Trojaner-Board - TR/Crypt.ZPACK.Gen in servises.exe und ev. noch weiteres

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - TR/Crypt.ZPACK.Gen in servises.exe und ev. noch weiteres (https://www.trojaner-board.de/71749-tr-crypt-zpack-gen-servises-exe-ev-noch-weiteres.html)

TR/Crypt.ZPACK.Gen in servises.exe und ev. noch weiteres

Hallo

seit neustem meldet mir Avira Antivir (genauer der Guard) einen Trojaner namens TR/Crypt.ZPACK.Gen in einer Datei C:/windows/system32/servises.exe (mit S nicht mit C!). Habe jedesmal zugriff verweigern gedrückt.

Mache gerade eine vollen Scan mit Avira (ist am laufen). Dabei hat er noch einen DR/Agent.opy gfunden bis jetzt.

Was soll ich tun, damit der PC wieder sauber ist?

Gruss
black messiah

Wenn der Avira-Scan fertig ist stell ihn hier rein.

Anschließend noch:

1. System mit dem CCleaner bereinigen.
2. Das System mit Malwarebytes scannen. (Log hier posten)
3. Mit HijackThis eine Logfile erstellen. (Log hier posten)
4. Uninstall-Liste mit HijackThis erstellen. (Log hier posten)

mfg, Kaos

Hallo

Also beim ersten Scan wurden 4 Stück gefunden und bei einem Neustart repariert (von Antivir). Danach führte ich einen erneuten Scan durch, der nichts fand.
Die Logs sind extrem lange und im wesentlichen unintressant. daher poste ich nur mal die wichtigen Teile:

vom ersten Scan:

Code:

Avira AntiVir Personal

Erstellungsdatum der Reportdatei: Sonntag, 5. April 2009  21:21
 

Es wird nach 1340030 Virenstämmen gesucht.
 

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus

Seriennummer   : 0000149996-ADJIE-0000001

Plattform      : Windows XP

Windowsversion : (Service Pack 3)  [5.1.2600]

Boot Modus     : Normal gebootet

Benutzername   : [Benutzername]

Computername   : NOTEBOOK
 

Versionsinformationen:

BUILD.DAT      : 9.0.0.387     17962 Bytes  24.03.2009 11:03:00

AVSCAN.EXE     : 9.0.3.3      464641 Bytes  24.02.2009 10:13:22

AVSCAN.DLL     : 9.0.3.0       49409 Bytes  13.02.2009 10:04:10

LUKE.DLL       : 9.0.3.2      209665 Bytes  20.02.2009 09:35:44

LUKERES.DLL    : 9.0.2.0       13569 Bytes  26.01.2009 08:41:59

ANTIVIR0.VDF   : 7.1.0.0    15603712 Bytes  27.10.2008 10:30:36

ANTIVIR1.VDF   : 7.1.2.12    3336192 Bytes  11.02.2009 18:33:26

ANTIVIR2.VDF   : 7.1.3.0     1330176 Bytes  01.04.2009 18:55:12

ANTIVIR3.VDF   : 7.1.3.14      68608 Bytes  05.04.2009 19:21:08

Engineversion  : 8.2.0.138

AEVDF.DLL      : 8.1.1.0      106868 Bytes  27.01.2009 15:36:42

AESCRIPT.DLL   : 8.1.1.73     373114 Bytes  04.04.2009 15:08:42

AESCN.DLL      : 8.1.1.10     127348 Bytes  04.04.2009 15:08:41

AERDL.DLL      : 8.1.1.3      438645 Bytes  29.10.2008 16:24:41

AEPACK.DLL     : 8.1.3.12     397687 Bytes  04.04.2009 15:08:41

AEOFFICE.DLL   : 8.1.0.36     196987 Bytes  26.02.2009 18:01:56

AEHEUR.DLL     : 8.1.0.114   1700214 Bytes  04.04.2009 15:08:40

AEHELP.DLL     : 8.1.2.2      119158 Bytes  26.02.2009 18:01:56

AEGEN.DLL      : 8.1.1.33     340340 Bytes  04.04.2009 15:08:37

AEEMU.DLL      : 8.1.0.9      393588 Bytes  09.10.2008 12:32:40

AECORE.DLL     : 8.1.6.7      176502 Bytes  04.04.2009 15:08:36

AEBB.DLL       : 8.1.0.3       53618 Bytes  09.10.2008 12:32:40

AVWINLL.DLL    : 9.0.0.3       18177 Bytes  12.12.2008 06:47:56

AVPREF.DLL     : 9.0.0.1       43777 Bytes  03.12.2008 09:39:55

AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 12:34:28

AVREG.DLL      : 9.0.0.0       36609 Bytes  07.11.2008 13:25:04

AVARKT.DLL     : 9.0.0.1      292609 Bytes  09.02.2009 05:52:20

AVEVTLOG.DLL   : 9.0.0.7      167169 Bytes  30.01.2009 08:37:04

SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 13:03:49

SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 06:21:28

NETNT.DLL      : 9.0.0.0       11521 Bytes  07.11.2008 13:41:21

RCIMAGE.DLL    : 9.0.0.21    2438401 Bytes  09.02.2009 09:41:16

RCTEXT.DLL     : 9.0.35.0      87809 Bytes  11.03.2009 13:50:50
 

Konfiguration für den aktuellen Suchlauf:

