Hallo,

mein Vater hat sich per Mail den Ukash/Paysafe-Trojaner eingefangen.
Der Rechner stand mit einer Zahlungsaufforderung und dem Hinweis, dass der Computer bis zur Wiederfreigabe nicht auszuschalten sei da und war nicht mehr zu bedienen.
Mit Hilfe von "Kaspersky rescu disk 10" hab ich das System wieder "gangbar" gemacht.
Leider hat mein Vater sämtliche Berichte bzw Logfiles von Kaspersky in den 5 Min gelöscht, in denen ich mal nicht am Rechner war.
Allerdings sind die Dateien immer noch verschlüsselt, was, wie ich hier im Forum gelesen habe wohl auch noch nicht zu ändern ist.
Ich hab den " Malwarebytes Anti-Malware " noch drüber gejagt und hab mich dann an eure Anleitung gehalten.
Meine Frage ist nun, ist das System wieder sauber, oder oder sind noch "Reste" vom Trojana drauf???

Danke schon mal im Voraus
fafnir

Hier sind also die dds.txt:

.
DDS (Ver_2011-08-26.01) - NTFSx86
Internet Explorer: 8.0.6001.18702 BrowserJavaVersion: 10.4.1
Run by Mustermann at 11:02:39 on 2012-05-12
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.2010.1353 [GMT 2:00]
.
AV: AVG Anti-Virus Free Edition 2011 *Enabled/Updated* {17DDD097-36FF-435F-9E1B-52D74245D6BF}
.
============== Running Processes ===============
.
C:\PROGRA~1\AVG\AVG10\avgrsx.exe
C:\WINDOWS\system32\svchost -k DcomLaunch
svchost.exe
C:\WINDOWS\System32\svchost.exe -k netsvcs
svchost.exe
C:\WINDOWS\system32\brsvc01a.exe
C:\WINDOWS\system32\LEXBCES.EXE
C:\WINDOWS\system32\brss01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\LEXPPS.EXE
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\igfxtray.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\Programme\ScanSoft\PaperPort\pptd40nt.exe
C:\Programme\AVG\AVG10\avgtray.exe
C:\Programme\Hp\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\AVG Secure Search\vprot.exe
C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe
C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\AVG\AVG10\Identity Protection\agent\bin\avgidsmonitor.exe
C:\Programme\AVG\AVG10\avgwdsvc.exe
C:\Programme\Oracle\JavaFX 2.1 Runtime\bin\jqs.exe
C:\Programme\Google\Update\GoogleUpdate.exe
C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe
C:\Programme\AVG\AVG10\avgnsx.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\svchost.exe -k imgsvc
C:\Programme\TeamViewer\Version6\TeamViewer_Service.exe
C:\Programme\TomTom HOME 2\TomTomHOMEService.exe
C:\Programme\Gemeinsame Dateien\AVG Secure Search\vToolbarUpdater\11.0.2\ToolbarUpdater.exe
C:\Programme\AVG\AVG10\Identity Protection\Agent\Bin\AVGIDSAgent.exe
C:\WINDOWS\system32\wuauclt.exe
svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Dokumente und Einstellungen\Mustermann\Eigene Dateien\Downloads\Defogger.exe
.
============== Pseudo HJT Report ===============
.
uURLSearchHooks: H - No File
mURLSearchHooks: H - No File
mWinlogon: SfcDisable=-99 (0xffffff9d)
BHO: Adobe PDF Link Helper: {18df081c-e8ad-4283-a596-fa578c2ebdc3} - c:\programme\gemeinsame dateien\adobe\acrobat\activex\AcroIEHelperShim.dll
BHO: AVG Safe Search: {3ca2f312-6f6e-4b53-a66e-4e65e497c8c0} - c:\programme\avg\avg10\avgssie.dll
BHO: Java(tm) Plug-In SSV Helper: {761497bb-d6f0-462c-b6eb-d4daf1d92d43} - c:\programme\oracle\javafx 2.1 runtime\bin\ssv.dll
BHO: AVG Security Toolbar: {95b7759c-8c7f-4bf1-b163-73684a933233} - c:\programme\avg secure search\11.0.0.9\AVG Secure Search_toolbar.dll
BHO: Java(tm) Plug-In 2 SSV Helper: {dbc80044-a445-435b-bc74-9c25c1c588a9} - c:\programme\oracle\javafx 2.1 runtime\bin\jp2ssv.dll
TB: {CCC7A320-B3CA-4199-B1A6-9F516DD69829} - No File
TB: AVG Security Toolbar: {95b7759c-8c7f-4bf1-b163-73684a933233} - c:\programme\avg secure search\11.0.0.9\AVG Secure Search_toolbar.dll
{e7df6bff-55a5-4eb7-a673-4ed3e9456d39}
uRun: [TomTomHOME.exe] "c:\programme\tomtom home 2\TomTomHOMERunner.exe"
