Windows startet sehr langsam

Collipark · 26.02.2008, 15:14

Hallo,

seit kurzem braucht Windows lange zum hochfahren und bis die Desktopsymbole sich zeigen dauert auch etwas. Auch der Mauszeiger reagiert manchmal verzögert...

woran könnte das liegen? Ein Virus konnte Kaspersky nicht finden

Logfile of HijackThis v1.99.1
Scan saved at 15:15:15, on 26.02.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\DVDRAMSV.exe
C:\Programme\Java\jre1.5.0_13\bin\jusched.exe
C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Collipark2k\Eigene Dateien\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.sat1.de/index.php?icqpath=icq
R3 - Default URLSearchHook is missing
O2 - BHO: (no name) - AutorunsDisabled - (no file)
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_13\bin\ssv.dll
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_13\bin\jusched.exe"
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O8 - Extra context menu item: &Download by Orbit - res://C:\Programme\Orbitdownloader\orbitmxt.dll/201
O8 - Extra context menu item: &Grab video by Orbit - res://C:\Programme\Orbitdownloader\orbitmxt.dll/204
O8 - Extra context menu item: Do&wnload selected by Orbit - res://C:\Programme\Orbitdownloader\orbitmxt.dll/203
O8 - Extra context menu item: Down&load all by Orbit - res://C:\Programme\Orbitdownloader\orbitmxt.dll/202
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O9 - Extra button: (no name) - AutorunsDisabled - (no file)
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_13\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_13\bin\ssv.dll
O9 - Extra button: ShopperReports - Compare product prices - {C5428486-50A0-4a02-9D20-520B59A9F9B2} - C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
O9 - Extra button: ShopperReports - Compare travel rates - {C5428486-50A0-4a02-9D20-520B59A9F9B3} - C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Kaspersky Internet Security 7.0 (AVP) - Unknown owner - C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r (file missing)
O23 - Service: DVD-RAM_Service - Matsushita Electric Industrial Co., Ltd. - C:\WINDOWS\system32\DVDRAMSV.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: Microsoft security update service (msupdate) - Unknown owner - c:\windows\system32\mssrv32.exe (file missing)
O23 - Service: PACSPTISVR - Unknown owner - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: SonicStage Back-End Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SsBeSvc.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: UPnPService - Magix AG - C:\Programme\Gemeinsame Dateien\MAGIX Shared\UPnPService\UPnPService.exe

Chris4You · 26.02.2008, 15:51

Hi,

das war/ist wahrscheinlich die MSSRV32.EXE;
->MSSRV32.EXE, Prevx

Das ist ein Backdoor bzw. Downloader, da ist es üblicherweise nicht mehr weit bis zum neuaufsetzen...

Also schauen wir mal:

Silentrunner:
Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen.
Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten.
http://www.silentrunners.org/Silent%20Runners.zip

Combofix:
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Poste beide Logs...

chris

Läuft die Sygate parallel zu KIS?

Collipark · 26.02.2008, 17:01

KIS läuft bei mir nicht im Hintergrund. Sygate läuft also nicht parallel dazu.

Hier die beiden Logdateien:

ComboFix 08-02-25.3 - Collipark2k 2008-02-26 16:29:11.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.157 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Collipark2k\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-01-26 bis 2008-02-26 ))))))))))))))))))))))))))))))
.

