Vundo? - lässt sich nicht entfernen

uncle sam · 28.07.2007, 16:23

hey ich habe ein problem, es scheint als hätte ich mir vundo eingefangen, aber weder vundofix, noch virtumundobegone scheinen dem problem herr zu werden (vundofix findet nix und vbg hängt sich immer auf) mein problem ist (denke ich)dass ich die khfebya.dll nicht löschen kann (auch mit killbox funktioniert es nicht).

Logfile of HijackThis v1.99.1
Scan saved at 17:15:15, on 28.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\system32\dllhost.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\TuneUp Utilities 2007\MemOptimizer.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Dokumente und Einstellungen\Ich\Desktop\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aceradvantage.com/stdreg
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://192.168.2.1/
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O2 - BHO: MSEvents Object - {857A461D-8D96-4996-A4A0-AEA0A2535B86} - C:\WINDOWS\system32\khfebya.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [LXBTCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXBTtime.dll,_RunDLLEntry@16
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programme\TuneUp Utilities 2007\MemOptimizer.exe" autostart
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O20 - Winlogon Notify: khfebya - C:\WINDOWS\SYSTEM32\khfebya.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: lxbt_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxbtcoms.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

bitte helft mir ich will mein system nicht plätten

felix1 · 28.07.2007, 16:32

Hallo,

schon mal im abgesicherten Modus versucht? Vorher unbedingt die Systemwiederherstellung deaktivieren.

Gruss

uncle sam · 28.07.2007, 17:31

im abgesicherten modus kommt nur could not remove file (scheint iwie an winlogon gekoppelt zu sein)
im normalen modus kommt bei delete und replace on reboot pendingfilesrenameoperations stopped by external process
(ausserdem öffnet sich der installer für microsoft office wenn ich killbox im normalen modus öffne)

€: popups von wegen drivecleaner usw kommen z.zt keine mehr weil ich im startup den eintrag gelöscht hab aber die datei wär ich gerne los

nochdigger · 28.07.2007, 17:44

Hallo

dann versuch es mal so, mach bitte alle versteckten Dateien und Ordner sichtbar, dann starte HijackThis mit der Option - do a system scan only - und hake diese Einträge an :

O2 - BHO: MSEvents Object - {857A461D-8D96-4996-A4A0-AEA0A2535B86} - C:\WINDOWS\system32\khfebya.dll

O20 - Winlogon Notify: khfebya - C:\WINDOWS\SYSTEM32\khfebya.dll

dann klicke auf - fix checked - und beende Hijackthis, wechsel nun umgehend in den abgesicherten Modus und lösch per Hand :

C:\WINDOWS\system32\khfebya.dll

leere den Mülleimer und wechsel zurück in den normalen Modus.
Erstelle ein neues HijackThis Log, benenne aber vorher die Hijackthis.exe um in z.B. ABC.exe.

Erstelle nun ein Bericht mit der Filelist :
Lade dir die Filelist.zip

1.) Lade dir die Filelist.zip auf den Desktop
2.) entpacke die Zip-Datei auf deinen Desktop
3.) starte den Rechner neu
4.) öffne die auf dem Desktop vorhandene filelist.bat mit Doppelklick auf die Datei
5.) dein Editor (Textverarbeitungsprogramm) wird sich öffnen
6.) markiere von diesen Inhalt aus jedem Verzeichnis jeweils nur die letzten 30 Tage, wähle kopieren, poste den Inhalt dieser Dateien
in nächsten Beitrag
(es werden von diesen 8 Ordnern Abblilder erstellt :C:\, C:\WINDOWS\system, C:\WINDOWS\system32, C:\WINDOWS,
C:\WINDOWS\Prefetch, C:\WINDOWS\tasks, C:\WINDOWS\Temp, C:\DOCUME~1\Name\LOCALS~1\Temp).

