Hallo, liebes Trojaner-Board-Team,

habe mich kürzlich erstmalig bei Facebook auf eine Einladung eines alten Schulkollegen angemeldet - das hab ich nun davon! Ihr habt mir vor einigen Monaten schon erfolgreich mit einem Trojaner geholfen, nun brauche ich wieder Eure Hilfe.

Vor ein paar Tagen hat es mir einige Word- und Excel-Dateien zerschossen, nur noch kryptische Zeichen und Fragmente des eigentlichen Inhalts darin. IE-Explorer hat seltsam reagiert, System war total langsam. Beim Windows-Start hatte ich einen "Runtime Error".

Avira Free ist installiert, keine Meldung. Einen Tag später hat der Avira-Scan einen Trojaner-Befall gemeldet. Zwei Dateien in einem Unterverzeichnis "TR" => in Quarantäne gestellt. Hab in dem Zusammenhang ein seltsames Verzeichnis unter Windows namens "PCHealth" entdeckt, ließ sich aber nicht löschen.

Daraufhin habe ich den Vollscan mit Malwarebytes durchgeführt (heute auf neueste Version aktualisiert), 4 infizierte Dateien wurden gemeldet und die habe ich dann entfernt. Während des Scans hat sich auch Avira gemeldet, mit einem Fund einer anderen Datei => wiederum im Quarantäne verschoben. Im Anschluß hab' ich gleich noch OTL laufen lassen, hänge beide Log-Files an.

Bitte wieder um Eure bewährte Hilfe, um noch vorhandene Reste von meinem System zu entfernen.

Vielen Dank schonmal im voraus für die Hilfe und viele Grüße
Marion

poste die avira logs, und die fundmeldungen, unter avira, ereignisse.
hast du in facebook einen link geöffnet oder etwas in der art, falls ja, sende ihn mir als private nachicht.

Hallo Markus,

danke für Deine schnelle Antwort.

Finde im Avira-Verzeichnis keine Logfiles oder nichts Entsprechendes. Wenn ich die Anzeige unter "Ergebnisse" exportiere, kommen nur Versionsinfos an.
Anbei die exportierten Angaben aus dem Quarantäne-Ordner.

Hab' keine Ahnung, was ich in Facebook alles angeklickt habe, bin totaler Neuling dort und habe auf die Anfrages meines Spezl's im Anschluß einfach wüst rumgeklickt.

Typ: Datei
Quelle: C:\System Volume Information\_restore{BE2FC4D2-32FC-4079-902E-799BB7000B44}\RP113\A0116643.old
Status: Infiziert
Quarantäne-Objekt: 4f23755d.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.150
Virendefinitionsdatei: 7.11.01.201
Meldung: Ist das Trojanische Pferd TR/StartPage.AY
Datum/Uhrzeit: 22.01.2011, 13:46


Typ: Datei
Quelle: C:\Programme\Windows Media Player\wmplayer.exe.tmp
Status: Infiziert
Quarantäne-Objekt: 5fa747a8.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.150
Virendefinitionsdatei: 7.11.01.201
Meldung: Ist das Trojanische Pferd TR/Crypt.FSPM.Gen
Datum/Uhrzeit: 21.01.2011, 19:10


Typ: Datei
Quelle: C:\WINDOWS\AddClass.old
Status: Infiziert
Quarantäne-Objekt: 47046818.qua
Wiederhergestellt: NEIN
Zu Avira hochgeladen: NEIN
Betriebssystem: Windows 2000/XP/VISTA Workstation
Suchengine: 8.02.04.150
Virendefinitionsdatei: 7.11.01.201
Meldung: Ist das Trojanische Pferd TR/StartPage.AY
Datum/Uhrzeit: 21.01.2011, 19:10


Entschuldige, daß ich keine genaueren Angaben bezüglich Facebook machen kann, aber war zu sehr Neuland.

Vielen Dank schonmal für die weitere Hilfe!

