Brauche Hilfe bei der Auswertung

Neophyte · 26.07.2007, 08:32

ich wollte mal fragen ob ihr mir bei der auswertung meines HijackThis Logfiles helfen würdet.

ich wollte euch nur um hilfe bitten damit ich das was da nicht hingehört entfernen kann ich habe zur zeit nämlich probleme mit meinem PC was warscheinlich an verschiedenen viren liegt wodurch der Computer zusehends langsamer wird und auch zu abstürzen neigt sobald ich Spybot S&D oder verschiedene andere Anti-Virenprogramme starte.

ich hab schon ein paar rausgesucht (die roten) von denen ich denke dass sie wegsollten aber ich bin mir halt noch nicht sicher. deswegen wollt ich euch nochmal um rat fragen nicht dass ich da unbewusst sch**** baue

hier ist das Log:

Logfile of HijackThis v1.99.1
Scan saved at 01:27:44, on 26.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UStorSrv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\DriveCleaner Free\udcwap.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe
C:\Programme\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.ogame.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://einwahl.oleco.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\*****\Programme\ICQToolbar\toolbaru.dll
R3 - URLSearchHook: (no name) - {0A94B116-4504-4e26-AB05-E61E474AA38B} - C:\Programme\AskPBar\SrchAstt\1.bin\A9SRCHAS.DLL
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\*****\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Ask Toolbar - {F4D76F09-7896-458a-890F-E1F05C46069F} - C:\Programme\AskPBar\bar\1.bin\ASKPBAR.DLL
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [AGEIA PhysX SysTray] C:\Programme\AGEIA Technologies\TrayIcon.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [MMTray] "C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe"
O4 - HKLM\..\Run: [mmtask] "C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [WA6PU_Check] "C:\Programme\Gemeinsame Dateien\DriveCleaner Free\udcwap.exe"
O4 - HKLM\..\Run: [NI.UWA6PU_0001_N91M2107] "C:\Dokumente und Einstellungen\*****\Anwendungsdaten\winantiviruspro2006freeinstall_de[1].exe" -nag
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\knwlfnmp.dll",realset
O4 - HKLM\..\Run: [Flashget] C:\*****\Programme\FlashGet\FlashGet.exe /min
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\system32\mstask.exe
O4 - HKCU\..\Run: [Steam] "c:\*****\spiele\valve\steam.exe" -silent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Registration .LNK = C:\Programme\Ubisoft\Dark Messiah of Might and Magic\RegistrationReminder.exe
O4 - Startup: Registration Prince of Persia T2T.LNK = C:\Programme\Ubisoft\Prince of Persia T2T\Support\Register\RegistrationReminder.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BlueSoleil.lnk = ?
O4 - Global Startup: RaConfig2500.lnk = C:\Programme\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
O4 - Global Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O4 - Global Startup: Ulead Photo Express SE Calendar Checker.lnk = ?
O8 - Extra context menu item: &Alles mit FlashGet laden - C:\*****\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: &Download All with FlashGet - C:\*****\Programme\FlashGet\jc_all.htm
O8 - Extra context menu item: &Download with FlashGet - C:\*****\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: &Mit FlashGet laden - C:\*****\Programme\FlashGet\jc_link.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\David\Programme\FlashGet\FlashGet.exe
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\*****\Programme\FlashGet\FlashGet.exe
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - h**p://cdn.drivecleaner.com/installdrivecleanerstart_de.cab
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - http://creative.com/su/ocx/15015/CTSUEng.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - h**p://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1145210651312
O16 - DPF: {7AA32FC7-133B-4AE7-998E-CED0D9829B12} (luna Class) - h**p://axcab.wrs.mcboo.com/website.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h**p://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7D7C785-D983-49C8-A23A-576E8583AF50}: NameServer = 192.168.122.252,192.168.122.253
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: dns cache reader (DNSCacheReader) - Unknown owner - C:\WINDOWS\system32\j9271930.exe (file missing)
O23 - Service: DomainService - Unknown owner - C:\WINDOWS\system32\wnmxjwur.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: UStorage Server Service - OTi - C:\WINDOWS\system32\UStorSrv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

ich hoffe ihr könnt/wollt mir da weiterhelfen
freue mich auf jeden fall über jede antwort

mfg Neophyte

Neophyte · 26.07.2007, 16:24

EDIT: ich hab áuch schon nen onlinescan bei kaspersky gemacht dabei wurden zwei mit dem gleichen Virus (Trojan-Downloader.Win32.Agent.bxr ) infiziert waren.

die beiden dateien hab ich dann auch gelöscht und nach einem widerholten scan waren sie dann nicht mehr da.

mit Win32 hatte ich in letzter Zeit auch schon ein paar...naja Probleme direkt warens nicht aber Vorkommnisse: manchma hat sich ein fenster geöffnet wo dann stand Dass eine Anwendung mit Win32 geblockt wurde.
ich hab die genaue meldung jetzt leider nicht mehr im kopf. sry...

als ich Spybot mal scannen lassen hab hab ich auch gesehen dass ich einträge von zwei programmen auf dem PC habe.
zum einen von Smitfraud (3 einträge; 2 löschbar) und zum anderen ein eintrag von Vitumode der sich auch nicht löschen ließ.

als ich das letzte mal eien scan mit Spybot gemacht habe hat sich allerdings der Computer von selbst neu gestartet was auch während eines scans von Avira AntiVir passiert ist

hoffe das hilft euch ein wenig mein poblem zu verstehen und mir evtl auch helfen zu können.

mfg Neophyte

26.07.2007, 18:21

Hallo,

Diese schädlichen Einträge solltest du fixen:

Code:

ATTFilter

 	
C:\Programme\Gemeinsame Dateien\DriveCleaner Free\udcwap.exe

R3 - URLSearchHook: (no name) - {0A94B116-4504-4e26-AB05-E61E474AA38B} - C:\Programme\AskPBar\SrchAstt\1.bin\A9SRCHAS.DLL

O4 - HKLM\..\Run: [WA6PU_Check] "C:\Programme\Gemeinsame Dateien\DriveCleaner Free\udcwap.exe"

O4 - HKLM\..\Run: [NI.UWA6PU_0001_N91M2107] "C:\Dokumente und Einstellungen\*****\Anwendungsdaten\winantiviruspr o2006freeinstall_de[1].exe" -nag

O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} - h**p://cdn.drivecleaner.com/installdrivecleanerstart_de.cab

und hier das Virtumonde Remove Tool downloaden und laufen lassen ...

MfG daalex

**Sunny** · 26.07.2007, 19:08

Das fixen alleine wird nicht viel bringen, die Dateien sind und bleiben auf der Festplatte bestehen und sind nach dem Start wieder aktiv.

Dateien Online überprüfen lassen:

* Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
(lass auch die versteckten Dateien anzeigen!)

Zitat:

C:\WINDOWS\system32\knwlfnmp.dll
C:\WINDOWS\system32\j9271930.exe
C:\WINDOWS\system32\wnmxjwur.exe

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

Vundofix

* Lade dir vundofix.exe
* Doppelklick VundoFix.exe
* Klicke "Scan" --> Vundo button.
* Nach dem Scannen, klicke den "Remove" Vundo button.
* Man wird nun gefragt, ob man "remove" will --> klicke YES
* Danach werden alle Desktop-Symbole verschwinden
* Dann wird man gefragt, ob der PC neustarten soll --> klicke OK.

