Hi,
bitte befolge die gesamte Anleitung und benutze die find.bat um das Log zu kürzen. So ist es viel zu lang.

Poste bitte auch noch das Log von Avenger.

lg myrtille

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\uwvstggt

*******************

Script file located at: \??\C:\ymwuatyx.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:



Could not open file C:\Programme\Gemeinsame Dateien\{320D180E-0640-1031-0320-060315050031}\Update.exe" mc-110-12-0000140 for deletion
Deletion of file C:\Programme\Gemeinsame Dateien\{320D180E-0640-1031-0320-060315050031}\Update.exe" mc-110-12-0000140 failed!

Could not process line:
C:\Programme\Gemeinsame Dateien\{320D180E-0640-1031-0320-060315050031}\Update.exe" mc-110-12-0000140
Status: 0xc0000033



File C:\WINDOWS\system32\Uninstall.ico not found!
Deletion of file C:\WINDOWS\system32\Uninstall.ico failed!

Could not process line:
C:\WINDOWS\system32\Uninstall.ico
Status: 0xc0000034



File C:\WINDOWS\system32\Help.ico not found!
Deletion of file C:\WINDOWS\system32\Help.ico failed!

Could not process line:
C:\WINDOWS\system32\Help.ico
Status: 0xc0000034



File C:\WINDOWS\system32\NULL not found!
Deletion of file C:\WINDOWS\system32\NULL failed!

Could not process line:
C:\WINDOWS\system32\NULL
Status: 0xc0000034



File C:\WINDOWS\system32\wnsapisv.exe not found!
Deletion of file C:\WINDOWS\system32\wnsapisv.exe failed!

Could not process line:
C:\WINDOWS\system32\wnsapisv.exe
Status: 0xc0000034



File C:\WINDOWS\system32\7932.bat not found!
Deletion of file C:\WINDOWS\system32\7932.bat failed!

Could not process line:
C:\WINDOWS\system32\7932.bat
Status: 0xc0000034



File C:\WINDOWS\system32\setup9x.exe not found!
Deletion of file C:\WINDOWS\system32\setup9x.exe failed!

Could not process line:
C:\WINDOWS\system32\setup9x.exe
Status: 0xc0000034



File C:\WINDOWS\system32\apps.exe not found!
Deletion of file C:\WINDOWS\system32\apps.exe failed!

Could not process line:
C:\WINDOWS\system32\apps.exe
Status: 0xc0000034



File C:\WINDOWS\system32\install.exe not found!
Deletion of file C:\WINDOWS\system32\install.exe failed!

Could not process line:
C:\WINDOWS\system32\install.exe
Status: 0xc0000034



File C:\WINDOWS\system32\17.dat not found!
Deletion of file C:\WINDOWS\system32\17.dat failed!

Could not process line:
C:\WINDOWS\system32\17.dat
Status: 0xc0000034



File C:\WINDOWS\system32\16.dat not found!
Deletion of file C:\WINDOWS\system32\16.dat failed!

Could not process line:
C:\WINDOWS\system32\16.dat
Status: 0xc0000034



File C:\WINDOWS\system32\uiqzmticq.dll not found!
Deletion of file C:\WINDOWS\system32\uiqzmticq.dll failed!

Could not process line:
C:\WINDOWS\system32\uiqzmticq.dll
Status: 0xc0000034



File C:\WINDOWS\system32\uiqzmtymsg.dll not found!
Deletion of file C:\WINDOWS\system32\uiqzmtymsg.dll failed!

Could not process line:
C:\WINDOWS\system32\uiqzmtymsg.dll
Status: 0xc0000034



File C:\WINDOWS\system32\XpsSvcs.dll not found!
Deletion of file C:\WINDOWS\system32\XpsSvcs.dll failed!

Could not process line:
C:\WINDOWS\system32\XpsSvcs.dll
Status: 0xc0000034



File C:\Programme\A.ico not found!
Deletion of file C:\Programme\A.ico failed!

Could not process line:
C:\Programme\A.ico
Status: 0xc0000034



File C:\Programme\B.ico not found!
Deletion of file C:\Programme\B.ico failed!

Could not process line:
C:\Programme\B.ico
Status: 0xc0000034



File C:\Programme\INSTALL.LOG not found!
Deletion of file C:\Programme\INSTALL.LOG failed!

Could not process line:
C:\Programme\INSTALL.LOG
Status: 0xc0000034



Folder C:\fsaua.data not found!
Deletion of folder C:\fsaua.data failed!

Could not process line:
C:\fsaua.data
Status: 0xc0000034



Folder C:\KEEN not found!
Deletion of folder C:\KEEN failed!

