noch probleme nach Virenbefall

Kery · 05.03.2008, 02:06

Hallo ...

ich habe ein kleines Problem ... habe mir über Limewire etwas runtergeladen, einen Ordner mit einer services.exe, die dummerweise angeklickt und mein AV ist rundgelaufen mit Virenmeldungen...und dann ... ständig volle CPU Auslastung, Limewire startet sich selbst ständig neu.

Die "services.exe" war einfach zu löschen, den leeren Ordner wo die drin war hab ich auch (nach großen Problemen und mehreren Wutanfällen) endlich gelöscht gekriegt, ebenso wie mehrere exe files die mir das Mistding überall hin geschmissen hat. (Z.B. eine svchost.exe in c:\windows\fonts und mehrere exe files in E:\..). Ebenso hab ich limewire selbst runtergeschmissen.

Dann erstmal sämtliche Google-Vorschläge durchgearbeitet, Registry manuell gesäubert und es sieht besser aus ... nur startet sich seitdem ständig die wmiprvse.exe im tastmanager... vorher war die nich da. Prozess beenden bringt nix, ist immer gleich wieder da, z.T. auch mal doppelt.

Warscheinlich ist mir was entgangen ... vielleicht könnt ihr mir helfen, hier das logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 01:57:10, on 05.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programme\TVgenial\TVgenial.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\HijackThisxx\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Kerys xxxxxx
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: T3ToolbarHelper Class - {164E93C4-09BF-4647-9E0B-D5FBB1D35E63} - C:\PROGRA~1\DASRTL~1\DASOER~1.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O3 - Toolbar: DasÖrtliche Such-Leiste - {6E5B18CB-0EB6-4461-88B8-33B4683613D5} - C:\PROGRA~1\DASRTL~1\DASOER~1.DLL
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [IncrediMail] C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c
O4 - HKCU\..\Run: [TVgenial] C:\Programme\TVgenial\TVgenial.exe -d
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O8 - Extra context menu item: &Add animation to IncrediMail Style Box - C:\PROGRA~1\INCRED~1\bin\resources\WebMenuImg.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) -
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe

--
End of file - 4039 bytes

danke schonmal

winkers
Kery

Chris4You · 05.03.2008, 07:30

Hi,

Silentrunner:
Ziparchive in ein Verzeichnis auspacken, mit Doppelklick starten, "ja" auswählen.
Die erstellte Datei findet sich im gleichen Verzeichnis wo das Script hinkopiert wurde, bitte in Editor laden und posten.
http://www.silentrunners.org/Silent%20Runners.zip

Combofix:
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

chris

Kery · 05.03.2008, 10:47

Silent Runners :

"Silent Runners.vbs", revision 56, http://www.silentrunners.org/
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"

Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"IncrediMail" = "C:\PROGRA~1\INCRED~1\bin\IncMail.exe /c" ["IncrediMail, Ltd."]
"TVgenial" = "C:\Programme\TVgenial\TVgenial.exe -d" [null data]
"swg" = "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" ["Google Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\ {++}
"avgnt" = ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min" ["Avira GmbH"]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Adobe PDF Reader Link Helper"
\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{164E93C4-09BF-4647-9E0B-D5FBB1D35E63}\(Default) = (no title provided)
-> {HKLM...CLSID} = "T3ToolbarHelper Class"
\InProcServer32\(Default) = "C:\PROGRA~1\DASRTL~1\DASOER~1.DLL" [empty string]
{AA58ED58-01DD-4d91-8333-CF10577473F7}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Google Toolbar Helper"
\InProcServer32\(Default) = "c:\programme\google\googletoolbar2.dll" ["Google Germany GmbH"]
{AF69DE43-7D58-4638-B6FA-CE66B5AD205D}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Google Toolbar Notifier BHO"
\InProcServer32\(Default) = "C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll" ["Google Inc."]

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{45AC2688-0253-4ED8-97DE-B5370FA7D48A}" = "Shell Extension for Malware scanning"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
"{B41DB860-8EE4-11D2-9906-E49FADC173CA}" = "WinRAR shell extension"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]
"{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}" = "TuneUp Shredder Shell Extension"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Programme\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
"{44440D00-FF19-4AFC-B765-9A0970567D97}" = "TuneUp Theme Extension"
-> {HKLM...CLSID} = "TuneUp Theme Extension"
\InProcServer32\(Default) = "C:\WINDOWS\system32\uxtuneup.dll" ["TuneUp Software GmbH"]
"{5E2121EE-0300-11D4-8D3B-444553540000}" = "Catalyst Context Menu extension"
-> {HKLM...CLSID} = "SimpleShlExt Class"
\InProcServer32\(Default) = "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\atiacmxx.dll" [empty string]
"{B327765E-D724-4347-8B16-78AE18552FC3}" = "NeroDigitalIconHandler"
-> {HKLM...CLSID} = "NeroDigitalIconHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{7F1CF152-04F8-453A-B34C-E609530A9DC8}" = "NeroDigitalPropSheetHandler"
-> {HKLM...CLSID} = "NeroDigitalPropSheetHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll" ["Nero AG"]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Microsoft Office\Office10\msohev.dll" [MS]
"{cc86590a-b60a-48e6-996b-41d25ed39a1e}" = "Portable Media Devices Menu"
-> {HKLM...CLSID} = "Portable Media Devices Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\Audiodev.dll" [MS]
"{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4}" = "Shell Extensions for RealOne Player"
-> {HKLM...CLSID} = "RealOne Player Context Menu Class"
\InProcServer32\(Default) = "C:\Programme\Real\RealPlayer\rpshell.dll" ["RealNetworks, Inc."]
"{97F68CE3-7146-45FF-BE24-D9A7DD7CB8A2}" = "NeroCoverEd Live Icons"
-> {HKLM...CLSID} = "NeroCoverEdLiveIcons Class"
\InProcServer32\(Default) = "C:\Programme\Nero\Nero8\Nero CoverDesigner\CoverEdExtension.dll" ["Nero AG"]

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\
<<!>> AtiExtEvent\DLLName = "Ati2evxx.dll" ["ATI Technologies Inc."]

