BV:AutoRun-G[Wrm] in J:\autorun.inf
 

Schönen guten Tag!

Bin neu hier, ist mein erster Post!



Gleich zu meinem Problem:


Habe seit ein paar Tagen einen Wurm auf meinem Laptop. Das ganze fing damit an, dass ich meinen nagelneuen USB-Stick von einem Freund zurückbekam. Ich schloss ihn an und Avast fand einen Virus auf dem Stick. Also klickte ich ganz normal auf löschen, doch 5 sekunden später fand er den gleichen Virus noch einmal. Der Virus musste sich also jedes mal neue erstellen.

Ich schaltete bei den Ordneroptionen ein, dass ich alle Versteckten Dateien und Ordner sehen kann, und fand auf meinem Stick den Ordner "Recycler" und eine Datei mit Namen "autorun.inf"

Im Ordner "Recycler" befindet sich eine Datei mit dem Papierkorb-Icon, sie heißt "S-1-5-21-1482476501-1644491937-682003330-1013".

Ich öffnete die "autorun.inf" Datei und in ihr steht:
"[autorun]
open=RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe
icon=%SystemRoot%\system32\SHELL32.dll,4
action=Open folder to view files
shell\open=Open
shell\open\command=RECYCLER\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe
shell\open\default=1"


Ich löschte beide Dateien, doch sie waren innerhalb von 5 Sekunden wieder da..

Avast bezeichnet den Wurm wie folgt:

Datei-Name: J:\autorun.inf
Malware-Name: BV:AutoRun-G [Wrm]
Malware-Typ: Virus/Wurm
VPS Version: 090501-0



Bis jetzt habe ich folgendes versucht:

Avast beim Boot-Vorgang Wurm finden lassen und löschen --> funkt nicht
Zahlreiche Programme runtergeladen um Wurm zu löschen --> funkt nicht



Bitte um Hilfe!


Falls ihr irgendwelche Logs oder ähnliches braucht, ich etwas mit irgendeinem Programm machen soll oder ähnliches, bitte sofort sagen. Ich versuche so gut wie möglich eure Tipps und Ratschläge durchzuführen!



mfg sweetchuck

Hallo und :hallo:

Falls du noch irgendetwas hast, dass du mit dem Computer verbindest, wie Speicherkarten, USB-Sticks, externe Festplatten, ... dann stecke alles an.

ComboFix

Achtung: Die Anleitung ist veraltet. Den Teil mit der Systemwiederherstellungskonsole nicht ausführen. Die wird bei Internetverbindung automatisch installiert.

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  
  Sollte sich ComboFix nicht starten lassen, dann benenne es um in cf.com und versuche es nocheinmal.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

Danke für die Antwort!


Beim durchführen der Schritte ist mir ein Fehler unterlaufen. Ich habe alle Schritte ausgeführt, ohne dass ich meinen USB-Stick angeschlossen habe.

Also habe ich alle Schritte nochmal mit USB-Stick gemacht.



Hier das Log MIT USB Stick:

ComboFix 09-05-02.4 - XXX 03.05.2009 13:45.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2046.1449 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\ComboFix.exe
AV: avast! antivirus 4.8.1335 [VPS 090502-0] *On-access scanning disabled* (Updated)

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((( Dateien erstellt von 2009-04-03 bis 2009-05-03 ))))))))))))))))))))))))))))))
.

2009-05-03 11:11 . 2009-05-03 11:11 -------- d-----w c:\programme\CCleaner
2009-04-28 19:46 . 2009-04-28 19:45 102664 ----a-w c:\windows\system32\drivers\tmcomm.sys
2009-04-28 19:45 . 2009-04-28 20:43 -------- d-----w c:\dokumente und einstellungen\XXX\.housecall6.6
2009-04-28 18:55 . 2009-04-28 18:55 -------- d-----w c:\programme\Trend Micro
2009-04-27 07:48 . 2009-04-27 07:48 -------- d-----w c:\programme\Infogrames
2009-04-24 22:39 . 2009-03-10 20:18 455048 ----a-w c:\windows\system32\KB905474\wgasetup.exe
2009-04-24 22:39 . 2009-04-24 22:39 -------- d-----w c:\windows\system32\KB905474
2009-04-24 22:39 . 2009-03-10 20:26 1436544 ----a-w c:\windows\system32\KB905474\wganotifypackageinner.exe
2009-04-16 08:44 . 2009-04-16 08:44 -------- d-sh--w c:\dokumente und einstellungen\Moamer Hamzic\IECompatCache
2009-04-15 16:55 . 2009-02-06 10:10 227840 -c----w c:\windows\system32\dllcache\wmiprvse.exe
2009-04-15 16:55 . 2009-03-06 14:19 286720 -c----w c:\windows\system32\dllcache\pdh.dll
2009-04-15 16:55 . 2009-02-09 11:21 111104 -c----w c:\windows\system32\dllcache\services.exe
2009-04-15 16:55 . 2009-02-09 10:51 401408 -c----w c:\windows\system32\dllcache\rpcss.dll
2009-04-15 16:55 . 2009-02-09 10:51 473600 -c----w c:\windows\system32\dllcache\fastprox.dll
2009-04-15 16:55 . 2009-02-09 10:51 678400 -c----w c:\windows\system32\dllcache\advapi32.dll
2009-04-15 16:55 . 2009-02-09 10:51 736768 -c----w c:\windows\system32\dllcache\lsasrv.dll
2009-04-15 16:55 . 2009-02-09 10:51 453120 -c----w c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-15 16:55 . 2009-02-09 10:51 740352 -c----w c:\windows\system32\dllcache\ntdll.dll
2009-04-15 15:43 . 2008-04-21 21:13 217600 -c----w c:\windows\system32\dllcache\wordpad.exe
2009-04-13 13:18 . 2009-04-13 13:18 -------- d-----w c:\dokumente und einstellungen\XXX\Anwendungsdaten\CoSoSys
2009-04-04 16:35 . 2009-04-04 16:35 -------- d-----w c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\PC
2009-04-04 16:35 . 2009-04-04 16:58 -------- d-----w c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Wheelman
2009-04-04 16:18 . 2009-04-04 16:18 -------- d-----w c:\programme\Ubisoft Entertainment