Could not process line:
C:\KEEN
Status: 0xc0000034



Could not open folder C:\Windows\?ymbols for deletion
Deletion of folder C:\Windows\?ymbols failed!

Could not process line:
C:\Windows\?ymbols
Status: 0xc0000033



Folder C:\Programme\YourSiteBar not found!
Deletion of folder C:\Programme\YourSiteBar failed!

Could not process line:
C:\Programme\YourSiteBar
Status: 0xc0000034



Folder C:\Programme\PantsOff not found!
Deletion of folder C:\Programme\PantsOff failed!

Could not process line:
C:\Programme\PantsOff
Status: 0xc0000034



Folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Long slow road itch not found!
Deletion of folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Long slow road itch failed!

Could not process line:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Long slow road itch
Status: 0xc0000034



Folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BIB MOVE BORE LOAD not found!
Deletion of folder C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BIB MOVE BORE LOAD failed!

Could not process line:
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BIB MOVE BORE LOAD
Status: 0xc0000034



Folder C:\Dokumente und Einstellungen\Nadine Herrmann\Anwendungsdaten\Else plus not found!
Deletion of folder C:\Dokumente und Einstellungen\Nadine Herrmann\Anwendungsdaten\Else plus failed!

Could not process line:
C:\Dokumente und Einstellungen\Nadine Herrmann\Anwendungsdaten\Else plus
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.


Was soll ich jetzt noch machen?

Die letzten 2 Punkte der eScan anleitung abarbeiten:

12. Die Auswertedatei find.bat durch Doppelklick starten und das sich öffnende Notepadfenster schliessen.
13.Windows normal booten. START > AUSFÜHREN > cmd In das sich öffnende Konsolenfenster
notepad C:\bases_x\escan_neu.txt
tippen und ENTER drücken.

und dann den Inhalt der escan_neu.txt hier posten.

Avenger hat nichts gelöscht, das muss ich mir nochmal anschauen

lg myrtille

Kannst mir des bitte nochmal anderst erklären, ich blick da grad nicht so richtig durch. Soll ich des Escan nochmal laufen lassen oder nicht? Und wie dann genau weiter?

Du hast in Punkt 2 die find.bat runtergeladen? Wenn nicht geh da nochmal hin und lade sie runter.
Wenn du den Link anklickst, dann kann es sein, dass du nur text siehst... Dann einfach Rechtsklick auf die Seite machen und "Speichern unter" wählen. Als Namen "find.bat" und als "Dateityp" alle "Alle Dateien" anwählen.

Wenn du die Datei runtergeladen hast, dann einfach mit einem Doppelkick ausführen und das neu erstellte Log hierrein stellen.

Du musst also eScan nicht nochmal durchlaufen lassen. Es geht nur darum alle "normalen" Einträge zu entfernen, damit man das Log besser durchlesen kann. hier Kannst du ja mal schauen wie das dann ausschaut.

lg ymrtille

Hi,
hab jetzt nen Windowsrechner gefunden und das Log selsbt erstellt:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Header
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
find.bat Version 2007.06.16.01