MWAV (eScan) - Free Antivirus

-Lies dir folgende Anleitung genau durch und arbeite sie ab
-> Anleitung eScan
Wichtig: Poste im Anschluss das Ergebnis mit Hilfe der *find.bat'.
(rechte Maustaste auf den LINK 'find.bat' , dann "Ziel Speichern unter" -> Desktop)

Arbeite das alles ab, dann sehen wir, wie wir weiter vorgehen müssen.

Neophyte · 26.07.2007, 22:24

also ich hab jetzt erstmal das gemacht was daalex geschrieben hat.

ich hab die ganzen sachen gefixt und hab dann das Vitumonde Remove Tool laufen lassen. beides im abgesicherten Modus mit ausgeschalteter Systemwiderherstellung.
Das Virtumonde Remove Tool hat nach dem Scan angezeigt, dass die gesuchte datei gar nicht auf dem PC vorhanden ist.
anschließend hab ich nochmal einen HijackThis Scan gemacht, hier der Log:

Logfile of HijackThis v1.99.1
Scan saved at 23:19:22, on 26.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\UStorSrv.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\Dit.exe
C:\WINDOWS\AGRSMMSG.exe
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
C:\WINDOWS\system32\RunDll32.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\WINDOWS\mHotkey.exe
C:\WINDOWS\CNYHKey.exe
C:\Programme\Home Cinema\PowerCinema\PCMService.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe
C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe
C:\Programme\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.ogame.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://einwahl.oleco.de/
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\*****\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\*****\Programme\ICQToolbar\toolbaru.dll
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb04.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [CHotkey] mHotkey.exe
O4 - HKLM\..\Run: [ledpointer] CNYHKey.exe
O4 - HKLM\..\Run: [AGEIA PhysX SysTray] C:\Programme\AGEIA Technologies\TrayIcon.exe
O4 - HKLM\..\Run: [PCMService] "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [HotKey] C:\WINDOWS\Twain_32\FlatBed\HotKey.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [MMTray] "C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe"
O4 - HKLM\..\Run: [mmtask] "C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [NI.UWA6PU_0001_N91M2107] "C:\Dokumente und Einstellungen\*****\Anwendungsdaten\winantiviruspro2006freeinstall_de[1].exe" -nag
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [GPLv3] rundll32.exe "C:\WINDOWS\system32\knwlfnmp.dll",realset
O4 - HKLM\..\RunServices: [SchedulingAgent] C:\WINDOWS\system32\mstask.exe
O4 - HKCU\..\Run: [Steam] "c:\david\spiele\valve\steam.exe" -silent
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Startup: Registration .LNK = C:\Programme\Ubisoft\Dark Messiah of Might and Magic\RegistrationReminder.exe
O4 - Startup: Registration Prince of Persia T2T.LNK = C:\Programme\Ubisoft\Prince of Persia T2T\Support\Register\RegistrationReminder.exe
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: BlueSoleil.lnk = ?
O4 - Global Startup: RaConfig2500.lnk = C:\Programme\RALINK\RT2500 USB Wireless LAN Card\Installer\WINXP\RaConfig2500.exe
O4 - Global Startup: Ulead Kalendar Checker 4.0 SE.lnk = C:\Programme\Ulead Systems\Ulead Photo Express 4.0 SE\CalCheck.exe
O4 - Global Startup: Ulead Photo Express SE Calendar Checker.lnk = ?
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\*****\Programme\FlashGet\FlashGet.exe (file missing)
O9 - Extra 'Tools' menuitem: FlashGet - {D6E814A0-E0C5-11d4-8D29-0050BA6940E3} - C:\*****\Programme\FlashGet\FlashGet.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {09F1ADAC-76D8-4D0F-99A5-5C907DADB988} -
O16 - DPF: {0A5FD7C5-A45C-49FC-ADB5-9952547D5715} (Creative Software AutoUpdate) - h**p://creative.com/su/ocx/15015/CTSUEng.cab
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - h**p://www.kaspersky.com/kos/german/partner/de/kavwebscan_unicode.cab
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {215B8138-A3CF-44C5-803F-8226143CFC0A} (Trend Micro ActiveX Scan Agent 6.6) - h**p://housecall65.trendmicro.com/housecall/applet/html/native/x86/win32/activex/hcImpl.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1145210651312
O16 - DPF: {7AA32FC7-133B-4AE7-998E-CED0D9829B12} (luna Class) - h**p://axcab.wrs.mcboo.com/website.cab
O16 - DPF: {C3F79A2B-B9B4-4A66-B012-3EE46475B072} (MessengerStatsClient Class) - h**p://messenger.zone.msn.com/binary/MessengerStatsPAClient.cab56907.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C7D7C785-D983-49C8-A23A-576E8583AF50}: NameServer = 192.168.122.252,192.168.122.253
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\MSNMES~1\MSGRAP~1.DLL
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe (file missing)
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: dns cache reader (DNSCacheReader) - Unknown owner - C:\WINDOWS\system32\j9271930.exe (file missing)
O23 - Service: DomainService - Unknown owner - C:\WINDOWS\system32\wnmxjwur.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: UStorage Server Service - OTi - C:\WINDOWS\system32\UStorSrv.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe
O23 - Service: X10 Device Network Service (x10nets) - X10 - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

Kopfzerbrechen Bereiten mir die Rot markierten einträge.
der erste von WinAntiVir lässt sich nicht entfernen und die von Flashget...naja die einträge hab ich gelöscht weil das Teil ja nicht mal installiert is und die Dateien auch nicht mehr.

Anschließend hab ich dann noch, wie hier beschrieben das Programm zur entfernung von Smitfraud c durchgearbeitet. bis zu dem check mit Spybot bin ich gekommen aber dann hat sich der PC von Selbst neu gestartet als Spybot mit seinem Scan ca. mit 3/4 durch war.

als ich dann wieder normal (nicht mehr abgesicherter modus) auf mein Profil zurück bin hat mich erstmal ein hellblauer hintergrund erwartet.

wie hir zu sehen:

ich wed jetzt noch mal das ausprobieren was du gepostet hast, [Gc]Sunny

außerdem denke ich dass ich auch noch outerinfo auf dem Computer hab das weiß ich allerdings nicht so genau.
hoffe das is nicht zu viel Text...aber schon mal vielen vielen dank für eure Hilfe

BataAlexander · 26.07.2007, 22:31

dann kannst Du jetzt mal bei Sunnys Erläuterung anfangen, ist alles noch da.

Bata

Neophyte · 27.07.2007, 02:13

Also Hier Das Ergebnis von Sunnys Erläuterungen:

ich werde das ganz geordnet von oben bis unten durchgehen...

1. der Onlinescan der drei dateien

Zitat:

C:\WINDOWS\system32\knwlfnmp.dll
C:\WINDOWS\system32\j9271930.exe
C:\WINDOWS\system32\wnmxjwur.exe

schlug fehl. eigentlich nur deswegen weil ich keine der drei dateien finden konnte, obwohl ich den anweisungen genauestens gefolgt bin.

Anmerkung: was ich vergessen hatte zu erwähnen ist, dass seit geraumer Zeit kurz nach hochfahren des Computers und laden meines Profils zwei Meldungen kommen die vorher nicht da waren.
die eine meldet mir dass sich kein dateträger im laufwerk befindet und die andere ist eine Meldung von RUNDLL die besagt dass knwlfnmp.dll nicht geladen werden konnte, weil das angegebene Modul nicht gefunden wurde. (!!!)

