Trojaner-Board - 'PC blockiert durch Screen-Meldung!'

also: habe zuerst versucht, combofix.exe von der in der gebrauchsanleitung empfohlenen download-site ForoSpyware.com herunterzuladen. 1. bekam ich keine möglichkeit zu wählen, wo die exe gespeichert werden sollte (es sollte ausdrücklich der desktop sein...!). sie war 'verschwunden'. ich musste sie per suchfunktion finden. sie befand sich in C:\dokumente und einstellungen\user xyz\eigene dateien\downloads... eine verknüpfung wurde gespeichert auf C:\dokumente und einstellungen\user xyz\recent ...
o.k. dann startversuch auf dem kranken pc: meldung: "combofix ist abgelaufen. klicke 'ja' um C. mit reduzierter funktionalität auszuführen." habe nein geklickt, um zu versuchen, eine aktuelle exe downzuloaden...
also combo von bleepingcomputer.com runtergeladen (exe etwas größer...). hat gefunzt.
beim versuch, eine windowswiederherstellungskonsole einzurichten, hieß es: "du scheinst nicht mit dem internet verbunden zu sein (wohl weil im abgesicherten modus...). bitte stelle die verbindung her, bevor du auf o.k. klickst." da keine möglichkeit bestand, die verbindung herzustellen, habe ich auf "o.k." geklickt. > "ich fahre mit suche nach malware fort." wurde gemeldet... dann: "klicken Sie auf 'ja' um im abesicherten modus fortzufahren. klicken Sie auf 'nein', wenn Sie vevorzugen, den vorherigen Computerstatus durch die systemwiederherstellung wiederherzustellen." bin hier mal auf "ja" gegangen...
ergebnis: log.txt wurde angezeigt und konnte auf usb-speichermedium gespeichert werden. hier nun also isser (na denn prost mahlzeit! auf einen neustart habe ich erst mal verzichtet, um zu hören was zu sagst!):

Combofix Logfile:

Code:

ComboFix 11-11-29.04 - Hilmar 29.11.2011  20:38:40.1.2 - x86 MINIMAL

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2047.1771 [GMT 1:00]

ausgeführt von:: I:\ComboFix.exe

AV: Norton AntiVirus *Disabled/Outdated* {E10A9785-9598-4754-B552-92431C1C35F8}

.

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

c:\dokumente und einstellungen\Hilmar\Anwendungsdaten\dwlGina3.dll

c:\dokumente und einstellungen\Hilmar\Anwendungsdaten\u5hr46sirtijyrt5.exe

c:\windows\CSC\d6

c:\windows\IsUn0407.exe

c:\windows\system32\usmt\migwiz_a.exe

c:\windows\Temp\scsF.tmp

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-10-28 bis 2011-11-29  ))))))))))))))))))))))))))))))

.

.

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-11-05 22:04 . 2011-06-24 15:04        414368        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-10-13 21:02 . 2011-10-13 21:02        467592        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\cchpx86.sys

2011-10-10 14:22 . 2007-08-10 11:05        692736        ----a-w-        c:\windows\system32\inetcomm.dll

2011-09-28 07:06 . 2007-08-10 11:05        604160        ----a-w-        c:\windows\system32\crypt32.dll

2011-09-26 09:41 . 2008-07-29 18:59        614912        ----a-w-        c:\windows\system32\uiautomationcore.dll

2011-09-26 09:41 . 2007-08-10 11:05        23040        ----a-w-        c:\windows\system32\oleaccrc.dll

2011-09-26 09:41 . 2007-08-10 11:05        220160        ----a-w-        c:\windows\system32\oleacc.dll

2011-09-22 00:32 . 2011-10-13 21:02        89976        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\symfw.sys

2011-09-22 00:32 . 2011-10-13 21:02        48760        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\symndisv.sys

2011-09-22 00:32 . 2011-10-13 21:02        36472        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\symndis.sys

2011-09-22 00:32 . 2011-10-13 21:02        33144        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\symids.sys

2011-09-22 00:32 . 2011-10-13 21:02        217464        ----a-w-        c:\windows\system32\drivers\NAV\1008030.006\symtdi.sys

2011-09-06 14:10 . 2007-08-10 11:05        1859072        ----a-w-        c:\windows\system32\win32k.sys

2006-05-03 10:06        163328        --sha-r-        c:\windows\system32\flvDX.dll

2007-02-21 11:47        31232        --sha-r-        c:\windows\system32\msfDX.dll

2008-03-16 13:30        216064        --sha-r-        c:\windows\system32\nbDX.dll

2010-01-06 22:00        107520        --sha-r-        c:\windows\system32\TAKDSDecoder.dll

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]

"{E38FA08E-F56A-4169-ABF5-5C71E3C153A1}"= "c:\programme\Freeze.com\NetAssistant\NetAssistant.dll" [2011-06-22 1718472]

"{81017EA9-9AA8-4A6A-9734-7AF40E7D593F}"= "c:\programme\Yahoo!\Companion\Installs\cpn0\YTNavAssist.dll" [2011-06-04 214840]

.

