Trojaner-Board - Trojaner / Malware ? Mail Account hat Spam Mails verschickt

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Trojaner / Malware ? Mail Account hat Spam Mails verschickt (https://www.trojaner-board.de/116160-trojaner-malware-mail-account-hat-spam-mails-verschickt.html)

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

Firefox::

FF - ProfilePath - c:\dokumente und einstellungen\test\Anwendungsdaten\Mozilla\Firefox\Profiles\605jkkz1.default\

FF - prefs.js: browser.search.selectedEngine - Bing

FF - prefs.js: browser.startup.homepage - http://www.web.de/

FF - user.js: extensions.BabylonToolbar_i.babTrack - affID=110819&tl=gbn193052&tt=050412_30b

FF - user.js: extensions.BabylonToolbar_i.babExt - 

FF - user.js: extensions.BabylonToolbar_i.srcExt - ss

FF - user.js: extensions.BabylonToolbar_i.id - 4c9fa22b000000000000000e356ecbd5

FF - user.js: extensions.BabylonToolbar_i.hardId - 4c9fa22b000000000000000e356ecbd5

FF - user.js: extensions.BabylonToolbar_i.instlDay - 15435

FF - user.js: extensions.BabylonToolbar_i.vrsn - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsni - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsnTs - 1.5.3.1720:50

FF - user.js: extensions.BabylonToolbar_i.prtnrId - babylon

FF - user.js: extensions.BabylonToolbar_i.prdct - BabylonToolbar

FF - user.js: extensions.BabylonToolbar_i.aflt - babsst

FF - user.js: extensions.BabylonToolbar_i.smplGrp - none

FF - user.js: extensions.BabylonToolbar_i.tlbrId - tb9

FF - user.js: extensions.BabylonToolbar_i.instlRef - sst

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo Arne

hier das neue Logfile von Combofix:

Code:

ComboFix 12-06-09.01 - test 09.06.2012  19:41:26.3.1 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.1270.907 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\test\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\test\Desktop\CFScript.txt

.

.

(((((((((((((((((((((((   Dateien erstellt von 2012-05-09 bis 2012-06-09  ))))))))))))))))))))))))))))))

.

.

2012-06-06 19:01 . 2012-06-06 19:01        --------        d-----w-        C:\_OTL

2012-06-04 17:23 . 2012-06-04 17:23        --------        d-----w-        c:\programme\ESET

2012-06-04 14:17 . 2012-06-04 14:17        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2012-05-21 18:34 . 2012-05-21 18:34        --------        d-----w-        c:\dokumente und einstellungen\test\Downloads

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-05-31 13:22 . 2008-04-14 12:00        604160        ----a-w-        c:\windows\system32\crypt32.dll

2012-05-06 13:42 . 2012-04-05 07:34        419488        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

2012-05-06 13:42 . 2011-05-24 12:15        70304        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2012-04-11 13:51 . 2008-04-14 07:30        2071424        ----a-w-        c:\windows\system32\ntkrnlpa.exe

2012-04-11 13:51 . 2008-04-14 12:00        1862400        ----a-w-        c:\windows\system32\win32k.sys

2012-04-11 13:51 . 2008-04-14 12:00        2194944        ----a-w-        c:\windows\system32\ntoskrnl.exe

2012-01-23 09:49 . 2012-01-23 09:35        39401336        ----a-w-        c:\programme\QuickTimeInstaller.exe

2011-12-07 12:58 . 2011-12-07 12:58        541544        ----a-w-        c:\programme\7z920.exe

2010-04-11 20:36 . 2010-04-11 19:43        152882016        ----a-w-        c:\programme\OOo_3.2.0_Win32Intel_install_de.exe

2010-02-05 08:27 . 2010-02-05 08:27        918816        ----a-w-        c:\programme\jxpiinstall(2).exe

2010-02-05 08:25 . 2010-02-05 08:25        918816        ----a-w-        c:\programme\jxpiinstall.exe

2009-04-27 13:50 . 2009-04-27 13:47        7456256        ----a-w-        c:\programme\irfanview_plugins_422_setup.exe

2009-04-27 13:45 . 2009-04-25 12:35        1345024        ----a-w-        c:\programme\iview423_setup.exe

2009-04-25 12:34 . 2009-04-25 12:27        17194560        ----a-w-        c:\programme\cibpdfbrewer.exe

2012-04-21 01:18 . 2011-10-25 12:19        97208        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll

.

.

(((((((((((((((((((((((((((((   SnapShot_2012-06-08_05.04.07   )))))))))))))))))))))))))))))))))))))))))

.

+ 2012-06-09 16:43 . 2012-06-09 16:43        16384              c:\windows\Temp\Perflib_Perfdata_d8.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2004-05-12 155648]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2004-05-13 118784]

"AGRSMMSG"="AGRSMMSG.exe" [2003-02-14 88107]

"LtMoh"="c:\programme\ltmoh\Ltmoh.exe" [2002-11-25 172032]

"LaunchAp"="c:\programme\Launch Manager\LaunchAp.exe" [2003-05-12 32768]

"HotkeyApp"="c:\programme\Launch Manager\HotkeyApp.exe" [2003-09-04 40960]

"CtrlVol"="c:\programme\Launch Manager\CtrlVol.exe" [2003-08-22 20480]

"LMgrOSD"="c:\programme\Launch Manager\OSD.exe" [2003-06-25 204800]

"Wbutton"="c:\programme\Launch Manager\Wbutton.exe" [2003-09-08 65536]

"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2010-02-18 202256]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2011-10-24 421888]

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-06-09 254696]

"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-03 843712]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

Microsoft-Indexerstellung.lnk - c:\programme\Microsoft Office\Office\FINDFAST.EXE [1997-10-18 111376]

Office-Start.lnk - c:\programme\Microsoft Office\Office\OSA.EXE [1997-10-18 51984]

VR-NetWorld Auftragsprüfung.lnk - c:\programme\VR-NetWorld\vrtoolcheckorder.exe [2011-10-26 1137152]

WISO Mein Steuer-Sparbuch heute.lnk - c:\programme\WISO\Steuersoftware 2012\mshaktuell.exe [2012-1-3 1380464]

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

.