2. der Scan mit VundoFix war ein kleiner Erfolg. es wurden ein paar dateien entfernt und das eine mal als ich mein profil seitdem normal geladen habe waren sogar die beiden oben genannten meldungen nicht mehr da.

3. und jetzt noch das LogFile von eScan.
ich kenn mich zwar damit nicht so aus aber ich kann mir nicht vorstelen dass es oft vorkommt dass jemand 12 Viren und 742 Fehler hat oder irre ich da? ein wunder dass PC noch nicht mutiert is...

e~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2007.06.16.01

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NORMAL

eScan Version: 9.3.5
Sprache: German
C:\DOKUME~1\***~1.***\LOKALE~1\Temp\MWAV.LOG

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme

wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme

wurde durchgeführt: Keine Aktion vorgenommen.
Object "Possible Fujacks-type Worm" in Dateisystem gefunden! Folgende Maßnahme

wurde durchgeführt: Keine Aktion vorgenommen.
System found infected with video activex access Trojan

({7e853d72-626a-48ec-a868-ba8d5e23e045})! Action taken: Keine Aktion

vorgenommen.
System found infected with mybugfreepc Corrupted Adware/Spyware

(C:\WINDOWS\unvise32.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with shangxing BackDoor (C:\WINDOWS\system32\svkp.sys)!

Action taken: Keine Aktion vorgenommen.
System found infected with shangxing BackDoor

(hkey_local_machine\system\controlset001\services\svkp)! Action taken: Keine

Aktion vorgenommen.

~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei C:\WINDOWS\system32\rpcc.dll infiziert von "Spyware.Unknown" Virus.

Aktion vorgenommen: Keine Aktion vorgenommen.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
File C:\Dokumente und

Einstellungen\*****\.housecall6.6\Quarantine\udcwap.exe.bac_a04740//

CryptFF.b markiert als "not-a-virus:Downloader.Win32.WinFixer.l". Folgende

Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
File C:\VundoFix Backups\ddayx.dll.bad//PE_Patch.PECompact markiert als

"not-a-virus:AdWare.Win32.Virtumonde.fp". Folgende Maßnahme wurde durchgeführt:

Keine Aktion vorgenommen.
File C:\WINDOWS\Downloaded Program

Files\CONFLICT.1\UDC6U_0001_D19M0709NetInstaller.exe markiert als

"not-a-virus:Downloader.Win32.WinFixer.m". Folgende Maßnahme wurde

durchgeführt: Keine Aktion vorgenommen.
File C:\WINDOWS\Downloaded Program Files\UDC6U_0001_D19M0709NetInstaller.exe

markiert als "not-a-virus:Downloader.Win32.WinFixer.m". Folgende Maßnahme wurde

durchgeführt: Keine Aktion vorgenommen.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Offending file found: C:\WINDOWS\unvise32.exe
Offending file found: C:\WINDOWS\system32\svkp.sys
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Offending Key found: HKCU\\magnet !!!
Offending Key found:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoint

s2\{08243dd8-aef5-11db-a71e-0011095705d6} !!!
Offending Key found:

HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Explorer\MountPoint

s2\{96a861c4-e5c3-11db-a7dd-0011095705d6} !!!