uRun: [ctfmon.exe] c:\windows\system32\ctfmon.exe
mRun: [IgfxTray] c:\windows\system32\igfxtray.exe
mRun: [HotKeysCmds] c:\windows\system32\hkcmd.exe
mRun: [Persistence] c:\windows\system32\igfxpers.exe
mRun: [NeroFilterCheck] c:\windows\system32\NeroCheck.exe
mRun: [SSBkgdUpdate] "c:\programme\gemeinsame dateien\scansoft shared\ssbkgdupdate\SSBkgdupdate.exe" -Embedding -boot
mRun: [PaperPort PTD] c:\programme\scansoft\paperport\pptd40nt.exe
mRun: [IndexSearch] c:\programme\scansoft\paperport\IndexSearch.exe
mRun: [AVG_TRAY] c:\programme\avg\avg10\avgtray.exe
mRun: [HP Software Update] c:\programme\hp\hp software update\HPWuSchd2.exe
mRun: [<NO NAME>]
mRun: [RTHDCPL] RTHDCPL.EXE
mRun: [Logitech Utility] Logi_MwX.Exe
mRun: [vProt] "c:\programme\avg secure search\vprot.exe"
mRun: [APSDaemon] "c:\programme\gemeinsame dateien\apple\apple application support\APSDaemon.exe"
mRun: [ROC_roc_dec12] "c:\programme\avg secure search\ROC_roc_dec12.exe" /PROMPT /CMPID=roc_dec12
mRun: [Adobe Reader Speed Launcher] "c:\programme\adobe\reader 9.0\reader\Reader_sl.exe"
mRun: [Adobe ARM] "c:\programme\gemeinsame dateien\adobe\arm\1.0\AdobeARM.exe"
mRun: [SunJavaUpdateSched] "c:\programme\gemeinsame dateien\java\java update\jusched.exe"
mRun: [Malwarebytes' Anti-Malware] "c:\programme\malwarebytes' anti-malware\mbamgui.exe" /starttray
dRun: [CTFMON.EXE] c:\windows\system32\CTFMON.EXE
dRunOnce: [nltide_2] regsvr32 /s /n /i:U shell32
dRunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N
IE: Nach Microsoft &Excel exportieren - c:\progra~1\micros~2\office11\EXCEL.EXE/3000
IE: {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe
IE: {FB5F1910-F110-11d2-BB9E-00C04F795683} - c:\programme\messenger\msmsgs.exe
IE: {92780B25-18CC-41C8-B9BE-3C9C571A8263} - {FF059E31-CC5A-4E2E-BF3B-96E929D65503} - c:\progra~1\micros~2\office11\REFIEBAR.DLL
TCP: DhcpNameServer = 192.168.2.1
TCP: Interfaces\{7D652231-97EF-4ADB-99AB-26EE5CB97E9C} : DhcpNameServer = 192.168.2.1
Handler: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - c:\programme\avg\avg10\avgpp.dll
Handler: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - c:\progra~1\gemein~1\skype\SKYPE4~1.DLL
Handler: viprotocol - {B658800C-F66E-4EF3-AB85-6C0C227862A9} - c:\programme\gemeinsame dateien\avg secure search\viprotocolinstaller\11.0.2\ViProtocol.dll
Notify: igfxcui - igfxdev.dll
SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - c:\windows\system32\wpdshserviceobj.dll
.
================= FIREFOX ===================
.
FF - ProfilePath - c:\dokumente und einstellungen\mustermann\anwendungsdaten\mozilla\firefox\profiles\mcstzg2x.default\
FF - component: c:\programme\avg\avg10\firefox4\components\avgssff4.dll
FF - plugin: c:\programme\adobe\reader 9.0\reader\air\nppdf32.dll
FF - plugin: c:\programme\gemeinsame dateien\avg secure search\sitesafetyinstaller\11.0.2\npsitesafety.dll
FF - plugin: c:\programme\google\google earth\plugin\npgeplugin.dll
FF - plugin: c:\programme\google\update\1.3.21.111\npGoogleUpdate3.dll
FF - plugin: c:\programme\microsoft silverlight\4.0.50401.0\npctrlui.dll
FF - plugin: c:\programme\oracle\javafx 2.1 runtime\bin\plugin2\npjp2.dll
FF - plugin: c:\windows\system32\macromed\flash\NPSWF32_11_2_202_228.dll
FF - plugin: c:\windows\system32\npDeployJava1.dll
FF - plugin: c:\windows\system32\npptools.dll
.
============= SERVICES / DRIVERS ===============
.
R0 AVGIDSEH;AVGIDSEH;c:\windows\system32\drivers\AVGIDSEH.sys [2010-9-13 22992]
R0 Avgrkx86;AVG Anti-Rootkit Driver;c:\windows\system32\drivers\avgrkx86.sys [2010-9-7 32592]
R1 Avgldx86;AVG AVI Loader Driver;c:\windows\system32\drivers\avgldx86.sys [2010-9-7 248656]
R1 Avgmfx86;AVG Mini-Filter Resident Anti-Virus Shield;c:\windows\system32\drivers\avgmfx86.sys [2010-9-7 34896]