Microsoft Windows XP [Version 5.1.2600]
Bootmodus: NORMAL

eScan Version: 9.3.1
Sprache: German
Virus-Datenbank Datum: 12/27/2007

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Infektionsmeldungen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Object "surfaccuracy Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "savenow Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "yoursitebar Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "clickspring Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "tencent qq Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "tencent qq Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "instantaccess Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "whenu.savenow Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "grokster Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "savenow Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "tencent qq Spyware/Adware" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "smitfraud Browser Hijacker" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
Object "smitfraud Browser Hijacker" in Dateisystem gefunden! Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
System found infected with maxsearch Adware ({c4069e3a-68f1-403e-b40e-20066696354b})! Action taken: Keine Aktion vorgenommen.
System found infected with toolbar888 Browser Hijacker ({569304ba-83ed-4cff-ac26-be3e482f7208})! Action taken: Keine Aktion vorgenommen.
System found infected with toolbar888 Browser Hijacker ({c6f2214e-0b54-45a9-b90d-7dd4ba45ed0b})! Action taken: Keine Aktion vorgenommen.
System found infected with elite toolbar Spyware/Adware (toolbar.exe)! Action taken: Keine Aktion vorgenommen.
System found infected with backdoor (ircbot) trojans Spyware/Adware (hkey_local_machine\software\microsoft\windows/ivs)! Action taken: Keine Aktion vorgenommen.


~~~~~~~~~~~
Dateien
~~~~~~~~~~~
~~~~ Infected files
~~~~~~~~~~~
Datei C:\WINDOWS\system32\taskkill.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\WINDOWS\system32\taskkill.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Nadine Herrmann\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WZUTUZJW\cureit[1].exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\Dokumente und Einstellungen\Nadine Herrmann\Incomplete\T-233472-El Temperamento - Marquess.mp3.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\SDFix\Norman_Malware_Cleaner.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\SDFix\sav32sfx.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\SDFix.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
Datei C:\WINDOWS\system32\taskkill.exe infiziert von "NULL.Corrupted" Virus. Aktion vorgenommen: Keine Aktion vorgenommen.
~~~~~~~~~~~
~~~~ Tagged files
~~~~~~~~~~~
Datei D:\mIRC\mirc.exe markiert als not-a-virus:Client-IRC.Win32.mIRC.621. Keine Aktion vorgenommen.
File D:\VVSNInst.exe markiert als "not-a-virus:AdTool.Win32.WhenU.a". Folgende Maßnahme wurde durchgeführt: Keine Aktion vorgenommen.
~~~~~~~~~~~
~~~~ Offending files
~~~~~~~~~~~
Offending file found: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\aol downloads\triton_suite_install_6.0.28.1\toolbar.exe
~~~~~~~~~~~
Ordner
~~~~~~~~~~~
Offending Folder found: C:\Programme\tencent
Offending Folder found: C:\Dokumente und Einstellungen\Nadine Herrmann\Anwendungsdaten\acccore\caches\bart\1024
Offending Folder found: C:\Dokumente und Einstellungen\Nadine Herrmann\Anwendungsdaten\icq6\bart\1024
~~~~~~~~~~~
Registry
~~~~~~~~~~~
Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\sacc !!!
Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\whenusavemsg !!!
Offending Key found: HKLM\Software\Microsoft\Windows\CurrentVersion\App Management\ARPCache\yoursitebar !!!
Offending Key found: HKLM\Software\clickspring !!!
Offending Key found: HKLM\Software\magnet !!!
Offending Key found: HKLM\Software\tencent !!!
Offending Key found: HKCU\Software\magnet !!!
Offending Key found: HKCU\Software\tencent !!!
Offending Key found: HKCU\Software\VB and VBA Program Settings\mc !!!
Offending Key found: HKCU\software\microsoft\windows\currentversion\explorer\menuorder\start menu2\programs\whenu !!!
Offending Key found: HKCR\magnet !!!
Offending Key found: HKCR\wusn.1 !!!