Schöne Grüße
Marion

rechtsklick avira schirm, guard deaktivieren.
öffne avira, verwaltung, quarantäne. folgenden dateien:
C:\Programme\Windows Media Player\wmplayer.exe.tmp
C:\WINDOWS\AddClass.old
wiederherstellen in, desktop.
prüfe sie bei:
VirusTotal - Free Online Virus, Malware and URL Scanner
poste die ergebniss links, falls datei(n) bereits analysiert, erneut prüfen klicken.

Hallo Markus,

hab die zwei Dateien wiederhergestellt und versucht, diese prüfen zu lassen.
Hing anfangs ewig in einer Warteschleife, und hab davon keine Logfiles bekommen.
Habe von AddClass.old den Prüfbericht als PDF erstellt, kann ihn ab er hier nicht anhängen.

Seit der Wiederherstellung ist mein Bootmenü vor dem Windows-Start weg und ich habe Millionen tmp-Files unter c:\

Was nun?

Danke und viele Grüße

warum hast du die links nicht gespeichert? ok dann lösche die dateien wieder vom destop und mach mit folgendem weiter.
bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Entschuldigung, Markus, aber ich weiß nicht, was ich nach der Analyse genau machen muß. Wie kann ich die Links speichern? Hab nur den "Drucken"-Button gefunden.
Wenn Du mir bitte 'nen Tipp geben könntest, dann würde ich es heute oder morgen noch einmal versuchen...

Vielen Dank!
Marion

na die links einfach aus der adress leiste kopieren und dann hier einfügen

Hallo Markus,

hier sind die Links von VirusTotal.com.

hxxp://www.virustotal.com/file-scan/report.html?id=07c1ac69a6a823373f94be1146ce36e565a3b2a78d04fbcb809bdd42ecbcfd1a-1295897174

hxxp://www.virustotal.com/file-scan/report.html?id=8849d6bc34d7860068211173ccbf8a577fba6612293bd74a65711209c341123a-1295897406

Mache nun weiter mit Combofix.

Danke, Marion

Hallo, hier ist nun der Combofix-Logfile.

Vielen Dank schonmal im voraus, schöne Grüße, Marion

Combofix Logfile:

ComboFix 11-01-23.07 - xx 24.01.2011  20:49:21.2.1 - x86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.511.193 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\xx\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\jestertb.dll

.
(((((((((((((((((((((((   Dateien erstellt von 2010-12-24 bis 2011-01-24  ))))))))))))))))))))))))))))))
.

2011-01-22 08:22 . 2010-12-20 17:09	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2011-01-22 08:21 . 2010-12-20 17:08	20952	----a-w-	c:\windows\system32\drivers\mbam.sys
2011-01-22 08:20 . 2011-01-22 08:20	7734208	----a-w-	c:\temp\mbam-setup.exe
2011-01-08 17:43 . 2011-01-08 17:44	--------	d-----w-	c:\programme\iTunes
2011-01-08 17:43 . 2011-01-08 17:44	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\{429CAD59-35B1-4DBC-BB6D-1DB246563521}
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin7.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin6.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin5.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin4.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin3.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin2.dll
2011-01-08 17:40 . 2011-01-08 17:40	159744	----a-w-	c:\programme\Internet Explorer\PLUGINS\npqtplugin.dll
2011-01-08 17:38 . 2011-01-08 17:38	--------	d-----w-	c:\programme\Apple Software Update
2011-01-08 17:36 . 2011-01-08 17:36	--------	d-----w-	c:\programme\Bonjour

