Trojaner-Board - TR/Dropper.Gen gefunden

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - TR/Dropper.Gen gefunden - Wie löschen ?!?!? (https://www.trojaner-board.de/72415-tr-dropper-gen-gefunden-loeschen.html)

Sauber bist du lange noch nicht.
LOPSD deinstallieren.

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
(Wie man einen neuen Ordner anlegen kann, kannst du diesem Windows Tutorial entnehmen.
Kostenloses, sehr gutes Zip Programm: Free IZArc

NEW CureIt!
(FREE Dr.Web CureIt!)

Lies nun zuerst unsere deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Online-Viren-Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

RegNull::

[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{A9B235CC-DC4B-EA50-7075-BFE3DA999313}*]
 

RegLockDel::

[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]
 

Registry::

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ctfmon.exe"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Adobe Reader Speed Launcher"=-

[-HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

[-HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"55555:TCP"=-

"55555:UDP"=-

[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{c242bdb8-1e37-11db-9206-00508d5574ca}]
 

Folder::

C:\rsit

C:\escan

c:\programme\Gemeinsame Dateien\MicroWorld

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
 

File::

C:\23990098.$$$

c:\windows\Lic.xxx

c:\windows\system32\eEmpty.exe

c:\windows\system32\T.COM

c:\windows\R.COM

c:\windows\system32\prnet.tmp

c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT

c:\windows\system32\perfc007.dat

c:\windows\system32\perfh007.dat

C:\InstallHelper.log

c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat
 

DirLook::

c:\programme\Symantec

c:\programme\Wiizle_Diizle_Shiizle_v1.3

D:\-=]GAMEZ

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Hi Andreas, hier die neue Log-Datei von ComboFix:

Bin ich jetzt durch, oder ist da noch etwas???

Code:

ComboFix 09-04-25.A3 - CoolTom 26.04.2009 17:43.2 - NTFSx86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1023.573 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\CoolTom\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\CoolTom\Desktop\cfscript.txt

AV: AntiVir Desktop *On-access scanning disabled* (Updated)

AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Outdated)

AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Updated)

 * Neuer Wiederherstellungspunkt wurde erstellt
 

FILE ::

C:\23990098.$$$

c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT

C:\InstallHelper.log

c:\windows\Lic.xxx

c:\windows\R.COM

c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat

c:\windows\system32\eEmpty.exe

c:\windows\system32\perfc007.dat

c:\windows\system32\perfh007.dat

c:\windows\system32\prnet.tmp

c:\windows\system32\T.COM

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\23990098.$$$

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Logs\Update downloads.log

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\ProcCache.sbc

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\Netsys.zip

c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT

C:\escan

c:\escan\bases_x\eScan_neu.txt

c:\escan\bases_x\MWAV.LOG

C:\InstallHelper.log

c:\programme\Gemeinsame Dateien\MicroWorld

C:\rsit

c:\rsit\info.txt

c:\rsit\log.txt

c:\windows\Lic.xxx

c:\windows\R.COM

c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008081920080820\index.dat

c:\windows\system32\eEmpty.exe

c:\windows\system32\perfc007.dat

c:\windows\system32\perfh007.dat

c:\windows\system32\T.COM
 

.

(((((((((((((((((((((((   Dateien erstellt von 2009-05-26 bis 2009-4-26  ))))))))))))))))))))))))))))))

.
 

2009-04-26 11:28 . 2009-04-26 11:28        --------        d-----w        c:\dokumente und einstellungen\CoolTom\DoctorWeb

2009-04-26 10:40 . 2009-04-26 10:42        --------        d-----w        C:\Lop SD

2009-04-26 08:26 . 2009-04-26 08:28        --------        d-----w        c:\programme\ICQ6.5

2009-04-25 18:13 . 2009-04-25 18:13        --------        d-----w        c:\windows\system32\NtmsData

2009-04-25 11:01 . 2009-04-25 11:01        548864        ----a-w        c:\windows\system32\msvcp80.dll

2009-04-25 11:01 . 2005-09-22 21:22        522        ----a-w        c:\windows\system32\Microsoft.VC80.CRT.manifest

2009-04-25 11:01 . 2009-04-25 11:01        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MicroWorld

2009-04-24 18:32 . 2007-08-14 18:57        5632        ----a-w        c:\windows\system32\udcpm.dll

2009-04-24 18:32 . 2009-04-24 18:49        --------        d-----r        C:\UDC Output Files

2009-04-24 18:32 . 2009-04-24 18:33        --------        d-----w        c:\programme\Universal Document Converter

2009-04-20 17:20 . 2009-04-20 17:20        --------        d-----w        c:\programme\WBFS

2009-04-20 16:29 . 2009-01-09 19:19        1089883        -c----w        c:\windows\system32\dllcache\ntprint.cat

2009-04-19 14:22 . 2009-04-20 17:43        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\WBFSManager

2009-04-19 14:15 . 2009-04-19 14:18        --------        d-----w        c:\windows\SxsCaPendDel

2009-04-16 14:40 . 2009-02-06 10:10        227840        -c----w        c:\windows\system32\dllcache\wmiprvse.exe

2009-04-16 14:40 . 2009-03-06 14:19        286720        -c----w        c:\windows\system32\dllcache\pdh.dll

2009-04-16 14:40 . 2009-02-09 11:21        111104        -c----w        c:\windows\system32\dllcache\services.exe

2009-04-16 14:40 . 2009-02-09 10:51        401408        -c----w        c:\windows\system32\dllcache\rpcss.dll

2009-04-16 14:40 . 2009-02-09 10:51        678400        -c----w        c:\windows\system32\dllcache\advapi32.dll

