Hallo zusammen,

ich weiß leider nicht, ob ich diese Thema hier überhaupt posten kann oder darf aber probiere es trotzdem mal in der Hoffnung, dass mir jemand helfen kann.

Auf meinem Rechner befindet sich eine Software, die "PC Agent 4.1.1.1" heisst.
Meine Exfreundin hatte diese Software damals in meiner Abwesenheit installiert um ihre Neugierde zu befriedigen, was ich so alles mit dem PC mache.
Das das so ist, ist mir erst vor ein paar Tagen aufgefallen. Ich war zwar ziemlich verwundert, dass sie immer meine Passwörter zu email-accounts rausbekommen hat, etc, habe sie aber nicht weiter darauf angesprochen.
Ich möchte die Software aber deaktivieren, bzw. löschen, finde sie auf meinem Rechner aber nirgends. Beim hochfahren im Windows XP bekomme ich die Mitteilung, dass mein PC überwacht wird und ich einen Registrierungsschlüssel brauche.
Habe schon in Erfahrung gebracht, dass die Software bei http://www.blue-series.de downzuloaden ist. Die Registrierung (dann in der Vollversion) kostet jedoch knapp 50,00 Euro. Das Geld will ich aber nicht investieren, ich will die Software nur loswerden. Leider finde ich jedoch über die Suche im Explorer die Software nicht (installiert ist sie aber 100%ig!!)

Hat jemand vielleicht eine Idee und kann mir dabei weiterhelfen ?
Wäre sehr dankbar, denn nicht Herr über den eigenen PC zu sein ist schon sch.... (ausserdem weiß ich auch nicht, ob möglicherweise meine Ex das auch noch so eingestellt hat, dass die Auswertungsprotokolle heimlich per email übermittelt werden können - schliesslich bin ich ja wegen Flat permanent online inkl. mein email-account).

Vielen Dank im Voraus

Günter

Poste mal bitte ein HJT-Log gemäß folgender Anleitung:

http://www.trojaner-board.de/showthread.php?t=17493

Zudem bitte noch ein Log von Sysinternals Rootkitrevealer. Hierbei ist zu beachten, dass keine anderen Programme laufen sollten und Du währende des Scans am besten nichts am Rechner machst (dauert etwa 10 Minuten). Dieses Log (File -> Save) ebenfalls posten.

Edit:

Andere Möglichkeit: Du meldest Dich beim Hersteller und erlärst ihm, dass unrechtmäßig dieses Programm auf Deinem Rechner installiert wurde und forderst ihn auf, Dir ein Removal-Tool zukommen zu lassen.
Noch ne Möglichkeit: Du forderst Deine Ex auf, dass Programm über das Controll-Center zu entfernen, da sie anderweitig rechtliche Konsequenzen zu befürchten hätte.

Hallo,

bei blue series heißt es

Wie kann ich PC Agent wieder deinstallieren?

Zum deinstallieren des Überwachungsprozess klicken Sie auf Deinstallieren im Hauptmenu des Control-Centers. Der komplette Überwachungsprozess wird daraufhin deinstalliert und das Control-Center wird beendet.

Wenn Du mangels Passwort nicht in dieses Controll Center kommst, dann befolge den Tip von MightyMarc und drohe Deiner Freundin an, ggf. einen Anwalt einzuschalten wenn Sie Die die Zugangsdaten nicht gibt.

Gruß

Schrulli

Vielen Dank schon mal für die ersten Antworten. Wenn ich heute Abend zuhause bin werde ich erst mal den scan machen und posten.

So habe nun in HJT-Scan gemacht und hoffe, dass da jemand was mit anfangen kann, damit ich diese Software removen kann. Wie gesagt, ich weiß sogar wo auf dem Rechner die Software liegt, kann jedoch ohne Passwort nichts machen, bzw. weiß ich nicht, wo und wie die Software Protokolle auf meinem Rechner hinterlegt, bzw. ob diese irgendwie per mail verschickt werden.

