Virus.Win32.Fontra.c / kompletter Computer anfänger

thomas1982 · 12.03.2008, 17:13

hi leute.

hoffe ihr könnt mir weiterhelfen!

mein virenscanner fanden einen worm VB-133 im internet fand ich diese bezeichung --> Virus.Win32.Fontra.c

im ordnern c:/programme werden folgende datein immer erstellt:
a.ico
b.ico
a.zip
b.zip
c.zip
setup.exe
track_03.exe
video.exe

wie kann ich diesen trojaner loswerden!
bitte wenns geht eifnach erklären. bin nicht der computer profi!!!!
vielen dank für eure hilf im voraus!!!!!!!

THomas

thomas1982 · 12.03.2008, 17:43

wird jemand da schlau?

Logfile of HijackThis v1.99.1
Scan saved at 17:39:02, on 12.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\VGhvbWFz\command.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Network Monitor\netmon.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\mmrtkrnl.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\Fonts\svchost.exe
C:\WINDOWS\mrofinu1000106.exe
C:\Programme\ClamWin\bin\ClamTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\Fonts\svchost.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\T-Mobile\web 'n' walk Manager\Web 'n' Walk Manager.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.813\HijackThis.exe

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PDUiP6210DMon] C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661AA4EBD86D67C56389B284534F310
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: auto-bit.lnk = C:\SYSPREP\bit\bit.exe
O4 - Global Startup: dllhost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

12.03.2008, 22:19

C:\WINDOWS\VGhvbWFz\command.exe
-->Eventuell gut. Laut der Datenbank von HijackThis müsste der Pfad so heißen:c:\windows\ia\....
Es könnte schädlich sein !*

[B][C:\WINDOWS\system32\mmrtkrnl.exe/B]
Alarmstufe rot! Ein unbekannter Prozess!*

C:\WINDOWS\Fonts\svchost.exe
Müsste schädlich sein. Die svchost.exe läuft doch eigentlich nur in system32.*

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
Könnte auch schädlich sein!*

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
Nicht bekanntes Programm!*

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
Dieses Programm ist auch nicht bekannt.*

O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
auch nicht bekannt.*

[O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe/B]
Bestimmt zu 75 % schädlich. Da bin ich mir sicher.*

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310
Diese Fuzzyallgemeinprüfung ist schädlich.*

[BO4 - Global Startup: dllhost.exe]
nicht bekanntes Programm.*

O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
Kennst Du die Domäne ?*

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe
schädlich!*

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
auch schädlich!*

Da hast Du viel Müll drauf. Alle Dateien die mit * gekenntzeichnet sind auf Virustotal.com hochladen und vollständige Ergebnisse hier psoten.
Usa-ko

thomas1982 · 13.03.2008, 10:57

C:\WINDOWS\VGhvbWFz\command.exe
-->Eventuell gut. Laut der Datenbank von HijackThis müsste der Pfad so heißen:c:\windows\ia\....
Es könnte schädlich sein !*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-Trojan/Proxy.293888
AntiVir 7.6.0.73 2008.03.12 TR/Spy.Banbra.df.199
Authentium 4.93.8 2008.03.13 W32/Agent.WF
Avast 4.7.1098.0 2008.03.13 Win32:Adware-gen
AVG 7.5.0.516 2008.03.12 Adware Generic2.OQO
BitDefender 7.2 2008.03.13 Adware.CommAd.A
CAT-QuickHeal 9.50 2008.03.12 AdWare.CommAd.a (Not a Virus)
ClamAV 0.92.1 2008.03.13 Trojan.Downloader.VB-104
DrWeb 4.44.0.09170 2008.03.13 Trojan.Proxy.493
eSafe 7.0.15.0 2008.03.09 Spyware.Gen
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 Adware.CommAd
FileAdvisor 1 2008.03.13 Low threat detected
Fortinet 3.14.0.0 2008.03.13 W32/Agent.WF!tr
F-Prot 4.4.2.54 2008.03.12 W32/Agent.WF
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 not-a-virus:AdWare.Win32.CommAd.a
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:AdWare.Win32.CommAd.a
McAfee 5250 2008.03.12 potentially unwanted program Adware-Isearch
Microsoft 1.3301 2008.03.12 Adware:Win32/CMDService
NOD32v2 2943 2008.03.13 Win32/Adware.CommAd
Norman 5.80.02 2008.03.12 W32/CommAd.A
Panda 9.0.0.4 2008.03.12 Adware/CommAd
Prevx1 V2 2008.03.13 Adware Generic2.OQO
Rising 20.35.31.00 2008.03.13 Backdoor.BlackHole.ax
Sophos 4.27.0 2008.03.13 CommAd
Sunbelt 3.0.930.0 2008.03.05 Command Service
TheHacker 6.2.92.244 2008.03.12 Adware/CommAd.a
VBA32 3.12.6.2 2008.03.13 AdWare.Win32.CommAd.a
VirusBuster 4.3.26:9 2008.03.12 Adware.CommAd.C
Webwasher-Gateway 6.6.2 2008.03.13 Trojan.Spy.Banbra.df.199