2009-04-16 14:40 . 2009-02-09 10:51        473600        -c----w        c:\windows\system32\dllcache\fastprox.dll

2009-04-16 14:40 . 2009-02-09 10:51        736768        -c----w        c:\windows\system32\dllcache\lsasrv.dll

2009-04-16 14:40 . 2009-02-09 10:51        740352        -c----w        c:\windows\system32\dllcache\ntdll.dll

2009-04-16 14:40 . 2009-02-09 10:51        453120        -c----w        c:\windows\system32\dllcache\wmiprvsd.dll

2009-04-16 14:40 . 2009-03-27 06:49        1203922        -c----w        c:\windows\system32\dllcache\sysmain.sdb

2009-04-16 14:40 . 2008-04-21 21:13        217600        -c----w        c:\windows\system32\dllcache\wordpad.exe

2009-04-13 15:13 . 2009-04-13 15:13        --------        d-----w        c:\dokumente und einstellungen\All Users\eBay

2009-04-08 15:52 . 2009-04-08 15:52        1874        ------r        c:\windows\RouterControl_Uninstall.in

2009-04-08 15:52 . 2008-11-18 08:50        330344        ----a-w        c:\windows\RCoUn0.exe

2009-03-31 15:17 . 2009-03-31 15:17        --------        d-----w        c:\programme\Symantec
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-26 10:42 . 2009-04-26 10:40        14072        ----a-w        C:\lopR.txt

2009-04-26 10:16 . 2008-01-04 10:50        --------        d-----w        c:\programme\FreeCommander

2009-04-26 08:42 . 2007-04-22 09:11        --------        d-----w        c:\programme\CCleaner

2009-04-26 08:28 . 2005-10-28 13:39        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\ICQ

2009-04-26 08:27 . 2005-10-28 14:37        --------        d--h--w        c:\programme\InstallShield Installation Information

2009-04-26 08:24 . 2005-12-25 14:18        --------        d-----w        c:\programme\Gemeinsame Dateien\Adobe

2009-04-26 07:40 . 2006-10-14 14:44        --------        d-----w        c:\programme\Java

2009-04-26 07:38 . 2005-10-28 13:39        --------        d-----w        c:\programme\ICQ

2009-04-25 14:18 . 2006-09-02 15:19        --------        d-----w        c:\programme\Avira

2009-04-24 16:21 . 2007-06-09 19:56        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Rominator Data

2009-04-22 21:12 . 2008-10-03 17:05        246472        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat

2009-04-20 17:53 . 2008-03-17 13:50        --------        d-----w        c:\programme\Wiizle_Diizle_Shiizle_v1.3

2009-04-20 17:22 . 2007-06-08 13:49        --------        d-----w        c:\programme\R4 Commander V2.0

2009-04-01 15:18 . 2008-03-15 21:46        --------        d-----w        c:\programme\jdownloader

2009-03-24 17:04 . 2006-10-20 16:18        --------        d-----w        c:\programme\Gemeinsame Dateien\MAGIX Shared

2009-03-24 16:47 . 2006-10-20 16:34        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\MAGIX

2009-03-24 16:46 . 2006-10-20 16:23        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX

2009-03-24 16:25 . 2005-10-28 14:06        --------        d-----w        c:\programme\Winamp

2009-03-20 16:55 . 2007-07-29 18:29        --------        d-----w        c:\programme\MixMeister Fusion + Video

2009-03-19 16:04 . 2009-03-19 16:04        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2009-03-09 03:19 . 2008-12-17 17:49        410984        ----a-w        c:\windows\system32\deploytk.dll

2009-03-06 14:19 . 2004-08-04 12:00        286720        ----a-w        c:\windows\system32\pdh.dll

2009-03-03 00:03 . 2004-08-04 12:00        826368        ----a-w        c:\windows\system32\wininet.dll

2009-02-20 16:49 . 2004-08-04 12:00        78336        ----a-w        c:\windows\system32\ieencode.dll

2009-02-10 17:03 . 2004-08-04 00:50        2068352        ----a-w        c:\windows\system32\ntkrnlpa.exe

2009-02-09 14:04 . 2004-08-04 12:00        1846912        ----a-w        c:\windows\system32\win32k.sys

2009-02-09 11:21 . 2004-08-04 12:00        2191360        ----a-w        c:\windows\system32\ntoskrnl.exe

2009-02-09 11:21 . 2004-08-04 12:00        111104        ----a-w        c:\windows\system32\services.exe

2009-02-09 10:51 . 2004-08-04 12:00        736768        ----a-w        c:\windows\system32\lsasrv.dll

2009-02-09 10:51 . 2004-08-04 12:00        401408        ----a-w        c:\windows\system32\rpcss.dll

2009-02-09 10:51 . 2004-08-04 12:00        678400        ----a-w        c:\windows\system32\advapi32.dll

2009-02-09 10:51 . 2004-08-04 12:00        740352        ----a-w        c:\windows\system32\ntdll.dll

2009-02-06 10:39 . 2004-08-04 12:00        35328        ----a-w        c:\windows\system32\sc.exe

2009-02-03 19:57 . 2004-08-04 12:00        56832        ----a-w        c:\windows\system32\secur32.dll

.
 

((((((((((((((((((((((((((((((((((((((((((((   Look   )))))))))))))))))))))))))))))))))))))))))))))))))))))))))

.
 