HKLM\SOFTWARE\Classes\Folder\shellex\ColumnHandlers\
{7D4D6379-F301-4311-BEBA-E26EB0561882}\(Default) = "NeroDigitalExt.NeroDigitalColumnHandler"
-> {HKLM...CLSID} = "NeroDigitalColumnHandler Class"
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroDigitalExt.dll" ["Nero AG"]
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\SOFTWARE\Classes\*\shellex\ContextMenuHandlers\
Cover Designer\(Default) = "{73FCA462-9BD5-4065-A73F-A8E5F6904EF7}"
-> {HKLM...CLSID} = "NeroCoverEdContextMenu Class"
\InProcServer32\(Default) = "C:\Programme\Nero\Nero8\Nero CoverDesigner\CoverEdExtension.dll" ["Nero AG"]
IMMenuShellExt\(Default) = "{F8984111-38B6-11D5-8725-0050DA2761C4}"
-> {HKLM...CLSID} = "IMMenuShellExt Class"
\InProcServer32\(Default) = "C:\Programme\IncrediMail\bin\IMShExt.dll" ["IncrediMail, Ltd."]
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Programme\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Directory\shellex\ContextMenuHandlers\
TuneUp Shredder Shell Extension\(Default) = "{4858E7D9-8E12-45a3-B6A3-1CD128C9D403}"
-> {HKLM...CLSID} = "TuneUp Shredder Shell Extension"
\InProcServer32\(Default) = "C:\Programme\TuneUp Utilities 2007\SDShelEx-win32.dll" ["TuneUp Software GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

HKLM\SOFTWARE\Classes\Folder\shellex\ContextMenuHandlers\
Shell Extension for Malware scanning\(Default) = "{45AC2688-0253-4ED8-97DE-B5370FA7D48A}"
-> {HKLM...CLSID} = "Shell Extension for Malware scanning"
\InProcServer32\(Default) = "C:\Programme\Avira\AntiVir PersonalEdition Classic\shlext.dll" ["Avira GmbH"]
WinRAR\(Default) = "{B41DB860-8EE4-11D2-9906-E49FADC173CA}"
-> {HKLM...CLSID} = "WinRAR"
\InProcServer32\(Default) = "C:\Programme\WinRAR\rarext.dll" [null data]

Group Policies {GPedit.msc branch and setting}:
-----------------------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\

"ClearRecentDocsOnExit" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"NoDrives" = (REG_BINARY) hex:03 FE FF 03
{unrecognized setting}

"GreyMSIAds" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

"NoRecentDocsNetHood" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions\

"AlwaysPromptWhenDownload" = (REG_DWORD) dword:0x00000001
{unrecognized setting}

HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) dword:0x00000001
{Computer Configuration|Windows Settings|Security Settings|Local Policies|Security Options|
Devices: Allow undock without having to log on}

Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState

Displayed if Active Desktop enabled and wallpaper not set by Group Policy:
HKCU\Software\Microsoft\Internet Explorer\Desktop\General\
"Wallpaper" = "C:\WINDOWS\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"

Displayed if Active Desktop disabled and wallpaper not set by Group Policy:
HKCU\Control Panel\Desktop\
"Wallpaper" = "C:\Dokumente und Einstellungen\xxxx\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp"

Enabled Scheduled Tasks:
------------------------

"1-Klick-Wartung" -> launches: "C:\Programme\TuneUp Utilities 2007\SystemOptimizer.exe /schedulestart" ["TuneUp Software GmbH"]
"XoftSpy" -> launches: "C:\Programme\XoftSpy\XoftSpy.exe -t" ["ParetoLogic Inc."]

Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\SYSTEM\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 13
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05

Toolbars, Explorer Bars, Extensions:
------------------------------------

Toolbars

HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\
"{2318C2B1-4965-11D4-9B18-009027A5CD4F}"
-> {HKLM...CLSID} = "&Google"
\InProcServer32\(Default) = "c:\programme\google\googletoolbar2.dll" ["Google Germany GmbH"]

HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar\
"{6E5B18CB-0EB6-4461-88B8-33B4683613D5}" = "T3Toolband DasOertliche Class"
-> {HKLM...CLSID} = "DasÖrtliche Such-Leiste"
\InProcServer32\(Default) = "C:\PROGRA~1\DASRTL~1\DASOER~1.DLL" [empty string]
"{2318C2B1-4965-11D4-9B18-009027A5CD4F}" = (no title provided)
-> {HKLM...CLSID} = "&Google"
\InProcServer32\(Default) = "c:\programme\google\googletoolbar2.dll" ["Google Germany GmbH"]

Extensions (Tools menu items, main toolbar menu buttons)

HKCU\Software\Microsoft\Internet Explorer\Extensions\
{0E921E80-267A-42AA-AEE4-60B9A1222A44}\
"ButtonText" = "Klicke hier um das Projekt xp-AntiSpy zu unterstützen"
"MenuText" = "Unterstützung für xp-AntiSpy"
"Exec" = "C:\Programme\xp-AntiSpy\sponsoring\sponsor.html" [null data]

HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions\
{08B0E5C0-4FCB-11CF-AAA5-00401C608501}\
"MenuText" = "Sun Java Konsole"
"CLSIDExtension" = "{CAFEEFAC-0015-0000-0002-ABCDEFFEDCBC}"
-> {HKLM...CLSID} = "Java Plug-in 1.5.0_02"
\InProcServer32\(Default) = "C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll" ["Sun Microsystems, Inc."]

