort handelt, drücke einfach die Eingabetaste (enter).

Gib nun bitte folgende Zeilen einzeln ein und bestätige mit enter.

fixmbr
exit
         

Starte nun den Rechner neu und boote in den Normal-Modus.


Lass Avira einmal einen Suchlauf machen.

Habe ich gemacht. Leider mit dem gleichen Ergebnis. AntiVir hat immernoch 2 Funde jeweils in den Bootsektoren. Komischerweise popt allerdings ein leeres Fundfenster auf. Der Hinweis der vormals kam mit -Laden sie eine spezielle Datei von AntiVir runter- kommt nicht mehr. Das war dann so ne Bootfix Datei die aber nicht funktioniert hat und dann habe ich den PC damals erstmal formatiert.

Gibt AntiVir mir vllt. falsche Infos?

Könnte ich mein Problem lösen indem ich mit Win7 CD formatiere und Win7 aufspiele?


Danke für die Geduld btw.

Ja man kann Win7 aufspielen. Aber schaun wir mal

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Lade ComboFix von dem aufgeführten Link herunter. Du musst diese umbenennen, bevor Du es auf den Desktop speicherst. Speichere ComboFix auf deinen Desktop.

BleepingComputer

Firefox User: Mit Rechtsklick und "Ziel speichern unter" downloaden
**NB: Es ist wichtig, das ComboFix.exe auf dem Desktop gespeichert wird**

• Deaktivere Deine Anti-Virus- und Anti-Spyware-Programme. Normalerweise kannst Du dies über einen Rechtsklick auf das Systemtray-Icon tun. Die Programme könnten sonst eventuell unsere Programme bei deren Arbeit stören.
• Doppel-klicke auf ComboFix.exe und folge den Aufforderungen.
  • Wenn ComboFix fertig ist, wird es ein Log für dich erstellen.
  • Bitte poste mir den Inhalt von C:\ComboFix.txt hier in de Thread.

So hier die Logfile: Hab die Datei statt Combo-Fix rats genannt dürfte aber egal sein hauptsache umbenannt oder?


Combofix Logfile:

ComboFix 10-08-22.07 - Herbert Kiesewetter 23.08.2010  22:23:09.1.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.2046.1663 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Herbert Kiesewetter\Desktop\rats.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

(((((((((((((((((((((((   Dateien erstellt von 2010-07-23 bis 2010-08-23  ))))))))))))))))))))))))))))))
.

2010-08-23 10:30 . 2010-08-23 10:30	108144	----a-w-	c:\windows\system32\CmdLineExt.dll
2010-08-23 10:18 . 2010-08-23 10:19	--------	d-----w-	c:\programme\DirectX
2010-08-17 10:08 . 2010-08-17 10:08	--------	d-----w-	c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Opera
2010-08-16 05:06 . 2010-08-16 05:06	--------	d-----w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Lokale Einstellungen\Anwendungsdaten\Identities
2010-08-15 10:09 . 2010-08-16 05:01	--------	d-----w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Lokale Einstellungen\Anwendungsdaten\Oblivion
2010-08-14 22:39 . 2010-08-14 22:39	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Blizzard
2010-08-14 22:35 . 2010-08-15 09:04	--------	d-----w-	c:\programme\Gemeinsame Dateien\Blizzard Entertainment
2010-08-14 22:18 . 2010-08-14 22:26	--------	d-----w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Pavark
2010-08-14 21:35 . 2010-08-14 21:35	--------	d-----w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Anwendungsdaten\Malwarebytes
2010-08-14 21:35 . 2010-08-14 21:35	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-08-14 21:30 . 2010-08-14 21:30	--------	d-----w-	c:\programme\CCleaner
2010-08-14 21:20 . 2010-08-14 21:20	0	----a-w-	c:\windows\ativpsrm.bin