2008-02-26 15:28 . 2008-02-26 15:28 <DIR> d-------- C:\Programme\Lavasoft
2008-02-26 15:28 . 2008-02-26 15:30 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-02-18 13:00 . 2008-02-18 13:00 <DIR> d-------- C:\Programme\ASIO4ALL v2
2008-02-17 19:57 . 2008-02-18 22:19 <DIR> d-------- C:\GURUData
2008-02-17 17:09 . 2008-02-17 17:09 <DIR> d-------- C:\Programme\GetData
2008-02-17 17:08 . 2008-02-26 14:06 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-02-17 14:33 . 2008-02-17 14:33 <DIR> d-------- C:\Programme\FXpansion
2008-02-11 11:27 . 2003-12-04 12:47 69,632 --a------ C:\WINDOWS\system32\NI_DFD_KOMPAKT.dll
2008-02-11 11:27 . 2004-02-25 18:19 69,632 --a------ C:\WINDOWS\system32\NI_DFD_1_2_9.dll
2008-02-11 11:27 . 2003-12-15 16:02 69,632 --a------ C:\WINDOWS\system32\NI_DFD_1_2_7.dll
2008-02-11 11:27 . 2003-12-04 12:47 69,632 --a------ C:\WINDOWS\system32\NI_DFD_1_2_4.dll
2008-02-11 11:27 . 2003-12-15 16:02 69,632 --a------ C:\WINDOWS\system32\NI_DFD.dll
2008-02-11 11:27 . 2004-01-15 12:41 65,536 --a------ C:\WINDOWS\system32\NI_DFD_1_2_8.dll
2008-02-08 15:04 . 1998-05-06 17:44 24,576 --a------ C:\WINDOWS\system32\Hyperman.dll
2008-02-08 15:03 . 1998-04-30 14:56 129,024 --a------ C:\WINDOWS\UNWISE.EXE
2008-02-08 13:24 . 2008-02-08 13:24 <DIR> d-------- C:\WINDOWS\system32\aspi
2008-02-07 22:04 . 2008-02-07 22:04 <DIR> d-------- C:\WINDOWS\Digital Ear
2008-02-07 17:33 . 2008-02-07 17:33 74,752 --a------ C:\WINDOWS\cadkasdeinst01e.exe
2008-02-07 16:50 . 2008-02-07 22:33 73,216 --a------ C:\WINDOWS\cadkasdeinst01.exe
2008-02-07 16:48 . 1998-06-17 23:00 89,360 --a------ C:\WINDOWS\system32\Vb5db.dll
2008-02-07 16:07 . 2008-02-07 16:07 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\InterVideo
2008-02-07 15:50 . 2008-02-07 16:13 <DIR> d-------- C:\Programme\Magic Audio Converter
2008-02-07 15:39 . 2002-11-05 15:16 57,344 --a------ C:\WINDOWS\system32\Wnaspint.dll
2008-02-07 15:02 . 2008-02-07 23:04 730,112 --a------ C:\WINDOWS\GPInstall.exe
2008-02-07 15:02 . 1999-10-23 20:59 9,271 --a------ C:\WINDOWS\Port_DE.gpl
2008-02-05 23:05 . 2008-02-05 23:06 <DIR> d-------- C:\Programme\Anvil Studio
2008-02-05 23:05 . 2008-02-05 23:05 16,443 --a------ C:\WINDOWS\SETUP.LST
2008-02-05 22:48 . 2008-02-08 00:35 <DIR> d-------- C:\Programme\Audio File Cutter
2008-02-05 22:48 . 2000-05-22 00:00 608,448 --a------ C:\WINDOWS\system32\Comctl32.ocx
2008-02-05 17:33 . 2008-02-05 17:36 <DIR> d-------- C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Anvil Studio
2008-02-05 17:30 . 2005-06-12 18:02 209,608 --a------ C:\WINDOWS\system32\TABCTL32.OCX
2008-02-05 17:30 . 2005-06-12 18:02 198,848 --a------ C:\WINDOWS\system32\MCI32.OCX
2008-02-05 17:30 . 2002-01-05 02:18 84,992 --a------ C:\WINDOWS\system32\atl70.dll
2008-02-05 17:30 . 2002-06-06 01:01 29,696 --a------ C:\WINDOWS\system32\asutl8.dll
2008-02-04 00:24 . 2008-02-04 00:24 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Cakewalk
2008-02-03 21:23 . 2008-02-11 13:04 <DIR> d-------- C:\Programme\Cakewalk
2008-02-03 20:13 . 2000-05-22 00:00 115,920 --a------ C:\WINDOWS\system32\MSINET.OCX
2008-02-03 14:22 . 2008-02-03 16:19 <DIR> d-------- C:\Documentation
2008-02-01 15:26 . 2008-02-01 15:26 <DIR> d-------- C:\Programme\FLV Player
2008-02-01 01:56 . 2008-02-26 13:41 <DIR> d-------- C:\Programme\Orbitdownloader
2008-02-01 01:56 . 2008-02-25 14:15 <DIR> d-------- C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Orbit
2008-01-31 13:52 . 2008-02-25 14:46 54,156 --ah----- C:\WINDOWS\QTFont.qfn
2008-01-31 13:52 . 2008-01-31 13:52 1,409 --a------ C:\WINDOWS\QTFont.for
2008-01-31 13:51 . 2008-01-31 13:52 <DIR> d-------- C:\Programme\QuickTime
2008-01-29 18:00 . 2008-02-12 02:20 <DIR> d-------- C:\Programme\Native Instruments
2008-01-29 18:00 . 2008-01-29 18:00 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Native Instruments
2008-01-29 18:00 . 2008-01-29 18:00 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Digidesign
2008-01-29 15:37 . 2008-01-29 16:37 <DIR> d--h----- C:\WINDOWS\$hf_mig$
2008-01-29 15:27 . 2004-03-09 16:45 662,288 --a------ C:\WINDOWS\system32\MSCOMCT2.OCX
2008-01-28 23:00 . 2008-01-28 23:00 <DIR> d-------- C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\CoolFlvMan
2008-01-28 22:33 . 2008-01-28 22:33 <DIR> d-------- C:\Videos
2008-01-28 22:32 . 2008-01-28 22:32 <DIR> d-------- C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\CoolYouTubeDownloader
2008-01-28 22:32 . 2008-01-28 22:32 60 --a------ C:\WINDOWS\CoolYouTubeDownloader.ini
2008-01-28 18:35 . 2008-01-28 18:35 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Pinnacle
2008-01-28 18:34 . 2008-01-28 18:34 <DIR> d-------- C:\Programme\VOB
2008-01-28 18:34 . 2002-08-28 11:09 611,840 --a------ C:\WINDOWS\system32\vobhw.dll
2008-01-28 18:34 . 2002-09-26 17:34 153,088 --a------ C:\WINDOWS\system32\IWUninstall.exe
2008-01-28 18:34 . 2002-04-17 20:27 11,264 --a------ C:\WINDOWS\system32\drivers\asapi.sys
2008-01-27 13:09 . 2008-01-27 13:09 0 --a------ C:\WINDOWS\musiceditor.INI