Miscellaneous IE Hijack Points
------------------------------

HKLM\SOFTWARE\Microsoft\Internet Explorer\AboutURLs\
<<H>> "TuneUp" = "file://C|/Dokumente und Einstellungen/All Users/Anwendungsdaten/TuneUp Software/Common/base.css" [file not found]

Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

AntiVir PersonalEdition Classic Guard, AntiVirService, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe"" ["Avira GmbH"]
AntiVir PersonalEdition Classic Planer, AntiVirScheduler, ""C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe"" ["Avira GmbH"]
TuneUp Designerweiterung, UxTuneUp, "C:\WINDOWS\System32\svchost.exe -k netsvcs" {"C:\WINDOWS\System32\uxtuneup.dll" ["TuneUp Software GmbH"]}
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]

Print Monitors:
---------------

HKLM\SYSTEM\CurrentControlSet\Control\Print\Monitors\
Canon BJ Language Monitor i250\Driver = "CNMLM50.DLL" ["CANON INC."]

---------- (launch time: 2008-03-05 10:12:01)
<<!>>: Suspicious data at a malware launch point.
<<H>>: Suspicious data at a browser hijack point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ To search all directories of local fixed drives for DESKTOP.INI
DLL launch points, use the -supp parameter or answer "No" at the
first message box and "Yes" at the second message box.
---------- (total run time: 26 seconds, including 5 seconds for message boxes)

TEIL 1

Kery · 05.03.2008, 11:52

Combofix:

ComboFix 08-03-04.5 - xxxx 2008-03-05 10:14:35.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.520 [GMT 1:00]
ausgeführt von:: E:\Downloads\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-02-05 bis 2008-03-05 ))))))))))))))))))))))))))))))
.

