Browser Spinnen nach 2 Trojaner und internet wird regelmäßig langsamer

woodstock69 · 21.03.2009, 14:38

Nachdem ich ein programm ruintergeladen habe, bei dem auch ein crack für selbiges dabei war hat es nicht lange gedauert, bis mir AntiVir 2 trojaner gemeldet hat, die sich im crack befunden haben. Die beiden trojaner hab ich gelöscht, aber kurz danach fingen alle browser das spinnen an, ... sogar C: lässt sich nicht über arbeitsplatz öffnen, sondern nur per eingabe in der adressleiste... . updates und setup's können auch nicht aufs internet zugreifen. ich habe versucht an der hosts.txt datei was zu ändern, aber das hat auch nichts geändert. nach ein wenig googeln bin ich auf folgendes thema hier im forum gestoßen: http://www.trojaner-board.de/66727-mozilla-laed-keine-google-suchen-mehr-i-net-spinnt.html

daraufhin habe ich mir gedacht, geh ich erstmal ähnlich vor und poste meinen HijackThis Logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:27:20, on 21.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Protexis\License Service\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Picasa2\PicasaMediaDetector.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\Adobe\Photoshop Elements 6.0\apdproxy.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Programme\PowerISO\PWRISOVM.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\TrojanHunter 5.0\THGuard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\PROGRA~1\MUSICM~1\MUSICM~2\MMDiag.exe
C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
C:\Programme\Gigabyte\Gigabyte WB01GS & WI05GS mini Adapter\Installer\WINXP\GNConfig.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mim.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Java\jre1.6.0_01\bin\jucheck.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Picasa2\PicasaMediaDetector.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\Adobe\Photoshop Elements 6.0\apdproxy.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\PowerISO\PWRISOVM.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\TrojanHunter 5.0\THGuard.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
C:\Programme\Gigabyte\Gigabyte WB01GS & WI05GS mini Adapter\Installer\WINXP\GNConfig.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\Programme\Java\jre1.6.0_01\bin\jucheck.exe
c:\programme\avira\antivir personaledition classic\avcenter.exe
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\system32\notepad.exe
C:\Dokumente und Einstellungen\****\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://google.de/
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Softonic Deutsch Toolbar - {8dbb6d8e-e4a6-4e3b-9753-af78b226441c} - C:\Programme\Softonic_Deutsch\tbSoft.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 8\SnagItIEAddin.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O3 - Toolbar: Softonic Deutsch Toolbar - {8dbb6d8e-e4a6-4e3b-9753-af78b226441c} - C:\Programme\Softonic_Deutsch\tbSoft.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.EXE" /pause
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [MimBoot] C:\PROGRA~1\MUSICM~1\MUSICM~2\mimboot.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Programme\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [ISUSPM] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [DWQueuedReporting] "C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" -t
O4 - HKCU\..\Run: [ICQUpdater] "C:\DOKUME~1\****\LOKALE~1\Temp\IcqUpdater.exe" -upgrade 1896 "C:\DOKUME~1\****\LOKALE~1\Temp\6ACC2D~1 /silent" "C:\PROGRA~1\ICQ6\ICQ.exe loginmode=2 sname=493104408 pwdHashed=mzBqsE714l+fuJyZimrtq5swarBO9eJfn7icmYpq7as= status=2 visibility=4 " /autorun
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-527237240-764733703-725345543-1005\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Mondenkind')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Extended Clipboard.lnk = C:\Programme\MOette\ExtClipbrd\ExtClip.exe
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Startup: Xacti Screen Capture 1.1.lnk = ?
O4 - Global Startup: Device Detector 3.lnk = C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
O4 - Global Startup: Gigabyte Wireless Utility.lnk = C:\Programme\Gigabyte\Gigabyte WB01GS & WI05GS mini Adapter\Installer\WINXP\GNConfig.exe
O4 - Global Startup: Hama Wireless LAN Utility.lnk = C:\Programme\Hama\Common\RaUI.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F554} (Flatcast Viewer 4.16) - h**p://www.flatcast.info/objects/NpFv41629.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CCS\Services\Tcpip\..\{D50BBDF3-2141-4474-B7A4-8F1DABBFB621}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS3\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - C:\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: License Management Service ESD - element5 - C:\Programme\Gemeinsame Dateien\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\Programme\Gemeinsame Dateien\Protexis\License Service\PSIService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 11574 bytes

danke euch

!
grüße
ama

21.03.2009, 15:37

Bitte denke jetzt nichts schlechtes von mir, aber solange Du diese Anleitung hier nicht befolgst kann dir noch niemand Helfen.
Das musste ich bei meinem ersten Post auch feststellen.
Ist nur nett von mir gemeint. Bin zwar auch kein Experte aber, ich denke mal das hier mehr Infos gewünscht sind.