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-02-26 15:43 7,291,680 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat
2008-02-26 15:39 98,708 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx
2008-02-26 15:39 452,640 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat
2008-02-26 15:39 43,508 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx
2008-02-26 14:23 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-02-26 13:12 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab
2008-02-23 15:55 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Steinberg
2008-02-22 18:38 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-21 11:54 --------- d-----w C:\Programme\ICQ6
2008-02-01 00:59 --------- d-----w C:\Programme\Winamp
2008-01-31 15:06 --------- d-----w C:\Programme\Magix
2008-01-31 15:04 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\MAGIX
2008-01-31 15:04 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MAGIX
2008-01-31 12:51 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer
2008-01-19 12:33 --------- d-----w C:\Programme\CyberLink
2008-01-19 12:24 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-01-18 15:10 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Cakewalk
2008-01-15 23:15 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\phonostar-Player
2008-01-15 23:10 --------- d-----w C:\Programme\Kaspersky Lab
2008-01-11 22:21 110,304 ----a-w C:\WINDOWS\system32\drivers\ACEDRV09.sys
2008-01-11 21:51 --------- d-----w C:\Programme\Gemeinsame Dateien\MAGIX Shared
2008-01-11 10:58 --------- d-----w C:\Programme\Sony
2008-01-11 10:58 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Sony
2008-01-10 17:59 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Publish Providers
2008-01-10 17:59 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\NetMedia Providers
2008-01-10 17:54 --------- d-----w C:\Programme\Microsoft SQL Server
2008-01-02 20:04 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2007-12-31 17:30 --------- d-----w C:\Programme\DivX
2007-12-31 17:18 --------- d-----w C:\Programme\ICQToolbar
2007-12-31 17:18 --------- d-----w C:\Dokumente und Einstellungen\Collipark2k\Anwendungsdaten\Apple Computer
2007-12-31 17:16 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple
2007-12-31 15:16 --------- d-----w C:\Programme\Photoshop CS
2007-12-31 15:05 --------- d-----w C:\Programme\Media Player Classic
2007-12-26 20:13 --------- d-----w C:\Programme\Prolific Publishing, Inc
2007-12-26 18:53 --------- d-----w C:\Programme\Free Fire Screensaver
2007-12-26 18:53 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Laconic Software
2007-12-26 18:44 606,848 ----a-w C:\WINDOWS\flashax.exe
2007-12-26 18:44 12,288 ----a-w C:\WINDOWS\impborl.dll
.