2008-03-05 01:32 . 2008-03-05 01:57 <DIR> d-------- C:\Programme\HijackThisxx
2008-03-05 00:28 . 2008-03-05 00:28 <DIR> d-------- C:\WINDOWS\system32\Kaspersky Lab
2008-03-03 13:26 . 2008-03-03 15:06 <DIR> d-------- C:\Programme\Fiber Twig 2
2008-03-02 20:57 . 2008-03-02 20:57 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\PlayFirst
2008-03-01 14:29 . 2008-03-03 22:42 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\GameHouse
2008-03-01 14:29 . 2008-03-01 14:29 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\n7-89-o9-3r-4t-r9
2008-03-01 14:24 . 2008-03-01 14:24 <DIR> d-------- C:\Programme\ReflexiveArcade
2008-03-01 14:09 . 2008-03-02 23:41 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-02-29 19:52 . 2008-02-29 19:52 <DIR> d-------- C:\Programme\Nero
2008-02-29 19:24 . 2008-02-29 19:24 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\Nero
2008-02-29 19:23 . 2008-02-29 19:53 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Nero
2008-02-29 19:23 . 2008-02-29 19:52 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nero
2008-02-29 00:33 . 2008-02-29 02:08 <DIR> d-------- C:\Dokumente und Einstellungen\xx\.smplayer
2008-02-29 00:32 . 2008-02-29 00:33 <DIR> d-------- C:\Programme\SMPlayer
2008-02-29 00:13 . 2008-02-29 00:13 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\CyberLink
2008-02-29 00:00 . 2008-02-29 00:00 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\vlc
2008-02-28 17:00 . 2008-03-05 02:49 47 --a------ C:\WINDOWS\popcinfo.dat
2008-02-28 13:16 . 2008-02-28 23:51 <DIR> d-------- C:\temp
2008-02-27 16:15 . 2008-02-27 16:15 <DIR> d-------- C:\Programme\Real
2008-02-27 16:15 . 2008-02-27 16:15 <DIR> d-------- C:\Programme\Gemeinsame Dateien\xing shared
2008-02-27 16:15 . 2008-02-27 16:15 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Real
2008-02-27 14:37 . 2008-03-05 01:02 69 --a------ C:\WINDOWS\NeroDigital.ini
2008-02-26 23:11 . 2008-02-26 23:11 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Incomplete
2008-02-26 23:10 . 2008-03-05 01:08 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\LimeWire
2008-02-26 15:29 . 2008-02-26 21:45 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\Zylom
2008-02-26 15:28 . 2008-03-03 22:29 <DIR> d-------- C:\Programme\Zylom Games
2008-02-26 14:25 . 2008-02-26 14:25 <DIR> d-------- C:\Programme\Java
2008-02-26 14:25 . 2005-03-04 03:36 49,265 --a------ C:\WINDOWS\system32\jpicpl32.cpl
2008-02-26 14:24 . 2008-02-26 14:24 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Java
2008-02-26 14:23 . 2008-02-26 14:23 <DIR> d-------- C:\Programme\appleJuice
2008-02-26 14:06 . 2008-02-26 14:23 <DIR> d-------- C:\WINDOWS\appleJuice
2008-02-26 13:49 . 2004-08-03 23:57 221,184 --a------ C:\WINDOWS\system32\wmpns.dll
2008-02-26 11:19 . 2008-02-26 11:19 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Adobe
2008-02-26 10:50 . 2008-02-26 11:17 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\AdobeUM
2008-02-26 01:20 . 2008-02-26 01:20 <DIR> d-------- C:\WINDOWS\Sun
2008-02-26 01:02 . 2008-02-26 01:02 <DIR> d---s---- C:\Dokumente und Einstellungen\xx\UserData
2008-02-26 00:45 . 2008-03-04 20:37 <DIR> d-------- C:\Spiele
2008-02-26 00:44 . 1998-10-21 18:43 328,704 --a------ C:\WINDOWS\IsUn0407.exe
2008-02-26 00:07 . 2008-02-26 00:10 <DIR> d-------- C:\Programme\Security Task Manager
2008-02-26 00:07 . 2008-02-26 00:07 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan
2008-02-26 00:01 . 2008-02-26 00:01 400 --a------ C:\WINDOWS\ODBC.INI
2008-02-25 23:59 . 2008-02-26 00:00 <DIR> d-------- C:\WINDOWS\ShellNew
2008-02-25 23:58 . 2008-03-04 17:45 <DIR> d-------- C:\Programme\XoftSpy
2008-02-25 23:48 . 2008-02-25 23:48 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-02-25 23:48 . 2008-02-26 00:11 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-02-25 23:38 . 2008-02-25 23:38 <DIR> d-------- C:\Programme\audiograbber
2008-02-25 23:38 . 2008-02-25 23:38 34 --a------ C:\WINDOWS\cdplayer.ini
2008-02-25 23:31 . 2008-02-28 23:52 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\Ahead
2008-02-25 23:29 . 2008-02-29 19:41 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Ahead
2008-02-25 23:16 . 2008-02-25 23:16 <DIR> d-------- C:\Programme\Deamon
2008-02-25 23:16 . 2004-08-22 16:31 155,136 --a------ C:\WINDOWS\system32\drivers\d347bus.sys
2008-02-25 23:16 . 2004-08-22 16:31 5,248 --a------ C:\WINDOWS\system32\drivers\d347prt.sys
2008-02-25 23:15 . 2008-02-25 23:15 <DIR> d-------- C:\WINDOWS\Downloaded Installations
2008-02-25 23:07 . 2008-02-25 23:07 <DIR> d-------- C:\WINDOWS\OPTIONS
2008-02-25 23:07 . 2006-08-15 06:09 83,200 -ra------ C:\WINDOWS\system32\drivers\Rtenicxp.sys
2008-02-25 23:06 . 2008-02-25 23:06 <DIR> d-------- C:\WINDOWS\system32\Lang
2008-02-25 23:06 . 2008-02-25 23:06 940,794 --a------ C:\WINDOWS\system32\LoopyMusic.wav
2008-02-25 23:06 . 2008-02-25 23:06 146,650 --a------ C:\WINDOWS\system32\BuzzingBee.wav
2008-02-25 23:04 . 2008-02-25 23:05 <DIR> d-------- C:\WINDOWS\system32\RTCOM
2008-02-25 23:04 . 2008-02-25 23:07 <DIR> d-------- C:\Programme\Realtek
2008-02-25 23:03 . 2008-02-25 23:03 <DIR> d-------- C:\Dokumente und Einstellungen\xx\Anwendungsdaten\ATI
2008-02-25 23:03 . 2007-01-12 09:54 520,192 -r------- C:\WINDOWS\RtlExUpd.dll
2008-02-25 23:03 . 2008-02-25 23:03 315,392 --a------ C:\WINDOWS\HideWin.exe
2008-02-25 23:00 . 2008-02-25 23:00 <DIR> d-------- C:\WINDOWS\ASUSInstAll
2008-02-25 22:51 . 2008-02-25 22:57 <DIR> d-------- C:\Programme\ATI Technologies
2008-02-25 22:50 . 2008-02-25 22:50 <DIR> d----c--- C:\WINDOWS\system32\DRVSTORE
2008-02-25 22:50 . 2008-02-25 22:50 <DIR> d-------- C:\Programme\DIFX
2008-02-25 22:50 . 2006-06-18 23:38 43,520 --a------ C:\WINDOWS\system32\drivers\AmdK8.sys
2008-02-25 22:49 . 2008-02-25 23:08 21,910 --a------ C:\WINDOWS\Ascd_log.ini
2008-02-25 22:49 . 2008-02-25 22:49 21,582 --a------ C:\WINDOWS\Ascd_tmp.ini
2008-02-25 22:49 . 2004-08-13 19:56 5,810 -ra------ C:\WINDOWS\system32\drivers\ASACPI.sys
2008-02-25 22:48 . 2006-10-11 04:33 10,288 --a------ C:\WINDOWS\system32\drivers\ASUSHWIO.SYS
2008-02-25 22:44 . 2003-02-14 15:31 73,728 -ra------ C:\WINDOWS\system32\cnm1E7.tmp
2008-02-25 22:41 . 2003-02-28 05:30 100,352 --a------ C:\WINDOWS\system32\CNMLM50.DLL
2008-02-25 22:41 . 2003-02-14 15:31 73,728 -ra------ C:\WINDOWS\system32\CNMCP50.exe
2008-02-25 22:41 . 2003-02-28 05:30 5,632 --a------ C:\WINDOWS\system32\CNMVS50.DLL
2008-02-25 22:14 . 2008-03-05 04:47 <DIR> d-------- C:\Dokumente und Einstellungen\xx\appleJuice
2008-02-25 21:59 . 2008-02-25 23:03 <DIR> d-------- C:\Programme\TVgenial
2008-02-25 21:58 . 2008-02-25 21:58 <DIR> d-------- C:\Programme\VideoLAN
2008-02-25 21:56 . 2008-03-05 01:34 <DIR> d-------- C:\Programme\LimeWire
2008-02-25 21:56 . 2008-02-25 21:56 <DIR> d-------- C:\Programme\Kalenderchen
2008-02-25 21:54 . 2008-02-25 23:02 <DIR> d-------- C:\Programme\Google
2008-02-25 21:52 . 2008-03-05 10:11 <DIR> d-------- C:\Programme\DasÖrtliche Such-Leiste
2008-02-25 21:52 . 2008-02-25 21:52 682,232 --a------ C:\WINDOWS\system32\drivers\sptd.sys
2008-02-25 21:37 . 2008-02-25 21:38 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink
2008-02-25 21:36 . 2008-02-25 23:07 <DIR> d--h----- C:\Programme\InstallShield Installation Information
2008-02-25 21:36 . 2008-02-25 21:36 <DIR> d-------- C:\Programme\CyberLink
2008-02-25 21:36 . 2008-02-27 16:15 499,712 --a------ C:\WINDOWS\system32\msvcp71.dll
2008-02-25 21:36 . 2003-02-21 04:42 348,160 --------- C:\WINDOWS\system32\msvcr71.dll
2008-02-25 21:36 . 2001-03-08 18:30 24,064 --------- C:\WINDOWS\system32\msxml3a.dll
2008-02-25 21:35 . 2008-02-25 22:52 <DIR> d-------- C:\Programme\Gemeinsame Dateien\InstallShield
2008-02-25 21:34 . 2008-03-03 22:28 <DIR> d-------- C:\Entpacktes
2008-02-25 21:34 . 2008-03-04 17:39 <DIR> d-------- C:\Dowloads
2008-02-25 21:24 . 2004-11-24 02:00 14,976 -ra------ C:\WINDOWS\system32\drivers\avmunet.sys
2008-02-24 20:28 . 2004-08-04 00:40 57,600 --a------ C:\WINDOWS\system32\drivers\redbook.sys
2008-02-24 20:28 . 2004-08-03 23:01 25,856 --a------ C:\WINDOWS\system32\drivers\usbprint.sys
2008-02-24 20:28 . 2001-08-17 13:59 3,072 --a------ C:\WINDOWS\system32\drivers\audstub.sys
2008-02-24 20:27 . 2004-08-04 00:57 77,312 --a------ C:\WINDOWS\system32\usbui.dll
2008-02-24 20:26 . 2008-02-25 20:32 <DIR> d--h----- C:\Dokumente und Einstellungen\Default User\Vorlagen
2008-02-24 20:26 . 2008-02-24 20:26 <DIR> dr------- C:\Dokumente und Einstellungen\Default User\Startmenü