R1 Avgtdix;AVG TDI Driver;c:\windows\system32\drivers\avgtdix.sys [2010-9-7 297168]
R2 AVGIDSAgent;AVGIDSAgent;c:\programme\avg\avg10\identity protection\agent\bin\AVGIDSAgent.exe [2012-1-31 7391072]
R2 avgwd;AVG WatchDog;c:\programme\avg\avg10\avgwdsvc.exe [2011-2-8 269520]
R2 MBAMService;MBAMService;c:\programme\malwarebytes' anti-malware\mbamservice.exe [2012-5-12 654408]
R2 TeamViewer6;TeamViewer 6;c:\programme\teamviewer\version6\TeamViewer_Service.exe [2011-11-3 2358656]
R2 TomTomHOMEService;TomTomHOMEService;c:\programme\tomtom home 2\TomTomHOMEService.exe [2011-4-22 92592]
R2 vToolbarUpdater11.0.2;vToolbarUpdater11.0.2;c:\programme\gemeinsame dateien\avg secure search\vtoolbarupdater\11.0.2\ToolbarUpdater.exe [2012-4-29 932736]
R3 AVGIDSDriver;AVGIDSDriver;c:\windows\system32\drivers\AVGIDSDriver.sys [2010-8-19 134480]
R3 AVGIDSFilter;AVGIDSFilter;c:\windows\system32\drivers\AVGIDSFilter.sys [2010-8-19 24144]
R3 AVGIDSShim;AVGIDSShim;c:\windows\system32\drivers\AVGIDSShim.sys [2010-8-19 27216]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [2012-5-12 22344]
S2 gupdate;Google Update-Dienst (gupdate);c:\programme\google\update\GoogleUpdate.exe [2011-12-25 136176]
S3 AdobeFlashPlayerUpdateSvc;Adobe Flash Player Update Service;c:\windows\system32\macromed\flash\FlashPlayerUpdateService.exe [2012-4-6 253600]
S3 Ambfilt;Ambfilt;c:\windows\system32\drivers\Ambfilt.sys [2009-7-23 1691480]
S3 AVG Security Toolbar Service;AVG Security Toolbar Service;c:\programme\avg\avg10\toolbar\ToolbarBroker.exe [2011-5-20 167264]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\google\update\GoogleUpdate.exe [2011-12-25 136176]
S3 teamviewervpn;TeamViewer VPN Adapter;c:\windows\system32\drivers\teamviewervpn.sys [2011-8-13 25088]
.
=============== Created Last 30 ================
.
2012-05-12 07:42:32 -------- d-----w- c:\dokumente und einstellungen\mustermann\anwendungsdaten\Malwarebytes
2012-05-12 07:42:22 -------- d-----w- c:\dokumente und einstellungen\all users\anwendungsdaten\Malwarebytes
2012-05-12 07:42:21 22344 ----a-w- c:\windows\system32\drivers\mbam.sys
2012-05-12 07:42:21 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2012-05-12 05:10:02 -------- d-----w- c:\dokumente und einstellungen\mustermann\lokale einstellungen\anwendungsdaten\Sun
2012-05-11 21:03:55 -------- d-----w- c:\programme\Oracle
2012-05-11 21:03:41 687504 ----a-w- c:\windows\system32\deployJava1.dll
2012-05-11 21:03:41 143872 ----a-w- c:\windows\system32\javacpl.cpl
2012-05-11 21:03:40 772504 ----a-w- c:\windows\system32\npDeployJava1.dll
2012-05-11 19:56:46 -------- d---a-w- C:\Kaspersky Rescue Disk 10.0
2012-05-09 05:37:15 -------- d-----w- c:\dokumente und einstellungen\mustermann\anwendungsdaten\Fnjff
2012-04-30 05:21:32 -------- d-----w- c:\dokumente und einstellungen\mustermann\lokale einstellungen\anwendungsdaten\AVG Secure Search
.
==================== Find3M ====================
.
2012-04-11 13:51:24 2029056 ----a-w- c:\windows\system32\ntkrnlpa.exe
2012-04-11 13:51:18 2150912 ----a-w- c:\windows\system32\ntoskrnl.exe
2012-04-11 13:51:18 1862400 ----a-w- c:\windows\system32\win32k.sys
2012-04-06 11:59:18 70304 ----a-w- c:\windows\system32\FlashPlayerCPLApp.cpl
2012-04-06 11:59:18 418464 ----a-w- c:\windows\system32\FlashPlayerApp.exe
2012-03-01 11:00:09 916992 ----a-w- c:\windows\system32\wininet.dll
2012-03-01 11:00:08 43520 ----a-w- c:\windows\system32\licmgr10.dll
2012-03-01 11:00:08 1469440 ------w- c:\windows\system32\inetcpl.cpl
2012-02-29 14:09:48 177664 ----a-w- c:\windows\system32\wintrust.dll
2012-02-29 14:09:48 148480 ----a-w- c:\windows\system32\imagehlp.dll
2012-02-29 12:17:40 385024 ----a-w- c:\windows\system32\html.iec
.
============= FINISH: 11:03:35,14 ===============



