Ich benötige Hilfe bei einer Virusidentifikation
 

Tja, mit dem Aussagekräftigen Titel wars schonmal nichts. Ich bitte um Entschuldigung, aber ich weiss nicht womit ich es zu tun habe und die Symptome sind leider vielfältig.

Vorab: Ich nutze Windows XP Prof SP2

Symptome, die mir bisher aufgefallen sind:
- Desktopverknüpfungen fehlen beim Systemstart.
- Taskleiste fehlt beim Systemstart.
- Nach einigen Minuten, meldet sich wahlweise der RPC oder der DCOM Dienst und meint, dass es sinnig sei den PC herunter zu fahren.
- Ich kann keine Daten kopieren.
- Zone Alarm startet nicht mehr


Die ersten beiden Symptome lassen sich beheben, indem ein bestimmter svchost Prozess beendet wird ( 5 Stück habe ich derzeit davon nach dem Systemstart laufen).
Nachdem der Prozess beendet wurde dauert es eine weile (ca. 1-2 min) bis die anderen Prozesse starten, die bei mir in der Autostart Liste sind.
Das ist auch der Zeitpunkt an dem ich eine Meldung bekomme, in der mir mitgeteilt wird, dass eine gewisse NT-Autorität, entweder wegen einem fehlerhaften RPC oder aber den DCOM Dienst, beschließt das System herunterzufahren.
Ich habe daraufhin in der Computerverwaltung Die Einstellungen für die beiden Dienste geändert, sodass die Dienste nun neu starten, anstatt dem Computer herunterzufahren.

Nachdem ich ein wenig bei google rumgestöbert habe, dachte ich, dass meine Symptome auf den blastervirus hindeuten und ich habe ein Programm von symantec durchlaufen lassen, dass den virus auspüren sollte. Allerdings blieb der Erfolg aus.
Ansonsten habe ich mein System noch von avast und Spybot prüfen lassen. Beides ohne Ergebnis.

Eine evtl nennenwerte Rahmenbeding ist noch, dass ich bei meiner letzten Sitzung am PC, heute morgen, Zumindest nicht bewusst irgendwelche Dateien runtergeladen habe und auch keine Dateien, die ich sonst nicht nutze ausgeführt habe. Zu dem Zeitpunkt lief das System - zumindest vordergründig - normal.

Ich bin mit meinem Laienwissen am Ende und würde mich freuen, wenn mir hier jemand unter die Arme greifen könnte und in der Lage ist mir Ratschläge zum weiteren vorgehen zu geben.

Guten Morgen!

Ich habe eben nochmal ein logfile erstellt, nachdem der besagte svchost Prozess beendet war.
Ich habe es auch vorher versucht, allerdings ist da während des Durchlaufs der Analyse ein Fehler aufgetreten. "Diese Aktion kann nicht beendet werden, da die [Im Morgen Tran vergessen ein Wort aufzuschreiben] zu der Anwendung nicht verfügbar ist. Drücken sie Wechseln zu [...]"
Die Fehlermeldung trat auch auf, nachdem ich die Hijack.exe in asd.com umbenannt habe.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:18:46, on 20.06.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\system32\taskmgr.exe

C:\Programme\Alwil Software\Avast4\aswUpdSv.exe

C:\Programme\Alwil Software\Avast4\ashServ.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

C:\WINDOWS\system32\inetsrv\inetinfo.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\IoctlSvc.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\PnkBstrB.exe

C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe

C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

C:\WINDOWS\system32\TASKMAN.EXE

C:\Programme\Alwil Software\Avast4\ashMaiSv.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\Alwil Software\Avast4\ashWebSv.exe

C:\Programme\FreePDF_XP\fpassist.exe

C:\WINDOWS\Logi_MwX.Exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

C:\WINDOWS\system32\ntvdm.exe

C:\PROGRA~1\TRENDM~1\HIJACK~1\ASD.COM

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.perinorm.com/pol/accueil.php

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://alice.aol.de

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://alice.aol.de

R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll

O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll

O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll

O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll

O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Programme\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k

O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe

O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe

O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-19\..\RunOnce: [nlpo_01] rundll32 advpack.dll,LaunchINFSection nlite.inf,nLiteReg (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-20\..\RunOnce: [nlpo_01] rundll32 advpack.dll,LaunchINFSection nlite.inf,nLiteReg (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll

O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)

O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)

O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe

O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe

O23 - Service: avast! Mail Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe

O23 - Service: avast! Web Scanner - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashWebSv.exe

O23 - Service: Backbone Service (BBDemon) - Unknown owner - M:\Programme\Dassault Systemes\B17\intel_a\code\bin\CATSysDemon.exe (file missing)

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: PnkBstrB - Unknown owner - C:\WINDOWS\system32\PnkBstrB.exe

O23 - Service: Remote Packet Capture Protocol v.0 (experimental) (rpcapd) - CACE Technologies - C:\PROGRA~1\WinPcap\rpcapd.exe

O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 6784 bytes

Im übrigen sind mir weitere Symptome aufgefallen
- Ich habe keinen Sound mehr
- Einige Programme haben Probleme MP3s abzuspielen (foorbar, winamp, der vlc hingegen spielt sie anscheinend noch ab)
- Daten lassen sich auch nicht mehr verschieben

So der Kaffee ist getrunken, nun klappts auch mit den Fehlermeldungen zitieren. Editieren kann ich meinen letzten Beitrag allerdings nicht mehr.
Die Fehlermeldung, die ich von HijackThis erhalte, wenn ich zunächst den svchost.exe Prozess beende lautet:

"Die Aktion kann nicht beendet werden, da die andere Anwendung nicht verfügbar ist. Wählen sie "Wechseln zu", um die andere Anwendung zu aktivieren und das Problem zu beheben."

Schade, dass ich hier keine Hilfe finden konnte.
So werde Ich mein Betriebssystem wohl neu aufsetzen müssen.