Trojaner-Board - Trojaner TR/BOHLamp unter Windows XP

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Trojaner TR/BOHLamp unter Windows XP (https://www.trojaner-board.de/79627-trojaner-tr-bohlamp-windows-xp.html)

Trojaner TR/BOHLamp unter Windows XP

Hallo,

ich habe mir offensichtlich einen Trojaner eingefangen: Hier poppt regelmäßig der IE mit Werbung auf und Avira hat mehrmals gemeldet, dass eine Datei mit dem Trojaner TR/BOHLam.fut infiziert ist. Zweimal konnte ich die betroffene Dateien löschen, eine davon war die C:\Windows\system32\msxml71.dll, die andere lungerte im Recycler rum, den Namen konnte ich mir aber nicht merken. Die Avira-Meldungen verschwanden immer wieder recht schnell, also musste ich schnell reagieren. Mittlerweile erscheint keine Warnmeldung mehr seitens Avira, aber der IE meldet sich immer noch regelmäßig.

Bei einem vollständigen System-Scan hat Avira übrigens nichts gefunden.

Ich habe mir eine (wahrscheinlich längst veraltete) Version von Knoppicillin gezogen und mit ClamAV mal einen Scan gemacht. Der hat allerdings den Übeltäter nicht finden können. Abgesehen von unendlich vielen "Empty Files" und "Oversized ZIPs" war der einzige, den er gefunden hat, dieser hier:

/media/sda1/pagefile.sys: Trojan.URLspoof.gen.2 FOUND

Ich habe hier im Forum zwei Einträge (1, 2) zu dem genannten Trojaner gefunden, allerdings lieferte keiner davon einen Masterplan, den ich auf mein Problem hätte anwenden können. Da waren offenbar noch eine Reihe anderer Schädlinge im Spiel, was bei mir vermutlich nicht anders sein wird. Immerhin habe ich ganz ähnliche verdächtige Dateien bei mir gefunden, wie sie in einem der Posts erwähnt wurden:

b.exe
csrss.exe (lässt sich nicht beenden)
msb.exe

Die b.exe habe ich mit HighjackThis entfernt, sie befand sich hier:
O4 - HKCU\..\Run: [TurboNet] C:\DOKUME~1\ToBa\LOKALE~1\Temp\b.exe

Ich wäre sehr dankbar für ein paar Tipps, was ich als nächste probieren könnte. Vielen Dank schonmal im Vorraus!

Hier ist das HijackThis-Log:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 20:12:09, on 21.11.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe

C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe

C:\Programme\Bonjour\mDNSResponder.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\Logitech\Gaming Software\LWEMon.exe

C:\WINDOWS\System32\M-AudioTaskBarIcon.exe

D:\Programme\iTunes\iTunesHelper.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Windows Media Player\WMPNSCFG.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\iPod\bin\iPodService.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Programme\Java\jre6\bin\jucheck.exe

C:\Programme\Windows Media Player\wmplayer.exe

C:\Programme\Windows NT\Zubehör\WORDPAD.EXE

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe

C:\Programme\Trend Micro\HijackThis\HijackThis.exe

C:\WINDOWS\msb.exe

C:\Programme\UltraEdit-32\uedit32.exe
 

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [MSI Live] C:\Programme\MSI\MSI Live\SetWallpaper.exe

O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe

O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [Start WingMan Profiler] C:\Programme\Logitech\Gaming Software\LWEMon.exe /noui

O4 - HKLM\..\Run: [M-Audio Taskbar Icon] C:\WINDOWS\System32\M-AudioTaskBarIcon.exe

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "D:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [Google Update] "C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" /c

O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe

O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe

O4 - Global Startup: AVer HID Receiver.lnk = C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe

O4 - Global Startup: AVerQuick.lnk = C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe

O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200

O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html

O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html

O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html

O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html

O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000

O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll

O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL

O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)

O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Apache2.2 - Apache Software Foundation - D:\webserver\apache\bin\httpd.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: AVerRemote - AVerMedia - C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe

O23 - Service: AVerScheduleService - Unknown owner - C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe

O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: MySQL - Unknown owner - D:\webserver\mysql\bin\mysqld-nt (file missing)

O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
 

--

End of file - 10278 bytes

Hallo und :hallo:

Zitat:

war der einzige, den er gefunden hat, dieser hier:
/media/sda1/pagefile.sys: Trojan.URLspoof.gen.2 FOUND

Das ist die Auslagerungsdatei von Windows!! Das macht eigentlich keinen Sinn, die zu prüfen.

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!!
Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

Hi Cosinus,

danke für deine Antwort und den Hinweis. Ich habe in dem Wust an Postings und Regeln den unteren Teil der Liste leider übersehen.

Ich habe die logs von Malwarebytes-Anti-Malware und RSIT hier bereitgestellt:
http://www.file-upload.net/download-2030260/logs.zip.html

Offenbar wurde durch die Tools einiges gefunden und zum Teil auch entfernt. Die b.exe beispielsweise, die leider doch noch da war, taucht jetzt nach einem Neustart nicht mehr im Taskmanager auf. Allerdings taucht sie noch beim Registry-Scan mit CCleaner auf :(

Die msb.exe seh ich im Moment auch nicht mehr.

CCleaner hat kein Logfile hinterlassen, soweit ich das sehe. Beim Registry-Scan lässt sich aber ein Eintrag nachhaltig nicht entfernen:

Ungenutzte Datei-Endungen {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}

Zu deiner Anmerkung wegen der Pagefile.sys: Windows war zu dem Zeitpunkt nicht gebootet, der Linux-Scanner hat halt alles gescannt, was er gefunden hat. Ob das Sinn macht oder nicht, kann ich nicht bewerten ;)

Avira hat sich während des Malwarebytes-Scans wieder das ein oder andere Mal gemeldet. Ich war leider zu schnell mit dem "löschen"-Klicken, mindestens einmal wurde auch ein anderer Trojaner gemeldet, als der TR\BOHLamp, aber ich konnte mir so schnell nicht merken welcher.

