Hallo Forum!

Ich lese schon sehr lange hier, habe aber noch nie einen Post erstellt, da es auch noch nie notwendig war (dank der tollen infos).

Leider hat sich dies nun geändert. Ich habe einen Rechner von einem Kunden, welcher schwer Viren-verseucht war (fast 800 Viren und Trojaner). Den Rechner neu aufzusetzen war leider keine Option, deshalb begann ich mit der langwierigen und mühsamen Säuberung. Das System ist ein WindowsXP Home mit SP2, Virenscanner ist McAffe 8.5.

Habe Spybot 1.5, Adaware 2007 und Ewido (AVG) installiert und den Rechner so ziemlich sauber bekommen. (etliche neustarts, abgesichter Modes etc.)

Aber eben nur fast. Ich habe da einen Trojaner, welcher sich bei jedem Systemstart neuinstalliert. Ich vermute auch, das dieser Trojaner meine RUNDLL32.exe befällt, da sich diese beim Herunterfahren des Systems immer aufhängt und manuell beendet werden muss.

Anbei mal das HIJACKTHIS-Log:

Logfile of HijackThis v1.99.1
Scan saved at 13:25:39, on 15.01.2005
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
C:\Programme\McAfee\Common Framework\FrameworkService.exe
C:\Programme\McAfee\VirusScan Enterprise\mcshield.exe
C:\Programme\McAfee\VirusScan Enterprise\vstskmgr.exe
C:\WINDOWS\System32\a4191.exe
C:\Programme\McAfee\Common Framework\naPrdMgr.exe
C:\WINDOWS\System32\HPZipm12.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.exe
C:\WINDOWS\htpatch.exe
C:\Programme\McAfee\VirusScan Enterprise\SHSTAT.EXE
C:\WINDOWS\system32\taskmgr.exe
C:\Programme\McAfee\Common Framework\UdaterUI.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Dokumente und Einstellungen\****************\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.tele2.at/startpage
F2 - REG:system.ini: Shell=Explorer.exe dvdhelp.exe
O1 - Hosts: 127.0.0.2 localhost
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Invoke Class - {5FB8C5D4-929F-4870-89E2-7E3EE26EE701} - C:\WINDOWS\system32\aa41.dll
O2 - BHO: scriptproxy - {7DB2D5A0-7241-4E79-B68D-6309F01C5231} - C:\Programme\McAfee\VirusScan Enterprise\scriptcl.dll
O4 - HKLM\..\Run: [HTpatch] C:\WINDOWS\htpatch.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\McAfee\VirusScan Enterprise\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\McAfee\Common Framework\UdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [!AVG Anti-Spyware] "C:\Programme\Grisoft\AVG Anti-Spyware 7.5\avgas.exe" /minimized
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O14 - IERESET.INF: START_PAGE_URL=http://www.tele2.at/startpage
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AVG Anti-Spyware Guard - GRISOFT s.r.o. - C:\Programme\Grisoft\AVG Anti-Spyware 7.5\guard.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: McAfee Framework Service (McAfeeFramework) - Unknown owner - C:\Programme\McAfee\Common Framework\FrameworkService.exe" /ServiceStart (file missing)
O23 - Service: McAfee McShield (McShield) - McAfee, Inc. - C:\Programme\McAfee\VirusScan Enterprise\mcshield.exe
O23 - Service: McAfee Task Manager (McTaskManager) - McAfee, Inc. - C:\Programme\McAfee\VirusScan Enterprise\vstskmgr.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

Bitte um Hilfe, da ich gar nicht mehr weiter weiss.

Danke, Bones

@bones

Mal abgesehen davon das du für deinen Job bezahlt wirst, solltest du deinen Kunden davon überzeugen das eine Neuinstallation durchzuführen ist, zumindest bei der Anzahl an Viren bzw. Malware.
Denn dein Kunde, gewerblich oder privat, sollte zumindest darauf aufmerksam gemacht werden wie es um das Thema Sicherheit bestellt ist.

Eine Datensicherung sollte für dich kein Problem darstellen, genausowenig im Nachhinein alles wieder zu installieren.

Ich vermute auch, das dieser Trojaner meine RUNDLL32.exe befällt, da sich diese beim Herunterfahren des Systems immer aufhängt und manuell beendet werden muss.

Versuche mal diese Datei zu kontrollieren:

C:\WINDOWS\system32\aa41.dll
         

bei -> Virustotal

Hallo Sunny!

Erstmal danke für die schnelle Antwort. Nur habe ich jetzt doch ein paar Anmerkungen:
1. ja, ich werde für meine Arbeit bezahlt, und sollte ich aus diesem Grund hier nicht posten dürfen, bitte mich darauf hinzuweisen, da ich dies nirgends gelesen habe.
2. Den Rechner neu aufzusetzen ist natürlich eine Möglichkeit, welche ich jedoch tunlichst vermeiden möchte, da es sich um den FamilienPC eines Kunden handelt (kein Firmennetzwerk, keine Domaine), bei dem sich die Neuinstallation als sehr knifflig herausstellen dürfte.

Zu meine Problem:
Ja die Datei ist infiziert und ich poste mal den Report:

AhnLab-V3 2008.1.15.11 2008.01.15 -
AntiVir 7.6.0.46 2008.01.15 ADSPY/BaiduBar.DH
Authentium 4.93.8 2008.01.13 -
Avast 4.7.1098.0 2008.01.14 Win32:Qhost-AYU
AVG 7.5.0.516 2008.01.14 -
BitDefender 7.2 2008.01.15 -
CAT-QuickHeal 9.00 2008.01.14 -
ClamAV 0.91.2 2008.01.14 -
DrWeb 4.44.0.09170 2008.01.15 -
eSafe 7.0.15.0 2008.01.14 -
eTrust-Vet 31.3.5459 2008.01.15 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.15 -
Fortinet 3.14.0.0 2008.01.15 -
F-Prot 4.4.2.54 2008.01.14 -
F-Secure 6.70.13030.0 2008.01.15 -
Ikarus T3.1.1.20 2008.01.15 Virus.Win32.Qhost.AYU
Kaspersky 7.0.0.125 2008.01.15 -
McAfee 5206 2008.01.14 -
Microsoft 1.3109 2008.01.15 Trojan:Win32/Agent
NOD32v2 2792 2008.01.15 -
Norman 5.80.02 2008.01.15 -
Panda 9.0.0.4 2008.01.14 -
Prevx1 V2 2008.01.15 Generic.Malware
Rising 20.27.12.00 2008.01.15 -
Sophos 4.24.0 2008.01.15 DesktopMedia
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.15 -
TheHacker 6.2.9.187 2008.01.13 -
VBA32 3.12.2.5 2008.01.13 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.15 Ad-Spyware.BaiduBar.DH

