Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Google öffnet in Firefox falsche/Werbefenster (https://www.trojaner-board.de/71613-google-oeffnet-firefox-falsche-werbefenster.html)

Lodda 01.04.2009 15:43
Google öffnet in Firefox falsche/Werbefenster
 
Hallo zusammen,

ich habe das Problem, dass wenn ich mit google suche, und auf eine Ergebniss klicke, eine andere /Werbeseite göffnet wird.

Ich habe schon verschiedene Sachen versucht, und mir auch hier im Forum ähnliche Threads durchgelesen, leider bisher ohne Erfolg, so dass ich nun selber einen Thread eröffne.

Was habe ich bisher gemacht:
- AVG Antivir laufen lassen: Trojaner Silent.Banker gefunden & entfernt

- AVIRA Antivir laufen lassen: Exploits EXP/Pidief.YF gefunden & gelöscht, Trojanische Pferd TR/Crypt.XPACK.Gen gefunden & gelöscht.

- sämtliche Cookies und private Daten im Browser (Firefox) gelöscht

- einen Online Scan durchgeführt (glaube Kaspersky war´s), keine weiteren Ergebnisse

- einen antirootkit laufen lassen , kein Ergbenis

- Ccleaner nach Anleitung laufen lassen

- Navilog1 laufen lassen

- Malwarebytes Anti-Malware habe ich VERSUCHT, aber leider lässt sich das Programm bei mir nicht ausführen.

- und eben hijackthis, deren log & Softwareliste ich dann hier mal einstellen möchte[Vollnamen und Links sollten nicht vorhanden sein]:

Logfile:
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:10:10, on 01.04.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Programme\TOSHIBA\ConfigFree\NDSTray.exe
C:\Programme\Synaptics\SynTP\Toshiba.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\System32\DLA\DLACTRLW.EXE
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Windows Desktop Search\WindowsSearch.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Bene\Desktop\HiJackThis.exe