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-03 11:45 . 2008-07-30 21:23 6 ---ha-w c:\windows\Tasks\SA.DAT
2009-05-03 10:57 . 2009-04-24 22:39 260 ----a-w c:\windows\Tasks\WGASetup.job
2009-05-03 10:57 . 2009-02-27 09:31 888 ----a-w c:\windows\Tasks\GoogleUpdateTaskMachine.job
2009-05-03 10:56 . 2009-02-27 09:31 1044 ----a-w c:\windows\Tasks\Google Software Updater.job
2009-04-28 21:58 . 2009-02-27 09:31 -------- d-----w c:\programme\Google
2009-04-27 15:37 . 2004-11-11 13:00 84182 ----a-w c:\windows\system32\perfc007.dat
2009-04-27 15:37 . 2004-11-11 13:00 457206 ----a-w c:\windows\system32\perfh007.dat
2009-04-10 13:27 . 2008-07-31 11:12 -------- d--h--w c:\programme\InstallShield Installation Information
2009-04-07 15:38 . 2009-03-19 11:17 -------- d-----w c:\programme\Java
2009-03-30 08:27 . 2008-12-15 18:52 83424 ----a-w c:\windows\system32\GDIPFONTCACHEV1.DAT
2009-03-27 19:00 . 2009-03-27 19:00 -------- d-----w c:\programme\Ubisoft
2009-03-27 15:11 . 2009-03-27 14:20 -------- d-----w c:\programme\Left 4 Dead
2009-03-17 08:14 . 2009-03-17 08:13 -------- d-----w c:\programme\Gemeinsame Dateien\Macromedia
2009-03-17 08:13 . 2009-03-17 08:13 -------- d-----w c:\programme\Macromedia
2009-03-13 09:21 . 2009-03-13 08:53 -------- d-----w c:\programme\XMind
2009-03-12 16:25 . 2008-07-31 11:28 5051904 ----a-w c:\windows\system32\drivers\RtkHDAud.sys
2009-03-12 16:21 . 2008-07-31 11:28 17531392 ----a-w c:\windows\RTHDCPL.EXE
2009-03-12 14:34 . 2009-03-25 18:05 39424 ----a-w c:\windows\system32\RtkCoInstXP.dll
2009-03-10 13:32 . 2008-07-31 11:28 2168320 ----a-w c:\windows\MicCal.exe
2009-03-09 20:26 . 2009-03-04 16:36 977 ----a-w c:\windows\eReg.dat
2009-03-09 03:19 . 2008-10-10 08:28 410984 ----a-w c:\windows\system32\deploytk.dll
2009-03-08 02:34 . 2004-11-11 13:00 914944 ----a-w c:\windows\system32\wininet.dll
2009-03-08 02:34 . 2004-11-11 13:00 43008 ----a-w c:\windows\system32\licmgr10.dll
2009-03-08 02:33 . 2004-11-11 13:00 18944 ----a-w c:\windows\system32\corpol.dll
2009-03-08 02:33 . 2004-11-11 13:00 420352 ----a-w c:\windows\system32\vbscript.dll
2009-03-08 02:32 . 2004-11-11 13:00 72704 ----a-w c:\windows\system32\admparse.dll
2009-03-08 02:32 . 2004-11-11 13:00 71680 ----a-w c:\windows\system32\iesetup.dll
2009-03-08 02:31 . 2004-11-11 13:00 34816 ----a-w c:\windows\system32\imgutil.dll
2009-03-08 02:31 . 2004-11-11 13:00 48128 ----a-w c:\windows\system32\mshtmler.dll
2009-03-08 02:31 . 2004-11-11 13:00 45568 ----a-w c:\windows\system32\mshta.exe
2009-03-08 02:22 . 2004-11-11 13:00 156160 ----a-w c:\windows\system32\msls31.dll
2009-03-06 14:19 . 2004-11-11 13:00 286720 ----a-w c:\windows\system32\pdh.dll
2009-03-05 23:13 . 2008-08-06 22:06 -------- d-----w c:\programme\KONAMI
2009-03-05 16:49 . 2008-07-31 11:12 -------- d-----w c:\programme\Gemeinsame Dateien\InstallShield
2009-03-04 14:23 . 2008-12-02 08:45 -------- d-----w c:\programme\MAGIX
2009-03-02 10:14 . 2008-07-31 11:28 57344 ----a-w c:\windows\ALCMTR.EXE
2009-03-01 13:50 . 2009-03-01 13:50 664 ----a-w c:\windows\system32\d3d9caps.dat
2009-02-09 14:04 . 2004-11-11 13:00 1846912 ----a-w c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2004-08-04 00:50 2026496 ----a-w c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2004-11-11 13:00 2147840 ----a-w c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2004-11-11 13:00 111104 ----a-w c:\windows\system32\services.exe
2009-02-09 10:51 . 2004-11-11 13:00 736768 ----a-w c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2004-11-11 13:00 401408 ----a-w c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2004-11-11 13:00 678400 ----a-w c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2004-11-11 13:00 740352 ----a-w c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2004-11-11 13:00 35328 ----a-w c:\windows\system32\sc.exe
2009-02-03 19:57 . 2004-11-11 13:00 56832 ----a-w c:\windows\system32\secur32.dll
2008-10-06 07:15 . 2008-10-06 07:15 14852 ----a-w c:\programme\settings.dat
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\programme\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\daemon.exe" [2008-07-24 490952]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-03 178712]
"SynTPStart"="c:\programme\Synaptics\SynTP\SynTPStart.exe" [2007-09-07 102400]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2007-10-08 995328]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2007-10-08 1101824]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-11 8523776]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-11-11 81920]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]
"PLFSet"="c:\windows\PLFSet.dll" [2007-04-25 45056]
"ePower_DMC"="c:\acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-04-04 421888]
"Boot"="c:\acer\Empowering Technology\ePower\Boot.exe" [2006-03-15 579584]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"TrayServer"="c:\programme\MAGIX\Video_deluxe_2008_PLUS\TrayServer.exe" [2007-03-29 90112]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-11-11 1626112]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2009-03-12 17531392]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\XXX\Startmen�\Programme\Autostart\
Mousometer.lnk - c:\dokumente und einstellungen\Moamer Hamzic\Desktop\mousometer.exe [2008-10-10 140288]
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - c:\programme\Microsoft Office\Office12\ONENOTEM.EXE [2007-12-7 101440]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
Acer Empowering Technology.lnk - c:\acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe [2008-8-1 45056]
BTTray.lnk - c:\programme\WIDCOMM\Bluetooth Software\BTTray.exe [2006-1-17 618557]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\TrackMania Nations ESWC\\TmNationsESWC.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Hamachi\\hamachi.exe"=
"d:\\Setup\\Gamez\\CS Condition Zero\\CS.Condition.Zero.LanVersion\\Condition Zero\\czero.exe"=
"d:\\Setup\\Gamez\\CS Condition Zero\\CS.Condition.Zero.LanVersion\\Condition Zero\\hltv.exe"=
"d:\\Setup\\Gamez\\TmNationsForever\\TmForever.exe"=
"c:\\Programme\\Maxima-5.16.3\\wxMaxima\\wxMaxima.exe"=
"c:\\WINDOWS\\pchealth\\helpctr\\binaries\\helpctr.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Programme\\KONAMI\\Pro Evolution Soccer 2009\\pes2009.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Dokumente und Einstellungen\\Moamer Hamzic\\Eigene Dateien\\Schule\\E\\TeamViewer\\TeamViewer.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programme\\Ubisoft\\Tom Clancy's H.A.W.X\\HAWX.exe"=
"c:\\Programme\\Infogrames\\Grand Prix 4\\GP4.exe"=

