Hallo Ihr Lieben,

vor kurzem hatte ich es öfter, dass der PC plötzlich die einfachsten Sachen wie Browser oder Windows Eplorer öffnen oder schließen sehr langsam machte. Es sah fast so aus als wüde er sich aufhängen. NAch Neustart war alles erstmal ok bis zum nächsten mal.
Dann mit Spyware Doctor gescant und 2 x clauth.dll Dateien in G:\WINDOWS\system32\drivers gefunden (kann leider nicht mehr mit 100%er Sicherheit sagen ob es dieser Ordern von Windows war, da ich das Prog deinstalliert und stattdessen Spybot S&D hab) und gefixt. Seitdem ist die Erscheinung der Langsamkeit verschwunden.

Seit neustem kommt es vor dass Firefox manchmal ein neues Fenster mit derselben Seite öffnet wenn ich den Tab oben anklick oder einen Link, obwohl ich die Option "in neuem Tab öffnen" eingestellt hab. Dies geschieht auf, aus meiner Sicht, "vertrauenswürdigen Seiten" wie den großen freemailanbietern etc.
Nun Scan mit Malwarebytes gemacht und 3 Funde gefixt. Logfile angehängt.
Scan mit OTL gemacht und beide Log-Dateien angehängt.

Muss ich XP SP3 neu aufsetzen?

Vielen Dank im Voraus.

Noch ein Nachtrag:

mit antivir gescant, keine Funde.
Die Objekte, die Malwarebytes gefunden hat und die ich gefixt habe, haben sich selbst nach Neustart wiederhergestellt, Systemwiederherstellung war deaktiviert, als ich sie gefixt hatte.

Bei anschließendem vollständigem Scan mit Malwarebytes keine Funde, außer diese 3 Objekte, die ich dann so belassen habe.

Lieben Gruß
ronaja

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

• Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
  Tool
  
  Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  
• Hinweis:
  Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
  
• Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.

Nach dem Combofixscan hatte ich eine ie8.exe auf dem Desktop (keine Verknüpfung).
Ich habe in der Browseradressleiste hin und wieder die Adresse zu meiner Easybox die ich als Routerfirewall direkt hinterm PC habe. Durch die Malware wurde die Startseite im IE und Firefox geändert auf diese Adresse. Dann plötzlich ist wieder die von mir komfigurierte webseite die startadresse.

Die 3 "Entfernte verwaiste Registrierungseinträge" untem im Log können ignoriert werden, weil ich selbst die avgnt.exe (Guard von AntiVir) umbenannt habe vor dem Combofixscan, weil der Guard trotz Deaktivierung und Autostartdeaktiverung (anschließender Neustart) von Combofix als laufendes Prog erkannt wurde vorm Scan. Der Guard wurde eigenartiger Weise nicht in der Taskleiste angezeigt. nach umbenennen wurde er nicht mehr geladen.
realsched.exe hab ich selbst umbenannt, weil sie immer startete, wenn ich den player öffnete und von der Firewall bekam ich immer die frage nach internetverbindung für die .exe, obwohl ich die settings aug "blockieren" gesetzt hab.
Hijackthis ist in einen andern Ordner von mir verschoben worden.

Hier das Log:
Combofix Logfile:

ComboFix 12-01-02.01 - Stefan 2 03.01.2012  23:11:42.1.1 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.511.272 [GMT 1:00]
ausgeführt von:: g:\dokumente und einstellungen\Stefan 2\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
FW: PC Tools Firewall Plus *Enabled* {ABBD5028-5A95-4B6D-996E-98D64AE88D52}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
E:\install.exe
g:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
g:\dokumente und einstellungen\Stefan 2\WINDOWS
g:\dokumente und einstellungen\Stefan\WINDOWS
g:\windows\pkunzip.pif
g:\windows\pkzip.pif
g:\windows\system32\lsprst7.dll
g:\windows\system32\ssprs.dll
g:\windows\unin0407.exe
.
.
(((((((((((((((((((((((   Dateien erstellt von 2011-12-03 bis 2012-01-03  ))))))))))))))))))))))))))))))
.
.
2012-01-03 17:20 . 2012-01-03 17:20	--------	d-----w-	g:\windows\system32\wbem\Repository
2012-01-03 17:19 . 2012-01-03 17:19	--------	d-----w-	g:\windows\system32\CatRoot_bak
2012-01-01 17:08 . 2012-01-01 17:08	--------	d-----w-	g:\dokumente und einstellungen\Stefan\Anwendungsdaten\Malwarebytes
2011-12-31 04:18 . 2011-12-31 04:18	--------	d-----w-	g:\windows\system32\LogFiles
2011-12-31 00:40 . 2011-12-31 00:40	--------	d-----w-	g:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-12-31 00:40 . 2011-12-10 14:24	20464	----a-w-	g:\windows\system32\drivers\mbam.sys
2011-12-26 22:01 . 2011-12-28 03:57	--------	d--h--w-	g:\windows\system32\GroupPolicy
2011-12-24 03:17 . 2012-01-03 22:16	--------	d-----w-	g:\dokumente und einstellungen\Stefan 2
2011-12-23 18:48 . 2011-12-23 18:55	--------	d-----w-	g:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2011-12-10 18:47 . 2008-07-28 10:29	160792	----a-w-	g:\windows\system32\drivers\pctfw2.sys
2011-12-10 18:47 . 2008-07-17 15:53	93952	----a-w-	g:\windows\system32\drivers\pctfw.sys
2011-12-10 18:47 . 2008-08-05 14:58	58136	----a-w-	g:\windows\system32\drivers\FWAuthdriver.sys
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-10-29 19:28 . 2011-06-11 17:43	414368	----a-w-	g:\windows\system32\FlashPlayerCPLApp.cpl
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ATIPTA"="g:\programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-11-30 344064]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="g:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
.
[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk *\0sprestrt
.
[HKLM\~\startupfolder\G:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^ScanPanel.lnk]
.
[HKLM\~\startupfolder\G:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VMN Toolbox 4.lnk]
.
[HKLM\~\startupfolder\G:^Dokumente und Einstellungen^Stefan^Startmenü^Programme^Autostart^Adobe Gamma.lnk]
path=g:\dokumente und einstellungen\Stefan\Startmenü\Programme\Autostart\Adobe Gamma.lnk
backup=g:\windows\pss\Adobe Gamma.lnkStartup
.
[HKLM\~\startupfolder\G:^Dokumente und Einstellungen^Stefan^Startmenü^Programme^Autostart^MagicDisc.lnk]
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
g:\windows\system32\dumprep 0 -k [X]
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\00PCTFW]
2008-08-05 14:58	2611096	----a-w-	d:\programme\Helferlein\PC Tools\install\FirewallGUI.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2007-05-11 01:06	40048	----a-w-	e:\programme\Adobe 8\install\Reader\reader_sl.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CorelCorelDRAW10 Reminder]
2006-05-12 21:32	208896	----a-w-	e:\programme\Corel\Graphics10\Register\NAVBrowser.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\kX Mixer]
2004-02-16 22:19	438784	----a-w-	g:\windows\system32\kxmixer.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