---- Directory of c:\programme\Symantec ----
 

2009-03-31 15:17 . 2005-07-24 00:03        13682        ------w        c:\programme\Symantec\Norton PartitionMagic 8.0\License.txt

2009-03-31 15:17 . 2009-03-31 15:16        615        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQPB.RTC

2004-05-05 19:48 . 2004-05-05 19:48        1264610        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagicBt.exe

2004-05-05 19:48 . 2004-05-05 19:48        4055040        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagic9x.exe

2004-05-05 19:39 . 2004-05-05 19:39        4129792        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagicNT.exe

2004-05-05 19:23 . 2004-05-05 19:23        61440        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMagic.exe

2004-05-05 16:38 . 2004-05-05 16:38        504320        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PTEDIT32.EXE

2004-04-30 12:59 . 2004-04-30 12:59        7968        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\pm.cnt

2004-04-30 12:59 . 2004-04-30 12:59        1254534        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PM.HLP

2004-04-22 14:29 . 2004-04-22 14:29        33718        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\About.pqg

2004-04-06 14:36 . 2004-04-06 14:36        10587        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\Readme.TXT

2004-04-02 10:26 . 2004-04-02 10:26        156560        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\Splash.pqg

2003-05-22 12:24 . 2003-05-22 12:24        1044480        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\ROBOEX32.DLL

2002-07-30 08:51 . 2002-07-30 08:51        118        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\MASTER.CNT

2001-03-30 12:54 . 2001-03-30 12:54        2829        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMAGICB.PIF

2001-03-30 12:54 . 2001-03-30 12:54        535        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\af.cmd

2001-03-30 12:54 . 2001-03-30 12:54        87        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PMREGIST.URL

2001-03-30 12:38 . 2001-03-30 12:38        49152        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\INETWH32.dll

2001-03-30 12:38 . 2001-03-30 12:38        53248        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQLAUNCH.EXE

2001-03-30 12:38 . 2001-03-30 12:38        892728        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\UNICODE.FNT

2001-03-30 12:38 . 2001-03-30 12:38        51        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\WEBPAGE.URL

2001-03-14 01:44 . 2001-03-14 01:44        19775        ----a-w        c:\programme\Symantec\Norton PartitionMagic 8.0\PQVXD.vxd
 

---- Directory of c:\programme\Wiizle_Diizle_Shiizle_v1.3 ----
 

2008-12-27 11:06 . 2007-11-21 09:14        839        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\Nederlands.lng

2008-12-27 11:06 . 2007-11-16 07:13        1075        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\PortuguesBR.lng

2008-12-27 11:06 . 2007-11-27 18:25        912        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\Swedish.lng

2008-12-27 11:06 . 2008-10-28 12:39        1005        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\francais.lng

2008-12-27 11:06 . 2007-11-18 10:52        929        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\ita.lng

2008-03-17 13:50 . 2007-11-20 17:54        1023        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\türkce.lng

2008-03-17 13:50 . 2007-09-29 10:05        855        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\english.lng

2008-03-17 13:50 . 2007-11-18 12:14        1001        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\readme.txt

2008-03-17 13:50 . 2007-09-30 20:26        1051        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\spanish.lng

2008-03-17 13:50 . 2007-09-18 15:18        807        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\castellano.lng

2008-03-17 13:50 . 2007-11-20 17:52        1035        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Languages\deutsch.lng

2008-03-17 13:50 . 2008-04-24 18:49        962560        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\Wiizle Diizle Shiizle.exe

2008-03-17 13:50 . 2008-04-24 18:43        4430        -c--a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\WDS_TOOL.nfo

2008-03-17 13:50 . 2009-04-20 17:53        589824        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\GameDB.mdb

2008-03-17 13:50 . 2007-09-27 16:43        2162688        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\FullPatch.wds

2008-03-17 13:50 . 2008-12-27 11:09        24        ----a-w        c:\programme\Wiizle_Diizle_Shiizle_v1.3\config.ini
 

---- Directory of D:\-=]GAMEZ ----
 
 
 

(((((((((((((((((((((((((((((   SnapShot@2009-04-26_10.06.07   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-04-26 15:47 . 2009-04-26 15:47        16384              c:\windows\temp\Perflib_Perfdata_230.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-12-16 94208]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CloneCDTray"="c:\programme\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]

"LogitechCommunicationsManager"="c:\programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-07 488984]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-25 86016]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"CTHelper"="CTHELPER.EXE" - c:\windows\system32\CTHELPER.EXE [2003-10-06 24576]
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\FlashFXP\\flashfxp.exe"=

"c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"=

"c:\\Programme\\BPFTP Server\\bpftpserver.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"c:\\WINDOWS\\system32\\ftp.exe"=

"c:\\WINDOWS\\system32\\java.exe"=

"c:\\Programme\\Java\\jre1.6.0_05\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\ICQ6.5\\ICQ.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"113:TCP"= 113:TCP:Ident

"4711:TCP"= 4711:TCP:Serv-u

"4711:UDP"= 4711:UDP:Serv-U
 

R3 MIINPazX;MIINPazX NDIS Protocol Driver;c:\progra~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS [2006-05-22 17152]

S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-03-05 108289]

S2 gearsec;gearsec;c:\windows\system32\gearsec.exe [2003-12-02 53248]
 

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

TCP: {58AD885B-011B-45C2-93A2-CC9C2FB66DD3} = 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/

FF - component: c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\extensions\{463F6CA5-EE3C-4be1-B7E6-7FEE11953374}\platform\WINNT\components\FoxyTunes.dll

.
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-26 17:48

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

  CTHelper = CTHELPER.EXE? 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

"ImagePath"="D:\-=]GAMEZ

[=-\Common\Database\bin\fbserver.exe"
 
 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FirebirdServerMAGIXInstance]

"ImagePath"="D:\-=]GAMEZ

.