R2 gupdate1c998be32303c80;Google Update Service (gupdate1c998be32303c80);c:\programme\Google\Update\GoogleUpdate.exe [2009-02-27 133104]
R3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [2008-08-05 1684736]
R3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 1527900]
S1 aswSP;avast! Self Protection; [x]
S2 acedrv10;acedrv10;c:\windows\system32\drivers\acedrv10.sys [2007-07-27 330144]
S2 acehlp10;acehlp10;c:\windows\system32\drivers\acehlp10.sys [2007-07-27 251680]
S2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2009-02-05 20560]
S2 BPowMon;Broadcom Power monitoring service;c:\programme\Broadcom\BACS\BPowMon.exe [2006-08-31 65536]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0312f96c-f915-11dd-a80d-0013e8d6422b}]
\Shell\AutoRun\command - iq.bat
\Shell\open\Command - iq.bat

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1ff0adf2-a818-11dd-a6f8-0013e8d6422b}]
\Shell\AutoRun\command - J:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9dbf327b-a4d1-11dd-a6ee-0013e8d6422b}]
\Shell\AutoRun\command - WDSetup.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ec1c3639-d079-11dd-a786-0013e8d6422b}]
\Shell\AutoRun\command - J:\LiteAuto.exe

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
Inhalt des "geplante Tasks" Ordners

2009-05-03 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-27 14:22]

2009-05-03 c:\windows\Tasks\GoogleUpdateTaskMachine.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-02-27 09:31]