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-04 23:19 316,928 ----a-w C:\WINDOWS\Fonts\rar.exe
2008-03-04 23:14 430,080 ------w C:\WINDOWS\Fonts\Setup.exe
2008-03-01 12:56 0 ----a-w C:\Programme\temp01
2008-02-29 18:01 --------- d-----w C:\Programme\TuneUp Utilities 2007
2008-02-27 09:18 --------- d-----w C:\Programme\IncrediMail
2008-02-25 19:58 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-02-25 19:58 --------- d-----w C:\Dokumente und Einstellungen\Kxx\Anwendungsdaten\TuneUp Software
2008-02-25 19:58 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TuneUp Software
2008-02-25 19:56 --------- d-----w C:\Programme\Common files
2008-02-25 19:55 --------- d-----w C:\Programme\Avira
2008-02-25 19:55 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-02-25 19:51 --------- d-----w C:\Programme\xp-AntiSpy
2008-02-25 19:36 --------- d-----w C:\Programme\microsoft frontpage
2008-02-25 19:34 --------- d-----w C:\Programme\Online-Dienste
2008-02-25 19:34 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
2007-12-13 18:09 972,072 ----a-w C:\WINDOWS\UNNeroMediaHome.exe
.

------- Sigcheck -------

27a5959c94ee173a063ca06bd14f021a C:\WINDOWS\system32\drivers\tcpip.sys
----a-w 359,040 2004-08-10 16:11:23 C:\WINDOWS\system32\drivers\tcpip.sys
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IncrediMail"="C:\PROGRA~1\INCRED~1\bin\IncMail.exe" [2004-02-23 20:21 176171]
"TVgenial"="C:\Programme\TVgenial\TVgenial.exe" [2008-02-25 22:02 875520]
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2008-02-25 23:03 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-25 23:04 249896]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 23:57 15360]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"MaxRecentDocs"= 2 (0x2)
"GreyMSIAds"= 1 (0x1)
"NoRecentDocsNetHood"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\policies\microsoft\windows\windowsupdate\au]
"NoAutoUpdate"= 1 (0x1)

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Adobe Reader - Schnellstart.lnk
backup=C:\WINDOWS\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]
--a------ 2004-08-22 17:05 81920 C:\Programme\Deamon\daemon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Host Process]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBKeyScan]
--a------ 2007-12-03 14:21 2213160 C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2007-03-01 14:57 153136 C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
--a------ 2008-02-25 23:03 68856 C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
--a------ 2008-02-27 16:15 185896 C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"RichVideo"=2 (0x2)
"gusvc"=3 (0x3)
"Ati HotKey Poller"=2 (0x2)
"NMIndexingService"=3 (0x3)
"Nero BackItUp Scheduler 3"=2 (0x2)

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe
"StartCCC"=C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe
"swg"=C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"LanguageShortcut"=C:\Programme\CyberLink\PowerDVD\Language\Language.exe
"RemoteControl"=C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
"RTHDCPL"=RTHDCPL.EXE
"Alcmtr"=ALCMTR.EXE