Ich nehme an, ich bin noch nicht aus dem Gröbsten raus. Was kann ich als nächste tun?

Vielen Dank!

Lade dir Lop S&D herunter.

Führe Lop S&D.exe per Doppelklick aus.
Wähle die Sprache deiner Wahl und anschließend die Option 1.
Warte bis der Scanbericht erstellt wird und poste ihn hier (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen).

Hi Cosinus,

hier ist das Log. Da unter "Cracks" etwas aus meinem Azereus-Ordner aufgelistet wird, will ich noch hinzufügen, dass ich schon seit Monaten kein Filesharing mehr gemacht habe und auch vorher nur in sehr geringem Maße. Azereus und Emule sind zwar installiert, aber eben schon ewig nicht mehr in Betrieb.

Code:

   --------------------\\  Lop S&D 4.2.5-0   XP/Vista
 

   Microsoft Windows XP Professional ( v5.1.2600 ) Service Pack 3

   X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 CPU          6300  @ 1.86GHz )

   BIOS : Phoenix - AwardBIOS v6.00PG

   USER : ToBa ( Administrator )

   BOOT : Normal boot

   Antivirus : AntiVir Desktop 9.0.1.32 (Activated)

   C:\ (Local Disk) - NTFS - Total:48 Go (Free:15 Go)

   D:\ (Local Disk) - NTFS - Total:184 Go (Free:10 Go)

   E:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)

   G:\ (CD or DVD) - CDFS - Total:1 Go (Free:0 Go)

   H:\ (CD or DVD)

   I:\ (CD or DVD)

   J:\ (CD or DVD)

   K:\ (Local Disk) - NTFS - Total:298 Go (Free:12 Go)
 

   "C:\Lop SD" ( MAJ : 19-12-2008|23:40 )

   Option : [1] ( 23.11.2009| 9:21 )

 

   --------------------\\  Ordner Verzeichnis unter ANWEND~1
 

   [04.10.2009|22:46] C:\DOKUME~1\ALLUSE~1\ANWEND~1\{0691F710-1ECA-4B5A-9727-25554F1BFDC6}

   [22.09.2009|18:31] C:\DOKUME~1\ALLUSE~1\ANWEND~1\{755AC846-7372-4AC8-8550-C52491DAA8BD}

   [28.12.2008|18:28] C:\DOKUME~1\ALLUSE~1\ANWEND~1\2DBoy

   [23.12.2006|15:00] C:\DOKUME~1\ALLUSE~1\ANWEND~1\ACD Systems

   [03.12.2008|19:50] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Adobe

   [21.10.2007|21:09] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Adobe Systems

   [22.09.2009|18:34] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Apple

   [04.02.2007|19:10] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Apple Computer

   [20.04.2009|20:38] C:\DOKUME~1\ALLUSE~1\ANWEND~1\AVerTV

   [22.03.2009|17:15] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Avira

   [13.09.2009|09:27] C:\DOKUME~1\ALLUSE~1\ANWEND~1\AVS4YOU

   [28.01.2008|22:49] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Azureus

   [23.12.2006|15:42] C:\DOKUME~1\ALLUSE~1\ANWEND~1\CanonBJ

   [04.06.2008|23:02] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Codemasters

   [31.05.2009|19:29] C:\DOKUME~1\ALLUSE~1\ANWEND~1\DVD Shrink

   [07.12.2008|00:07] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Fallout3

   [26.07.2009|16:39] C:\DOKUME~1\ALLUSE~1\ANWEND~1\hps

   [11.04.2009|22:25] C:\DOKUME~1\ALLUSE~1\ANWEND~1\id Software

   [08.09.2008|13:11] C:\DOKUME~1\ALLUSE~1\ANWEND~1\iProxyInstaller

   [22.11.2009|20:59] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Malwarebytes

   [02.10.2009|12:54] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Microsoft

   [12.11.2009|00:54] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Microsoft Help

   [15.12.2006|12:41] C:\DOKUME~1\ALLUSE~1\ANWEND~1\NVIDIA

   [10.09.2009|22:58] C:\DOKUME~1\ALLUSE~1\ANWEND~1\PopCap Games

   [09.01.2007|16:57] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Propellerhead Software

   [08.01.2007|13:49] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Skype

   [05.11.2008|20:01] C:\DOKUME~1\ALLUSE~1\ANWEND~1\SongbirdVLC

   [08.11.2009|14:47] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Team MediaPortal

   [07.10.2009|18:10] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Teleca

   [22.08.2009|16:14] C:\DOKUME~1\ALLUSE~1\ANWEND~1\TEMP

   [11.04.2007|21:45] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Trymedia

   [22.08.2008|15:38] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Ubisoft

   [15.12.2006|12:28] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Windows Genuine Advantage

   [0|Datei(en)] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Bytes

   [35|Verzeichnis(se),] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Bytes frei
 

   [07.02.2008|16:01] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Microsoft

   [0|Datei(en)] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Bytes

   [3|Verzeichnis(se),] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Bytes frei
 