Code:

ATTFilter

<pre>
----a-w       183,872,984 2007-06-22 12:42:18  C:\Programme\Cakewalk\Studio Instruments\Cakewalk Studio Instruments VSTi 1.0\StudioInstrumentsSetup .exe
</pre>

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 00:57 15360]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2007-12-19 15:48 172280]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-24 15:35 2372760]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.5.0_13\bin\jusched.exe" [2007-09-25 21:23 75256]
"AVP"="C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" [2007-06-28 12:51 218376]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 00:57 15360]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^RAMASST.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\RAMASST.lnk
backup=C:\WINDOWS\pss\RAMASST.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIPTA]
--a------ 2005-06-28 20:05 344064 C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\avgnt]
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BearShare]
C:\Programme\BearShare\BearShare.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
"DisableNotifications"= 1 (0x1)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"C:\\WINDOWS\\system32\\sessmgr.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\PPLive\\PPLive.exe"=

R1 Asapi;Asapi;C:\WINDOWS\system32\drivers\Asapi.sys [2002-04-17 20:27]
R2 ACEDRV09;ACEDRV09;C:\WINDOWS\system32\drivers\ACEDRV09.sys [2008-01-11 23:21]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\Programme\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 15:18]
S3 GetDataMip;GetDataMip;C:\Programme\GetData\Mount Image Pro v2\mip32.sys [2007-10-30 14:21]
S3 UPnPService;UPnPService;C:\Programme\Gemeinsame Dateien\MAGIX Shared\UPnPService\UPnPService.exe [2006-12-14 17:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]
\Shell\AutoRun\command - E:\Autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\F]
\Shell\AutoRun\command - F:\Guru_Setup.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\Guru_Setup.exe

.
Inhalt des "geplante Tasks" Ordners
"2008-01-31 15:01:17 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
"2008-02-24 17:00:00 C:\WINDOWS\Tasks\RegistrySmart Scheduled Scan.job"
- C:\Programme\RegistrySmart\RegistrySmart.ex
- C:\Programme\RegistrySmart
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-02-26 16:43:29
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\DVDRAMSV.exe
C:\WINDOWS\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-02-26 16:49:01 - machine was rebooted
ComboFix-quarantined-files.txt 2008-02-26 15:48:53
.
2008-01-29 15:43:04 --- E O F ---

Collipark · 26.02.2008, 17:03

Hier die andere Logdatei:

"Silent Runners.vbs", revision 55, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\system32\ctfmon.exe" [MS]
"ICQ" = ""C:\Programme\ICQ6\ICQ.exe" silent" ["ICQ, Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"SmcService" = "C:\PROGRA~1\Sygate\SPF\smc.exe -startgui" ["Sygate Technologies, Inc."]
"SunJavaUpdateSched" = ""C:\Programme\Java\jre1.5.0_13\bin\jusched.exe"" ["Sun Microsystems, Inc."]
"AVP" = ""C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe"" ["Kaspersky Lab"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{055FD26D-3A88-4e15-963D-DC8493744B1D}\(Default) = "XTTBPos00"
-> {HKLM...CLSID} = "XTTBPos00 Class"
\InProcServer32\(Default) = "C:\PROGRA~1\ICQTOO~1\toolbaru.dll" ["IE Toolbar"]
{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\(Default) = (no title provided)
-> {HKLM...CLSID} = "SSVHelper Class"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.5.0_13\bin\ssv.dll" ["Sun Microsystems, Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{e57ce731-33e8-4c51-8354-bb4de9d215d1}" = "Universelle Plug & Play-Geräte"
-> {HKLM...CLSID} = "Universelle Plug & Play-Geräte"
\InProcServer32\(Default) = "C:\WINDOWS\system32\upnpui.dll" [MS]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
"{B327765E-D724-4347-8B16-78AE18552FC3}" = "NeroDigitalIconHandler"
-> {HKLM...CLSID} = "NeroDigitalIconHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{7F1CF152-04F8-453A-B34C-E609530A9DC8}" = "NeroDigitalPropSheetHandler"
-> {HKLM...CLSID} = "NeroDigitalPropSheetHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{cc3ebf80-1a70-11d3-bdf2-00902745d0a9}" = "Mixman Shell Extention"
-> {HKLM...CLSID} = "Mixman Shell Extention"
\InProcServer32\(Default) = "Tk421.dll" [file not found]
"{9D8655C4-A8CA-48AA-A745-C6AF3B999DD0}" = "MIPContext"
-> {HKLM...CLSID} = "Mount Image Pro Context"
\InProcServer32\(Default) = "C:\PROGRA~1\GetData\MOUNTI~1\CONTEX~1.DLL" ["GetData Pty Ltd"]
"{D1AE4B5A-F887-445A-9544-07F964097991}" = "SxColumnProvider1"
-> {HKLM...CLSID} = "SxColumnProvider1"
\InProcServer32\(Default) = "C:\PROGRA~1\GetData\MOUNTI~1\COLUMN~1.DLL" ["GetData Pty Ltd"]
"{DC94BB4C-2E99-444C-83A3-3F036F30D525}" = "EnCase Property Sheet"
-> {HKLM...CLSID} = "EnCaseShellPropSheet"
\InProcServer32\(Default) = "C:\PROGRA~1\GetData\MOUNTI~1\PROPER~1.DLL" ["GetData Pty Ltd"]
"{73DA9E1C-856F-43A4-980A-57C5164C1797}" = "SxInfoTip1"
-> {HKLM...CLSID} = "SxInfoTip1"
\InProcServer32\(Default) = "C:\PROGRA~1\GetData\MOUNTI~1\InfoTip.dll" ["GetData Pty Ltd"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\
"WPDShServiceObj" = "{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"
-> {HKLM...CLSID} = "WPDShServiceObj Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\WPDShServiceObj.dll" [MS]