Angel21 · 21.03.2009, 15:43

Hallöchen,

schlechte Nachricht für Dich

Zitat:

O17 - HKLM\System\CCS\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CCS\Services\Tcpip\..\{D50BBDF3-2141-4474-B7A4-8F1DABBFB621}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS1\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS3\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CS3\Services\Tcpip\..\{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}: NameServer = 85.255.112.95,85.255.112.171
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: NameServer = 85.255.112.95,85.255.112.171

Du hast ein Trojan.DNSchanger drauf, bitte KEIN Onlinebanking, eBay, Amazon etc. pp. betreiben, von einem SAUBEREN Rechner aus die Kenn- und Passwörter ändern. Bei Auffälligkeiten die Bank informieren und das Konto sperren lassen. All deine Datentransfers können mitgelesen werden!

Lasse bitte sofort GMER laufen. GMER - Files <<< hier zu finden.

Bitte über ALLE Partitionen laufen lassen und auf Scan gehen und danach das Logfile hier posten.

woodstock69 · 23.03.2009, 12:57

danke für die hinweise! es hat etwas gedauert, weil mir das programm und/oder pc ein paar mal dazwischen abgestürtzt ist. Hier nun der GMER Logfile:

Code:

ATTFilter

GMER 1.0.15.14944 - http://www.gmer.net
Rootkit scan 2009-03-23 12:51:17
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.15 ----

SSDT      spap.sys                                                                                               ZwCreateKey [0xF72BC0E0]                                                                <-- ROOTKIT !!!
SSDT      F7A8F0BC                                                                                               ZwCreateThread
SSDT      spap.sys                                                                                               ZwEnumerateKey [0xF72DACA2]                                                             <-- ROOTKIT !!!
SSDT      spap.sys                                                                                               ZwEnumerateValueKey [0xF72DB030]                                                        <-- ROOTKIT !!!
SSDT      spap.sys                                                                                               ZwOpenKey [0xF72BC0C0]                                                                  <-- ROOTKIT !!!
SSDT      F7A8F0A8                                                                                               ZwOpenProcess
SSDT      F7A8F0AD                                                                                               ZwOpenThread
SSDT      spap.sys                                                                                               ZwQueryKey [0xF72DB108]                                                                 <-- ROOTKIT !!!
SSDT      spap.sys                                                                                               ZwQueryValueKey [0xF72DAF88]                                                            <-- ROOTKIT !!!
SSDT      spap.sys                                                                                               ZwSetValueKey [0xF72DB19A]                                                              <-- ROOTKIT !!!
SSDT      F7A8F0B7                                                                                               ZwTerminateProcess
SSDT      F7A8F0B2                                                                                               ZwWriteVirtualMemory

INT 0x62  ?                                                                                                      8616CBF8
INT 0x63  ?                                                                                                      85F4CF00
INT 0x83  ?                                                                                                      8616CBF8
INT 0x83  ?                                                                                                      8616CBF8
INT 0x83  ?                                                                                                      8616CBF8
INT 0xB4  ?                                                                                                      85F4CF00

Code      85DDEBC8                                                                                               ZwFlushInstructionCache
Code      8600CAD6                                                                                               IofCallDriver
Code      85E79E56                                                                                               IofCompleteRequest

---- Kernel code sections - GMER 1.0.15 ----

.text     ntkrnlpa.exe!IofCallDriver                                                                             804EE130 5 Bytes  JMP 8600CADB 
.text     ntkrnlpa.exe!IofCompleteRequest                                                                        804EE1C0 5 Bytes  JMP 85E79E5B 
PAGE      ntkrnlpa.exe!ZwFlushInstructionCache                                                                   805ABEC4 5 Bytes  JMP 85DDEBCC 
?         spap.sys                                                                                               Das System kann die angegebene Datei nicht finden. !
.text     USBPORT.SYS!DllUnload                                                                                  F63848AC 5 Bytes  JMP 85F4C4E0 