[b][C:\WINDOWS\system32\mmrtkrnl.exe/B]
Alarmstufe rot! Ein unbekannter Prozess!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.12 -
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 -
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV 0.92.1 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 -
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 Suspicious:W32/Malware!Gemini
Ikarus T3.1.1.20 2008.03.13 -
Kaspersky 7.0.0.125 2008.03.13 -
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 -
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 -
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 -

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
Könnte auch schädlich sein!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.13 Worm/Fontra.C
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Fontra-E
AVG 7.5.0.516 2008.03.12 Worm/Delf.ATB
BitDefender 7.2 2008.03.13 Backdoor.Genlot.KI
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV 0.92.1 2008.03.13 Worm.VB-133
DrWeb 4.44.0.09170 2008.03.13 BackDoor.Generic.1545
eSafe 7.0.15.0 2008.03.09 Virus.Win32.Fontra.c
eTrust-Vet 31.3.5611 2008.03.13 Win32/Gamtrap.A
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 High threat detected
Fortinet 3.14.0.0 2008.03.13 W32/Vbbot
F-Prot 4.4.2.54 2008.03.12 W32/Trojan5.GSM
F-Secure 6.70.13260.0 2008.03.13 W32/VBWorm.NDA
Ikarus T3.1.1.20 2008.03.13 Virus.Win32.Fontra.c
Kaspersky 7.0.0.125 2008.03.13 Virus.Win32.Fontra.c
McAfee 5250 2008.03.12 W32/Vbbot
Microsoft 1.3301 2008.03.12 Worm:Win32/VB.EB
NOD32v2 2943 2008.03.13 Win32/VB.NJQ
Norman 5.80.02 2008.03.12 W32/VBWorm.NDA
Panda 9.0.0.4 2008.03.12 Trj/Vb.TT
Prevx1 V2 2008.03.13 Worm/Delf.ATB
Rising 20.35.31.00 2008.03.13 Worm.VB.agv
Sophos 4.27.0 2008.03.13 W32/Fontra-F
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 W32.Fontra
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 Worm.Win32.VB.NJQ
VirusBuster 4.3.26:9 2008.03.12 Worm.Fontra.B
Webwasher-Gateway 6.6.2 2008.03.13 Worm.Fontra.C

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll
Dieses Programm ist auch nicht bekannt.*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-AppCare/Ttc.217088
AntiVir 7.6.0.73 2008.03.13 ADSPY/TTC.D.1
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 Adware Generic2.ABNX
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 AdWare.TTC.d (Not a Virus)
ClamAV None 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 Not-A-Virus.Adware.TTC
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 Adware/TTC
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 AdWare.TTC.D.1
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:AdWare.Win32.TTC.d
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 -
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 W32/TTC.FM
Panda 9.0.0.4 2008.03.12 -
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 AdMoke
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 AdWare.Win32.TTC.d
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 Ad-Spyware.TTC.D.1