R3 - URLSearchHook: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O2 - BHO: &Yahoo! Toolbar Helper - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {06ec6572-7280-485a-a712-c380526bc048} - (no file)
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.1.1309.3572\swg.dll
O2 - BHO: MSN Suche Toolbar Helper - {BDBD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\msntb.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O2 - BHO: Google Dictionary Compression sdch - {C84D72FE-E17D-4195-BB24-76C02E2E7C4E} - C:\Programme\Google\Google Toolbar\Component\fastsearch_219B3E1547538286.dll
O3 - Toolbar: MSN Suche Toolbar - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Toolbar Suite\msntb.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O3 - Toolbar: &Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [NVRotateSysTray] rundll32.exe C:\WINDOWS\system32\nvsysrot.dll,Enable
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [THotkey] C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [SmoothView] C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: &MSN Suche - res://C:\Programme\MSN Toolbar Suite\msntb.dll/search.htm
O8 - Extra context menu item: In neuer Registerkarte im Hintergrund öffnen - res://C:\Programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/229?179e8bc44eb34a0686cdf87aca9c5169
O8 - Extra context menu item: In neuer Registerkarte im Vordergrund öffnen - res://C:\Programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/230?179e8bc44eb34a0686cdf87aca9c5169
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Unknown owner - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe (file missing)
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe (file missing)
O23 - Service: Symantec Settings Manager (ccSetMgr) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe (file missing)
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: LiveUpdate - Unknown owner - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE (file missing)
O23 - Service: Norton Protection Center Service (NSCService) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe (file missing)
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 12340 bytes
Software Liste:
Code:
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
2007 Microsoft Office Suite Service Pack 1 (SP1)
Adobe Flash Player 10 Plugin
Adobe Flash Player ActiveX
Adobe Reader 7.0.8 - Deutsch
Avira AntiVir Personal - Free Antivirus
AVS Audio Converter version 5.1
AVS4YOU Software Navigator 1.2
Bluetooth Stack for Windows by Toshiba
Brother 1450
Brownie
CC_ccProxyExt
ccCommon
CCleaner (remove only)
ccPxyCore
CD/DVD Drive Acoustic Silencer
Colin McRae Rally 2005
Command & Conquer Generals
Command and Conquer(TM) Generäle Die Stunde Null
DIE SIEDLER - Das Erbe der Könige
Disc2Phone
FLV Player 2.0, build 24
Free WMA to MP3 Converter 1.16
FUSSBALL MANAGER 06
Gimp 2.6.2 Debug
Google Earth
Google Toolbar for Internet Explorer
Google Updater
High Definition Audio Driver Package - KB888111
HijackThis 2.0.2
Hotfix for Windows Media Player 10 (KB903157)
Hotfix for Windows XP (KB915800-v4)
Hotfix for Windows XP (KB915865)
Hotfix für Windows Media Player 10 (KB910393)
Hotfix für Windows XP (KB888795)
Hotfix für Windows XP (KB891593)
Hotfix für Windows XP (KB893357)
Hotfix für Windows XP (KB894871)
Hotfix für Windows XP (KB896243)
Hotfix für Windows XP (KB896256)
Hotfix für Windows XP (KB899337)
Hotfix für Windows XP (KB899510)
Hotfix für Windows XP (KB902841)
Hotfix für Windows XP (KB910728)
Hotfix für Windows XP (KB917332)
Hotfix für Windows XP (KB935448)
Hotfix für Windows XP (KB952287)
ICQ Toolbar
ICQ6
Intel(R) PRO Network Connections Drivers
Intel(R) PROSet/Wireless Software
InterVideo WinDVD Creator 2
InterVideo WinDVD for TOSHIBA
J2SE Runtime Environment 5.0 Update 6
Macromedia Flash Player
Malwarebytes' Anti-Malware
mCore
mDrWiFi
mHelp
Microsoft .NET Framework 1.0 Hotfix (KB930494)
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1 German Language Pack
Microsoft .NET Framework 1.1 Hotfix (KB928366)
Microsoft .NET Framework 2.0
Microsoft Office Access MUI (German) 2007
Microsoft Office Enterprise 2007
Microsoft Office Enterprise 2007
Microsoft Office Excel MUI (German) 2007
Microsoft Office Groove MUI (German) 2007
Microsoft Office InfoPath MUI (German) 2007
Microsoft Office OneNote MUI (German) 2007
Microsoft Office Outlook MUI (German) 2007
Microsoft Office PowerPoint MUI (German) 2007
Microsoft Office Proof (English) 2007
Microsoft Office Proof (French) 2007
Microsoft Office Proof (German) 2007
Microsoft Office Proof (Italian) 2007
Microsoft Office Proofing (German) 2007
Microsoft Office Publisher MUI (German) 2007
Microsoft Office Shared MUI (German) 2007
Microsoft Office Word MUI (German) 2007
Microsoft Visual C++ 2005 Redistributable
mIWA
mLogView
mMHouse
Mozilla Firefox (3.0.8)
mPfMgr
mPfWiz
mProSafe
MSN Suche Toolbar
MSXML 4.0 SP2 (KB936181)
mWlsSafe
mXML
mZConfig
Navilog1 3.7.6
No23 Recorder
Norton Internet Security
Norton Internet Security
Norton Protection Center
NVIDIA Drivers
PDFCreator
PDFCreator Toolbar
Realtek High Definition Audio Driver
SD Secure Module
Security Update for 2007 Microsoft Office System (KB951596)
Security Update for 2007 Microsoft Office System (KB951944)
Security Update for CAPICOM (KB931906)
Security Update for CAPICOM (KB931906)
Security Update for Microsoft Office Excel 2007 (KB951546)
Security Update for Microsoft Office OneNote 2007 (KB950130)
Security Update for Microsoft Office PowerPoint 2007 (KB951338)
Security Update for Microsoft Office Publisher 2007 (KB950114)
Security Update for Microsoft Office system 2007 (KB951808)
Security Update for Microsoft Office system 2007 (KB954326)
Security Update for Microsoft Office Word 2007 (KB950113)
Sicherheitsupdate für Windows Media Player (KB911564)
Sicherheitsupdate für Windows Media Player 10 (KB917734)
Sicherheitsupdate für Windows Media Player 10 (KB936782)
Sicherheitsupdate für Windows Media Player 6.4 (KB925398)
Sicherheitsupdate für Windows XP (KB890046)
Sicherheitsupdate für Windows XP (KB893756)
Sicherheitsupdate für Windows XP (KB896358)
Sicherheitsupdate für Windows XP (KB896422)
Sicherheitsupdate für Windows XP (KB896423)
Sicherheitsupdate für Windows XP (KB896424)
Sicherheitsupdate für Windows XP (KB896428)
Sicherheitsupdate für Windows XP (KB899587)
Sicherheitsupdate für Windows XP (KB899589)
Sicherheitsupdate für Windows XP (KB899591)
Sicherheitsupdate für Windows XP (KB900725)
Sicherheitsupdate für Windows XP (KB901017)
Sicherheitsupdate für Windows XP (KB901214)
Sicherheitsupdate für Windows XP (KB902400)
Sicherheitsupdate für Windows XP (KB904706)
Sicherheitsupdate für Windows XP (KB905414)
Sicherheitsupdate für Windows XP (KB905749)
Sicherheitsupdate für Windows XP (KB908519)
Sicherheitsupdate für Windows XP (KB908531)
Sicherheitsupdate für Windows XP (KB911280)
Sicherheitsupdate für Windows XP (KB911562)
Sicherheitsupdate für Windows XP (KB911567)
Sicherheitsupdate für Windows XP (KB911927)
Sicherheitsupdate für Windows XP (KB912919)
Sicherheitsupdate für Windows XP (KB913580)
Sicherheitsupdate für Windows XP (KB914388)
Sicherheitsupdate für Windows XP (KB914389)
Sicherheitsupdate für Windows XP (KB916281)
Sicherheitsupdate für Windows XP (KB917344)
Sicherheitsupdate für Windows XP (KB917953)
Sicherheitsupdate für Windows XP (KB918118)
Sicherheitsupdate für Windows XP (KB918439)
Sicherheitsupdate für Windows XP (KB920213)
Sicherheitsupdate für Windows XP (KB920670)
Sicherheitsupdate für Windows XP (KB920683)
Sicherheitsupdate für Windows XP (KB920685)
Sicherheitsupdate für Windows XP (KB923191)
Sicherheitsupdate für Windows XP (KB923414)
Sicherheitsupdate für Windows XP (KB923689)
Sicherheitsupdate für Windows XP (KB923980)
Sicherheitsupdate für Windows XP (KB924270)
Sicherheitsupdate für Windows XP (KB924496)
Sicherheitsupdate für Windows XP (KB924667)
Sicherheitsupdate für Windows XP (KB925902)
Sicherheitsupdate für Windows XP (KB926255)
Sicherheitsupdate für Windows XP (KB926436)
Sicherheitsupdate für Windows XP (KB927779)
Sicherheitsupdate für Windows XP (KB927802)
Sicherheitsupdate für Windows XP (KB928255)
Sicherheitsupdate für Windows XP (KB928843)
Sicherheitsupdate für Windows XP (KB929123)
Sicherheitsupdate für Windows XP (KB930178)
Sicherheitsupdate für Windows XP (KB931261)
Sicherheitsupdate für Windows XP (KB931784)
Sicherheitsupdate für Windows XP (KB932168)
Sicherheitsupdate für Windows XP (KB933729)
Sicherheitsupdate für Windows XP (KB935839)
Sicherheitsupdate für Windows XP (KB935840)
Sicherheitsupdate für Windows XP (KB936021)
Sicherheitsupdate für Windows XP (KB937894)
Sicherheitsupdate für Windows XP (KB938127)
Sicherheitsupdate für Windows XP (KB938464)
Sicherheitsupdate für Windows XP (KB941202)
Sicherheitsupdate für Windows XP (KB941569)
Sicherheitsupdate für Windows XP (KB941693)
Sicherheitsupdate für Windows XP (KB943055)
Sicherheitsupdate für Windows XP (KB943460)
Sicherheitsupdate für Windows XP (KB943485)
Sicherheitsupdate für Windows XP (KB944338)
Sicherheitsupdate für Windows XP (KB944653)
Sicherheitsupdate für Windows XP (KB945553)
Sicherheitsupdate für Windows XP (KB946026)
Sicherheitsupdate für Windows XP (KB946648)
Sicherheitsupdate für Windows XP (KB948590)
Sicherheitsupdate für Windows XP (KB950749)
Sicherheitsupdate für Windows XP (KB950759)
Sicherheitsupdate für Windows XP (KB950760)
Sicherheitsupdate für Windows XP (KB950762)
Sicherheitsupdate für Windows XP (KB950974)
Sicherheitsupdate für Windows XP (KB951066)
Sicherheitsupdate für Windows XP (KB951376-v2)
Sicherheitsupdate für Windows XP (KB951698)
Sicherheitsupdate für Windows XP (KB951748)
Sicherheitsupdate für Windows XP (KB952954)
Sicherheitsupdate für Windows XP (KB953838)
Sicherheitsupdate für Windows XP (KB953839)
Skype™ 3.8
Sonic DLA
Sonic Encoders
Sonic RecordNow!
Synaptics Pointing Device Driver
TeamSpeak 2 RC2
Texas Instruments PCIxx21/x515/xx12 drivers.
TOSHIBA Assist
TOSHIBA Benutzerhandbücher
TOSHIBA ConfigFree
TOSHIBA Controls
TOSHIBA Hotkey Utility
TOSHIBA PC-Diagnose-Tool
TOSHIBA Power Saver
TOSHIBA SD-Speicherkarten-Formatierung
TOSHIBA Software Modem
TOSHIBA TouchPad ON/Off Utility
TOSHIBA Utilities
TOSHIBA Virtual Sound
TOSHIBA Zoom-Dienstprogramm
Update for Microsoft Office Outlook 2007 (KB952142)
Update for Office 2007 (KB946691)
Update for Outlook 2007 Junk Email Filter (kb956080)
Update für Windows Media Player 10 (KB913800)
Update für Windows Media Player 10 (KB926251)
Update für Windows XP (KB894391)
Update für Windows XP (KB898461)
Update für Windows XP (KB900485)
Update für Windows XP (KB910437)
Update für Windows XP (KB916595)
Update für Windows XP (KB920872)
Update für Windows XP (KB922582)
Update für Windows XP (KB927891)
Update für Windows XP (KB930916)
Update für Windows XP (KB936357)
Update für Windows XP (KB938828)
Update für Windows XP (KB942763)
Update für Windows XP (KB951072-v2)
Update Rollup 2 für Windows XP Media Center Edition 2005
VideoLAN VLC media player 0.8.6i
Winamp
Windows Installer 3.1 (KB893803)
Windows Media Format Runtime
Windows Media Player Firefox Plugin
Windows Search 4.0
Windows XP Media Center Edition 2005 KB888316
Windows XP Media Center Edition 2005 KB894553
Windows XP Media Center Edition 2005 KB895678
Windows XP Media Center Edition 2005 KB914548
Windows XP-Hotfix - KB873339
Windows XP-Hotfix - KB885250
Windows XP-Hotfix - KB885835
Windows XP-Hotfix - KB885836
Windows XP-Hotfix - KB885855
Windows XP-Hotfix - KB886185
Windows XP-Hotfix - KB887472
Windows XP-Hotfix - KB888113
Windows XP-Hotfix - KB888302
Windows XP-Hotfix - KB888622
Windows XP-Hotfix - KB889673
Windows XP-Hotfix - KB890546
Windows XP-Hotfix - KB890859
Windows XP-Hotfix - KB891781
Windows XP-Hotfix - KB893056
Windows XP-Hotfix - KB895200
Windows XP-Hotfix - KB895961
WinRAR archiver
WinSCP 3.6.8
World of Warcraft
X10 Hardware(TM)
Yahoo! Toolbar
Vielen Dank schon einmal für eure Hilfe.

Lodda 01.04.2009 18:18
Mal ein kleines Update:

Was ich noch versucht habe:

- SuperAntiSpyware: Startet nicht, es ercheint nur das "... hat ein Problem und muss beendet werden" Fenster.

- ComboFix: Passiert gar nchts. Auch nicht, nachdem ich FixPolicies, was als Lösung für dieses Problem genannt wird, ausgeführt habe.