2009-05-03 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-24 20:18]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
mStart Page = about:blank
uInternet Settings,ProxyServer = proxy.salzburg.at:82
uInternet Settings,ProxyOverride = *.local
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
FF - ProfilePath - c:\dokumente und einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\ob855iar.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.at/
FF - prefs.js: network.proxy.ftp - proxy.salzburg.at
FF - prefs.js: network.proxy.ftp_port - 82
FF - prefs.js: network.proxy.gopher - proxy.salzburg.at
FF - prefs.js: network.proxy.gopher_port - 82
FF - prefs.js: network.proxy.http - proxy.salzburg.at
FF - prefs.js: network.proxy.http_port - 82
FF - prefs.js: network.proxy.socks - proxy.salzburg.at
FF - prefs.js: network.proxy.socks_port - 82
FF - prefs.js: network.proxy.ssl - proxy.salzburg.at
FF - prefs.js: network.proxy.ssl_port - 82
FF - prefs.js: network.proxy.type - 4
FF - component: c:\programme\Google\Google Gears\Firefox\components\gears.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.141.5\npGoogleOneClick7.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-05-03 13:46
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-2000478354-1123561945-725345543-1003\Software\SecuROM\License information*]
"datasecu"=hex:68,de,a1,13,3c,62,e2,77,52,b7,42,f3,2e,9e,91,44,63,8e,73,e3,0d,
07,85,05,98,4a,86,7d,14,d0,69,a4,9a,80,dc,d4,51,cd,8c,bb,82,21,0c,6c,84,3e,\
"rkeysecu"=hex:62,8e,1e,e2,29,cc,f0,0b,16,13,2e,53,74,95,18,8f
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(804)
c:\windows\system32\netprovcredman.dll

- - - - - - - > 'explorer.exe'(2856)
c:\acer\Empowering Technology\ePower\SysHook.dll
c:\windows\system32\msi.dll
c:\windows\system32\ieframe.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
Zeit der Fertigstellung: 2009-05-03 13:47
ComboFix-quarantined-files.txt 2009-05-03 11:47
ComboFix2.txt 2009-05-03 11:40

Vor Suchlauf: 13 Verzeichnis(se), 54.473.293.824 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 54.467.129.344 Bytes frei

227 --- E O F --- 2009-04-28 20:44

Hier das Log OHNE USB-Stick:


ComboFix 09-05-02.4 - XXX 03.05.2009 13:37.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2046.1464 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\XXX\Desktop\ComboFix.exe
AV: avast! antivirus 4.8.1335 [VPS 090502-0] *On-access scanning disabled* (Updated)

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013\Desktop.ini
c:\recycler\S-1-5-21-1482476501-1644491937-682003330-1013\spoolsv.exe

----- BITS: Eventuell infizierte Webseiten -----

hxxp://sunmicro.ht.rd.llnw.net
.
((((((((((((((((((((((( Dateien erstellt von 2009-04-03 bis 2009-05-03 ))))))))))))))))))))))))))))))
.

2009-05-03 11:11 . 2009-05-03 11:11 -------- d-----w c:\programme\CCleaner
2009-04-28 19:46 . 2009-04-28 19:45 102664 ----a-w c:\windows\system32\drivers\tmcomm.sys
2009-04-28 19:45 . 2009-04-28 20:43 -------- d-----w c:\dokumente und einstellungen\XXX\.housecall6.6
2009-04-28 18:55 . 2009-04-28 18:55 -------- d-----w c:\programme\Trend Micro
2009-04-27 07:48 . 2009-04-27 07:48 -------- d-----w c:\programme\Infogrames
2009-04-24 22:39 . 2009-03-10 20:18 455048 ----a-w c:\windows\system32\KB905474\wgasetup.exe
2009-04-24 22:39 . 2009-04-24 22:39 -------- d-----w c:\windows\system32\KB905474
2009-04-24 22:39 . 2009-03-10 20:26 1436544 ----a-w c:\windows\system32\KB905474\wganotifypackageinner.exe
2009-04-16 08:44 . 2009-04-16 08:44 -------- d-sh--w c:\dokumente und einstellungen\XXX\IECompatCache
2009-04-15 16:55 . 2009-02-06 10:10 227840 -c----w c:\windows\system32\dllcache\wmiprvse.exe
2009-04-15 16:55 . 2009-03-06 14:19 286720 -c----w c:\windows\system32\dllcache\pdh.dll
2009-04-15 16:55 . 2009-02-09 11:21 111104 -c----w c:\windows\system32\dllcache\services.exe
2009-04-15 16:55 . 2009-02-09 10:51 401408 -c----w c:\windows\system32\dllcache\rpcss.dll
2009-04-15 16:55 . 2009-02-09 10:51 473600 -c----w c:\windows\system32\dllcache\fastprox.dll
2009-04-15 16:55 . 2009-02-09 10:51 678400 -c----w c:\windows\system32\dllcache\advapi32.dll
2009-04-15 16:55 . 2009-02-09 10:51 736768 -c----w c:\windows\system32\dllcache\lsasrv.dll
2009-04-15 16:55 . 2009-02-09 10:51 453120 -c----w c:\windows\system32\dllcache\wmiprvsd.dll
2009-04-15 16:55 . 2009-02-09 10:51 740352 -c----w c:\windows\system32\dllcache\ntdll.dll
2009-04-15 15:43 . 2008-04-21 21:13 217600 -c----w c:\windows\system32\dllcache\wordpad.exe
2009-04-13 13:18 . 2009-04-13 13:18 -------- d-----w c:\dokumente und einstellungen\XXXAnwendungsdaten\CoSoSys
2009-04-04 16:35 . 2009-04-04 16:35 -------- d-----w c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\PC
2009-04-04 16:35 . 2009-04-04 16:58 -------- d-----w c:\dokumente und einstellungen\XXX\Lokale Einstellungen\Anwendungsdaten\Wheelman
2009-04-04 16:18 . 2009-04-04 16:18 -------- d-----w c:\programme\Ubisoft Entertainment

