Verdammte Axt, hab mir leider den Gema Virus eingefangen... Konnte gerade beim runterfahren das Schließen der Programme abbrechen und kann deshalb momentan wieder am Pc arbeiten, da das Gema Programm scheinbar zuerst geschlossen wurde.

Habe erstmal ganz panisch den Norton Power Eraser seine Arbeit verrichten lassen (2 Funde, die er behoben hat), habe mich aber bisher nicht getraut den PC neuzustarten aus Angst vor dem Trojaner. Sonst hab ich auch erstmal nix weiter angerührt, nur direkt die ins Auge stechende gema.exe im Windows-Ordner gelöscht.

Deshalb würde ich mich riesig freuen, wenn hier jemand mit Ahnung über das OTL Logfile gucken könnte und mir weiterhelfen würde.

Wie schaut es aus mit Passwörtern o.ä.? Ist der Trojaner da auch hinterher? Glaub zwar kaum, dass das ein Indikator ist, aber das Programm lief "nur" ca. 15 Minuten.


Vielen Dank schonmal im Voraus
Ben

auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:

:OTL
O4 - HKU\S-1-5-21-2436473508-3633706297-2089169514-1001..\Run: [gema] C:\Users\Bensen\AppData\Roaming\gema\gema.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O20 - HKLM Winlogon: UserInit - (C:\ProgramData\gema\gema.exe) - C:\ProgramData\gema\gema.exe ()
O20 - HKU\S-1-5-21-2436473508-3633706297-2089169514-1001 Winlogon: Shell - (C:\Users\Bensen\AppData\Roaming\gema\gema.exe) - C:\Users\Bensen\AppData\Roaming\gema\gema.exe ()
O4 - HKLM..\Run: [gema.] C:\ProgramData\gema\gema.exe ()

:Files
C:\Users\Bensen\AppData\Roaming\gema
:Commands
[purity]
[EMPTYFLASH] 
[emptytemp]
[Reboot]
         

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Hinweis: Die Datei bitte wie in der Anleitung zum UpChannel angegeben auch da hochladen. Bitte NICHT die ZIP-Datei hier als Anhang
in den Thread posten!



Drücke bitte die + E Taste.

• Öffne dein Systemlaufwerk ( meistens C: )
• Suche nun
  folgenden Ordner: _OTL und öffne diesen.
• Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
• 
  Dies wird eine Movedfiles.zip Datei in _OTL erstellen
• Lade diese bitte in unseren Uploadchannel
  hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus

Hey Markus, vielen Dank für die Antwort vorab.

Ich kann ja momentan am Rechner arbeiten, bin also nicht auf einen Zweitrechner angewiesen. Kann ich den Fix also auch direkt in OTL durchführen, also ohne Boot-CD
und USB-Stick?

Deshalb weiß ich auch gerade nicht, was du hiermit meinst: "hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist."

Nochmals vielen, lieben Dank!

Gruß
Ben

...und falls ja, muss ich in OTL noch irgendwelche Einstellungen machen/Haken setzen?

Danke!
Ben

dann mach folgendes

Combofix darf ausschließlich ausgeführt werden, wenn dies von einem Team Mitglied angewiesen wurde!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich
ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte downloade dir Combofix.exe und speichere es unbedingt auf deinem Desktop.

• Besuche folgende Seite für Downloadlinks und Anweisungen für dieses
  Tool
  
  Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  
• Hinweis:
  Gehe sicher das all deine Anti Virus und Anti Malware Programme abgeschalten sind, damit diese Combofix nicht bei der Arbeit stören.
  
• Poste bitte die C:\Combofix.txt in deiner nächsten Antwort.

Also erstmal Combofix laufen lassen, ohne den Fix mit OTL vorher gemacht zu haben?

ja genau, du sagst ja du kannst normal in windows arbeiten.

richtig, Log kommt dann gleich...

Hab nur irgendwie Angst, dass mich bei nem Neustart wieder das Gema-Fenster begrüßt, oder ist das sicher, dass combofix den weghaut?