[HKEY_CLASSES_ROOT\clsid\{e38fa08e-f56a-4169-abf5-5c71e3c153a1}]

[HKEY_CLASSES_ROOT\NetAssistant.NetAssistantBHO.1]

[HKEY_CLASSES_ROOT\TypeLib\{1E8FC16F-4C51-49C4-BC9B-4FC24BDDCEE7}]

[HKEY_CLASSES_ROOT\NetAssistant.NetAssistantBHO]

.

[HKEY_CLASSES_ROOT\clsid\{81017ea9-9aa8-4a6a-9734-7af40e7d593f}]

[HKEY_CLASSES_ROOT\YTNavAssist.YTNavAssistPlugin.1]

[HKEY_CLASSES_ROOT\TypeLib\{A31F34A1-EBD2-45A2-BF6D-231C1B987CC8}]

[HKEY_CLASSES_ROOT\YTNavAssist.YTNavAssistPlugin]

.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E38FA08E-F56A-4169-ABF5-5C71E3C153A1}]

2011-06-22 10:30        1718472        ----a-w-        c:\programme\Freeze.com\NetAssistant\NetAssistant.dll

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Power2GoExpress"="c:\programme\CyberLink\Power2Go\Power2GoExpress.exe" [2007-01-04 2471472]

"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2011-06-24 39408]

"InstallIQUpdater"="c:\programme\W3i\InstallIQUpdater\InstallIQUpdater.exe" [2011-08-09 1176064]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NokiaMServer"="c:\programme\Gemeinsame Dateien\Nokia\MPlatform\NokiaMServer" [X]

"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"RTHDCPL"="RTHDCPL.EXE" [2007-07-05 16380416]

"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-11-03 98304]

"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-11-03 77824]

"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-11-03 118784]

"Gainward"="c:\windows\TBPanel.exe" [2007-03-23 2173744]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-10-07 13574144]

"nwiz"="nwiz.exe" [2008-10-07 1630208]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-10-07 86016]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2008-11-26 155648]

"UVS10 Preload"="c:\programme\Ulead Systems\Ulead VideoStudio SE DVD\uvPL.exe" [2006-03-06 36864]

"RemoteControl"="c:\programme\CyberLink\PowerDVD\PDVDServ.exe" [2006-11-23 56928]

"LanguageShortcut"="c:\programme\CyberLink\PowerDVD\Language\Language.exe" [2006-12-05 54832]

"NokiaMusic FastStart"="c:\programme\Nokia\Ovi Player\NokiaOviPlayer.exe" [2010-03-04 2192672]

"Acrobat Assistant 7.0"="c:\programme\Adobe\Adobe Acrobat 7.0\Distillr\Acrotray.exe" [2004-12-14 483328]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

"ALUAlert"="c:\programme\Symantec\LiveUpdate\ALUNotify.exe" [2002-08-14 54888]

.

c:\dokumente und einstellungen\Hilmar\Startmenü\Programme\Autostart\

Internet Explorer Browser starten (3).lnk - c:\programme\Internet Explorer\iexplore.exe [2007-8-10 638816]

Windows-Explorer (2).lnk - c:\windows\explorer.exe [2007-8-10 1036800]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

Adobe Acrobat Speed Launcher.lnk - c:\windows\Installer\{AC76BA86-1033-0000-7760-000000000002}\SC_Acrobat.exe [2011-7-20 25214]

Adobe Gamma.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2005-3-16 113664]

McAfee Security Scan Plus.lnk - c:\programme\McAfee Security Scan\2.0.181\SSScheduler.exe [2010-1-15 255536]

Microsoft Office.lnk - c:\programme\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\SymEFA.sys]

@="FSFilter Activity Monitor"

.

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk

backup=c:\windows\pss\Adobe Reader - Schnellstart.lnkCommon Startup

.

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader Synchronizer.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader Synchronizer.lnk

backup=c:\windows\pss\Adobe Reader Synchronizer.lnkCommon Startup

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IAAnotif]

2005-10-12 10:30        139264        ----a-w-        c:\programme\Intel\Intel Matrix Storage Manager\IAAnotif.exe

.

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]

"BGLiveSvc"=2 (0x2)

.

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=

"c:\\Dokumente und Einstellungen\\Hilmar\\Anwendungsdaten\\Macromedia\\Flash Player\\www.macromedia.com\\bin\\octoshape\\octoshape.exe"=

"c:\\Programme\\FinalMediaPlayer\\FMPCheckForUpdates.exe"=

.