HKLM\SYSTEM\CurrentControlSet\Control\Session Manager\
<<!>> "BootExecute" = "autocheck autochk *"|"lsdelete" [null data]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\
{7D4D6379-F301-4311-BEBA-E26EB0561882}\(Default) = "NeroDigitalExt.NeroDigitalColumnHandler"
-> {HKLM...CLSID} = "NeroDigitalColumnHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroDigitalExt.dll" ["Nero AG"]
{D1AE4B5A-F887-445A-9544-07F964097991}\(Default) = "SxColumnProvider1"
-> {HKLM...CLSID} = "SxColumnProvider1"
\InProcServer32\(Default) = "C:\PROGRA~1\GetData\MOUNTI~1\COLUMN~1.DLL" ["GetData Pty Ltd"]
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ShellEx.dll" ["Kaspersky Lab"]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
Kaspersky Anti-Virus\(Default) = "{dd230880-495a-11d1-b064-008048ec2fc5}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\ShellEx.dll" ["Kaspersky Lab"]

Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}

Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Dokumente und Einstellungen\Collipark2k\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"

Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "none" [file not found]

Enabled Scheduled Tasks:
------------------------

"AppleSoftwareUpdate" -> launches: "C:\Programme\Apple Software Update\SoftwareUpdate.exe -task" [file not found]
"RegistrySmart Scheduled Scan" -> launches: "C:\Programme\RegistrySmart\RegistrySmart.exe scheduled" [file not found]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 13
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{EF99BD32-C1FB-11D2-892F-0090271D4F88}"
-> {HKLM...CLSID} = "Yahoo! Toolbar mit Pop-Up-Blocker"
\InProcServer32\(Default) = "C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll" [file not found]
"{855F3B16-6D32-4FE6-8A56-BBB695989046}"
-> {HKLM...CLSID} = "ICQ Toolbar"
\InProcServer32\(Default) = "C:\PROGRA~1\ICQTOO~1\toolbaru.dll" ["IE Toolbar"]

Explorer Bars

HKCU\Software\Microsoft\Internet Explorer\Explorer Bars\
{A7CDDCDC-BEEB-4685-A062-978F5E07CEEE}\(Default) = (no title provided)
-> {HKLM...CLSID} = "ShopperReports"
\InProcServer32\(Default) = "C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll" [file not found]

HKLM\SOFTWARE\Microsoft\Internet Explorer\Explorer Bars\

HKLM\SOFTWARE\Classes\CLSID\{03C1C47F-0538-4645-8372-D3109B9FC636}\(Default) = "Easy-WebPrint"
Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]
InProcServer32\(Default) = "C:\Programme\Canon\Easy-WebPrint\Toolband.dll" [null data]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{CAFEEFAC-0015-0000-0013-ABCDEFFEDCBC}"
-> {HKCU...CLSID} = "Java Plug-in 1.5.0_13"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.5.0_13\bin\ssv.dll" ["Sun Microsystems, Inc."]
-> {HKLM...CLSID} = "Java Plug-in 1.5.0_13"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.5.0_13\bin\npjpi150_13.dll" ["Sun Microsystems, Inc."]

