Trojaner-Board - Google verlinkt auf falsche bzw. verdächtige Seiten

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Google verlinkt auf falsche bzw. verdächtige Seiten (https://www.trojaner-board.de/91793-google-verlinkt-falsche-bzw-verdaechtige-seiten.html)

Google verlinkt auf falsche bzw. verdächtige Seiten

Hallo Zusammen!

Mein Problem stellt sich wie folgt dar:

Die bei der Google-Suche angezeigten Links (ich benutze Mozilla Firefox) führen auf falsche Seiten. Ich klicke auf den Link, muss ein paar Sekunden warten und werde dann auf höchste dubiose Seiten weitergeleitet, manche wollen sogar Trojaner und Mal-/Adware auf meinem Rechner installieren.

Ich habe auch das Gefühl, dass mein Rechner und auch Firefox in den letzten Tagen erheblich langsamer geworden sind. Manchmal geht die CPU Auslastung ohne mir ersichtlichen Grund auf 100 % hoch und nichts geht mehr.

Ich habe schon mehrmals Programme wie AVG Antivir, Malwarebytes´Anti Malware, Spyware Terminator und CC Cleaner durchlaufen lassen mit der Hoffnung auf Besserung. Die Programme hatten auch immer etwas gefunden, was ich dann gelöscht hatte, jedoch keine Besserung.

Ich habe schon daran gedacht, das System neu aufzusetzen, wollte mich aber mal vorher an dieses Forum richten. Ich habe im Forum zum Thema "Google verlinkt auf falsche Seiten" eine Menge gelesen. Von "alles klar es funzt wieder" bis "hmm da musst du wohl dein System neu aufsetzen" war alles dabei. Aus diesem Grund wollte ich hier mal meine HijackThis-Logfile posten mit der Hoffnung, dass jemand etwas verdächtiges erkennt und mir helfen kann (bin ein eher unerfahrener Anwender).

Code:



Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 17:38:41, on 13.10.2010

Platform: Windows XP SP2 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\AVG\AVG9\avgchsvx.exe

C:\Programme\AVG\AVG9\avgrsx.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\Programme\AVG\AVG9\avgcsrvx.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\AVG\AVG9\avgwdsvc.exe

C:\PROGRA~1\AVG\AVG9\avgtray.exe

C:\WINDOWS\system32\cisvc.exe

C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

C:\Programme\AVG\AVG9\avgnsx.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\snmp.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe

C:\Programme\Spyware Terminator\sp_rsser.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

C:\Programme\AVG\AVG9\avgemc.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFCl.exe

C:\Programme\AVG\AVG9\avgcsrvx.exe

C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe

C:\Programme\Spyware Terminator\SpywareTerminatorShield.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Skype\Phone\Skype.exe

C:\Programme\Mozilla Firefox\firefox.exe

C:\WINDOWS\system32\NOTEPAD.EXE

C:\Programme\Skype\Plugin Manager\skypePM.exe

C:\Programme\Skype\Toolbars\Shared\SkypeNames.exe

C:\WINDOWS\system32\cidaemon.exe

C:\WINDOWS\System32\svchost.exe

C:\Dokumente und Einstellungen\Kowa\Desktop\HiJackThis204.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://www.incredimail.com/page.asp?page=reg_success&lang=7&version=5002154&setup_id=7000002&aff_id=1&addon=IncrediMail

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyServer = http=127.0.0.1:5555

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programme\AVG\AVG9\avgssie.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe

O4 - HKLM\..\Run: [SpywareTerminator] "C:\Programme\Spyware Terminator\SpywareTerminatorShield.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG9\avgpp.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: avgrsstarter - avgrsstx.dll (file missing)

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG\AVG9\avgemc.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG\AVG9\avgwdsvc.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe

O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe

O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programme\Spyware Terminator\sp_rsser.exe

O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpDefragService.exe

O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
 

--

End of file - 6555 bytes

Bitte helft mir!!

Gruss
Stefan

deinstaliere spyware terminator
ootl:
Systemscan mit OTL
download otl:
http://filepony.de/download-otl/

Doppelklick auf die OTL.exe
(user von Windows 7 und Vista: Rechtsklick als Administrator ausführen)
1. Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
2. Hake an "scan all users"
3. Unter "Extra Registry wähle:
"Use Safelist" "LOP Check" "Purity Check"
4. Kopiere in die Textbox:
netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
explorer.exe
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT
5. Klicke "Scan"
6. 2 reporte werden erstellt:
OTL.Txt
Extras.Txt
beide posten.