Jetzt hab ich mal nen Namen. Hab bis jetzt nur ne Diskussion auf Französisch bzgl des Schädlings gefunden , was sich als nicht ganz so verständlich herausstellte aber ich suche mal weiter. Werde einen passenden Link hier posten, sobald ich ihn gefunden habe.

Grüsse, Bones

ComboFix

-Lade dir das Tool hier herunter -> KLICK
-Starte nun die combofix.exe, bestätige mit (Y)es, lass die Bereinigung durchlaufen
und kopiere nun den Text ab, und füge ihn in deinen Beitrag im Board ein!




Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Online-Viren-Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen



Filelist

1. Lade das filelist.zip auf deinen Desktop herunter.
2. Entpacke die Zip-Datei auf deinen Desktop (mit WINZIP), öffne die nun auf deinem Destop vorhandene filelist.bat mit einem Doppelklick auf die Datei
3. Dein Editor (Textverarbeitungsprogramm) wird sich öffnen
4. Markiere von diesem Inhalt aus jedem Verzeichnis jeweils die letzten 30 Tage, wähle kopieren, füge diese Dateien in deinem nächsten Beitrag ein.

Dies sind die Verzeichnisse von denen wir jeweils die letzten 30 Tage sehen wollen:
Verzeichnis von C:\
Verzeichnis von C:\WINDOWS\system32
Verzeichnis von C:\WINDOWS
Verzeichnis von C:\WINDOWS\Prefetch (Windows XP)
Verzeichnis von C:\WINDOWS\tasks
Verzeichnis von C:\WINDOWS\Temp
Verzeichnis von C:\DOCUME~1\Name\LOCALS~1\Temp

Das hat jetzt aber mal gedauert, bis der alle 3 Scans fertig hatte
Da diese jedoch 1 Post sprengen würden, mach ich mal 3 draus.

ComboFix

ComboFix 08-01-15.4 - User1 2007-01-15 15:13:41.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.237 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\User1\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.
The following files were disabled during the run:
C:\WINDOWS\system32\msxhea.dll


(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Autorun.inf
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten.\microsoft\office\system
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten.\microsoft\office\system\finder.dll
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten.\microsoft\office\system\sysloader.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten.\t
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Office\SYSTEM\sysloader.exe
C:\Programme\ad4all
C:\Programme\ad4all\Install.exe
C:\Programme\ad4all\install.ini
C:\Programme\ad4all\link1\eachlink.htm
C:\Programme\ad4all\link1\eachlink.ico
C:\Programme\ad4all\link1\ebaylink.ico
C:\Programme\ad4all\link1\install.ini
C:\Programme\ad4all\link1\Thumbs.db
C:\WINDOWS\1f1.bmp
C:\WINDOWS\avpsrv.exe
C:\WINDOWS\Downloaded Program Files.\cstfgo.dll
C:\WINDOWS\Downloaded Program Files.\fgbz7g3e.dll
C:\WINDOWS\Downloaded Program Files.\fgs7yp.dll
C:\WINDOWS\Downloaded Program Files.\gdjy74.dll
C:\WINDOWS\Downloaded Program Files.\gsk8.dll
C:\WINDOWS\Downloaded Program Files.\izb.dll
C:\WINDOWS\Downloaded Program Files.\ofqi6u.dll
C:\WINDOWS\Downloaded Program Files.\poxy.dll
C:\WINDOWS\Downloaded Program Files.\tb3n.dll
C:\WINDOWS\Downloaded Program Files.\u2es9sfb.dll
C:\WINDOWS\Downloaded Program Files.\wzzx86.dll
C:\WINDOWS\Downloaded Program Files.\yjxr3i3s.dll
C:\WINDOWS\kvsc3.exe
C:\WINDOWS\lotushlp.exe
C:\WINDOWS\mppds.exe
C:\WINDOWS\msccrt.exe
C:\WINDOWS\msimms32.exe
C:\WINDOWS\msprint32d.exe
C:\WINDOWS\NAVMon32.exE
C:\WINDOWS\NVDispDrv.exe
C:\WINDOWS\PTSShell.exe
C:\WINDOWS\SHAProc.exe
C:\WINDOWS\system\dvl
C:\WINDOWS\system\lvl
C:\WINDOWS\system32\_000012_.tmp.dll
C:\WINDOWS\system32\2a1.dll
C:\WINDOWS\system32\a4191.exe
C:\WINDOWS\system32\adurl.ini
C:\WINDOWS\system32\avpsrv.dll
C:\WINDOWS\system32\cflInfo.nt
C:\WINDOWS\system32\d3d1caps.srg
C:\WINDOWS\system32\DbgHlp32.dll
C:\WINDOWS\system32\dnabeser.dat
C:\WINDOWS\system32\dodolook591.exe
C:\WINDOWS\system32\drivers\acpidisk.sys
C:\WINDOWS\system32\drivers\eract.sys kann nicht ge”ffnet werden.
C:\WINDOWS\system32\drivers\lsqelr59.sys kann nicht ge”ffnet werden.
C:\WINDOWS\system32\flym.dll
C:\WINDOWS\system32\ini.~tmp
C:\WINDOWS\system32\key.~tmp
C:\WINDOWS\system32\kvsc3.dll
C:\WINDOWS\system32\LotusHlp.dll
C:\WINDOWS\system32\lsqelr59.dll
C:\WINDOWS\system32\lsqelr59.dllmmc.pkm
C:\WINDOWS\system32\mhsha1.dat
C:\WINDOWS\system32\mppds.dll
C:\WINDOWS\system32\msccrt.dll
C:\WINDOWS\system32\msimms32.dll
C:\WINDOWS\system32\MsPrint32D.dll
C:\WINDOWS\system32\mstacim.sig
C:\WINDOWS\system32\NAVMon32.dll
C:\WINDOWS\system32\nvdispdrv.dll
C:\WINDOWS\system32\PTSShell.dll
C:\WINDOWS\system32\RegSrv64D.dll
C:\WINDOWS\system32\setyahoo.ini
C:\WINDOWS\system32\SHAProc.dll
C:\WINDOWS\system32\SHQ.DLL
C:\WINDOWS\system32\svchost.dat
C:\WINDOWS\system32\svchost.dll
C:\WINDOWS\system32\upxdnd.dll
C:\WINDOWS\system32\wbem\CGLPVAFKPUZDJOT.MDA
C:\WINDOWS\system32\winform.dll
C:\WINDOWS\system32\WSockDrv32.dll
C:\WINDOWS\system32\XBGKQVAFKPUYC.DLL
C:\WINDOWS\tempaq
C:\WINDOWS\upxdnd.exe