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Prozesse und Module
~~~~~~~~~~~~~~~~~~~~~~
Invalid Entry DllName = appmgmts.dll (in key SOFTWARE\Microsoft\Windows

NT\CurrentVersion\Winlogon\GPExtensions\{c6dc5466-785a-11d2-84d0-00c04fb169f7})

. Deleting Registry Key {c6dc5466-785a-11d2-84d0-00c04fb169f7}...
Invalid Entry DllName = efcywww.dll (in key SOFTWARE\Microsoft\Windows

NT\CurrentVersion\Winlogon\Notify\efcywww). Deleting Registry Key efcywww...
Invalid Entry DllName = winzzd32.dll (in key SOFTWARE\Microsoft\Windows

NT\CurrentVersion\Winlogon\Notify\winzzd32). Deleting Registry Key winzzd32...
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temp\gtbD.tmp.cab

nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Dokumente und Einstellungen\*****\Lokale Einstellungen\Temporary Internet

Files\Content.IE5\TCPE6GKU\GoogleNav[1].cab nicht gescannt. Wahrscheinlich

durch Passwort geschützt...
C:\Dokumente und Einstellungen\*****\Lokale

Einstellungen\Temporary Internet

Files\Content.IE5\ICH8E2BH\installdrivecleanerstart_de[1].cab nicht gescannt.

Wahrscheinlich durch Passwort geschützt...
C:\program files\Musicmatch\Musicmatch Update\MMJB\TDM\TDMInstall.exe nicht

gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Programme\MUSICMATCH\MUSICMATCH Update\TDM\TDMInstall.exe nicht gescannt.

Wahrscheinlich durch Passwort geschützt...
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Gescannte Dateien: 186849
Gefundene Viren: 12
Anzahl der desinfizierten Dateien: 0
Umbenannte Dateien: 0
Anzahl der gelöschten Dateien: 0
Anzahl Fehler: 742
Dauer des Scans bisher: 02:11:14
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Specherüberprüfung: Aktiviert
Registry Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung aller Festplatten :Aktiviert

Batchstart: 2:50:36,31
Batchende: 2:51:07,37

Neophyte · 27.07.2007, 11:26

Neuer Tag neues Glück...

Ich hab grad nochmal nen Spybot-Scan gemacht und dieses mal ist der Computer dabei nicht abgestürzt!

VirtuMonde kam gar nicht mehr vor das is also scheinbar bei irgendwas mit gelöscht worden und von Smitfraud c waren nur noch 2 und nicht mehr 3 einträge da und die konnten beiden gelöscht werden

vielen dank für die ilfe die ihr mir bisher gegeben habt!:aplaus:

**Sunny** · 27.07.2007, 16:05

Mhhh...aus dem Hijacklog und dem eScan werde ich noch nicht ganz schlau, denn diese Datei:

Zitat:

C:\WINDOWS\system32\knwlfnmp.dll

MUSS da sein.

Geh nochmal auf die Seite von Virustotal, kopiere einfach mal den Verzeichnispfad in das weiße Feld und dann auf --> SEND

Desweiteren solltest du diese Programme ausführen um das System noch mehr zu analysieren:

Datenträgerbereinigung

Zum Starten des Dienstprogramms Datenträgerbereinigung klicke auf Start -> Programme -> Zubehör -> Systemprogramme und klicken anschließend auf Datenträgerbereinigung.
Lass die Partition bereinigen, auf dem dein Betriebssystem installiert ist!
(wird normalerweise automatisch erkannt!)

* Deaktiviere die Systemwiederherstellung -> So wird es gemacht.
* Deaktiviere alle Antispyware Programme, wie z.B. Spybot S&D
* Starte danach das System NEU

ComboFix

-Lade dir das Tool hier herunter -> KLICK
-Starte nun die combofix.exe, bestätige mit (Y)es, lass die Bereinigung durchlaufen
und kopiere nun den Text ab, und füge ihn in deinen Beitrag im Board ein!

Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

Gruß

Sunny

Neophyte · 28.07.2007, 11:09

Gesagt getan.

also das mit dem onlinescan hat net geklappt. als ich den dateipfad eingegeben und auf datei senden geklickt hab wurde ich in ein weißes Fenster geleitet wo nur das stand:

"0 bytes size received / Se ha recibido un archivo vacio"

Das mit der Datenträgerbereinigung wird schwierig weil ich da nicht weiß welches die partition is auf der das betriebssystem is.

wir ham: BOOT (C:)
BACKUP (D:)
RECOVER (E:)

Das is der Text von ComboFix:

"*****" - 2007-07-28 11:36:48 [GMT 2:00] - ComboFix 07-07-24 - Service Pack 2 NTFS

((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))

C:\WINDOWS\DOWNLO~1\UDC6U_0001_D19M0709NetInstaller.exe
C:\WINDOWS\regedit.com
C:\WINDOWS\system32\taskmgr.com

((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

-------\LEGACY_ASC3550U
-------\LEGACY_DNSCACHEREADER
-------\LEGACY_DOMAINSERVICE
-------\DNSCacheReader
-------\DomainService
-------\nm
-------\NPF

((((((((((((((((((((((((( Files Created from 2007-06-28 to 2007-07-28 )))))))))))))))))))))))))))))))

2007-07-28 11:35 51,200 --a------ C:\WINDOWS\nircmd.exe
2007-07-27 02:50 <DIR> d-------- C:\bases_x
2007-07-27 00:09 <DIR> d-------- C:\VundoFix Backups
2007-07-26 22:52 <DIR> d-------- C:\WINDOWS\Content.IE5
2007-07-26 20:53 <DIR> d-------- C:\!KillBox
2007-07-25 20:48 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab
2007-07-25 13:34 <DIR> d-------- C:\Programme\THQ
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\zts2.exe
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\system32\vcmgcd32.dll
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\system32\iifgfgf.dll
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\rundll16.exe
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\rundl132.dll
2007-07-24 20:24 <DIR> d-a------ C:\WINDOWS\logo1_.exe
2007-07-24 20:22 153,600 --a------ C:\WINDOWS\R.COM
2007-07-24 20:22 140,800 --a------ C:\WINDOWS\system32\T.COM
2007-07-24 20:03 2,158,664 --a------ C:\tcmdr701.exe
2007-07-23 12:55 <DIR> d-------- C:\Programme\MagicISO
2007-07-23 00:02 <DIR> d-------- C:\Programme\Electronic Arts
2007-07-16 22:57 <DIR> d-------- C:\Programme\Radical Games