--------------------- Gesperrte Registrierungsschluessel ---------------------
 

[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]

"1"=dword:444500f7

"2"=dword:44465c57

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'explorer.exe'(4744)

c:\programme\Gemeinsame Dateien\Logishrd\LVMVFM\LVPrcInj.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\StkASv2K.exe

c:\windows\system32\wdfmgr.exe

c:\windows\system32\rundll32.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-26 17:51 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-04-26 15:51

ComboFix2.txt  2009-04-26 10:09
 

Vor Suchlauf: 1.542.000.640 Bytes frei

Nach Suchlauf: 1.528.229.888 Bytes frei
 

250        --- E O F ---        2009-04-20 21:34

Gleich nocheinmal.

Scripten mit Combofix

Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:

KILLALL::
 

RegNull::

[HKEY_USERS\S-1-5-21-448539723-1897051121-725345543-1004\Software\Zepter Software\RegLib*e8e5b5fe\CloneDVDmobile/1]
 

Folder::

C:\Lop SD
 

File::

C:\lopR.txt

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hier der nächste log:

Code:

ComboFix 09-04-25.A3 - CoolTom 26.04.2009 18:55.3 - NTFSx86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1023.646 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\CoolTom\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\CoolTom\Desktop\cfscript.txt

AV: AntiVir Desktop *On-access scanning disabled* (Updated)

AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Outdated)

AV: AntiVir PersonalEdition Classic Virenschutz *On-access scanning enabled* (Updated)

 * Neuer Wiederherstellungspunkt wurde erstellt
 

FILE ::

C:\lopR.txt

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

C:\Lop SD

c:\lop sd\App-Prog.lsd

c:\lop sd\AuDoss.lsd

c:\lop sd\AutrInf.cmd

c:\lop sd\AWF.cmd

c:\lop sd\Back.cmd

c:\lop sd\Boo.reg

c:\lop sd\BooFix.cmd

c:\lop sd\catchme.exe

c:\lop sd\catchme.log

c:\lop sd\Changelog Lop SD.txt

c:\lop sd\Crack.txt

c:\lop sd\DirectFix.cmd

c:\lop sd\Discl_en.vbs

c:\lop sd\Discl_fr.vbs

c:\lop sd\Discl_ne.vbs

c:\lop sd\Discl_sp.vbs

c:\lop sd\Discl_su.vbs

c:\lop sd\Doss.lsd

c:\lop sd\Icon_Lop.ico

c:\lop sd\iNv.exe

c:\lop sd\KILL.cmd

c:\lop sd\Langues.cmd

c:\lop sd\LopR_1.txt

c:\lop sd\LopScript.cmd

c:\lop sd\LopSD.cmd

c:\lop sd\lsTasks.exe

c:\lop sd\Orph.egd

c:\lop sd\OsV.exe

c:\lop sd\paths.bat

c:\lop sd\Proc.txt

c:\lop sd\pv.exe

c:\lop sd\RegLop.reg

c:\lop sd\Rkeys.txt

c:\lop sd\RKit.lsd

c:\lop sd\RoGUeS.lsd

c:\lop sd\RunTool.txt

c:\lop sd\S_LopV.cmd

c:\lop sd\S_LopX.cmd

c:\lop sd\sed.exe

c:\lop sd\setpath.exe

c:\lop sd\task.txt

c:\lop sd\Uninstal.exe

c:\lop sd\WhL.lsd

C:\lopR.txt
 

.

(((((((((((((((((((((((   Dateien erstellt von 2009-05-26 bis 2009-4-26  ))))))))))))))))))))))))))))))

.
 

2009-04-26 11:28 . 2009-04-26 11:28        --------        d-----w        c:\dokumente und einstellungen\CoolTom\DoctorWeb

2009-04-26 08:26 . 2009-04-26 08:28        --------        d-----w        c:\programme\ICQ6.5

2009-04-25 18:13 . 2009-04-25 18:13        --------        d-----w        c:\windows\system32\NtmsData

2009-04-25 11:01 . 2009-04-25 11:01        548864        ----a-w        c:\windows\system32\msvcp80.dll

2009-04-25 11:01 . 2005-09-22 21:22        522        ----a-w        c:\windows\system32\Microsoft.VC80.CRT.manifest

2009-04-25 11:01 . 2009-04-25 11:01        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MicroWorld

2009-04-24 18:32 . 2007-08-14 18:57        5632        ----a-w        c:\windows\system32\udcpm.dll

2009-04-24 18:32 . 2009-04-24 18:49        --------        d-----r        C:\UDC Output Files

2009-04-24 18:32 . 2009-04-24 18:33        --------        d-----w        c:\programme\Universal Document Converter

2009-04-20 17:20 . 2009-04-20 17:20        --------        d-----w        c:\programme\WBFS

2009-04-20 16:29 . 2009-01-09 19:19        1089883        -c----w        c:\windows\system32\dllcache\ntprint.cat

2009-04-19 14:22 . 2009-04-20 17:43        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\WBFSManager

2009-04-19 14:15 . 2009-04-19 14:18        --------        d-----w        c:\windows\SxsCaPendDel

2009-04-16 14:40 . 2009-02-06 10:10        227840        -c----w        c:\windows\system32\dllcache\wmiprvse.exe

2009-04-16 14:40 . 2009-03-06 14:19        286720        -c----w        c:\windows\system32\dllcache\pdh.dll

2009-04-16 14:40 . 2009-02-09 11:21        111104        -c----w        c:\windows\system32\dllcache\services.exe

2009-04-16 14:40 . 2009-02-09 10:51        401408        -c----w        c:\windows\system32\dllcache\rpcss.dll