- Malware´s Anti-Malware: Das dieses Programm nicht funktioniert, hatte ich ja schon geschrieben.

john.doe 01.04.2009 18:34
Hallo und :hallo:

GMER - Rootkit Detection
  • Lade Trallala von file-upload.net
  • Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
  • Doppelklick auf Trallala.exe
  • Der Reiter Rootkit oben ist schon angewählt
http://saved.im/mzaxndu2m2ni_vs/gmerzj1oo1.jpg
  • Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
  • nach Beendigung des Scan, drücke "Copy"
  • nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
  • Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

Lodda 01.04.2009 20:29
Hi,
hier das log des GMER - ne ganze Menge war rot dabei:

edit: zu lang, also als Link:

http://www.materialordner.de/b41dGcS...mAHYotzDu.html

john.doe 01.04.2009 20:41
1.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
  • Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"
Code:
Drivers to delete:
UACd.sys

Registry keys to delete:
HKLM\SYSTEM\ControlSet002\Services\UACd.sys

Files to delete:
C:\Dokumente und Einstellungen\Bene\Lokale Einstellungen\Temp\UAC21f4.tmp
C:\WINDOWS\system32\uacinit.dll
C:\WINDOWS\system32\drivers\UACejwfvmqf.sys
C:\WINDOWS\system32\UACucboexml.dll
C:\WINDOWS\system32\UACteptalkd.dat
C:\WINDOWS\system32\UACwjhwgrft.dll
C:\WINDOWS\system32\UACyjpcyvtt.dll
C:\WINDOWS\system32\UACwprmmbqv.dll
C:\WINDOWS\system32\UACmpcfaitt.dll
C:\WINDOWS\system32\UACltaxlysh.log
C:\WINDOWS\system32\UACgfalrvjd.log
C:\WINDOWS\system32\UACovyhxilr.log
C:\WINDOWS\Temp\UAC7327.tmp
C:\WINDOWS\Temp\UAC7bf1.tmp
http://saved.im/mzi3ndg3nta0/aven.jpg
  • Schliesse nun alle Programme und Browser-Fenster
  • Um den Avenger zu starten klicke auf -> Execute
  • Dann bestätigen mit "Yes" das der Rechner neu startet
  • Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt
  • Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

2.) Poste ein neues Gmer-Log.

ciao, andreas

Lodda 01.04.2009 21:26
So,

Schritt 1, Avenger, durchgeführt. Log unten.
Schritt 2, erneuter Scan mit GMER, starte ich gleich. Das hat aber vorhin seeehr lange gedauert, sicher über ne Stunde. Log davon erfolgt also spät, oder morgen.

Und.... Vielen Dank schonmal für die Hilfe! :party:

Code:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "UACd.sys" found!
ImagePath:  \systemroot\system32\drivers\UACejwfvmqf.sys
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "UACd.sys" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet002\Services\UACd.sys" deleted successfully.
File "C:\Dokumente und Einstellungen\Bene\Lokale Einstellungen\Temp\UAC21f4.tmp" deleted successfully.
File "C:\WINDOWS\system32\uacinit.dll" deleted successfully.
File "C:\WINDOWS\system32\drivers\UACejwfvmqf.sys" deleted successfully.
File "C:\WINDOWS\system32\UACucboexml.dll" deleted successfully.
File "C:\WINDOWS\system32\UACteptalkd.dat" deleted successfully.
File "C:\WINDOWS\system32\UACwjhwgrft.dll" deleted successfully.
File "C:\WINDOWS\system32\UACyjpcyvtt.dll" deleted successfully.
File "C:\WINDOWS\system32\UACwprmmbqv.dll" deleted successfully.
File "C:\WINDOWS\system32\UACmpcfaitt.dll" deleted successfully.
File "C:\WINDOWS\system32\UACltaxlysh.log" deleted successfully.

Error:  file "C:\WINDOWS\system32\UACgfalrvjd.log" not found!
Deletion of file "C:\WINDOWS\system32\UACgfalrvjd.log" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Error:  file "C:\WINDOWS\system32\UACovyhxilr.log" not found!
Deletion of file "C:\WINDOWS\system32\UACovyhxilr.log" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\Temp\UAC7327.tmp" deleted successfully.

Error:  file "C:\WINDOWS\Temp\UAC7bf1.tmp" not found!
Deletion of file "C:\WINDOWS\Temp\UAC7bf1.tmp" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist


Completed script processing.

*******************

Finished!  Terminate.

john.doe 01.04.2009 22:11
Lasse nach Gmer ComboFix laufen und poste das Log. Werde erst morgen abend wieder on sein.

ciao, andreas

Lodda 02.04.2009 13:07
Hier das neue Log von GMER:

Die Google Suche klappt auch wieder. :)

Code:
GMER 1.0.15.14966 - http://www.gmer.net
Rootkit scan 2009-04-02 14:04:32
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.15 ----

SSDT            856F5FC0                                                          ZwConnectPort
SSDT            F7BA016C                                                          ZwCreateThread
SSDT            F7BA0158                                                          ZwOpenProcess
SSDT            F7BA015D                                                          ZwOpenThread
SSDT            F7BA0167                                                          ZwTerminateProcess
SSDT            F7BA0162                                                          ZwWriteVirtualMemory

---- User code sections - GMER 1.0.15 ----

.text          C:\WINDOWS\system32\SearchIndexer.exe[244] kernel32.dll!WriteFile  7C810D87 7 Bytes  JMP 00585C0C C:\WINDOWS\system32\MSSRCH.DLL (mssrch.dll/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Ntfs \Ntfs                                            SYMEVENT.SYS (Symantec Event Library/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\Ip                                          SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0                            SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
AttachedDevice  \Driver\Tcpip \Device\Tcp                                          SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \Driver\prodrv06 \Device\ProDrv06                                  E182CC30
Device          \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3                        prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdePort0                                prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdePort1                                prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-e                        prosync1.sys (StarForce Protection Synchronization Driver/Protection Technology)
Device          \Driver\prohlp02 \Device\ProHlp02                                  E101F1B0

AttachedDevice  \Driver\Tcpip \Device\Udp                                          SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)
AttachedDevice  \Driver\Tcpip \Device\RawIp                                        SYMTDI.SYS (Network Dispatch Driver/Symantec Corporation)

Device          \FileSystem\Cdfs \Cdfs                                            DLAIFS_M.SYS (Drive Letter Access Component/Sonic Solutions)

---- Files - GMER 1.0.15 ----

File            C:\WINDOWS\system32\config\software.LOG                            (size mismatch) 16384/1024 bytes
File            C:\WINDOWS\system32\config\system.LOG                              (size mismatch) 12288/8192 bytes

---- EOF - GMER 1.0.15 ----

Lodda 02.04.2009 14:01
Und hier das Combofix Log:

Code:
ComboFix 09-04-01.01 - Bene 2009-04-02 14:54:14.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.1022.641 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Bene\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Bene\Desktop\WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
AV: Norton Internet Security 2006 *On-access scanning enabled* (Updated)
FW: Norton Internet Security 2006 *enabled*
FW: Norton Internet Worm Protection *disabled*
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

----- BITS: Eventuell infizierte Webseiten -----

hxxp://loyal-tube.com
.
(((((((((((((((((((((((  Dateien erstellt von 2009-03-02 bis 2009-04-02  ))))))))))))))))))))))))))))))
.

2009-04-01 15:47 . 2009-04-01 18:34        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-04-01 15:47 . 2009-04-01 15:47        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-04-01 15:47 . 2009-03-26 16:49        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-01 15:47 . 2009-03-26 16:49        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2009-04-01 15:26 . 2009-04-01 15:36        <DIR>        d--------        c:\programme\Navilog1
2009-04-01 15:19 . 2009-04-01 15:19        <DIR>        d--------        c:\programme\CCleaner
2009-04-01 14:55 . 2009-04-01 14:55        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Search
2009-03-29 22:50 . 2009-03-31 18:10        <DIR>        d--h-----        C:\$AVG8.VAULT$
2009-03-29 22:41 . 2009-03-29 22:41        <DIR>        d--------        c:\programme\AVG
2009-03-29 22:41 . 2009-03-31 18:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-03-18 19:26 . 2009-03-18 19:26        <DIR>        d--------        c:\programme\Teamspeak2_RC2
2009-03-18 19:26 . 2009-03-18 19:26        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\teamspeak2
2009-03-18 19:26 . 2009-03-18 19:26        34,064        --a------        c:\windows\system32\lhacm.acm
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\windows\system32\GroupPolicy
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\windows\system32\de-DE
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Desktop Search
2009-03-10 13:28 . 2008-03-07 18:56        192,000        -----c---        c:\windows\system32\dllcache\offfilt.dll
2009-03-10 13:28 . 2008-03-07 18:56        98,304        -----c---        c:\windows\system32\dllcache\nlhtml.dll
2009-03-10 13:28 . 2008-03-07 18:56        29,696        -----c---        c:\windows\system32\dllcache\mimefilt.dll