   [29.01.2008|11:28] C:\DOKUME~1\LOCALS~1\ANWEND~1\Macromedia

   [18.02.2007|20:51] C:\DOKUME~1\LOCALS~1\ANWEND~1\Microsoft

   [29.01.2008|11:28] C:\DOKUME~1\LOCALS~1\ANWEND~1\Mozilla

   [0|Datei(en)] C:\DOKUME~1\LOCALS~1\ANWEND~1\Bytes

   [5|Verzeichnis(se),] C:\DOKUME~1\LOCALS~1\ANWEND~1\Bytes frei
 

   [22.05.2009|23:23] C:\DOKUME~1\NETWOR~1\ANWEND~1\Microsoft

   [0|Datei(en)] C:\DOKUME~1\NETWOR~1\ANWEND~1\Bytes

   [3|Verzeichnis(se),] C:\DOKUME~1\NETWOR~1\ANWEND~1\Bytes frei
 

   [21.11.2009|17:01] C:\DOKUME~1\ToBa\ANWEND~1\Ableton

   [23.12.2006|15:01] C:\DOKUME~1\ToBa\ANWEND~1\ACD Systems

   [15.03.2008|23:59] C:\DOKUME~1\ToBa\ANWEND~1\Adobe

   [15.08.2007|19:20] C:\DOKUME~1\ToBa\ANWEND~1\Ahead

   [20.04.2009|23:03] C:\DOKUME~1\ToBa\ANWEND~1\Amazon

   [22.09.2009|18:37] C:\DOKUME~1\ToBa\ANWEND~1\Apple Computer

   [13.09.2009|09:41] C:\DOKUME~1\ToBa\ANWEND~1\AVS4YOU

   [14.06.2009|15:56] C:\DOKUME~1\ToBa\ANWEND~1\Azureus

   [03.03.2008|11:56] C:\DOKUME~1\ToBa\ANWEND~1\Bioshock

   [13.06.2009|13:05] C:\DOKUME~1\ToBa\ANWEND~1\DSound

   [18.04.2009|20:24] C:\DOKUME~1\ToBa\ANWEND~1\dvdcss

   [13.01.2009|20:01] C:\DOKUME~1\ToBa\ANWEND~1\fretsonfire

   [18.02.2007|18:48] C:\DOKUME~1\ToBa\ANWEND~1\funkitron

   [01.03.2009|14:19] C:\DOKUME~1\ToBa\ANWEND~1\Hamachi

   [11.04.2009|22:26] C:\DOKUME~1\ToBa\ANWEND~1\id Software

   [15.12.2006|12:08] C:\DOKUME~1\ToBa\ANWEND~1\Identities

   [02.09.2007|14:20] C:\DOKUME~1\ToBa\ANWEND~1\IDMComp

   [22.08.2008|15:27] C:\DOKUME~1\ToBa\ANWEND~1\InstallShield

   [16.05.2007|21:02] C:\DOKUME~1\ToBa\ANWEND~1\Joost

   [17.12.2006|00:06] C:\DOKUME~1\ToBa\ANWEND~1\Macromedia

   [22.11.2009|20:59] C:\DOKUME~1\ToBa\ANWEND~1\Malwarebytes

   [02.10.2009|12:55] C:\DOKUME~1\ToBa\ANWEND~1\Microsoft

   [17.06.2008|20:48] C:\DOKUME~1\ToBa\ANWEND~1\Mozilla

   [22.08.2009|16:11] C:\DOKUME~1\ToBa\ANWEND~1\MyPhoneExplorer

   [25.11.2008|16:33] C:\DOKUME~1\ToBa\ANWEND~1\OpenOffice.org

   [25.11.2008|16:24] C:\DOKUME~1\ToBa\ANWEND~1\OpenOffice.org2

   [09.01.2007|17:02] C:\DOKUME~1\ToBa\ANWEND~1\Propellerhead Software

   [09.12.2007|23:08] C:\DOKUME~1\ToBa\ANWEND~1\SecuROM

   [07.07.2008|20:45] C:\DOKUME~1\ToBa\ANWEND~1\Skype

   [05.11.2008|20:05] C:\DOKUME~1\ToBa\ANWEND~1\Songbird2

   [09.01.2007|16:23] C:\DOKUME~1\ToBa\ANWEND~1\Steinberg

   [17.12.2006|17:40] C:\DOKUME~1\ToBa\ANWEND~1\Sun

   [29.01.2007|20:49] C:\DOKUME~1\ToBa\ANWEND~1\Talkback

   [19.09.2009|20:44] C:\DOKUME~1\ToBa\ANWEND~1\Teleca

   [29.01.2007|20:49] C:\DOKUME~1\ToBa\ANWEND~1\Thunderbird

   [22.08.2008|15:48] C:\DOKUME~1\ToBa\ANWEND~1\Ubisoft

   [17.12.2006|20:15] C:\DOKUME~1\ToBa\ANWEND~1\vlc

   [02.09.2007|23:16] C:\DOKUME~1\ToBa\ANWEND~1\WinRAR

   [0|Datei(en)] C:\DOKUME~1\ToBa\ANWEND~1\Bytes

   [40|Verzeichnis(se),] C:\DOKUME~1\ToBa\ANWEND~1\Bytes frei

 

   --------------------\\  Geplante Aufgaben unter C:\WINDOWS\Tasks
 

   [23.11.2009 01:00][--a------] C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003UA.job

   [04.11.2009 11:00][--a------] C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003Core.job

   [23.11.2009 09:19][--ah-----] C:\WINDOWS\tasks\SA.DAT

   [18.08.2001 13:00][-r-h-----] C:\WINDOWS\tasks\desktop.ini
 

   --------------------\\  Ordner Verzeichnis unter C:\Programme
 

   [21.11.2009|16:57] C:\Programme\Ableton

   [23.12.2006|15:00] C:\Programme\ACD Systems

   [03.12.2008|19:50] C:\Programme\Adobe

   [19.09.2009|23:11] C:\Programme\AGEIA Technologies

   [19.03.2009|10:25] C:\Programme\AntiVir PersonalEdition Classic

   [22.09.2009|18:27] C:\Programme\Apple Software Update

   [05.10.2009|20:27] C:\Programme\Atari

   [20.04.2009|20:37] C:\Programme\AVerMedia

   [22.03.2009|17:15] C:\Programme\Avira

   [13.09.2009|09:40] C:\Programme\AVS4YOU

   [07.12.2008|00:07] C:\Programme\Bethesda Softworks

   [22.09.2009|18:30] C:\Programme\Bonjour

   [23.12.2006|15:55] C:\Programme\Canon

   [23.12.2006|15:42] C:\Programme\CanonBJ

   [22.11.2009|20:43] C:\Programme\CCleaner

   [15.12.2006|12:01] C:\Programme\ComPlus Applications

   [15.10.2008|18:49] C:\Programme\Convar

   [16.12.2006|23:58] C:\Programme\DAEMON Tools

   [13.10.2008|21:10] C:\Programme\Data Doctor Recovery Digital Camera (Demo)