R0 SymEFA;Symantec Extended File Attributes;c:\windows\system32\drivers\NAV\1008030.006\SymEFA.sys [13.10.2011 22:02 310320]

S1 BHDrvx86;Symantec Heuristics Driver;c:\windows\system32\drivers\NAV\1008030.006\BHDrvx86.sys [13.10.2011 22:02 259632]

S1 ccHP;Symantec Hash Provider;c:\windows\system32\drivers\NAV\1008030.006\cchpx86.sys [13.10.2011 22:02 467592]

S1 IDSxpx86;IDSxpx86;c:\dokumente und einstellungen\All Users\Anwendungsdaten\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\Norton\Definitions\IPSDefs\20091111.001\IDSXpx86.sys [15.11.2009 22:08 329592]

S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [24.06.2011 15:35 136176]

S2 Norton AntiVirus;Norton AntiVirus;c:\programme\Norton AntiVirus\Engine\16.8.3.6\ccSvcHst.exe [13.10.2011 22:02 117648]

S3 EraserUtilRebootDrv;EraserUtilRebootDrv;c:\programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys [28.08.2009 15:54 102448]

S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [24.06.2011 15:35 136176]

S3 McComponentHostService;McAfee Security Scan Component Host Service;c:\programme\McAfee Security Scan\2.0.181\McCHSvc.exe [15.01.2010 13:49 227232]

S3 Mspwlau;Mspwlau; [x]

.

--- Andere Dienste/Treiber im Speicher ---

.

*NewlyCreated* - BDFILESPY

*Deregistered* - BdFileSpy

.

Inhalt des "geplante Tasks" Ordners

.

2011-11-24 c:\windows\Tasks\Final Media Player Update Checker.job

- c:\programme\FinalMediaPlayer\FMPCheckForUpdates.exe [2011-09-02 13:24]

.

2011-11-24 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\programme\Google\Update\GoogleUpdate.exe [2011-06-24 14:35]

.

2011-11-21 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\programme\Google\Update\GoogleUpdate.exe [2011-06-24 14:35]

.

2011-11-24 c:\windows\Tasks\Symantec NetDetect.job

- c:\programme\Symantec\LiveUpdate\NDETECT.EXE [2008-11-18 15:03]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uInternet Settings,ProxyOverride = *.local

IE: Convert link target to Adobe PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

IE: Convert link target to existing PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

IE: Convert selected links to Adobe PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

IE: Convert selected links to existing PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

IE: Convert selection to Adobe PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

IE: Convert selection to existing PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

IE: Convert to Adobe PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

IE: Convert to existing PDF - c:\programme\Adobe\Adobe Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

IE: Google Sidewiki... - c:\programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_89D8574934B26AC4.dll/cmsidewiki.html

Trusted Zone: adobe.com\www

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKCU-Run-XStzV0FikIADbMr - c:\dokumente und einstellungen\Hilmar\Anwendungsdaten\u5hr46sirtijyrt5.exe

HKLM-Run-XStzV0FikIADbMr - c:\dokumente und einstellungen\Hilmar\Anwendungsdaten\u5hr46sirtijyrt5.exe

MSConfigStartUp-BullGuard - c:\programme\BullGuard Software\BullGuard\bullguard.exe

AddRemove-Microsoft Interactive Training - c:\windows\IsUn0407.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover

Rootkit scan 2011-11-29 20:42

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

[HKEY_LOCAL_MACHINE\System\ControlSet002\Services\Norton AntiVirus]

"ImagePath"="\"c:\programme\Norton AntiVirus\Engine\16.8.3.6\ccSvcHst.exe\" /s \"Norton AntiVirus\" /m \"c:\programme\Norton AntiVirus\Engine\16.8.3.6\diMaster.dll\" /prefetch:1"

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version]

"Version"=hex:73,9e,0d,3e,4f,e2,75,bc,c1,be,51,b6,88,7a,d8,55,c1,a4,8f,c7,53,

   40,e9,6e,68,8d,76,00,5a,63,5e,c4,7d,e7,79,49,4d,91,76,20,8b,dc,3f,03,06,71,\

.

[HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version]

"Version"=hex:73,9e,0d,3e,4f,e2,75,bc,c1,be,51,b6,88,7a,d8,55,c1,a4,8f,c7,53,

   40,e9,6e,68,8d,76,00,5a,63,5e,c4,7d,e7,79,49,4d,91,76,20,8b,dc,3f,03,06,71,\

.

Zeit der Fertigstellung: 2011-11-29  20:43:44

ComboFix-quarantined-files.txt  2011-11-29 19:43

.

Vor Suchlauf: 7 Verzeichnis(se), 91.748.724.736 Bytes frei

Nach Suchlauf: 10 Verzeichnis(se), 100.224.155.648 Bytes frei

.

- - End Of File - - 7C41F568BD686FAA3C3ACC86F16CF720

--- --- ---