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-03 11:37 . 2008-07-30 21:23 6 ---ha-w c:\windows\Tasks\SA.DAT
2009-05-03 10:57 . 2009-04-24 22:39 260 ----a-w c:\windows\Tasks\WGASetup.job
2009-05-03 10:57 . 2009-02-27 09:31 888 ----a-w c:\windows\Tasks\GoogleUpdateTaskMachine.job
2009-05-03 10:56 . 2009-02-27 09:31 1044 ----a-w c:\windows\Tasks\Google Software Updater.job
2009-04-28 21:58 . 2009-02-27 09:31 -------- d-----w c:\programme\Google
2009-04-27 15:37 . 2004-11-11 13:00 84182 ----a-w c:\windows\system32\perfc007.dat
2009-04-27 15:37 . 2004-11-11 13:00 457206 ----a-w c:\windows\system32\perfh007.dat
2009-04-10 13:27 . 2008-07-31 11:12 -------- d--h--w c:\programme\InstallShield Installation Information
2009-04-07 15:38 . 2009-03-19 11:17 -------- d-----w c:\programme\Java
2009-03-30 08:27 . 2008-12-15 18:52 83424 ----a-w c:\windows\system32\GDIPFONTCACHEV1.DAT
2009-03-27 19:00 . 2009-03-27 19:00 -------- d-----w c:\programme\Ubisoft
2009-03-27 15:11 . 2009-03-27 14:20 -------- d-----w c:\programme\Left 4 Dead
2009-03-17 08:14 . 2009-03-17 08:13 -------- d-----w c:\programme\Gemeinsame Dateien\Macromedia
2009-03-17 08:13 . 2009-03-17 08:13 -------- d-----w c:\programme\Macromedia
2009-03-13 09:21 . 2009-03-13 08:53 -------- d-----w c:\programme\XMind
2009-03-12 16:25 . 2008-07-31 11:28 5051904 ----a-w c:\windows\system32\drivers\RtkHDAud.sys
2009-03-12 16:21 . 2008-07-31 11:28 17531392 ----a-w c:\windows\RTHDCPL.EXE
2009-03-12 14:34 . 2009-03-25 18:05 39424 ----a-w c:\windows\system32\RtkCoInstXP.dll
2009-03-10 13:32 . 2008-07-31 11:28 2168320 ----a-w c:\windows\MicCal.exe
2009-03-09 20:26 . 2009-03-04 16:36 977 ----a-w c:\windows\eReg.dat
2009-03-09 03:19 . 2008-10-10 08:28 410984 ----a-w c:\windows\system32\deploytk.dll
2009-03-08 02:34 . 2004-11-11 13:00 914944 ----a-w c:\windows\system32\wininet.dll
2009-03-08 02:34 . 2004-11-11 13:00 43008 ----a-w c:\windows\system32\licmgr10.dll
2009-03-08 02:33 . 2004-11-11 13:00 18944 ----a-w c:\windows\system32\corpol.dll
2009-03-08 02:33 . 2004-11-11 13:00 420352 ----a-w c:\windows\system32\vbscript.dll
2009-03-08 02:32 . 2004-11-11 13:00 72704 ----a-w c:\windows\system32\admparse.dll
2009-03-08 02:32 . 2004-11-11 13:00 71680 ----a-w c:\windows\system32\iesetup.dll
2009-03-08 02:31 . 2004-11-11 13:00 34816 ----a-w c:\windows\system32\imgutil.dll
2009-03-08 02:31 . 2004-11-11 13:00 48128 ----a-w c:\windows\system32\mshtmler.dll
2009-03-08 02:31 . 2004-11-11 13:00 45568 ----a-w c:\windows\system32\mshta.exe
2009-03-08 02:22 . 2004-11-11 13:00 156160 ----a-w c:\windows\system32\msls31.dll
2009-03-06 14:19 . 2004-11-11 13:00 286720 ----a-w c:\windows\system32\pdh.dll
2009-03-05 23:13 . 2008-08-06 22:06 -------- d-----w c:\programme\KONAMI
2009-03-05 16:49 . 2008-07-31 11:12 -------- d-----w c:\programme\Gemeinsame Dateien\InstallShield
2009-03-04 14:23 . 2008-12-02 08:45 -------- d-----w c:\programme\MAGIX
2009-03-02 10:14 . 2008-07-31 11:28 57344 ----a-w c:\windows\ALCMTR.EXE
2009-03-01 13:50 . 2009-03-01 13:50 664 ----a-w c:\windows\system32\d3d9caps.dat
2009-02-09 14:04 . 2004-11-11 13:00 1846912 ----a-w c:\windows\system32\win32k.sys
2009-02-09 11:21 . 2004-08-04 00:50 2026496 ----a-w c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:21 . 2004-11-11 13:00 2147840 ----a-w c:\windows\system32\ntoskrnl.exe
2009-02-09 11:21 . 2004-11-11 13:00 111104 ----a-w c:\windows\system32\services.exe
2009-02-09 10:51 . 2004-11-11 13:00 736768 ----a-w c:\windows\system32\lsasrv.dll
2009-02-09 10:51 . 2004-11-11 13:00 401408 ----a-w c:\windows\system32\rpcss.dll
2009-02-09 10:51 . 2004-11-11 13:00 678400 ----a-w c:\windows\system32\advapi32.dll
2009-02-09 10:51 . 2004-11-11 13:00 740352 ----a-w c:\windows\system32\ntdll.dll
2009-02-06 10:39 . 2004-11-11 13:00 35328 ----a-w c:\windows\system32\sc.exe
2009-02-03 19:57 . 2004-11-11 13:00 56832 ----a-w c:\windows\system32\secur32.dll
2008-10-06 07:15 . 2008-10-06 07:15 14852 ----a-w c:\programme\settings.dat
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"MsnMsgr"="c:\programme\Windows Live\Messenger\MsnMsgr.Exe" [2007-10-18 5724184]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\daemon.exe" [2008-07-24 490952]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-10-03 178712]
"SynTPStart"="c:\programme\Synaptics\SynTP\SynTPStart.exe" [2007-09-07 102400]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2007-10-08 995328]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2007-10-08 1101824]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-11-11 8523776]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-11-11 81920]
"avast!"="c:\progra~1\ALWILS~1\Avast4\ashDisp.exe" [2009-02-05 81000]
"PLFSet"="c:\windows\PLFSet.dll" [2007-04-25 45056]
"ePower_DMC"="c:\acer\Empowering Technology\ePower\ePower_DMC.exe" [2006-04-04 421888]
"Boot"="c:\acer\Empowering Technology\ePower\Boot.exe" [2006-03-15 579584]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2007-08-24 33648]
"TrayServer"="c:\programme\MAGIX\Video_deluxe_2008_PLUS\TrayServer.exe" [2007-03-29 90112]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-11-11 1626112]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.EXE [2009-03-12 17531392]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\XXX\Startmen�\Programme\Autostart\
Mousometer.lnk - c:\dokumente und einstellungen\XXX\Desktop\mousometer.exe [2008-10-10 140288]
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - c:\programme\Microsoft Office\Office12\ONENOTEM.EXE [2007-12-7 101440]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
Acer Empowering Technology.lnk - c:\acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe [2008-8-1 45056]
BTTray.lnk - c:\programme\WIDCOMM\Bluetooth Software\BTTray.exe [2006-1-17 618557]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\TrackMania Nations ESWC\\TmNationsESWC.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Hamachi\\hamachi.exe"=
"d:\\Setup\\Gamez\\CS Condition Zero\\CS.Condition.Zero.LanVersion\\Condition Zero\\czero.exe"=
"d:\\Setup\\Gamez\\CS Condition Zero\\CS.Condition.Zero.LanVersion\\Condition Zero\\hltv.exe"=
"d:\\Setup\\Gamez\\TmNationsForever\\TmForever.exe"=
"c:\\Programme\\Maxima-5.16.3\\wxMaxima\\wxMaxima.exe"=
"c:\\WINDOWS\\pchealth\\helpctr\\binaries\\helpctr.exe"=
"c:\\WINDOWS\\system32\\dplaysvr.exe"=
"c:\\Programme\\KONAMI\\Pro Evolution Soccer 2009\\pes2009.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"c:\\Dokumente und Einstellungen\\XXX\\Eigene Dateien\\Schule\\E\\TeamViewer\\TeamViewer.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programme\\Ubisoft\\Tom Clancy's H.A.W.X\\HAWX.exe"=
"c:\\Programme\\Infogrames\\Grand Prix 4\\GP4.exe"=