2009-04-16 14:40 . 2009-02-09 10:51        678400        -c----w        c:\windows\system32\dllcache\advapi32.dll

2009-04-16 14:40 . 2009-02-09 10:51        473600        -c----w        c:\windows\system32\dllcache\fastprox.dll

2009-04-16 14:40 . 2009-02-09 10:51        736768        -c----w        c:\windows\system32\dllcache\lsasrv.dll

2009-04-16 14:40 . 2009-02-09 10:51        740352        -c----w        c:\windows\system32\dllcache\ntdll.dll

2009-04-16 14:40 . 2009-02-09 10:51        453120        -c----w        c:\windows\system32\dllcache\wmiprvsd.dll

2009-04-16 14:40 . 2009-03-27 06:49        1203922        -c----w        c:\windows\system32\dllcache\sysmain.sdb

2009-04-16 14:40 . 2008-04-21 21:13        217600        -c----w        c:\windows\system32\dllcache\wordpad.exe

2009-04-13 15:13 . 2009-04-13 15:13        --------        d-----w        c:\dokumente und einstellungen\All Users\eBay

2009-04-08 15:52 . 2009-04-08 15:52        1874        ------r        c:\windows\RouterControl_Uninstall.in

2009-04-08 15:52 . 2008-11-18 08:50        330344        ----a-w        c:\windows\RCoUn0.exe

2009-03-31 15:17 . 2009-03-31 15:17        --------        d-----w        c:\programme\Symantec
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-04-26 16:10 . 2008-01-04 10:50        --------        d-----w        c:\programme\FreeCommander

2009-04-26 08:42 . 2007-04-22 09:11        --------        d-----w        c:\programme\CCleaner

2009-04-26 08:28 . 2005-10-28 13:39        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\ICQ

2009-04-26 08:27 . 2005-10-28 14:37        --------        d--h--w        c:\programme\InstallShield Installation Information

2009-04-26 08:24 . 2005-12-25 14:18        --------        d-----w        c:\programme\Gemeinsame Dateien\Adobe

2009-04-26 07:40 . 2006-10-14 14:44        --------        d-----w        c:\programme\Java

2009-04-26 07:38 . 2005-10-28 13:39        --------        d-----w        c:\programme\ICQ

2009-04-25 14:18 . 2006-09-02 15:19        --------        d-----w        c:\programme\Avira

2009-04-24 16:21 . 2007-06-09 19:56        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Rominator Data

2009-04-22 21:12 . 2008-10-03 17:05        246472        ----a-w        c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat

2009-04-20 17:53 . 2008-03-17 13:50        --------        d-----w        c:\programme\Wiizle_Diizle_Shiizle_v1.3

2009-04-20 17:22 . 2007-06-08 13:49        --------        d-----w        c:\programme\R4 Commander V2.0

2009-04-01 15:18 . 2008-03-15 21:46        --------        d-----w        c:\programme\jdownloader

2009-03-24 17:04 . 2006-10-20 16:18        --------        d-----w        c:\programme\Gemeinsame Dateien\MAGIX Shared

2009-03-24 16:47 . 2006-10-20 16:34        --------        d-----w        c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\MAGIX

2009-03-24 16:46 . 2006-10-20 16:23        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\MAGIX

2009-03-24 16:25 . 2005-10-28 14:06        --------        d-----w        c:\programme\Winamp

2009-03-20 16:55 . 2007-07-29 18:29        --------        d-----w        c:\programme\MixMeister Fusion + Video

2009-03-19 16:04 . 2009-03-19 16:04        --------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira

2009-03-09 03:19 . 2008-12-17 17:49        410984        ----a-w        c:\windows\system32\deploytk.dll

2009-03-06 14:19 . 2004-08-04 12:00        286720        ----a-w        c:\windows\system32\pdh.dll

2009-03-03 00:03 . 2004-08-04 12:00        826368        ----a-w        c:\windows\system32\wininet.dll

2009-02-20 16:49 . 2004-08-04 12:00        78336        ----a-w        c:\windows\system32\ieencode.dll

2009-02-10 17:03 . 2004-08-04 00:50        2068352        ----a-w        c:\windows\system32\ntkrnlpa.exe

2009-02-09 14:04 . 2004-08-04 12:00        1846912        ----a-w        c:\windows\system32\win32k.sys

2009-02-09 11:21 . 2004-08-04 12:00        2191360        ----a-w        c:\windows\system32\ntoskrnl.exe

2009-02-09 11:21 . 2004-08-04 12:00        111104        ----a-w        c:\windows\system32\services.exe

2009-02-09 10:51 . 2004-08-04 12:00        736768        ----a-w        c:\windows\system32\lsasrv.dll

2009-02-09 10:51 . 2004-08-04 12:00        401408        ----a-w        c:\windows\system32\rpcss.dll

2009-02-09 10:51 . 2004-08-04 12:00        678400        ----a-w        c:\windows\system32\advapi32.dll

2009-02-09 10:51 . 2004-08-04 12:00        740352        ----a-w        c:\windows\system32\ntdll.dll

2009-02-06 10:39 . 2004-08-04 12:00        35328        ----a-w        c:\windows\system32\sc.exe

2009-02-03 19:57 . 2004-08-04 12:00        56832        ----a-w        c:\windows\system32\secur32.dll

.
 

(((((((((((((((((((((((((((((   SnapShot@2009-04-26_10.06.07   )))))))))))))))))))))))))))))))))))))))))

.