Job Name..............................: Vollständige Systemprüfung

Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp

Protokollierung.......................: mittel

Primäre Aktion........................: interaktiv

Sekundäre Aktion......................: ignorieren

Durchsuche Masterbootsektoren.........: ein

Durchsuche Bootsektoren...............: ein

Bootsektoren..........................: C:, F:, 

Durchsuche aktive Programme...........: ein

Durchsuche Registrierung..............: ein

Suche nach Rootkits...................: ein

Integritätsprüfung von Systemdateien..: ein

Datei Suchmodus.......................: Alle Dateien

Durchsuche Archive....................: ein

Rekursionstiefe einschränken..........: 20

Archiv Smart Extensions...............: ein

Makrovirenheuristik...................: ein

Dateiheuristik........................: mittel

Abweichende Gefahrenkategorien........: +JOKE,+SPR,
 

Beginn des Suchlaufs: Sonntag, 5. April 2009  21:21
 

Untersuchung der Systemdateien wird begonnen:

Signiert -> 'C:\WINDOWS\system32\svchost.exe'

Signiert -> 'C:\WINDOWS\system32\winlogon.exe'

Signiert -> 'C:\WINDOWS\explorer.exe'

Signiert -> 'C:\WINDOWS\system32\smss.exe'

Signiert -> 'C:\WINDOWS\system32\wininet.DLL'

Signiert -> 'C:\WINDOWS\system32\wsock32.DLL'

Signiert -> 'C:\WINDOWS\system32\ws2_32.DLL'

Signiert -> 'C:\WINDOWS\system32\services.exe'

Signiert -> 'C:\WINDOWS\system32\lsass.exe'

Signiert -> 'C:\WINDOWS\system32\csrss.exe'

Signiert -> 'C:\WINDOWS\system32\drivers\kbdclass.sys'

Signiert -> 'C:\WINDOWS\system32\spoolsv.exe'

Signiert -> 'C:\WINDOWS\system32\alg.exe'

Signiert -> 'C:\WINDOWS\system32\wuauclt.exe'

Signiert -> 'C:\WINDOWS\system32\advapi32.DLL'

Signiert -> 'C:\WINDOWS\system32\user32.DLL'

Signiert -> 'C:\WINDOWS\system32\gdi32.DLL'

Signiert -> 'C:\WINDOWS\system32\kernel32.DLL'

Signiert -> 'C:\WINDOWS\system32\ntdll.DLL'

Signiert -> 'C:\WINDOWS\system32\ntoskrnl.exe'

Signiert -> 'C:\WINDOWS\system32\ctfmon.exe'

Die Systemdateien wurden durchsucht ('21' Dateien)
 

Der Suchlauf nach versteckten Objekten wird begonnen.

Es wurden '41396' Objekte überprüft, '0' versteckte Objekte wurden gefunden.
 

Der Suchlauf über gestartete Prozesse wird begonnen:

Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'stacsv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'acrobat_sl.exe' - '1' Modul(e) wurden durchsucht

C:\Programme\DNA\

Durchsuche Prozess 'btdna.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'DellWMgr.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'TaskSwitch.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'quickset.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'PCMService.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'OEM02Mon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'stsystra.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Es wurden '46' Prozesse mit '46' Modulen durchsucht

[...]

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:

[...]

C:\WINDOWS\system32\servises.exe

    [FUND]      Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen

    [WARNUNG]   Die Datei konnte nicht geöffnet werden!

    [HINWEIS]   Es wird versucht die Datei mit Hilfe des Snapshot Treibers zu durchsuchen.

[...]

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temp\~TM2D.tmp

    [FUND]      Enthält Erkennungsmuster des Droppers DR/Agent.opy

[...]

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SZIVQ9AZ\load[1].exe

    [FUND]      Enthält Erkennungsmuster des Droppers DR/Agent.opy

[...]

C:\WINDOWS\system32\servises.exe

    [FUND]      Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen

    [WARNUNG]   Die Datei konnte nicht geöffnet werden!

    [HINWEIS]   Es wird versucht die Datei mit Hilfe des Snapshot Treibers zu durchsuchen.