   [04.01.2008|23:19] C:\Programme\DivX

   [21.05.2009|21:07] C:\Programme\Doom 3

   [13.06.2009|13:04] C:\Programme\DSound

   [03.01.2007|01:29] C:\Programme\DVD Shrink

   [02.09.2007|22:33] C:\Programme\EA GAMES

   [06.07.2007|22:17] C:\Programme\EA SPORTS

   [06.01.2007|15:38] C:\Programme\Electronic Arts

   [21.06.2009|15:39] C:\Programme\eMule

   [26.12.2006|19:48] C:\Programme\FileZilla

   [03.09.2008|22:39] C:\Programme\Foxit Software

   [18.02.2007|18:46] C:\Programme\funkitron

   [31.01.2008|16:17] C:\Programme\GameSpy

   [02.10.2009|12:52] C:\Programme\Gemeinsame Dateien

   [18.01.2009|18:24] C:\Programme\Google

   [08.01.2007|14:08] C:\Programme\Hamachi

   [13.06.2009|13:04] C:\Programme\InstallShield Installation Information

   [15.12.2006|12:16] C:\Programme\Intel

   [04.11.2009|12:41] C:\Programme\Internet Explorer

   [22.09.2009|18:30] C:\Programme\iPod

   [08.10.2009|18:22] C:\Programme\Java

   [25.11.2008|16:25] C:\Programme\JRE

   [16.12.2006|14:28] C:\Programme\Lavalys

   [25.11.2008|16:23] C:\Programme\licenses

   [12.04.2009|01:42] C:\Programme\Logitech

   [22.11.2009|20:59] C:\Programme\Malwarebytes' Anti-Malware

   [28.06.2009|14:51] C:\Programme\M-Audio

   [12.10.2008|14:32] C:\Programme\Messenger

   [02.10.2009|12:54] C:\Programme\Microsoft

   [15.12.2006|12:03] C:\Programme\microsoft frontpage

   [24.02.2009|12:30] C:\Programme\Microsoft Office

   [17.10.2009|13:37] C:\Programme\Microsoft SQL Server

   [24.02.2009|12:30] C:\Programme\Microsoft Works

   [22.05.2009|23:22] C:\Programme\Microsoft.NET

   [08.01.2007|13:22] C:\Programme\Miranda IM

   [12.10.2008|14:30] C:\Programme\Movie Maker

   [22.11.2009|21:37] C:\Programme\Mozilla Firefox

   [08.11.2009|18:50] C:\Programme\Mozilla Thunderbird

   [06.08.2007|18:40] C:\Programme\MSBuild

   [16.12.2006|13:57] C:\Programme\MSI

   [15.12.2006|12:00] C:\Programme\MSN

   [15.12.2006|12:00] C:\Programme\MSN Gaming Zone

   [01.01.2007|23:30] C:\Programme\MSXML 4.0

   [15.08.2007|12:42] C:\Programme\MSXML 6.0

   [07.12.2008|15:21] C:\Programme\MyPhoneExplorer

   [05.10.2007|21:26] C:\Programme\Native Instruments

   [21.12.2006|20:23] C:\Programme\Nero

   [12.10.2008|14:29] C:\Programme\NetMeeting

   [11.11.2007|19:01] C:\Programme\NVIDIA

   [15.12.2006|12:01] C:\Programme\Online Services

   [15.12.2006|12:02] C:\Programme\Online-Dienste

   [11.05.2008|23:00] C:\Programme\OpenAL

   [25.11.2008|16:25] C:\Programme\OpenOffice.org 2.1

   [25.11.2008|16:25] C:\Programme\OpenOffice.org 3

   [16.08.2009|14:11] C:\Programme\Outlook Express

   [16.10.2007|23:02] C:\Programme\Paint.NET

   [21.05.2009|21:17] C:\Programme\PokerStars.NET

   [09.01.2007|16:26] C:\Programme\Propellerhead

   [22.09.2009|18:29] C:\Programme\QuickTime

   [16.06.2009|20:58] C:\Programme\RdDrv001

   [25.11.2008|16:23] C:\Programme\readmes

   [15.12.2006|13:18] C:\Programme\Realtek

   [06.08.2007|18:37] C:\Programme\Reference Assemblies

   [13.01.2007|00:07] C:\Programme\Setup Files

   [08.01.2007|13:49] C:\Programme\Skype

   [19.07.2009|19:01] C:\Programme\Songbird

   [12.01.2007|22:17] C:\Programme\SpeedFan

   [07.04.2007|22:10] C:\Programme\Steinberg

   [09.01.2007|16:22] C:\Programme\Syncrosoft

   [31.01.2008|15:36] C:\Programme\SystemRequirementsLab

   [21.11.2009|23:34] C:\Programme\TC Electronic

   [08.11.2009|14:47] C:\Programme\Team MediaPortal

   [08.01.2007|13:55] C:\Programme\THQ

   [15.11.2009|15:15] C:\Programme\Trend Micro

   [09.12.2007|23:23] C:\Programme\Ubi Soft

   [20.03.2009|16:58] C:\Programme\Ubisoft

   [02.09.2007|14:19] C:\Programme\UltraEdit-32

   [15.12.2006|12:08] C:\Programme\Uninstall Information

   [17.12.2006|18:09] C:\Programme\VideoLAN

   [07.04.2007|22:11] C:\Programme\Vokator

   [21.11.2009|23:40] C:\Programme\VSTPlugins

   [08.11.2009|14:27] C:\Programme\WinAce

   [02.10.2009|12:54] C:\Programme\Windows Live

   [02.10.2009|12:54] C:\Programme\Windows Live SkyDrive

   [18.02.2007|20:47] C:\Programme\Windows Media Connect 2

   [12.10.2008|14:29] C:\Programme\Windows Media Player

   [12.10.2008|14:29] C:\Programme\Windows NT

   [15.12.2006|12:02] C:\Programme\WindowsUpdate

   [03.06.2007|21:02] C:\Programme\winLAME

   [21.03.2008|20:07] C:\Programme\WinMerge

   [03.09.2007|09:50] C:\Programme\WinRAR

   [15.12.2006|12:03] C:\Programme\xerox

   [17.12.2006|18:07] C:\Programme\Xvid

   [0|Datei(en)] C:\Programme\Bytes

   [113|Verzeichnis(se),] C:\Programme\Bytes frei
 

   --------------------\\  Ordner Verzeichnis unter C:\Programme\Gemeinsame Dateien
 