2007-07-16 12:41 69 --a------ C:\WINDOWS\system32\3gpvideoconverterb.dat
2007-07-16 12:41 69 --a------ C:\WINDOWS\system32\3gpvideoconvertera.dat
2007-07-16 10:41 <DIR> d-------- C:\Programme\iWellsoft 3GP Video Converter
2007-07-16 10:41 <DIR> d-------- C:\Programme\AviSynth 2.5
2007-07-13 18:34 <DIR> d-------- C:\Neuer Ordner
2007-07-13 18:33 <DIR> d-------- C:\DOKUME~1\ALLUSE~1.WIN\ANWEND~1\Spybot - Search & Destroy
2007-07-13 10:41 <DIR> d-------- C:\DOKUME~1\*****\ANWEND~1\ICQLite
2007-07-12 22:48 <DIR> d-------- C:\Programme\Spyware Doctor
2007-07-12 22:46 <DIR> d-------- C:\Programme\Trojancheck 6
2007-07-10 17:07 <DIR> d-------- C:\Programme\Codemasters
2007-07-08 23:02 350,241 --a------ C:\WINDOWS\system32\bvviamem.exe
2007-07-07 09:13 <DIR> d-------- C:\DOKUME~1\*****\ANWEND~1\Apple Computer
2007-07-06 16:58 <DIR> d-------- C:\DOKUME~1\*****\.housecall6.6
2007-07-05 21:48 350,241 --a------ C:\WINDOWS\system32\sgkctayg.exe
2007-07-01 21:18 <DIR> d-------- C:\WINDOWS\system32\cam
2007-07-01 20:04 <DIR> dr-h----- C:\DOKUME~1\*****\ANWEND~1\SecuROM
2007-07-01 14:36 <DIR> d-------- C:\DOKUME~1\*****\ANWEND~1\Apple Computer
2007-07-01 14:33 <DIR> d-------- C:\Programme\Apple Software Update
2007-07-01 14:31 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Apple
2007-07-01 14:31 <DIR> d-------- C:\DOKUME~1\ALLUSE~1.WIN\ANWEND~1\Apple
2007-07-01 14:29 <DIR> d-------- C:\DOKUME~1\ALLUSE~1.WIN\ANWEND~1\Apple Computer
2007-06-29 19:03 <DIR> d-------- C:\Programme\Alcohol Soft
2007-06-28 18:37 <DIR> d-------- C:\Programme\AliveMedia

(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-07-28 09:46:02 17,408 ----a-w C:\WINDOWS\system32\drivers\USBCRFT.SYS
2007-07-25 12:48:41 -------- d--h--w C:\Programme\InstallShield Installation Information
2007-07-25 12:00:53 108,144 ----a-w C:\WINDOWS\system32\CmdLineExt.dll
2007-07-17 17:08:52 -------- d-----w C:\DOKUME~1\*****\ANWEND~1\DivX
2007-07-16 20:55:35 -------- d-----w C:\Programme\Diablo II
2007-07-16 20:54:29 -------- d-----w C:\Programme\Reality Pump
2007-07-13 08:55:45 -------- d-----w C:\Programme\ICQLite
2007-07-12 07:55:46 72,470 ----a-w C:\WINDOWS\system32\perfc007.dat
2007-07-12 07:55:46 410,130 ----a-w C:\WINDOWS\system32\perfh007.dat
2007-07-10 15:19:59 -------- d-----w C:\Programme\TMU
2007-07-01 12:34:23 -------- d-----w C:\Programme\QuickTime
2007-07-01 08:53:09 -------- d-----w C:\Programme\Ubisoft
2007-06-23 22:30:46 5 ----a-w C:\WINDOWS\system32\SySMP3OC.dat
2007-06-23 14:40:19 38 ----a-w C:\WINDOWS\system32\sysmwwod.dll
2007-06-22 19:21:02 -------- d-----w C:\Programme\EA GAMES
2007-06-20 16:57:30 -------- d--h--w C:\Programme\WindowsUpdate
2007-06-20 06:11:13 31,438 ----a-w C:\WINDOWS\system32\11902ld.exe
2007-06-19 18:28:07 -------- d-----w C:\Programme\Atari
2007-06-18 18:43:37 -------- d-----w C:\Programme\Music Converter
2007-06-10 08:56:02 -------- d-----w C:\Programme\AGEIA Technologies
2007-06-04 18:36:41 -------- d-----w C:\Programme\Windows Live Safety Center
2007-06-03 17:51:43 -------- d-----w C:\Programme\DivX
2007-05-31 06:45:07 524,288 ----a-w C:\WINDOWS\system32\DivXsm.exe
2007-05-31 06:44:55 823,296 ----a-w C:\WINDOWS\system32\divx_xx07.dll
2007-05-31 06:44:54 823,296 ----a-w C:\WINDOWS\system32\divx_xx0c.dll
2007-05-31 06:44:54 802,816 ----a-w C:\WINDOWS\system32\divx_xx11.dll
2007-05-31 06:44:54 740,442 ----a-w C:\WINDOWS\system32\DivX.dll
2007-05-29 18:56:29 -------- d-----w C:\DOKUME~1\*****\ANWEND~1\Azureus
2007-05-29 16:05:31 -------- d-----w C:\DOKUME~1\*****\ANWEND~1\FRITZ!
2007-05-29 15:06:27 -------- d-----w C:\DOKUME~1\*****\ANWEND~1\SmartFTP
2007-05-29 15:06:14 -------- d-----w C:\Programme\SmartFTP Client
2007-05-25 17:40:15 98,304 ----a-w C:\WINDOWS\system32CmdLineExt.dll
2007-05-19 08:33:01 21,840 ----atw C:\WINDOWS\system32\SIntfNT.dll
2007-05-19 08:33:01 17,212 ----atw C:\WINDOWS\system32\SIntf32.dll
2007-05-19 08:33:01 12,067 ----atw C:\WINDOWS\system32\SIntf16.dll
2007-05-17 21:08:22 1,426 ----a-w C:\WINDOWS\eReg.dat
2007-05-17 21:05:59 737,280 ----a-w C:\WINDOWS\iun6002.exe
2007-05-16 15:11:44 683,520 ----a-w C:\WINDOWS\system32\inetcomm.dll
2007-05-03 17:43:30 23,722 ----a-w C:\DOKUME~1\*****\ANWEND~1\wklnhst.dat
2006-08-01 10:20:48 81,152 ----a-w C:\DOKUME~1\*****\ANWEND~1\GDIPFONTCACHEV1.DAT
2006-05-30 18:51:12 4,184 --sha-w C:\WINDOWS\system32\KGyGaAvL.sys

((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E4D415A-2C7D-4548-88D9-0FDD5E8FFF7D}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{962DFDD2-95C4-444E-85F3-8C153438CE01}]
C:\WINDOWS\system32\ddayx.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{FC9CEF21-C8C6-46B1-9849-2BC98EC24D81}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Dit"="Dit.exe" [2004-07-20 18:18 C:\WINDOWS\Dit.exe]
"Verknüpfung mit der High Definition Audio-Eigenschaftenseite"="HDAudPropShortcut.exe" [2004-03-17 16:10 C:\WINDOWS\system32\Hdaudpropshortcut.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2004-06-29 09:06 C:\WINDOWS\AGRSMMSG.exe]
"Cmaudio"="cmicnfg.cpl" []
"CHotkey"="mHotkey.exe" [2004-02-24 14:05 C:\WINDOWS\mHotkey.exe]
"ledpointer"="CNYHKey.exe" [2004-02-03 17:15 C:\WINDOWS\CNYHKey.exe]
"AGEIA PhysX SysTray"="C:\Programme\AGEIA Technologies\TrayIcon.exe" []
"PCMService"="C:\Programme\Home Cinema\PowerCinema\PCMService.exe" [2004-10-08 17:14]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 00:58 C:\WINDOWS\system32\bthprops.cpl]
"Zone Labs Client"="C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-03-09 00:02]
"nwiz"="nwiz.exe" [2006-10-22 13:22 C:\WINDOWS\system32\nwiz.exe]
"MMTray"="C:\Programme\Musicmatch\Musicmatch Jukebox\mm_tray.exe" [2006-01-17 14:26]