[...]

Beginne mit der Desinfektion:

C:\WINDOWS\system32\

C:\WINDOWS\system32\servises.exe

    [FUND]      Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen

    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004

    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.

    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.

    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a4b1438.qua' verschoben!

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temp\

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temp\~TM2D.tmp

    [FUND]      Enthält Erkennungsmuster des Droppers DR/Agent.opy

    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a261428.qua' verschoben!

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SZIVQ9AZ\

C:\Dokumente und Einstellungen\[Benutzername]\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SZIVQ9AZ\load[1].exe

    [FUND]      Enthält Erkennungsmuster des Droppers DR/Agent.opy

    [HINWEIS]   Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a3a1443.qua' verschoben!

C:\WINDOWS\system32\

C:\WINDOWS\system32\servises.exe

    [FUND]      Ist das Trojanische Pferd TR/Crypt.ZPACK.Gen

    [WARNUNG]   Beim Versuch eine Sicherungskopie der Datei anzulegen ist ein Fehler aufgetreten und die Datei wurde nicht gelöscht. Fehlernummer: 26004

    [WARNUNG]   Die Quelldatei konnte nicht gefunden werden.

    [HINWEIS]   Es wird versucht die Aktion mit Hilfe der ARK Library durchzuführen.

    [WARNUNG]   Fehler in der ARK Library

    [HINWEIS]   Die Datei wurde zum Löschen nach einem Neustart markiert.
 
 

Ende des Suchlaufs: Sonntag, 5. April 2009  22:26

Benötigte Zeit:  1:03:59 Stunde(n)
 

Der Suchlauf wurde vollständig durchgeführt.
 

  16288 Verzeichnisse wurden überprüft

 686938 Dateien wurden geprüft

      4 Viren bzw. unerwünschte Programme wurden gefunden

      0 Dateien wurden als verdächtig eingestuft

      0 Dateien wurden gelöscht

      0 Viren bzw. unerwünschte Programme wurden repariert

      3 Dateien wurden in die Quarantäne verschoben

      0 Dateien wurden umbenannt

     30 Dateien konnten nicht durchsucht werden

 686904 Dateien ohne Befall

   3173 Archive wurden durchsucht

     38 Warnungen

     30 Hinweise

  41396 Objekte wurden beim Rootkitscan durchsucht

      0 Versteckte Objekte wurden gefunden

Und vom 2ten Scan nach der Desinfektion:

Code:

Avira AntiVir Personal

Erstellungsdatum der Reportdatei: Sonntag, 5. April 2009  22:30
 

Es wird nach 1340030 Virenstämmen gesucht.
 

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus

Seriennummer   : 0000149996-ADJIE-0000001

Plattform      : Windows XP

Windowsversion : (Service Pack 3)  [5.1.2600]

Boot Modus     : Normal gebootet

Benutzername   : [Benutzername]

Computername   : NOTEBOOK
 

Versionsinformationen:

BUILD.DAT      : 9.0.0.387     17962 Bytes  24.03.2009 11:03:00

AVSCAN.EXE     : 9.0.3.3      464641 Bytes  24.02.2009 10:13:22

AVSCAN.DLL     : 9.0.3.0       49409 Bytes  13.02.2009 10:04:10

LUKE.DLL       : 9.0.3.2      209665 Bytes  20.02.2009 09:35:44

LUKERES.DLL    : 9.0.2.0       13569 Bytes  26.01.2009 08:41:59

ANTIVIR0.VDF   : 7.1.0.0    15603712 Bytes  27.10.2008 10:30:36

ANTIVIR1.VDF   : 7.1.2.12    3336192 Bytes  11.02.2009 18:33:26

ANTIVIR2.VDF   : 7.1.3.0     1330176 Bytes  01.04.2009 18:55:12

ANTIVIR3.VDF   : 7.1.3.14      68608 Bytes  05.04.2009 19:21:08

Engineversion  : 8.2.0.138

AEVDF.DLL      : 8.1.1.0      106868 Bytes  27.01.2009 15:36:42

AESCRIPT.DLL   : 8.1.1.73     373114 Bytes  04.04.2009 15:08:42

AESCN.DLL      : 8.1.1.10     127348 Bytes  04.04.2009 15:08:41

AERDL.DLL      : 8.1.1.3      438645 Bytes  29.10.2008 16:24:41

AEPACK.DLL     : 8.1.3.12     397687 Bytes  04.04.2009 15:08:41

AEOFFICE.DLL   : 8.1.0.36     196987 Bytes  26.02.2009 18:01:56

AEHEUR.DLL     : 8.1.0.114   1700214 Bytes  04.04.2009 15:08:40

AEHELP.DLL     : 8.1.2.2      119158 Bytes  26.02.2009 18:01:56

AEGEN.DLL      : 8.1.1.33     340340 Bytes  04.04.2009 15:08:37

AEEMU.DLL      : 8.1.0.9      393588 Bytes  09.10.2008 12:32:40

AECORE.DLL     : 8.1.6.7      176502 Bytes  04.04.2009 15:08:36

AEBB.DLL       : 8.1.0.3       53618 Bytes  09.10.2008 12:32:40

AVWINLL.DLL    : 9.0.0.3       18177 Bytes  12.12.2008 06:47:56

AVPREF.DLL     : 9.0.0.1       43777 Bytes  03.12.2008 09:39:55

AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 12:34:28

AVREG.DLL      : 9.0.0.0       36609 Bytes  07.11.2008 13:25:04

AVARKT.DLL     : 9.0.0.1      292609 Bytes  09.02.2009 05:52:20

AVEVTLOG.DLL   : 9.0.0.7      167169 Bytes  30.01.2009 08:37:04

SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 13:03:49

SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 06:21:28

NETNT.DLL      : 9.0.0.0       11521 Bytes  07.11.2008 13:41:21

RCIMAGE.DLL    : 9.0.0.21    2438401 Bytes  09.02.2009 09:41:16

RCTEXT.DLL     : 9.0.35.0      87809 Bytes  11.03.2009 13:50:50
 

Konfiguration für den aktuellen Suchlauf:

Job Name..............................: Vollständige Systemprüfung

Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp

Protokollierung.......................: mittel

Primäre Aktion........................: interaktiv

Sekundäre Aktion......................: ignorieren

Durchsuche Masterbootsektoren.........: ein

Durchsuche Bootsektoren...............: ein

Bootsektoren..........................: C:, F:, 

Durchsuche aktive Programme...........: ein

Durchsuche Registrierung..............: ein

Suche nach Rootkits...................: ein

Integritätsprüfung von Systemdateien..: ein

Datei Suchmodus.......................: Alle Dateien

Durchsuche Archive....................: ein

Rekursionstiefe einschränken..........: 20

Archiv Smart Extensions...............: ein

Makrovirenheuristik...................: ein

Dateiheuristik........................: mittel

Abweichende Gefahrenkategorien........: +JOKE,+SPR,
 

Beginn des Suchlaufs: Sonntag, 5. April 2009  22:30
 

Untersuchung der Systemdateien wird begonnen:

Signiert -> 'C:\WINDOWS\system32\svchost.exe'

Signiert -> 'C:\WINDOWS\system32\winlogon.exe'

Signiert -> 'C:\WINDOWS\explorer.exe'

Signiert -> 'C:\WINDOWS\system32\smss.exe'

Signiert -> 'C:\WINDOWS\system32\wininet.DLL'

Signiert -> 'C:\WINDOWS\system32\wsock32.DLL'

Signiert -> 'C:\WINDOWS\system32\ws2_32.DLL'

Signiert -> 'C:\WINDOWS\system32\services.exe'

Signiert -> 'C:\WINDOWS\system32\lsass.exe'

Signiert -> 'C:\WINDOWS\system32\csrss.exe'

Signiert -> 'C:\WINDOWS\system32\drivers\kbdclass.sys'

Signiert -> 'C:\WINDOWS\system32\spoolsv.exe'

Signiert -> 'C:\WINDOWS\system32\alg.exe'

Signiert -> 'C:\WINDOWS\system32\wuauclt.exe'

Signiert -> 'C:\WINDOWS\system32\advapi32.DLL'

Signiert -> 'C:\WINDOWS\system32\user32.DLL'

Signiert -> 'C:\WINDOWS\system32\gdi32.DLL'

Signiert -> 'C:\WINDOWS\system32\kernel32.DLL'

Signiert -> 'C:\WINDOWS\system32\ntdll.DLL'

Signiert -> 'C:\WINDOWS\system32\ntoskrnl.exe'

Signiert -> 'C:\WINDOWS\system32\ctfmon.exe'

Die Systemdateien wurden durchsucht ('21' Dateien)
 

Der Suchlauf nach versteckten Objekten wird begonnen.

Es wurden '41159' Objekte überprüft, '0' versteckte Objekte wurden gefunden.
 

Der Suchlauf über gestartete Prozesse wird begonnen:

Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'BTTray.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'acrobat_sl.exe' - '1' Modul(e) wurden durchsucht

C:\Programme\DNA\

Durchsuche Prozess 'btdna.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'DellWMgr.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'TaskSwitch.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'quickset.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'PCMService.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'OEM02Mon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'stsystra.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wuauclt.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'stacsv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'cvpnd.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'btwdins.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht

Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht

Es wurden '45' Prozesse mit '45' Modulen durchsucht

[...]