attach.txt:
.
UNLESS SPECIFICALLY INSTRUCTED, DO NOT POST THIS LOG.
IF REQUESTED, ZIP IT UP & ATTACH IT
.
DDS (Ver_2011-08-26.01)
.
Microsoft Windows XP Professional
Boot Device: \Device\HarddiskVolume1
Install Date: 22.07.2009 13:37:32
System Uptime: 12.05.2012 10:58:11 (1 hours ago)
.
Motherboard: Intel Corporation | | DG41MJ
Processor: Intel Pentium III Xeon-Prozessor | J2E1 | 2500/200mhz
.
==== Disk Partitions =========================
.
C: is FIXED (NTFS) - 149 GiB total, 129,561 GiB free.
D: is CDROM ()
E: is Removable
.
==== Disabled Device Manager Items =============
.
==== System Restore Points ===================
.
RP1: 09.05.2012 08:10:10 - Systemprüfpunkt
RP2: 11.05.2012 21:20:53 - Software Distribution Service 3.0
RP3: 11.05.2012 23:03:02 - Java(TM) 7 Update 4 wird installiert
RP4: 11.05.2012 23:03:52 - JavaFX 2.1.0 wird installiert
.
==== Installed Programs ======================
.
Adobe Flash Player 11 Plugin
Adobe Reader 9.5.1 - Deutsch
Apple Application Support
Apple Software Update
AVG 2011
CCleaner
Compatibility Pack for the 2007 Office system
Corel Graphics Suite 11
G4FON Koch Method Morse Trainer
Google Earth
Google Update Helper
Hotfix für Windows XP (KB2158563)
Hotfix für Windows XP (KB2443685)
Hotfix für Windows XP (KB2570791)
Hotfix für Windows XP (KB2633952)
Hotfix für Windows XP (KB898461)
Hotfix für Windows XP (KB909520)
Hotfix für Windows XP (KB944043-v3)
Hotfix für Windows XP (KB950759)
Hotfix für Windows XP (KB950760)
Hotfix für Windows XP (KB950762)
Hotfix für Windows XP (KB951376-v2)
Hotfix für Windows XP (KB951698)
Hotfix für Windows XP (KB951830)
Hotfix für Windows XP (KB952287)
Hotfix für Windows XP (KB961118)
Hotfix für Windows XP (KB970653-v3)
Hotfix für Windows XP (KB976098-v2)
Hotfix für Windows XP (KB979306)
Hotfix für Windows XP (KB981793)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)
Hotfix for Windows XP (KB915865)
Hotfix for Windows XP (KB954550-v5)
Hotfix for Windows XP (KB976002-v5)
HP Officejet 6500 E710a-f - Grundlegende Software für das Gerät
HP Officejet 6500 E710a-f Hilfe
HP Update
I.R.I.S. OCR
Intel(R) Graphics Media Accelerator Driver
Java Auto Updater
Java(TM) 7 Update 4
JavaFX 2.1.0
Malwarebytes Anti-Malware Version 1.61.0.1400
MathType 6
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft Office Professional Edition 2003
Microsoft Silverlight
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
Mozilla Firefox 11.0 (x86 de)
MSXML 4.0 SP2 (KB954430)
MSXML 4.0 SP2 (KB973688)
MSXML 4.0 SP2 Parser and SDK
Nero 6 Ultra Edition
No23 Recorder
OpenOffice.org 3.2
PaperPort
PDFCreator
QuickTime
REALTEK GbE & FE Ethernet PCI-E NIC Driver
Realtek High Definition Audio Driver
Security Update for Microsoft .NET Framework 3.5 SP1 (KB2604111)
Security Update for Microsoft .NET Framework 3.5 SP1 (KB2657424)
Sicherheitsupdate für Microsoft Windows (KB2564958)
Sicherheitsupdate für Windows Internet Explorer 7 (KB938127-v2)
Sicherheitsupdate für Windows Internet Explorer 7 (KB950759)
Sicherheitsupdate für Windows Internet Explorer 7 (KB969897)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2183461)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2360131)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2416400)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2482017)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2497640)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2510531)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2530548)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2544521)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2559049)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2586448)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2618444)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2647516)
Sicherheitsupdate für Windows Internet Explorer 8 (KB2675157)
Sicherheitsupdate für Windows Internet Explorer 8 (KB969897)
Sicherheitsupdate für Windows Internet Explorer 8 (KB971961)
Sicherheitsupdate für Windows Internet Explorer 8 (KB972260)
Sicherheitsupdate für Windows Internet Explorer 8 (KB974455)
Sicherheitsupdate für Windows Internet Explorer 8 (KB976325)
Sicherheitsupdate für Windows Internet Explorer 8 (KB978207)
Sicherheitsupdate für Windows Internet Explorer 8 (KB981332)
Sicherheitsupdate für Windows Internet Explorer 8 (KB982381)
Sicherheitsupdate für Windows Media Player (KB2378111)