"mmtask"="C:\Programme\Musicmatch\Musicmatch Jukebox\mmtask.exe" [2006-01-17 14:26]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2007-01-23 21:21]
"ZoneAlarm Client"="C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-03-09 00:02]
"ICQ Lite"="C:\Programme\ICQLite\ICQLite.exe" [2006-07-11 12:15]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_02\bin\jusched.exe" [2007-07-12 04:00]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2007-04-02 10:35]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2007-04-27 09:41]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Steam"="c:\*****\spiele\valve\steam.exe" [2007-06-28 16:08]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00]
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-05-21 17:49]
"MsnMsgr"="C:\Programme\MSN Messenger\MsnMsgr.exe" [2007-01-19 13:55]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2007-07-10 21:47]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\runonce]
"ICQ Lite"=C:\Programme\ICQLite\ICQLite.exe -trayboot

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\runservices]
"SchedulingAgent"=C:\WINDOWS\system32\mstask.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"NoDispAppearancePage"=0 (0x0)
"NoColorChoice"=0 (0x0)
"NoSizeChoice"=0 (0x0)
"NoDispBackgroundPage"=0 (0x0)
"NoDispScrSavPage"=0 (0x0)
"NoDispCPL"=0 (0x0)
"NoVisualStyleChoice"=0 (0x0)
"NoDispSettingsPage"=0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoActiveDesktopChanges"=0 (0x0)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoSaveSettings"=0 (0x0)
"NoThemesTab"=0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\efcywww]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winzzd32]

R0 BTHidMgr;Bluetooth HID Manager Service;C:\WINDOWS\system32\Drivers\BTHidMgr.sys
R0 sfvfs02;StarForce Protection VFS Driver (version 2.x);C:\WINDOWS\system32\drivers\sfvfs02.sys
R1 avgio;avgio;\??\C:\Programme\AntiVir PersonalEdition Classic\avgio.sys
R1 avipbb;avipbb;C:\WINDOWS\system32\DRIVERS\avipbb.sys
R1 NetBT;NetBios ber TCP/IP;C:\WINDOWS\system32\DRIVERS\netbt.sys
R1 NETDSL;AVM PPP over Ethernet;C:\WINDOWS\system32\DRIVERS\netdsl.sys
R1 SSHDRV85;SSHDRV85;\??\C:\WINDOWS\system32\drivers\SSHDRV85.sys
R1 ssmdrv;ssmdrv;C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
R1 Tcpip6;Microsoft IPv6-Protokolltreiber;C:\WINDOWS\system32\DRIVERS\tcpip6.sys
R2 6to4;IPv6-Hilfsdienst;C:\WINDOWS\system32\svchost.exe -k netsvcs
R2 atksgt;atksgt;C:\WINDOWS\system32\DRIVERS\atksgt.sys
R2 BthServ;Bluetooth Support Service;C:\WINDOWS\system32\svchost.exe -k bthsvcs
R2 drhard;drhard;C:\WINDOWS\system32\drivers\drhard.sys
R2 enodpl;enodpl;C:\WINDOWS\system32\drivers\enodpl.sys
R2 lirsgt;lirsgt;C:\WINDOWS\system32\DRIVERS\lirsgt.sys
R2 SVKP;SVKP;\??\C:\WINDOWS\system32\SVKP.sys
R2 tandpl;tandpl;C:\WINDOWS\system32\drivers\tandpl.sys
R3 audstub;Audiostubtreiber;C:\WINDOWS\system32\DRIVERS\audstub.sys
R3 avgntflt;avgntflt;\??\C:\Programme\AntiVir PersonalEdition Classic\avgntflt.sys
R3 BlueletAudio;Bluetooth Audio Service;C:\WINDOWS\system32\DRIVERS\blueletaudio.sys
R3 BT;Bluetooth PAN Network Adapter;C:\WINDOWS\system32\DRIVERS\btnetdrv.sys
R3 Btcsrusb;Bluetooth USB For Bluetooth Service;C:\WINDOWS\system32\Drivers\btcusb.sys
R3 BTHidEnum;Bluetooth HID Enumerator;C:\WINDOWS\system32\DRIVERS\vbtenum.sys
R3 cmudax;C-Media High Definition Audio Interface;C:\WINDOWS\system32\drivers\cmudax.sys
R3 FETNDISB;VIA Rhine Family Fast Ethernet Adapter Driver Service;C:\WINDOWS\system32\DRIVERS\fetnd5b.sys
R3 HCW88BDA;Hauppauge WinTV 88x DVB Tuner/Demod;C:\WINDOWS\system32\drivers\hcw88bda.sys
R3 HCW88TSE;Hauppauge WinTV 88x MPEG/TS Capture;C:\WINDOWS\system32\drivers\hcw88tse.sys
R3 hcw88vid;Hauppauge WinTV 88x Video;C:\WINDOWS\system32\drivers\hcw88vid.sys
R3 hidusb;Microsoft HID Class-Treiber;C:\WINDOWS\system32\DRIVERS\hidusb.sys
R3 pfc;Padus ASPI Shell;C:\WINDOWS\system32\drivers\pfc.sys
R3 ROOTMODEM;Microsoft Legacy Modem Driver;C:\WINDOWS\system32\Drivers\RootMdm.sys
R3 tunmp;Microsoft Tun-Miniportadaptertreiber;C:\WINDOWS\system32\DRIVERS\tunmp.sys
R3 UKBFLT;UKBFLT;C:\WINDOWS\system32\DRIVERS\UKBFLT.sys
R3 usbccgp;Microsoft Standard-USB-Haupttreiber;C:\WINDOWS\system32\DRIVERS\usbccgp.sys
R3 usbehci;Miniporttreiber fr erweiterten Microsoft USB 2.0-Hostcontroller;C:\WINDOWS\system32\DRIVERS\usbehci.sys
R3 usbhub;Microsoft USB-Standardhubtreiber;C:\WINDOWS\system32\DRIVERS\usbhub.sys
R3 usbstor;USB-Massenspeichertreiber;C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS
R3 usbuhci;Miniporttreiber fr universellen Microsoft USB-Hostcontroller;C:\WINDOWS\system32\DRIVERS\usbuhci.sys
R3 VComm;Virtual Serial port driver;C:\WINDOWS\system32\DRIVERS\VComm.sys
R3 VcommMgr;Bluetooth VComm Manager Service;C:\WINDOWS\system32\Drivers\VcommMgr.sys
R3 wbscr;Winbond Smartcard Reader for I/O;C:\WINDOWS\system32\drivers\wbscr.sys
R3 XUIF;X10 USB Wireless Transceiver;C:\WINDOWS\system32\Drivers\x10ufx2.sys
S2 BlueSoleil Hid Service;BlueSoleil Hid Service;C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
S2 Fax;Fax;C:\WINDOWS\system32\fxssvc.exe
S3 61883;61883-Einheitsger„t;C:\WINDOWS\system32\DRIVERS\61883.sys
S3 ASPI;Advanced SCSI Programming Interface Driver;\??\C:\WINDOWS\System32\DRIVERS\ASPI32.sys
S3 Avc;AVC-Ger„t;C:\WINDOWS\system32\DRIVERS\avc.sys
S3 BRIDGE;MAC-Brcke;C:\WINDOWS\system32\DRIVERS\bridge.sys
S3 BridgeMP;MAC-Brckenminiport;C:\WINDOWS\system32\DRIVERS\bridge.sys
S3 BthEnum;Bluetooth-Anforderungsblocktreiber;C:\WINDOWS\system32\DRIVERS\BthEnum.sys
S3 BthPan;Bluetooth-Ger„t (PAN);C:\WINDOWS\system32\DRIVERS\bthpan.sys