   [23.12.2006|15:00] C:\Programme\Gemeinsame Dateien\ACD Systems

   [03.12.2008|19:50] C:\Programme\Gemeinsame Dateien\Adobe

   [21.10.2007|21:09] C:\Programme\Gemeinsame Dateien\Adobe Systems Shared

   [21.12.2006|20:25] C:\Programme\Gemeinsame Dateien\Ahead

   [22.09.2009|18:30] C:\Programme\Gemeinsame Dateien\Apple

   [20.04.2009|20:36] C:\Programme\Gemeinsame Dateien\AVerMedia

   [13.09.2009|09:26] C:\Programme\Gemeinsame Dateien\AVSMedia

   [23.12.2006|15:45] C:\Programme\Gemeinsame Dateien\CANON

   [24.02.2009|12:30] C:\Programme\Gemeinsame Dateien\DESIGNER

   [15.12.2006|12:02] C:\Programme\Gemeinsame Dateien\Dienste

   [02.09.2007|20:08] C:\Programme\Gemeinsame Dateien\InstallShield

   [17.12.2006|17:38] C:\Programme\Gemeinsame Dateien\Java

   [12.04.2009|01:42] C:\Programme\Gemeinsame Dateien\Logitech

   [18.10.2009|20:14] C:\Programme\Gemeinsame Dateien\Microsoft Shared

   [15.12.2006|12:02] C:\Programme\Gemeinsame Dateien\MSSoap

   [07.04.2007|20:11] C:\Programme\Gemeinsame Dateien\Native Instruments

   [15.12.2006|11:56] C:\Programme\Gemeinsame Dateien\ODBC

   [08.01.2007|13:49] C:\Programme\Gemeinsame Dateien\Skype

   [15.12.2006|11:56] C:\Programme\Gemeinsame Dateien\SpeechEngines

   [12.10.2008|14:29] C:\Programme\Gemeinsame Dateien\System

   [07.10.2009|18:10] C:\Programme\Gemeinsame Dateien\Teleca Shared

   [02.10.2009|12:52] C:\Programme\Gemeinsame Dateien\Windows Live

   [0|Datei(en)] C:\Programme\Gemeinsame Dateien\Bytes

   [24|Verzeichnis(se),] C:\Programme\Gemeinsame Dateien\Bytes frei
 

   --------------------\\  Process
 

   ( 55 Processes )
 

   ... OK !
 

   --------------------\\  Ueberpruefung mit S_Lop
 

   Kein Lop Ordner gefunden !

 

   --------------------\\  Suche nach Lop Dateien - Ordnern
 

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsc1AE.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh42.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh43.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh4D.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nso186B.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nso48.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsq5B.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nssD.tmp

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsu3.tmp

   C:\DOKUME~1\ToBa\Cookies\toba@advertising[1].txt

 

   --------------------\\  Suche innerhalb der Registry

 

   ..... OK !
 

   --------------------\\  Ueberpruefung der Hosts Datei
 

   Hosts Datei SAUBER
 
 

   --------------------\\  Suche nach verborgenen Dateien mit Catchme

 

   catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

   Rootkit scan 2009-11-23 09:22:46

   Windows 5.1.2600 Service Pack 3 NTFS

   scanning hidden processes ...

   scanning hidden files ...

   scan completed successfully

   hidden processes: 0

   hidden files: 0

 

   --------------------\\  Suche nach anderen Infektionen
 

   --------------------\\  Cracks & Keygens ..
 

   C:\DOKUME~1\ToBa\Anwendungsdaten\Azureus\torrents\Depeche+Mode-Sounds+Of+the+Universe.mp3.by.crackmanec.torrent
 
 

   [F:1297][D:172]-> C:\DOKUME~1\ToBa\LOKALE~1\Temp

   [F:81][D:0]-> C:\DOKUME~1\ToBa\Cookies

   [F:1060][D:11]-> C:\DOKUME~1\ToBa\LOKALE~1\TEMPOR~1\content.IE5
 

   1 - "C:\Lop SD\LopR_1.txt" - 23.11.2009| 9:24 - Option : [1]
 

   --------------------\\  Scan beendet um  9:24:03

Zitat:

--------------------\\ Cracks & Keygens ..
C:\DOKUME~1\ToBa\Anwendungsdaten\Azureus\torrents\Depeche+Mode-Sounds+Of+the+Universe.mp3.by.crackmanec.torrent

Das ist weder ein Crack noch ein Keygen, aber ein Torrent zu besagtem Album. Solltest Du besser lassen, sonst bekommst Du rechtliche Probleme und es ist nicht soo unwahrscheinlich Post von irgendeinem Anwalt der Musikindustrie zu bekommen. Hatte erst letzens in der Nachbarschaft so einen Fall, die sich auch Musik über Bittorrent gezogen hatten - 450 EUR Lehrgeld! :balla:

Mach einen Durchlauf mit Combofix:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hi Arne,

ja, die Sache mit den Torrents seh ich genauso, deswegen mach ichs ja auch nicht mehr ;)

Ich glaube, mein System ist auf dem Weg der Besserung nach den ganzen Tools, durch die du mich jetzt durchgejagt hast. Abgesehen von der csrss.exe (ist die überhaupt gefährlich?) tauchen die genannten fragwürdigen Prozesse nicht mehr auf. Den IE mit der Werbung habe ich auch schon eine Weile nicht mehr gesehen (wobei ich das noch ein Weilchen beobachten muss, lange war der Rechner seit den Tools nicht an). Wie steht es denn um meinen Rechner?