MFG

uncle sam · 28.07.2007, 18:21

irgendwie hat sich die logfile stark verändert (vgl. zu vorhin) wie kommt das?
die datei kann ich hier nicht mehr finden, im system32 ist sie immer noch...

Logfile of HijackThis v1.99.1
Scan saved at 19:19:49, on 28.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\TuneUp Utilities 2007\MemOptimizer.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\Ich\Desktop\HijackThis.exe
C:\Programme\Mozilla Firefox\firefox.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.aceradvantage.com/stdreg
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://192.168.2.1/
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll"
O4 - HKLM\..\Run: [LXBTCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXBTtime.dll,_RunDLLEntry@16
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programme\TuneUp Utilities 2007\MemOptimizer.exe" autostart
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: LiveUpdate Notice Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PifEng.dll (file missing)
O23 - Service: lxbt_device - Lexmark International, Inc. - C:\WINDOWS\system32\lxbtcoms.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

uncle sam · 28.07.2007, 18:28

hier die filelist

----- Root -----------------------------
Verzeichnis von C:\

28.07.2007 19:23 43 filelist.txt
28.07.2007 19:17 2.145.562.624 hiberfil.sys
28.07.2007 19:17 2.145.386.496 pagefile.sys
28.07.2007 17:15 3.259 VundoFix.txt
19.06.2007 20:01 3.048 hpfr5100.log
19.06.2007 19:13 580 lxbt.log
10.04.2007 10:49 6 ISACER.ID
04.04.2007 22:15 555 RHDSetup.log
04.04.2007 22:13 221 boot.ini

----- Windows --------------------------
Verzeichnis von C:\WINDOWS

28.07.2007 19:18 4.200 ModemLog_HDAUDIO Soft Data Fax Modem with SmartCP.txt
28.07.2007 19:18 159 wiadebug.log
28.07.2007 19:17 0 0.log
28.07.2007 19:17 2.048 bootstat.dat
28.07.2007 19:17 32.636 SchedLgU.Txt
28.07.2007 19:17 50 wiaservc.log
28.07.2007 19:16 1.858.171 WindowsUpdate.log
28.07.2007 18:13 525.200 ntbtlog.txt
28.07.2007 17:12 292 regfix.reg
28.07.2007 16:15 539 xpsp1hfm.log
28.07.2007 16:15 660 Q329170.log
28.07.2007 13:10 247 system.ini
28.07.2007 12:59 686 SpywareDoctorUninstall.log
24.07.2007 14:25 108 SpywareDoctorInstallation.log
23.07.2007 12:51 47.517 setupapi.log
21.07.2007 18:19 358 nsw.log
21.07.2007 18:11 3.208 wmsetup.log
15.07.2007 15:34 933 tabletoc.log
15.07.2007 15:34 8.463 tsoc.log
15.07.2007 15:34 1.374 imsins.log
15.07.2007 15:34 1.290 MedCtrOC.log
15.07.2007 15:34 8.748 ocgen.log
15.07.2007 15:34 18.477 FaxSetup.log
15.07.2007 15:34 7.843 KB909394.log
15.07.2007 15:34 2.067 plusoc.log
15.07.2007 15:34 3.249 netfxocm.log
15.07.2007 15:34 1.014 ehOCGen.log
15.07.2007 15:34 3.723 ntdtcsetup.log
15.07.2007 15:34 909 msgsocm.log
15.07.2007 15:34 6.060 comsetup.log
15.07.2007 15:34 20.115 iis6.log
15.07.2007 15:34 1.026 ocmsn.log
15.07.2007 15:33 812 updspapi.log
15.07.2007 15:33 5.686 msmqinst.log
15.07.2007 15:33 1.374 imsins.BAK
15.07.2007 15:33 12.312 KB894476.log
11.07.2007 20:01 12.633 KB930494.log
11.07.2007 20:00 0 setupact.log
10.07.2007 19:55 557 win.ini