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-12-20 16:56 . 2010-11-10 18:08	135096	----a-w-	c:\windows\system32\drivers\avipbb.sys
2010-11-29 16:38 . 2010-11-29 16:38	94208	----a-w-	c:\windows\system32\QuickTimeVR.qtx
2010-11-29 16:38 . 2010-11-29 16:38	69632	----a-w-	c:\windows\system32\QuickTime.qts
2010-11-22 17:22 . 2010-11-10 18:08	61960	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2010-11-18 18:12 . 2003-02-14 09:28	86016	----a-w-	c:\windows\system32\isign32.dll
2010-11-09 14:51 . 2003-02-14 17:11	249856	----a-w-	c:\windows\system32\odbc32.dll
2010-11-06 00:27 . 2003-04-26 06:31	832512	----a-w-	c:\windows\system32\wininet.dll
2010-11-06 00:27 . 2008-12-02 17:42	78336	------w-	c:\windows\system32\ieencode.dll
2010-11-06 00:27 . 2003-02-14 17:10	1830912	----a-w-	c:\windows\system32\inetcpl.cpl
2010-11-06 00:27 . 2003-02-14 17:10	17408	----a-w-	c:\windows\system32\corpol.dll
2010-11-03 12:25 . 2008-12-02 17:42	389120	------w-	c:\windows\system32\html.iec
2010-11-02 15:17 . 2003-02-14 17:10	40960	----a-w-	c:\windows\system32\drivers\ndproxy.sys
2010-10-28 13:12 . 2003-02-14 17:10	290048	----a-w-	c:\windows\system32\atmfd.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NBJ"="c:\programme\Ahead\Nero BackItUp\NBJ.exe" [2004-09-07 1871872]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HTpatch"="c:\windows\htpatch.exe" [2002-10-30 28672]
"ATIPTA"="c:\programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2003-01-19 294912]
"VOBRegCheck"="c:\windows\System32\VOBREGCheck.exe" [2003-01-08 153088]
"Logitech Utility"="Logi_MwX.Exe" [2003-03-04 19968]
"zBrowser Launcher"="c:\programme\Logitech\iTouch\iTouch.exe" [2002-11-23 631362]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"Microsoft Works Update Detection"="c:\programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe" [2002-07-24 28672]
"Dit"="Dit.exe" [2002-08-28 73728]
"PCMService"="c:\programme\Medion Home CinemaXL\PowerCinema\PCMService.exe" [2003-02-17 57344]
"SoundMan"="SOUNDMAN.EXE" [2003-01-20 47104]
"OpwareSE2"="c:\programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe" [2003-05-08 49152]
"AppleSyncNotifier"="c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe" [2010-12-14 47904]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2007-04-11 56080]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2007-04-11 56080]
"ANIWZCS2Service"="c:\programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe" [2007-01-19 49152]
"D-Link D-Link Wireless N DWA-140"="c:\programme\D-Link\D-Link Wireless N DWA-140\AirNCFG.exe" [2008-04-15 1675264]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-08-02 281768]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2010-11-29 421888]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2010-12-13 421160]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
Acrobat Assistant.lnk - c:\programme\Adobe\Acrobat 6.0\Distillr\acrotray.exe [2003-5-15 217193]
Logitech SetPoint.lnk - c:\programme\Logitech\SetPoint\SetPoint.exe [2009-4-9 692224]
TabUserW.lnk - c:\programme\Wacom\TabUserW.exe [2003-4-19 77824]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=

R1 crlscsi;crlscsi;c:\windows\system32\drivers\crlscsi.sys [22.04.2003 19:59 6144]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [10.11.2010 19:08 135336]
R3 PhTVTune;MEDION TV-TUNER 7134 MK2/3;c:\windows\system32\drivers\PhTVTune.sys [11.02.2003 10:22 27520]
S0 wdgssa;wdgssa;c:\windows\system32\drivers\kjgt.sys --> c:\windows\system32\drivers\kjgt.sys [?]
S3 ATWPKT;ATWPKT;c:\windows\system32\drivers\atwpkt.sys [21.02.2003 13:49 19140]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
uDefault_Search_URL = about:blank
mSearch Bar = about:blank
uInternet Settings,ProxyOverride = *.local
uSearchAssistant = about:blank
uCustomizeSearch = about:blank
uSearchURL,(Default) = about:blank
IE: Free YouTube to Mp3 Converter - c:\dokumente und einstellungen\MG\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubetomp3.htm
IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MI0041~1\OFFICE11\EXCEL.EXE/3000
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-01-24 20:57
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  HTpatch = c:\windows\htpatch.exe?ows\CurrentVersion\Run???x???PY??defgx???x???x????Y??(H??x???x???HY???????????????????Y??x???x???`H??8H??????????????????????x???x???x???x????Y??x????H??\(?w?Y??`H??????XH??0H??????h????????F??XH??x???????htinst.INI??h??????????????? H? 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet003\Services\Iomega Activity Disk2]
"ImagePath"="\"\""
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-506652083-2015140974-464769904-1007\Software\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)