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-02 12:47        ---------        d-----w        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Skype
2009-04-02 12:24        ---------        d-----w        c:\dokumente und einstellungen\Bene\Anwendungsdaten\skypePM
2009-04-01 20:13        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-31 14:58        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2009-03-15 18:15        ---------        d-----w        c:\programme\Google
2009-03-10 11:32        ---------        d-----w        c:\programme\Windows Desktop Search
2009-02-27 12:42        ---------        d-----w        c:\programme\Gemeinsame Dateien\AVSMedia
2009-02-27 12:39        ---------        d-----w        c:\programme\AVS4YOU
2009-02-24 13:43        ---------        d-----w        c:\programme\EA SPORTS
2008-08-05 18:05        14,852        ----a-w        c:\programme\settings.dat
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-10 15360]
"TOSCDSPD"="c:\programme\TOSHIBA\TOSCDSPD\toscdspd.exe" [2005-04-12 65536]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2004-10-13 1694208]
"Skype"="c:\programme\Skype\Phone\Skype.exe" [2008-11-07 21633320]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-29 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-05-01 7557120]
"NVRotateSysTray"="c:\windows\system32\nvsysrot.dll" [2006-05-01 49152]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"THotkey"="c:\programme\Toshiba\Toshiba Applet\thotkey.exe" [2006-08-25 356352]
"Tvs"="c:\programme\TOSHIBA\Tvs\TvsTray.exe" [2006-02-02 73728]
"SmoothView"="c:\programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe" [2005-05-13 118784]
"DLA"="c:\windows\System32\DLA\DLACTRLW.EXE" [2005-10-06 122940]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2006-08-02 802816]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2006-08-02 696320]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2008-08-04 36352]
"nwiz"="nwiz.exe" [2006-05-01 c:\windows\system32\nwiz.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-05-05 c:\windows\RTHDCPL.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2005-12-13 c:\windows\agrsmmsg.exe]
"TPSMain"="TPSMain.exe" [2005-08-03 c:\windows\system32\TPSMain.exe]
"NDSTray.exe"="NDSTray.exe" [BU]
"TFncKy"="TFncKy.exe" [BU]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-10 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Windows Search.lnk - c:\programme\Windows Desktop Search\WindowsSearch.exe [2008-05-26 123904]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-26 304128]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"wave1"= 14779319361.CPX

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"="1"
"UpdatesDisableNotify"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Dokumente und Einstellungen\\Bene\\Desktop\\allesskype\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Toshiba\\ConfigFree\\CFXFER.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [2008-07-22 222456]
R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [2006-09-14 7040]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;"c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe" --> c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [?]
S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2009-01-05 16512]
.
Inhalt des "geplante Tasks" Ordners

2009-04-02 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-03-22 02:19]
.
.
------- Zusätzlicher Suchlauf -------
.
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: &MSN Suche - c:\programme\MSN Toolbar Suite\msntb.dll/search.htm
IE: In neuer Registerkarte im Hintergrund öffnen - c:\programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/229?179e8bc44eb34a0686cdf87aca9c5169
IE: In neuer Registerkarte im Vordergrund öffnen - c:\programme\MSN Toolbar Suite\de-de\msntabres.dll.mui/230?179e8bc44eb34a0686cdf87aca9c5169
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Bene\Anwendungsdaten\Mozilla\Firefox\Profiles\l2hpb68z.default\
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava11.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava12.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava14.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava32.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJPI150_06.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPOJI610.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-02 14:56:01
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(928)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2009-04-02 14:57:06
ComboFix-quarantined-files.txt  2009-04-02 12:57:04

Vor Suchlauf: 21 Verzeichnis(se), 11,133,022,208 Bytes frei
Nach Suchlauf: 20 Verzeichnis(se), 11,595,075,584 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Windows XP Media Center Edition" /noexecute=optin /fastdetect

168        --- E O F ---        2008-09-25 11:57:01

john.doe 02.04.2009 15:51
Seit wann hast du Probleme?

1.) Deinstalliere:
  • Navilog
  • Google Updater
  • ICQ Toolbar
  • MSN Toolbar
2.) Entscheide dich für ein Antivirenprogramm und deinstalliere die anderen. Setze die Removaltools vom jeweiligen Hersteller ein.

3.) Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

Driver::
ICQ Service

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"=-
"Skype"=-
"swg"=
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"WinampAgent"=-
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"wave1"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=-
"UpdatesDisableNotify"=-

File::
c:\windows\Tasks\Google Software Updater.job

Folder::
c:\programme\Google\Google Updater
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

4.) Neustart => Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Code:
C:\WINDOWS\System32\14779319361.CPX
Markiere jeweils eine Zeile, kopiere sie und füge sie bei Virustotal ein. Sollte die Meldung kommen, dass die Datei schon analysiert wurde, dann klicke trotzdem auf Analysieren.

5.) Erstelle ein Filelisting.
  • Lade die Datei File-Upload.net - listing9.bat auf deinen Desktop
  • Doppelklicke auf listing9.bat
  • Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. www.materialordner.de) hochladen und hier den Link posten.

ciao, andreas

Lodda 02.04.2009 18:15
Hi,

das Problem bestand seit etwa einer Woche und ist seit gestern, nach GMER, behoben.

Die 5.Schritte schaffe ich heute vermutlich nicht mehr, setze mich aber sonst morgen dran und poste dann die entsprechenden Logs.

Bis dahin

john.doe 02.04.2009 18:21
Zitat:
und ist seit gestern, nach GMER, behoben.
Das war Avenger, aber du hast da noch einen Banker am Laufen. Bitte umgehend das Script von ComboFix laufen lassen.

ciao, andreas

Lodda 03.04.2009 10:33
So, ich habs geschafft:

1) Programme deinstalliert

2) Werde Antivir nutzen, hab es noch nicht wieder aktiviert, weil ja noch combofix laufen muss

3) Hier das Log von Combofix, nachdem ich es wie in der Anleitung genutzt habe:
Code:
ComboFix 09-04-01.01 - Bene 2009-04-03 11:00:18.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.2.1252.1.1031.18.1022.634 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Bene\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Bene\Desktop\cfscript.txt
AV: Norton Internet Security 2006 *On-access scanning enabled* (Updated)
FW: Norton Internet Security 2006 *enabled*
FW: Norton Internet Worm Protection *disabled*
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
c:\windows\Tasks\Google Software Updater.job
.

(((((((((((((((((((((((  Dateien erstellt von 2009-03-03 bis 2009-04-03  ))))))))))))))))))))))))))))))
.

2009-04-03 10:51 . 2009-04-03 10:51        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Malwarebytes
2009-04-01 15:47 . 2009-04-03 10:53        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-04-01 15:26 . 2009-04-03 10:43        <DIR>        d--------        c:\programme\Navilog1
2009-04-01 15:19 . 2009-04-01 15:19        <DIR>        d--------        c:\programme\CCleaner
2009-04-01 14:55 . 2009-04-01 14:55        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Search
2009-03-29 22:50 . 2009-03-31 18:10        <DIR>        d--h-----        C:\$AVG8.VAULT$
2009-03-29 22:41 . 2009-03-29 22:41        <DIR>        d--------        c:\programme\AVG
2009-03-29 22:41 . 2009-03-31 18:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\avg8
2009-03-18 19:26 . 2009-03-18 19:26        <DIR>        d--------        c:\programme\Teamspeak2_RC2
2009-03-18 19:26 . 2009-03-18 19:26        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\teamspeak2
2009-03-18 19:26 . 2009-03-18 19:26        34,064        --a------        c:\windows\system32\lhacm.acm
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\windows\system32\GroupPolicy
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\windows\system32\de-DE
2009-03-10 13:30 . 2009-03-10 13:30        <DIR>        d--------        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Windows Desktop Search
2009-03-10 13:28 . 2008-03-07 18:56        192,000        -----c---        c:\windows\system32\dllcache\offfilt.dll
2009-03-10 13:28 . 2008-03-07 18:56        98,304        -----c---        c:\windows\system32\dllcache\nlhtml.dll
2009-03-10 13:28 . 2008-03-07 18:56        29,696        -----c---        c:\windows\system32\dllcache\mimefilt.dll