S3 BTHPORT;Bluetooth-Porttreiber;C:\WINDOWS\system32\Drivers\BTHport.sys
S3 BTHUSB;USB-Treiber fr Bluetooth-Funkger„t;C:\WINDOWS\system32\Drivers\BTHUSB.sys
S3 CardReaderFilter;Card Reader Filter;\??\C:\WINDOWS\system32\Drivers\USBCRFT.SYS
S3 dectgen;Dect USB-Box Driver;C:\WINDOWS\system32\DRIVERS\dectgen.sys
S3 HdAudAddService;Microsoft UAA-Funktionstreiber fr den High Definition Audio-Dienst;C:\WINDOWS\system32\drivers\HdAudio.sys
S3 jatmlano;jatmlano;\??\C:\DOKUME~1\*****\LOKALE~1\Temp\jatmlano.sys
S3 m105mdm;DECT USB serial Interface;C:\WINDOWS\system32\DRIVERS\m105mdm.sys
S3 MPCSYS;MPCSYS;\??\C:\WINDOWS\system32\DRIVERS\mpcsys.sys
S3 MPE;BDA MPE-Filter;C:\WINDOWS\system32\DRIVERS\MPE.sys
S3 MSDV;Microsoft DV Camera and VCR;C:\WINDOWS\system32\DRIVERS\msdv.sys
S3 NABTSFEC;NABTS/FEC VBI-Codec;C:\WINDOWS\system32\DRIVERS\NABTSFEC.sys
S3 NETFWDSL;AVM FRITZ!web DSL PPP;C:\WINDOWS\system32\DRIVERS\NETFWDSL.SYS
S3 RFCOMM;Bluetooth-Ger„t (RFCOMM-Protokoll-TDI);C:\WINDOWS\system32\DRIVERS\rfcomm.sys
S3 RT2500USB;RT2500 USB Wireless LAN Driver;C:\WINDOWS\system32\DRIVERS\rt2500usb.sys
S3 usbscan;USB-Scannertreiber;C:\WINDOWS\system32\DRIVERS\usbscan.sys
S3 vaxscsi;vaxscsi;C:\WINDOWS\system32\Drivers\vaxscsi.sys
S3 WpdUsb;WpdUsb;C:\WINDOWS\system32\Drivers\wpdusb.sys

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
bthsvcs BthServ

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{08243dd8-aef5-11db-a71e-0011095705d6}]
AutoRun\command- htocusa.exe
explore\Command- htocusa.exe
open\Command- htocusa.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{96a861c4-e5c3-11db-a7dd-0011095705d6}]
AutoRun\command- H:\htocusa.exe
explore\Command- H:\htocusa.exe
open\Command- H:\htocusa.exe

Contents of the 'Scheduled Tasks' folder
2007-07-25 07:02:03 C:\WINDOWS\tasks\AppleSoftwareUpdate.job

**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, h**p://www.gmer.net
Rootkit scan 2007-07-28 11:45:54
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-07-28 11:48:10 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-07-28 11:47

--- E O F ---

Fortsetzung folgt...

Neophyte · 28.07.2007, 11:11

so und jetzt weil der text sonst zu lang is für einen beitrag:

das FileList-Log (wie gewünscht auf die jeweils letzten 30 tage wenn vorhanden gekürzt):

Verzeichnis von C:\

28.07.2007 11:48 16.331 ComboFix.txt
28.07.2007 11:47 1.777 ComboFix-quarantined-files.txt
28.07.2007 11:42 805.306.368 pagefile.sys
27.07.2007 14:08 1.558 VundoFix.txt
27.07.2007 02:49 200 23990098.$$$
26.07.2007 22:52 5.848 smitfiles.txt
24.07.2007 20:03 2.158.664 tcmdr701.exe
21.07.2007 15:56 268 sqmdata02.sqm
21.07.2007 15:56 244 sqmnoopt02.sqm
21.07.2007 15:01 268 sqmdata01.sqm
21.07.2007 15:01 244 sqmnoopt01.sqm
29.06.2007 17:22 125 ioSpecial.ini

Verzeichnis von C:\WINDOWS\system32

28.07.2007 11:45 2.206 wpa.dbl
28.07.2007 11:42 55.081 vsconfig.xml
28.07.2007 11:27 88.566 nvapps.xml
25.07.2007 14:00 108.144 CmdLineExt.dll
24.07.2007 12:55 5.214 jupdate-1.6.0_02-b06.log
22.07.2007 18:39 279.552 swreg.exe
22.07.2007 04:31 143 mcrh.tmp
16.07.2007 12:41 69 3gpvideoconverterb.dat
16.07.2007 12:41 69 3gpvideoconvertera.dat
12.07.2007 22:58 2.596 iklog.log
12.07.2007 09:55 60.112 perfc009.dat
12.07.2007 09:55 396.542 perfh009.dat
12.07.2007 09:55 72.470 perfc007.dat
12.07.2007 09:55 410.130 perfh007.dat
12.07.2007 09:55 912.228 PerfStringBackup.INI
12.07.2007 02:22 139.264 javaws.exe
12.07.2007 02:22 69.632 javacpl.cpl
12.07.2007 01:22 135.168 javaw.exe
12.07.2007 01:22 135.168 java.exe
08.07.2007 23:02 350.241 bvviamem.exe
07.07.2007 11:45 1.036.173 kbmguppb.ini

Verzeichnis von C:\WINDOWS\Prefetch

28.07.2007 11:56 21.086 CMD.EXE-087B4001.pf
28.07.2007 11:56 11.646 FIND.EXE-0EC32F1E.pf
28.07.2007 11:56 45.688 WINRAR.EXE-3588DFE8.pf
28.07.2007 11:55 15.698 VERCLSID.EXE-3667BD89.pf
28.07.2007 11:54 75.426 RUNDLL32.EXE-128C4659.pf
28.07.2007 11:53 109.260 IEXPLORE.EXE-2CA9778D.pf
28.07.2007 11:52 15.850 SVCHOST.EXE-3530F672.pf
28.07.2007 11:50 18.780 REALSCHED.EXE-0A2A7558.pf
28.07.2007 11:50 67.350 REALPLAY.EXE-39F79CBD.pf
28.07.2007 11:49 9.462 NIRCMD.EXE-2C39EF53.pf
28.07.2007 11:49 14.596 REGEDIT.EXE-1B606482.pf
28.07.2007 11:48 23.520 NOTEPAD.EXE-336351A9.pf
28.07.2007 11:48 4.910 HANDLE.CFEXE-13427ED2.pf
28.07.2007 11:48 66.342 CATCHME.CFEXE-0F2A0789.pf
28.07.2007 11:47 8.792 NIRCMD.CFEXE-19FF4781.pf
28.07.2007 11:47 36.482 WMIPRVSE.EXE-28F301A9.pf
28.07.2007 11:47 5.450 TREE.COM-0A9AA73A.pf
28.07.2007 11:47 14.564 SORT.EXE-194AE83C.pf
28.07.2007 11:47 29.306 DUMPHIVE.CFEXE-2ED3B134.pf
28.07.2007 11:47 3.776 VFIND.CFEXE-2033727F.pf
28.07.2007 11:47 38.120 CSCRIPT.EXE-1C26180C.pf
28.07.2007 11:47 11.518 SWREG.CFEXE-2BF4FFCD.pf
28.07.2007 11:47 4.006 SED.CFEXE-268D7E58.pf
28.07.2007 11:47 14.154 FINDSTR.EXE-0CA6274B.pf
28.07.2007 11:46 12.894 LOCATOR.EXE-2C8326B1.pf
28.07.2007 11:46 15.986 CALCHECK.EXE-1043B710.pf
28.07.2007 11:46 35.618 BLUESOLEIL.EXE-27062591.pf
28.07.2007 11:46 20.466 RACONFIG2500.EXE-160D52A4.pf
28.07.2007 11:46 34.646 ICQLITE.EXE-2AEFACA7.pf
28.07.2007 11:46 12.736 READER_SL.EXE-36135169.pf
28.07.2007 11:46 10.976 HID2HCI.EXE-0869C6B5.pf
28.07.2007 11:46 11.820 ACROTRAY.EXE-20597A61.pf
28.07.2007 11:46 30.368 TEATIMER.EXE-38E505A8.pf
28.07.2007 11:46 62.472 JUSCHED.EXE-20EE5D4A.pf
28.07.2007 11:46 57.738 MSNMSGR.EXE-091111D0.pf
28.07.2007 11:46 59.222 CTFMON.EXE-0E17969B.pf
28.07.2007 11:46 14.642 RUNDLL32.EXE-1218E1AC.pf
28.07.2007 11:46 17.108 PCMSERVICE.EXE-005CA5B8.pf
28.07.2007 11:46 18.746 RUNDLL32.EXE-18ACD379.pf
28.07.2007 11:46 32.310 CNYHKEY.EXE-3024E8B1.pf
28.07.2007 11:46 16.284 MHOTKEY.EXE-28F476F7.pf
