Trojaner-Board - ich brauch hilfe

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - ich brauch hilfe (https://www.trojaner-board.de/12883-brauch-hilfe.html)

ich brauch hilfe

hallo liebe helfer,

ich brauche einmal bitte euren rat.
habe ein highjackthis scan gemacht und weiß nicht welche ich fixen soll und welche nicht.
wäre nett wenn sich einer mal mein problem annehmen könnte danke:

Logfile of HijackThis v1.99.0
Scan saved at 20:05:49 , on 1.27.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\DESKTOP\NEUER ORDNER\HIJACKTHIS.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kostenlos.de/resourcen/kl...hergebnis.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Aggro Berlin
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: NavExcel Toolbar - {5AA06644-BC46-4220-A460-47A6EB47C96D} - C:\PROGRAMME\NAVEXCEL SEARCH TOOLBAR\NAVEXCELBAR.DLL (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: Cooxie - {DC99E960-6594-45e3-9D5D-141D825B8096} - C:\PROGRAMME\COOXIE TOOLBAR\PRVCBAND.DLL
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmcache.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsimilar.html
O8 - Extra context menu item: Verweisseiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmbacklinks.html
O8 - Extra context menu item: Alte Version auf &archives.org ansehen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuarch.htm
O8 - Extra context menu item: In &neuem Fenster öffnen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuofinw.htm
O8 - Extra context menu item: Mit Mr&Check nachschlagen... - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tumrcheck.htm
O8 - Extra context menu item: Seite mit Google übersetzen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\gtranslate.htm
O8 - Extra context menu item: Zoom &In* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomin.htm
O8 - Extra context menu item: Zoom &Out* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomout.htm
O8 - Extra context menu item: Übersetzen mit &dict.leo.org - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tutrans.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.johannrain-softwareentwic...itdefender.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = mydomain.com
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 216.127.92.38

dieser log ist unvollständig.
bitte poste das ganze log.

das war aber irgendwie alles was in der logfile stand...

http://img161.exs.cx/img161/784/image406sb.gif

Dieses Zeugs habe ich in den Downloadgruppen..is da vielleicht was was da nicht hingehört???

kann mir keiner helfen??
ich krieg nen rappel, nach jedem löschen mit adaware kommen die schädlinge immer wieder neu sbald ich mich wieder kurz im net bewegt habe...
HILFE
ps.: die zwei dinger da mit den zahlen hab ich mal gelöscht.(die eine nummer habe ich bei google eingegebne und sofort schlug mein virenwarner alarm)
Irgendwas mit dem macroflashplayer muß ich elliminiert haben..jetzt fragt man mich vorher ob swf dateien angezeigt werden sollen *grübel*
aber mein problem ist jetzt erst mal das sich einer mal meine hijackthis log datei überprüft und sagt was ich da fixen muß...
oben die log datei ist alles was hijackthis ausspuckt...

@Horst-Freitag
wechsle in den abgesicherten modus und fixe mit HJT
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kostenlos.de/resourcen/k...chergebnis.html
O3 - Toolbar: NavExcel Toolbar - {5AA06644-BC46-4220-A460-47A6EB47C96D} - C:\PROGRAMME\NAVEXCEL SEARCH TOOLBAR\NAVEXCELBAR.DLL (file missing)
O3 - Toolbar: Cooxie - {DC99E960-6594-45e3-9D5D-141D825B8096} - C:\PROGRAMME\COOXIE TOOLBAR\PRVCBAND.DLL
lösche danach manuell
C:\PROGRAMME\COOXIE TOOLBAR\PRVCBAND.DLL
C:\PROGRAMME\NAVEXCEL SEARCH TOOLBAR\NAVEXCELBAR.DLL
neu booten und ein neues HJT logfile hier posten
chaosman

erstmal vielen dank,
frage aber noch:
bei RO ist das aber schon die url die ich da selber als Startseite gesetzt habe, trotzdem fixen??
Dann habe ich mir vor kurzem eine "cooxie" toolbar besorgt (also auch absicht) die denoch alle fixen??

@Horst-Freitag
wenn das deine startseite ist, dann ist es ok.

Manche toolbars haben oder holen sich spyware auf den rechner, bei diese cooxie toolbar, ist es noch nicht eindeutig.
Ich empfehle dich im Zweifelsfall diesen toolbar zu deleten.
Ich weiss "im Zweifel gegen den Angeklagten". Jedoch, sind toolbars oft eingangstüre im system.
Wenn du nicht verzichten möchtest, habe ich kein probklem damit.
Es ist dein system.