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-03 08:55        ---------        d-----w        c:\dokumente und einstellungen\Bene\Anwendungsdaten\Skype
2009-04-03 08:45        ---------        d-----w        c:\programme\Yahoo!
2009-04-03 08:43        ---------        d-----w        c:\programme\Google
2009-04-03 08:39        ---------        d-----w        c:\dokumente und einstellungen\Bene\Anwendungsdaten\skypePM
2009-03-31 14:58        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2009-03-10 11:32        ---------        d-----w        c:\programme\Windows Desktop Search
2009-02-27 12:42        ---------        d-----w        c:\programme\Gemeinsame Dateien\AVSMedia
2009-02-27 12:39        ---------        d-----w        c:\programme\AVS4YOU
2009-02-24 13:43        ---------        d-----w        c:\programme\EA SPORTS
2008-08-05 18:05        14,852        ----a-w        c:\programme\settings.dat
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-10 15360]
"TOSCDSPD"="c:\programme\TOSHIBA\TOSCDSPD\toscdspd.exe" [2005-04-12 65536]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-07-29 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-05-01 7557120]
"NVRotateSysTray"="c:\windows\system32\nvsysrot.dll" [2006-05-01 49152]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761948]
"THotkey"="c:\programme\Toshiba\Toshiba Applet\thotkey.exe" [2006-08-25 356352]
"Tvs"="c:\programme\TOSHIBA\Tvs\TvsTray.exe" [2006-02-02 73728]
"SmoothView"="c:\programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe" [2005-05-13 118784]
"DLA"="c:\windows\System32\DLA\DLACTRLW.EXE" [2005-10-06 122940]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2006-08-02 802816]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2006-08-02 696320]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"nwiz"="nwiz.exe" [2006-05-01 c:\windows\system32\nwiz.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-05-05 c:\windows\RTHDCPL.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2005-12-13 c:\windows\agrsmmsg.exe]
"TPSMain"="TPSMain.exe" [2005-08-03 c:\windows\system32\TPSMain.exe]
"NDSTray.exe"="NDSTray.exe" [BU]
"TFncKy"="TFncKy.exe" [BU]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-10 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Windows Search.lnk - c:\programme\Windows Desktop Search\WindowsSearch.exe [2008-05-26 123904]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"= "c:\programme\Windows Desktop Search\MSNLNamespaceMgr.dll" [2008-05-26 304128]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Dokumente und Einstellungen\\Bene\\Desktop\\allesskype\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Toshiba\\ConfigFree\\CFXFER.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R3 X10Hid;X10 Hid Device;c:\windows\system32\drivers\x10hid.sys [2006-09-14 7040]
S2 Automatisches LiveUpdate - Scheduler;Automatisches LiveUpdate - Scheduler;"c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe" --> c:\programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe [?]
S3 ASPI;Advanced SCSI Programming Interface Driver;c:\windows\system32\drivers\ASPI32.SYS [2009-01-05 16512]
.
.
------- Zusätzlicher Suchlauf -------
.
uSearch Page = hxxp://www.google.com
uSearch Bar = hxxp://www.google.com/ie
mDefault_Search_URL = hxxp://www.google.com/ie
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
mSearchAssistant = hxxp://www.google.com/ie
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\Bene\Anwendungsdaten\Mozilla\Firefox\Profiles\l2hpb68z.default\
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava11.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava12.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava13.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava14.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJava32.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPJPI150_06.dll
FF - plugin: c:\programme\Java\jre1.5.0_06\bin\NPOJI610.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\np-mswmp.dll
.

**************************************************************************

catchme 0.3.1375 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-03 11:05:44
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(932)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\windows\system32\BRSS01A.EXE
c:\programme\Toshiba\ConfigFree\CFSvcs.exe
c:\windows\ehome\ehrecvr.exe
c:\windows\ehome\ehSched.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
c:\progra~1\COMMON~1\X10\Common\X10nets.exe
c:\windows\ehome\mcrdsvc.exe
c:\windows\system32\searchindexer.exe
c:\windows\system32\wscntfy.exe
c:\windows\system32\rundll32.exe
c:\windows\ehome\ehmsas.exe
c:\programme\Synaptics\SynTP\Toshiba.exe
c:\windows\system32\rundll32.exe
c:\programme\Toshiba\ConfigFree\NDSTray.exe
c:\windows\system32\TPSBattM.exe
c:\programme\Intel\Wireless\Bin\Dot1XCfg.exe
c:\windows\system32\dllhost.exe
c:\windows\system32\searchprotocolhost.exe
c:\windows\system32\searchfilterhost.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-03 11:08:04 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-03 09:08:02
ComboFix2.txt  2009-04-02 12:57:07

Vor Suchlauf: 21 Verzeichnis(se), 11.266.904.064 Bytes frei
Nach Suchlauf: 20 Verzeichnis(se), 11,258,572,800 Bytes frei

169        --- E O F ---        2008-09-25 11:57:01
Nach dem Nutzen von combofix und dem Neustart des Rechners haben sich unten rechts am Desktop folgende 2 Icon gemeldet:
- Google hat erkannt, das die Suchroutine sich geändert hat (habe ich nicht weiter drauf reagiert)
- Das Windows Security-Center hat mich aufgefordert, automatische Updates für Virusschutz und Firewall zu aktivieren. Das habe ich dann auch gemacht.

4) Der Scan der Datei durch Virustotal hat eine Ergebnis (von 40 Scans) gebracht (markiert):
Code:
Antivirus          Version          letzte aktualisierung          Ergebnis
a-squared        4.0.0.101        2009.04.03        -
AhnLab-V3        5.0.0.2        2009.04.03        -
AntiVir        7.9.0.129        2009.04.03        -
Antiy-AVL        2.0.3.1        2009.04.03        -
Authentium        5.1.2.4        2009.04.03        -
Avast        4.8.1335.0        2009.04.02        -
AVG        8.5.0.285        2009.04.02        -
BitDefender        7.2        2009.04.03        -
CAT-QuickHeal        10.00        2009.04.03        -
ClamAV        0.94.1        2009.04.03        -
Comodo        1096        2009.04.02        -
DrWeb        4.44.0.09170        2009.04.03        -
eSafe        7.0.17.0        2009.04.02        -
eTrust-Vet        31.6.6434        2009.04.03        -
F-Prot        4.4.4.56        2009.04.02        -
F-Secure        8.0.14470.0        2009.04.03        -
Fortinet        3.117.0.0        2009.04.03        -
GData        19        2009.04.03        -
Ikarus        T3.1.1.49.0        2009.04.03        -
K7AntiVirus        7.10.690        2009.04.01        -
Kaspersky        7.0.0.125        2009.04.03        -
McAfee        5572        2009.04.02        -
McAfee+Artemis        5572        2009.04.02        -
McAfee-GW-Edition        None        2009.04.03        BlockReason.0
Microsoft        1.4502        2009.04.03        -
NOD32        3984        2009.04.02        -
Norman        6.00.06        2009.04.02        -
nProtect        2009.1.8.0        2009.04.03        -
Panda        10.0.0.14        2009.04.02        -
PCTools        4.4.2.0        2009.04.02        -
Prevx1        V2        2009.04.03        -
Rising        21.23.41.00        2009.04.03        -
Sophos        4.40.0        2009.04.03        -
Sunbelt        3.2.1858.2        2009.04.03        -
Symantec        1.4.4.12        2009.04.03        -
TheHacker        6.3.4.0.300        2009.04.03        -
TrendMicro        8.700.0.1004        2009.04.03        -
VBA32        3.12.10.2        2009.04.02        -
ViRobot        2009.4.3.1675        2009.04.03        -
VirusBuster        4.6.5.0        2009.04.02        -
weitere Informationen
File size: 2676 bytes
MD5...: b85dce9dc4299ce9e380cb655a67e406
SHA1..: f51a4d669b1985b5e0c7d3618548e32bf7e5a173
SHA256: fabca5792061efe3efb4063c7500a9d784d67b0667a52fb8035a8ff15249be10
SHA512: 733a06d3c08b81eb582c2d5b479cea817892028003eb429cfd58409e2b289598
dc2c8c99f663dff003aefa21e1074a7e213ce1aafa491f67070119a5014b23f4
ssdeep: 48:uvQPnGLGvs8BVjh1oI6GGZ2uw5/fN9EJS72ZXbQRPGGPUlpz:uIPnGKvs8TjD
SvZ2uK/IJfNbMPGGPepz
PEiD..: -
TrID..: File type identification
Unknown!
5) Das Filelisting ist hier:
http://www.materialordner.de/kDjuEp5JJ7Gt9GiIdempLID9hecPFb.html

Viele Grüße

Lodda 03.04.2009 11:31
Kleines Edit noch: Ich hab jetzt noch einen komplettes Systemcheck von antivir laufen lassen: Keine Virenfunde, aber 2 Warnungen. Das Komplette Log kann ich bei Bedarf posten.

Code:
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!

john.doe 03.04.2009 16:28
Mit dem Banker habe ich mich geirrt. Funktioniert dein Sound noch? Checke das bitte, falls nicht, dann stellen wir den Eintrag wieder her.

Die Warnmeldungen haben nichts zu bedeuten.

Schau mal mit dem Windowsexplorer in den Ordner C:\Windows. Alle Bilder (*.bmp) mit Ausnahme von winnt256.bmp und winnt.bmp können gelöscht werden, falls du sie nicht brauchst.

Du hast drei verschiedene Anmeldekonten. Wozu?