Hallo,

danke für die schnelle Hilfe! Hab alles so gemacht wie beschrieben und die OTL Logfiles als Anhang hinzugefügt.

Grüße

Stefan

bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

so logfile mit combofix erstellt. hab die file in den anhang gepackt.

deinstaliere spyware terminator!
start programme zubehör editor, kopiere rein:

Killall::
Rootkit::
c:\dokumente und einstellungen\Kowa\Anwendungsdaten\sdfsfs.bat
c:\dokumente und einstellungen\Kowa\Anwendungsdaten\dsfsds.bat

Folder::
c:\dokumente und einstellungen\Kowa\Anwendungsdaten\gnupg
Driver::
ctjioqjy
rfasznkmppllsi
ymiaian
DDS::
uInternet Settings,ProxyServer = http=127.0.0.1:5555
uInternet Settings,ProxyOverride = <local>

Datei speichern unter, ort dort wo sich combofix befindet, typ alle dateien, name
cfscript.txt
ziehe cfscript.txt auf combofix, programm startet, log posten

alles wie beschrieben ausgeführt und die log in den anhang gepackt.. spyware terminator hatte ich bereits deinstalliert..

öffne den arbeitsplatz, dann c: dort nen rechtsklick auf qoobox und zu qoobox.rar oder zip hinzufügen, archiv hochladen
bitte erstelle und poste ein combofix log.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

nutzt du
gnupg?
dann müssten wir das wieder herstellen

so hier die combofix log (hab sie auch zusätzlich nochmal in den anhang getan):

Code:

ComboFix 10-10-12.03 - Kowa 13.10.2010  21:57:09.3.1 - x86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.767.402 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Kowa\Desktop\ComboFix.exe

AV: AVG Anti-Virus Free *On-access scanning disabled* (Updated) {17DDD097-36FF-435F-9E1B-52D74245D6BF}

FW: Sunbelt Personal Firewall *disabled* {82B1150E-9B37-49FC-83EB-D52197D900D0}

.
 

(((((((((((((((((((((((   Dateien erstellt von 2010-09-13 bis 2010-10-13  ))))))))))))))))))))))))))))))

.
 

2010-10-13 17:20 . 2010-10-13 17:20    --------    d-----w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\AVG9

2010-10-12 09:10 . 2010-10-12 17:59    --------    d-----w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\download

2010-10-11 13:33 . 2010-10-11 13:33    --------    d-----w-    c:\programme\CCleaner

2010-10-11 08:34 . 2010-10-11 08:34    --------    d-----w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\Malwarebytes

2010-10-11 08:33 . 2010-04-29 10:19    38224    ----a-w-    c:\windows\system32\drivers\mbamswissarmy.sys

2010-10-11 08:33 . 2010-10-11 08:33    --------    d-----w-    c:\programme\Malwarebytes' Anti-Malware

2010-10-11 08:33 . 2010-10-11 08:33    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2010-10-11 08:33 . 2010-04-29 10:19    20952    ----a-w-    c:\windows\system32\drivers\mbam.sys

2010-10-10 18:06 . 2010-10-10 18:06    2256    ----a-w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\sdfsfs.bat

2010-10-10 18:06 . 2010-10-10 18:06    125    ----a-w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\dsfsds.bat

2010-09-23 08:07 . 2010-09-23 08:19    --------    d-----w-    c:\dokumente und einstellungen\Kowa\Anwendungsdaten\U3

2010-09-14 23:01 . 2010-02-04 08:01    74072    ----a-w-    c:\windows\system32\XAPOFX1_4.dll

2010-09-14 23:01 . 2010-02-04 08:01    528216    ----a-w-    c:\windows\system32\XAudio2_6.dll

2010-09-14 23:01 . 2010-02-04 08:01    238936    ----a-w-    c:\windows\system32\xactengine3_6.dll

2010-09-14 23:01 . 2010-02-04 08:01    22360    ----a-w-    c:\windows\system32\X3DAudio1_7.dll

2010-09-14 23:01 . 2009-09-04 15:44    515416    ----a-w-    c:\windows\system32\XAudio2_5.dll