R2 gupdate1c998be32303c80;Google Update Service (gupdate1c998be32303c80);c:\programme\Google\Update\GoogleUpdate.exe [2009-02-27 133104]
R3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [2008-08-05 1684736]
R3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 1527900]
S1 aswSP;avast! Self Protection; [x]
S2 acedrv10;acedrv10;c:\windows\system32\drivers\acedrv10.sys [2007-07-27 330144]
S2 acehlp10;acehlp10;c:\windows\system32\drivers\acehlp10.sys [2007-07-27 251680]
S2 aswFsBlk;aswFsBlk;c:\windows\system32\DRIVERS\aswFsBlk.sys [2009-02-05 20560]
S2 BPowMon;Broadcom Power monitoring service;c:\programme\Broadcom\BACS\BPowMon.exe [2006-08-31 65536]


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{0312f96c-f915-11dd-a80d-0013e8d6422b}]
\Shell\AutoRun\command - iq.bat
\Shell\open\Command - iq.bat

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{1ff0adf2-a818-11dd-a6f8-0013e8d6422b}]
\Shell\AutoRun\command - J:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{9dbf327b-a4d1-11dd-a6ee-0013e8d6422b}]
\Shell\AutoRun\command - WDSetup.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{ec1c3639-d079-11dd-a786-0013e8d6422b}]
\Shell\AutoRun\command - J:\LiteAuto.exe

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\>{60B49E34-C7CC-11D0-8953-00A0C90347FF}]
"c:\windows\system32\rundll32.exe" "c:\windows\system32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
.
Inhalt des "geplante Tasks" Ordners

2009-05-03 c:\windows\Tasks\Google Software Updater.job
- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-02-27 14:22]

2009-05-03 c:\windows\Tasks\GoogleUpdateTaskMachine.job
- c:\programme\Google\Update\GoogleUpdate.exe [2009-02-27 09:31]