[HKEY_USERS\S-1-5-21-506652083-2015140974-464769904-1007\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:0c,80,c8,4a,1c,b6,80,7e,0e,32,2c,be,75,35,61,01,f0,d8,24,37,32,88,81,
   28,12,7b,9e,4c,4e,1c,d5,23,c2,7a,19,4c,df,5e,af,34,5b,f6,30,fc,f3,79,17,0f,\
"??"=hex:71,6b,de,52,c3,77,f4,a4,4e,90,b6,73,df,22,72,26

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINDOWS\\system32\\Macromed\\Flash\\FlashUtil10l_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h–€|ÿÿÿÿ¤•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\€–€|ÿÿÿÿÀ•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
Zeit der Fertigstellung: 2011-01-24  21:02:50
ComboFix-quarantined-files.txt  2011-01-24 20:02

Vor Suchlauf: 10 Verzeichnis(se), 42.418.143.232 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 42.422.661.120 Bytes frei

- - End Of File - - 31DDF2690D06B58874AC8ED39DA71E41
         

--- --- ---

avira
http://www.trojaner-board.de/54192-a...tellungen.html
avira 10 so instalieren bzw. dann konfigurieren. wenn du die konfiguration übernommen hast, update das programm.
klicke dann auf "lokaler schutz" "lokale laufwerke" eventuelle funde in quarantäne, log posten.
bitte auch unter verwaltung, planer, scan auftrag, darauf achten, das dieser über lokale laufwerke läuft! sonst werden die einstellungen nicht gültig.
den update auftrag auf 1x pro tag einstellen.
und "nachhohlen falls zeit überschritten" auswählen

Hallo Markus,

habe Avira 10 installiert und konfiguriert, wie beschrieben. Der anschließende Scan brachte keine Funde, hänge den Logfile trotzdem mal unten an.
Unter "c:\" befinden sich mittlerweile über 100.000 tmp-files, sind anscheinend bei den Online-Virusprüfungen entstanden. Wie werde ich die am Besten wieder los? Explorer-Aufruf dauert ewig...

Danke und schöne Grüße

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 24. Januar 2011 21:56

Es wird nach 2421766 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : XX
Computername : XXXX