Gruß
Thomas

Hier das Log von Combofix:

Code:

ComboFix 09-11-22.08 - ToBa 23.11.2009 21:23.1.2 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.3070.2565 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\ToBa\Desktop\cofi.exe

AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\windows\system32\tmp84.tmp

c:\windows\system32\tmp85.tmp
 

.

(((((((((((((((((((((((   Dateien erstellt von 2009-10-23 bis 2009-11-23  ))))))))))))))))))))))))))))))

.
 

2009-11-23 08:21 . 2009-11-23 08:24        --------        d-----w-        C:\Lop SD

2009-11-22 23:40 . 2009-11-22 23:40        --------        d-----w-        C:\rsit

2009-11-22 19:59 . 2009-11-22 19:59        --------        d-----w-        c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Malwarebytes

2009-11-22 19:59 . 2009-09-10 13:54        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2009-11-22 19:59 . 2009-11-22 19:59        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2009-11-22 19:59 . 2009-11-22 19:59        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2009-11-22 19:59 . 2009-09-10 13:53        19160        ----a-w-        c:\windows\system32\drivers\mbam.sys

2009-11-22 19:43 . 2009-11-22 19:43        --------        d-----w-        c:\programme\CCleaner

2009-11-21 22:34 . 2009-11-21 22:34        --------        d-----w-        c:\programme\TC Electronic

2009-11-15 14:15 . 2009-11-15 14:15        --------        d-----w-        c:\programme\Trend Micro
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2009-11-22 13:30 . 2008-11-25 15:33        1        ----a-w-        c:\dokumente und einstellungen\ToBa\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys

2009-11-21 22:40 . 2007-02-24 15:24        --------        d-----w-        c:\programme\VSTPlugins

2009-11-21 16:01 . 2007-02-08 19:19        --------        d-----w-        c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Ableton

2009-11-21 15:57 . 2007-02-08 19:19        --------        d-----w-        c:\programme\Ableton

2009-11-14 17:13 . 2009-09-10 21:59        48        ----a-w-        c:\windows\popcinfot.dat

2009-11-11 23:54 . 2009-02-24 11:27        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help

2009-11-08 17:50 . 2007-01-29 19:49        --------        d-----w-        c:\programme\Mozilla Thunderbird

2009-11-08 13:47 . 2009-05-22 22:18        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Team MediaPortal

2009-11-08 13:47 . 2009-05-22 22:17        --------        d-----w-        c:\programme\Team MediaPortal

2009-11-08 13:27 . 2006-12-17 14:07        --------        d-----w-        c:\programme\WinAce

2009-10-17 12:41 . 2001-08-18 12:00        99674        ----a-w-        c:\windows\system32\perfc007.dat

2009-10-17 12:41 . 2001-08-18 12:00        498730        ----a-w-        c:\windows\system32\perfh007.dat

2009-10-17 12:37 . 2009-05-22 22:17        --------        d-----w-        c:\programme\Microsoft SQL Server

2009-10-08 17:22 . 2006-12-17 16:39        --------        d-----w-        c:\programme\Java

2009-10-08 17:21 . 2009-10-08 17:21        152576        ----a-w-        c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Sun\Java\jre1.6.0_15\lzma.dll

2009-10-07 17:10 . 2006-12-30 22:09        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Teleca

2009-10-07 17:10 . 2006-12-30 22:09        --------        d-----w-        c:\programme\Gemeinsame Dateien\Teleca Shared

2009-10-05 19:27 . 2009-10-05 19:27        --------        d-----w-        c:\programme\Atari

2009-10-04 21:50 . 2006-12-16 23:42        107888        ----a-w-        c:\windows\system32\CmdLineExt.dll

2009-10-04 21:46 . 2009-10-04 21:46        --------        dc-h--w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\{0691F710-1ECA-4B5A-9727-25554F1BFDC6}

2009-10-02 11:54 . 2009-10-02 11:54        --------        d-----w-        c:\programme\Microsoft

2009-10-02 11:54 . 2009-10-02 11:53        --------        d-----w-        c:\programme\Windows Live

2009-10-02 11:54 . 2009-10-02 11:54        --------        d-----w-        c:\programme\Windows Live SkyDrive

2009-10-02 11:52 . 2009-10-02 11:52        --------        d-----w-        c:\programme\Gemeinsame Dateien\Windows Live

2009-09-23 17:46 . 2009-09-23 17:46        35748        ---ha-w-        c:\windows\system32\mlfcache.dat

2009-09-11 14:17 . 2004-08-03 22:57        136192        ----a-w-        c:\windows\system32\msv1_0.dll

2009-09-08 19:43 . 2009-09-08 19:43        79144        ----a-w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.0.0.70\SetupAdmin.exe

2009-09-04 21:03 . 2004-08-03 22:57        58880        ----a-w-        c:\windows\system32\msasn1.dll

2009-08-29 07:54 . 2004-08-03 22:57        916480        ----a-w-        c:\windows\system32\wininet.dll

2009-08-28 17:42 . 2009-09-22 17:27        40448        ----a-w-        c:\windows\system32\drivers\usbaapl.sys

2009-08-28 17:42 . 2009-09-22 17:27        2065696        ----a-w-        c:\windows\system32\usbaaplrc.dll