Okidoki, ist alles gut gegangen, hier die Logdatei:

ComboFix 12-03-01.02 - Bensen 02.03.2012  14:41:40.1.2 - x64
Microsoft Windows 7 Professional   6.1.7601.1.1252.49.1031.18.4094.3010 [GMT 1:00]
ausgeführt von:: c:\users\Bensen\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {090F9C29-64CE-6C6F-379C-5901B49A85B7}
FW: COMODO Firewall *Enabled* {4D6F75E0-14AF-2E9E-AACD-24CDCF08AA2A}
SP: AntiVir Desktop *Disabled/Updated* {B26E7DCD-42F4-63E1-0D2C-6273CF1DCF0A}
SP: Windows Defender *Disabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
C:\install.exe
c:\program files (x86)\proc1505exp.exe
c:\users\Bensen\AppData\Roaming\FFSJ
c:\users\Bensen\AppData\Roaming\FFSJ\FFSJ.cfg
c:\users\Bensen\AppData\Roaming\Minecraft.exe
c:\users\Grober Typ\AppData\Roaming\gema
c:\users\Grober Typ\AppData\Roaming\gema\gema.exe
K:\autorun.inf
.
.
(((((((((((((((((((((((   Dateien erstellt von 2012-02-02 bis 2012-03-02  ))))))))))))))))))))))))))))))
.
.
2012-03-01 19:33 . 2012-03-01 19:33	--------	d-----w-	c:\program files (x86)\eBay
2012-03-01 19:33 . 2012-03-01 19:33	--------	d-----w-	c:\programdata\eBay
2012-03-01 04:25 . 2012-03-01 04:26	--------	d-----w-	c:\users\Bensen\AppData\Local\NPE
2012-03-01 04:25 . 2012-03-01 04:25	--------	d-----w-	c:\programdata\Norton
2012-03-01 04:10 . 2012-03-01 04:10	--------	d-----w-	c:\users\Grober Typ\AppData\Roaming\Apple Computer
2012-02-28 23:56 . 2012-03-02 13:58	--------	d-----w-	c:\users\Bensen\AppData\Roaming\Apple Computer
2012-02-28 23:54 . 2012-02-28 23:54	--------	d-----w-	c:\users\Bensen\AppData\Local\Apple Computer
2012-02-28 23:49 . 2012-02-28 23:49	--------	d-----w-	c:\program files (x86)\Common Files\Apple
2012-02-28 23:48 . 2012-02-28 23:48	--------	d-----w-	c:\users\Bensen\AppData\Local\Apple
2012-02-28 23:48 . 2012-02-28 23:48	--------	d-----w-	c:\program files (x86)\Apple Software Update
2012-02-28 23:48 . 2012-02-28 23:48	--------	d-----w-	c:\programdata\Apple
2012-02-28 14:21 . 2012-02-28 14:21	--------	d-----w-	c:\users\Bensen\AppData\Roaming\Sony Creative Software Inc
2012-02-27 13:25 . 2012-02-27 13:25	--------	d-----w-	c:\program files (x86)\Sony
2012-02-27 13:25 . 2012-02-27 13:25	--------	d-----w-	c:\program files\Sony
2012-02-26 18:08 . 2012-02-26 18:08	--------	d-----w-	c:\users\Bensen\AppData\Roaming\StageManager.BD092818F67280F4B42B04877600987F0111B594.1
2012-02-26 17:41 . 2012-02-26 17:41	--------	d-----w-	c:\users\Bensen\AppData\Roaming\PACE Anti-Piracy
2012-02-26 17:41 . 2012-02-26 17:41	--------	d-----w-	c:\programdata\PACE Anti-Piracy
2012-02-26 17:41 . 2012-02-26 17:41	--------	d-----w-	c:\users\Bensen\AppData\Local\PACE Anti-Piracy
2012-02-26 17:41 . 2012-02-26 17:41	--------	d-----w-	c:\program files\Common Files\PACE Anti-Piracy
2012-02-26 17:27 . 2012-02-26 17:27	--------	d-----w-	C:\adobeTemp
2012-02-26 17:26 . 2012-02-26 17:26	--------	d-----w-	c:\program files (x86)\Adobe Story
2012-02-26 17:22 . 2012-02-26 17:22	--------	d-----w-	c:\program files (x86)\My Company Name
2012-02-26 17:22 . 2012-02-26 17:22	--------	d-----w-	c:\program files (x86)\Common Files\Sonic Shared
2012-02-26 17:22 . 2009-07-09 02:00	55280	------w-	c:\windows\system32\drivers\PxHlpa64.sys
2012-02-26 17:22 . 2009-06-23 02:00	10224	------w-	c:\windows\system32\drivers\cdralw2k.sys
2012-02-26 17:22 . 2009-06-23 02:00	10224	------w-	c:\windows\system32\drivers\cdr4_xp.sys
2012-02-22 20:48 . 2012-02-22 20:48	--------	d-----w-	c:\users\UpdatusUser
2012-02-22 20:48 . 2012-02-10 03:05	2497985	----a-w-	c:\windows\system32\nvcoproc.bin