2007-03-01 14:57	153136	----a-w-	g:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
.
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
2009-03-05 15:07	2260480	--sha-r-	d:\programme\Helferlein\Spywarescanner\Spybot\install\TeaTimer.exe
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"g:\\WINDOWS\\Network Diagnostic\\xpnetdiag.exe"=
"g:\\WINDOWS\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"d:\\Programme\\Helferlein\\TorrentClient\\utorrent.exe"=
"g:\\Programme\\Skype\\Phone\\Skype.exe"=
"d:\\Programme\\Helferlein\\Total Commander\\totalcmd\\TOTALCMD.EXE"=
.
R1 pctfw2;pctfw2;g:\windows\system32\drivers\pctfw2.sys [10.12.2011 19:47 160792]
R2 AntiVirSchedulerService;Avira AntiVir Planer;g:\programme\Avira\AntiVir Desktop\sched.exe [06.12.2009 18:08 136360]
R3 FWAuth;FWAuth Driver;g:\windows\system32\drivers\FWAuthdriver.sys [10.12.2011 19:47 58136]
R3 kxwdmdrv;kX WDM Driver Service;g:\windows\system32\drivers\kx.sys [16.02.2004 23:19 571776]
R3 SampleScanner;USB Flatbed Scanner Driver;g:\windows\system32\drivers\ArtecGT.sys [05.12.2009 03:53 18120]
S2 gupdate;Google Update Service (gupdate); [x]
S2 USBHSB;GeneLink File Transfer Driver;g:\windows\system32\drivers\usbhsb.sys [23.09.2009 00:22 18690]
S3 gupdatem;Google Update-Dienst (gupdatem); [x]
S4 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;i:\programme\MAGIX\Common\Database\bin\fbserver.exe [10.01.2009 19:15 1527900]
S4 pctgntdi;pctgntdi;\??\g:\windows\system32\drivers\pctgntdi.sys --> g:\windows\system32\drivers\pctgntdi.sys [?]
S4 pctplfw;pctplfw;\??\g:\windows\system32\drivers\pctplfw.sys --> g:\windows\system32\drivers\pctplfw.sys [?]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.lablue.de/
TCP: DhcpNameServer = 192.168.2.1
DPF: DirectAnimation Java Classes - file://g:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://g:\windows\Java\classes\xmldso.cab
FF - ProfilePath - g:\dokumente und einstellungen\Stefan 2\Anwendungsdaten\Mozilla\Firefox\Profiles\cwislm4b.default\
FF - prefs.js: browser.startup.homepage - hxxps://communicator.strato.de/01_strato_files/serv_generic_msg.html?locale=de&logout=1&sesout=1|LotusCafe- Forum für ganzheitliche Partnersuche | Fehler beim Einloggen!
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - g:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Quick Starter: jqs@sun.com - g:\programme\Java\jre6\lib\deploy\jqs\ff
FF - Ext: NoScript: {73a6fe31-595d-460b-a920-fcc0f8843232} - %profile%\extensions\{73a6fe31-595d-460b-a920-fcc0f8843232}
FF - Ext: QuickJava: {E6C1199F-E687-42da-8C24-E7770CC3AE66} - %profile%\extensions\{E6C1199F-E687-42da-8C24-E7770CC3AE66}
FF - Ext: MouseZoom: {28FAD68E-4001-48d5-B994-68069F7CFB1D} - %profile%\extensions\{28FAD68E-4001-48d5-B994-68069F7CFB1D}
FF - Ext: RefControl: {455D905A-D37C-4643-A9E2-F6FEFAA0424A} - %profile%\extensions\{455D905A-D37C-4643-A9E2-F6FEFAA0424A}
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
MSConfigStartUp-avgnt - g:\programme\Avira\AntiVir Desktop\avgnt.exe
MSConfigStartUp-TkBellExe - g:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
AddRemove-HijackThis - d:\programme\Helferlein\VirenScanner\HiJackThis\HijackThis.exe
.
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2012-01-03 23:17
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse... 
.
Scanne versteckte Autostarteinträge... 
.
Scanne versteckte Dateien... 
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'winlogon.exe'(824)
g:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2012-01-03  23:19:05
ComboFix-quarantined-files.txt  2012-01-03 22:19
.
Vor Suchlauf: 2.655.723.520 Bytes frei
Nach Suchlauf: 2.620.858.368 Bytes frei
.
- - End Of File - - E0B1AE5D44A1FBF6559FABC6BC6835E8
         