+ 2009-04-26 16:57 . 2009-04-26 16:57        16384              c:\windows\temp\Perflib_Perfdata_2c8.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-12-16 94208]

"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CloneCDTray"="c:\programme\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]

"LogitechCommunicationsManager"="c:\programme\Gemeinsame Dateien\LogiShrd\LComMgr\Communications_Helper.exe" [2007-02-07 488984]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-25 13680640]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-25 86016]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"CTHelper"="CTHELPER.EXE" - c:\windows\system32\CTHELPER.EXE [2003-10-06 24576]
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\FlashFXP\\flashfxp.exe"=

"c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"=

"c:\\Programme\\BPFTP Server\\bpftpserver.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"c:\\WINDOWS\\system32\\ftp.exe"=

"c:\\WINDOWS\\system32\\java.exe"=

"c:\\Programme\\Java\\jre1.6.0_05\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\Java\\jre1.6.0_07\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=

"c:\\Programme\\ICQ6.5\\ICQ.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"113:TCP"= 113:TCP:Ident

"4711:TCP"= 4711:TCP:Serv-u

"4711:UDP"= 4711:UDP:Serv-U
 

R3 MIINPazX;MIINPazX NDIS Protocol Driver;c:\progra~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS [2006-05-22 17152]

S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [2009-03-05 108289]

S2 gearsec;gearsec;c:\windows\system32\gearsec.exe [2003-12-02 53248]
 

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

TCP: {58AD885B-011B-45C2-93A2-CC9C2FB66DD3} = 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\

FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/

FF - component: c:\dokumente und einstellungen\CoolTom\Anwendungsdaten\Mozilla\Firefox\Profiles\h8121n9a.default\extensions\{463F6CA5-EE3C-4be1-B7E6-7FEE11953374}\platform\WINNT\components\FoxyTunes.dll

.
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2009-04-26 18:57

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run

  CTHelper = CTHELPER.EXE? 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

"ImagePath"="D:\-=]GAMEZ

[=-\Common\Database\bin\fbserver.exe"
 
 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\FirebirdServerMAGIXInstance]

"ImagePath"="D:\-=]GAMEZ

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'explorer.exe'(4412)

c:\programme\Gemeinsame Dateien\Logishrd\LVMVFM\LVPrcInj.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\windows\system32\nvsvc32.exe

c:\windows\system32\StkASv2K.exe

c:\windows\system32\wdfmgr.exe

c:\windows\system32\rundll32.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2009-04-26 19:00 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2009-04-26 17:00

ComboFix2.txt  2009-04-26 15:51

ComboFix3.txt  2009-04-26 10:09
 

Vor Suchlauf: 1.519.411.200 Bytes frei

Nach Suchlauf: 1.504.645.120 Bytes frei
 

216        --- E O F ---        2009-04-20 21:34

Start => Ausführen => combofix /u => OK

*wieder raushüpfe*

Cobra, übernehmen sie.

ciao, andreas

Es fehlen noch die Logs von Cureit und Kaspersky, bitte poste die hier rein.
Falls Du die Scans noch nicht gemacht haben solltest, dann hole Diese nun nach.

Zitat:

Zitat von john.doe (Beitrag 432006)

Start => Ausführen => combofix /u => OK

*wieder raushüpfe*

Cobra, übernehmen sie.

ciao, andreas

Hi Andreas, habe Combofix eben nach Deiner Anleitung deinstallieren lassen ;)
Heisst das nun mein Rechner ist clean? Wenn ja, vielen Dank für Deine Hilfe :dankeschoen: (Und natürlich auch an Angel21 :party: ) Kannst Du den Thread dann auch "Erledigt" stellen, oder kann ich das irgendwie machen? Wirklich eine tolle Community hier!

Schönen Abend noch :alc:

Nein, nein,. bitte noch DR Web Cureit ausführen und den Kaspersky Online Scanner.

Zitat:

Zitat von Angel21 (Beitrag 432009)

Nein, nein,. bitte noch DR Web Cureit ausführen und den Kaspersky Online Scanner.

Okay, das kann ich dann aber erst morgen machen, da DR Web Cureit alleine über 2 Stunden scannt. Melde mich dann morgen wieder.

So, wieder da :)

DR Web Cureit funzt bei mir nicht so richtig kurz vorm Ende des Scan's hat sich das Programm mit einer Fehlermeldung selber geschlossen. Hier die Log - Datei von dem Kaspersky - Onlinescan:

Code:

-------------------------------------------------------------------------------

 PROTOKOLL FÜR KASPERSKY ONLINE SCANNER

 Montag, 27. April 2009 19:30:51

 Betriebssystem: Microsoft Windows XP Home Edition, Service Pack 3 (Build 2600)

 Version von Kaspersky Online Scanner: 5.0.98.2

 Letztes Update der Antiviren-Datenbanken: 27/04/2009

 Anzahl der Einträge in den Antiviren-Datenbanken: 2083498

-------------------------------------------------------------------------------
 

Scan-Einstellungen:

        Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Erweiterte

        Archive untersuchen: ja

        Mail-Datenbanken untersuchen: ja
 

Untersuchungsobjekt - Arbeitsplatz:

        A:\

        C:\

        D:\

        E:\

        F:\

        G:\

        H:\

        I:\

        K:\
 

Untersuchungsergebnisse:

        Untersuchte Objekte insgesamt: 117430

        Viren gefunden: 4

        Infizierte Objekte gefunden: 6

        Verdächtige Objekte gefunden: 2

        Untersuchungszeit: 02:10:50
 

Name des infizierten Objekts / Virusname / Letzte Aktion

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\TEMP\avguard.tmp        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Cookies\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Folders.dbx        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Offline.dbx        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Pop3uidl.dbx        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Identities\{5A717F3F-2A6C-4C65-B965-402C44FFDEB0}\Microsoft\Outlook Express\Posteingang.dbx        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Temporary Internet Files\AntiPhishing\B3BB5BBA-E7D5-40AB-A041-A5B1C0B26C8F.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\Lokale Einstellungen\Verlauf\History.IE5\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\ntuser.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\CoolTom\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT        Das Objekt ist gesperrt        übersprungen

