So habe nun in HJT-Scan gemacht und hoffe, dass da jemand was mit anfangen kann, damit ich diese Software removen kann. Wie gesagt, ich weiß sogar wo auf dem Rechner die Software liegt, kann jedoch ohne Passwort nichts machen, bzw. weiß ich nicht, wo und wie die Software Protokolle auf meinem Rechner hinterlegt, bzw. ob diese irgendwie per mail verschickt werden.

Logfile of HijackThis v1.99.1
Scan saved at 17:22:42, on 14.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\Mixer.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Multimedia Card Reader\shwicon2k.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
C:\Programme\PowerPDF Professional\pwrpdfsrv.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\Programme\Symantec\LiveUpdate\ALUNOTIFY.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Java\jre1.5.0_01\bin\jucheck.exe
C:\Programme\Kazaa Lite\clean.kmd
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Shareaza\Shareaza.exe
C:\Programme\rsss\estr.exe
C:\Programme\VeriSign\NAVI\naviagent.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
C:\ScanPanel\ScnPanel.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\PROGRA~1\VeriSign\NAVI\NAVICL~1.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\?hkntfs.exe
D:\Hijackthis 2006\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=10001
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=10001
R3 - URLSearchHook: i-Nav IDN SearchHook - {CE000994-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
R3 - URLSearchHook: (no name) - {B75C019C-B858-C8AB-7DE6-BD9EFB3602C6} - C:\WINDOWS\system32\ztzokhxh.dll
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {B75C019C-B858-C8AB-7DE6-BD9EFB3602C6} - C:\WINDOWS\system32\ztzokhxh.dll
O2 - BHO: i-Nav IDN Resolver - {CE000992-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll (file missing)
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Sunkist2k] C:\Programme\Multimedia Card Reader\shwicon2k.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [XM2002] C:\Programme\IPPS\XM2002®\XM2002.exe -auto
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [pwrpdfprsrv.exe] C:\Programme\PowerPDF Professional\pwrpdfsrv.exe
O4 - HKLM\..\Run: [KAZAA] "C:\Programme\Kazaa Lite\start.exe" "C:\Programme\Kazaa Lite\clean.kmd" /SYSTRAY
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [ALUAlert] C:\Programme\Symantec\LiveUpdate\ALUNOTIFY.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [SpyKiller] C:\Programme\SpyKiller\spykiller.exe /startup
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Pjub] C:\WINDOWS\system32\?hkntfs.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Shareaza] "C:\Programme\Shareaza\Shareaza.exe" -tray
O4 - HKCU\..\Run: [Rlos] "C:\Programme\rsss\estr.exe" -vt ndrv
O4 - Startup: FRITZ!DSL Internet.lnk = C:\Programme\FRITZ!DSL\FritzDsl.exe
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Photo Express Calendar Checker SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
O4 - Global Startup: ScanPanel.lnk = C:\ScanPanel\ScnPanel.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra 'Tools' menuitem: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra button: (no name) - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O9 - Extra 'Tools' menuitem: Optionen für i-Nav - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O9 - Extra button: XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\IPPS\XM2002®\XM2002.exe (file missing)
O9 - Extra 'Tools' menuitem: &XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\IPPS\XM2002®\XM2002.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: VeriSign Updater (navi) - VeriSign, Inc. - C:\Programme\VeriSign\NAVI\naviagent.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


Wäre sehr dankbar, wenn mir jemand weiterhelfen kann.

Ausser der üblichen Malware, bisher nichts auffälliges in Richtung Überwachungstool. Ich denke das Log von Rootkitrevealer wird mehr Licht in die Sache bringen.

so und hier noch der scan von RootkitReveal:

HKLM\S-1-5-21-789336058-839522115-682003330-1004\RemoteAccess\InternetProfile 13.04.2004 21:29 21 bytes Data mismatch between Windows API and raw hive data.
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{10BCC278-E2FC-473D-58EC-E4BB7DA43D01}* 23.08.2005 18:11 0 bytes Key name contains embedded nulls (*)
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Nacu\Ttat 14.02.2006 17:57 12 bytes Data mismatch between Windows API and raw hive data.
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Nacu\Mrot 14.02.2006 17:57 8 bytes Data mismatch between Windows API and raw hive data.
HKLM\SYSTEM\ControlSet001\Services\mchInjDrv 14.02.2006 00:06 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet001\Services\Mklmonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet001\Services\Pcamonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\mchInjDrv 14.02.2006 00:06 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\Mklmonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\Pcamonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
C:\Programme\incredimail\bin\ Im3D.dll 30.10.1661 08:28 80.04 KB Visible in Windows API, but not in MFT or directory index.
C:\Programme\incredimail\bin\ ImLc.exe 30.10.1661 08:28 268.04 KB Visible in Windows API, but not in MFT or directory index.
C:\Programme\incredimail\bin\Im3D.dll 16.07.12165 06:59 80.04 KB Hidden from Windows API.
C:\Programme\incredimail\bin\ImLc.exe 11.04.12193 07:45 268.04 KB Hidden from Windows API.
C:\WINDOWS\system32\layaside.dat 14.02.2006 17:58 45.07 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat 14.02.2006 17:10 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212211045.dat 12.02.2006 21:12 5.18 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212211306.dat 12.02.2006 22:33 499.90 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212223350.dat 12.02.2006 23:59 287.73 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213000007.dat 13.02.2006 02:15 499.29 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213021603.dat 13.02.2006 22:41 498.91 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213224146.dat 13.02.2006 23:59 371.54 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214000024.dat 14.02.2006 00:04 13.07 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214000853.dat 14.02.2006 01:27 499.33 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214012717.dat 14.02.2006 07:26 499.39 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214171041.dat 14.02.2006 17:58 92.36 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon10.dll 14.02.2006 00:05 93.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon20.dll 14.02.2006 00:05 88.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.dat 14.02.2006 00:05 249 bytes Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.dll 14.02.2006 00:05 36.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.exe 14.02.2006 00:05 166.57 KB Hidden from Windows API.
C:\WINDOWS\system32\pcadat 14.02.2006 00:06 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\pcamon10.dll 14.02.2006 00:06 89.00 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon20.dll 14.02.2006 00:06 87.50 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.dat 14.02.2006 00:06 705 bytes Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.dll 14.02.2006 00:06 34.00 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.exe 14.02.2006 00:06 206.07 KB Hidden from Windows API.


Ich gehe mal stark davon aus, dass das die Dateien sind mit pcamon ?!

Ich kann Dir das Gefrickel leider nicht ersparen. Also....

1. Entfernen der Dateien

Du bootest in die Windowswiederherstellungskonsole. Wie das geht ist hier ausführlich beschrieben:

http://support.microsoft.com/?scid=k...24120121120120

Dort gibtst Du nun nacheinander folgende Befehle ein (nach Eingabe jeder Zeile mit Enter bestätigen):

del /F /S /Q C:\WINDOWS\system32\mkldat\*.*
del /F /S /Q C:\WINDOWS\system32\mklom*.*
del /F /S /Q C:\WINDOWS\system32\pcamon*.*
del /F /S /Q C:\WINDOWS\system32\layaside.dat
rmdir /S /Q C:\WINDOWS\system32\mkldat
rmdir /S /Q C:\WINDOWS\system32\pcadat

2. Entfernen der Registrierungseinträge

Lade Dir RegDelNull von Sysinternals runter. Entpacke die Datei. Kopiere die regdelnull.exe aus dem Ordner "i386" in das Verzeichnis C:\Windows. Boote in den abgesicherten Modus.


Gehen Sie folgendermaßen vor, um eine der Optionen für einen abgesicherten Start zu verwenden:
1. Starten Sie Ihren Computer neu und drücken Sie die Taste [F8]. Auf einem Computer, der für das Starten mit mehreren Betriebssystemen konfiguriert ist, können Sie bei Anzeige des Auswahlmenüs die Taste [F8] drücken.
2. Wenn das Menü Windows - Erweiterte Optionen eingeblendet wird, wählen Sie eine Option aus und drücken Sie danach die [EINGABETASTE].
3. Wenn jetzt wieder das Menü Start mit den Worten "Abgesicherter Modus" in blauer Schrift am unteren Bildschirmrand eingeblendet wird, wählen Sie die Installation aus, die Sie starten möchten und drücken Sie danach die [EINGABETASTE].


Nun folgendes

Start (die Windows Startschaltfläche) -> Ausführen -> cmd (Enter drücken)
regdelnull -s HKLM
Bei Nachfrage das Löschen für die Einträge bestätigen (für alle Einträge die kommen).

Nun bitte nochmal ein Rootkitrevealer-Log erstellen und posten. Sollte diese Problem gefixed sein, kannst Du gleich mal hier im HJT-Forum ein HJT-Log posten, da dein Rechner, so wie ich das gesehen habe, auch noch andere Schadsoftware drauf hat.