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=

R2 {95808DC4-FA4A-4c74-92FE-5B863F82066B};{95808DC4-FA4A-4c74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2006-11-02 16:51]
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2004-08-03 23:58]
R3 AVMUNET;AVM FRITZ!Box;C:\WINDOWS\system32\DRIVERS\avmunet.sys [2004-11-24 02:00]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\ccc-core-static]
msiexec /fums {A75BF1D0-C7C3-CB55-EE17-3225387FD154} /qb
.
Inhalt des "geplante Tasks" Ordners
"2008-02-25 22:02:42 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
- C:\Programme\TuneUp Utilities 2007\SystemOptimizer.exe
"2008-03-04 16:32:52 C:\WINDOWS\Tasks\XoftSpy.job"
- C:\Programme\XoftSpy\XoftSpy.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-05 10:15:18
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\{95808DC4-FA4A-4c74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
Zeit der Fertigstellung: 2008-03-05 10:15:34

grüße
Kery

Chris4You · 05.03.2008, 17:50

Hi,

wenn das ist es gut versteckt...

Folgende Files bitte online prüfen lassen:
Oben auf der Seite --> auf Durchsuchen klicken --> Datei aussuchen (oder gleich die Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf "Send"... jetzt abwarten - dann mit der rechten Maustaste den Text markieren -> kopieren - einfügen
http://www.virustotal.com/flash/index_en.html

Zitat:

C:\WINDOWS\system32\wmpns.dll
C:\WINDOWS\IsUn0407.exe
C:\WINDOWS\Fonts\Setup.exe

Lasse auch die wmiprvse.exe mal überprüfen, wo ist die abgelegt?
->http://www.neuber.com/taskmanager/process/wmiprvse.exe.html

chris

Poste das Ergebnis mit Filename...

chris

Kery · 05.03.2008, 22:06

Datei wmpns.dll empfangen 2008.03.05 21:34:11 (CET)
Datei wmpns.dll empfangen 2008.03.05 21:34:11 (CET)
Status: Überprüfung Beendet
Ergebnis: 0/32 (0%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.05 -
AntiVir 7.6.0.73 2008.03.05 -
Authentium 4.93.8 2008.03.04 -
Avast 4.7.1098.0 2008.03.05 -
AVG 7.5.0.516 2008.03.05 -
BitDefender 7.2 2008.03.05 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.05 -
DrWeb 4.44.0.09170 2008.03.05 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5590 2008.03.05 -
Ewido 4.0 2008.03.05 -
FileAdvisor 1 2008.03.05 -
Fortinet 3.14.0.0 2008.03.05 -
F-Prot 4.4.2.54 2008.03.04 -
F-Secure 6.70.13260.0 2008.03.05 -
Ikarus T3.1.1.20 2008.03.05 -
Kaspersky 7.0.0.125 2008.03.05 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.05 -
NOD32v2 2923 2008.03.05 -
Norman 5.80.02 2008.03.05 -
Panda 9.0.0.4 2008.03.05 -
Prevx1 V2 2008.03.05 -
Rising 20.34.22.00 2008.03.05 -
Sophos 4.27.0 2008.03.05 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.05 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.05 -

weitere Informationen
File size: 221184 bytes
MD5: 806cc87270c34db5d95134d9cf951df8
SHA1: 685ef3fd0a13eb0fa2bdd1e5740d36d4659bba88
PEiD: -

Datei IsUn0407.exe empfangen 2008.03.05 21:44:44 (CET)
Status: Überprüfung Beendet
Ergebnis: 0/32 (0%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.05 -
AntiVir 7.6.0.73 2008.03.05 -
Authentium 4.93.8 2008.03.04 -
Avast 4.7.1098.0 2008.03.05 -
AVG 7.5.0.516 2008.03.05 -
BitDefender 7.2 2008.03.05 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.05 -
DrWeb 4.44.0.09170 2008.03.05 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5590 2008.03.05 -
Ewido 4.0 2008.03.05 -
FileAdvisor 1 2008.03.05 -
Fortinet 3.14.0.0 2008.03.05 -
F-Prot 4.4.2.54 2008.03.04 -
F-Secure 6.70.13260.0 2008.03.05 -
Ikarus T3.1.1.20 2008.03.05 -
Kaspersky 7.0.0.125 2008.03.05 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.05 -
NOD32v2 2923 2008.03.05 -
Norman 5.80.02 2008.03.05 -
Panda 9.0.0.4 2008.03.05 -
Prevx1 V2 2008.03.05 -
Rising 20.34.22.00 2008.03.05 -
Sophos 4.27.0 2008.03.05 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.05 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.05 -

weitere Informationen
File size: 328704 bytes
MD5: d61d99d0560ccbfaa2af176fc743863e
SHA1: f03e421745994b980f0f2a3663880026e31bd860
PEiD: InstallShield 2000