C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG        Das Objekt ist gesperrt        übersprungen

C:\Programme\mIRC\mirc.exe        Infizierte Objekte: not-a-virus:Client-IRC.Win32.mIRC.614        übersprungen

C:\Programme\PantsOff\PantsOffHk.dll        Infizierte Objekte: not-a-virus:PSWTool.Win32.Finder.d        übersprungen

C:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

C:\System Volume Information\_restore{60FC371A-7D3F-4589-8DF7-8C8F4EA35439}\RP1244\change.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\Debug\PASSWD.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\SchedLgU.Txt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\SoftwareDistribution\ReportingEvents.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\Sti_Trace.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\CatRoot2\edb.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\CatRoot2\tmp.edb        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\cmdow.exe        Infizierte Objekte: not-a-virus:RiskTool.Win32.HideWindows        übersprungen

C:\WINDOWS\system32\config\AppEvent.Evt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\default        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\default.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\Internet.evt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SAM        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SAM.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SecEvent.Evt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SECURITY        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SECURITY.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\software        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\software.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\SysEvent.Evt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\system        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\config\system.LOG        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\h323log.txt        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\temp\Perflib_Perfdata_b0.dat        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\wiadebug.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\wiaservc.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\WindowsUpdate.log        Das Objekt ist gesperrt        übersprungen

C:\WINDOWS\{00000001-00000000-00000009-00001102-00000004-00531102}.CDF        Das Objekt ist gesperrt        übersprungen

D:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

E:\6.=----=oOo=============  MP3´z©  ============oOo=-----=\VA-House_Arrest_Vol.2-2CD-2006\000-va-house_arrest_vol.2-2cd-2006.m3u        Verdächtige Objekte: Type_TrojanBAT        übersprungen

E:\6.=----=oOo=============  MP3´z©  ============oOo=-----=\VA-House_Arrest_Vol.2-2CD-2006\200-va-house_arrest_vol.2-cd2-2006.m3u        Verdächtige Objekte: Type_TrojanBAT        übersprungen

E:\8.=----=oOo=============    AppZ©   ============oOo=----=\Pants_off!-CTiSO\pantsoff.exe/data0003        Infizierte Objekte: not-a-virus:PSWTool.Win32.Finder.d        übersprungen

E:\8.=----=oOo=============    AppZ©   ============oOo=----=\Pants_off!-CTiSO\pantsoff.exe        Inno: infiziert - 1        übersprungen

E:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

F:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

G:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen

G:\[[wichtig]]\mIRC\mirc.exe        Infizierte Objekte: not-a-virus:Client-IRC.Win32.mIRC.614        übersprungen

K:\System Volume Information\MountPointManagerRemoteDatabase        Das Objekt ist gesperrt        übersprungen
 

Die Untersuchung wurde abgeschlossen.

Brauchst du mIRC noch? Wenn nein, dann würde ich es deinstallieren.

diese

Zitat:

C:\WINDOWS\system32\cmdow.exe

Datei mal bei Virustotal.com auswerten lassen.

Und wozu brauchst du das?

Zitat:

C:\Programme\PantsOff\PantsOffHk.dll

Lade die beiden auch bei VT hoch:

Zitat:

C:\Programme\PantsOff\PantsOffHk.dll

Zitat:

G:\[[wichtig]]\mIRC\mirc.exe

Ergebnis von Virustotal.com (cmdow.exe):

Code:

Datei cmdow.exe empfangen 2009.04.27 20:04:59 (CET)

Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 23/40 (57.5%)

Laden der Serverinformationen...

Ihre Datei wartet momentan auf Position: 1.

Geschätzte Startzeit ist zwischen 38 und 54 Sekunden.

Dieses Fenster bis zum Abschluss des Scans nicht schließen.

Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.

Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.

Ihre Datei wird momentan von VirusTotal überprüft,

Ergebnisse werden sofort nach der Generierung angezeigt.

Filter Filter

Drucken der Ergebnisse Drucken der Ergebnisse

Datei existiert nicht oder dessen Lebensdauer wurde überschritten

Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.
 

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.

Email:         

        

Antivirus         Version         letzte aktualisierung         Ergebnis

a-squared        4.0.0.101        2009.04.27        Riskware.RiskTool.Win32.HideWindows!A2

AhnLab-V3        5.0.0.2        2009.04.27        -

AntiVir        7.9.0.156        2009.04.27        APPL/HideWindows.31232

Antiy-AVL        2.0.3.1        2009.04.27        RiskTool/Win32.HideWindows

Authentium        5.1.2.4        2009.04.27        W32/HackToolX.JY

Avast        4.8.1335.0        2009.04.27        -

AVG        8.5.0.287        2009.04.27        HideExec.BN

BitDefender        7.2        2009.04.27        -

CAT-QuickHeal        10.00        2009.04.27        (Suspicious) - DNAScan

ClamAV        0.94.1        2009.04.27        -

Comodo        1137        2009.04.27        ApplicUnsaf.Win32.CMDOW.142

DrWeb        4.44.0.09170        2009.04.27        -

eSafe        7.0.17.0        2009.04.27        Win32.SecurityRisk.c

eTrust-Vet        31.6.6478        2009.04.27        -

F-Prot        4.4.4.56        2009.04.27        W32/HackToolX.JY

F-Secure        8.0.14470.0        2009.04.27        RiskTool.Win32.HideWindows

Fortinet        3.117.0.0        2009.04.27        HackerTool/HideWindows

GData        19        2009.04.27        -

Ikarus        T3.1.1.49.0        2009.04.27        -

K7AntiVirus        7.10.717        2009.04.27        Non-Virus:RiskTool.Win32.HideWindows