1.) Deinstalliere (falls möglich):
  • Avenger
  • Gmer
  • Fixwareout
  • Navilog
  • Adobe Reader 7.0.8 - Deutsch
  • Avira AntiVir Personal - Free Antivirus
  • Google Toolbar for Internet Explorer
  • Google Updater
  • ICQ Toolbar
  • ICQ6
  • J2SE Runtime Environment 5.0 Update 6
  • MSN Suche Toolbar
  • Norton Internet Security
  • Norton Protection Center
  • PDFCreator Toolbar
  • Yahoo! Toolbar
2.) Download und Ausführung des Norton-Entfernungsprogramms

3.) Entferne Javareste mit SourceForge.net: JavaRa: Downloading ...

4.) Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

Driver::
Automatisches LiveUpdate - Scheduler

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"swg"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
[-HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"=-

File::
C:\avenger.txt
C:\cleannavi.txt
C:\fixnavi.txt
C:\LHT17E.tmp
C:\LHT118.tmp
C:\ctapi_out_gr.txt
C:\Boot.bak
C:\SWSTAMP.TXT
C:\WINDOWS\system32\wuauclt.exe.wusetup.369578.bak
C:\WINDOWS\system32\wuapi.dll.wusetup.369421.bak
C:\WINDOWS\system32\wuaueng.dll.wusetup.369828.bak

Folder::
C:\Avenger
C:\fixwareout
C:\WINDOWS\Downloaded Program Files
C:\Programme\Navilog1
C:\Programme\Symantec
C:\Programme\Online-Dienste
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files

DirLook::
C:\CMPNENTS
C:\TOOLSCD
C:\WINDOWS\system32\URTTemp
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

5.) Reinige mit CCleaner alle temporären Dateien und die Registry.

6.) Installiere (Toolbars immer abwählen, Haken weg):
7.) MalwareBytes starten und Log posten.

8.) SuperAntiSpyware starten und Log posten.

9.) Neues HJT-Log posten.

ciao, andreas

black messia 03.04.2009 18:48
Hallo

Ich habe so ziemlich/genau das selbe Problem wie Lodda. Auch das GMER-Programm, das ich laufen gelassen habe, zeigt viele dieser UACd...(irgendwas) Dateien/Einträge. Also handelt es sich warscheinlich um das selbe Problem.

Soll/Kann ich die Anleitung von john.doe ebenso gefahrlos befolgen? (einfach die entsprechenden Änderungen für mein System vornehmen, z.b. Benutzername) Und gibt es allenfalls Punkte, die ich weglassen kann?

Ich hoffe ihr könnt mir helfen.
Gruss
black messiah

PS: als Notlösung habe ich die Firefox.exe Datei umbenannt, danach tritt das Problem auch nicht mehr auf. Ist zwar nur eine Notlösung und bekämpft die Ursache nicht, aber dennoch villeicht ein kleiner Tipp für die Zwischenzeit, bis die Ursache gelöst wurde.

john.doe 03.04.2009 18:53
@black messia

Bitte eröffne dein eigenes Thema, wie jeder hier. Poste als erstes das Gmer-Log.

ciao, andreas

Lodda 03.04.2009 19:31
Hallo,

Zitat:
Zitat von john.doe (Beitrag 425945)
Funktioniert dein Sound noch? Checke das bitte, falls nicht, dann stellen wir den Eintrag wieder her.
Sound funktioniert, ja.

Zitat:
Zitat von john.doe (Beitrag 425945)
Schau mal mit dem Windowsexplorer in den Ordner C:\Windows. Alle Bilder (*.bmp) mit Ausnahme von winnt256.bmp und winnt.bmp können gelöscht werden, falls du sie nicht brauchst.
Hab ich gemacht.

Zitat:
Zitat von john.doe (Beitrag 425945)
Du hast drei verschiedene Anmeldekonten. Wozu?
Du meinst die normale Windows-Anmeldekonten? Davon hab ich zwei, nicht drei. Eines ist für mich, das andere hat meine Mitbewohnerin mal benutzt. Das Letzte Mal ist aber schon länger her.

Zitat:
Zitat von john.doe (Beitrag 425945)
1.) Deinstalliere (falls möglich): ...
Hab ich soweit möglich gemacht, oder zumindest versucht. Ist ja manchmal nicht so einfach die Reste zu finden;)

Auch die beiden Programme zum entfernen der Norton und Java Reste habe ich laufen lassen.

zu 4.) edit: Beim Antwort verfassen sehe ich grade, das ich combofix ja 2 mal laufen lassen sollte. Das habe ich übersehen. Das folgende Log ist also das des einzelnden Durchlaufs.

http://www.materialordner.de/3E0wxct63hi5xKE7v7ZBbPb8wOYsXxfQ.html


Zitat:
Zitat von john.doe (Beitrag 425945)
5.) Reinige mit CCleaner alle temporären Dateien und die Registry.
Erledigt.

Zitat:
Zitat von john.doe (Beitrag 425945)
6.) Installiere (Toolbars immer abwählen, Haken weg): ...
Hab ich gemacht, bis auf ICQ, das ich eigentlich nicht mehr brauche.

Zitat:
Zitat von john.doe (Beitrag 425945)
8.) SuperAntiSpyware starten und Log posten.
Ich habe erstmal einen schnellen Scan gestartet, für einen kompletten fehlt mir heute die Zeit. Bei Bedarf kann ich dies morgen nachholen.

Code:
SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 04/03/2009 at 08:01 PM

Application Version : 4.26.1000

Core Rules Database Version : 3828
Trace Rules Database Version: 1784

Scan type      : Quick Scan
Total Scan Time : 00:14:12

Memory items scanned      : 585
Memory threats detected  : 0
Registry items scanned    : 435
Registry threats detected : 0
File items scanned        : 7957
File threats detected    : 26

Rogue.WinPCDefender
        C:\Dokumente und Einstellungen\Bene\Startmenü\WinPC Defender.LNK

Adware.Tracking Cookie
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@banner_tracking[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ad.71i[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adfarm1.adition[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ads.heias[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adsrv.admediate[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@im.banner.t-online[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adserver[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@apmebf[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@allesklarcomag.112.2o7[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ads.admediate[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adserver.kfz-auskunft[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@atwola[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ice.112.2o7[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@www.etracker[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@www.web-mediaplayer[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@de2.komtrack[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@bwinde.122.2o7[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ad.zanox[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@webmasterplan[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@indextools[2].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adserver.71i[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@adserver.easyad[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ottogroup.112.2o7[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@ottotrialpopunders.112.2o7[1].txt
        C:\Dokumente und Einstellungen\Andere\Cookies\andere@web-mediaplayer[2].txt
Ich habe die 26 schädlichen Elemente enfernen und unter Quarantäne stellen lassen. Naja, um ehrlich zu sein, wars ein Versehen, eigentlich wollte ich die Antwort hier abwarten.

Zitat:
Zitat von john.doe (Beitrag 425945)
7.) MalwareBytes starten und Log posten.
Auch hier habe ich nur den schnellen Scan durchgeführt:

Code:
Malwarebytes' Anti-Malware 1.35
Datenbank Version: 1938
Windows 5.1.2600 Service Pack 2

03.04.2009 20:22:50
mbam-log-2009-04-03 (20-22-38).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 81349
Laufzeit: 4 minute(s), 25 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\147793193612.CPX (Trojan.Agent) -> No action taken.
C:\WINDOWS\system32\147793193631.CPX (Trojan.Agent) -> No action taken.
Hier habe ich dann tatsächlich ignoriert, und warte erst einmal auf Antwort.