{C5428486-50A0-4A02-9D20-520B59A9F9B2}\
"ButtonText" = "ShopperReports - Compare product prices"
"CLSIDExtension" = "{C9CCBB35-D123-4a31-AFFC-9B2933132116}"
-> {HKLM...CLSID} = "IEButton"
\InProcServer32\(Default) = "C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll" [file not found]

{C5428486-50A0-4A02-9D20-520B59A9F9B3}\
"ButtonText" = "ShopperReports - Compare travel rates"
"CLSIDExtension" = "{A16AD1E9-F69A-45af-9462-B1C286708842}"
-> {HKLM...CLSID} = "IEButtonA"
\InProcServer32\(Default) = "C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll" [file not found]

{E59EB121-F339-4851-A3BA-FE49C35617C2}\
"ButtonText" = "ICQ6"
"MenuText" = "ICQ6"
"Exec" = "C:\Programme\ICQ6\ICQ.exe" ["ICQ, Inc."]

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

Ad-Aware 2007 Service, aawservice, ""C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe"" ["Lavasoft"]
Ati HotKey Poller, Ati HotKey Poller, "C:\WINDOWS\system32\Ati2evxx.exe" ["ATI Technologies Inc."]
DVD-RAM_Service, DVD-RAM_Service, "C:\WINDOWS\system32\DVDRAMSV.exe" ["Matsushita Electric Industrial Co., Ltd."]
Kaspersky Internet Security 7.0, AVP, ""C:\Programme\Kaspersky Lab\Kaspersky Internet Security 7.0\avp.exe" -r" ["Kaspersky Lab"]
Sygate Personal Firewall, SmcService, "C:\Programme\Sygate\SPF\smc.exe" ["Sygate Technologies, Inc."]

---------- (launch time: 2008-02-26 16:24:53)
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points, use the -supp parameter or answer "No" at the
first message box and "Yes" at the second message box.
---------- (total run time: 63 seconds, including 6 seconds for message boxes)

Chris4You · 28.02.2008, 07:49

Hi,

was explizites ist nicht auszumachen, aber folgende Files bitte online prüfen lassen:

virustotal
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen
http://www.virustotal.com/flash/index_en.html

Zitat:

E:\Autorun.exe
F:\Guru_Setup.exe
G:\Guru_Setup.exe
C:\Programme\ShoppingReport\Bin\2.0.26\ShoppingReport.dll

Poste die Ergebnisse mit Filename...

Du hast Bearshare auf dem Rechner, das bringt immer irgendwelche Adware mit, würde ich deinstallierren/löschen:
C:\Programme\BearShare\BearShare.exe

Du hast weiterhin einen Kopierschutztreiber (ProtectDisk) auf Deinem Rechner, der zu Problemen führen kann:
R2 ACEDRV09;ACEDRV09;C:\WINDOWS\system32\drivers\ACED RV09.sys [2008-01-11 23:21]

Dein Java ist veraltet:
Download jre-6u4-windows-i586-p.exe
Scrolle runter nach ---->Java Runtime Environment (JRE) 6u4
The Java SE Runtime Environment (JRE) allows end-users to run Java applications. Klicke auf "Download"
Setze ein Haeckchen bei --->"Accept License Agreement".
Klicke “Windows Offline Installation, Multi-language” um
“jre-6-windows-i586.exe”zum Desktop zu installieren
Schliesse alle Programme auch Deinen Webbrowser
Über "Start -> Einstellungen -> Systemsteuerung -> Software
entferne alle aelteren Versionen von Java Runtime Environment (JRE of J2SE)
Auch auf C:\Programme\Java entfernen!
Nachdem alles entfernt wurde --->Rechner neu starten
Installiere jetzt vom Desktop aus ---> “jre-6u4-windows-i586-p.exe”

Prüfe mit bootvis, ob sich irgendwelche Treiber beim Booten "verhacken"
http://www.chip.de/downloads/BootVis-1.3.37.0_13002882.html

Anschießend noch ein Scann mit PrevX, poste die Funde (keine cookies)
http://www.prevx.com/freescan.asp

chris

Windows startet sehr langsam

Log-Analyse und Auswertung: Windows startet sehr langsam