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))

.
-------\LEGACY_ERACT
-------\LEGACY_LSQELR59
-------\LEGACY_MS_2FAX
-------\LEGACY_MXDISPDR
-------\LEGACY_SYSLOADER
-------\LEGACY_YAHOOSVR
-------\LEGACY_YIQILAI
-------\eract
-------\lsqelr59
-------\ms_2fax
-------\sysloader
-------\YahooSvr
-------\Yiqilai


((((((((((((((((((((((( Dateien erstellt von 2007-12-15 bis 2008-01-15 ))))))))))))))))))))))))))))))
.

2008-01-14 15:20 . 2004-08-04 01:58 33,792 --a------ C:\WINDOWS\system32\RUNDLL32.EXE
2007-12-30 19:03 . 2007-01-15 15:05 29 --a------ C:\WINDOWS\system32\-2-94-2471

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-01 00:25 --------- d-----w C:\Programme\eSafe
2010-01-01 00:24 0 ----a-w C:\Dokumente und Einstellungen\User3\Anwendungsdaten\wklnhst.dat
2010-01-01 00:24 0 ----a-w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\wklnhst.dat
2009-12-31 23:28 --------- d-----w C:\Programme\IC Card Reader Driver v1.8e2
2009-12-31 23:24 --------- d-----w C:\Programme\ABBYY FineReader 6.0
2009-12-31 23:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BVRP Software
2009-12-31 23:20 --------- d-----w C:\Programme\Ahead
2009-12-31 23:19 --------- d-----w C:\Programme\InterVideo
2009-12-31 23:14 --------- d-----w C:\Programme\ModemTest
2009-12-31 23:14 --------- d-----w C:\Programme\Gemeinsame Dateien\Ahead
2009-12-31 23:10 --------- d-----w C:\Programme\Comtradedoku
2009-12-31 22:55 --------- d-----w C:\Programme\SiSLan
2009-12-31 22:45 --------- d-----w C:\Programme\C-Media 3D Audio
2009-12-31 22:39 --------- d-----w C:\Programme\directx
2009-12-31 22:18 --------- d-----w C:\Programme\microsoft frontpage
2009-12-31 22:16 --------- d-----w C:\Programme\Online-Dienste
2009-12-31 22:16 --------- d-----w C:\Programme\Gemeinsame Dateien\MSSoap
2009-12-31 22:16 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
2009-12-31 22:11 --------- d-----w C:\Programme\Gemeinsame Dateien\SpeechEngines
2009-12-31 22:11 --------- d-----w C:\Programme\Gemeinsame Dateien\ODBC
2008-01-15 09:34 53,248 ----a-r C:\WINDOWS\fe01.exe
2007-12-03 19:09 --------- d-----w C:\Programme\Apple Software Update
2007-12-03 19:09 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple
2007-12-03 14:21 --------- d-----w C:\Dokumente und Einstellungen\User1\Anwendungsdaten\U3
2007-11-26 10:02 12,416 ----a-w C:\WINDOWS\system32\drivers\eract.sys
2006-12-10 20:40 48,364 ----a-w C:\Dokumente und Einstellungen\User1\Anwendungsdaten\wklnhst.dat
2006-09-28 11:26 59,136 ----a-w C:\Dokumente und Einstellungen\User1\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2006-02-14 16:58 10,068 ----a-w C:\Dokumente und Einstellungen\User2\Anwendungsdaten\wklnhst.dat
2005-12-31 15:33 20 ----a-w C:\Dokumente und Einstellungen\User1\mhsha1.dat
2005-08-14 10:09 58,056 ----a-w C:\Dokumente und Einstellungen\User2\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2005-02-16 10:06 218,112 ----a-w C:\Dokumente und Einstellungen\User1\HijackThis.exe
2004-06-06 13:13 140,800 --sh--r C:\WINDOWS\system32\msxhea.exe
2004-06-06 13:13 225,280 --sh--r C:\WINDOWS\system32\msxheab.dll
2005-12-30 17:57 44,032 --sh--w C:\WINDOWS\system32\BDE2D\svchost.exe
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:57 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HTpatch"="C:\WINDOWS\htpatch.exe" [2002-10-30 10:40 28672]
"ShStatEXE"="C:\Programme\McAfee\VirusScan Enterprise\SHSTAT.exe" [2007-10-16 20:50 111952]
"McAfeeUpdaterUI"="C:\Programme\McAfee\Common Framework\UdaterUI.exe" [2006-11-17 13:39 136768]
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe" [2005-06-23 19:33 57344]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\system]
"DisableRegistryTools"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]
"fgs7yp"= rundll32 "C:\WINDOWS\Downlo~1\fgs7yp.dll",Run