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT       atapi.sys[HAL.dll!READ_PORT_UCHAR]                                                                     [F72BD040] spap.sys
IAT       atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT]                                                             [F72BD13C] spap.sys
IAT       atapi.sys[HAL.dll!READ_PORT_USHORT]                                                                    [F72BD0BE] spap.sys
IAT       atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT]                                                            [F72BD7FC] spap.sys
IAT       atapi.sys[HAL.dll!WRITE_PORT_UCHAR]                                                                    [F72BD6D2] spap.sys
IAT       \SystemRoot\system32\DRIVERS\i8042prt.sys[HAL.dll!READ_PORT_UCHAR]                                     [F72CD048] spap.sys

---- Devices - GMER 1.0.15 ----

Device    \FileSystem\Ntfs \Ntfs                                                                                 8616B1F8
Device    \Driver\usbohci \Device\USBPDO-0                                                                       85F481F8
Device    \Driver\PCI_PNP0960 \Device\00000044                                                                   spap.sys
Device    \Driver\usbehci \Device\USBPDO-1                                                                       85F3C1F8
Device    \Driver\Ftdisk \Device\HarddiskVolume1                                                                 861DC1F8
Device    \Driver\Cdrom \Device\CdRom0                                                                           85F301F8
Device    \Driver\Cdrom \Device\CdRom1                                                                           85F301F8
Device    \Driver\NetBT \Device\NetBt_Wins_Export                                                                853901F8
Device    \Driver\NetBT \Device\NetBT_Tcpip_{32E780BE-F6AA-4753-8EE6-4F33F2A925A5}                               853901F8
Device    \Driver\NetBT \Device\NetbiosSmb                                                                       853901F8
Device    \Driver\sptd \Device\304829710                                                                         spap.sys
Device    \Driver\NetBT \Device\NetBT_Tcpip_{D50BBDF3-2141-4474-B7A4-8F1DABBFB621}                               853901F8
Device    \Driver\usbohci \Device\USBFDO-0                                                                       85F481F8
Device    \Driver\usbehci \Device\USBFDO-1                                                                       85F3C1F8
Device    \FileSystem\MRxSmb \Device\LanmanDatagramReceiver                                                      853731F8
Device    \FileSystem\MRxSmb \Device\LanmanRedirector                                                            853731F8
Device    \Driver\Ftdisk \Device\FtControl                                                                       861DC1F8
Device    \Driver\ac9olck6 \Device\Scsi\ac9olck61Port4Path0Target0Lun0                                           85EA91F8
Device    \Driver\ac9olck6 \Device\Scsi\ac9olck61                                                                85EA91F8
Device    \FileSystem\Cdfs \Cdfs                                                                                 85FC6500

---- Modules - GMER 1.0.15 ----

Module    \systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys (*** hidden *** )              F3739000-F3750000 (94208 bytes)                                                        

---- Services - GMER 1.0.15 ----

Service   C:\WINDOWS\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys (*** hidden *** )               [SYSTEM] gaopdxserv.sys                                                                 <-- ROOTKIT !!!

---- Registry - GMER 1.0.15 ----

Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys                                                  
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@start                                            1
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@type                                             1
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@imagepath                                        \systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys@group                                            file system
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules                                          
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules@gaopdxserv                               \\?\globalroot\systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg       HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys\modules@gaopdxl                                  \\?\globalroot\systemroot\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1                                                     771343423
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2                                                     285507792
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0                                                     1
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                       
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                    C:\Programme\DAEMON Tools Lite\
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                    0
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                 0x8C 0x93 0x85 0x2B ...
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001              
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0           0x20 0x01 0x00 0x00 ...
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh        0xA4 0xE1 0x17 0xC6 ...
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40        
Reg       HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh  0x1C 0xF5 0x6D 0xAA ...
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                           
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                        C:\Programme\DAEMON Tools Lite\
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                        0
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                     0x8C 0x93 0x85 0x2B ...
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                  
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0               0x20 0x01 0x00 0x00 ...
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh            0xA4 0xE1 0x17 0xC6 ...
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40            
Reg       HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh      0x1C 0xF5 0x6D 0xAA ...
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys                                                      
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@start                                                1
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@type                                                 1
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@imagepath                                            \systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@group                                                file system
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules                                              
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules@gaopdxserv                                   \\?\globalroot\systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg       HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules@gaopdxl                                      \\?\globalroot\systemroot\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4                           
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@p0                        C:\Programme\DAEMON Tools Lite\
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@h0                        0
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4@khjeh                     0x8C 0x93 0x85 0x2B ...
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001                  
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@a0               0x20 0x01 0x00 0x00 ...
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001@khjeh            0xA4 0xE1 0x17 0xC6 ...
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40            
Reg       HKLM\SYSTEM\ControlSet003\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40@khjeh      0x1C 0xF5 0x6D 0xAA ...