Sicherheitsupdate für Windows Media Player (KB952069)
Sicherheitsupdate für Windows Media Player (KB954155)
Sicherheitsupdate für Windows Media Player (KB968816)
Sicherheitsupdate für Windows Media Player (KB973540)
Sicherheitsupdate für Windows Media Player (KB975558)
Sicherheitsupdate für Windows Media Player (KB978695)
Sicherheitsupdate für Windows Media Player 11 (KB954154)
Sicherheitsupdate für Windows XP (KB2079403)
Sicherheitsupdate für Windows XP (KB2115168)
Sicherheitsupdate für Windows XP (KB2121546)
Sicherheitsupdate für Windows XP (KB2160329)
Sicherheitsupdate für Windows XP (KB2229593)
Sicherheitsupdate für Windows XP (KB2259922)
Sicherheitsupdate für Windows XP (KB2279986)
Sicherheitsupdate für Windows XP (KB2286198)
Sicherheitsupdate für Windows XP (KB2296011)
Sicherheitsupdate für Windows XP (KB2296199)
Sicherheitsupdate für Windows XP (KB2347290)
Sicherheitsupdate für Windows XP (KB2360937)
Sicherheitsupdate für Windows XP (KB2387149)
Sicherheitsupdate für Windows XP (KB2393802)
Sicherheitsupdate für Windows XP (KB2412687)
Sicherheitsupdate für Windows XP (KB2419632)
Sicherheitsupdate für Windows XP (KB2423089)
Sicherheitsupdate für Windows XP (KB2436673)
Sicherheitsupdate für Windows XP (KB2440591)
Sicherheitsupdate für Windows XP (KB2443105)
Sicherheitsupdate für Windows XP (KB2476490)
Sicherheitsupdate für Windows XP (KB2476687)
Sicherheitsupdate für Windows XP (KB2478960)
Sicherheitsupdate für Windows XP (KB2478971)
Sicherheitsupdate für Windows XP (KB2479628)
Sicherheitsupdate für Windows XP (KB2479943)
Sicherheitsupdate für Windows XP (KB2481109)
Sicherheitsupdate für Windows XP (KB2483185)
Sicherheitsupdate für Windows XP (KB2485376)
Sicherheitsupdate für Windows XP (KB2485663)
Sicherheitsupdate für Windows XP (KB2503658)
Sicherheitsupdate für Windows XP (KB2503665)
Sicherheitsupdate für Windows XP (KB2506212)
Sicherheitsupdate für Windows XP (KB2506223)
Sicherheitsupdate für Windows XP (KB2507618)
Sicherheitsupdate für Windows XP (KB2507938)
Sicherheitsupdate für Windows XP (KB2508272)
Sicherheitsupdate für Windows XP (KB2508429)
Sicherheitsupdate für Windows XP (KB2509553)
Sicherheitsupdate für Windows XP (KB2511455)
Sicherheitsupdate für Windows XP (KB2524375)
Sicherheitsupdate für Windows XP (KB2535512)
Sicherheitsupdate für Windows XP (KB2536276-v2)
Sicherheitsupdate für Windows XP (KB2536276)
Sicherheitsupdate für Windows XP (KB2544893-v2)
Sicherheitsupdate für Windows XP (KB2544893)
Sicherheitsupdate für Windows XP (KB2555917)
Sicherheitsupdate für Windows XP (KB2562937)
Sicherheitsupdate für Windows XP (KB2566454)
Sicherheitsupdate für Windows XP (KB2567053)
Sicherheitsupdate für Windows XP (KB2567680)
Sicherheitsupdate für Windows XP (KB2570222)
Sicherheitsupdate für Windows XP (KB2570947)
Sicherheitsupdate für Windows XP (KB2584146)
Sicherheitsupdate für Windows XP (KB2585542)
Sicherheitsupdate für Windows XP (KB2592799)
Sicherheitsupdate für Windows XP (KB2598479)
Sicherheitsupdate für Windows XP (KB2603381)
Sicherheitsupdate für Windows XP (KB2618451)
Sicherheitsupdate für Windows XP (KB2619339)
Sicherheitsupdate für Windows XP (KB2620712)
Sicherheitsupdate für Windows XP (KB2621440)
Sicherheitsupdate für Windows XP (KB2624667)
Sicherheitsupdate für Windows XP (KB2631813)
Sicherheitsupdate für Windows XP (KB2633171)
Sicherheitsupdate für Windows XP (KB2639417)
Sicherheitsupdate für Windows XP (KB2641653)
Sicherheitsupdate für Windows XP (KB2646524)
Sicherheitsupdate für Windows XP (KB2647518)
Sicherheitsupdate für Windows XP (KB2653956)
Sicherheitsupdate für Windows XP (KB2659262)
Sicherheitsupdate für Windows XP (KB2660465)
Sicherheitsupdate für Windows XP (KB2661637)
Sicherheitsupdate für Windows XP (KB2676562)
Sicherheitsupdate für Windows XP (KB2686509)
Sicherheitsupdate für Windows XP (KB2695962)
Sicherheitsupdate für Windows XP (KB923561)
Sicherheitsupdate für Windows XP (KB938464-v2)
Sicherheitsupdate für Windows XP (KB946648)
Sicherheitsupdate für Windows XP (KB950974)
Sicherheitsupdate für Windows XP (KB951066)
Sicherheitsupdate für Windows XP (KB951748)
Sicherheitsupdate für Windows XP (KB952004)
Sicherheitsupdate für Windows XP (KB952954)
Sicherheitsupdate für Windows XP (KB954459)
Sicherheitsupdate für Windows XP (KB954600)
Sicherheitsupdate für Windows XP (KB955069)
Sicherheitsupdate für Windows XP (KB956572)