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Exif Launcher.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Exif Launcher.lnk
backup=C:\WINDOWS\pss\Exif Launcher.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^HP Digital Imaging Monitor.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\HP Digital Imaging Monitor.lnk
backup=C:\WINDOWS\pss\HP Digital Imaging Monitor.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\InterVideo WinCinema Manager.lnk
backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Photo Loader resident.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Photo Loader resident.lnk
backup=C:\WINDOWS\pss\Photo Loader resident.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Photo Downloader]
--a------ 2005-06-23 19:33 57344 C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AVPSrv]
C:\WINDOWS\AVPSrv.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Cmaudio]
--a--c--- 2002-11-01 10:33 421888 C:\WINDOWS\CMICNFG.CPL

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DbgHlp32]
C:\WINDOWS\DbgHlp32.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Disk Monitor]
--a------ 2002-12-12 13:01 440832 C:\Programme\\IC Card Reader Driver v1.8e2\Disk_Monitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]
--a------ 2006-02-19 02:41 49152 C:\Programme\HP\HP Software Update\HPWuSchd2.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD]
--a------ 2003-03-11 20:10 1257472 C:\Programme\Ahead\InCD\InCD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
--a------ 2006-10-30 09:36 256576 C:\Programme\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\KernelFaultCheck]
C:\WINDOWS\system32\dumprep 0 -k

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Kvsc3]
C:\WINDOWS\Kvsc3.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\LotusHlp]
C:\WINDOWS\LotusHlp.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\mppds]
C:\WINDOWS\mppds.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\msccrt]
C:\WINDOWS\msccrt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsIMMs32]
C:\WINDOWS\MsIMMs32.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--a------ 2004-08-04 00:58 1667584 C:\Programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MsPrint32D]
C:\WINDOWS\MsPrint32D.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NAVMon32]
C:\WINDOWS\NAVMon32.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroCheck]
-ra------ 2001-07-09 11:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NVDispDrv]
C:\WINDOWS\NVDispDRV.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\owlwyxmg]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PCTVOICE]
--a------ 2002-07-10 04:49 167936 C:\WINDOWS\system32\pctspk.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PTSShell]
C:\WINDOWS\PTSShell.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2006-10-25 18:58 282624 C:\Programme\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\REGSHAVE]
--a------ 2002-02-04 21:32 53248 C:\Programme\REGSHAVE\REGSHAVE.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RegSrv64D]
C:\WINDOWS\RegSrv64D.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SHAProc]
C:\WINDOWS\SHAProc.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SiS KHooker]
--a------ 2003-02-13 21:29 286720 C:\WINDOWS\System32\khooker.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SiS Tray]
--a------ 2003-02-13 21:30 401408 C:\WINDOWS\System32\sistray.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\upxdnd]
C:\WINDOWS\upxdnd.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Vmlist]


[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinForm]
C:\WINDOWS\WinForm.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WINSvr32]
C:\WINDOWS\WINSvr32.exE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WSockDrv32]
C:\WINDOWS\WSockDrv32.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"Servicedvdhelp"=2 (0x2)

R0 BsStor;InCD Storage Helper Driver;C:\WINDOWS\system32\DRIVERS\bsstor.sys [2002-06-06 00:07]
R0 iu69;iu6;C:\WINDOWS\system32\DRIVERS\iu69.sys [2002-08-29 13:00]
R1 SiSEsc;SISLIB_ESC;C:\WINDOWS\system32\sisesc.sys [2003-02-24 18:21]
R2 03bv4qkpf;03bv4qkpf;C:\WINDOWS\System32\drivers\03bv4qkpf.sys [2002-08-29 13:00]
R2 BsUDF;InCD UDF Driver;C:\WINDOWS\system32\drivers\BsUDF.sys [2003-03-04 17:31]
R2 mbxef;MS Security Service;C:\WINDOWS\System32\msxhea.exe [2004-06-06 14:13]
S3 ids00026;ids00026;C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\bases\ids00026.sys []
S3 ids0015d;ids0015d;C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\bases\ids0015d.sys []
S3 klstm;klstm;C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Anti-Virus Personal\5.0\bases\klstm.sys []
S4 84640334;84640334;C:\WINDOWS\system32\C3FC8F02.EXE []
S4 C6C85902;C6C85902;C:\WINDOWS\system32\4466CEFE.EXE []
S4 Servicedvdhelp;ServicedvdHelp;C:\WINDOWS\System32\dvdplays.exe [2005-01-08 16:26]

.
Inhalt des "geplante Tasks" Ordners
"2007-12-05 21:20:01 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-01-15 15:24:52
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\Explorer.EXE [6.00.2900.2180]
-> C:\WINDOWS\system32\662hdg8l.dll
.
Zeit der Fertigstellung: 2008-01-15 15:31:20 - machine was rebooted
ComboFix-quarantined-files.txt 2008-01-15 14:31:15


Danke auf jeden Fall mal für die Hilfe,
Bones

Kasperky OnlineScanner

-------------------------------------------------------------------------------
PROTOKOLL FÜR KASPERSKY ONLINE SCANNER
Dienstag, 15. Januar 2008 16:46:11
Betriebssystem: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600)
Version von Kaspersky Online Scanner: 5.0.98.1
Letztes Update der Antiviren-Datenbanken: 15/01/2008
Anzahl der Einträge in den Antiviren-Datenbanken: 478235
-------------------------------------------------------------------------------

Scan-Einstellungen:
Folgende Antiviren-Datenbanken zur Untersuchung verwenden: Standard
Archive untersuchen: ja
Mail-Datenbanken untersuchen: ja

Untersuchungsobjekt - Arbeitsplatz:
C:\
D:\
E:\

Untersuchungsergebnisse:
Untersuchte Objekte insgesamt: 61635
Viren gefunden: 45
Infizierte Objekte gefunden: 120
Verdächtige Objekte gefunden: 0
Untersuchungszeit: 00:47:50