2012-02-17 02:28 . 2012-02-17 02:28	--------	d-----w-	c:\users\Bensen\AppData\Local\28050
2012-02-17 01:55 . 2012-02-17 02:38	--------	d-----w-	c:\users\Bensen\AppData\Local\DeusEx3
2012-02-16 18:51 . 2012-01-04 10:44	509952	----a-w-	c:\windows\system32\ntshrui.dll
2012-02-16 18:51 . 2012-01-04 08:58	442880	----a-w-	c:\windows\SysWow64\ntshrui.dll
2012-02-16 18:50 . 2011-12-30 06:26	515584	----a-w-	c:\windows\system32\timedate.cpl
2012-02-16 18:50 . 2011-12-30 05:27	478720	----a-w-	c:\windows\SysWow64\timedate.cpl
2012-02-16 18:50 . 2012-01-14 04:06	3145728	----a-w-	c:\windows\system32\win32k.sys
2012-02-16 18:50 . 2011-12-28 03:59	498688	----a-w-	c:\windows\system32\drivers\afd.sys
2012-02-16 18:49 . 2011-12-16 08:46	634880	----a-w-	c:\windows\system32\msvcrt.dll
2012-02-16 18:49 . 2011-12-16 07:52	690688	----a-w-	c:\windows\SysWow64\msvcrt.dll
2012-02-09 19:05 . 2012-02-09 19:05	416064	----a-w-	c:\windows\SysWow64\nvStreaming.exe
2012-02-03 14:36 . 2012-02-03 14:36	49152	----a-r-	c:\windows\SysWow64\inetwh32.dll
2012-02-03 14:36 . 2012-02-03 14:36	1044480	----a-r-	c:\windows\SysWow64\roboex32.dll
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-02-22 20:19 . 2011-05-17 17:31	414368	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2012-02-10 04:13 . 2011-10-25 17:06	7713088	----a-w-	c:\windows\SysWow64\nvwgf2um.dll
2012-02-10 04:13 . 2011-10-25 17:06	2301248	----a-w-	c:\windows\SysWow64\nvapi.dll
2012-02-10 04:13 . 2011-10-04 15:56	15009600	----a-w-	c:\windows\SysWow64\nvd3dum.dll
2012-02-10 04:13 . 2011-08-10 22:59	1737536	----a-w-	c:\windows\system32\nvdispco64.dll
2012-02-10 04:13 . 2011-08-10 22:59	1466176	----a-w-	c:\windows\system32\nvgenco64.dll
2012-02-10 04:13 . 2010-11-14 14:42	9717568	----a-w-	c:\windows\system32\nvwgf2umx.dll
2012-02-10 04:13 . 2010-11-14 14:42	2660160	----a-w-	c:\windows\system32\nvapi64.dll
2012-02-10 03:14 . 2010-10-16 11:13	6074176	----a-w-	c:\windows\system32\nvcpl.dll
2012-02-10 03:14 . 2010-10-16 11:13	3089728	----a-w-	c:\windows\system32\nvsvc64.dll
2012-02-10 03:07 . 2010-10-16 11:13	2561856	----a-w-	c:\windows\system32\nvsvcr.dll
2012-02-10 03:07 . 2010-10-16 11:13	118080	----a-w-	c:\windows\system32\nvmctray.dll
2012-02-10 03:07 . 2010-10-16 11:13	889664	----a-w-	c:\windows\system32\nvvsvc.exe
2012-02-10 03:07 . 2010-10-16 11:13	63296	----a-w-	c:\windows\system32\nvshext.dll
2012-01-17 21:00 . 2011-10-07 16:47	577824	----a-w-	c:\windows\system32\drivers\cmdGuard.sys
2011-12-19 18:59 . 2011-10-07 16:48	93200	----a-w-	c:\windows\system32\drivers\inspect.sys
2011-12-19 18:59 . 2011-10-07 16:47	43248	----a-w-	c:\windows\system32\drivers\cmdhlp.sys
2011-12-19 18:59 . 2011-10-07 16:47	22696	----a-w-	c:\windows\system32\drivers\cmderd.sys
2011-12-19 18:58 . 2011-10-07 16:47	41200	----a-w-	c:\windows\system32\cmdcsr.dll
2011-12-19 18:58 . 2011-10-07 16:47	301224	----a-w-	c:\windows\SysWow64\guard32.dll
2011-12-19 18:58 . 2011-10-07 16:47	389840	----a-w-	c:\windows\system32\guard64.dll
2009-11-22 22:57 . 2009-11-22 22:57	404992	----a-w-	c:\program files (x86)\FFSJ.exe
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]
@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	94208	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]
@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	94208	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]
@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	94208	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt4]