Datei Setup.exe empfangen 2008.03.05 21:57:18 (CET)
Status: Überprüfung Beendet
Ergebnis: 5/32 (15.63%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.05 -
AntiVir 7.6.0.73 2008.03.05 -
Authentium 4.93.8 2008.03.04 -
Avast 4.7.1098.0 2008.03.05 Win32:VB-FXE
AVG 7.5.0.516 2008.03.05 -
BitDefender 7.2 2008.03.05 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.05 -
DrWeb 4.44.0.09170 2008.03.05 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5590 2008.03.05 -
Ewido 4.0 2008.03.05 -
FileAdvisor 1 2008.03.05 -
Fortinet 3.14.0.0 2008.03.05 -
F-Prot 4.4.2.54 2008.03.04 -
F-Secure 6.70.13260.0 2008.03.05 -
Ikarus T3.1.1.20 2008.03.05 -
Kaspersky 7.0.0.125 2008.03.05 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.05 TrojanDownloader:Win32/Tonick.gen
NOD32v2 2923 2008.03.05 probably unknown NewHeur_PE virus
Norman 5.80.02 2008.03.05 -
Panda 9.0.0.4 2008.03.05 -
Prevx1 V2 2008.03.05 Generic.Malware
Rising 20.34.22.00 2008.03.05 -
Sophos 4.27.0 2008.03.05 Mal/Behav-167
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.05 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.05 -

weitere Informationen
File size: 430080 bytes
MD5: 2915c0fac1f6adf5621cb1078918bb0c
SHA1: a09c229b5a3c42bb8fc0801cf4cf1e1d0a16cdc2
PEiD: -
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=02DF612F00191D62902E0695386A34008CDD9D68

zu dem file habe ich noch ein problem .... ich find es nicht !! Im angegebenen Ordner nicht aufzufinden obwohl auch versteckte dateien angezeigt werden ect. ...

grüße
Kery

Kery · 05.03.2008, 22:20

Datei wmiprvse.exe empfangen 2008.03.05 22:14:16 (CET)
Status:Überprüfung Beendet

Ergebnis: 0/32 (0%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.05 -
AntiVir 7.6.0.73 2008.03.05 -
Authentium 4.93.8 2008.03.04 -
Avast 4.7.1098.0 2008.03.05 -
AVG 7.5.0.516 2008.03.05 -
BitDefender 7.2 2008.03.05 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.05 -
DrWeb 4.44.0.09170 2008.03.05 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5590 2008.03.05 -
Ewido 4.0 2008.03.05 -
FileAdvisor 1 2008.03.05 -
Fortinet 3.14.0.0 2008.03.05 -
F-Prot 4.4.2.54 2008.03.04 -
F-Secure 6.70.13260.0 2008.03.05 -
Ikarus T3.1.1.20 2008.03.05 -
Kaspersky 7.0.0.125 2008.03.05 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.05 -
NOD32v2 2924 2008.03.05 -
Norman 5.80.02 2008.03.05 -
Panda 9.0.0.4 2008.03.05 -
Prevx1 V2 2008.03.05 -
Rising 20.34.22.00 2008.03.05 -
Sophos 4.27.0 2008.03.05 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.05 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.05 -

weitere Informationen
File size: 218112 bytes
MD5: 971132068954f67ff53d4b82fcad844c
SHA1: 7bd682b0ccdfe3f32d1f1480dfc806aa1fde148e
PEiD: -

datei liegt in C:\windows\system32\wbem

Chris4You · 06.03.2008, 07:38

Hi,

Ok, dann läuft das Ding im Hintergrund und "blendet" sich aus dem Explorer
aus...

Versuchen wir Ihm mal zu leibe zu rücken...

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html
oder
http://www.wintotal.de/Software/index.php?id=4101

Options: Delete on Reboot --> anhaken
reinkopieren:

C:\WINDOWS\Fonts\Setup.exe

und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "yes"

PC neustarten

Bitte genau aufpassen was die Killbox meldet, falls das Ding auch die Starteinträge überwacht, wird es versuchen die Killbox wieder zu kicken...

Dann bleibt nur von Bootdiskette zu starten und das Ding per Hand zu killen...

chris

Kery · 06.03.2008, 10:56

rledigt ... Killbox hat keine meldung gebracht beim Neustart, aber beim Suchen im Explorer hab ich die setup.exe wiedergefunden und zwar unter C.\killbox. Hab auch vorsichtshalber nochmal bei VirusTotal getestet :

Datei Setup.exe empfangen 2008.03.06 10:43:24 (CET)
Status:Überprüfung Beendet

Ergebnis: 6/32 (18.75%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.06 -
AntiVir 7.6.0.73 2008.03.06 -
Authentium 4.93.8 2008.03.06 -
Avast 4.7.1098.0 2008.03.06 Win32:VB-FXE
AVG 7.5.0.516 2008.03.05 -
BitDefender 7.2 2008.03.06 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.06 -
DrWeb 4.44.0.09170 2008.03.06 -
eSafe 7.0.15.0 2008.02.28 -
eTrust-Vet 31.3.5591 2008.03.06 -
Ewido 4.0 2008.03.05 -
FileAdvisor 1 2008.03.06 -
Fortinet 3.14.0.0 2008.03.06 -
F-Prot 4.4.2.54 2008.03.05 -
F-Secure 6.70.13260.0 2008.03.06 -
Ikarus T3.1.1.20 2008.03.06 Virus.Win32.VB.FXE
Kaspersky 7.0.0.125 2008.03.06 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.06 TrojanDownloader:Win32/Tonick.gen
NOD32v2 2925 2008.03.06 probably unknown NewHeur_PE virus
Norman 5.80.02 2008.03.05 -
Panda 9.0.0.4 2008.03.06 -
Prevx1 V2 2008.03.06 Generic.Malware
Rising 20.34.30.00 2008.03.06 -
Sophos 4.27.0 2008.03.06 Mal/Behav-167
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.06 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.06 -

weitere Informationen
File size: 430080 bytes
MD5: 2915c0fac1f6adf5621cb1078918bb0c
SHA1: a09c229b5a3c42bb8fc0801cf4cf1e1d0a16cdc2
PEiD: -
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=02DF612F00191D62902E0695386A34008CDD9D68

Hab se jetzt nochmal manuell gelöscht und neustart gemacht, nu scheint se weg zu sein ... hoffentlich