2010-09-14 23:01 . 2009-09-04 15:44    238936    ----a-w-    c:\windows\system32\xactengine3_5.dll

2010-09-14 23:01 . 2009-09-04 15:29    1974616    ----a-w-    c:\windows\system32\D3DCompiler_42.dll

2010-09-14 23:01 . 2009-09-04 15:29    5501792    ----a-w-    c:\windows\system32\d3dcsx_42.dll

2010-09-14 23:01 . 2009-09-04 15:29    235344    ----a-w-    c:\windows\system32\d3dx11_42.dll

2010-09-14 23:01 . 2009-09-04 15:29    453456    ----a-w-    c:\windows\system32\d3dx10_42.dll

2010-09-14 23:01 . 2009-09-04 15:29    1892184    ----a-w-    c:\windows\system32\D3DX9_42.dll

2010-09-14 22:52 . 2010-09-14 22:52    --------    d-----w-    c:\dokumente und einstellungen\All Users\Anwendungsdaten\bitComposer Games
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"AVG9_TRAY"="c:\progra~1\AVG\AVG9\avgtray.exe" [2010-10-05 2067808]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-03 15360]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\avgrsstarter]

2010-07-16 12:17    12536    ----a-w-    c:\windows\system32\avgrsstx.dll
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VPN Client.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\VPN Client.lnk

backup=c:\windows\pss\VPN Client.lnkCommon Startup
 

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^WlanUtility.lnk]

path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\WlanUtility.lnk

backup=c:\windows\pss\WlanUtility.lnkCommon Startup
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]

c:\windows\system32\dumprep 0 -k [X]
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ]

2009-11-16 15:36    172792    ----a-w-    c:\programme\ICQ6.5\ICQ.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\IncrediMail]

2005-11-13 12:01    200747    ----a-w-    c:\programme\IncrediMail\bin\IncMail.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]

2001-07-09 09:50    155648    ----a-w-    c:\windows\system32\NeroCheck.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]

2010-03-17 19:53    421888    ----a-w-    c:\programme\QuickTime\QTTask.exe
 

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]

2003-04-17 06:54    12288    ----a-w-    c:\programme\Winamp\winampa.exe
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]

"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\daemon.exe" -autorun

"IncrediMail"=c:\progra~1\INCRED~1\bin\IncMail.exe /c

"swg"=c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]

"KernelFaultCheck"=%systemroot%\system32\dumprep 0 -k

"AtiPTA"=atiptaxx.exe

"Lexmark X1100 Series"="c:\programme\Lexmark X1100 Series\lxbkbmgr.exe"

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"

"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe"

"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"

"SpywareTerminator"="c:\programme\Spyware Terminator\SpywareTerminatorShield.exe"
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\IncrediMail\\bin\\IMApp.exe"=

"c:\\Programme\\IncrediMail\\bin\\IncMail.exe"=

"c:\\Programme\\IncrediMail\\bin\\ImpCnt.exe"=

"c:\\Programme\\ICQ6.5\\ICQ.exe"=

"c:\\Programme\\AVG\\AVG9\\avgemc.exe"=

"c:\\Programme\\AVG\\AVG9\\avgupd.exe"=

"c:\\Programme\\AVG\\AVG9\\avgnsx.exe"=

"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=

"c:\\Programme\\SPSSInc\\PASWStatistics18\\WinWrapIDE.exe"=

"c:\\Programme\\SPSSInc\\PASWStatistics18\\paswstat.com"=

"c:\\Programme\\SPSSInc\\PASWStatistics18\\paswstat.exe"=

"c:\\Programme\\Skype\\Phone\\Skype.exe"=
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]

"3587:TCP"= 3587:TCP:Windows Peer-zu-Peer-Gruppierung

"3540:UDP"= 3540:UDP:Peer Name Resolution-Protokoll (PNRP)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]

"AllowInboundEchoRequest"= 1 (0x1)
 

R1 AvgLdx86;AVG Free AVI Loader Driver x86;c:\windows\system32\drivers\avgldx86.sys [03.11.2009 12:43 216400]

R1 AvgTdiX;AVG Free Network Redirector;c:\windows\system32\drivers\avgtdix.sys [03.11.2009 12:43 243024]