----- System 32 (Achtung: Zeitfenster beachten!) --
Verzeichnis von C:\WINDOWS\system32

28.07.2007 19:23 12.719 jlkkj.ini
28.07.2007 19:18 1.158 wpa.dbl
28.07.2007 18:28 6.506 jlkkj.bak1
28.07.2007 18:28 228.960 jkklj.dll
28.07.2007 14:50 2.953 CONFIG.NT
28.07.2007 13:34 1.105 dwfqecsf.ini
28.07.2007 13:34 126.016 fsceqfwd.dll
28.07.2007 13:30 33.792 rundll32.exe
28.07.2007 12:59 131.408 iklog.log
28.07.2007 10:43 1.242.101 bxvubhbo.ini
27.07.2007 13:36 69.184 uknnpfqd.dll
27.07.2007 13:28 1.241.920 anvoogna.ini
26.07.2007 10:02 405 kyjcdsfq.ini
24.07.2007 15:10 6.511 nnnmp.ini
24.07.2007 15:07 6.511 nnnmp.bak1
23.07.2007 16:27 31.254 khfebya.dll
11.07.2007 20:03 63.350 perfc009.dat
11.07.2007 20:03 933.092 PerfStringBackup.INI
11.07.2007 20:03 402.740 perfh009.dat
11.07.2007 20:03 76.218 perfc007.dat
11.07.2007 20:03 417.500 perfh007.dat
07.07.2007 11:25 43.448 GDIPFONTCACHEV1.DAT
07.07.2007 11:24 194.568 FNTCACHE.DAT
28.06.2007 09:57 16.256.984 MRT.exe
14.06.2007 15:38 278.528 pncrt.dll
29.05.2007 00:30 1.632 sdbackup.reg
24.05.2007 18:43 34.064 lhacm.acm
16.05.2007 17:11 683.520 inetcomm.dll
04.05.2007 14:59 3.085.312 mshtml.dll
25.04.2007 16:22 144.896 schannel.dll
23.04.2007 16:44 108.144 CmdLineExt.dll
18.04.2007 18:13 2.854.400 msi.dll
18.04.2007 17:30 48.776 S32EVNT1.DLL
18.04.2007 14:44 39.424 pngfilt.dll
18.04.2007 14:44 449.024 mshtmled.dll
18.04.2007 14:44 532.480 mstime.dll
18.04.2007 14:44 1.498.112 shdocvw.dll
18.04.2007 14:44 474.624 shlwapi.dll
18.04.2007 14:44 619.008 urlmon.dll
18.04.2007 14:44 671.232 wininet.dll
18.04.2007 14:44 146.432 msrating.dll
18.04.2007 14:44 357.888 dxtmsft.dll
18.04.2007 14:44 1.056.256 danim.dll
18.04.2007 14:44 96.768 inseng.dll
18.04.2007 14:44 1.022.976 browseui.dll
18.04.2007 14:44 16.384 jsproxy.dll
18.04.2007 14:44 251.904 iepeers.dll
18.04.2007 14:44 205.312 dxtrans.dll
18.04.2007 14:44 55.808 extmgr.dll
18.04.2007 14:44 152.064 cdfview.dll
18.04.2007 12:56 270.336 xpsp3res.dll
16.04.2007 22:47 33.624 wups.dll
16.04.2007 22:47 30.040 wuapi.dll.mui
16.04.2007 22:47 30.040 wuaucpl.cpl.mui
16.04.2007 22:45 1.710.936 wuaueng.dll
16.04.2007 22:45 549.720 wuapi.dll
16.04.2007 22:45 325.976 wucltui.dll
16.04.2007 22:45 216.408 wuaucpl.cpl
16.04.2007 22:45 203.096 wuweb.dll
16.04.2007 22:45 92.504 cdm.dll
16.04.2007 22:45 53.080 wuauclt.exe
16.04.2007 22:45 20.824 wuaueng.dll.mui
16.04.2007 22:45 43.352 wups2.dll
16.04.2007 22:44 34.136 wucltui.dll.mui
16.04.2007 17:53 1.058.304 kernel32.dll
13.04.2007 03:21 271.360 mscoree.dll
09.04.2007 22:57 4.196 jupdate-1.6.0_01-b06.log
05.04.2007 13:42 122.062 TZLog.log
04.04.2007 22:13 37.441 $winnt$.inf
02.04.2007 07:58 546.304 hhctrl.ocx