---- Files - GMER 1.0.15 ----

File      C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\tmp114.tmp                            (size mismatch) 52224/0 bytes executable
File      C:\WINDOWS\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys                                 40960 bytes executable                                                                  <-- ROOTKIT !!!
File      C:\WINDOWS\system32\drivers\gaopdxjtydddvcvjlabocxixdjuunalcjdsxpt.sys                                 40960 bytes executable
File      C:\WINDOWS\system32\drivers\gaopdxlxxoucpsxkfonyunkvkinbqlmenroful.sys                                 40960 bytes executable
File      C:\WINDOWS\system32\drivers\gaopdxuwgqtqgpxlgseutahntdaqqohwxbdkxx.sys                                 45056 bytes executable
File      C:\WINDOWS\system32\gaopdxcounter                                                                      4 bytes
File      C:\WINDOWS\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll                                         19456 bytes executable

---- EOF - GMER 1.0.15 ----

danke

!
ama

Angel21 · 23.03.2009, 13:41

Hallo,

Zitat:

File C:\WINDOWS\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys 40960 bytes executable <-- ROOTKIT !!!
File C:\WINDOWS\system32\drivers\gaopdxjtydddvcvjlabocxixdjuunalcjdsxpt.sys 40960 bytes executable
File C:\WINDOWS\system32\drivers\gaopdxlxxoucpsxkfonyunkvkinbqlmenroful.sys 40960 bytes executable
File C:\WINDOWS\system32\drivers\gaopdxuwgqtqgpxlgseutahntdaqqohwxbdkxx.sys 45056 bytes executable
File C:\WINDOWS\system32\gaopdxcounter 4 bytes
File C:\WINDOWS\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll

Zitat:

Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@start 1
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@type 1
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@imagepath \systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys@group file system
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules@gaopdxserv \\?\globalroot\systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
Reg HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys\modules@gaopdxl

Diese ganzen Gao Einträge sind Schädliche Einträge.
Die müssen unbedingt weg.

EDIT: Lade dir von dieser Site http://virus-protect.org/artikel/tools/mbr.html unbedingt MBR.exe herunter. Mal sehen ob mit dem Master Boot Record alles okay ist.

Und speichere bitte das Logfile und poste es hier.

Das ist sehr wichtig für den weiteren Verlauf.

Angel21 · 23.03.2009, 17:24

Ich gebe dir gleich ein gutes Tool, damit kannst du die Einträge (Rootkits) entfernen.

Angel21 · 23.03.2009, 17:52

Lade dir hier Avenger runter >> The Avenger

Öffne jetzt das Programm Avenger.

Du siehst jetzt ein weißen Scriptfeld.

Dort steht Input Script here:

Kopiere jetzt den Inhalt der Codebox mit Strg +C

Code:

ATTFilter

Drivers to delete:
gaopdxserv.sys

Files to delete:
C:\WINDOWS\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys
C:\WINDOWS\system32\drivers\gaopdxjtydddvcvjlabocxixdjuunalcjdsxpt.sys
C:\WINDOWS\system32\drivers\gaopdxlxxoucpsxkfonyunkvkinbqlmenroful.sys
C:\WINDOWS\system32\drivers\gaopdxuwgqtqgpxlgseutahntdaqqohwxbdkxx.sys
C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\tmp114.tmp
C:\WINDOWS\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll
C:\WINDOWS\system32\gaopdxcounter

Registry keys to delete:
HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys
HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys

und füge das ganze mit Strg + V in dieses Scriptfeld ein.
Achte darauf, dass der Inhalt der Codebox mit dem Scriptfeld übereinstimmt. Es kommt beim Kopieren des Codebox Inhaltes manchmal zu einer Lücke zwischen den Buchstaben. Falls dies so ist, korrigiere das bevor du auf EXECUTE drückst.

Der Avenger wird im Rahmen seiner Arbeit mehrmals booten, teilweise siehst du auch nur einen schwarzen Bildschirm. Das muss so sein, da das rootkit nur beseitigt werden kann bevor Windows komplett bootet. Also nicht erschrecken.. Selten, aber möglich bootet Windows Vista in einen Bluescreen. Auch dann kein Grund zur Sorge.

Nach Abschluß dieser Sache bekommst du ein Logfile angezeigt. Poste es bitte hier.