R0 TwkMs;CHIPDRIVE Mouse Adapter;c:\windows\system32\drivers\TWKMS.sys [24.04.2003 02:14 4828]

R1 bizVSerial;Franson VSerial;c:\windows\system32\drivers\bizVSerialNT.sys [29.10.2011 12:58 14949]

R2 cjpcsc;cyberJack PC/SC COM Service ;c:\windows\system32\cjpcsc.exe [29.10.2011 12:58 511920]

R2 Update-Service;Update-Service;c:\windows\System32\svchost.exe -k Update-Service [14.04.2008 14:00 14336]

R3 WBMS;Winbond Memory Stick Storage (MS) Device Driver;c:\windows\system32\drivers\wbms.sys [17.04.2009 17:56 30464]

R3 WBSD;Winbond Secure Digital Storage (SD/MMC) Device Driver;c:\windows\system32\drivers\wbsd.sys [17.04.2009 17:56 26240]

S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [05.04.2012 09:34 257696]

S3 CHIPDRIVE USB SmartCardReader;CHIPDRIVE USB SmartCardReader;c:\windows\system32\drivers\TwkUsb2K.sys [19.09.2005 03:07 35275]

S3 cjusb;REINER SCT cyberJack USB Driver;c:\windows\system32\drivers\cjusb.sys [29.10.2011 12:58 28144]

S3 libusb0;LibUsb-Win32 - Kernel Driver 09/17/2010, 1.2.1.0;c:\windows\system32\drivers\libusb0.sys [06.11.2010 14:11 35008]

S3 MozillaMaintenance;Mozilla Maintenance Service;c:\programme\Mozilla Maintenance Service\maintenanceservice.exe [01.05.2012 15:30 129976]

S3 TWKSER2K;CHIPDRIVE Serial SmartCardReader;c:\windows\system32\drivers\TWKSER2K.sys [25.08.2004 15:06 185611]

S3 usb2vcom;USB Data Cable;c:\windows\system32\drivers\usb2vcom.sys [28.09.2009 13:31 29152]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

Update-Service-Installer-Service        REG_MULTI_SZ           Update-Service-Installer-Service

Update-Service        REG_MULTI_SZ           Update-Service

.

Inhalt des "geplante Tasks" Ordners

.

2012-06-09 c:\windows\Tasks\Adobe Flash Player Updater.job

- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-05 13:42]

.

2010-05-22 c:\windows\Tasks\Install.job

- c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2010-05-22 21:14]

.

2012-06-09 c:\windows\Tasks\RealUpgradeLogonTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job

- c:\programme\Real\RealUpgrade\realupgrade.exe [2010-02-09 17:38]

.

2012-06-09 c:\windows\Tasks\RealUpgradeScheduledTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job

- c:\programme\Real\RealUpgrade\realupgrade.exe [2010-02-09 17:38]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = 

uInternet Settings,ProxyOverride = <local>

TCP: DhcpNameServer = 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\test\Anwendungsdaten\Mozilla\Firefox\Profiles\605jkkz1.default\

FF - prefs.js: browser.search.selectedEngine - Bing

FF - prefs.js: browser.startup.homepage - hxxp://www.web.de/

FF - user.js: extensions.BabylonToolbar_i.babTrack - affID=110819&tl=gbn193052&tt=050412_30b

FF - user.js: extensions.BabylonToolbar_i.babExt - 

FF - user.js: extensions.BabylonToolbar_i.srcExt - ss

FF - user.js: extensions.BabylonToolbar_i.id - 4c9fa22b000000000000000e356ecbd5

FF - user.js: extensions.BabylonToolbar_i.hardId - 4c9fa22b000000000000000e356ecbd5

FF - user.js: extensions.BabylonToolbar_i.instlDay - 15435

FF - user.js: extensions.BabylonToolbar_i.vrsn - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsni - 1.5.3.17

FF - user.js: extensions.BabylonToolbar_i.vrsnTs - 1.5.3.1720:50

FF - user.js: extensions.BabylonToolbar_i.prtnrId - babylon

FF - user.js: extensions.BabylonToolbar_i.prdct - BabylonToolbar

FF - user.js: extensions.BabylonToolbar_i.aflt - babsst

FF - user.js: extensions.BabylonToolbar_i.smplGrp - none

FF - user.js: extensions.BabylonToolbar_i.tlbrId - tb9

FF - user.js: extensions.BabylonToolbar_i.instlRef - sst

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2012-06-09 19:46

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(424)

c:\windows\system32\webcheck.dll

.

Zeit der Fertigstellung: 2012-06-09  19:48:55

ComboFix-quarantined-files.txt  2012-06-09 17:48

ComboFix2.txt  2012-06-08 05:07

ComboFix3.txt  2012-01-02 18:32

.

