Hallo,

hat irgendwer noch ne Idee?

Gruß,

Frank

Noch ein paar Rootkitscans. Wenn die uns aber nicht die Richtung zeigen, dann ist es das beste neu zu installieren. Windows XP ohne Servicepack 2 gibt es kaum noch Support und das hat schon seine Gründe.

Gmer scannen lassen

• Lade dir GMER von dieser Seite runter und entpacke es auf deinen Desktop.
• Starte gmer.exe und gehe zum Tab Rootkit. Alle anderen Programme sollen geschlossen sein.
• Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
• Wenn der Scan fertig ist klicke auf "Copy" um das Log in die Zwischenablage zu kopieren. Mit "Ok" wird GMER beendet.
• Füge das Log aus der Zwischenablage in deine Antwort hier ein.

Catchme scannen lassen

• Lade dir Catchme runter auf deinen Desktop.
• Starte Catchme.exe. Alle anderen Programme sollen geschlossen sein.
• Falls nach dem Ende des Scans im Fenster Dateien stehen, dann klicke auf "Zip" damit eine Kopie dieser Dateien erzeugt wird.
• Das Log ist in catchme.log, füge es vollständig in deine Antwort ein.

RootkitRevealer scannen lassen

• Lade RootkitRevealer runter und entpacke das Archiv in einen eigenen Ordner, z.B. C:\programme\rootkitrevealer.
• Starte in diesem Ordner RootkitReavealer.exe. Alle anderen Programme schließen. Achtung: Dieser Scanner ist sehr empfindlich dagegen, wenn der Computer während des Scans genutzt wird. Am besten während des Scans offline sein, den Virenscanner ausschalten und Tastatur und Maus nicht anfassen.
• Starte durch Klick auf "Scan".
• Wenn der Scan fertig ist das Logfile mit File -> Save abspeichern.

Hallo, hier erst mal das GMER Ergebnis:

GMER 1.0.12.12086 - http://www.gmer.net
Rootkit scan 2007-04-02 21:46:54
Windows 5.1.2600


---- System - GMER 1.0.12 ----

SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwClose
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwCreateKey
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwDeleteKey
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwDeleteValueKey
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwOpenKey
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwOpenProcess
SSDT \??\C:\WINDOWS\System32\drivers\HookCentre.sys ZwSetValueKey

---- Kernel code sections - GMER 1.0.12 ----

.text ntoskrnl.exe!KeInitializeInterrupt + B79 804D4F8E 1 Byte [ 06 ]
.text ntoskrnl.exe!KeI386Call16BitCStyleFunction + 170 804FC688 4 Bytes [ 10, 7D, 87, F7 ]
.text ntoskrnl.exe!KeI386Call16BitCStyleFunction + 1B0 804FC6C8 4 Bytes [ 70, 6D, 87, F7 ]
.text ntoskrnl.exe!KeI386Call16BitCStyleFunction + 208 804FC720 4 Bytes [ 50, 81, 87, F7 ]
.text ntoskrnl.exe!KeI386Call16BitCStyleFunction + 210 804FC728 4 Bytes [ 80, 83, 87, F7 ]
.text ntoskrnl.exe!KeI386Call16BitCStyleFunction + 2E8 804FC800 4 Bytes [ D0, 7D, 87, F7 ]
.text ...

---- Devices - GMER 1.0.12 ----

Device \Driver\Tcpip \Device\Ip IRP_MJ_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Ip IRP_MJ_INTERNAL_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_INTERNAL_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_INTERNAL_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_INTERNAL_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_INTERNAL_DEVICE_CONTROL [F792EAA4] GDTdiIcpt.sys

---- Files - GMER 1.0.12 ----

ADS C:\Dokumente und Einstellungen\Frank\Favoriten\eBay Deutschland :KAVICHS

---- EOF - GMER 1.0.12 ----

Catchme brachte keine kritischen Ergebnisse bzw. alle Parameter der Auswetung=0

Rootkit folgendes Ergebnis:

HKLM\SECURITY\Policy\Secrets\SAC* 26.08.2006 21:18 0 bytes Key name contains embedded nulls (*)
HKLM\SECURITY\Policy\Secrets\SAI* 26.08.2006 21:18 0 bytes Key name contains embedded nulls (*)