Zu diesem Zeitpunkt ist auch möglich, dass sich Avira mit Virenfunden meldet. Lasse diese Viren dann LÖSCHEN, anschließend löscht du die Quarantäne.

Anschließend wirst du das Programm Blacklight ausführen. Reporte das Ergebnis hier.

Weiter geht es dann wieder mit MalwareBytes. Auch hier lässt du eventuelle Funde komplett löschen. Quarantäne ebenfalls. Poste das Ergebnis hier.

Jetzt setzt du nochmals CCleaner ein und zeigst mir ein dann ein frisches Hijack this Log.

woodstock69 · 24.03.2009, 11:14

ok, schritt nummer 1; The Avenger - LogFile:

Code:

ATTFilter

Logfile of The Avenger Version 2.0, (c) by Swandog46
h**p://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "gaopdxserv.sys" found!
ImagePath:  \systemroot\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys 
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "gaopdxserv.sys" deleted successfully.
File "C:\WINDOWS\system32\drivers\gaopdxectyaygusjkvmkirwlkdqupuaatkywlf.sys" deleted 

successfully.
File "C:\WINDOWS\system32\drivers\gaopdxjtydddvcvjlabocxixdjuunalcjdsxpt.sys" deleted 

successfully.
File "C:\WINDOWS\system32\drivers\gaopdxlxxoucpsxkfonyunkvkinbqlmenroful.sys" deleted 

successfully.
File "C:\WINDOWS\system32\drivers\gaopdxuwgqtqgpxlgseutahntdaqqohwxbdkxx.sys" deleted 

successfully.
File "C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\tmp114.tmp" deleted 

successfully.
File "C:\WINDOWS\system32\gaopdxmilxnuukpaopdkonyxqjyktueqnqshig.dll" deleted 

successfully.
File "C:\WINDOWS\system32\gaopdxcounter" deleted successfully.

Error:  registry key "HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys" not found!
Deletion of registry key "HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

Registry key "HKLM\SYSTEM\ControlSet003\Services\gaopdxserv.sys" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.

Allerdings hat er nur einmal gebootet und danach direkt den logfile angezeigt. updates konnte antivir immer noch nicht machen und hat (genauso wie blacklight bis jetzt) auch keine viren gefunden. ich habe keine ahnung, in wie weit das mit dem "Error" zusammen hängt oder ob das ganz normal ist

.

Redwulf · 24.03.2009, 13:18

das ist normal, gut gemacht Angel

rootkit erwischt........

myrtille · 24.03.2009, 13:23

Hi,

Code:

ATTFilter

Drivers to delete:
gaopdxserv.sys

löscht:

Code:

ATTFilter

HKLM\SYSTEM\CurrentControlSet\Services\gaopdxserv.sys

daher wurde der Eintrag von Avenger nicht gefunden.

lg myrtille

Redwulf · 24.03.2009, 22:08

Sicher ist sicher......

woodstock69 · 25.03.2009, 11:00

wow, das internet rast ja richtig

ich danke euch für die großartige hilfe!