Ende des Suchlaufs: Sonntag, 5. April 2009  23:30

Benötigte Zeit:  1:00:31 Stunde(n)
 

Der Suchlauf wurde vollständig durchgeführt.
 

  16288 Verzeichnisse wurden überprüft

 686548 Dateien wurden geprüft

      0 Viren bzw. unerwünschte Programme wurden gefunden

      0 Dateien wurden als verdächtig eingestuft

      0 Dateien wurden gelöscht

      0 Viren bzw. unerwünschte Programme wurden repariert

      0 Dateien wurden in die Quarantäne verschoben

      0 Dateien wurden umbenannt

     28 Dateien konnten nicht durchsucht werden

 686520 Dateien ohne Befall

   3071 Archive wurden durchsucht

     36 Warnungen

     26 Hinweise

  41159 Objekte wurden beim Rootkitscan durchsucht

      0 Versteckte Objekte wurden gefunden

Morgen werde ich dann den CCcleaner, Malewarebytes, Hjackthis, und ev. noch einen Online Scanner laufen lassen. (und die Logs posten)

Gruss
black messiah

Hallo
also Hier die Logs von malewarebytes und Hjackthis:

Malewarebytes:

Code:

Malwarebytes' Anti-Malware 1.35

Datenbank Version: 1945

Windows 5.1.2600 Service Pack 3
 

06.04.2009 21:22:01

mbam-log-2009-04-06 (21-22-01).txt
 

Scan-Methode: Vollständiger Scan (C:\|F:\|)

Durchsuchte Objekte: 258127

Laufzeit: 2 hour(s), 12 minute(s), 33 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 0

Infizierte Registrierungswerte: 1

Infizierte Dateiobjekte der Registrierung: 1

Infizierte Verzeichnisse: 0

Infizierte Dateien: 1
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungswerte:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\services\del (Malware.Trace) -> Quarantined and deleted successfully.
 

Infizierte Dateiobjekte der Registrierung:

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\servises.dll (Trojan.Agent) -> Quarantined and deleted successfully.

und Hjackthis:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 21:28:48, on 06.04.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\SigmaTel\C-Major Audio\WDM\stsystra.exe

C:\WINDOWS\OEM02Mon.exe

C:\Programme\Dell\MediaDirect\PCMService.exe

C:\Programme\Dell\QuickSet\quickset.exe

C:\WINDOWS\system32\taskswitch.exe

C:\Programme\Dell\Dell Webcam Manager\DellWMgr.exe

C:\Programme\iTunes\iTunesHelper.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\DNA\btdna.exe

C:\Programme\Adobe\Acrobat 8.0\Acrobat\acrobat_sl.exe

C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Bonjour\mDNSResponder.exe

C:\Programme\Uni Basel\VPN Service\cvpnd.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\STacSV.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\WINDOWS\system32\wuauclt.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Mozilla Firefox\firefox.exe

F:\Eigene Dateien\HiJackThis.exe
 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet

O4 - HKLM\..\Run: [NVHotkey] rundll32.exe nvHotkey.dll,Start

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [SigmatelSysTrayApp] %ProgramFiles%\SigmaTel\C-Major Audio\WDM\stsystra.exe

O4 - HKLM\..\Run: [OEM02Mon.exe] C:\WINDOWS\OEM02Mon.exe

O4 - HKLM\..\Run: [PCMService] C:\Programme\Dell\MediaDirect\PCMService.exe

O4 - HKLM\..\Run: [Dell QuickSet] C:\Programme\Dell\QuickSet\quickset.exe

O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe

O4 - HKLM\..\Run: [DELL Webcam Manager] "C:\Programme\Dell\Dell Webcam Manager\DellWMgr.exe" /s

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programme\DNA\btdna.exe"

O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'Default user')

O4 - Global Startup: Adobe Acrobat - Schnellstart.lnk = ?

O4 - Global Startup: Adobe Reader Synchronizer.lnk = C:\Programme\Adobe\Acrobat 8.0\Acrobat\AdobeCollabSync.exe

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Uni Basel VPN Service.lnk = C:\Programme\Uni Basel\VPN Service\vpngui.exe

O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1228756032578

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1228756011234

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe

O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Uni Basel\VPN Service\cvpnd.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\WINDOWS\system32\STacSV.exe
 

--

End of file - 8586 bytes

was soll ich jetzt tun? oder ist alles in ordnung?

ich hab zudem die systemwiederherstellung deaktiviert und wieder aktiviert, weil dort ebenfalls etwas war (malewarebytes lief und antivir meldete etwas von dort)

Gruss
black messiah

Lass bitte Gmer laufen und die Logfile posten.