~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Diverses
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Prozesse und Module
~~~~~~~~~~~~~~~~~~~~~~
~~~~~~~~~~~~~~~~~~~~~~
Scanfehler
~~~~~~~~~~~~~~~~~~~~~~
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\TEMP\AVUPDATE_46ff9674\engine\avewin32.dll nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Dokumente und Einstellungen\Nadine Herrmann\Eigene Dateien\7018_119.zip nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Dokumente und Einstellungen\Nadine Herrmann\Lokale Einstellungen\Temporary Internet Files\Content.IE5\WZUTUZJW\xp-AntiSpy_deutsch3966[1].zip nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Dokumente und Einstellungen\Nadine Herrmann\Lokale Einstellungen\Temporary Internet Files\Content.IE5\AQ3T0WHN\HJTInstall[1].exe nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Dokumente und Einstellungen\Nadine Herrmann\Lokale Einstellungen\Temporary Internet Files\Content.IE5\F1H9DJO8\KillBox[1].exe nicht gescannt. Wahrscheinlich durch Passwort geschützt...
C:\Treiber\BroadCom WLAN\802bg nicht gescannt. Wahrscheinlich durch Passwort geschützt...
~~~~~~~~~~~~~~~~~~~~~~
Hosts-Datei
~~~~~~~~~~~~~~~~~~~~~~
DataBasePath: %SystemRoot%\System32\drivers\etc
Zeilen die nicht dem Standard entsprechen:
C:\WINDOWS\System32\drivers\etc\hosts :
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Statistiken:
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Gescannte Dateien: 140161
Gefundene Viren: 30
Anzahl der desinfizierten Dateien: 0
Umbenannte Dateien: 0
Anzahl der gelöschten Dateien: 0
Anzahl Fehler: 241
Dauer des Scans bisher: 02:05:40
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan-Optionen
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Specherüberprüfung: Aktiviert
Registry Überprüfung: Aktiviert
System-Ordner Überprüfung: Aktiviert
Überprüfung der Systembereiche: Deaktiviert
Überprüfung der Dienste: Aktiviert
Überprüfung der Festplatten: Deaktiviert
Überprüfung aller Festplatten :Aktiviert

Batchstart: 15:04:56.17
Batchende: 15:06:30.22


Das sieht eigentlich sauber aus... Allerdings beunruhigen mich die Dateien, die sich auf deinem Rechner befunden haben weiterhin und die Tatsache, dass selbst mächtige Programme die Dateien nicht finden können weiterhin.

Am liebsten wäre es mir daher wirklich, wenn du deinen Rechner Neuaufsetzen würdest und danach alle Passwörter ändern würdest. Die Anleitung befindet sich hier: klick

Die Symptome sind mittlerweile wohl weg, allerdings kann ich dir beim besten Willen nicht sagen, was auf dem Rechner noch läuft.
Du kannst zb mit folgendem Programm noch schauen, was sich von deinem Rechner auswählt:
tcpview

1. Das Programm tcpview herunterladen und auf dem Desktop entpacken.
2. Im Ordner tcpview die Datei tcpview.exe starten.
3. Oben links auf das Diskettensymbol klicken und das Logfile abspeichern.
4. Den Inhalt der Logdatei posten.



Allerdings lassen sich solche Programme natürlich auch umgehen.

lg myrtille

Hi, dankeschön, hatte leider keine Zeit deshalb schreib ich jetzt erst.

AppleMobileDeviceService.exe:300 TCP acer-4529571627:27015 localhost:1057 ESTABLISHED
ClipInc-Server.exe:1068 TCP acer-4529571627:1144 sc10.ams.llnw.net:http ESTABLISHED
ClipInc-Server.exe:1068 UDP acer-4529571627:1029 *:*
ClipInc-Server.exe:1204 TCP acer-4529571627:1082 213.254.239.51:http ESTABLISHED
IEXPLORE.EXE:3600 UDP acer-4529571627:1445 *:*
iTunesHelper.exe:3044 TCP acer-4529571627:1057 localhost:27015 ESTABLISHED
LSASS.EXE:724 UDP acer-4529571627:isakmp *:*
LSASS.EXE:724 UDP acer-4529571627:4500 *:*
SNMP.EXE:1492 UDP acer-4529571627:snmp *:*
SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1128 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1105 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1036 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1129 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1037 *:*
SVCHOST.EXE:1248 UDP acer-4529571627:1900 *:*
SVCHOST.EXE:1248 UDP acer-4529571627:1900 *:*
SVCHOST.EXE:1248 UDP acer-4529571627:1900 *:*
System:4 TCP acer-4529571627:microsoft-ds acer-4529571627:0 LISTENING
System:4 TCP acer-4529571627:netbios-ssn acer-4529571627:0 LISTENING
System:4 TCP acer-4529571627:netbios-ssn acer-4529571627:0 LISTENING
System:4 UDP acer-4529571627:netbios-ns *:*
System:4 UDP acer-4529571627:netbios-dgm *:*
System:4 UDP acer-4529571627:netbios-ns *:*
System:4 UDP acer-4529571627:netbios-dgm *:*
System:4 UDP acer-4529571627:microsoft-ds *:*

Wie gesagt, auf der Oberfläche sah dein Rechner sauber aus, allerdings stehen folgende Einträge:

SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1016 UDP acer-4529571627:ntp *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1128 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1105 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1036 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1129 *:*
SVCHOST.EXE:1100 UDP acer-4529571627:1037 *:*

im Zusammenhang mit folgendem Gesellen: klick

Der Trojaner liest deine Tastatureneingaben und damit deine Passwörter aus und verschickt sie und erlaubt anderen Zugang zu deinem Rechner.

Also hier nochmal die Empfehlung, deinen Rechner neuaufzusetzen und danach deine Passwörter zu ändern.

Weitere Hinweise auf den Befall könnte man wahrscheinlich wie folgt finden:

Da das Ding schon was älter ist, kann ich nicht sagen, obs jetzt via TCP arbeitet.

Lass mal den ADS Spy im HJT laufen, vlt. findet der noch was nettes, oder

ModGreper

* Lade Modgreper von hier.
* Entpacke es nach c:\
* Lade die mg.bat von hier .
* Speicher diese auf dem Desktop
* Klicke die mg.bat an, ein schwarzes Fenster erscheint
* nachdem dieses verschwunden ist Öffne mit dem Explorer oder über den Arbeitsplatz
* dort liegt nun die Datei c:\modgreper.txt, diese mit einem Doppelklick öffnen
* poste den Inhalt der modgreper.txt im Forum

Wie ist deine Platte formatiert? Ntfs oder fat32? (je nachdem könnte man auch noch nach was anderem schauen)
lg myrtille

? f7263000 - f7277000 : srescan.sys
? b6ece000 - b6f2d000 : \SystemRoot\System32\vsdatant.sys
? b6d28000 - b6d40000 : \SystemRoot\System32\Drivers\dump_atapi.sys
? f79bc000 - f79be000 : \SystemRoot\System32\Drivers\dump_WMILIB.SYS
? f78ae000 - f78b3000 : \??\C:\modgreper.sys


Ich weiss nicht genau wie die Formatiert ist, wie sehe ich das den?