grüße
ama

HijackThis LogFile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:49:59, on 25.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Protexis\License Service\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\Adobe\Photoshop Elements 6.0\apdproxy.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\PowerISO\PWRISOVM.EXE
C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe
C:\PROGRA~1\MUSICM~1\MUSICM~2\MMDiag.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mim.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
C:\Programme\Gigabyte\Gigabyte WB01GS & WI05GS mini Adapter\Installer\WINXP\GNConfig.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.exe
C:\Programme\OpenOffice.org 2.0\program\soffice.BIN
C:\Programme\Java\jre1.6.0_01\bin\jucheck.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\update.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Dokumente und Einstellungen\****\Desktop\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://google.de/
O2 - BHO: SnagIt Toolbar Loader - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 8\SnagItBHO.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Softonic Deutsch Toolbar - {8dbb6d8e-e4a6-4e3b-9753-af78b226441c} - C:\Programme\Softonic_Deutsch\tbSoft.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 8\SnagItIEAddin.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O3 - Toolbar: Softonic Deutsch Toolbar - {8dbb6d8e-e4a6-4e3b-9753-af78b226441c} - C:\Programme\Softonic_Deutsch\tbSoft.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Elements 6.0\apdproxy.exe"
O4 - HKLM\..\Run: [ISUSPM Startup] C:\PROGRA~1\GEMEIN~1\INSTAL~1\UPDATE~1\ISUSPM.exe -startup
O4 - HKLM\..\Run: [ISUSScheduler] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
O4 - HKLM\..\Run: [MimBoot] C:\PROGRA~1\MUSICM~1\MUSICM~2\mimboot.exe
O4 - HKLM\..\Run: [EPSON Stylus DX3800 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIACE.EXE /P26 "EPSON Stylus DX3800 Series" /O6 "USB001" /M "Stylus DX3800"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [PWRISOVM.EXE] C:\Programme\PowerISO\PWRISOVM.EXE
O4 - HKLM\..\Run: [ISUSPM] "C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\ISUSPM.exe" -scheduler
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [DWQueuedReporting] "C:\PROGRA~1\GEMEIN~1\MICROS~1\DW\dwtrig20.exe" -t
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Extended Clipboard.lnk = C:\Programme\MOette\ExtClipbrd\ExtClip.exe
O4 - Startup: OpenOffice.org 2.0.lnk = C:\Programme\OpenOffice.org 2.0\program\quickstart.exe
O4 - Startup: Xacti Screen Capture 1.1.lnk = ?
O4 - Global Startup: Device Detector 3.lnk = C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
O4 - Global Startup: Gigabyte Wireless Utility.lnk = C:\Programme\Gigabyte\Gigabyte WB01GS & WI05GS mini Adapter\Installer\WINXP\GNConfig.exe
O4 - Global Startup: Hama Wireless LAN Utility.lnk = C:\Programme\Hama\Common\RaUI.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F554} (Flatcast Viewer 4.16) - h**p://www.flatcast.info/objects/NpFv41629.dll
O23 - Service: Adobe Active File Monitor V6 (AdobeActiveFileMonitor6.0) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 6.0\PhotoshopElementsFileAgent.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - Unknown owner - C:\MAGIX\Common\Database\bin\fbserver.exe (file missing)
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: IviRegMgr - InterVideo - C:\Programme\Gemeinsame Dateien\InterVideo\RegMgr\iviRegMgr.exe
O23 - Service: License Management Service ESD - element5 - C:\Programme\Gemeinsame Dateien\element5 Shared\Service\Licence Manager ESD.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\Programme\Gemeinsame Dateien\Protexis\License Service\PSIService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe

--
End of file - 8839 bytes

Redwulf · 25.03.2009, 11:09

Ja nicht?

Fixe bitte die folgenden Einträge:

Code:

ATTFilter

O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)  
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe (file missing)

Anschließend BLACKLIGHT laufen lassen und reporten....

Danach lässt du bitte nochmal Superantispyware über dein gesamtes System laufen. Lies dir zuvor diese Anleitung aber durch.

Reporte auch dieses Ergebnis

Angel21 · 25.03.2009, 11:21

Bitteschön, haben wir gerne gemacht, wie gesagt nochmal blacklight und SUPERAntiSpyware laufen lassen

woodstock69 · 30.03.2009, 06:30

ich glaube, ich sollte alle diese dinge nocheinal von vorne starten, denn anfangs (bevor ich mich hier angemeldet habe) habe ich einen usb stick eingesteckt und der trojaner hat auf diesem einen ordner erstellt und sich (soweit ich das beurteilen kann) dort ebenfalls drauf kopiert. nun habe ich, nachdem alles wieder mit meinem pc funktioniert hat und ich alle möglichen scans, die ihr mir genannt habt ausgeführt habe, ohne nachzudenken den stick reingesteckt, weil ich was drauf abspeichern wollte, ... nun fangen die üblichen "symptome" wieder an; "falsche seiten öffnen sich und das auch auf dem arbeitsplatz, nicht nur bei internetadressen" und "das internet wird wieder langsamer". Ich habe versucht HijackThis laufen zu lassen, aber da werden mir keine laufenden prozesse angezeigt, die den stick betreffen... was sollte ich jetzt tun?

21.03.2009, 15:37	#2
Debakel27 Gast	Browser Spinnen nach 2 Trojaner und internet wird regelmäßig langsamer Bitte denke jetzt nichts schlechtes von mir, aber solange Du diese Anleitung hier nicht befolgst kann dir noch niemand Helfen. Das musste ich bei meinem ersten Post auch feststellen. Ist nur nett von mir gemeint. Bin zwar auch kein Experte aber, ich denke mal das hier mehr Infos gewünscht sind. __________________

Browser Spinnen nach 2 Trojaner und internet wird regelmäßig langsamer

Log-Analyse und Auswertung: Browser Spinnen nach 2 Trojaner und internet wird regelmäßig langsamer