@="{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	94208	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt.14.dll
.
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QIP2005"="c:\program files (x86)\QIP 2005 jeak\qip.exe" [2010-10-29 3330560]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2010-11-02 281768]
"CTxfiHlp"="CTXFIHLP.EXE" [2010-05-05 25600]
"VirtualCloneDrive"="c:\program files (x86)\VirtualCloneDrive\VCDDaemon.exe" [2009-06-17 85160]
"Spawn Gaming Mouse"="c:\program files (x86)\CM Storm\Spawn Gaming Mouse\Spawn_Icon.exe" [2010-12-15 135168]
"BCSSync"="c:\program files (x86)\Microsoft Office\Office14\BCSSync.exe" [2010-03-13 91520]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2011-06-09 254696]
"Adobe Reader Speed Launcher"="c:\program files (x86)\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2012-01-03 37296]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-01-02 843712]
"SwitchBoard"="c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe" [2010-02-19 517096]
"AdobeCS5.5ServiceManager"="c:\program files (x86)\Common Files\Adobe\CS5.5ServiceManager\CS5.5ServiceManager.exe" [2011-01-12 1523360]
"APSDaemon"="c:\program files (x86)\Common Files\Apple\Apple Application Support\APSDaemon.exe" [2011-09-27 59240]
"QuickTime Task"="c:\program files (x86)\QuickTime\QTTask.exe" [2011-10-24 421888]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 0 (0x0)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableLUA"= 0 (0x0)
"EnableUIADesktopToggle"= 0 (0x0)
"PromptOnSecureDesktop"= 0 (0x0)
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=c:\windows\SysWOW64\guard32.dll
.
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\MSIServer]
@="Service"
.
R2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-03-18 130384]
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R3 Creative Audio Engine Licensing Service;Creative Audio Engine Licensing Service;c:\program files (x86)\Common Files\Creative Labs Shared\Service\CTAELicensing.exe [2010-11-16 79360]
R3 CT20XUT;CT20XUT;c:\windows\system32\drivers\CT20XUT.SYS [x]
R3 CTEXFIFX;CTEXFIFX;c:\windows\system32\drivers\CTEXFIFX.SYS [x]
R3 CTHWIUT;CTHWIUT;c:\windows\system32\drivers\CTHWIUT.SYS [x]
R3 CYUSB;Cypress Generic USB Driver;c:\windows\system32\Drivers\CYUSB.sys [x]
R3 danewFltr;NewDeathAdder Mouse;c:\windows\system32\drivers\danew.sys [x]
R3 ha20x22k;Creative 20X2 HAL Driver;c:\windows\system32\drivers\ha20x22k.sys [x]
R3 ivusb;Initio Driver for USB Default Controller;c:\windows\system32\DRIVERS\ivusb.sys [x]
R3 Microsoft SharePoint Workspace Audit Service;Microsoft SharePoint Workspace Audit Service;c:\program files (x86)\Microsoft Office\Office14\GROOVE.EXE [2010-12-27 31124344]
R3 SwitchBoard;SwitchBoard;c:\program files (x86)\Common Files\Adobe\SwitchBoard\SwitchBoard.exe [2010-02-19 517096]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [x]
R4 DAUpdaterSvc;Dragon Age: Origins - Inhaltsupdater;d:\spiele\Rollenspiele\Dragon Age\bin_ship\DAUpdaterSvc.Service.exe [2009-07-26 25832]
R4 sptd;sptd;c:\windows\system32\Drivers\sptd.sys [x]
S0 hotcore3;hc3ServiceName;c:\windows\system32\DRIVERS\hotcore3.sys [x]
S0 Lbd;Lbd;c:\windows\system32\DRIVERS\Lbd.sys [x]
S0 PxHlpa64;PxHlpa64;c:\windows\System32\Drivers\PxHlpa64.sys [x]
S0 tdrpman258;Acronis Try&Decide and Restore Points filter (build 258);c:\windows\system32\DRIVERS\tdrpm258.sys [x]
S1 cmdGuard;COMODO Internet Security Sandbox Driver;c:\windows\system32\DRIVERS\cmdguard.sys [x]