Versionsinformationen:
BUILD.DAT : 10.0.0.609 31824 Bytes 13.12.2010 09:29:00
AVSCAN.EXE : 10.0.3.5 435368 Bytes 13.12.2010 07:39:20
AVSCAN.DLL : 10.0.3.0 56168 Bytes 13.12.2010 07:39:37
LUKE.DLL : 10.0.3.2 104296 Bytes 13.12.2010 07:39:26
LUKERES.DLL : 10.0.0.0 13672 Bytes 14.01.2010 10:59:47
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 08:05:36
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 20:42:11
VBASE002.VDF : 7.11.0.1 2048 Bytes 14.12.2010 20:42:12
VBASE003.VDF : 7.11.0.2 2048 Bytes 14.12.2010 20:42:12
VBASE004.VDF : 7.11.0.3 2048 Bytes 14.12.2010 20:42:12
VBASE005.VDF : 7.11.0.4 2048 Bytes 14.12.2010 20:42:12
VBASE006.VDF : 7.11.0.5 2048 Bytes 14.12.2010 20:42:12
VBASE007.VDF : 7.11.0.6 2048 Bytes 14.12.2010 20:42:12
VBASE008.VDF : 7.11.0.7 2048 Bytes 14.12.2010 20:42:12
VBASE009.VDF : 7.11.0.8 2048 Bytes 14.12.2010 20:42:12
VBASE010.VDF : 7.11.0.9 2048 Bytes 14.12.2010 20:42:12
VBASE011.VDF : 7.11.0.10 2048 Bytes 14.12.2010 20:42:12
VBASE012.VDF : 7.11.0.11 2048 Bytes 14.12.2010 20:42:12
VBASE013.VDF : 7.11.0.52 128000 Bytes 16.12.2010 20:42:12
VBASE014.VDF : 7.11.0.91 226816 Bytes 20.12.2010 20:42:12
VBASE015.VDF : 7.11.0.122 136192 Bytes 21.12.2010 20:42:13
VBASE016.VDF : 7.11.0.156 122880 Bytes 24.12.2010 20:42:13
VBASE017.VDF : 7.11.0.185 146944 Bytes 27.12.2010 20:42:13
VBASE018.VDF : 7.11.0.228 132608 Bytes 30.12.2010 20:42:13
VBASE019.VDF : 7.11.1.5 148480 Bytes 03.01.2011 20:42:14
VBASE020.VDF : 7.11.1.37 156672 Bytes 07.01.2011 20:42:14
VBASE021.VDF : 7.11.1.65 140800 Bytes 10.01.2011 20:42:14
VBASE022.VDF : 7.11.1.87 225280 Bytes 11.01.2011 20:42:15
VBASE023.VDF : 7.11.1.124 125440 Bytes 14.01.2011 20:42:15
VBASE024.VDF : 7.11.1.155 132096 Bytes 17.01.2011 20:42:15
VBASE025.VDF : 7.11.1.189 451072 Bytes 20.01.2011 20:42:16
VBASE026.VDF : 7.11.1.230 138752 Bytes 24.01.2011 20:42:16
VBASE027.VDF : 7.11.1.231 2048 Bytes 24.01.2011 20:42:16
VBASE028.VDF : 7.11.1.232 2048 Bytes 24.01.2011 20:42:16
VBASE029.VDF : 7.11.1.233 2048 Bytes 24.01.2011 20:42:16
VBASE030.VDF : 7.11.1.234 2048 Bytes 24.01.2011 20:42:16
VBASE031.VDF : 7.11.1.237 33280 Bytes 24.01.2011 20:42:16
Engineversion : 8.2.4.150
AEVDF.DLL : 8.1.2.1 106868 Bytes 13.12.2010 07:39:16
AESCRIPT.DLL : 8.1.3.52 1282426 Bytes 24.01.2011 20:42:21
AESCN.DLL : 8.1.7.2 127349 Bytes 13.12.2010 07:39:16
AESBX.DLL : 8.1.3.2 254324 Bytes 13.12.2010 07:39:16
AERDL.DLL : 8.1.9.2 635252 Bytes 13.12.2010 07:39:16
AEPACK.DLL : 8.2.4.8 512374 Bytes 24.01.2011 20:42:20
AEOFFICE.DLL : 8.1.1.15 205178 Bytes 24.01.2011 20:42:20
AEHEUR.DLL : 8.1.2.68 3178870 Bytes 24.01.2011 20:42:19
AEHELP.DLL : 8.1.16.0 246136 Bytes 13.12.2010 07:39:10
AEGEN.DLL : 8.1.5.2 397683 Bytes 24.01.2011 20:42:17
AEEMU.DLL : 8.1.3.0 393589 Bytes 13.12.2010 07:39:10
AECORE.DLL : 8.1.19.2 196983 Bytes 24.01.2011 20:42:17
AEBB.DLL : 8.1.1.0 53618 Bytes 13.12.2010 07:39:10
AVWINLL.DLL : 10.0.0.0 19304 Bytes 13.12.2010 07:39:20
AVPREF.DLL : 10.0.0.0 44904 Bytes 13.12.2010 07:39:19
AVREP.DLL : 10.0.0.8 62209 Bytes 17.06.2010 13:26:53
AVREG.DLL : 10.0.3.2 53096 Bytes 13.12.2010 07:39:19
AVSCPLR.DLL : 10.0.3.2 84328 Bytes 13.12.2010 07:39:20
AVARKT.DLL : 10.0.22.6 231784 Bytes 13.12.2010 07:39:17
AVEVTLOG.DLL : 10.0.0.8 203112 Bytes 13.12.2010 07:39:18
SQLITE3.DLL : 3.6.19.0 355688 Bytes 17.06.2010 13:27:02
AVSMTP.DLL : 10.0.0.17 63848 Bytes 13.12.2010 07:39:20
NETNT.DLL : 10.0.0.0 11624 Bytes 17.06.2010 13:27:01
RCIMAGE.DLL : 10.0.0.26 2550120 Bytes 28.01.2010 12:10:08
RCTEXT.DLL : 10.0.58.0 98152 Bytes 13.12.2010 07:39:38