----- Prefetch -------------------------
Verzeichnis von C:\WINDOWS\Prefetch

28.07.2007 19:23 11.370 CMD.EXE-034B0549.pf
28.07.2007 19:23 70.070 LUCALLBACKPROXY.EXE-28AA6C95.pf
28.07.2007 19:23 11.500 FIND.EXE-0EEAD1A7.pf
28.07.2007 19:23 37.862 LUCOMS~1.EXE-0F5C4231.pf
28.07.2007 19:23 15.582 WINRAR.EXE-1A0EFB18.pf
28.07.2007 19:23 25.654 AUPDATE.EXE-3712CED8.pf
28.07.2007 19:22 68.540 HIJACKTHIS.EXE-34AD28D4.pf
28.07.2007 19:22 28.388 NOTEPAD.EXE-2F2D61E1.pf
28.07.2007 19:20 41.282 NSCSRVCE.EXE-18C22ADC.pf
28.07.2007 19:19 89.474 FIREFOX.EXE-28BE8AE1.pf
28.07.2007 19:19 16.932 ALG.EXE-275708CF.pf
28.07.2007 19:19 68.566 IMAPI.EXE-201490BB.pf
28.07.2007 19:19 69.510 WUAUCLT.EXE-1360D60A.pf
28.07.2007 19:19 17.524 UNSECAPP.EXE-16EB9856.pf
28.07.2007 19:19 32.598 ACER.EMPOWERING.FRAMEWORK.LAU-0089481F.pf
28.07.2007 19:19 7.890 SCNODVIS.EXE-3A8F9D10.pf
28.07.2007 19:19 29.580 CCAPP.EXE-2BAF98A3.pf
28.07.2007 19:19 19.554 RTHDCPL.EXE-005A6E31.pf
28.07.2007 19:19 25.334 LMANAGER.EXE-2E01CB1F.pf
28.07.2007 19:19 20.850 ERAGENT.EXE-0C495853.pf
28.07.2007 19:19 15.632 SYNTPENH.EXE-33F656F5.pf
28.07.2007 19:19 64.196 EPOWER_DMC.EXE-0838B86A.pf
28.07.2007 19:19 13.962 RUNDLL32.EXE-67D7075D.pf
28.07.2007 19:19 19.904 PIFSVC.EXE-20D2C28E.pf
28.07.2007 19:19 56.790 EPRESENTATION.EXE-19565967.pf
28.07.2007 19:18 26.882 WMIPRVSE.EXE-0D449B4F.pf
28.07.2007 19:18 6.520 TINTSETP.EXE-2DD83AEF.pf
28.07.2007 19:18 16.270 BOOT.EXE-358A5EE6.pf
28.07.2007 19:18 14.332 VERCLSID.EXE-28F52AD2.pf
28.07.2007 19:18 22.128 WMIAPSRV.EXE-02740A4B.pf
28.07.2007 19:18 36.084 DLLHOST.EXE-474D72E6.pf
28.07.2007 19:18 17.692 FXSSVC.EXE-140862E7.pf
28.07.2007 19:18 52.318 SVCHOST.EXE-2D5FBD18.pf
28.07.2007 19:18 19.022 NPFMNTOR.EXE-26C1F5F1.pf
28.07.2007 19:18 28.566 NAVAPSVC.EXE-055EE73F.pf
28.07.2007 19:18 10.154 EHSCHED.EXE-1E7EF345.pf
28.07.2007 19:18 10.226 LSSRVC.EXE-19C28141.pf
28.07.2007 19:18 16.438 ALUSCHEDULERSVC.EXE-167F9182.pf
28.07.2007 19:18 20.132 EHRECVR.EXE-20A109D9.pf
28.07.2007 19:18 48.988 MEMCHECK.EXE-0A370B04.pf
28.07.2007 19:18 71.434 EHREC.EXE-2365F918.pf
28.07.2007 19:18 30.160 SPOOLSV.EXE-3A613CE3.pf
28.07.2007 19:18 7.522 LXBTCOMS.EXE-2F94857A.pf
28.07.2007 19:18 26.102 LSASS.EXE-306A65C3.pf
28.07.2007 19:18 24.546 LOGONUI.EXE-312BE1BF.pf
28.07.2007 19:18 15.328 ATI2EVXX.EXE-07A42849.pf
28.07.2007 19:18 14.890 CCSETMGR.EXE-05694D83.pf
28.07.2007 19:18 23.046 SERVICES.EXE-3019B50A.pf
28.07.2007 19:16 59.842 MSIEXEC.EXE-330626DC.pf
28.07.2007 19:09 46.670 MEMOPTIMIZER.EXE-14ABF52B.pf
28.07.2007 19:09 28.212 AAWSERVICE.EXE-22B5E2F5.pf
28.07.2007 19:08 14.420 USERINIT.EXE-0743FDA9.pf
28.07.2007 19:08 42.530 WGATRAY.EXE-350D4455.pf
28.07.2007 18:55 17.002 RUNDLL32.EXE-41BC4774.pf
28.07.2007 18:37 32.492 AD-AWARE2007.EXE-39D77D5D.pf
28.07.2007 18:36 53.578 AAW2007_7014.EXE-349E8622.pf
28.07.2007 18:32 91.704 QIP.EXE-122315D7.pf
28.07.2007 18:32 78.822 EXPLORER.EXE-02121B1A.pf