S1 cmdHlp;COMODO Internet Security Helper Driver;c:\windows\system32\DRIVERS\cmdhlp.sys [x]
S2 afcdpsrv;Acronis Nonstop Backup service;c:\program files (x86)\Common Files\Acronis\CDP\afcdpsrv.exe [2009-11-07 2480048]
S2 AntiVirSchedulerService;Avira AntiVir Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2011-04-28 136360]
S2 nvUpdatusService;NVIDIA Update Service Daemon;c:\program files (x86)\NVIDIA Corporation\NVIDIA Update Core\daemonu.exe [2012-02-10 2348352]
S2 SSPORT;SSPORT;c:\windows\system32\Drivers\SSPORT.sys [x]
S2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;c:\program files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2012-02-09 382272]
S3 afcdp;afcdp;c:\windows\system32\DRIVERS\afcdp.sys [x]
S3 CT20XUT.SYS;CT20XUT.SYS;c:\windows\System32\drivers\CT20XUT.SYS [x]
S3 CTEXFIFX.SYS;CTEXFIFX.SYS;c:\windows\System32\drivers\CTEXFIFX.SYS [x]
S3 CTHWIUT.SYS;CTHWIUT.SYS;c:\windows\System32\drivers\CTHWIUT.SYS [x]
S3 NVHDA;Service for NVIDIA High Definition Audio Driver;c:\windows\system32\drivers\nvhda64v.sys [x]
S3 osppsvc;Office Software Protection Platform;c:\program files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE [2010-01-09 4925184]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt64win7.sys [x]
.
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - WS2IFSL
.
Inhalt des "geplante Tasks" Ordners
.
.
--------- x86-64 -----------
.
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt1]
@="{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314ED9-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	97792	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt2]
@="{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDA-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	97792	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt3]
@="{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDB-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	97792	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shelliconoverlayidentifiers\DropboxExt4]
@="{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}"
[HKEY_CLASSES_ROOT\CLSID\{FB314EDC-A251-47B7-93E1-CDD82E34AF8B}]
2011-02-18 05:12	97792	----a-w-	c:\users\Bensen\AppData\Roaming\Dropbox\bin\DropboxExt64.14.dll
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"COMODO Internet Security"="c:\program files\COMODO\COMODO Internet Security\cfp.exe" [2011-12-21 9454920]
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"LoadAppInit_DLLs"=0x1
"AppInit_DLLs"=c:\windows\System32\guard64.dll
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.google.de/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: &Download All by FlashGet - c:\alteprogs\Programme\FlashGet Network\FlashGet universal\ComDlls\Bhoall.htm
IE: &Download by FlashGet - c:\alteprogs\Programme\FlashGet Network\FlashGet universal\ComDlls\Bholink.htm
IE: add to &BOM - c:\\PROGRA~2\\BIET-O~1\\\\AddToBOM.hta
IE: Nach Microsoft E&xcel exportieren - c:\progra~2\Microsoft Office\Office14\EXCEL.EXE/3000
TCP: Interfaces\{51C36C07-043F-45AA-AA2C-1C3B3DA60A55}: NameServer = 192.168.1.2
FF - ProfilePath - c:\users\Bensen\AppData\Roaming\Mozilla\Firefox\Profiles\8xcbeihz.Bensen\
FF - prefs.js: browser.startup.homepage - hxxp://www.last.fm/dashboard/
FF - user.js: network.http.pipelining - true
FF - user.js: network.http.proxy.pipelining - true
FF - user.js: network.http.pipelining.maxrequests - 8
FF - user.js: content.notify.backoffcount - 5