28.07.2007 11:46 10.850 AGRSMMSG.EXE-0034A7F7.pf
28.07.2007 11:46 9.988 DIT.EXE-08CE4330.pf
28.07.2007 11:45 11.648 HDAUDPROPSHORTCUT.EXE-368919FF.pf
28.07.2007 11:45 18.412 RUNDLL32.EXE-3C808998.pf
28.07.2007 11:45 67.622 EXPLORER.EXE-082F38A9.pf
28.07.2007 11:45 39.720 USERINIT.EXE-30B18140.pf
28.07.2007 11:45 44.140 WGATRAY.EXE-0ED38BED.pf
28.07.2007 11:45 16.372 REGT.CFEXE-15DB5DAE.pf
28.07.2007 11:44 1.083.474 NTOSBOOT-B00DFAAD.pf
28.07.2007 11:41 18.680 LOGONUI.EXE-0AF22957.pf
28.07.2007 11:41 12.358 RESTARTIT.CFEXE-041F5A05.pf
28.07.2007 11:41 53.246 ERDNT.EXE-1C370E1D.pf
28.07.2007 11:41 54.724 ERUNT.CFEXE-039977DB.pf
28.07.2007 11:40 11.840 ATTRIB.EXE-39EAFB02.pf
28.07.2007 11:40 7.034 SWXCACLS.CFEXE-365F7973.pf
28.07.2007 11:40 7.458 SWSC.CFEXE-3B4FE4FE.pf
28.07.2007 11:40 2.804 VFIND.EXE-0CB9A64E.pf
28.07.2007 11:40 4.214 MTEE.CFEXE-1E067BC7.pf
28.07.2007 11:36 3.938 SF.CFEXE-164B3B2D.pf
28.07.2007 11:36 5.616 CHCP.COM-18156052.pf
28.07.2007 11:35 22.376 SETPATH.CFEXE-034E3D26.pf
28.07.2007 11:35 44.782 CHKDSK.EXE-2CC4C59D.pf
28.07.2007 11:35 10.980 SWREG.EXE-3560BE42.pf
28.07.2007 11:35 41.176 COMBOFIX.EXE-3246481E.pf
28.07.2007 11:35 8.404 NIRCMD.EXE-1F7FED22.pf
28.07.2007 11:33 18.236 CLEANMGR.EXE-1F86EA8E.pf
28.07.2007 11:29 120.508 WUAUCLT.EXE-399A8E72.pf
28.07.2007 11:29 41.898 SETUP_WM.EXE-19AC5A9B.pf
28.07.2007 11:28 95.096 WMPLAYER.EXE-09969333.pf
28.07.2007 11:27 1.396 RUNDLL32.EXE-415F88EC.pf
28.07.2007 11:27 1.396 HOTKEY.EXE-28218254.pf
28.07.2007 11:27 17.962 IMAPI.EXE-0BF740A4.pf
28.07.2007 11:27 43.912 ZLCLIENT.EXE-0120F620.pf
28.07.2007 11:27 6.458 NEROCHECK.EXE-092C6DFA.pf
27.07.2007 23:52 13.852 RUNDLL32.EXE-451FC2C0.pf
27.07.2007 23:38 52.056 NERO.EXE-32314E31.pf
27.07.2007 22:24 365.146 Layout.ini
27.07.2007 22:23 14.944 REGSVR32.EXE-25EEFE2F.pf
27.07.2007 22:23 14.218 AVGNT.EXE-36CA4640.pf
27.07.2007 22:20 34.228 UPDATE.EXE-13D57D76.pf
27.07.2007 22:20 13.824 PREUPD.EXE-358AA1C1.pf
27.07.2007 20:31 19.646 WUDFHOST.EXE-215E7549.pf
27.07.2007 20:31 11.830 WPDSHEXTAUTOPLAY.EXE-17D83223.pf
27.07.2007 17:43 18.876 TASKMGR.EXE-20256C55.pf
27.07.2007 17:36 14.124 REALONEMESSAGECENTER.EXE-0A4B9E3A.pf
27.07.2007 17:36 15.048 RUNDLL32.EXE-13871F06.pf
27.07.2007 17:33 16.162 RUNDLL32.EXE-3C1FEDE9.pf
27.07.2007 17:32 15.910 RUNDLL32.EXE-11B7406E.pf
27.07.2007 17:30 48.566 AVSCAN.EXE-05AECC0E.pf
27.07.2007 17:28 19.194 RUNDLL32.EXE-1498FC76.pf
27.07.2007 17:27 24.172 RPHELPERAPP.EXE-1A0D7CAC.pf
27.07.2007 17:26 16.900 RUNDLL32.EXE-1D322C05.pf
27.07.2007 17:21 15.344 RUNDLL32.EXE-2D3C849E.pf
27.07.2007 16:58 19.594 SNDVOL32.EXE-383480B7.pf
27.07.2007 15:15 62.288 HELPSVC.EXE-2878DDA2.pf
27.07.2007 15:14 78.612 DFRGNTFS.EXE-269967DF.pf
27.07.2007 15:14 20.018 DEFRAG.EXE-273F131E.pf
27.07.2007 14:34 46.070 UPDCLIENT.EXE-215FC96B.pf
27.07.2007 14:20 94.690 SPYBOTSD.EXE-1D495A65.pf
27.07.2007 14:18 21.482 X10NETS.EXE-199F9ADE.pf
27.07.2007 14:18 35.300 DWWIN.EXE-30875ADC.pf
27.07.2007 14:18 22.548 RUNDLL32.EXE-35A483DA.pf
27.07.2007 14:18 16.802 FXSSVC.EXE-3B8F7819.pf
27.07.2007 14:18 6.458 MSPMSPSV.EXE-159858D5.pf
27.07.2007 14:18 15.916 GOOGLETOOLBARNOTIFIER.EXE-09E6E9C6.pf
27.07.2007 14:18 28.196 VSMON.EXE-1609C098.pf
27.07.2007 12:26 8.386 DRWTSN32.EXE-2B4B52AC.pf
27.07.2007 11:42 14.746 SOL.EXE-1C0C14EB.pf
27.07.2007 11:38 72.032 ACRORD32.EXE-0EC716D9.pf
27.07.2007 11:31 12.726 HPZTSB04.EXE-2611387D.pf
27.07.2007 00:23 77.750 VUNDOFIX.EXE-10BB1A2A.pf
27.07.2007 00:21 16.486 MMDIAG.EXE-34585558.pf
27.07.2007 00:21 19.306 STEAM.EXE-2E1C8CF4.pf
27.07.2007 00:21 11.096 QTTASK.EXE-2D7EEF34.pf
27.07.2007 00:17 8.600 VUNDOFIXSVC.EXE-18ADD79E.pf
27.07.2007 00:11 24.882 GUARDGUI.EXE-1BD45C30.pf
26.07.2007 23:40 35.866 RUNDLL32.EXE-2576181F.pf
26.07.2007 23:19 32.172 HIJACKTHIS.EXE-1CB4CC24.pf
26.07.2007 23:10 51.722 PP70.EXE-0F26A671.pf
26.07.2007 23:08 15.222 RUNDLL32.EXE-39F049FC.pf
26.07.2007 23:08 16.816 DUMPREP.EXE-1B46F901.pf
26.07.2007 23:08 25.074 MMTASK.EXE-0895BF3C.pf

Verzeichnis von C:\WINDOWS

28.07.2007 11:43 0 0.log
28.07.2007 11:42 6.104 ModemLog_Bluetooth DUN Modem.txt
28.07.2007 11:42 6.098 ModemLog_Bluetooth Fax Modem.txt
28.07.2007 11:42 4.246 ModemLog_Agere Systems PCI Soft Modem.txt
28.07.2007 11:42 1.906 ModemLog_Uni_mod_64K.txt
28.07.2007 11:42 1.582.970 WindowsUpdate.log
28.07.2007 11:42 157 wiadebug.log
28.07.2007 11:42 50 wiaservc.log
28.07.2007 11:42 2.048 bootstat.dat
28.07.2007 11:41 32.624 SchedLgU.Txt
28.07.2007 11:30 9.189 wmsetup.log
27.07.2007 17:36 2.419 setupact.log
27.07.2007 17:36 352.563 setupapi.log
27.07.2007 14:05 2.661.578 ntbtlog.txt
27.07.2007 00:37 50 Lic.xxx
26.07.2007 18:22 237 Muma60.INI
25.07.2007 14:19 322.741 DirectX.log
24.07.2007 20:23 704 win.ini
24.07.2007 16:26 2.024 cdPlayer.ini
24.07.2007 15:58 986 wininit.ini
22.07.2007 17:45 0 setuperr.log
21.07.2007 16:58 116 NeroDigital.ini
20.07.2007 00:47 109.056 catchme.exe
30.06.2007 12:09 32 hip

Verzeichnis von C:\WINDOWS\tasks

28.07.2007 11:42 6 SA.DAT
25.07.2007 09:02 276 AppleSoftwareUpdate.job
04.08.2004 14:00 65 desktop.ini

Verzeichnis von C:\WINDOWS\temp

28.07.2007 11:42 256 ZLT04af4.TMP
28.07.2007 11:42 256 ZLT04aea.TMP

Verzeichnis von C:\DOKUME~1\*****\LOKALE~1\Temp

28.07.2007 11:56 136.457 filelist.txt
28.07.2007 11:51 173 jusched.log

26.07.2007, 22:31	#6
BataAlexander > MalwareDB	Brauche Hilfe bei der Auswertung dann kannst Du jetzt mal bei Sunnys Erläuterung anfangen, ist alles noch da. Bata __________________ --> Brauche Hilfe bei der Auswertung

Brauche Hilfe bei der Auswertung

Log-Analyse und Auswertung: Brauche Hilfe bei der Auswertung