Zitat:
Zitat von john.doe (Beitrag 425945)
9.) Neues HJT-Log posten.
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:26:33, on 03.04.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
C:\WINDOWS\system32\TPSMain.exe
C:\Programme\Synaptics\SynTP\Toshiba.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\Programme\TOSHIBA\ConfigFree\NDSTray.exe
C:\Programme\TOSHIBA\Tvs\TvsTray.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\TOSHIBA\TOSHIBA Controls\TFncKy.exe
C:\WINDOWS\System32\DLA\DLACTRLW.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\WINDOWS\system32\TPSBattM.exe
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\Windows Desktop Search\WindowsSearch.exe
C:\WINDOWS\system32\SearchIndexer.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\dllhost.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\Dokumente und Einstellungen\Bene\Desktop\HiJackThis.exe
C:\WINDOWS\system32\SearchProtocolHost.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R3 - URLSearchHook: (no name) -  - (no file)
R3 - URLSearchHook: DefaultSearchHook Class - {C94E154B-1459-4A47-966B-4B843BEFC7DB} - C:\Programme\AskSearch\bin\DefaultSearch.dll
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: DriveLetterAccess - {5CA3D70E-1895-11CF-8E15-001234567890} - C:\WINDOWS\System32\DLA\DLASHX_W.DLL
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\Programme\Microsoft Office\Office12\GrooveShellExtensions.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Foxit Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet /keeploaded /nodetect
O4 - HKLM\..\Run: [NVRotateSysTray] rundll32.exe C:\WINDOWS\system32\nvsysrot.dll,Enable
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [THotkey] C:\Programme\Toshiba\Toshiba Applet\thotkey.exe
O4 - HKLM\..\Run: [TPSMain] TPSMain.exe
O4 - HKLM\..\Run: [NDSTray.exe] NDSTray.exe
O4 - HKLM\..\Run: [Tvs] C:\Programme\TOSHIBA\Tvs\TvsTray.exe
O4 - HKLM\..\Run: [SmoothView] C:\Programme\TOSHIBA\TOSHIBA Zoom-Dienstprogramm\SmoothView.exe
O4 - HKLM\..\Run: [TFncKy] TFncKy.exe
O4 - HKLM\..\Run: [DLA] C:\WINDOWS\System32\DLA\DLACTRLW.EXE
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TOSCDSPD] C:\Programme\TOSHIBA\TOSCDSPD\toscdspd.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\Programme\Microsoft Office\Office12\GrooveSystemServices.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: BrSplService (Brother XP spl Service) - brother Industries Ltd - C:\WINDOWS\system32\brsvc01a.exe
O23 - Service: ConfigFree Service (CFSvcs) - TOSHIBA CORPORATION - C:\Programme\TOSHIBA\ConfigFree\CFSvcs.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: TOSHIBA Application Service (TAPPSRV) - TOSHIBA Corp. - C:\Programme\Toshiba\TOSHIBA Applet\TAPPSRV.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

--
End of file - 9115 bytes
Eine letzte Anmerkung, die mir aufgefallen ist: Beim Herunterfahren des Rechners, bekomme ich manchmal die Meldung das das folgende Programm beendet wird: ZcfgSvc.exe
Im Task-Manager wird diese Datei auch als Prozess, nicht als Programm angzeigt. Keine Ahnung, ob das von Bedeutung ist, aber der Vollständigkeit halber möchte ich es erwähnen.

Viele Grüße

john.doe 03.04.2009 19:54
Zitat:
Sound funktioniert, ja.
:daumenhoc
Zitat:
Davon hab ich zwei, nicht drei.
Zitat:
02.04.2009 14:21 <DIR> Bene
29.03.2009 22:42 <DIR> Administrator
29.03.2009 22:42 <DIR> Andere
Zitat:
Beim Antwort verfassen sehe ich grade, das ich combofix ja 2 mal laufen lassen sollte.
Nein. Zuerst ziehst du das Script drauf, dann startest du einmal.
Zitat:
Hab ich gemacht, bis auf ICQ, das ich eigentlich nicht mehr brauche.
Dann brauchst du es natürlich nicht zu installieren.
Zitat:
Bei Bedarf kann ich dies morgen nachholen.
Ja, Bedarf besteht. :)
Klicke vor dem erneuten vollständigen Scan von MalwareBytes auf die Karte Update und dann auf Suche nach Aktualisierungen. Du hast eine uralte Datenbank.
Zitat:
das das folgende Programm beendet wird: ZcfgSvc.exe
File Information - ZCfgSvc.exe Fehler deinstallieren
Lies es dir durch, auch die Userbewertungen und entscheide selbst, ob du es brauchst oder nicht. Die Toshiba-Software ist mir auch ein Dorn im Auge, genau wie Desktop Search von MS. Ich würde alles nicht Notwendige deinstallieren.

Die AVG-Ordner können eigentlich auch noch weg.

Lade die beiden Dateien, die MbAM anquengelt hat, bei einem Filehoster hoch und poste die Links. Das kann ein FP von MbAM sein. Das Datum ist zu alt und die Dateien zu klein, aber man weiß ja nie.

ciao, andreas

Lodda 03.04.2009 23:37
Guten abend,

alles arbeite ich jetzt nicht mehr ab, aber einen Teil kann ich ja noch angehen.

- Zu den drei Konten:
Zitat:
02.04.2009 14:21 <DIR> Bene
29.03.2009 22:42 <DIR> Administrator
29.03.2009 22:42 <DIR> Andere
Tja, wenn ich starte, habe ich definitiv nur zwei Konten. Ich würde dem ganzen aber auch nicht so eine besondere Bedeutung schenken, weil ich im Zuge der Viren/Trojanergeschichte die Adminrechte überhaupt erst neu zugeteilt habe. Vielleicht hängt es schlicht damit zusammen. Vorher waren die Konten jeweils ohne besondere Rechte eingerichtet, das habe ich erst die Tage jetzt geändert.

Zitat:
Beim Antwort verfassen sehe ich grade, das ich combofix ja 2 mal laufen lassen sollte.
ANTWORT: Nein. Zuerst ziehst du das Script drauf, dann startest du einmal.
Gut, dann habe ich das ja richtig gemacht, und das log pass dann auch.

Zitat:
Zitat:
Bei Bedarf kann ich dies morgen nachholen.
ANTWORT: Ja, Bedarf besteht.
Klicke vor dem erneuten vollständigen Scan von Malwarebytes auf die Karte Update und dann auf Suche nach Aktualisierungen. Du hast eine uralte Datenbank.
Hm, ich hab die vor dem Scan schon aktualisiert. Ich hab das grade nochmal überprüft und versucht. Malware bestätigt mir, das die verwendete Version [Datenbank-Version 1938] die aktuelle ist.


Zitat:
Zitat:das das folgende Programm beendet wird: ZcfgSvc.exe
Antwort: File Information - ZCfgSvc.exe Fehler deinstallieren
Lies es dir durch, auch die Userbewertungen und entscheide selbst, ob du es brauchst oder nicht.
Gut. Ich hab´s mir durchgelesen; und dann zunächst mal nach dem Programm gesucht, und es hier gefunden:
Code:
ZCFGSVC.EXE-1FEE3EEE.pf  in  C:\Windows\Prefetch
ZCfgSvc.exe                in    C:\Programme\Intel\Wireless\Bin
Diese beiden Dateien habe ich dann bei Virustotal.com überprüfen lassen, ohne Ergebnis.
Wenn ich dich dich richtig verstehe, kann ich sie aber trotzdem löschen, weil sie unnötig sind. (?)


Zitat:
Die Toshiba-Software ist mir auch ein Dorn im Auge, genau wie Desktop Search von MS. Ich würde alles nicht Notwendige deinstallieren.

Die AVG-Ordner können eigentlich auch noch weg.

Lade die beiden Dateien, die MbAM anquengelt hat, bei einem Filehoster hoch und poste die Links. Das kann ein FP von MbAM sein. Das Datum ist zu alt und die Dateien zu klein, aber man weiß ja nie.
Dies, sowie die beiden Komplett Scans, mache ich dann morgen, wird mir jetzt zu spät.

Bis dahin, und ein herzliches Dankschön
:party:

Lodda 04.04.2009 13:23
Zweiter Teil der Antwort ;)

1. Komplettscan durch Malware, heute aktualisiert:

Code:
Malwarebytes' Anti-Malware 1.35
Datenbank Version: 1939
Windows 5.1.2600 Service Pack 2

04.04.2009 12:32:49
mbam-log-2009-04-04 (12-32-49).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 158803
Laufzeit: 48 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
2. Komplettscan durch Superantispyware -> 1 Ergebnis, in Quarantäne verschoben

Code:
SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 04/04/2009 at 01:35 PM

Application Version : 4.26.1000

Core Rules Database Version : 3829
Trace Rules Database Version: 1785

Scan type      : Complete Scan
Total Scan Time : 00:34:57

Memory items scanned      : 571
Memory threats detected  : 0
Registry items scanned    : 6290
Registry threats detected : 0
File items scanned        : 19302
File threats detected    : 1

Adware.Vundo/Variant-MSFake
        C:\SYSTEM VOLUME INFORMATION\_RESTORE{391197E0-8C57-4C06-9C98-32E013C26E86}\RP119\A0044170.EXE
3.
Zitat:
Lade die beiden Dateien, die MbAM anquengelt hat, bei einem Filehoster hoch und poste die Links. Das kann ein FP von MbAM sein. Das Datum ist zu alt und die Dateien zu klein, aber man weiß ja nie.
http://www.materialordner.de/VHyh10RxSvYW43ce4qLIf8dbVOFqTia.html
http://www.materialordner.de/JMTo4H3EjBJQZt8lT5euWRTSiTVI9BZI.html