FF - user.js: content.interrupt.parsing - true
FF - user.js: content.max.tokenizing.time - 2250000
FF - user.js: content.notify.interval - 750000
FF - user.js: content.notify.ontimer - true
FF - user.js: content.switch.threshold - 750000
FF - user.js: nglayout.initialpaint.delay - 0
FF - user.js: network.http.max-connections - 48
FF - user.js: network.http.max-connections-per-server - 16
FF - user.js: network.http.max-persistent-connections-per-proxy - 16
FF - user.js: network.http.max-persistent-connections-per-server - 8
FF - user.js: browser.cache.memory.capacity - 14336
FF - user.js: ui.submenuDelay - 0
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
AddRemove-Adobe Shockwave Player - c:\windows\system32\Adobe\Shockwave 11\uninstaller.exe
AddRemove-Driver Cleaner.NET Retail v.3.4.6.0 - c:\program files (x86)\DriverCleanerDotNET\Uninstall.exe
AddRemove-ESN Sonar-0.70.0 - c:\program files (x86)\Battlelog Web Plugins\Sonar\esnsonar_uninstall.exe
AddRemove-PunkBusterSvc - d:\spiele\Action\BF3\Battlefield 3-Beta\pbsvc.exe
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{BEB3C0C7-B648-4257-96D9-B5D024816E27}\Version*Version]
"Version"=hex:bc,85,71,ba,25,18,58,b5,25,48,66,ef,d7,3c,08,07,36,4d,bb,b2,70,
   b1,a0,92,b1,20,85,b7,04,64,4a,0f,69,e5,07,7f,30,10,da,49,91,b9,bc,c2,99,a5,\
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{456B7F20-1BD0-4177-8A4B-A416A99DDD21}\InprocServer32]
@DACL=(02 0000)
@="c:\\Windows\\SysWow64\\ctasio.dll"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{48653F81-8A2E-11D3-9EF0-00C0F02DD390}\InprocServer32]
@DACL=(02 0000)
@="c:\\Windows\\SysWow64\\ctasio.dll"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil11f_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil11f_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11f.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.10"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11f.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11f.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash11f.ocx, 1"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\software\Classes\Wow6432Node\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\software\Minnetonka Audio Software\SurCode Dolby Digital Premiere\Version*Version]
"Version"=hex:bc,85,71,ba,25,18,58,b5,25,48,66,ef,d7,3c,08,07,36,4d,bb,b2,70,
   b1,a0,92,b1,20,85,b7,04,64,4a,0f,69,e5,07,7f,30,10,da,49,91,b9,bc,c2,99,a5,\
.
[HKEY_LOCAL_MACHINE\software\Wow6432Node\Microsoft\Office\Common\Smart Tag\Actions\{B7EFF951-E52F-45CC-9EF7-57124F2177CC}]
@Denied: (A) (Everyone)
"Solution"="{15727DE6-F92D-4E46-ACB4-0E2C58B31A18}"
.
[HKEY_LOCAL_MACHINE\software\Wow6432Node\Microsoft\Schema Library\ActionsPane3]
@Denied: (A) (Everyone)
.
[HKEY_LOCAL_MACHINE\software\Wow6432Node\Microsoft\Schema Library\ActionsPane3\0]
"Key"="ActionsPane3"
"Location"="c:\\Program Files (x86)\\Common Files\\Microsoft Shared\\VSTO\\ActionsPane3.xsd"
.
[HKEY_LOCAL_MACHINE\system\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\program files (x86)\Creative\Shared Files\CTAudSvc.exe
c:\program files (x86)\Avira\AntiVir Desktop\avguard.exe
c:\program files (x86)\CDBurnerXP\NMSAccessU.exe
c:\windows\SysWOW64\PnkBstrA.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2012-03-02  15:04:43 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2012-03-02 14:04
.
Vor Suchlauf: 2.780.512.256 Bytes frei
Nach Suchlauf: 2.813.276.160 Bytes frei
.
- - End Of File - - DDE281AD388B30A0673543E44F15EB61
         