Logfile of HijackThis v1.99.1
Scan saved at 17:22:42, on 14.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\System32\drivers\CDAC11BA.EXE
C:\Programme\ewido anti-malware\ewidoctrl.exe
C:\WINDOWS\Mixer.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Multimedia Card Reader\shwicon2k.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
C:\Programme\PowerPDF Professional\pwrpdfsrv.exe
C:\Programme\Microsoft AntiSpyware\gcasServ.exe
C:\Programme\Symantec\LiveUpdate\ALUNOTIFY.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Java\jre1.5.0_01\bin\jucheck.exe
C:\Programme\Kazaa Lite\clean.kmd
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Shareaza\Shareaza.exe
C:\Programme\rsss\estr.exe
C:\Programme\VeriSign\NAVI\naviagent.exe
C:\Programme\FRITZ!DSL\StCenter.exe
C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
C:\ScanPanel\ScnPanel.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft AntiSpyware\gcasDtServ.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\PROGRA~1\VeriSign\NAVI\NAVICL~1.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\?hkntfs.exe
D:\Hijackthis 2006\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://lookfor.cc/sp.php?pin=10001
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://lookfor.cc?pin=10001
R3 - URLSearchHook: i-Nav IDN SearchHook - {CE000994-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
R3 - URLSearchHook: (no name) - {B75C019C-B858-C8AB-7DE6-BD9EFB3602C6} - C:\WINDOWS\system32\ztzokhxh.dll
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: (no name) - {B75C019C-B858-C8AB-7DE6-BD9EFB3602C6} - C:\WINDOWS\system32\ztzokhxh.dll
O2 - BHO: i-Nav IDN Resolver - {CE000992-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll (file missing)
O3 - Toolbar: &SearchBar - {0494D0D9-F8E0-41ad-92A3-14154ECE70AC} - C:\Programme\MyWay\myBar\1.bin\MYBAR.DLL (file missing)
O3 - Toolbar: MSN - {BDAD1DAD-C946-4A17-ADC1-64B5B4FF55D0} - C:\Programme\MSN Apps\MSN Toolbar\01.02.4000.1001\de\msntb.dll (file missing)
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [C-Media Mixer] Mixer.exe /startup
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\System32\NeroCheck.exe
O4 - HKLM\..\Run: [PE2CKFNT SE] C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\ChkFont.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\System32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [Sunkist2k] C:\Programme\Multimedia Card Reader\shwicon2k.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_01\bin\jusched.exe
O4 - HKLM\..\Run: [XM2002] C:\Programme\IPPS\XM2002®\XM2002.exe -auto
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKLM\..\Run: [pwrpdfprsrv.exe] C:\Programme\PowerPDF Professional\pwrpdfsrv.exe
O4 - HKLM\..\Run: [KAZAA] "C:\Programme\Kazaa Lite\start.exe" "C:\Programme\Kazaa Lite\clean.kmd" /SYSTRAY
O4 - HKLM\..\Run: [gcasServ] "C:\Programme\Microsoft AntiSpyware\gcasServ.exe"
O4 - HKLM\..\Run: [ALUAlert] C:\Programme\Symantec\LiveUpdate\ALUNOTIFY.EXE
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [SpyKiller] C:\Programme\SpyKiller\spykiller.exe /startup
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Pjub] C:\WINDOWS\system32\?hkntfs.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Shareaza] "C:\Programme\Shareaza\Shareaza.exe" -tray
O4 - HKCU\..\Run: [Rlos] "C:\Programme\rsss\estr.exe" -vt ndrv
O4 - Startup: FRITZ!DSL Internet.lnk = C:\Programme\FRITZ!DSL\FritzDsl.exe
O4 - Global Startup: FRITZ!DSL Startcenter.lnk = C:\Programme\FRITZ!DSL\StCenter.exe
O4 - Global Startup: InterVideo WinCinema Manager.lnk = C:\Programme\InterVideo\Common\Bin\WinCinemaMgr.exe
O4 - Global Startup: Photo Express Calendar Checker SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 2 SE\CalCheck.exe
O4 - Global Startup: ScanPanel.lnk = C:\ScanPanel\ScnPanel.exe
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_01\bin\npjpi150_01.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Recherche-Assistent - {9455301C-CF6B-11D3-A266-00C04F689C50} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Researcher\EROPROJ.DLL
O9 - Extra button: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra 'Tools' menuitem: Hilfe zu i-Nav - {CE000992-A58C-4441-8938-744CD72AB27F} - http://idn.verisign-grs.com/plug-in/support/index.jsp (file missing)
O9 - Extra button: (no name) - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O9 - Extra 'Tools' menuitem: Optionen für i-Nav - {CE000996-A58C-4441-8938-744CD72AB27F} - C:\Programme\VeriSign\i-Nav\i-nav_4_2_1.dll
O9 - Extra button: XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\IPPS\XM2002®\XM2002.exe (file missing)
O9 - Extra 'Tools' menuitem: &XM2002® - {ECC5777A-6E88-BFCE-13CE-81F134789E7B} - C:\Programme\IPPS\XM2002®\XM2002.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMessengerSetupDownloader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\System32\drivers\CDAC11BA.EXE
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\ewido anti-malware\ewidoctrl.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: VeriSign Updater (navi) - VeriSign, Inc. - C:\Programme\VeriSign\NAVI\naviagent.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


Wäre sehr dankbar, wenn mir jemand weiterhelfen kann.

Ausser der üblichen Malware, bisher nichts auffälliges in Richtung Überwachungstool. Ich denke das Log von Rootkitrevealer wird mehr Licht in die Sache bringen.

so und hier noch der scan von RootkitReveal:

HKLM\S-1-5-21-789336058-839522115-682003330-1004\RemoteAccess\InternetProfile 13.04.2004 21:29 21 bytes Data mismatch between Windows API and raw hive data.
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\{10BCC278-E2FC-473D-58EC-E4BB7DA43D01}* 23.08.2005 18:11 0 bytes Key name contains embedded nulls (*)
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Nacu\Ttat 14.02.2006 17:57 12 bytes Data mismatch between Windows API and raw hive data.
HKLM\S-1-5-21-789336058-839522115-682003330-1004\Software\Nacu\Mrot 14.02.2006 17:57 8 bytes Data mismatch between Windows API and raw hive data.
HKLM\SYSTEM\ControlSet001\Services\mchInjDrv 14.02.2006 00:06 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet001\Services\Mklmonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet001\Services\Pcamonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\mchInjDrv 14.02.2006 00:06 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\Mklmonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
HKLM\SYSTEM\ControlSet003\Services\Pcamonservice 14.02.2006 00:05 0 bytes Hidden from Windows API.
C:\Programme\incredimail\bin\ Im3D.dll 30.10.1661 08:28 80.04 KB Visible in Windows API, but not in MFT or directory index.
C:\Programme\incredimail\bin\ ImLc.exe 30.10.1661 08:28 268.04 KB Visible in Windows API, but not in MFT or directory index.
C:\Programme\incredimail\bin\Im3D.dll 16.07.12165 06:59 80.04 KB Hidden from Windows API.
C:\Programme\incredimail\bin\ImLc.exe 11.04.12193 07:45 268.04 KB Hidden from Windows API.
C:\WINDOWS\system32\layaside.dat 14.02.2006 17:58 45.07 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat 14.02.2006 17:10 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212211045.dat 12.02.2006 21:12 5.18 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212211306.dat 12.02.2006 22:33 499.90 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060212223350.dat 12.02.2006 23:59 287.73 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213000007.dat 13.02.2006 02:15 499.29 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213021603.dat 13.02.2006 22:41 498.91 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060213224146.dat 13.02.2006 23:59 371.54 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214000024.dat 14.02.2006 00:04 13.07 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214000853.dat 14.02.2006 01:27 499.33 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214012717.dat 14.02.2006 07:26 499.39 KB Hidden from Windows API.
C:\WINDOWS\system32\mkldat\Günni20060214171041.dat 14.02.2006 17:58 92.36 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon10.dll 14.02.2006 00:05 93.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon20.dll 14.02.2006 00:05 88.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.dat 14.02.2006 00:05 249 bytes Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.dll 14.02.2006 00:05 36.50 KB Hidden from Windows API.
C:\WINDOWS\system32\mklmon32.exe 14.02.2006 00:05 166.57 KB Hidden from Windows API.
C:\WINDOWS\system32\pcadat 14.02.2006 00:06 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\pcamon10.dll 14.02.2006 00:06 89.00 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon20.dll 14.02.2006 00:06 87.50 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.dat 14.02.2006 00:06 705 bytes Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.dll 14.02.2006 00:06 34.00 KB Hidden from Windows API.
C:\WINDOWS\system32\pcamon32.exe 14.02.2006 00:06 206.07 KB Hidden from Windows API.


Ich gehe mal stark davon aus, dass das die Dateien sind mit pcamon ?!

Ich kann Dir das Gefrickel leider nicht ersparen. Also....

1. Entfernen der Dateien

Du bootest in die Windowswiederherstellungskonsole. Wie das geht ist hier ausführlich beschrieben:

http://support.microsoft.com/?scid=k...24120121120120

Dort gibtst Du nun nacheinander folgende Befehle ein (nach Eingabe jeder Zeile mit Enter bestätigen):

del /F /S /Q C:\WINDOWS\system32\mkldat\*.*
del /F /S /Q C:\WINDOWS\system32\mklom*.*
del /F /S /Q C:\WINDOWS\system32\pcamon*.*
del /F /S /Q C:\WINDOWS\system32\layaside.dat
rmdir /S /Q C:\WINDOWS\system32\mkldat
rmdir /S /Q C:\WINDOWS\system32\pcadat

2. Entfernen der Registrierungseinträge

Lade Dir RegDelNull von Sysinternals runter. Entpacke die Datei. Kopiere die regdelnull.exe aus dem Ordner "i386" in das Verzeichnis C:\Windows. Boote in den abgesicherten Modus.


Gehen Sie folgendermaßen vor, um eine der Optionen für einen abgesicherten Start zu verwenden:
1. Starten Sie Ihren Computer neu und drücken Sie die Taste [F8]. Auf einem Computer, der für das Starten mit mehreren Betriebssystemen konfiguriert ist, können Sie bei Anzeige des Auswahlmenüs die Taste [F8] drücken.
2. Wenn das Menü Windows - Erweiterte Optionen eingeblendet wird, wählen Sie eine Option aus und drücken Sie danach die [EINGABETASTE].
3. Wenn jetzt wieder das Menü Start mit den Worten "Abgesicherter Modus" in blauer Schrift am unteren Bildschirmrand eingeblendet wird, wählen Sie die Installation aus, die Sie starten möchten und drücken Sie danach die [EINGABETASTE].


Nun folgendes

Start (die Windows Startschaltfläche) -> Ausführen -> cmd (Enter drücken)
regdelnull -s HKLM
Bei Nachfrage das Löschen für die Einträge bestätigen (für alle Einträge die kommen).

Nun bitte nochmal ein Rootkitrevealer-Log erstellen und posten. Sollte diese Problem gefixed sein, kannst Du gleich mal hier im HJT-Forum ein HJT-Log posten, da dein Rechner, so wie ich das gesehen habe, auch noch andere Schadsoftware drauf hat.