Sicherheitsupdate für Windows XP (KB956744)
Sicherheitsupdate für Windows XP (KB956802)
Sicherheitsupdate für Windows XP (KB956803)
Sicherheitsupdate für Windows XP (KB956844)
Sicherheitsupdate für Windows XP (KB957097)
Sicherheitsupdate für Windows XP (KB958644)
Sicherheitsupdate für Windows XP (KB958687)
Sicherheitsupdate für Windows XP (KB958869)
Sicherheitsupdate für Windows XP (KB959426)
Sicherheitsupdate für Windows XP (KB960225)
Sicherheitsupdate für Windows XP (KB960803)
Sicherheitsupdate für Windows XP (KB960859)
Sicherheitsupdate für Windows XP (KB961371)
Sicherheitsupdate für Windows XP (KB961501)
Sicherheitsupdate für Windows XP (KB968537)
Sicherheitsupdate für Windows XP (KB969059)
Sicherheitsupdate für Windows XP (KB969947)
Sicherheitsupdate für Windows XP (KB970238)
Sicherheitsupdate für Windows XP (KB970430)
Sicherheitsupdate für Windows XP (KB971468)
Sicherheitsupdate für Windows XP (KB971486)
Sicherheitsupdate für Windows XP (KB971557)
Sicherheitsupdate für Windows XP (KB971633)
Sicherheitsupdate für Windows XP (KB971657)
Sicherheitsupdate für Windows XP (KB972270)
Sicherheitsupdate für Windows XP (KB973346)
Sicherheitsupdate für Windows XP (KB973354)
Sicherheitsupdate für Windows XP (KB973507)
Sicherheitsupdate für Windows XP (KB973525)
Sicherheitsupdate für Windows XP (KB973869)
Sicherheitsupdate für Windows XP (KB973904)
Sicherheitsupdate für Windows XP (KB974112)
Sicherheitsupdate für Windows XP (KB974318)
Sicherheitsupdate für Windows XP (KB974392)
Sicherheitsupdate für Windows XP (KB974571)
Sicherheitsupdate für Windows XP (KB975025)
Sicherheitsupdate für Windows XP (KB975467)
Sicherheitsupdate für Windows XP (KB975560)
Sicherheitsupdate für Windows XP (KB975561)
Sicherheitsupdate für Windows XP (KB975562)
Sicherheitsupdate für Windows XP (KB975713)
Sicherheitsupdate für Windows XP (KB977165)
Sicherheitsupdate für Windows XP (KB977816)
Sicherheitsupdate für Windows XP (KB977914)
Sicherheitsupdate für Windows XP (KB978037)
Sicherheitsupdate für Windows XP (KB978251)
Sicherheitsupdate für Windows XP (KB978262)
Sicherheitsupdate für Windows XP (KB978338)
Sicherheitsupdate für Windows XP (KB978542)
Sicherheitsupdate für Windows XP (KB978601)
Sicherheitsupdate für Windows XP (KB978706)
Sicherheitsupdate für Windows XP (KB979309)
Sicherheitsupdate für Windows XP (KB979482)
Sicherheitsupdate für Windows XP (KB979559)
Sicherheitsupdate für Windows XP (KB979683)
Sicherheitsupdate für Windows XP (KB979687)
Sicherheitsupdate für Windows XP (KB980195)
Sicherheitsupdate für Windows XP (KB980218)
Sicherheitsupdate für Windows XP (KB980232)
Sicherheitsupdate für Windows XP (KB980436)
Sicherheitsupdate für Windows XP (KB981322)
Sicherheitsupdate für Windows XP (KB981852)
Sicherheitsupdate für Windows XP (KB981957)
Sicherheitsupdate für Windows XP (KB981997)
Sicherheitsupdate für Windows XP (KB982132)
Sicherheitsupdate für Windows XP (KB982214)
Sicherheitsupdate für Windows XP (KB982665)
Sicherheitsupdate für Windows XP (KB982802)
Skype™ 5.0
sv.net
TeamViewer 6
TomTom HOME 2.8.2.2264
TomTom HOME Visual Studio Merge Modules
Uniblue DriverScanner
Uniblue RegistryBooster
Uniblue SpeedUpMyPC
Update für Microsoft Windows (KB971513)
Update für Windows Internet Explorer 8 (KB975364)
Update für Windows Internet Explorer 8 (KB976662)
Update für Windows Internet Explorer 8 (KB976749)
Update für Windows Internet Explorer 8 (KB980182)
Update für Windows XP (KB2141007)
Update für Windows XP (KB2345886)
Update für Windows XP (KB2467659)
Update für Windows XP (KB2541763)
Update für Windows XP (KB2607712)
Update für Windows XP (KB2616676)
Update für Windows XP (KB2641690)
Update für Windows XP (KB943729)
Update für Windows XP (KB951978)
Update für Windows XP (KB955759)
Update für Windows XP (KB955839)
Update für Windows XP (KB967715)
Update für Windows XP (KB968389)
Update für Windows XP (KB971029)
Update für Windows XP (KB971737)
Update für Windows XP (KB973687)
Update für Windows XP (KB973815)
Update for Microsoft .NET Framework 3.5 SP1 (KB963707)
VBA (2701.01)
WebFldrs XP
Wichtiges Update für Windows Media Player 11 (KB959772)
Windows Genuine Advantage Notifications (KB905474)
Windows Installer 4.5 (KB942288-v3)
Windows Internet Explorer 8
Windows PowerShell(TM) 1.0
Windows Update Agent 3.0
WinRAR
XML Paper Specification Shared Components Language Pack 1.0
XP Codec Pack
.
==== End Of File ===========================