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-23 19:48 . 2010-08-14 19:15	--------	d--h--w-	c:\programme\InstallShield Installation Information
2010-08-14 21:31 . 2010-08-14 20:50	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2010-08-14 20:52 . 2010-08-14 20:50	--------	d-----w-	c:\programme\Spybot - Search & Destroy
2010-08-14 20:51 . 2010-08-14 20:50	--------	d-----w-	c:\programme\ATI Technologies
2010-08-14 20:49 . 2010-08-14 19:13	--------	d-----w-	c:\programme\Gemeinsame Dateien\InstallShield
2010-08-14 20:31 . 2010-08-14 20:31	--------	d-----w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Anwendungsdaten\Avira
2010-08-14 20:27 . 2010-08-14 20:27	--------	d-----w-	c:\programme\Avira
2010-08-14 20:27 . 2010-08-14 20:27	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-08-14 20:18 . 2004-08-04 12:00	48156	----a-w-	c:\windows\system32\perfc007.dat
2010-08-14 20:18 . 2004-08-04 12:00	316594	----a-w-	c:\windows\system32\perfh007.dat
2010-08-14 20:08 . 2010-08-14 19:17	13104	----a-w-	c:\dokumente und einstellungen\Herbert Kiesewetter\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-08-14 20:02 . 2010-08-14 19:07	76487	----a-w-	c:\windows\pchealth\helpctr\OfflineCache\index.dat
2010-08-14 19:49 . 2010-08-14 19:48	--------	d-----w-	c:\programme\Opera
2010-08-14 19:15 . 2010-08-14 19:15	--------	d-----w-	c:\programme\Realtek Sound Manager
2010-08-14 19:15 . 2010-08-14 19:15	--------	d-----w-	c:\programme\AvRack
2010-08-14 19:15 . 2010-08-14 19:15	--------	d-----w-	c:\programme\Realtek AC97
2010-08-14 19:08 . 2010-08-14 19:08	--------	d-----w-	c:\programme\microsoft frontpage
2010-08-14 19:07 . 2010-08-14 19:07	--------	d-----w-	c:\programme\Online-Dienste
2010-08-14 19:06 . 2010-08-14 19:06	--------	d-----w-	c:\programme\Gemeinsame Dateien\Dienste
2010-08-14 19:06 . 2010-08-14 19:06	21740	----a-w-	c:\windows\system32\emptyregdb.dat
2010-06-30 12:28 . 2004-08-04 12:00	149504	----a-w-	c:\windows\system32\schannel.dll
2010-06-24 12:22 . 2004-08-04 12:00	916480	----a-w-	c:\windows\system32\wininet.dll
2010-06-24 09:02 . 2004-08-04 12:00	1852032	----a-w-	c:\windows\system32\win32k.sys
2010-06-21 15:27 . 2004-08-04 12:00	354304	----a-w-	c:\windows\system32\drivers\srv.sys
2010-06-17 14:03 . 2004-08-04 12:00	80384	----a-w-	c:\windows\system32\iccvid.dll
2010-06-14 14:31 . 2010-08-14 19:06	744448	----a-w-	c:\windows\pchealth\helpctr\binaries\helpsvc.exe
2010-06-14 07:41 . 2004-08-04 12:00	1172480	----a-w-	c:\windows\system32\msxml3.dll
2010-06-02 02:55 . 2010-08-23 10:22	74072	----a-w-	c:\windows\system32\XAPOFX1_5.dll
2010-06-02 02:55 . 2010-08-23 10:22	527192	----a-w-	c:\windows\system32\XAudio2_7.dll
2010-06-02 02:55 . 2010-08-23 10:22	239960	----a-w-	c:\windows\system32\xactengine3_7.dll
2010-05-26 09:41 . 2010-08-23 10:22	248672	----a-w-	c:\windows\system32\d3dx11_43.dll
2010-05-26 09:41 . 2010-08-23 10:22	2106216	----a-w-	c:\windows\system32\D3DCompiler_43.dll
2010-05-26 09:41 . 2010-08-23 10:22	1868128	----a-w-	c:\windows\system32\d3dcsx_43.dll
2010-05-26 09:41 . 2010-08-23 10:22	470880	----a-w-	c:\windows\system32\d3dx10_43.dll
2010-05-26 09:41 . 2010-08-23 10:22	1998168	----a-w-	c:\windows\system32\D3DX9_43.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2006-08-03 577536]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-02-10 61440]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Opera\\opera.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [14.08.2010 22:27 135336]
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-08-23 22:25
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(628)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'explorer.exe'(216)
c:\windows\system32\webcheck.dll
.
Zeit der Fertigstellung: 2010-08-23  22:26:53
ComboFix-quarantined-files.txt  2010-08-23 20:26

Vor Suchlauf: 6 Verzeichnis(se), 68.513.107.968 Bytes frei
Nach Suchlauf: 7 Verzeichnis(se), 68.506.169.344 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

- - End Of File - - 98CA33992F44B69ACEEE975607C3CE0F
         

--- --- ---

Sorry

Problem noch aktuell ?

mhm also wie du siehst sagen mir alle Programme die wir haben durchlaufen lassen, dass alles in Ordnung ist. Lediglich AntiVir meckert noch.
Keine Ahnung warum.