Kaspersky        7.0.0.125        2009.04.27        not-a-virus:RiskTool.Win32.HideWindows

McAfee        5598        2009.04.27        potentially unwanted program Tool-HideWindow

McAfee+Artemis        5598        2009.04.27        potentially unwanted program Tool-HideWindow

McAfee-GW-Edition        6.7.6        2009.04.27        Riskware.HideWindows.31232

Microsoft        1.4602        2009.04.27        -

NOD32        4037        2009.04.27        Win32/CMDOW.142

Norman        6.00.06        2009.04.27        -

nProtect        2009.1.8.0        2009.04.27        -

Panda        10.0.0.14        2009.04.27        -

PCTools        4.4.2.0        2009.04.27        HackTool.HideWindows

Prevx1        3.0        2009.04.27        -

Rising        21.27.02.00        2009.04.27        -

Sophos        4.41.0        2009.04.27        HideWindow

Sunbelt        3.2.1858.2        2009.04.24        -

Symantec        1.4.4.12        2009.04.27        SecurityRisk.Cmdow

TheHacker        6.3.4.1.315        2009.04.27        Aplicacion/HideWindows

TrendMicro        8.700.0.1004        2009.04.27        PAK_Generic.001

VBA32        3.12.10.3        2009.04.27        -

ViRobot        2009.4.27.1710        2009.04.27        Not_a_virus:RiskTool.HideWindows.31232

VirusBuster        4.6.5.0        2009.04.27        -

weitere Informationen

File size: 31232 bytes

MD5...: a83d8a509ad167ea506a01fa75a33084

SHA1..: 80d299bbf72a55e580d27840b1e3fd5cadfd5c70

SHA256: 7c15e32cb4f6700ea2875c00c9b0da473c6ffa68a6ae181bbbcfbd7ce46f69fc

SHA512: 1e4c365d3757250ef336e6fafb7abc732901e33c8c6b949c6775bb1e947a5d08

8b57e5587b2a348e1ac5aa8fb759a9b622ba6a7053542a491027deb9972eed20

ssdeep: 384:zIuqo9Bl0uuBLutbA4rjsWVjbeGD4AEd6thOucy+waD4J6R4CE2uxNyymuH:

znqo9bnlfJuC7Ou6RXM3yYH

PEiD..: -

TrID..: File type identification

Windows Screen Saver (39.4%)

Win32 Executable Generic (25.6%)

Win32 Dynamic Link Library (generic) (22.8%)

Generic Win/DOS Executable (6.0%)

DOS Executable Generic (6.0%)

PEInfo: PE Structure information
 

( base data )

entrypointaddress.: 0x771a

timedatestamp.....: 0x3f411ebc (Mon Aug 18 18:45:16 2003)

machinetype.......: 0x14c (I386)
 

( 3 sections )

name viradd virsiz rawdsiz ntrpy md5

.rdata 0x1000 0x6a4 0x800 4.53 a0e6032aca79d6b27dd3ba2ffc182068

.data 0x2000 0x6908 0x6600 6.11 e0c03b38701c424ea92f2ebbb197a1b4

.rsrc 0x9000 0x7d0 0x800 3.29 bebca41a935bc76f149e4a3d84669818
 

( 4 imports )

> KERNEL32.dll: lstrcpyA, lstrlenA, ExitProcess, WriteFile, GetStdHandle, lstrcatA, GetCommandLineA, SetConsoleDisplayMode, GetVersionExA, WideCharToMultiByte, HeapAlloc, GetProcessHeap, GetCurrentProcessId, GetTickCount, GetConsoleTitleA, CloseHandle, TerminateProcess, OpenProcess, CreateProcessA, HeapReAlloc, HeapFree, lstrcmpiA, SetConsoleTitleA, Sleep, lstrcmpA, GetStringTypeW, GetStringTypeA, RtlUnwind, LCMapStringA, MultiByteToWideChar, LCMapStringW

> USER32.dll: GetWindow, GetWindowLongA, IsWindow, GetForegroundWindow, SetForegroundWindow, SystemParametersInfoA, GetParent, ScreenToClient, GetWindowRect, SetWindowTextA, MoveWindow, SetWindowPos, wsprintfA, wvsprintfA, FindWindowA, PostMessageA, GetWindowTextA, GetWindowThreadProcessId, GetWindowTextLengthA, GetDesktopWindow, GetClassNameA, EnumWindows, ShowWindowAsync, EnableWindow, EnumChildWindows

> ADVAPI32.dll: RegCloseKey, RegQueryValueExA, RegOpenKeyExA

> SHELL32.dll: ShellExecuteA
 

( 0 exports )

PDFiD.: -

RDS...: NSRL Reference Data Set

-

CWSandbox info: <a href='http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=a83d8a509ad167ea506a01fa75a33084' target='_blank'>http://research.sunbelt-software.com/partnerresource/MD5.aspx?md5=a83d8a509ad167ea506a01fa75a33084</a>

ThreatExpert info: <a href='http://www.threatexpert.com/report.aspx?md5=a83d8a509ad167ea506a01fa75a33084' target='_blank'>http://www.threatexpert.com

Gut die anderen beiden ebenso :)