Deinstallieren:

Adobe Acrobat 8.0 - Es gibt bereits 9 (oder benutze den Foxit Reader, Toolbar nicht mit installieren)
ALLES von Bittorrent

Falls du von Adobe eine Proversion hast, kannst du es auch updaten. (Ich benutze möglichst wenig von Adobe).

Hallo

so hier das Log von Gmer. Sieht ziemlich leer aus.

Log GMER:

Code:

GMER 1.0.15.14966 - http://www.gmer.net

Rootkit scan 2009-04-07 18:48:34

Windows 5.1.2600 Service Pack 3
 
 

---- System - GMER 1.0.15 ----
 

SSDT            AC8EAF9E                                 ZwCreateKey

SSDT            AC8EAF94                                 ZwCreateThread

SSDT            AC8EAFA3                                 ZwDeleteKey

SSDT            AC8EAFAD                                 ZwDeleteValueKey

SSDT            AC8EAFB2                                 ZwLoadKey

SSDT            AC8EAF80                                 ZwOpenProcess

SSDT            AC8EAF85                                 ZwOpenThread

SSDT            AC8EAFBC                                 ZwReplaceKey

SSDT            AC8EAFB7                                 ZwRestoreKey

SSDT            AC8EAFA8                                 ZwSetValueKey

SSDT            AC8EAF8F                                 ZwTerminateProcess
 

---- Devices - GMER 1.0.15 ----
 

AttachedDevice  \Driver\Kbdclass \Device\KeyboardClass0  SynTP.sys (Synaptics Touchpad Driver/Synaptics, Inc.)
 

Device          \FileSystem\Fastfat \Fat                 A1BDBD20
 

AttachedDevice  \FileSystem\Fastfat \Fat                 fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
 

---- EOF - GMER 1.0.15 ----

soll ich bei hjack this alles fixen, was auf diese servises.exe verweist (3 oder 4 einträge)?

Gruss
Black messiah

Lass erstmal SuperAntiSpyware drüber laufen. Den Scan im abgesicherten Modus kannst du weglassen. Das Ergebnis hier posten.

Hallo

Superantispy hat nichts gefunden.

Was soll ich nun tun? die einträge mit hijack this fixen?

Gruss
black messiah

Erstelle bitte ein aktuelles HJT Log, falls sich schon etwas geändert hat.
Und die Uninstall-Liste fehlt noch.

mfg, Kaos

Hallo,

hier das HJT Log:

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 14:52:54, on 10.04.2009

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Synaptics\SynTP\SynTPEnh.exe

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\Programme\SigmaTel\C-Major Audio\WDM\stsystra.exe

C:\WINDOWS\OEM02Mon.exe

C:\Programme\Dell\MediaDirect\PCMService.exe

C:\Programme\Dell\QuickSet\quickset.exe

C:\WINDOWS\system32\taskswitch.exe

C:\Programme\Dell\Dell Webcam Manager\DellWMgr.exe

C:\Programme\iTunes\iTunesHelper.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Bonjour\mDNSResponder.exe

C:\Programme\Uni Basel\VPN Service\cvpnd.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\STacSV.exe

C:\WINDOWS\system32\svchost.exe

C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\iPod\bin\iPodService.exe

C:\WINDOWS\system32\wbem\wmiapsrv.exe

C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroDist.exe

F:\Eigene Dateien\HiJackThis.exe
 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = 

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll

O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet

O4 - HKLM\..\Run: [NVHotkey] rundll32.exe nvHotkey.dll,Start

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [SigmatelSysTrayApp] %ProgramFiles%\SigmaTel\C-Major Audio\WDM\stsystra.exe

O4 - HKLM\..\Run: [OEM02Mon.exe] C:\WINDOWS\OEM02Mon.exe

O4 - HKLM\..\Run: [PCMService] C:\Programme\Dell\MediaDirect\PCMService.exe

O4 - HKLM\..\Run: [Dell QuickSet] C:\Programme\Dell\QuickSet\quickset.exe

O4 - HKLM\..\Run: [CoolSwitch] C:\WINDOWS\system32\taskswitch.exe

O4 - HKLM\..\Run: [DELL Webcam Manager] "C:\Programme\Dell\Dell Webcam Manager\DellWMgr.exe" /s

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "C:\Programme\Adobe\Acrobat 8.0\Acrobat\Acrotray.exe"

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'Default user')

O4 - Global Startup: BTTray.lnk = ?