Vor Suchlauf: 13 Verzeichnis(se), 27.039.166.464 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 27.030.593.536 Bytes frei

.

- - End Of File - - 82AD132CF8D5DC50B9B7A9E5740652F0

Viele Grüße - Ulrike

Ah verdammt :eek: ich was entscheidendes in meinem Script vergessen :stirn:
Und zwar in der ersten Zeile muss ein "Firefox::" stehen. Mach das bitte nochmal mit dem scripten, ich habs in meinem Posting vom 08.06. schon korrigiert

Hallo Arne,

hier das neu Logfile

Code:

ComboFix 12-06-09.02 - test 10.06.2012  13:33:44.4.1 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.1270.788 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\test\Desktop\ComboFix.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\test\Desktop\CFScript.txt

.

.

(((((((((((((((((((((((   Dateien erstellt von 2012-05-10 bis 2012-06-10  ))))))))))))))))))))))))))))))

.

.

2012-06-06 19:01 . 2012-06-06 19:01        --------        d-----w-        C:\_OTL

2012-06-04 17:23 . 2012-06-04 17:23        --------        d-----w-        c:\programme\ESET

2012-06-04 14:17 . 2012-06-04 14:17        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2012-05-21 18:34 . 2012-05-21 18:34        --------        d-----w-        c:\dokumente und einstellungen\test\Downloads

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2012-05-31 13:22 . 2008-04-14 12:00        604160        ----a-w-        c:\windows\system32\crypt32.dll

2012-05-06 13:42 . 2012-04-05 07:34        419488        ----a-w-        c:\windows\system32\FlashPlayerApp.exe

2012-05-06 13:42 . 2011-05-24 12:15        70304        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2012-04-11 13:51 . 2008-04-14 07:30        2071424        ----a-w-        c:\windows\system32\ntkrnlpa.exe

2012-04-11 13:51 . 2008-04-14 12:00        1862400        ----a-w-        c:\windows\system32\win32k.sys

2012-04-11 13:51 . 2008-04-14 12:00        2194944        ----a-w-        c:\windows\system32\ntoskrnl.exe

2012-01-23 09:49 . 2012-01-23 09:35        39401336        ----a-w-        c:\programme\QuickTimeInstaller.exe

2011-12-07 12:58 . 2011-12-07 12:58        541544        ----a-w-        c:\programme\7z920.exe

2010-04-11 20:36 . 2010-04-11 19:43        152882016        ----a-w-        c:\programme\OOo_3.2.0_Win32Intel_install_de.exe

2010-02-05 08:27 . 2010-02-05 08:27        918816        ----a-w-        c:\programme\jxpiinstall(2).exe

2010-02-05 08:25 . 2010-02-05 08:25        918816        ----a-w-        c:\programme\jxpiinstall.exe

2009-04-27 13:50 . 2009-04-27 13:47        7456256        ----a-w-        c:\programme\irfanview_plugins_422_setup.exe

2009-04-27 13:45 . 2009-04-25 12:35        1345024        ----a-w-        c:\programme\iview423_setup.exe

2009-04-25 12:34 . 2009-04-25 12:27        17194560        ----a-w-        c:\programme\cibpdfbrewer.exe

2012-04-21 01:18 . 2011-10-25 12:19        97208        ----a-w-        c:\programme\mozilla firefox\components\browsercomps.dll

.

.

(((((((((((((((((((((((((((((   SnapShot_2012-06-08_05.04.07   )))))))))))))))))))))))))))))))))))))))))

.

+ 2012-06-10 11:21 . 2012-06-10 11:21        16384              c:\windows\Temp\Perflib_Perfdata_7a8.dat

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"IgfxTray"="c:\windows\system32\igfxtray.exe" [2004-05-12 155648]

"HotKeysCmds"="c:\windows\system32\hkcmd.exe" [2004-05-13 118784]

"AGRSMMSG"="AGRSMMSG.exe" [2003-02-14 88107]

"LtMoh"="c:\programme\ltmoh\Ltmoh.exe" [2002-11-25 172032]

"LaunchAp"="c:\programme\Launch Manager\LaunchAp.exe" [2003-05-12 32768]

"HotkeyApp"="c:\programme\Launch Manager\HotkeyApp.exe" [2003-09-04 40960]

"CtrlVol"="c:\programme\Launch Manager\CtrlVol.exe" [2003-08-22 20480]

"LMgrOSD"="c:\programme\Launch Manager\OSD.exe" [2003-06-25 204800]

"Wbutton"="c:\programme\Launch Manager\Wbutton.exe" [2003-09-08 65536]

"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2010-02-18 202256]

"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2011-10-24 421888]

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-06-09 254696]

"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-03 843712]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\

Microsoft-Indexerstellung.lnk - c:\programme\Microsoft Office\Office\FINDFAST.EXE [1997-10-18 111376]

Office-Start.lnk - c:\programme\Microsoft Office\Office\OSA.EXE [1997-10-18 51984]

VR-NetWorld Auftragsprüfung.lnk - c:\programme\VR-NetWorld\vrtoolcheckorder.exe [2011-10-26 1137152]

WISO Mein Steuer-Sparbuch heute.lnk - c:\programme\WISO\Steuersoftware 2012\mshaktuell.exe [2012-1-3 1380464]

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

.