2009-08-26 08:00 . 2004-08-03 22:57        247326        ----a-w-        c:\windows\system32\strmdll.dll

2008-09-30 16:09 . 2008-09-30 16:09        135427055        ----a-w-        c:\programme\openofficeorg1.cab

2008-09-30 15:48 . 2008-09-30 15:48        217        ----a-w-        c:\programme\setup.ini

2008-09-30 15:48 . 2008-09-30 15:48        9776640        ----a-w-        c:\programme\openofficeorg30.msi

2002-03-11 09:06 . 2002-03-11 09:06        1822520        ----a-w-        c:\programme\instmsiw.exe

2002-03-11 08:45 . 2002-03-11 08:45        1708856        ----a-w-        c:\programme\instmsia.exe

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"Google Update"="c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" [2008-09-03 133104]

"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"DAEMON Tools"="c:\programme\DAEMON Tools\daemon.exe" [2005-11-08 128920]

"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]

"Easy-PrintToolBox"="c:\programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 409600]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-05 8523776]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-12-05 81920]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]

"Start WingMan Profiler"="c:\programme\Logitech\Gaming Software\LWEMon.exe" [2007-09-25 93208]

"M-Audio Taskbar Icon"="c:\windows\System32\M-AudioTaskBarIcon.exe" [2008-05-15 356864]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-09-04 417792]

"iTunesHelper"="d:\programme\iTunes\iTunesHelper.exe" [2009-09-08 305440]

"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-07-25 149280]

"Malwarebytes Anti-Malware (reboot)"="c:\programme\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080]

"SkyTel"="SkyTel.EXE" - c:\windows\SkyTel.exe [2006-05-16 2879488]

"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2006-11-14 16270848]

"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-12-05 1626112]
 

c:\dokumente und einstellungen\ToBa\Startmen\Programme\Autostart\

Adobe Gamma.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2005-3-16 113664]
 

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\

AVer HID Receiver.lnk - c:\programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe [2009-4-20 159744]

AVerQuick.lnk - c:\programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe [2009-4-20 663552]
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"
 

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

"AntiVirusOverride"=dword:00000001
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\Miranda IM\\miranda32.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\eMule\\emule.exe"=

"c:\\Programme\\Hamachi\\hamachi.exe"=

"d:\\webserver\\apache\\bin\\httpd.exe"=

"d:\\Programme\\Azureus\\Azureus.exe"=

"d:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=

"d:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=

"c:\\WINDOWS\\system32\\PnkBstrA.exe"=

"c:\\WINDOWS\\system32\\PnkBstrB.exe"=

"d:\\Programme\\Codemasters\\GRID\\GRID.exe"=

"c:\\Programme\\Skype\\Phone\\Skype.exe"=

"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx9.exe"=

"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx10.exe"=

"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Launcher.exe"=

"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

"d:\\Programme\\Ubisoft\\Funatics\\Die Siedler II - Die nächste Generation\\bin\\s2dng_addon.exe"=

"c:\\Programme\\Mozilla Firefox\\firefox.exe"=

"d:\\Programme\\Steam\\steamapps\\common\\peggle extreme\\PeggleExtreme.exe"=

"d:\\Programme\\Steam\\steamapps\\common\\world of goo\\WorldOfGoo.exe"=

"d:\\Programme\\Steam\\steamapps\\common\\plants vs zombies\\PlantsVsZombies.exe"=

"c:\\Programme\\Bonjour\\mDNSResponder.exe"=

"d:\\Programme\\iTunes\\iTunes.exe"=

"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=

"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
 

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [22.03.2009 17:15 108289]

R2 AVerRemote;AVerRemote;c:\programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe [20.04.2009 20:36 352256]

R2 AVerScheduleService;AVerScheduleService;c:\programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe [20.04.2009 20:36 409600]

R3 MAUSBFT;Service for M-Audio Fast Track USB (WDM);c:\windows\system32\drivers\mausbft.sys [28.06.2009 14:51 132096]

S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [16.12.2006 23:56 664064]

S3 androidusb;ADB Interface Driver;c:\windows\system32\Drivers\androidusb.sys --> c:\windows\system32\Drivers\androidusb.sys [?]

S3 Apache2.2;Apache2.2;d:\webserver\apache\bin\httpd.exe [09.01.2007 22:17 20539]

S3 AVerAF15DMBTH;AVerMedia A850 USB;c:\windows\system32\drivers\AVerAF15DMBTH.sys [20.04.2009 20:37 293120]

S3 HTCAND32;HTC Device Driver;c:\windows\system32\Drivers\ANDROIDUSB.sys --> c:\windows\system32\Drivers\ANDROIDUSB.sys [?]

S3 MA763010;M-Audio Fast Track;c:\windows\system32\drivers\MA763010.sys [16.06.2009 20:32 30848]

S3 s3017bus;Sony Ericsson Device 3017 driver (WDM);c:\windows\system32\drivers\s3017bus.sys [07.12.2008 15:52 83880]

S3 s3017mdfl;Sony Ericsson Device 3017 USB WMC Modem Filter;c:\windows\system32\drivers\s3017mdfl.sys [07.12.2008 15:53 15016]

S3 s3017mdm;Sony Ericsson Device 3017 USB WMC Modem Driver;c:\windows\system32\drivers\s3017mdm.sys [07.12.2008 15:53 110632]

S3 s3017mgmt;Sony Ericsson Device 3017 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s3017mgmt.sys [07.12.2008 15:57 104616]

S3 s3017nd5;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (NDIS);c:\windows\system32\drivers\s3017nd5.sys [07.12.2008 16:01 25512]

S3 s3017obex;Sony Ericsson Device 3017 USB WMC OBEX Interface;c:\windows\system32\drivers\s3017obex.sys [07.12.2008 15:54 100648]

S3 s3017unic;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (WDM);c:\windows\system32\drivers\s3017unic.sys [07.12.2008 15:58 110120]

S3 zlportio;zlportio;\??\d:\eigene dateien\Downloads\ultrastar-dx-100\zlportio.sys --> d:\eigene dateien\Downloads\ultrastar-dx-100\zlportio.sys [?]