Da ich über diese [Zahl].cpx Dateien in den letzten Tagen immer wieder gestolpert bin, habe ich alle 6 [Zahl].cpx Dateien im system32 Ordner auch nochmal bei virustotal.com überprüfen lassen; es gab aber keine Befunde mehr.

john.doe 04.04.2009 13:42
Zitat:
Tja, wenn ich starte, habe ich definitiv nur zwei Konten.
Hast du die Home-Edition? Da ist das Administratorkonto nur im abgesicherten Modus zu erreichen.
Zitat:
Wenn ich dich dich richtig verstehe, kann ich sie aber trotzdem löschen, weil sie unnötig sind. (?)
Nein, unnötig ist die nicht, aber bekannt dafür, dass sie Probleme verursacht. Falls sie weiterhin Probleme verursacht, dann melde dich nochmal. Dann können wir sie vorübergehend deaktivieren und du checkst dann, ob noch alles funktioniert und ob sich danach eine Besserung einstellt.
Zitat:
es gab aber keine Befunde mehr.
Nur die Art, wie sie installiert waren, kam mir merkwürdig vor. So installiert sich auch der Silent Banker. Aber die Dateien sind zu alt und zu klein, dazu noch nicht einmal Programme, also ungefährlich. KA, warum MbAM die angequengelt hat.

Gibt es noch irgendwelche Probleme? Oder tut der Rechner wieder, was er soll?

ciao, andreas

Lodda 04.04.2009 14:13
Hi,

der Rechner tut, was er soll, keine Probleme mehr.

Aber ein paar abschließende Fragen hätte ich noch:

1. Mich wundert, dass die kleinen Spezialprogramme, die man hier unter Anleitung laufen lässt, so viele Sachen mehr finden, als die "normalen" Antivirusprogramme. Heißt das, das die normalen Programme unzureichend sind?

2. Was mache ich mit den Spezialprogrammen? Soll ich sie deinstallieren? (zumindest bei Programmen wie combofix erscheint es mir ratsam, sie weingstens vom Desktop zu entfernen)
Oder soll ich Superantispyware und Malware behalten, und ab und an laufen lassen?

3. Die Logs zeigen ja, das ich nur SP2 von Windows auf dem Rechner habe. Soll ich SP3 laden und installieren?

4. Kann ich jetzt wieder Online- Banking nutzen? Besser Passwörter ändern, oder?

Ich glaub das wärs fürs erste :)

john.doe 04.04.2009 15:59
Zitat:
der Rechner tut, was er soll, keine Probleme mehr.
:daumenhoc
Zitat:
Aber ein paar abschließende Fragen hätte ich noch:
Wer sagt dir, dass wir fertig sind? Ganz unten geht es weiter. :)
Zitat:
Heißt das, das die normalen Programme unzureichend sind?
Ja, besser hätte ich es nicht formulieren können. "Sicherheitsprogramme", egal ob Antivirenprogramm, Antispywareprogramm, Antibotprogramm, Personal Firewall oder was sich sonst noch so unter dem Namen "Sicherheitsprogrammen" tummelt, sind in meinen Augen nichts weiter als Abzocke.

Verkauft wird dir ein Gefühl, das Gefühl du seist damit sicher. Du hattest ein Antivirenprogramm, hat es dich beschützt? Du hattest ein Antispywareprogramm, hat es dich beschützt?

Schutz heißt selber aktiv zu werden. Klicke auf die letzten beiden Links in meiner Signatur. Die Ratschläge, die dort zu lesen sind, sind uralt aber immer noch aktuell. Vielleicht heute mehr als damals. Du musst einfach nur die Regeln befolgen, die dort stehen, dann bist du sicher.

Ich persönlich habe kein Antivirenprogramm, kein Antispywareprogramm, keine Personal Firewall und ich weigere mich auch konsequent bei Bekannten soetwas zu installieren.

Das ist in etwa vergleichbar mit der Risikokompensation bei Autos. Mir kann ja nichts passieren, mein Auto hat ABS, ESP, Airbags, ... also mit Tempo 200 in die Kurve.

Alle Experten warnen davor, Software per P2P zu saugen, aber die User sagen sich, ich habe ja ein Antivirenprogramm, mir kann nichts passieren. Tja. Was soll man noch schreiben?
Zitat:
Was mache ich mit den Spezialprogrammen? Soll ich sie deinstallieren?
1.) Start => Ausführen => combofix /u => OK
2.) Alle anderen Programme (mit Ausnahme von Avira/MalwareBytes) deinstallieren/löschen.
Zitat:
Soll ich SP3 laden und installieren?
Äh, klicke nochmal auf die letzten beiden Links in meiner Signatur und lese alles nochmal. Dann hat sich diese Frage erübrigt. Schaue gleich anschliessend mit dem MSIE bei Microsoft Windows Update vorbei und installiere alle Updates.
Zitat:
Besser Passwörter ändern, oder?
Besser ist das.

Kaspersky Online Scan

Überprüfe Dein komplettes System mit dem Kaspersky Online-Scanner. Bitte während des Scans alle evtl. vorhandenen externen Festplatten einschalten/anschließen. Außerdem während des Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliche) abstellen und nicht vergessen, sie hinterher wieder einzuschalten.
  • Kaspersky Online Scanner
    • Anmerkung für Vista-User: Bitte den Browser unbedingt als Administrator starten.
    • Java muss installiert, aktiv und erlaubt sein.
    • Bebilderte Anleitung von sundavis.
    • Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
    • Wir werden Dir helfen, die Funde manuell vom System zu entfernen.
    • Die Datenschutzerklärung akzeptieren.
    • Programm installieren lassen.
    • Update der Signaturen installieren lassen.
    • Wenn der Status "Complete" ist,
    • Scan-Einstellungen (Settings) Standard lassen
    • Links den Link "My Computer" anklicken.
    • Scan beginnt automatisch.
    • Wenn der Scan fertig ist, auf "View scan report" klicken,
    • "Save report as" und Dateityp auf .txt umstellen,
    • und auf dem Desktop als Kaspersky.txt speichern.
    • Logdatei hier posten.
    • Deinstallation ist nicht nötig, alle Dateien werden in temporären Ordnern gespeichert.

ciao, andreas

Lodda 05.04.2009 19:07
Guten abend,

Zitat:
Du hattest ein Antivirenprogramm, hat es dich beschützt? Du hattest ein Antispywareprogramm, hat es dich beschützt?
Öhem, nein und nein ;)

Um in deinem Bild zu bleiben:
Mein Auto hatte keinABS, ESP, Airbags, ... aber trotzdem mit Tempo 200 in die Kurve. xD


Okay, zu den Aufagen. Gut das ich heute mittag angefangen habe, das hat mal wieder Stunden gedauert^^

1. combofix und SuperAntispyware habe ich deinstalliert. HiJackthis kommt weg, wenn wir hier fertig sind. Den CCleaner behalte ich erstmal, gefällt mir gut das Tool.

2.Windows,IE und SP hab ich solange upgedatet, bis nix mehr ging. (Stunden später.... ;)

3. Der Online Scan von Kaspersky hat dann auch nur 3h gedauert. Keine Ergebnisse, hier das Log:
Code:
--------------------------------------------------------------------------------
KASPERSKY ONLINE SCANNER 7 REPORT
 Sunday, April 5, 2009
 Operating System: Microsoft Windows XP Professional Service Pack 3 (build 2600)
 Kaspersky Online Scanner 7 version: 7.0.25.0
 Program database last update: Sunday, April 05, 2009 15:56:33
 Records in database: 2015080
--------------------------------------------------------------------------------

Scan settings:
        Scan using the following database: extended
        Scan archives: yes
        Scan mail databases: yes

Scan area - My Computer:
        C:\
        D:\

Scan statistics:
        Files scanned: 71062
        Threat name: 0
        Infected objects: 0
        Suspicious objects: 0
        Duration of the scan: 03:05:39

No malware has been detected. The scan area is clean.

The selected area was scanned.

john.doe 05.04.2009 19:31
Falls es dem Rechner wieder gut geht, dann bist du entlassen.

Immer vorsichtig im Internet in der Zukunft, sonst bist du bald wieder hier. :)

ciao, andreas

Lodda 05.04.2009 20:46
Super.

Dann nochmal vielen herzlichen Dank für die Hilfe, und ein großes Lob für die Arbeit, die ihr euch macht!

Danke & byebye :party:


Alle Zeitangaben in WEZ +1. Es ist jetzt 22:15 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131