2009-05-03 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-24 20:18]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
mStart Page = about:blank
uInternet Settings,ProxyServer = proxy.salzburg.at:82
uInternet Settings,ProxyOverride = *.local
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
FF - ProfilePath - c:\dokumente und einstellungen\XXX\Anwendungsdaten\Mozilla\Firefox\Profiles\ob855iar.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.at/
FF - prefs.js: network.proxy.ftp - proxy.salzburg.at
FF - prefs.js: network.proxy.ftp_port - 82
FF - prefs.js: network.proxy.gopher - proxy.salzburg.at
FF - prefs.js: network.proxy.gopher_port - 82
FF - prefs.js: network.proxy.http - proxy.salzburg.at
FF - prefs.js: network.proxy.http_port - 82
FF - prefs.js: network.proxy.socks - proxy.salzburg.at
FF - prefs.js: network.proxy.socks_port - 82
FF - prefs.js: network.proxy.ssl - proxy.salzburg.at
FF - prefs.js: network.proxy.ssl_port - 82
FF - prefs.js: network.proxy.type - 4
FF - component: c:\programme\Google\Google Gears\Firefox\components\gears.dll
FF - plugin: c:\programme\Google\Google Updater\2.4.1536.6592\npCIDetect13.dll
FF - plugin: c:\programme\Google\Update\1.2.141.5\npGoogleOneClick7.dll
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-05-03 13:39
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-2000478354-1123561945-725345543-1003\Software\SecuROM\License information*]
"datasecu"=hex:68,de,a1,13,3c,62,e2,77,52,b7,42,f3,2e,9e,91,44,63,8e,73,e3,0d,
07,85,05,98,4a,86,7d,14,d0,69,a4,9a,80,dc,d4,51,cd,8c,bb,82,21,0c,6c,84,3e,\
"rkeysecu"=hex:62,8e,1e,e2,29,cc,f0,0b,16,13,2e,53,74,95,18,8f
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(804)
c:\windows\system32\netprovcredman.dll
.
Zeit der Fertigstellung: 2009-05-03 13:40
ComboFix-quarantined-files.txt 2009-05-03 11:40

Vor Suchlauf: 13 Verzeichnis(se), 53.422.694.400 Bytes frei
Nach Suchlauf: 12 Verzeichnis(se), 54.469.865.472 Bytes frei

228 --- E O F --- 2009-04-28 20:44






mfg

1.) Wurde der Rechner erst kürzlich installiert?

2.) Warum hast du den MS Messenger zweimal installiert?

3.) Deinstalliere (falls möglich):

• Google Updater
• Google Update Helper
• Bonjour

4.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

1.) Nein, letztes Jahr im Sommer war das letzte Mal als ich ihn neu aufgesetzt habe.

2.) Hmm. Keine Ahnung, soweit ich bis jetzt wusste hatte ich nur einen, da ich nur einen benutze, kann aber sein als ich XP installiert habe dass es den uralten Messenger mitinstalliert hat.

3.) Was möglich ist erledigt.


4.)




mfg



PS: Hab nach dem Ausführen von ComboFix nach dem Ordner "Bonjour" gesucht und ihn in "C:\Qoobox\Quarantine\C\Programme" gefunden. Dort ist auch ein Google Ordner. Die Inhalte dieser Ordner haben alle die Endung: ".vir".

Nur so zur Information!

Das ist auch richtig so, denn das sind voll die fiesen Viren. :)

1.) Lade die Datei
gemäß dieser Anleitung bei uns hoch.

2.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

3.) Klicke in meiner Signatur auf "Für alle Neuen", lies alles aufmerksam und arbeite die komplette Liste unter Punkt 2 ab.

ciao, andreas

Der Link zum UploadChannel funktioniert nicht!

Firefox zeigt immer nur eine Fehlermeldung!


mfg

Bei mir schon. Lösche deine temporären Internetdateien und versuche es nochmal. Sollte es wieder nicht funktionieren, dann lade es bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als PN.

ciao, andreas

Hab dir eine PN geschickt!

mfg

Die Datei ist sauber. Überspringe Punkt 2 und mache weiter mit 3.

ciao, andreas

Malwarebytes-Log:



HJT-Log:


mfg

1.) Welchen Browser benutzt du?

2.) Entferne Bonjour mit http://www.korben.info/wp-content/up...7/aurevoir.rar

3.) Starte HJT => Do a system scan only => Markiere(falls noch vorhanden):
=> Fix checked

4.) Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Lab: Anti-Virus, Internet Security, Mobile Security & Antiviren-Software und Services für Unternehmen
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

ciao, andreas

1.) Mozilla Firefox 3.0.10

2.) soweit ich das Französische verstanden habe ist alles erledigt!

3.) gefixt!

4.) Hab bemerkt das er nur mit dem Internet Explorer geht... und wenn ich den Scan ausführen will sagt er mir beim Installieren von den ActiveX Elementen das ich Administratorrechte benötige..
Ich bin aber der einzige der meinen Laptop benutzt und es gibt nur einen Benutzer bei den Benutzerkonten, somit müsste ich doch der Administrator sein oder???


mfg

Nur Ärger mit dem Kasper. :schmoll:

1.) CureIT Dr.Web

• Lies zuerst die deutsche Anleitung und drucke sie dir aus.

• Lass alle Malware in den Quarantaene Ordner verschieben.
• Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
• Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

• Speichere das Logfile - siehe Anleitung - und poste es.