O4 - Global Startup: Uni Basel VPN Service.lnk = C:\Programme\Uni Basel\VPN Service\vpngui.exe

O8 - Extra context menu item: An vorhandenes PDF anfügen - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html

O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html

O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000

O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm

O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html

O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1228756032578

O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1228756011234

O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe

O23 - Service: Bluetooth Service (btwdins) - Broadcom Corporation. - C:\Programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Uni Basel\VPN Service\cvpnd.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: SigmaTel Audio Service (STacSV) - SigmaTel, Inc. - C:\WINDOWS\system32\STacSV.exe
 

--

End of file - 8562 bytes

Und das Uninstall zeug:

Code:

7-Zip 4.57

ACD/Labs Software in C:\Programme\ACDFREE12\

ActivePerl 5.10.0 Build 1004

Adobe Anchor Service CS3

Adobe Asset Services CS3

Adobe Bridge CS3

Adobe Bridge Start Meeting

Adobe BridgeTalk Plugin CS3

Adobe Camera Raw 4.0

Adobe CMaps

Adobe Color - Photoshop Specific

Adobe Color Common Settings

Adobe Color Common Settings

Adobe Color EU Recommended Settings

Adobe Color JA Extra Settings

Adobe Color NA Extra Settings

Adobe Creative Suite 3 Design Premium

Adobe Creative Suite 3 Design Premium hinzufügen oder entfernen

Adobe Default Language CS3

Adobe Device Central CS3

Adobe Dreamweaver CS3

Adobe ExtendScript Toolkit 2

Adobe ExtendScript Toolkit 2

Adobe Extension Manager CS3

Adobe Flash Player 10 Plugin

Adobe Flash Player 9 ActiveX

Adobe Fonts All

Adobe Help Viewer CS3

Adobe Illustrator CS3

Adobe InDesign CS3 Icon Handler

Adobe Linguistics CS3

Adobe MotionPicture Color Files

Adobe PDF Library Files

Adobe Photoshop CS3

Adobe Reader 9 - Deutsch

Adobe Setup

Adobe Setup

Adobe Setup

Adobe SING CS3

Adobe Stock Photos CS3

Adobe Type Support

Adobe Update Manager CS3

Adobe Version Cue CS3 Client

Adobe WAS CS3

Adobe WinSoft Linguistics Plugin

Adobe XMP Panels CS3

Advanced Audio FX Engine

Advanced Video FX Engine

AHV content for Acrobat and Flash

Alt-Tab Task Switcher Powertoy for Windows XP

Apple Mobile Device Support

Apple Software Update

Avira AntiVir Personal - Free Antivirus

Bonjour

CambridgeSoft Activation Client

CambridgeSoft ChemOffice Ultra 2008

CCleaner (remove only)

Civ3 Conquests v1.22 Full

Civilization III

Civilization III: Conquests

Compatibility Pack for the 2007 Office system

Dell Webcam Center

Dell Webcam Manager

FileZilla Client 3.1.3.1

Gaussian 03W

GaussView

GeoGebra

HijackThis 2.0.2

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)

Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)

Hotfix for Windows Media Format 11 SDK (KB929399)

Hotfix für Windows Media Player 11 (KB939683)

Hotfix für Windows XP (KB952287)

Hotfix für Windows XP (KB961118)

iTunes

Java(TM) 6 Update 13

Laptop Integrated Webcam Driver (1.04.01.1011)  

Malwarebytes' Anti-Malware

Maple 12

Marvell Miniport Driver

MediaDirect

MestReC 4.7.0

Microsoft .NET Framework 2.0 Service Pack 2

Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU

Microsoft .NET Framework 3.0 Service Pack 2

Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU

Microsoft .NET Framework 3.5 Language Pack SP1 - deu

Microsoft .NET Framework 3.5 Language Pack SP1 - DEU

Microsoft .NET Framework 3.5 SP1

Microsoft .NET Framework 3.5 SP1

Microsoft Compression Client Pack 1.0 for Windows XP

Microsoft Internationalized Domain Names Mitigation APIs

Microsoft National Language Support Downlevel APIs

Microsoft Office Professional Edition 2003

Microsoft User-Mode Driver Framework Feature Pack 1.0

Microsoft Visual C++ 2005 Redistributable

Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17

MiKTeX 2.7

Mozilla Firefox (3.0.8)

MSXML 4.0 SP2 (KB954430)

Nero Suite

NVIDIA Drivers

OpenOffice.org 3.0

OutlookAddinSetup

PDF Settings

Protector Suite QL 5.6

QuickSet

QuickTime

Security Update for CAPICOM (KB931906)

Security Update for CAPICOM (KB931906)

Shared Add-in Support Update for Microsoft .NET Framework 2.0 (KB908002)

Sicherheitsupdate für Windows Media Player (KB952069)

Sicherheitsupdate für Windows Media Player 11 (KB936782)

Sicherheitsupdate für Windows Media Player 11 (KB954154)

Sicherheitsupdate für Windows XP (KB923789)

Sicherheitsupdate für Windows XP (KB938464)