LG
chaosman

hmm...gerade um schädlinge mit aufzuspüren is die gar nich malverkehrt gewesen...
wenn die natürlich schuld sein sollte...*argh*...klar muß sie dran glauben...

so erstmal meine log dat ausgeführt habe ich erst mal nur dat mit dem navexel dingens, was mich nur gewundert hat war das ich das ding schon seit November mit mir rumgeschleppt habe...ohne zu wissen was das überhaupt ist *grübel*
(und sonst ist da alles i.O.bei mir ?????)
Danke aber schon mal, hier meine neue:

Logfile of HijackThis v1.99.0
Scan saved at 17:01:16 , on 1.28.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\DESKTOP\NEUER ORDNER\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kostenlos.de/resourcen/kl...hergebnis.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Aggro Berlin
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: Cooxie - {DC99E960-6594-45e3-9D5D-141D825B8096} - C:\PROGRAMME\COOXIE TOOLBAR\PRVCBAND.DLL
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmcache.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsimilar.html
O8 - Extra context menu item: Verweisseiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmbacklinks.html
O8 - Extra context menu item: Alte Version auf &archives.org ansehen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuarch.htm
O8 - Extra context menu item: In &neuem Fenster öffnen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuofinw.htm
O8 - Extra context menu item: Mit Mr&Check nachschlagen... - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tumrcheck.htm
O8 - Extra context menu item: Seite mit Google übersetzen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\gtranslate.htm
O8 - Extra context menu item: Zoom &In* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomin.htm
O8 - Extra context menu item: Zoom &Out* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomout.htm
O8 - Extra context menu item: Übersetzen mit &dict.leo.org - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tutrans.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.johannrain-softwareentwic...itdefender.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = mydomain.com
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 216.127.92.38

@Horst-Freitag
diese 2 einträge müßte dein provider sein
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = mydomain.com
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 216.127.92.38

ansonsten schaut es gut aus.
wie wäre es mit ein neues escan logfile zum sichergehen?

chaosman

Zitat:

Zitat von Chris14

dieser log ist unvollständig.
bitte poste das ganze log.

Nur zur kurzen Info:
Da es sich hier um ein WinME handelt, kann es durchaus ein komplettes Log sein. O18 und O19 müssen nicht zwingend vorkommen und Einträge ab O20 findet man nur auf NT-basierenden Systemen...

Am neuen Log kann ich -außer dem, was chaosman zu den Toolbars sagte- nichts besorgniserregendes entdecken.

nargh^^
hätte ich doch sehen müssen^^ (hab ja selber sogar ein dualbootsystem mit wfw311, win95,98 und xp, da hätt ich das ja wohl erkennen müssen)

aber was mir überhaupt nicht gefällt ist:
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
also wie bereits lutz gesagt hat; führe zur sicherheit einen escan aus und poste hier alle infected von escan gefundenen dateien

oh man, ich verzweifel hier noch!!!

Also zum genauen Problem nochmal:
Ich bekomme nach kurzer Zeit im net immer kritische cookies von adaware angezeigt Immer Data Miner, ich glaube irgendwie aber immer andere.Der letzte hieß standard@fastclick.net
Wäre im großen und ganzen vielleicht ja auch nicht soo störend, aber ich meine das es mit meinem Problem höchstwahrscheinlich zusammen hängt.
Mache ich ein Windows update habe ich folgenen Fehler:
http://support.microsoft.com/default...d=kb;DE;283069
die Tipps dort habe ich alle durch probiert...
alles mit wininit gelöscht (außer die ex) aber auch ohne erfolg. Dabei muß ich aber sagen das ich die Datei wininit.ini nicht dabei gehabt habe und habe.
die wininit.err (im Editor geöffnet) zeigt auch komisches...
kommt auch immer wieder, die err datei, schon paar mal versuch zu löschen.

diese Fehlermeldung 1% ..2% kann nicht aktualisiert werden kommt auch nicht bei allen änderungen die Windows vornimmt.
einige uppdates hat mein ME prima installiert und aktualisiert. Diese Meldung kommt ausschließlich bei dem Versuch den IE Explorer ein update überzuziehen.

Hier aber gerne noch mal meine neue log datei:

Logfile of HijackThis v1.99.0
Scan saved at 18:00:14 , on 1.28.2005
Platform: Windows ME (Win9x 4.90.3000)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\SYSTEM\KERNEL32.DLL
C:\WINDOWS\SYSTEM\MSGSRV32.EXE
C:\WINDOWS\SYSTEM\mmtask.tsk
C:\WINDOWS\SYSTEM\MPREXE.EXE
C:\WINDOWS\EXPLORER.EXE
C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE
C:\WINDOWS\LOADQM.EXE
C:\WINDOWS\SYSTEM\SYSTRAY.EXE
C:\WINDOWS\SYSTEM\WMIEXE.EXE
C:\WINDOWS\SYSTEM\STIMON.EXE
C:\WINDOWS\SYSTEM\RNAAPP.EXE
C:\WINDOWS\SYSTEM\TAPISRV.EXE
C:\WINDOWS\SYSTEM\DDHELP.EXE
C:\WINDOWS\SYSTEM\PSTORES.EXE
C:\WINDOWS\DESKTOP\NEUER ORDNER\HIJACKTHIS.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.kostenlos.de/resourcen/kl...hergebnis.html
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Aggro Berlin
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = 127.0.0.1
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHELPER.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\SYSTEM\MSDXM.OCX
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: Cooxie - {DC99E960-6594-45e3-9D5D-141D825B8096} - C:\PROGRAMME\COOXIE TOOLBAR\PRVCBAND.DLL
O4 - HKLM\..\Run: [AVGCtrl] C:\PROGRAMME\AVPERSONAL\AVGCTRL.EXE /min
O4 - HKLM\..\Run: [LoadQM] loadqm.exe
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Google Search - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsearch.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmcache.html
O8 - Extra context menu item: Ähnliche Seiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmsimilar.html
O8 - Extra context menu item: Verweisseiten - res://C:\PROGRAMME\GOOGLE\GOOGLETOOLBAR3.DLL/cmbacklinks.html
O8 - Extra context menu item: Alte Version auf &archives.org ansehen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuarch.htm
O8 - Extra context menu item: In &neuem Fenster öffnen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuofinw.htm
O8 - Extra context menu item: Mit Mr&Check nachschlagen... - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tumrcheck.htm
O8 - Extra context menu item: Seite mit Google übersetzen - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\gtranslate.htm
O8 - Extra context menu item: Zoom &In* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomin.htm
O8 - Extra context menu item: Zoom &Out* - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tuzoomout.htm
O8 - Extra context menu item: Übersetzen mit &dict.leo.org - C:\WINDOWS\Anwendungsdaten\TuneUp Software\TuneUp Utilities\Web\tutrans.htm
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\SYSTEM\Shdocvw.dll
O9 - Extra button: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra 'Tools' menuitem: Yahoo! Messenger - {E5D12C4E-7B4F-11D3-B5C9-0050045C3C96} - C:\PROGRAMME\YAHOO!\MESSENGER\YPAGER.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: MSN Messenger Service - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\PROGRA~1\MESSEN~1\MSMSGS.EXE
O16 - DPF: {9A9307A0-7DA4-4DAF-B042-5009F29E09E1} (ActiveScan Installer Class) - http://www.pandasoftware.com/activescan/as5/asinst.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.johannrain-softwareentwic...itdefender.cab
O17 - HKLM\System\CCS\Services\VxD\MSTCP: Domain = mydomain.com
O17 - HKLM\System\CCS\Services\VxD\MSTCP: NameServer = 216.127.92.38

ohjeh..
hier mal kurz ein Auszug vom escan:
ich hoffe das ist das was ihr sehen wolltet...

Fri Jan 28 18:38:45 2005 => ***** Checking for specific ITW Viruses *****
Fri Jan 28 18:38:45 2005 => Checking for Welchia Virus...
Fri Jan 28 18:38:45 2005 => Checking for LovGate Virus...
Fri Jan 28 18:38:45 2005 => Checking for CodeRed Virus...
Fri Jan 28 18:38:45 2005 => Checking for OpaServ Virus...
Fri Jan 28 18:38:45 2005 => Checking for Sobig.e Virus...
Fri Jan 28 18:38:45 2005 => Checking for Winupie Virus...
Fri Jan 28 18:38:45 2005 => Checking for Swen Virus...
Fri Jan 28 18:38:45 2005 => Checking for JS.Fortnight Virus...
Fri Jan 28 18:38:45 2005 => Checking for Novarg Virus...
Fri Jan 28 18:38:45 2005 => Checking for Pagabot Virus...
Fri Jan 28 18:38:45 2005 => Checking for Parite.b Virus...
Fri Jan 28 18:38:45 2005 => Checking for Parite.a Virus...

Fri Jan 28 18:38:45 2005 => ***** Scanning complete. *****

Fri Jan 28 18:38:45 2005 => Total Files Scanned: 3610
Fri Jan 28 18:38:45 2005 => Total Virus(es) Found: 4
Fri Jan 28 18:38:45 2005 => Total Disinfected Files: 0
Fri Jan 28 18:38:45 2005 => Total Files Renamed: 0
Fri Jan 28 18:38:45 2005 => Total Deleted Files: 0
Fri Jan 28 18:38:45 2005 => Total Errors: 1
Fri Jan 28 18:38:45 2005 => Time Elapsed: 00:06:55
Fri Jan 28 18:38:45 2005 => Virus Database Date: 2005/01/28
Fri Jan 28 18:38:45 2005 => Virus Database Count: 117012

Fri Jan 28 18:38:45 2005 => Scan Completed.

So nun noch mal, ich habe diesen eScan gemacht und das was er mir unter Virus Logfile sagt sind drei ältere Sachen von meinem alten OrvellMonitor (war n Keylogger) hatte ich für eigene Kontrolle mir selber installiert (ist aber auch verschollen gegangen das Programm)müssen noch Reste sein.
Und dann steht da einmal was von Virus in einer Sys Datei:
gksui16.exe
(ein bissel gegooglet, viele sagen das nach dem Löschen dieser Datei die immer wieder gekommen ist...
Neben dieser ist auch gleich noch so eine gksui Datei...nur in diesem Falle mit der Nummer18 anstatt 16.
eScan hat den aber nicht deklariert.

wie soll ich nun erst mal weiter verfahren?

Das mit dem kompletten escan hier einfügen will nich so klappen (denke wohl doch zu lang)