R0 TwkMs;CHIPDRIVE Mouse Adapter;c:\windows\system32\drivers\TWKMS.sys [24.04.2003 02:14 4828]

R1 bizVSerial;Franson VSerial;c:\windows\system32\drivers\bizVSerialNT.sys [29.10.2011 12:58 14949]

R2 cjpcsc;cyberJack PC/SC COM Service ;c:\windows\system32\cjpcsc.exe [29.10.2011 12:58 511920]

R2 Update-Service;Update-Service;c:\windows\System32\svchost.exe -k Update-Service [14.04.2008 14:00 14336]

R3 WBMS;Winbond Memory Stick Storage (MS) Device Driver;c:\windows\system32\drivers\wbms.sys [17.04.2009 17:56 30464]

R3 WBSD;Winbond Secure Digital Storage (SD/MMC) Device Driver;c:\windows\system32\drivers\wbsd.sys [17.04.2009 17:56 26240]

S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [05.04.2012 09:34 257696]

S3 CHIPDRIVE USB SmartCardReader;CHIPDRIVE USB SmartCardReader;c:\windows\system32\drivers\TwkUsb2K.sys [19.09.2005 03:07 35275]

S3 cjusb;REINER SCT cyberJack USB Driver;c:\windows\system32\drivers\cjusb.sys [29.10.2011 12:58 28144]

S3 libusb0;LibUsb-Win32 - Kernel Driver 09/17/2010, 1.2.1.0;c:\windows\system32\drivers\libusb0.sys [06.11.2010 14:11 35008]

S3 MozillaMaintenance;Mozilla Maintenance Service;c:\programme\Mozilla Maintenance Service\maintenanceservice.exe [01.05.2012 15:30 129976]

S3 TWKSER2K;CHIPDRIVE Serial SmartCardReader;c:\windows\system32\drivers\TWKSER2K.sys [25.08.2004 15:06 185611]

S3 usb2vcom;USB Data Cable;c:\windows\system32\drivers\usb2vcom.sys [28.09.2009 13:31 29152]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

Update-Service-Installer-Service        REG_MULTI_SZ           Update-Service-Installer-Service

Update-Service        REG_MULTI_SZ           Update-Service

.

Inhalt des "geplante Tasks" Ordners

.

2012-06-09 c:\windows\Tasks\Adobe Flash Player Updater.job

- c:\windows\system32\Macromed\Flash\FlashPlayerUpdateService.exe [2012-04-05 13:42]

.

2010-05-22 c:\windows\Tasks\Install.job

- c:\windows\system32\Adobe\Shockwave 11\nssstub.exe [2010-05-22 21:14]

.

2012-06-10 c:\windows\Tasks\RealUpgradeLogonTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job

- c:\programme\Real\RealUpgrade\realupgrade.exe [2010-02-09 17:38]

.

2012-06-10 c:\windows\Tasks\RealUpgradeScheduledTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job

- c:\programme\Real\RealUpgrade\realupgrade.exe [2010-02-09 17:38]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = 

uInternet Settings,ProxyOverride = <local>

TCP: DhcpNameServer = 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\test\Anwendungsdaten\Mozilla\Firefox\Profiles\605jkkz1.default\

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2012-06-10 13:39

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(2324)

c:\windows\system32\webcheck.dll

.

Zeit der Fertigstellung: 2012-06-10  13:41:16

ComboFix-quarantined-files.txt  2012-06-10 11:41

ComboFix2.txt  2012-06-09 17:48

ComboFix3.txt  2012-06-08 05:07

ComboFix4.txt  2012-01-02 18:32

.

Vor Suchlauf: 13 Verzeichnis(se), 27.025.317.888 Bytes frei

Nach Suchlauf: 14 Verzeichnis(se), 27.014.160.384 Bytes frei

.

- - End Of File - - F12FEDD616C25F8F0CF633E3BB7FF5E7

Grüße - Ulrike

Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Noch ein Hinweis: Sollte aswMBR abstürzen und es kommt eine Meldung wie "aswMBR.exe funktioniert nicht mehr, dann mach Folgendes:
Starte aswMBR neu, wähle unten links im Drop-Down-Menü (unten links im Fenster von aswMBR) bei "AV scan" (none) aus und klick nochmal auf den Scan-Button.

Hallo Arne,

GMER ist zwar nicht abgestürzt, brachte aber eine Meldung: es konnten keine Modifikationen des Systems gefunden werden - oder so ähnlich.

Hier dann das Logfile von OSAM

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 19:51:07 on 10.06.2012
 

OS: Windows XP Professional Service Pack 3 (Build 2600)

Default Browser: Microsoft Corporation Internet Explorer 8.00.6001.18702
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Common]

-----( %SystemRoot%\Tasks )-----

"Adobe Flash Player Updater.job" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe

"Install.job" - "Symantec Corporation" - C:\WINDOWS\system32\Adobe\Shockwave 11\nssstub.exe

"RealUpgradeLogonTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job" - "RealNetworks, Inc." - C:\Programme\Real\RealUpgrade\realupgrade.exe

"RealUpgradeScheduledTaskS-1-5-21-1275210071-1993962763-1957994488-1003.job" - "RealNetworks, Inc." - C:\Programme\Real\RealUpgrade\realupgrade.exe
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"cjtpl.cpl" - " REINER SCT" - C:\WINDOWS\system32\cjtpl.cpl

"FINDFAST.CPL" - "Microsoft Corporation" - C:\WINDOWS\system32\FINDFAST.CPL

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl

"infocardcpl.cpl" - "Microsoft Corporation" - C:\WINDOWS\system32\infocardcpl.cpl