--- --- ---

Auch nach Combofix erscheint die Adresse meiner Easybox manchmal plötzlich im Browser. Jedoch ist der Starteintrag in der Browserkonfiguration immer noch unverändert die Adresse die ich als Startseite konfiguriert hatte. Zum besseren Verständnis: die Malware hatte den eintrag in der Browserkonfig nie geändert, immer nur in der Adressleiste wurde die Startadresse mit der meiner Easybox ersetzt.
Wenn ich den IE öffne mit Internetverbindung auf eine vertrauenswürdige Seite, erscheint die MEldung "Skripte sind normalerweise Sicher, soll die Ausführung von Scripten zugelassen werden?" und bei jedem klick auf ja oder nein erscheint die Meldung immer wieder.

realsched.exe öffnet natürlich, wenn du den real player nutzt....
warum startest du nen player den du gar nicht nutzen willst?
mal ne kurze beschreibung:
"realsched.exe" ist Teil des RealPlayers von RealNetworks, Inc. Es ist der Planer von RealNetworks, der verwendet wird, um Audio- und Videodateien auf einem
Windows-System abzuspielen.

deswegen halte ich nichts von firewalls, da die meisten user die meldungen eh nicht interpretieren können und dann, wenn es wirklich drauf ankommt, firewalls eh versagen.
außerdem blocken firewalls bei privat personen meist eh nur blödsinn wie port scans.
desweiteren hast du ja nen router + windows firewall.
bitte benenne nicht irgendwas um, damit beeinträchtigst du die funktionsweise der programme, avira wird jetzt nicht ordnungsgemäß funktioonieren, deinstalieren und neu instalieren
bitte mal Malwarebytes updaten, komplett scan machen log posten.
weitere frage:
nmachst du onlinebanking einkäufe sonstige zahlungsabwicklungen oder ähnlich wichtiges mit dem pc?

Real kann man auch nutzen ohne internet, für mp3 CD etc. und das tu ich ausschließlich.
habe die realsched.exe wieder umbenannt und real neu installiert.
selbstredent hab ich die antivir-dateien nach Combofix wieder umbenannt und antivir deinstalliert und neu installiert. sorry, hätte ich vielleicht noch schreiben sollen.
3 Objekte (die vom letzten mal) gefunden und gefixt.
Hier ist das Log:

Malwarebytes Anti-Malware 1.60.0.1800
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: v2012.01.04.01

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Stefan 2 :: STEFAN-60EDF8ZU [Administrator]

04.01.2012 16:02:46
mbam-log-2012-01-04 (16-02-46).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 377280
Laufzeit: 1 Stunde(n), 24 Minute(n), 58 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 3
HKLM\SOFTWARE\Microsoft\Security Center|AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Security Center|FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Security Center|UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)



ich hab onlinebanking heute sperren lassen und mach derzeit nur telefonbanking, wo ich Kontonr. und die pin per sprache eingebe.
ansonsten hab ich nur sofortüberweisung hin und wieder genutzt - mach ich jetzt natürlich erstmal nicht mehr.
ich werde ebay-account vorrübergehend sperren lassen.

hi,
dann musst du mal im real player gucken ob es internet funktionen gibt wie das abfragen von album infos etc und diese deaktivieren, bzw den player wechseln, zu vlc zb
ich würde auf jeden fall nicht darauf bauen das die firewall ein programm, welchem ich nicht traue, den kompletten zugriff aufs inet verweigern kann, logischer wäre es dann eher das programm zu deinstalieren
wenn du onlinebanking machst, wäre es aber tatsächlich besser das system komplett neu aufzusetzen, nach datensicherung und es dann vernünftig abzusichern.

ich bekomm keine verbindung mehr mit der easybox. ich glaube es ist kein keylogger o.ä. denn er hätte schon längst meine passwörter nutzen sich einloggen und ändern können.
es ist ein Prog, dass sich übern Browser mit der easybox verbinden will/verbindet und dort evtl. die konfig ändern und den WLAN Zugang knacken und nutzen.
nach neustart der easybox vor ein paar tagen hatte ich gesehen, dass die WLAN LED leuchtete, obwohl ich den Schalter auf AUS gestellt hatte und in der Konfig WLAN deaktiviert hatte.
sollte ich die easybox vielöleicht erstmal nicht mehr nutzen oder reseten?
momentan erscheint die Adresse der EB nicht mehr im Browser.