R1 SbFw;SbFw;c:\windows\system32\drivers\SbFw.sys [24.10.2009 15:17 270888]

R1 sbhips;Sunbelt HIPS Driver;c:\windows\system32\drivers\sbhips.sys [21.06.2008 04:54 66600]

R2 avg9emc;AVG Free E-mail Scanner;c:\programme\AVG\AVG9\avgemc.exe [16.07.2010 14:15 921952]

R2 avg9wd;AVG Free WatchDog;c:\programme\AVG\AVG9\avgwdsvc.exe [16.07.2010 14:17 308136]

R2 SbPF.Launcher;SbPF.Launcher;c:\programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe [31.10.2008 07:24 95528]

R2 TuneUp.UtilitiesSvc;TuneUp Utilities Service;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe [01.04.2010 15:14 1050440]

R3 SBFWIMCL;Sunbelt Software Firewall NDIS IM Filter Miniport;c:\windows\system32\drivers\SbFwIm.sys [24.10.2009 15:17 65576]

R3 TuneUpUtilitiesDrv;TuneUpUtilitiesDrv;c:\programme\TuneUp Utilities 2010\TuneUpUtilitiesDriver32.sys [24.02.2010 14:41 10064]

S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [22.02.2010 11:40 135664]

S2 SPF4;Sunbelt Personal Firewall 4;c:\programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe [31.10.2008 07:24 1365288]

S3 CAM1690;USB 2.0 Compliance JPEG Video Camera;c:\windows\system32\drivers\cam1690.sys [13.02.2007 21:02 124032]

S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [13.10.2009 23:01 721904]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]

p2psvc    REG_MULTI_SZ       p2psvc p2pimsvc p2pgasvc PNRPSvc
 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

UxTuneUp

.

Inhalt des "geplante Tasks" Ordners
 

2010-10-13 c:\windows\Tasks\Google Software Updater.job

- c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2010-03-13 19:40]
 

2010-10-13 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job

- c:\programme\Google\Update\GoogleUpdate.exe [2010-02-22 09:40]
 

2010-10-13 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job

- c:\programme\Google\Update\GoogleUpdate.exe [2010-02-22 09:40]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://www.google.de/

uInternet Connection Wizard,ShellNext = hxxp://www.incredimail.com/page.asp?page=reg_success&lang=7&version=5002154&setup_id=7000002&aff_id=1&addon=IncrediMail

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

FF - ProfilePath - c:\dokumente und einstellungen\Kowa\Anwendungsdaten\Mozilla\Firefox\Profiles\kdy7c0bt.default\

FF - prefs.js: browser.startup.homepage - 

FF - prefs.js: network.proxy.type - 0

FF - component: c:\programme\AVG\AVG9\Firefox\components\avgssff.dll

FF - component: c:\programme\Mozilla Firefox\extensions\{B13721C7-F507-4982-B2E5-502A71474FED}\components\NPComponent.dll

FF - plugin: c:\dokumente und einstellungen\Kowa\Anwendungsdaten\Facebook\npfbplugin_1_0_3.dll

FF - plugin: c:\dokumente und einstellungen\Kowa\Anwendungsdaten\Mozilla\Firefox\Profiles\kdy7c0bt.default\extensions\firefox@tvunetworks.com\plugins\npTVUAx.dll

FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll

FF - plugin: c:\programme\Google\Google Updater\2.4.1739.5352\npCIDetect13.dll

FF - plugin: c:\programme\Google\Update\1.2.183.23\npGoogleOneClick8.dll

FF - plugin: c:\programme\Veetle\Player\npvlc.dll

FF - plugin: c:\programme\Veetle\plugins\npVeetle.dll

FF - plugin: c:\programme\Veetle\VLCBroadcast\npvbp.dll
 

---- FIREFOX Richtlinien ----

FF - user.js: network.http.max-persistent-connections-per-server - 4

FF - user.js: nglayout.initialpaint.delay - 600

FF - user.js: content.notify.interval - 600000

FF - user.js: content.max.tokenizing.time - 1800000

FF - user.js: content.switch.threshold - 600000

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 

c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 

c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);

.