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Lokale Laufwerke
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\alldrives.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:, E:, H:, I:, J:, K:, F:, G:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 10
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: hoch
Abweichende Gefahrenkategorien........: +PCK,+PFS,+SPR,

Beginn des Suchlaufs: Montag, 24. Januar 2011 21:56

Der Suchlauf nach versteckten Objekten wird begonnen.
c:\windows\explorer.exe
c:\windows\explorer.exe
[HINWEIS] Der Prozess ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'x10nets.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'KHALMNPR.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Tablet.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mdm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TabUserW.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppServices.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SetPoint.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'acrotray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AirNCFG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WZCSLDR2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'OpwareSE2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DitExp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOUNDMAN.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PCMService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dit.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WkUFind.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTouch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Logi_MwX.Exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'atiptaxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'htpatch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD1
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD2
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD3
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD4
[INFO] Es wurde kein Virus gefunden!
Masterbootsektor HD5
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'H:\'
[INFO] Im Laufwerk 'H:\' ist kein Datenträger eingelegt!
Bootsektor 'I:\'
[INFO] Im Laufwerk 'I:\' ist kein Datenträger eingelegt!
Bootsektor 'J:\'
[INFO] Im Laufwerk 'J:\' ist kein Datenträger eingelegt!
Bootsektor 'K:\'
[INFO] Im Laufwerk 'K:\' ist kein Datenträger eingelegt!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1158' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
Beginne mit der Suche in 'D:\'
Beginne mit der Suche in 'E:\'
Beginne mit der Suche in 'H:\'
Der zu durchsuchende Pfad H:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'I:\'
Der zu durchsuchende Pfad I:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'J:\'
Der zu durchsuchende Pfad J:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'K:\'
Der zu durchsuchende Pfad K:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.
Beginne mit der Suche in 'G:\'
Der zu durchsuchende Pfad G:\ konnte nicht geöffnet werden!
Systemfehler [21]: Das Gerät ist nicht bereit.


Ende des Suchlaufs: Montag, 24. Januar 2011 22:52
Benötigte Zeit: 55:12 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

9804 Verzeichnisse wurden überprüft
391447 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
391447 Dateien ohne Befall
6984 Archive wurden durchsucht
0 Warnungen
0 Hinweise
48122 Objekte wurden beim Rootkitscan durchsucht
1 Versteckte Objekte wurden gefunden

eigendlich sollten die nicht durch virustotal entstehen.
hattest du die dateien aus der avira quarantäne auf den desktop wiederhergestellt oder in das original verzeichniss.
wie siehts aus wenn du die temp dateien löschst, per hand.
du kannst ja über ansicht, sortieren nach, typ auswählen, dann solltest du alle tempdateien auf eimal sehen.

War nur eine Vermutung, weil es zeitlich mit den Prüfungen zusammenfiel.
Gestern abend habe ich schon ca. 80.000 von Hand gelöscht, anschl. nochmal geprüft, und es sind genau zu diesem Zeitpunkt wieder zigtausende neue enstanden. Alle 4 KB groß und versteckt.
Habe die Dateien aus der Quarantäne auf den Desktop wiederhergestellt, wie Du gesagt hast.
Sobald ich Zeit habe, werde ich mich wieder an's Löschen machen...

kannst du mir mal nen neues otl.txt posten bitte?