Ich hab ein Backup vom WINDOWS Ordern. Wie kann ich feststellen, ob der Ordner damals (vor 1/2 Jahr) clean war? KAnn ich das Backup irgendwie prüfen? alle scanner melden ja keinen Fund bei der Backupdatei.

du hast ein backup vom windows ordner, das wird dir wenig nützen, dann hättest schon nen vernünftiges system backup haben müssen.
welcher schalter für wlan war aus, der am pc oder an der easy box?
welche wlan verschlüsselung nutzt du? du kannst die easybox ja auch mal auf werkseinstellungen zurück setzen (reset) dann das neueste firmware update einspielen und wpa2 aktivierenaber wie gesagt gehe ich eher von nem problem seitens des pcs aus.

was ist für dich ein "vernünftiges systembackup"?
ich hab diese erscheinung mit der einwahladresse des routers erst seitdem ich die easybox angeschlossen hab. vor anschluss resetet, dann wurde neuste Firmware als erstes aufgespielt.

hältst du es für möglich, dass der virus (geschrieben für Router) auf der easybox war und dann auf den PC kam (hab sie gebraucht bei ebay gekauft)? der techniker von vodafone meint dazu, die software wird upgedatet aber nicht komplett gelöscht und neu installiert.
heißt ja, dass sich ein virus evtl. in der easybox halten kann und auf den PC kopieren. um von dort sich mit der box zu verbinden (was er ja ständig versuchte) und dort die konfig knacken um WLAN nutzen zu können.
eine andere möglichkeit wäre auch, dass ich den virus schon länger aufm PC hab (ein Prog geschrieben für Router um die Konfig zu ändern), er aber erst aktiv wurde (immer schon mitgestartet aber erst im Browser erschien) seitdem ich die EB mit WLAN hab und er einen Router mit WLAN bei mir erkennen konnte. vorher war WLAN bei mir nicht möglich mit starterbox und modem.
was meinst du?
kannst du anhnad der logs von otl combofix und Malwarebytes ncihts auf meinem pc erkennen?
gibts noch andere scanner, die noch mehr finden als diese Progs?

der schalter an der EB war an.
ich nutze wap2 und hab WLAN komplett deaktiviert. auch der schalter an/aus von außen am gerät hat keine funktion mehr seitens der konfig.

nein, es wird wohl umgekehrt sein.
ein vernünftiges backup heißt, eine komplette sicherung des pcs mit programmen wie acronis + rettungs dvd.
wenn man dann ein pc problem hatt, nimmt man dieses backup und spielt es zurück, der pc ist dann im zustand wie zum zeitpunkt der erstellung des backups.

ich werde Neuinstallation machen.
ich hab auf C: XP installiert, das nutze ich NICHT fürs internet. und ich hab auf einer andern internen Festplatte auf G: XP installiert das ich fürs internet nutze.
frage: kann der Virus von Windows G: auf Windows C: gelangen oder gleich auf C: gehen sobald er auf den rechner kommt?
frage 2:kann ich davon ausgehen, dass sich die virendateien (ich geh von mehreren aus) NICHT in meine Programmorder der andern Partitionen, die nicht G: oder C:, sind kopiert/geschlichen haben?

was meinst du mit eher umgekehrt?
genügt es auch ein backup der Systempartition zu erstellen und bei virenbefall zurückzuspielen?

hi, mit eher umgekehrt meine ich das höchstens eine infektion über den pc auf den router kommt.
wenn du sagst, programm dateien, meinst du damit ganze instalationen, falls dem so ist, muss diese partition auch formatiert werden, falls du damit setup dateien meinst, dann nicht.
naja, ich würde halt backups der wichtigsten daten machen, der instalation und evtl. weiterer wichtiger daten die man benötigt.
soll das zweite xp ohne internet bleiben? ansonsten würde ich beide neu machen und nach der anleitung, die ich dir noch gebe, absichern. falls nicht belasse das internet lose xp so wie es ist

und die infektion kann sich nicht auf dem router halten, wenn sie mal dorthingekommen ist? das würde ja bedeuten dass ich den router wegwerfen kann.
das zweite xp soll internetlos bleiben.
ist es möglich das in meinen Datenordnern viren sind, die ich aber nicht angezeigt bekomm im ordner weil sie versteckt sind?
ich möchte auch mindestens den bootsektor löschen, das soll mit dem maxtor lowlevel format, einem lowlevelformatierungsprogramm, gehen.
Herzlichen Dank mal zwischendurch!