Was ist jetzt zu tun?


Und was mir selber aufgefallen ist, wäre nett wenn du auch dazu Stellung beziehen könntest: Unter laufenden Prozessen befindet sich "c:\windows\SysWOW64\PnkBstrA.exe" <- meines Wissens spiele ich kein Spiel (mehr), das Punkbuster benutzt und der Pfad erscheint mir auch ein wenig komisch... Hierzu irgendwelche Ideen?


Nochmals vielen Dank für die Hilfe
Ben

die exe scheint in ordnung zu sein.
öffne mal bitte computer, c: qoobox rechtsklick quarantain, mit winrar oder anderme programm packen und hochladen.
Trojaner-Board Upload Channel

Danke, habs hochgeladen!

danke
malwarebytes:
Downloade Dir bitte Malwarebytes

• Installiere
  das Programm in den vorgegebenen Pfad.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Starte Malwarebytes, klicke auf Aktualisierung --> Suche
  nach Aktualisierung
• Wenn das Update beendet wurde, aktiviere vollständiger Scan durchführen und drücke auf Scannen.
• Wenn der Scan beendet
  ist, klicke auf Ergebnisse anzeigen.
• Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
• Poste
  das Logfile, welches sich in Notepad öffnet, hier in den Thread.
• Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Hier bitte, schaut schon relativ clean aus, das zweite könnte auch gut ein Fehlalarm sein...

Malwarebytes Anti-Malware 1.60.1.1000
www.malwarebytes.org

Datenbank Version: v2012.03.02.03

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 9.0.8112.16421
Bensen :: BEN33 [Administrator]

02.03.2012 16:59:52
mbam-log-2012-03-02 (16-59-52).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 467017
Laufzeit: 2 Stunde(n), 11 Minute(n), 31 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\Qoobox\Quarantine\C\Users\Grober Typ\AppData\Roaming\gema\gema.exe.vir (Spyware.Zeus) -> Erfolgreich gelöscht und in Quarantäne gestellt.
D:\Spielealt\Strategie\Crayon Physics Deluxe\Uninstall.exe (Malware.Packer.Krunchy) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
         

Gruß
Ben

sehr schön.
lade den CCleaner standard:
CCleaner Download - CCleaner 3.16.1666
falls der CCleaner
bereits instaliert, überspringen.
instalieren, öffnen, extras, liste der instalierten programme, als txt speichern. öffnen.
hinter, jedes von dir benötigte programm, schreibe notwendig.
hinter, jedes, von dir nicht benötigte, unnötig.
hinter, dir unbekannte, unbekannt.
liste posten.

Hey, in der neuesten Version gibts da den Menüpunkt "Programme deinstallieren", ist das der richtige?