Name des infizierten Objekts / Virusname / Letzte Aktion
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\McAfee\Common Framework\Db\Agent_INGRID.log Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\McAfee\Common Framework\Db\PrdMgr_INGRID.log Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\McAfee\DesktopProtection\AccessProtectionLog.txt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\McAfee\DesktopProtection\BufferOverflowProtectionLog.txt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\McAfee\DesktopProtection\OnAccessScanLog.txt Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Temp\NAILogs\UpdaterUI_INGRID.log Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008011520080116\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\User1\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen
C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\AVPSrv.exE.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngo übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\cstfgo.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.gzt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\fgbz7g3e.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.gzt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\gdjy74.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.hci übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\gsk8.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.gzt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\ofqi6u.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.hci übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\tb3n.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.hci übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Downloaded Program Files\u2es9sfb.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.hci übersprungen
C:\QooBox\Quarantine\C\WINDOWS\Kvsc3.exE.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngq übersprungen
C:\QooBox\Quarantine\C\WINDOWS\LotusHlp.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhf übersprungen
C:\QooBox\Quarantine\C\WINDOWS\mppds.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\QooBox\Quarantine\C\WINDOWS\msccrt.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngw übersprungen
C:\QooBox\Quarantine\C\WINDOWS\MsIMMs32.exE.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngx übersprungen
C:\QooBox\Quarantine\C\WINDOWS\MsPrint32D.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngr übersprungen
C:\QooBox\Quarantine\C\WINDOWS\NAVMon32.exE.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhg übersprungen
C:\QooBox\Quarantine\C\WINDOWS\NVDispDRV.EXE.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.neb übersprungen
C:\QooBox\Quarantine\C\WINDOWS\PTSShell.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngy übersprungen
C:\QooBox\Quarantine\C\WINDOWS\SHAProc.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngz übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\a4191.exe.vir Infizierte Objekte: Trojan.Win32.BHO.arz übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\AVPSrv.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngs übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\DbgHlp32.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nds übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\Kvsc3.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngu übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\LotusHlp.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhh übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\mppds.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\msccrt.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhb übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\MsIMMs32.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhc übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\MsPrint32D.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngv übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\NAVMon32.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhi übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\NVDispDrv.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\PTSShell.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nfy übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\RegSrv64D.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhe übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\SHAProc.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhd übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\SHQ.DLL.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.mxx übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\svchost.dll.vir Infizierte Objekte: Trojan-Downloader.Win32.Agent.gzh übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\upxdnd.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njg übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\WinForm.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nib übersprungen
C:\QooBox\Quarantine\C\WINDOWS\system32\WSockDrv32.dll.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngt übersprungen
C:\QooBox\Quarantine\C\WINDOWS\upxdnd.exe.vir Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njh übersprungen
C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP14\A0000142.exe Infizierte Objekte: Trojan.Win32.BHO.arz übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP14\A0000149.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngs übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000152.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngu übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000153.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000154.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhb übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000155.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhc übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000156.dll Infizierte Objekte: Trojan-Downloader.Win32.Agent.gzh übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000157.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njg übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000158.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nib übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000159.exE Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngo übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000160.exE Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngq übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000161.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000163.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngw übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000165.exE Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngx übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000167.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njh übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000168.EXE Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.neb übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000170.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nds übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000172.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndt übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000173.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngv übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000174.DLL Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.mxx übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000175.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhf übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000176.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhh übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000177.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngr übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000180.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngy übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000181.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nfy übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000183.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngt übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000186.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhd übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000188.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhe übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000189.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhi übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000190.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngz übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP15\A0000191.exE Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhg übersprungen
C:\System Volume Information\_restore{28685A43-B350-490A-B7B2-D115B12FADF5}\RP18\change.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\e0c21.txt Infizierte Objekte: Trojan.Win32.BHO.arz übersprungen
C:\WINDOWS\fsiakr.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngr übersprungen
C:\WINDOWS\kszpkm.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndz übersprungen
C:\WINDOWS\pegdji.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.neb übersprungen
C:\WINDOWS\SchedLgU.Txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\EventCache\{9D2296BB-C73C-4193-980D-D7EF01372759}.bin Das Objekt ist gesperrt übersprungen
C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\Sti_Trace.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\stvmzh.exe Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nec übersprungen
C:\WINDOWS\system32\2052.exe Infizierte Objekte: Trojan-Downloader.Win32.Small.hox übersprungen
C:\WINDOWS\system32\662hdg8l.dll Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\84B24D4C.DLL Infizierte Objekte: Backdoor.Win32.Popwin.awe übersprungen
C:\WINDOWS\system32\aazrqb.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhc übersprungen
C:\WINDOWS\system32\ajhbxo.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhd übersprungen
C:\WINDOWS\system32\aqacci.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngu übersprungen
C:\WINDOWS\system32\avjzcb.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndv übersprungen
C:\WINDOWS\system32\BDE2D\svchost.exe Infizierte Objekte: Trojan-Downloader.Win32.Delf.dhi übersprungen
C:\WINDOWS\system32\BDE2D\svchost.~tmp Infizierte Objekte: Trojan-Downloader.Win32.Delf.dhi übersprungen
C:\WINDOWS\system32\bokwxz.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\WINDOWS\system32\bvdwhf.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndu übersprungen
C:\WINDOWS\system32\CatRoot2\edb.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\CatRoot2\tmp.edb Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\drivers\dvdhelp.sys Infizierte Objekte: Trojan.Win32.Delf.ary übersprungen
C:\WINDOWS\system32\drivers\dvdplays.sys Infizierte Objekte: Trojan.Win32.Delf.ask übersprungen
C:\WINDOWS\system32\drivers\dvdshow.sys Infizierte Objekte: Trojan-Downloader.Win32.Delf.dwj übersprungen
C:\WINDOWS\system32\drivers\iu69.sys Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\dvdhelp.exe Infizierte Objekte: Trojan.Win32.Delf.ary übersprungen
C:\WINDOWS\system32\dvdplays.exe Infizierte Objekte: Trojan.Win32.Delf.ask übersprungen
C:\WINDOWS\system32\dvdshow.dll Infizierte Objekte: Trojan-Downloader.Win32.Delf.dwj übersprungen
C:\WINDOWS\system32\fctruf.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhi übersprungen
C:\WINDOWS\system32\fdvphr.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhe übersprungen
C:\WINDOWS\system32\fjsadl.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndt übersprungen
C:\WINDOWS\system32\gfsukh.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhb übersprungen
C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\hbjpvh.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhh übersprungen
C:\WINDOWS\system32\iczwoi.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngs übersprungen
C:\WINDOWS\system32\ifsvob.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nds übersprungen
C:\WINDOWS\system32\ifwlfi.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nih übersprungen
C:\WINDOWS\system32\kvxusu.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhh übersprungen
C:\WINDOWS\system32\kzebui.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nds übersprungen
C:\WINDOWS\system32\nhzgab.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngv übersprungen
C:\WINDOWS\system32\nwdnca.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nds übersprungen
C:\WINDOWS\system32\nxzuzo.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nfy übersprungen
C:\WINDOWS\system32\pexbxh.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nfy übersprungen
C:\WINDOWS\system32\pzhgfd.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njg übersprungen
C:\WINDOWS\system32\qxqsob.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngt übersprungen
C:\WINDOWS\system32\sxfsfh.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhi übersprungen
C:\WINDOWS\system32\sys.dll Infizierte Objekte: Trojan-Downloader.Win32.Small.hox übersprungen
C:\WINDOWS\system32\thwomn.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nib übersprungen
C:\WINDOWS\system32\trzmkq.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhc übersprungen
C:\WINDOWS\system32\uxwvdq.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndt übersprungen
C:\WINDOWS\system32\vadxur.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndr übersprungen
C:\WINDOWS\system32\vaiogx.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngv übersprungen
C:\WINDOWS\system32\vqypez.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndq übersprungen
C:\WINDOWS\system32\vxhcnp.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ngt übersprungen
C:\WINDOWS\system32\vytcwb.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndp übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen
C:\WINDOWS\system32\xwccof.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhb übersprungen
C:\WINDOWS\system32\ygdcam.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.ndt übersprungen
C:\WINDOWS\system32\yyzavf.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.njg übersprungen
C:\WINDOWS\system32\zrgqzi.dll Infizierte Objekte: Trojan-PSW.Win32.OnLineGames.nhd übersprungen
C:\WINDOWS\wiadebug.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\wiaservc.log Das Objekt ist gesperrt übersprungen
C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen

Die Untersuchung wurde abgeschlossen.

Filelist

----- Root -----------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\

15.01.2008 15:31 15.742 ComboFix.txt
15.01.2008 15:23 536.399.872 hiberfil.sys
15.01.2008 15:23 805.306.368 pagefile.sys
14.01.2005 13:56 294 boot.ini
11.01.2005 18:02 0 MSDOS.SYS
11.01.2005 18:02 0 CONFIG.SYS
11.01.2005 18:02 0 IO.SYS
11.01.2005 18:02 0 AUTOEXEC.BAT
11.01.2005 15:16 211 BOOT.BAK
04.08.2004 00:00 262.448 cmldr
03.08.2004 23:59 251.184 ntldr
03.08.2004 23:38 47.564 NTDETECT.COM
18.06.2004 14:05 16 win2.log
14.11.2003 16:54 168 setupfax.log
20.12.2002 05:24 4.287 avgun.log
09.12.2002 07:08 111.108 VGAsetup.ini
18.08.2001 14:00 4.952 bootfont.bin
17 Datei(en) 1.342.404.214 Bytes
0 Verzeichnis(se), 59.669.266.432 Bytes frei

----- System32 -------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\WINDOWS\system32

01.01.2010 00:07 8.192 Thumbs.db
31.12.2009 23:55 0 PTPTT.dat
31.12.2009 23:21 25.065 wmpscheme.xml
31.12.2009 23:18 2.951 CONFIG.NT
31.12.2009 23:18 16.832 amcompat.tlb
31.12.2009 23:18 23.392 nscompat.tlb
31.12.2009 23:16 488 WindowsLogon.manifest
31.12.2009 23:16 488 logonui.exe.manifest
31.12.2009 23:16 749 sapi.cpl.manifest
31.12.2009 23:16 749 cdplayer.exe.manifest
31.12.2009 23:16 749 wuaucpl.cpl.manifest
31.12.2009 23:16 749 nwc.cpl.manifest
31.12.2009 23:16 749 ncpa.cpl.manifest
31.12.2009 23:16 21.740 emptyregdb.dat
31.12.2009 23:14 0 h323log.txt
15.01.2008 15:24 12.598 wpa.dbl
15.01.2008 15:23 226.408 FNTCACHE.DAT
15.01.2008 15:16 5.784 PTYCJOSXCG.LDO
15.01.2008 15:14 1.294 gkgsFD100.dll
15.01.2008 10:34 53.248 aa41.dll
29.12.2007 15:10 28.672 flym.dlltmp
10.12.2007 16:36 5.120 sys.dll


----- Prefetch -------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\WINDOWS\Prefetch

15.01.2008 16:48 12.696 CMD.EXE-087B4001.pf
15.01.2008 16:47 107.110 IEXPLORE.EXE-2CA9778D.pf
15.01.2008 16:47 22.790 REGSVR32.EXE-25EEFE2F.pf
15.01.2008 16:47 17.520 NOTEPAD.EXE-336351A9.pf
15.01.2008 16:47 40.578 WUAUCLT.EXE-399A8E72.pf
15.01.2008 16:46 80.848 RUNDLL32.EXE-13404D23.pf
15.01.2008 15:31 15.938 REGEDIT.EXE-1B606482.pf
15.01.2008 15:31 33.766 WMIPRVSE.EXE-28F301A9.pf
15.01.2008 15:30 89.174 UPDATE.EXE-2B8151FD.pf
15.01.2008 15:29 83.496 UPDATE.EXE-2663FDC1.pf
15.01.2008 15:29 87.592 UPDATE.EXE-366BA72E.pf
15.01.2008 15:29 94.702 UPDATE.EXE-21ACFE43.pf
15.01.2008 15:29 86.178 UPDATE.EXE-369EE5E8.pf
15.01.2008 15:29 83.434 UPDATE.EXE-021649FB.pf
15.01.2008 15:27 30.016 IMAPI.EXE-0BF740A4.pf
15.01.2008 15:26 12.042 MCSHIELD.EXE-205866E2.pf
15.01.2008 15:26 783.558 NTOSBOOT-B00DFAAD.pf
15.01.2008 15:23 37.784 LOGONUI.EXE-0AF22957.pf
15.01.2008 15:22 40.052 WSCNTFY.EXE-1B24F5EB.pf
15.01.2008 15:22 22.500 TASKMGR.EXE-20256C55.pf
15.01.2008 15:19 25.058 MCSCRIPT_INUSE.EXE-0FEF7DF3.pf
15.01.2008 15:18 56.672 MCUPDATE.EXE-12933159.pf
15.01.2008 15:14 22.590 NAPRDMGR.EXE-2796FCA9.pf
15.01.2008 15:14 15.282 DVDHELP.EXE-04C1EEEB.pf
15.01.2008 15:14 56.048 EXPLORER.EXE-082F38A9.pf