.

Inhalt des "geplante Tasks" Ordners
 

2009-11-04 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003Core.job

- c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2008-09-03 00:20]
 

2009-11-23 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003UA.job

- c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2008-09-03 00:20]

.

.

------- Zusätzlicher Suchlauf -------

.

uInternet Settings,ProxyOverride = *.local

IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200

IE: Easy-WebPrint - Drucken - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html

IE: Easy-WebPrint - Schnelldruck - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html

IE: Easy-WebPrint - Vorschau - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html

IE: Easy-WebPrint - Zu Druckliste hinzufügen - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html

IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000

FF - ProfilePath - c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Mozilla\Firefox\Profiles\h9gzpjht.default\

FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\id Software\QuakeLive\npquakezero.dll

FF - plugin: c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Mozilla\Firefox\Profiles\h9gzpjht.default\extensions\battlefieldheroespatcher@ea.com\platform\WINNT_x86-msvc\plugins\npBFHUpdater.dll

FF - plugin: c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.2.183.13\npGoogleOneClick8.dll

FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll

FF - plugin: d:\programme\iTunes\Mozilla Plugins\npitunes.dll

FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
 

---- FIREFOX Richtlinien ----

c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl3.rsa_seed_sha", true);

.
 

**************************************************************************

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 
 

**************************************************************************
 

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MySQL]

"ImagePath"="\"d:\webserver\mysql\bin\mysqld-nt\" --defaults-file=\"d:\webserver\mysql\my.ini\" MySQL"

.

--------------------- Gesperrte Registrierungsschluessel ---------------------
 

[HKEY_USERS\S-1-5-21-776561741-1425521274-682003330-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]

"??"=hex:5e,d4,27,50,d7,20,3f,b9,8b,23,85,52,6e,1d,ee,05,cb,9d,85,cd,b9,c6,e0,

   87,ac,a6,26,e2,15,e7,d2,e9,7b,51,41,82,e2,2a,8b,84,42,25,b0,ed,a0,c5,9d,4c,\

"??"=hex:e2,06,90,c3,a9,ab,f7,ca,1c,f7,63,d7,3e,f2,89,5d
 

[HKEY_USERS\S-1-5-21-776561741-1425521274-682003330-1003\Software\SecuROM\License information*]

"datasecu"=hex:aa,08,40,d2,c3,da,74,15,f9,29,8d,88,82,6d,a6,f1,68,f4,4a,55,dd,

   67,e7,f6,ea,55,85,75,d5,32,e8,fa,80,e6,81,53,9d,de,5d,f0,d8,37,e4,e2,cf,44,\

"rkeysecu"=hex:aa,97,81,e1,d8,5e,7c,41,07,25,69,f8,a8,2e,cf,7f

.

Zeit der Fertigstellung: 2009-11-23 21:28

ComboFix-quarantined-files.txt  2009-11-23 20:27
 

Vor Suchlauf: 9 Verzeichnis(se), 16.622.424.064 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 17.701.457.920 Bytes frei
 

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
 

- - End Of File - - 64DE4BFC29CCC5232A35B582489F3593

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

KILLALL::
 

Folder::

c:\Programme\eMule

d:\Programme\Azureus
 

File::

c:\windows\popcinfot.dat

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe (oder eben cofi.exe), so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hi,

hier ist das Log. http://www.file-upload.net/download-2034869/cofilog.txt.html

Wie siehts aus?

Gerade eben ratterte hier die Festplatte und Avira meldete den Trojaner TR\Trash.Gen irgendwo in Ordner C:\System Volume Information.

:(

Das Cofilog sieht soweit ok aus.

Zitat:

Trojaner TR\Trash.Gen irgendwo in Ordner C:\System Volume Information.

Trash/Gen = Sowas meldet AntiVir bei "defekten" Schädlingen, solchen Dateien bei den MalwareBytes oder ein anderer Virenscanner die Dateien so verändert hat, dasss sie keinen wirklichen Schaden mehr anrichten können.

System Volume Information = Ort für die Dateien der Systemwiederherstellung. Du kannst sie deaktivieren, dann sind die Meldungen weg, aber auch alle bisher angelegten Wiederherstellungspunkte gelöscht.

Wie ist es sonst um Deinen Rechner bestellt?

Hi Arne,

Der IE ist an den letzten zwei Abenden nicht mehr aufgetaucht (der PC lief jeweils 3-4 Stunden) und die verdächtigen Prozesse (b.exe, msb.exe, msa.exe) tauchen auch nicht mehr auf.

Also abgesehen von den harmlosen Trash.Gen-Meldungen würde ich sagen, dass alles ok ist.

Vielen vielen Dank für deine Hilfe. Ich muss ehrlich sagen, dass ich beeindruckt bin von dem Service hier. Ich verstehe zwar noch nicht, warum ihr euch hier die Mühe macht, Leuten wie mir zu helfen, bin aber sehr dankbar, dass ihr es tut. Und ich würde mich gerne irgendwie revanchieren. Gibts hier irgendwo einen Spenden-Button oder eine anderen Möglichkeit euch zu unterstützen?

Zitat:

Zitat von toba303 (Beitrag 482832)

Und ich würde mich gerne irgendwie revanchieren. Gibts hier irgendwo einen Spenden-Button oder eine anderen Möglichkeit euch zu unterstützen?

Kann ich Dir meine Bankverbindung per PN schicken?! :blabla:

Probier es aus ;)

Aber, in anbetracht der Jahreszeit ist vielleicht der Link zur Amazon-Wunschliste angemessener.

Wieso, Du musst mir doch nicht viel überweisen!? :eek: Ein kleiner dreistelliger Betrag und ich bin zufrieden! ;)