Und zum Schluss die Gmer.txt:

GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-05-12 11:39:28
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-5 WDC_WD1600BEVT-22ZCT0 rev.11.01A11
Running: e6hme6lu.exe; Driver: C:\DOKUME~1\Mustermann\LOKALE~1\Temp\pxtdqpog.sys


---- System - GMER 1.0.15 ----

SSDT \SystemRoot\system32\DRIVERS\AVGIDSShim.Sys ZwOpenProcess [0xBA3F1738]
SSDT \SystemRoot\system32\DRIVERS\AVGIDSShim.Sys ZwTerminateProcess [0xBA3F17DC]
SSDT \SystemRoot\system32\DRIVERS\AVGIDSShim.Sys ZwTerminateThread [0xBA3F1878]
SSDT \SystemRoot\system32\DRIVERS\AVGIDSShim.Sys ZwWriteVirtualMemory [0xBA3F1914]

---- Kernel code sections - GMER 1.0.15 ----

? avgrkx86.sys Das System kann die angegebene Datei nicht finden. !
? AVGIDSEH.Sys Das System kann die angegebene Datei nicht finden. !
? system32\DRIVERS\avgtdix.sys Das System kann den angegebenen Pfad nicht finden. !
? system32\DRIVERS\AVGIDSShim.Sys Das System kann den angegebenen Pfad nicht finden. !
? system32\DRIVERS\AVGIDSFilter.Sys Das System kann den angegebenen Pfad nicht finden. !
? system32\DRIVERS\AVGIDSDriver.Sys Das System kann den angegebenen Pfad nicht finden. !
? C:\DOKUME~1\Mustermann\LOKALE~1\Temp\mbr.sys Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text C:\Programme\Mozilla Firefox\firefox.exe[2936] ntdll.dll!LdrLoadDll 7C92632D 5 Bytes JMP 01219720 C:\Programme\Mozilla Firefox\xul.dll (Mozilla Foundation)
.text C:\Programme\Mozilla Firefox\firefox.exe[2936] kernel32.dll!VirtualAlloc 7C809AF1 5 Bytes JMP 0144E21B C:\Programme\Mozilla Firefox\xul.dll (Mozilla Foundation)
.text C:\Programme\Mozilla Firefox\firefox.exe[2936] kernel32.dll!MapViewOfFile 7C80B9A5 5 Bytes JMP 0144E1F4 C:\Programme\Mozilla Firefox\xul.dll (Mozilla Foundation)
.text C:\Programme\Mozilla Firefox\firefox.exe[2936] GDI32.dll!CreateDIBSection 77EF9E19 5 Bytes JMP 0144E17E C:\Programme\Mozilla Firefox\xul.dll (Mozilla Foundation)

---- Devices - GMER 1.0.15 ----

AttachedDevice \FileSystem\Ntfs \Ntfs AVGIDSFilter.Sys
AttachedDevice \Driver\Tcpip \Device\Ip avgtdix.sys
AttachedDevice \Driver\Tcpip \Device\Tcp avgtdix.sys
AttachedDevice \Driver\Tcpip \Device\Udp avgtdix.sys
AttachedDevice \Driver\Tcpip \Device\RawIp avgtdix.sys

---- Files - GMER 1.0.15 ----

File C:\Dokumente und Einstellungen\Mustermann\Lokale Einstellungen\Temp\Perflib_Perfdata_880.dat 16384 bytes

---- EOF - GMER 1.0.15 ----

hi,
öffne malwarebytes, logdateien, poste berichte mit funden.
öffne kaspersky, fundmeldungen sollte es auch unter den ereignissen geben.
die infektionsquelle war evtl. eine mail.
an solchen mails mit rechnung, mahnung und sonstigen anhängen, von unbekannten absendern bin ich interessiert.
wenn du ein mail programm nutzt, dann mail markieren, rechtsklick, speichern unter, typ:
.eml einstellen.
dann mail an:
http://markusg.trojaner-board.de
dort die soeben erstellte datei anhängen.
wenn du deine mails über den browser abrufst, sag mir mal welchen anbieter du nutzt, dann geht das ein bisschen anders.
bitte warne freunde, bekannte, verwante etc vor dieser masche, und lasse ihnen ruhig diese mail adresse zukommen.
sie können dann dorthin solche verdächtigen mails senden.
diese helfen uns dann, angemessen auf neue bedrohungen zu reagieren, da diese schadsoftware auch updates erhält ist das wichtig.