2.) Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

3.) Überprüfe den Rechner mit dem AVP-Tool sowie mit PrevXCSI.

ciao, andreas

alles schön und gut..

aber auf der CureIt Dr.Web Anleitungsseite fehlen einige Bilder, wo ich Einstellungen ändern soll, um einen Komplett Scan durchzuführen und wie ich es abspeichern soll!




mfg

Ich muss gestehen, ich habe die Anleitung noch nie gelesen, es allerdings neulich noch benutzt. Das lässt sich doch fast intuitiv bedienen. Die Einstellungen spielen keine Rolle. Es geht nur um die Funde und das Protokoll. CureIt wird nach Gebrauch sowieso wieder deinstalliert.

ciao, andreas

alles Klar.. dann mach ich das mal..


mfg

:daumenhoc

Also, habe alles durchgeführt bis auf den scan mit prevXCSI.


Hier die Logs der einzelnen Scans:


Dr.Web:


ActiveScan-Log:



Hier noch eine Info:

Avast zeigt mir KEINE Warnmeldung mehr, auch wenn der Stick angesteckt ist! Auf dem Stick befindet sich nur mehr der Ordner "Recycler". Die autorun.inf ist nicht mehr da.


mfg

so, jetz habe ich mein system mit prevXCSI auch gescannt:

precXCSI Log in gekürtzter Fassung (zu viele Zeichen); Hier werden nur die gefundenen Risiken angezeigt:



Wie soll ich nun weiter vorgehen??

mfg

Die Meldungen von CureIt gefallen mir gar nicht. :(

1.) Lade die Datei
bitte gemäß dieser Anleitung bei uns hoch.

2.) Lade dir Lop S&D herunter.

Führe Lop S&D.exe per Doppelklick aus.
Wähle die Sprache deiner Wahl und anschließend die Option 1 (Suche)
Warte bis der Scanbericht erstellt wird (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen)

(Sollte dein Desktop verschwinden, drücke bitte Ctrl + Alt + Entf um den Taskmanager zu starten. Wähle unter Datei, neuen Task aus und gib dort explorer.exe ein)

ciao, andreas

Hier das geforderte Log:


mfg

Erstelle ein Filelisting.

• Lade die Datei File-Upload.net - listing0.bat auf deinen Desktop
• Doppelklicke auf listing0.bat
• Am Ende befindet sich eine Datei listing.txt auf dem Desktop. Die bei einem Filehoster (z.B. Datei Upload, Bilder hochladen, Datei Hosting auf Materialordner.de) hochladen und hier den Link posten.

ciao, andreas

Hier der Link:


http://www.materialordner.de/HykRwe5kgeWjibB0M86KLmdA2YukyH.html



mfg

Jetzt möchte ich es aber genau wissen. Woher hast du das hier:
Dazu musst du wissen, das CureIt den SDBot gefunden hat, der wird allerdings nur noch mithilfe Keygens verbreitet. Wo hast du die Datei her?

ciao, andreas

Ich habe den ganzen Condition Zero Ordner von einem Freund bekommen.

Und diese Textdatei war halt auch dabei. Wenn ich sie öffne, steht folgendes drin:

Es ist also kein keygen sondern nur eine Textdatei.

Hatte mit dieser Datei bis jetzt noch nie irgendwelche probleme!

mfg

Klicke mal auf den Link "Virenscanner" in meiner Signatur. Dort findest du:
1.) LopSD nochmal laufenlassen, diesmal mit Option 2. Log posten.

2.) Start => Ausführen => combofix /u => OK

3.) Laden, laufenlassen, Log posten: http://www.trojaner-board.de/51871-a...tispyware.html

4.) Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des System durch einen Wiederherstellungspunkt das System wahrscheinlich wieder infizieren würde.
Nach Neustart kann sie wieder aktiviert werden.

ciao, andreas

1.)


2.) erledigt

3.)


mfg

1.) Was hast du denn da auf dem Desktop?
2.) Deinstalliere:

• SuperAntiSpyware.
• PrevxCSI
• CureIt

3.) Überprüfe den Rechner mit dem AVP-Tool

4.) Lade dir nochmal ein neues ComboFix.

Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Hier das geforderte Log:


Ich habe mittlerweile keine Dateien mehr auf meinem USB-Stick, weder eine autorun.inf noch einen Recycler-Ordner.


Das AVP-Tool hat gar nichts gefunden.


mfg

Logs sind alle sauber. Wie geht es dem Rechner? Noch irgendwelche Auffälligkeiten?

Start => Ausführen => combofix /u => OK

ciao, andreas

Nein, keine Auffälligkeiten!

Avast meldet keine Gefahren, Kaspersky hat auch keine gemeldet!


Auf dem Stick erscheinen keine Dateien mehr... sieht alles in Ordnung aus!


mfg

Dann bist du entlassen. :)

Alle Programme, die wir eingesetzt haben, können deinstalliert/gelöscht werden.

ciao, andreas

Ich bedanke mich herlich für deine Hilfe. :aplaus::aplaus:

Ohne dich wäre das nicht möglich gewesen.



mach weiter so, solche hilfsbereiten menschen braucht die welt!




Ich hoffe dass ich hier nicht mehr so bald nach Hilfe fragen muss..


aber bis dahin.. keep it real!



mfg