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'winlogon.exe'(220)

c:\windows\system32\Ati2evxx.dll
 

- - - - - - - > 'explorer.exe'(3852)

c:\windows\system32\webcheck.dll

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

Zeit der Fertigstellung: 2010-10-13  22:09:46

ComboFix-quarantined-files.txt  2010-10-13 20:09

ComboFix2.txt  2010-10-13 18:48

ComboFix3.txt  2010-10-13 18:04
 

Vor Suchlauf: 5 Verzeichnis(se), 10.494.500.864 Bytes frei

Nach Suchlauf: 6 Verzeichnis(se), 10.482.610.176 Bytes frei
 

- - End Of File - - 6BE94FEF4DF4418BD977E090A662D92A

das qoobox-archiv ist leider 800 kb groß und er zeigt mir deshalb nen fehler beim hochladen an.. was tun?

gnupg nutze ich nicht - jedenfalls nicht dass ich wüsste.. doofe frage aber was macht man denn damit?

mails verschlüsseln, oder auch texte.
sorry ich hatte oben den falschen link gepostet.
archiv hier hochladen.
http://www.trojaner-board.de/54791-a...ner-board.html

so datei befindet sich auf dem upload channel :-) nein gnupg benutze ich nicht.. nicht dass ich wüsste.. ich benutze ein mail programm (incredimail) aber hab da nix besonderes bezüglich verschlüsselung eingestellt..

ok, öffne die microsoft update seite, hohle dir das servicepack 3 und sonstie wichtigen updates, danach n neues hijackthis log posten.

so habe das SP3 und dazugehörige Updates installiert und nochmal hijackthis durchlaufen lassen.. hier die logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 15:52:31, on 14.10.2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\AVG\AVG9\avgchsvx.exe

C:\Programme\AVG\AVG9\avgrsx.exe

C:\Programme\AVG\AVG9\avgcsrvx.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\AVG\AVG9\avgwdsvc.exe

C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

C:\WINDOWS\system32\Ati2evxx.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Java\jre6\bin\jqs.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe

C:\WINDOWS\System32\tcpsvcs.exe

C:\WINDOWS\System32\snmp.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe

C:\Programme\AVG\AVG9\avgnsx.exe

C:\PROGRA~1\AVG\AVG9\avgtray.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe

C:\Programme\AVG\AVG9\avgemc.exe

C:\Programme\AVG\AVG9\avgcsrvx.exe

C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesApp32.exe

C:\Programme\Sunbelt Software\Personal Firewall\SbPFCl.exe

C:\WINDOWS\system32\wuauclt.exe

C:\Dokumente und Einstellungen\Kowa\Desktop\HiJackThis204.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = hxxp://www.incredimail.com/page.asp?page=reg_success&lang=7&version=5002154&setup_id=7000002&aff_id=1&addon=IncrediMail

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: WormRadar.com IESiteBlocker.NavFilter - {3CA2F312-6F6E-4B53-A66E-4E65E497C8C0} - C:\Programme\AVG\AVG9\avgssie.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O4 - HKLM\..\Run: [AVG9_TRAY] C:\PROGRA~1\AVG\AVG9\avgtray.exe

O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe

O9 - Extra button: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: @C:\Programme\Messenger\Msgslang.dll,-61144 - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG9\avgpp.dll

O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL

O20 - Winlogon Notify: avgrsstarter - avgrsstx.dll (file missing)

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll

O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe

O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe

O23 - Service: AVG Free E-mail Scanner (avg9emc) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG\AVG9\avgemc.exe

O23 - Service: AVG Free WatchDog (avg9wd) - AVG Technologies CZ, s.r.o. - C:\Programme\AVG\AVG9\avgwdsvc.exe

O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe

O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: SbPF.Launcher - Sunbelt Software, Inc. - C:\Programme\Sunbelt Software\Personal Firewall\SbPFLnch.exe

O23 - Service: Sunbelt Personal Firewall 4 (SPF4) - Sunbelt Software, Inc. - C:\Programme\Sunbelt Software\Personal Firewall\SbPFSvc.exe

O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpDefragService.exe

O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - C:\Programme\TuneUp Utilities 2010\TuneUpUtilitiesService32.exe
 

--

End of file - 6192 bytes

ok hab AVG upgegraded und nen scan gemacht.. dabei hat er noch eine Bedrohung gefunden:

D:\System Volume Information\_restore{4795C74B-304A-4C4C-A8C8-20A54335B3AB}\RP52\A0006247.exe; [Trojaner: Generic10.ONI]