----- Tasks ----------------------------
Verzeichnis von C:\WINDOWS\tasks

28.07.2007 19:18 6 SA.DAT
27.07.2007 20:00 570 Norton AntiVirus - Vollst„ndige Systemprfung ausfhren - Ich.job
20.07.2007 17:16 392 1-Klick-Wartung.job
10.08.2004 20:00 65 desktop.ini

----- Windows/Temp -----------------------
Verzeichnis von C:\WINDOWS\Temp

28.07.2007 19:19 16.384 Perflib_Perfdata_b1c.dat
28.07.2007 19:18 409 WGANotify.settings
28.07.2007 19:18 16.384 Perflib_Perfdata_5e8.dat
28.07.2007 19:17 255 WGAErrLog.txt
28.07.2007 19:09 16.384 Perflib_Perfdata_bb4.dat
28.07.2007 19:09 0 T30DebugLogFile.txt
28.07.2007 19:09 16.384 Perflib_Perfdata_648.dat

----- Temp -----------------------------
Verzeichnis von C:\DOKUME~1\Ich\LOKALE~1\Temp

28.07.2007 19:19 16.384 ~DF7860.tmp
28.07.2007 19:19 16.384 Perflib_Perfdata_cec.dat
28.07.2007 19:19 16.384 Perflib_Perfdata_c88.dat
28.07.2007 19:16 16.384 ~DFD7D1.tmp
28.07.2007 18:55 16.384 ~DFAF62.tmp
28.07.2007 18:32 27.235 French.bin
28.07.2007 18:32 25.753 German.bin
28.07.2007 18:32 27.410 Italian.bin
28.07.2007 18:32 26.126 Russian.bin
28.07.2007 18:32 27.753 Spanish.bin
28.07.2007 18:32 24.082 SWEDISH.bin
28.07.2007 18:32 26.260 Portuguese.bin
28.07.2007 18:32 21.914 English.bin
28.07.2007 18:32 16.408 SimChin.bin
28.07.2007 18:32 20.135 Korean.bin
28.07.2007 18:32 16.949 TradChin.bin
28.07.2007 18:32 21.976 Thai.bin
28.07.2007 18:32 25.082 Greek.bin
28.07.2007 18:32 24.221 Polish.bin
28.07.2007 18:32 25.071 Portuguese(Brazil).bin
28.07.2007 18:32 24.312 Czech.bin
28.07.2007 18:32 22.857 Finnish.bin
28.07.2007 18:32 19.553 Hebrew.bin
28.07.2007 18:32 26.080 Hungarian.bin
28.07.2007 18:32 21.964 Norwegian.bin
28.07.2007 18:32 22.253 Turkish.bin
28.07.2007 18:32 25.747 Dutch.bin
28.07.2007 18:32 20.972 Arabic.bin
28.07.2007 18:32 22.783 Danish.bin
28.07.2007 18:32 24.297 Japanese.bin
24.07.2007 23:59 121 D653F3EC.TMP

uncle sam · 29.07.2007, 09:06

ausserdem kommt nach jedem reboot eine neue dll hinzu, die sich ebenfalls nicht löschen lässt, aber im logfile erscheint garkeine mehr. vundofix löscht zwar einige aber bei weitem nicht alles

uncle sam · 29.07.2007, 13:16

so ich habe jetzt mein system frisch aufgesetzt, es sollte jetzt auch wieder alles sauber sein.
wäre nett wenn sich nochmal wer die mühe macht, die logfile durchzusehn

thx@all!

Logfile of HijackThis v1.99.1