----- Windows --------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\WINDOWS

01.01.2010 00:28 724.992 iun6002.exe
01.01.2010 00:08 9.216 Thumbs.db
31.12.2009 23:46 92 CMISETUP.INI
31.12.2009 23:46 26 CMCDPLAY.INI
31.12.2009 23:17 299.552 WMSysPrx.prx
31.12.2009 23:17 4.161 ODBCINST.INI
31.12.2009 23:16 749 WindowsShell.Manifest
31.12.2009 23:16 36 vb.ini
31.12.2009 23:16 37 vbaddin.ini
31.12.2009 23:13 0 Sti_Trace.log
15.01.2008 15:30 1.277.603 WindowsUpdate.log
15.01.2008 15:30 9.625 KB899587.log
15.01.2008 15:29 9.959 KB885836.log
15.01.2008 15:29 9.518 KB911927.log
15.01.2008 15:29 9.031 KB893756.log
15.01.2008 15:29 9.857 KB873339.log
15.01.2008 15:29 8.896 KB920670.log
15.01.2008 15:26 0 0.log
15.01.2008 15:26 159 wiadebug.log
15.01.2008 15:25 50 wiaservc.log
15.01.2008 15:24 227 system.ini
15.01.2008 15:24 2.048 bootstat.dat
15.01.2008 15:22 49.290 comsetup.log
15.01.2008 15:22 23.928 iis6.log
15.01.2008 15:22 1.374 imsins.log
15.01.2008 15:22 29.895 ntdtcsetup.log
15.01.2008 15:22 8.208 ocmsn.log
15.01.2008 15:22 56.616 tsoc.log
15.01.2008 15:22 28.942 KB890046.log
15.01.2008 15:22 7.416 msgsocm.log
15.01.2008 15:22 69.984 ocgen.log
15.01.2008 15:22 148.385 FaxSetup.log
15.01.2008 15:22 49.562 setupapi.log
15.01.2008 15:22 8.419 updspapi.log
15.01.2008 15:22 1.374 imsins.BAK
15.01.2008 15:22 27.002 KB919007.log
15.01.2008 15:21 28.300 KB914388.log
15.01.2008 15:21 27.690 KB917344.log
15.01.2008 15:20 25.036 KB873333.log
15.01.2008 15:20 24.372 KB905414.log
15.01.2008 15:19 24.469 KB917953.log
15.01.2008 15:19 24.565 KB901214.log
15.01.2008 15:18 21.454 KB923191.log
15.01.2008 15:18 23.293 KB917422.log
15.01.2008 15:17 21.211 KB888302.log
15.01.2008 15:17 24.471 KB900725.log
15.01.2008 15:16 21.884 KB912919.log
15.01.2008 15:16 20.665 KB904706.log
15.01.2008 15:15 21.722 KB908531.log
15.01.2008 10:34 53.248 fe01.exe
15.01.2008 03:07 118.784 e0c21.txt
21.10.2007 17:19 3.014 photoimpression.ini


----- Tasks ----------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\WINDOWS\tasks

15.01.2008 15:24 6 SA.DAT
05.12.2007 22:20 276 AppleSoftwareUpdate.job
29.08.2002 13:00 65 desktop.ini
3 Datei(en) 347 Bytes
0 Verzeichnis(se), 59.669.151.744 Bytes frei

----- Wintemp --------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\WINDOWS\temp


----- Temp -----------------------------
Datenträger in Laufwerk C: ist Windows XP
Volumeseriennummer: C002-CBCA

Verzeichnis von C:\DOKUME~1\USER1\LOKALE~1\Temp

15.01.2008 16:48 118.485 filelist.txt
15.01.2008 15:55 15.648 log.txt
21.10.2007 21:40 94.208 KAV4230.tmp
3 Datei(en) 228.341 Bytes
0 Verzeichnis(se), 59.669.147.648 Bytes frei

Kurze Info, ich hatte gestern CCCleaner laufen

Ach du meine Güte , was sich da alles so tummelt im System ist alles, nur nicht schön...




Dateien Online überprüfen lassen:

* Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:
(lass auch die versteckten Dateien anzeigen!)

C:\WINDOWS\Prefetch\UPDATE.EXE-2B8151FD.pf

im selbigen Ordner:

UPDATE.EXE-2663FDC1.pf
UPDATE.EXE-366BA72E.pf
UPDATE.EXE-21ACFE43.pf
UPDATE.EXE-369EE5E8.pf
DVDHELP.EXE-04C1EEEB.pf

C:\WINDOWS\system32\flym.dlltmp

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)
* Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.
(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)



Vundofix

* Lade dir vundofix.exe
* Doppelklick VundoFix.exe
* Klicke "Scan" --> Vundo button.
* Nach dem Scannen, klicke den "Remove" Vundo button.
* Man wird nun gefragt, ob man "remove" will --> klicke YES
* Danach werden alle Desktop-Symbole verschwinden
* Dann wird man gefragt, ob der PC neustarten soll --> klicke OK.

C:\VundoFix Backups - löschen + Papierkorb leeren



Anleitung SmitfraudFix:

Lade dir dieses Tool -> SmitfraudFix
-Starte es dann und lass das System durchsuchen. (Option 2)
-Poste danach wie in der Anleitung beschrieben, das Ergebnis des Scans

Hallo Sunny,

ich möchte mich mal herzlichst bei dir bedanken, dass du dir die mühe machst mir helfen.