Hallo Markus,

erstmal danke für deine schnelle Antwort.
Erstmal, ja, es war eine E-mail von der die Infektion ausging. Leider wurde die Mail schon gelöscht. (Abruf eines T-online-Kontos über Outlook 2003; mein GMX-Account hat die Mail als Virus erkannt und rausgefiltert!) Ich fürcht, da gibt's keine Möglichkeit ne gelösche Mail wieder herzustellen???

Bei Kaspersky hab ich nichts gefunden, welche Dateien brauchst du da denn genau?

Ich hoffe, dass ich die richtige Datei von Malwarebytes erwischt habe. Datum und Uhrzeit passen auf jeden Fall:

Malwarebytes Anti-Malware (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.12.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Mustermann :: BÜRO [Administrator]

Schutz: Aktiviert

12.05.2012 09:44:31
mbam-log-2012-05-12 (09-44-31).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 214995
Laufzeit: 4 Minute(n), 56 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 2
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Registrierungswerte: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.

Infizierte Dateiobjekte der Registrierung: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools (PUM.Hijack.Regedit) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt.

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\RECYCLER\S-1-5-21-1757981266-287218729-1417001333-1003\Dc16.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\RECYCLER\S-1-5-21-1757981266-287218729-1417001333-1003\Dc14\DecryptHelper-0.5.3.exe (Trojan.FakeAlert) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

naja, kaspersky müsste die ereignisse protokolieren, diese meldungen benötige ich.
um genau zu sein, die fundmeldungen :-)

So, ich hab da noch was von Kaspersky gefunden. Die Datei heißt "ScanObject.txt".
Könnte das sein, was du brauchst:

Untersuchung von Objekten: wurde abgeschlossen vor 1 Stunde (Ereignis: 2, Objekte: 172242, Zeit: 00:25:38)
11.05.12 20:23 Aufgabe wurde abgeschlossen
11.05.12 19:58 Aufgabe wurde gestartet
Untersuchung von Objekten: wurde abgeschlossen vor 1 Stunde (Ereignis: 22, Objekte: 173329, Zeit: 00:34:02)
11.05.12 21:11 Aufgabe wurde abgeschlossen
11.05.12 21:11 Gelöscht: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe
11.05.12 21:11 Desinfiziert: Trojan.Win32.Inject.ebmp HKEY_USERS\S-1-5-21-1757981266-287218729-1417001333-1003\Software\Microsoft\Windows\CurrentVersion\Run/6C5684FD
11.05.12 21:11 Desinfiziert: Trojan.Win32.Inject.ebmp HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Winlogon/UserInit
11.05.12 21:11 Gefunden: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe
11.05.12 21:11 Gelöscht: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.750/Abrechnung.exe
11.05.12 21:11 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.750/Abrechnung.exe
11.05.12 21:11 Gelöscht: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.343/Abrechnung.exe
11.05.12 21:11 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.343/Abrechnung.exe
11.05.12 21:11 Gelöscht: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Anwendungsdaten/Fnjff/27E4B1A56C5684FD93EA.exe
11.05.12 21:01 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Anwendungsdaten/Fnjff/27E4B1A56C5684FD93EA.exe
11.05.12 21:00 Nicht desinfizierte Objekte: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe Zurückgestellt
11.05.12 21:00 Gefunden: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe
11.05.12 20:55 Nicht desinfizierte Objekte: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe Zurückgestellt
11.05.12 20:55 Gefunden: Trojan.Win32.Inject.ebmp C:/WINDOWS/system32/D6F081CF6C5684FDC9A7.exe
11.05.12 20:45 Nicht desinfizierte Objekte: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.750/Abrechnung.exe Zurückgestellt
11.05.12 20:45 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.750/Abrechnung.exe
11.05.12 20:45 Nicht desinfizierte Objekte: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.343/Abrechnung.exe Zurückgestellt
11.05.12 20:45 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Lokale Einstellungen/Temp/Rar$EX02.343/Abrechnung.exe
11.05.12 20:41 Nicht desinfizierte Objekte: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Anwendungsdaten/Fnjff/27E4B1A56C5684FD93EA.exe Zurückgestellt
11.05.12 20:41 Gefunden: Trojan.Win32.Inject.ebmp C:/Dokumente und Einstellungen/mustermann/Anwendungsdaten/Fnjff/27E4B1A56C5684FD93EA.exe
11.05.12 20:37 Aufgabe wurde gestartet
Untersuchung von Objekten: wurde abgeschlossen vor weniger als einer Minute (Ereignis: 2, Objekte: 138170, Zeit: 00:24:09)
11.05.12 22:12 Aufgabe wurde abgeschlossen
11.05.12 21:48 Aufgabe wurde gestartet

welche probleme gibts momentan noch?

Der Rechner läuft zur Zeit. Die Dateien sind eben im Moment noch verschlüsselt. Aber sonst sind mir keine weiteren Probleme bekannt.

da musst du leider abwarten bis es nen neues tool gibt zum entschlüsseln

Das hab ich mitbekommen. Mir war wichtig zu wissen, ob der Rechner wieder sauber ist, oder ob ich da noch irgendwas machen muss/kann.

ne, der rechner is ok.