Sicherheitsupdate für Windows XP (KB941569)

Sicherheitsupdate für Windows XP (KB946648)

Sicherheitsupdate für Windows XP (KB950762)

Sicherheitsupdate für Windows XP (KB950974)

Sicherheitsupdate für Windows XP (KB951066)

Sicherheitsupdate für Windows XP (KB951376-v2)

Sicherheitsupdate für Windows XP (KB951698)

Sicherheitsupdate für Windows XP (KB951748)

Sicherheitsupdate für Windows XP (KB952954)

Sicherheitsupdate für Windows XP (KB954211)

Sicherheitsupdate für Windows XP (KB954459)

Sicherheitsupdate für Windows XP (KB954600)

Sicherheitsupdate für Windows XP (KB955069)

Sicherheitsupdate für Windows XP (KB956390)

Sicherheitsupdate für Windows XP (KB956391)

Sicherheitsupdate für Windows XP (KB956802)

Sicherheitsupdate für Windows XP (KB956803)

Sicherheitsupdate für Windows XP (KB956841)

Sicherheitsupdate für Windows XP (KB957095)

Sicherheitsupdate für Windows XP (KB957097)

Sicherheitsupdate für Windows XP (KB958215)

Sicherheitsupdate für Windows XP (KB958644)

Sicherheitsupdate für Windows XP (KB958687)

Sicherheitsupdate für Windows XP (KB958690)

Sicherheitsupdate für Windows XP (KB960225)

Sicherheitsupdate für Windows XP (KB960714)

Sicherheitsupdate für Windows XP (KB960715)

SigmaTel Audio

Sun xVM VirtualBox

SUPERAntiSpyware Free Edition

Synaptics Pointing Device Driver

TeXnicCenter Version 1 Beta 7.50

Update für Windows XP (KB898461)

Update für Windows XP (KB943729)

Update für Windows XP (KB951072-v2)

Update für Windows XP (KB951978)

Update für Windows XP (KB955839)

Update für Windows XP (KB967715)

VLC media player 0.9.6

VPN Client

Wichtiges Update für Windows Media Player 11 (KB959772)

WIDCOMM Bluetooth Software

Windows Live installer

Windows Live Messenger

Windows Media Format 11 runtime

Windows Media Format 11 runtime

Windows Media Player 11

Windows Media Player 11

Windows-Treiberpaket - Ricoh Company (rimsptsk) hdc  (11/14/2006 6.00.01.04)

XML Paper Specification Shared Components Language Pack 1.0

Zune Desktop Theme

Gruss
black messiah

Mit HijackThis fixen:

Code:

O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)

O4 - HKLM\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe

O4 - HKUS\S-1-5-18\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Policies\Explorer\Run: [servises] C:\WINDOWS\system32\servises.exe (User 'Default user')

Anschließend mit Dr.Web CureIt das System komplett scannen. (Anleitung ist im Link)

Secunia PSI (http://www.trojaner-board.de/83959-secunia-personal-software-inspector-psi.html) kann dir dabei helfen, deine Software aktuell zu halten.

mfg, Kaos

Hallo

Habe die Punke mit Hijackthis gefixt und danach einen Scan gestartet mit Dr. Web. Dabei wurden keine Viren etc. gefunden. Scheint als sei mein Computer wieder sauber.

Danke für deine Hilfe!

Gruss
black messiah

Jetzt brauchst du nur gucken, ob die Einträge bei einem frischen HijackThis Log weg sind. Wenn ja, dann weiter mit dem Löschen der Systemwiederherstellungspunkten.

Löschen der Systemwiederherstellungspunkten:

1. Start -> Systemsteuerung -> Leistung und Wartung -> System. Dort den Reiter Systemwiederherstellung und dort ein Haken bei "Systemwiederherstellung auf allen Laufwerken deaktivieren"
2. Pc neu starten und auf dem gleichen Weg die Systemwiederherstellung wieder aktivieren (Haken wieder entfernen und auf übernehmen).
3. Start -> Alle Programme -> Zubehör -> Systemprogramme und Systemwiederherstellung starten.
4. Einen Wiederherstellungspunkt erstellen wählen und auf weiter.
5. Dem neuen Wiederherstellungspunkt benennen und auf erstellen klicken. Danach auf Schließen.

Es sollte alles soweit sauber sein, bedenke allerdings, dass eine Neuinstallation nach so einem Befall durch ein Backdoor-Schädling die sicherste Methode ist.

Bonjour solltest du deinstallieren und ebenfalls jede andere Software, die du nicht brauchst oder zu selten nutzt. Installierte Software sollte möglichst aktuell gehalten werden, besonder wenn es eine Software ist, die auch ins Internet geht.

mfg, Kaos