Anbei die Logs von Virustotal, WundoFix läuft gerade.

Datei UPDATE.EXE-2B8151FD.pf empfangen 2008.01.16 12:03:56 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.10 2008.01.15 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.15 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 89174 bytes
MD5: cf70e11523b8d9bce10adf89622267ba
SHA1: 694dbdb9532d648d0b6c3f44cc07caa3b2a4de60
PEiD: -

-----------------------------------

Datei UPDATE.EXE-2663FDC1.pf empfangen 2008.01.16 12:12:39 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 83496 bytes
MD5: 4b6f0da570de2ae39694a3fd21fe0839
SHA1: 3badfbfdc3aa3a9f70e1f0efa49cd9e0fb5b0552
PEiD: -

------------------------------------

Datei UPDATE.EXE-366BA72E.pf empfangen 2008.01.16 12:19:53 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 87592 bytes
MD5: a36b246189f34743edf0858858bc07f4
SHA1: 0bf922c13eff8ed2c4aaebfa5ccc62e57b31b2bf
PEiD: -

-------------------------------------

Datei UPDATE.EXE-21ACFE43.pf empfangen 2008.01.16 12:25:13 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 94702 bytes
MD5: 4e57ccf0877788d93380a9704213f4cd
SHA1: 4339ddc68cb82db7e528bc0773dd4c636253dec0
PEiD: -

------------------------------------

Datei UPDATE.EXE-369EE5E8.pf empfangen 2008.01.16 12:30:22 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 86178 bytes
MD5: a18e331f2d7257005b2a4c347f630ad7
SHA1: 0c64fde98c88ef27df9ba4014147cd1d5506b23c
PEiD: -

----------------------------------------

Datei DVDHELP.EXE-04C1EEEB.pf empfangen 2008.01.16 12:37:33 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 -
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 -
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 -
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 -
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 15282 bytes
MD5: 95fea800845a4363f4f8c97c20953174
SHA1: d16483dc226265bda383feec66ba380c20fa4bf8
PEiD: -

------------------------------------------

Datei flym.dlltmp empfangen 2008.01.16 12:45:12 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 4/32 (12.5%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.1.16.11 2008.01.16 -
AntiVir 7.6.0.48 2008.01.16 -
Authentium 4.93.8 2008.01.16 -
Avast 4.7.1098.0 2008.01.16 -
AVG 7.5.0.516 2008.01.16 -
BitDefender 7.2 2008.01.16 -
CAT-QuickHeal 9.00 2008.01.16 -
ClamAV 0.91.2 2008.01.15 -
DrWeb 4.44.0.09170 2008.01.16 Adware.Baidu.333
eSafe 7.0.15.0 2008.01.15 -
eTrust-Vet 31.3.5462 2008.01.16 -
Ewido 4.0 2008.01.15 -
FileAdvisor 1 2008.01.16 -
Fortinet 3.14.0.0 2008.01.16 Adware/Rugo
F-Prot 4.4.2.54 2008.01.15 -
F-Secure 6.70.13030.0 2008.01.16 -
Ikarus T3.1.1.20 2008.01.16 -
Kaspersky 7.0.0.125 2008.01.16 -
McAfee 5208 2008.01.15 -
Microsoft 1.3109 2008.01.16 -
NOD32v2 2796 2008.01.16 -
Norman 5.80.02 2008.01.16 W32/Baidu.AH
Panda 9.0.0.4 2008.01.15 -
Prevx1 V2 2008.01.16 -
Rising 20.27.22.00 2008.01.16 -
Sophos 4.24.0 2008.01.16 -
Sunbelt 2.2.907.0 2008.01.15 -
Symantec 10 2008.01.16 Adware.Rugo
TheHacker 6.2.9.188 2008.01.16 -
VBA32 3.12.2.5 2008.01.15 -
VirusBuster 4.3.26:9 2008.01.15 -
Webwasher-Gateway 6.6.2 2008.01.16 -

weitere Informationen
File size: 28672 bytes
MD5: 33f57a6097e2982100e7fc2c47992857
SHA1: 1fa681155d96ce5cd55af24a7918c84108847111
PEiD: Armadillo v1.xx - v2.xx

Danke nochmals.

Hier noch der Rapport von Smitfraudfix:

SmitFraudFix v2.274

Scan done at 16:27:14,95, 16.01.2008
Run from C:\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Winsock2 Fix

S!Ri's WS2Fix: LSP not Found.


»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

Problem while deleting C:\WINDOWS\system32\Delete_Me_Dummy_systems.txt

»»»»»»»»»»»»»»»»»»»»»»»» IEDFix

IEDFix.exe by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{93E6AAA2-A823-453D-B4DD-924BCE6CA5C5}: DhcpNameServer=213.33.99.70 80.120.17.70
HKLM\SYSTEM\CS1\Services\Tcpip\..\{93E6AAA2-A823-453D-B4DD-924BCE6CA5C5}: DhcpNameServer=213.33.99.70 80.120.17.70
HKLM\SYSTEM\CS2\Services\Tcpip\..\{93E6AAA2-A823-453D-B4DD-924BCE6CA5C5}: DhcpNameServer=213.33.99.70 80.120.17.70
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=213.33.99.70 80.120.17.70
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=213.33.99.70 80.120.17.70
HKLM\SYSTEM\CS2\Services\Tcpip\Parameters: DhcpNameServer=213.33.99.70 80.120.17.70


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Reboot

Problem while deleting C:\WINDOWS\system32\Delete_Me_Dummy_systems.txt

»»»»»»»»»»»»»»»»»»»»»»»» End

Hallo Forum!

Da ich dieser Viren nicht Herr wurde habe ich mich dann doch fürs Neuaufsetzen des Rechners entschieden, auch wenn ich dies vermeiden wollte. Aber ich muss mich Sunnys Meinung anschliessen, das dieses System alles andere als schön und sauber ist und meine Nerven fast schon blank liegen.

Danke trotzdem für die Unterstützung!!!
lg,

Bones