Scan saved at 14:14:33, on 29.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
C:\WINDOWS\ehome\ehtray.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\PROGRA~1\LAUNCH~1\LManager.exe
C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Acer\Empowering Technology\eRecovery\eRecovery.exe
C:\Programme\Messenger\msmsgs.exe
C:\Dokumente und Einstellungen\Benni\Desktop\HijackThis.exe
C:\WINDOWS\SoftwareDistribution\Download\f74f22341ea24f7a62906db7ee163f9c\update\update.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://global.acer.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://global.acer.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://global.acer.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - c:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKLM\..\Run: [ntiMUI] C:\Programme\NewTech Infosystems\NTI CD & DVD-Maker 7\ntiMUI.exe
O4 - HKLM\..\Run: [Acer ePresentation HPD] C:\Acer\Empowering Technology\ePresentation\ePresentation.exe
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
O4 - HKLM\..\Run: [Boot] C:\Acer\Empowering Technology\ePower\Boot.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [LManager] C:\PROGRA~1\LAUNCH~1\LManager.exe
O4 - HKLM\..\Run: [NAV CfgWiz] C:\Programme\Gemeinsame Dateien\Symantec Shared\SymProbe.exe -r "C:\Programme\Norton AntiVirus\CfgWiz.exe" /GUID {0D7956A2-5A08-4ec2-A72C-DF8495A66016} /MODE CfgWiz /CMDLINE "REBOOT"
O4 - HKLM\..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\eRAgent.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TuneUp MemOptimizer] "C:\Programme\TuneUp Utilities 2007\MemOptimizer.exe" autostart
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Acer Empowering Technology.lnk = C:\Acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O23 - Service: Memory Check Service (AcerMemUsageCheckService) - Acer Inc. - C:\Acer\Empowering Technology\ePerformance\MemCheck.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SPBBCSvc - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

28.07.2007, 16:32	#2
felix1 /// Helfer-Team	Vundo? - lässt sich nicht entfernen Hallo, schon mal im abgesicherten Modus versucht? Vorher unbedingt die Systemwiederherstellung deaktivieren. Gruss __________________ __________________

Vundo? - lässt sich nicht entfernen

Log-Analyse und Auswertung: Vundo? - lässt sich nicht entfernen