"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----

"QuickTime" - "Apple Inc." - C:\Programme\QuickTime\QTSystem\QuickTime.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"catchme" (catchme) - ? - C:\DOKUME~1\test\LOKALE~1\Temp\catchme.sys  (File not found)

"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)

"CHIPDRIVE Serial SmartCardReader" (TWKSER2K) - "SCM Microsystems Inc." - C:\WINDOWS\System32\DRIVERS\TWKSER2K.sys

"CHIPDRIVE USB SmartCardReader" (CHIPDRIVE USB SmartCardReader) - "SCM Microsystems Inc." - C:\WINDOWS\System32\DRIVERS\TwkUsb2K.sys

"Franson VSerial" (bizVSerial) - "franson.biz" - C:\WINDOWS\System32\drivers\bizVSerialNT.sys

"Hotkey" (Hotkey) - ? - C:\WINDOWS\system32\drivers\Hotkey.sys  (File found, but it contains no detailed information)

"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)

"kfryyaob" (kfryyaob) - ? - C:\DOKUME~1\test\LOKALE~1\Temp\kfryyaob.sys  (Hidden registry entry, rootkit activity | File not found)

"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)

"LibUsb-Win32 - Kernel Driver 09/17/2010, 1.2.1.0" (libusb0) - "hxxp://libusb-win32.sourceforge.net" - C:\WINDOWS\System32\DRIVERS\libusb0.sys

"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)

"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)

"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)

"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)

"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)

"Sony Ericsson Device 039 Driver driver (WDM)" (SE27bus) - "MCCI" - C:\WINDOWS\System32\DRIVERS\SE27bus.sys

"Sony Ericsson Device 039 USB WMC Device Management Drivers (WDM)" (SE27mgmt) - "MCCI" - C:\WINDOWS\System32\DRIVERS\SE27mgmt.sys

"Sony Ericsson Device 039 USB WMC Modem Driver" (SE27mdm) - "MCCI" - C:\WINDOWS\System32\DRIVERS\SE27mdm.sys

"Sony Ericsson Device 039 USB WMC Modem Filter" (SE27mdfl) - "MCCI" - C:\WINDOWS\System32\DRIVERS\SE27mdfl.sys

"TwkMs" (TwkMs) - "Towitoko AG" - C:\WINDOWS\system32\drivers\TwkMs.sys

"USB Data Cable" (usb2vcom) - ? - C:\WINDOWS\System32\DRIVERS\usb2vcom.sys

"Wbutton" (Wbutton) - ? - C:\WINDOWS\system32\drivers\Wbutton.sys  (File not found)

"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)
 

[Explorer]

-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----

{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - c:\WINDOWS\system32\Rundll32.exe c:\WINDOWS\system32\mscories.dll,Install

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll

-----( HKLM\Software\Classes\Protocols\Filter )-----

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\WINDOWS\system32\mscoree.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll

{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? -   (File not found | COM-object registry key not found)

{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)

{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} "RealOne Player Context Menu Class" - "RealNetworks, Inc." - c:\program files\real\realplayer\rpshell.dll

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - ? -   (File not found | COM-object registry key not found)

{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - c:\WINDOWS\system32\dfshim.dll

{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)

{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - c:\WINDOWS\system32\dfshim.dll

{738D66C6-0149-4D40-84E4-A7BB2D0CE949} "Sony Ericsson Datei-Manager" - ? -   (File not found | COM-object registry key not found)
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_30.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_30.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_30" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_30.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab

{7530BFB8-7293-4D34-9923-61A11451AFC5} "OnlineScanner Control" - "ESET" - C:\PROGRA~1\ESET\ESETON~1\ONLINE~1.OCX / hxxp://download.eset.com/special/eos/OnlineScanner.cab

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll

{761497BB-D6F0-462C-B6EB-D4DAF1D92D43} "Java(tm) Plug-In SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\ssv.dll

{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

{3049C3E9-B461-4BC5-8870-4C09146192CA} "RealPlayer Download and Record Plugin for Internet Explorer" - "RealPlayer" - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll
 

[Logon]

-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini

"Microsoft-Indexerstellung.lnk" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office\FINDFAST.EXE  (Shortcut exists | File exists)

"Office-Start.lnk" - ? - C:\Programme\Microsoft Office\Office\OSA.EXE  (Shortcut exists | File exists)

"VR-NetWorld Auftragsprüfung.lnk" - "VR-NetWorld Software" - C:\Programme\VR-NetWorld\VRToolCheckOrder.exe  (Shortcut exists | File exists)

"WISO Mein Steuer-Sparbuch heute.lnk" - "Buhl Tax Service, Hannover" - C:\Programme\WISO\Steuersoftware 2012\mshaktuell.exe  (Shortcut exists | File exists)

-----( %UserProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\test\Startmenü\Programme\Autostart\desktop.ini

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"

"CtrlVol" - "Wistron" - C:\Programme\Launch Manager\CtrlVol.exe

"HotkeyApp" - "Wistron" - C:\Programme\Launch Manager\HotkeyApp.exe

"LaunchAp" - ? - C:\Programme\Launch Manager\LaunchAp.exe

"LMgrOSD" - "Wistron" - C:\Programme\Launch Manager\OSD.exe

"LtMoh" - "Agere Systems" - C:\Programme\ltmoh\Ltmoh.exe

"QuickTime Task" - "Apple Inc." - "C:\Programme\QuickTime\qttask.exe" -atboottime

"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"

"TkBellExe" - "RealNetworks, Inc." - "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot

"Wbutton" - ? - "C:\Programme\Launch Manager\Wbutton.exe"
 

[Print Monitors]

-----( HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors )-----

"HP Standard TCP/IP Port" - "Hewlett Packard" - C:\WINDOWS\system32\HpTcpMon.dll

"LIDIL hpzll054" - "Hewlett-Packard Company" - C:\WINDOWS\system32\hpzll054.dll
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe

"Adobe Flash Player Update Service" (AdobeFlashPlayerUpdateSvc) - "Adobe Systems Incorporated" - C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe

"ASP.NET State Service" (aspnet_state) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe

"cyberJack PC/SC COM Service " (cjpcsc) - "REINER SCT" - C:\WINDOWS\system32\cjpcsc.exe

"DNS-Client" (Dnscache) - ? - C:\WINDOWS\System32\pouavgrhm.dll  (File not found)

"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe

"Mozilla Maintenance Service" (MozillaMaintenance) - "Mozilla Foundation" - C:\Programme\Mozilla Maintenance Service\maintenanceservice.exe

"Pml Driver HPZ12" (Pml Driver HPZ12) - "HP" - C:\WINDOWS\system32\HPZipm12.exe

"Update-Service" (Update-Service) - "Joosoft.com GmbH" - C:\WINDOWS\System32\UpdSvc.dll

"Windows CardSpace" (idsvc) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe

"Windows Presentation Foundation Font Cache 3.0.0.0" (FontCache3.0.0.0) - "Microsoft Corporation" - c:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe
 

[Winlogon]

-----( HKCU\Control Panel\Desktop )-----

"SCRNSAVE.EXE" - "Axialis Software" - C:\WINDOWS\system32\POCOYO~1.SCR

-----( HKCU\Control Panel\IOProcs )-----

"MVB" - ? - mvfs32.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----

"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===
 

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

und hier das Logfile von aswMBR

Code:

aswMBR version 0.9.9.1665 Copyright(c) 2011 AVAST Software

Run date: 2012-06-10 19:56:03

-----------------------------

19:56:03.449    OS Version: Windows 5.1.2600 Service Pack 3

19:56:03.459    Number of processors: 1 586 0xD06

19:56:03.459    ComputerName: TEST-101EE4A811  UserName: test

19:56:04.821    Initialize success

20:18:05.961    AVAST engine defs: 12061000

20:21:24.747    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3

20:21:24.747    Disk 0 Vendor: TOSHIBA_MK4025GAS KA100A Size: 38154MB BusType: 3

20:21:24.757    Disk 1  \Device\Harddisk1\DR2 -> \Device\00000084

20:21:24.757    Disk 1 Vendor: Winbond 0000 Size: 38154MB BusType: 0

20:21:24.757    Disk 2  \Device\Harddisk2\DR4 -> \Device\00000085

20:21:24.757    Disk 2 Vendor: Winbond 0000 Size: 38154MB BusType: 0

20:21:25.017    Disk 0 MBR read successfully

20:21:25.017    Disk 0 MBR scan

20:21:25.067    Disk 0 Windows XP default MBR code

20:21:25.087    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        38146 MB offset 63

20:21:25.117    Disk 0 scanning sectors +78124095

20:21:25.327    Disk 0 scanning C:\WINDOWS\system32\drivers

20:21:58.856    Service scanning

20:22:21.007    Modules scanning

20:22:58.852    Disk 0 trace - called modules:

20:22:58.902    ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS 

20:22:58.902    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x896b1ab8]

20:22:58.902    3 CLASSPNP.SYS[f7657fd7] -> nt!IofCallDriver -> \Device\00000078[0x897429e8]

20:22:58.912    5 ACPI.sys[f75ad620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP0T0L0-3[0x89734940]

20:22:59.453    AVAST engine scan C:\WINDOWS

20:23:16.387    AVAST engine scan C:\WINDOWS\system32

20:30:59.343    AVAST engine scan C:\WINDOWS\system32\drivers

20:31:46.030    AVAST engine scan C:\Dokumente und Einstellungen\test

20:35:43.662    AVAST engine scan C:\Dokumente und Einstellungen\All Users

20:38:45.793    Scan finished successfully

20:41:38.822    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\test\Desktop\MBR.dat"

20:41:38.832    The log file has been saved successfully to "C:\Dokumente und Einstellungen\test\Desktop\aswMBR.txt"

Vieln Dank nochmal für Deine Hilfe und Deine Zeit!

Sieht ok aus. Wir sollten fast durch sein. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hallo Arne

hier das Logfile von Malwarebytes

Code:

Malwarebytes Anti-Malware 1.61.0.1400

www.malwarebytes.org
 

Datenbank Version: v2012.06.11.02
 

Windows XP Service Pack 3 x86 NTFS

Internet Explorer 8.0.6001.18702

test :: TEST-101EE4A811 [Administrator]
 

11.06.2012 06:56:57

mbam-log-2012-06-11 (06-56-57).txt
 

Art des Suchlaufs: Vollständiger Suchlauf

Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM

Deaktivierte Suchlaufeinstellungen: P2P

Durchsuchte Objekte: 210704

Laufzeit: 28 Minute(n), 42 Sekunde(n)
 

Infizierte Speicherprozesse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse: 0

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien: 0

(Keine bösartigen Objekte gefunden)
 

(Ende)

und das logfile von SASW

Code:

SUPERAntiSpyware Scan Log

hxxp://www.superantispyware.com
 

Generated 06/11/2012 at 02:31 PM
 

Application Version : 5.0.1150
 

Core Rules Database Version : 8710

Trace Rules Database Version: 6522
 

Scan type       : Complete Scan

Total Scan Time : 00:52:03
 

Operating System Information

Windows XP Professional 32-bit, Service Pack 3 (Build 5.01.2600)

Administrator
 

Memory items scanned      : 415

Memory threats detected   : 0

Registry items scanned    : 32633

Registry threats detected : 0

File items scanned        : 36681

File threats detected     : 29
 

Adware.Tracking Cookie

        .revsci.net [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .revsci.net [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        adx.chip.de [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .revsci.net [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .revsci.net [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .revsci.net [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        adx.chip.de [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        adx.chip.de [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        adx.chip.de [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        adx.chip.de [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .webmasterplan.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .webmasterplan.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        ad1.adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .webmasterplan.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        ad3.adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .smartadserver.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        ad.zanox.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        ad2.adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

        .adfarm1.adition.com [ C:\DOKUMENTE UND EINSTELLUNGEN\TEST\ANWENDUNGSDATEN\MOZILLA\FIREFOX\PROFILES\605JKKZ1.DEFAULT\COOKIES.SQLITE ]

Viele Grüße

Sieht ok aus, da wurden nur Cookies gefunden.
Cookies sind keine Schädlinge direkt, aber es besteht die Gefahr der missbräuchlichen Verwendung (eindeutige Wiedererkennung zB für gezielte Werbung o.ä. => HTTP-Cookie )

Wegen Cookies und anderer Dinge im Web: Um die Pest von vornherein zu blocken (also TrackingCookies, Werbebanner etc.) müsstest du dir mal sowas wie MVPS Hosts File anschauen => Blocking Unwanted Parasites with a Hosts File - sinnvollerweise solltest du alle 4 Wochen mal bei MVPS nachsehen, ob er eine neue Hosts Datei herausgebracht hat.

Ansonsten gibt es noch gute Cookiemanager, Erweiterungen für den Firefox zB wäre da CookieCuller http://filepony.de/download-cookie_culler/
Wenn du aber damit leben kannst, dich bei jeder Browsersession überall neu einzuloggen (zB Facebook, Ebay, GMX, oder auch Trojaner-Board) dann stell den Browser einfach so ein, dass einfach alles beim Beenden des Browser inkl. Cookies gelöscht wird.

Ich halte es so, dass ich zum "wilden Surfen" den Opera-Browser oder Chromium unter meinem Linux verwende. Mein Hauptbrowser (Firefox) speichert nur die Cookies von den Sites die ich auch will, alles andere lehne ich manuell ab (der FF fragt mich immer) - die anderen Browser nehmen alles an Cookies zwar an, aber spätestens beim nächsten Start von Opera oder Chromium sind keine Cookies mehr da.

Ist dein System nun wieder in Ordnung oder gibt's noch andere Funde oder Probleme?

Hallo Arne

mein System scheint in Ordnung zu sein.
Ich danke dir vielmals für deine Zeit und Hilfe.

Eine Frage zum Abschluß noch: Du hast ja schon ein paar Vorschläge wegen der Cookies gemacht. Das werde ich so übernehmen.

Welche Firewall? Windows?
Und welches Antivirenprogramm empfiehlst du?
Was sollte ich von Zeit zu Zeit immer mal wieder checken und womit?

Viele Grüße - Ulrike

Zitat:

Welche Firewall? Windows?
Und welches Antivirenprogramm empfiehlst du?

Ja Windows-Firewall. PFWs wie ZoneAlarm o.ä. sind absoluter Schwachfug

Die Frage - welcher Virenscanner oder ob der installierte reicht - taucht ständig auf.
Der Virenscanner - egal welcher - kann und wird niemals 100% Schutz bieten können. Neue/unbekannte Schädlinge können immer durch die Lappen gehen. Geld ausgeben muss man nicht für einen Scanner, sowas wie Avast oder Microsoft Security Essentials sind für die privaten Gebrauch völlig ausreichend.
Abgesehen davon nutzen verschiedene Virenscanner unterschiedliche Signaturen und Techniken, das führt dazu, dass zB Scanner1 Schädling X entdeckt, aber Schädling Y übersieht. Scanner2 erkennt Schädling Y, dafür aber Schädling X nicht...
Wichtiger ist, dass du dich an Regeln hälst. Der beste Virenscanner bringt nichts, wenn du dich falsch verhälst und fahrlässig/unvorsichtig bist. Airbag und Sicherheitsgurt im Auto sind ja auch keine Gründe dafür auf die Verkehrsregeln zu pfeifen.

Halte Dich am besten grob an diese Regeln:

Sei misstrauisch im Internet und v.a. bei unbekannten E-Mails, sei vorsichtig bei der Herausgabe persönlicher Daten!!
Halte Windows und alle verwendeten Programme immer aktuell - unterstützen kann dich dabei Secunia PSI
Führe regelmäßig Backups auf externe Medien durch
Arbeite mit eingeschränkten Rechten
Nutze sicherere Programme wie zB Opera oder Firefox zum Surfen statt den IE, zum Mailen Thunderbird statt Outlook Express - E-Mails nur als reinen text anzeigen lassen
automatische Wiedergabe von allen Laufwerken komplett deaktivieren, denn das ist ein unnötiges Sicherheitsrisiko
Bei der Installation von Software möglichst darauf achten, dass die Setups aus offiziellen Quellen stammen und du bei der Installation nach Möglichkeit die benutzerdefinierte Methode wählst - dann hast du die Möglichkeit etwaigen Schrott (wie Toolbars oder sowas wie RegistryBooster) abzuwählen, welcher sonst einfach mitinstalliert wird.
Bösartige bzw. ungewollte Sites von vornherein blockieren lassen mit Hilfe der MVPS Hosts File => Blocking Unwanted Parasites with a Hosts File
Finger weg von: TuneUp, Registry-Cleanern aller Art, Softonic sowie illegalen Cracks/Keygens oder anderen "Tools" um ein kommerzielles Programm ohne Lizenz nutzen zu können
dubiose Seiten bzw. Kinofilm-Streaming-Portale ebenfalls sein lassen, erstens handelt man sich dort schnell Malware ein oder kann in Abofallen geraten und zweitens bewegen sich diese Seiten in einer rechtlichen Grauzone.