Was mich wundert, wenn ich im Explorer die setup.exe gesucht habe wurde sie angezeigt in c:\windows\fonts , aber wenn ich gleich in dem Verzeichnis geguckt habe war da keine setup.exe . *grübel* Seltsam.

nu egal, jetzt isse wech ... DANKE DIR !!!!

winkers
Kery

Chris4You · 06.03.2008, 11:58

Hi,

ok, sonst hatte ich nichts gefunden;
Abschließend bitte noch ein Scan mit PrevX:
http://www.prevx.com/freescan.asp

chris

Kery · 06.03.2008, 14:26

Na super ... da dachte ich , jetzt hab ich alles, schon hab ich was neues *stöhn*

c:\windows\system32\swreg.exe

habs nochmal mit VirusTotal geprüft:

Datei swreg.exe empfangen 2008.03.06 14:13:41 (CET)
Status:Überprüfung Beendet

Ergebnis: 3/32 (9.38%)

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.4.0 2008.03.06 -
AntiVir 7.6.0.73 2008.03.06 -
Authentium 4.93.8 2008.03.06 -
Avast 4.7.1098.0 2008.03.06 -
AVG 7.5.0.516 2008.03.06 -
BitDefender 7.2 2008.03.06 -
CAT-QuickHeal 9.50 2008.03.05 -
ClamAV 0.92.1 2008.03.06 -
DrWeb 4.44.0.09170 2008.03.06 -
eSafe 7.0.15.0 2008.02.28 suspicious Trojan/Worm eTrust-Vet 31.3.5591 2008.03.06 -
Ewido 4.0 2008.03.06 -
FileAdvisor 1 2008.03.06 -
Fortinet 3.14.0.0 2008.03.06 -
F-Prot 4.4.2.54 2008.03.05 -
F-Secure 6.70.13260.0 2008.03.06 -
Ikarus T3.1.1.20 2008.03.06 -
Kaspersky 7.0.0.125 2008.03.06 -
McAfee 5245 2008.03.05 -
Microsoft 1.3301 2008.03.06 -
NOD32v2 2926 2008.03.06 -
Norman 5.80.02 2008.03.06 -
Panda 9.0.0.4 2008.03.06 Suspicious file
Prevx1 V2 2008.03.06 Generic.Malware
Rising 20.34.32.00 2008.03.06 -
Sophos 4.27.0 2008.03.06 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.06 -
TheHacker 6.2.92.233 2008.03.04 -
VBA32 3.12.6.2 2008.03.05 -
VirusBuster 4.3.26:9 2008.03.05 -
Webwasher-Gateway 6.6.2 2008.03.06 -

weitere Informationen
File size: 161792 bytes
MD5: 01d95a1f8cf13d07cc564aabb36bcc0b
SHA1: be229bde90b82d21fe94c67e2b096334e93d78c2
PEiD: UPX 2.90 [LZMA] -> Markus Oberhumer, Laszlo Molnar & John Reiser
packers: UPX
packers: UPX
packers: UPX
Prevx info: http://info.prevx.com/aboutprogramtext.asp?PX5=F583C28B008EFEE4785C023A5217460062E7F95F

habs mal gegoogelt, kann ein Bestandteil eines antivirenproggis namens SmitfraudFix sein, hab ich aber vorher noch nie gehört und garantiert auch nicht auf meinem PC ....
hier gefunden:

h**p://forums.spybot.info/archive/index.php/t-4345.html

was mach ich jetzt damit?

Könnte es ja verschieben in ein unauffälliges verzeichnis und gucken ob danach noch alles läuft ....

was meinst du?

winkers
Kery

Chris4You · 06.03.2008, 15:02

Hi,

verschieben schützt nicht vor "zufälligem" ausführen, daher lieber umbenennen
z. b. auf swreg.ex.b12...

Denke es wird alles laufen...

Gruß,
chris

Kery · 06.03.2008, 21:10

tja, hab ich gemacht, nu hab ich ein neues Problem .... google geht nicht mehr.

hab schon das forum durchsucht, anscheinend hatten ein paar Millionen User das gleiche Problem heute Nachmittag, der Unterschied zu mir ist daß ich kein tcom user bin sondern gmx und daß bei mir das Problem bis jetzt noch besteht obwohl laut heise es wieder gehen müßte.

also hab ich das gemacht was die anderen geraten habe, nämlich die host datei im system32 gecheckt und überflüssiges gelöscht, geht trotzdem nicht.

Ich hab auch die Datei, die ich umbenannt hatte (die swreg.exe) wieder original umbenannt, geht trotzdem nich ... *seufz*

wieso muß bei mir immer alles anders sein als bei anderen *jammer*

haste noch ideen??

winkers
Kery

Chris4You · 06.03.2008, 21:26

Hi,

google sollte jetzt wieder tun, die swreg hat damit sicherlich nichts zu tun...
Wie sieht es mit anderen Internetpages aus?

chris

KarlKarl · 06.03.2008, 21:32

Hi,

also bei Google einfach mal abwarten. Es gibt auch Provider, die auf TCom zurückgreifen, bei denen geht es dann auch nicht.

swreg.exe ist ein Teil von Combofix, Combofix hat für seine Arbeit diverse Tools in dein System kopiert, die oft Meldungen von Virenscannern bringen, da dürfte noch mehr kommen. Homepage einiger dieser Tools: Index

Und solltest Du über Dateien mit der Endung ".cfexe" stolpern: Ebenfalls Combofix, umbenannte EXE.

Gruß, Karl

noch probleme nach Virenbefall

Log-Analyse und Auswertung: noch probleme nach Virenbefall