Alles noch genauer erklärt steht hier => Kompromittierung unvermeidbar?

Dann wären wir durch! :abklatsch:

Die Programme, die hier zum Einsatz kamen, können alle wieder runter. Mit Hilfe von OTL kannst du auch viele Tools entfernen:

Starte bitte OTL und klicke auf Bereinigung.
Dies wird die meisten Tools entfernen, die wir zur Bereinigung benötigt haben. Sollte etwas bestehen bleiben, bitte mit Rechtsklick --> Löschen entfernen.

Malwarebytes zu behalten ist zu empfehlen. Kannst ja 1x im Monat damit einen Vollscan machen, aber immer vorher ans Update denken.

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu. Um in Zukunft die Aktualität der installierten Programme besser im Überblick zu halten, kannst du zB Secunia PSI verwenden.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.

Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update

PDF-Reader aktualisieren
Ein veralteter AdobeReader stellt ein großes Sicherheitsrisiko dar. Du solltest daher besser alte Versionen vom AdobeReader über Systemsteuerung => Software bzw. Programme und Funktionen deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst. (falls du AdobeReader installiert hast)

Ich empfehle einen alternativen PDF-Reader wie PDF Xchange Viewer, SumatraPDF oder Foxit PDF Reader, die sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers:

Adobe - Andere Version des Adobe Flash Player installieren

Notfalls kann man auch von Chip.de runterladen => http://filepony.de/?q=Flash+Player

Natürlich auch darauf achten, dass andere installierte Browser wie zB Firefox, Opera oder Chrome aktuell sind.

Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.

Hallo Arne!

leider schickt mein System wieder irgendwelche wilden Mails:

Ich habe mich an deine Anweisungen gehalten, fürs wilde Surfen Opera und habe mir MVPS installiert. Blockiert auch wunderbar die Werbung!

Trotzdem dieses hier:

HTML-Code:

This message was created automatically by mail delivery software.
 

A message that you sent could not be delivered to one or more of

its recipients. This is a permanent error. The following address

failed:
 

"wingerabin@mchsi.com":

SMTP error from remote server after RCPT command:

host: smtp.mchsi.com

5.1.1 <wingerabin@mchsi.com>Suspect mail not accepted for Mediacom domains or invalid recipient - POL008
 
 

--- The header of the original message is following. ---
 

Received: from web.de ([41.250.215.236]) by smtp.web.de (mrweb103) with ESMTPA

(Nemesis) id 0MAvKi-1ScuJw0MJo-00ALya for <wingerabin@mchsi.com>; Thu, 05 Jul

2012 15:00:50 +0200

Date: Thu, 5 Jul 2012 16:02:14 +0500

From: Patricia Whelan-Dearden <XXXX@web.de>

Organization: gdijdnv

X-Priority: 3 (Normal)

Message-ID: <2708764000.2012075160214@web.de>

To: wingerabin@mchsi.com

Subject: it would be nice if you could tell me what is meant by that: Pic No. 972

MIME-Version: 1.0

Content-Type: text/plain; charset=us-ascii

Content-Transfer-Encoding: 8bit

X-Provags-ID: V02:K0:KfJvSqSna6uiKNOM+Q9YLeSkF1biHP8kcxOX5iO96n9

syWhAniVkbJpAhb/lckWlGrLClYWSULh1gB93oAAy54VdAJa94

AfjWLY7pB7C8OfB9tJnlL+HVqpTkqSrRL3cDgPNkJMqsl5AJwr

tdtYFNeg9aSJYSmSoXgbVAYGYfw3ZuY8mrkPR8g4CTKHKzcY7k

s3fZS6g0AMU+fU/uMjkJw==

Was mach ich nun???? Reicht es den Mail Account platt zu machen?
Welcher E Mail Privider ist da zu empfehlen. Web.de ja scheinbar nicht

Danke schon mal für deine erneute Hilfe

VG Ulrike

Wurde das Passwort vom Mailkonto geändert?
Wenn nein: Bitte umgehend jetzt machen!

Wenn ja: Hattest du ein zu einfaches Passwort? Beschreib mal wie das Passwort vorher war, also Länge und Zeichensatz.
Ein schwaches Passwort besteht zB nur aus kleinen Buchstaben oder nur aus Zahlen und ist kürzer als 8 Stellen.

Hallo Arne

die Idee hatte ich auch gerade. Hatte ein recht schwaches Passwort aus 6 Zeichen alles kleine Buchstaben.Habe jetzt eine Kombination aus Buchstaben und Zahlen gemixt - auch groß und klein
Reicht die Änderung aus?

VG Ulrike

Wenn das neue Passwort lang genug ist sollte das reichen