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
Nicht bekanntes Programm!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 -
AntiVir 7.6.0.73 2008.03.13 -
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 -
AVG 7.5.0.516 2008.03.12 -
BitDefender 7.2 2008.03.13 -
CAT-QuickHeal 9.50 2008.03.12 -
ClamAV None 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 -
eSafe 7.0.15.0 2008.03.09 -
eTrust-Vet 31.3.5611 2008.03.13 -
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 -
F-Prot 4.4.2.54 2008.03.12 W32/Virtumonde.G.gen!Eldorado
F-Secure 6.70.13260.0 2008.03.13 -
Ikarus T3.1.1.20 2008.03.13 -
McAfee 5250 2008.03.12 -
Microsoft 1.3301 2008.03.12 Trojan:Win32/Vundo.gen!D
NOD32v2 2943 2008.03.13 -
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 Suspicious file
Prevx1 V2 2008.03.13 -
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 -
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 -
TheHacker 6.2.92.244 2008.03.12 -
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 -

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310
Diese Fuzzyallgemeinprüfung ist schädlich.*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-Trojan/Agent.37376.IZ
AntiVir 7.6.0.73 2008.03.13 TR/Crypt.ULPM.Gen
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Agent-RUQ
AVG 7.5.0.516 2008.03.12 Downloader.Agent.ADHN
BitDefender 7.2 2008.03.13 Trojan.Downloader.JJQW
CAT-QuickHeal 9.50 2008.03.12 TrojanDownloader.Agent.lak
ClamAV 0.92.1 2008.03.13 -
DrWeb 4.44.0.09170 2008.03.13 Trojan.DownLoader.45546
eSafe 7.0.15.0 2008.03.09 suspicious Trojan/Worm
eTrust-Vet 31.3.5611 2008.03.13 Win32/Matcash.CU
Ewido 4.0 2008.03.12 -
FileAdvisor 1 2008.03.13 -
Fortinet 3.14.0.0 2008.03.13 W32/Agent.JHV!tr.dldr
F-Prot 4.4.2.54 2008.03.12 -
F-Secure 6.70.13260.0 2008.03.13 Trojan-Downloader.Win32.Agent.lak
Ikarus T3.1.1.20 2008.03.13 Trojan-Downloader.Win32.Agent.kyk
Kaspersky 7.0.0.125 2008.03.13 Trojan-Downloader.Win32.Agent.lak
McAfee 5250 2008.03.12 Downloader-BCF
Microsoft 1.3301 2008.03.12 TrojanDownloader:Win32/Matcash.D
NOD32v2 2943 2008.03.13 a variant of Win32/TrojanDownloader.Agent.BLS
Norman 5.80.02 2008.03.12 -
Panda 9.0.0.4 2008.03.12 Suspicious file
Prevx1 V2 2008.03.13 Trojan.Downloader
Rising 20.35.31.00 2008.03.13 Trojan.DL.Win32.Mnless.xe
Sophos 4.27.0 2008.03.13 Mal/Behav-191
Sunbelt 3.0.930.0 2008.03.05 -
Symantec 10 2008.03.13 Downloader
TheHacker 6.2.92.244 2008.03.12 Trojan/Downloader.Agent.kyk
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 -
Webwasher-Gateway 6.6.2 2008.03.13 Trojan.Crypt.ULPM.Gen

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe
auch schädlich!*
-->
Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.12.0 2008.03.13 Win-AppCare/Xema.94208.B
AntiVir 7.6.0.73 2008.03.13 SPR/NetMon.A
Authentium 4.93.8 2008.03.13 -
Avast 4.7.1098.0 2008.03.13 Win32:Adware-gen
AVG 7.5.0.516 2008.03.12 Adware Generic.KGZ
BitDefender 7.2 2008.03.13 Adware.CommAd.A
CAT-QuickHeal 9.50 2008.03.12 Monitor.NetMon.a (Not a Virus)
ClamAV None 2008.03.13 Trojan.DNSChanger-45
DrWeb 4.44.0.09170 2008.03.13 Trojan.DnsChange
eSafe 7.0.15.0 2008.03.09 Spyware.Gen
eTrust-Vet 31.3.5611 2008.03.13 Win32/NetMon.A
Ewido 4.0 2008.03.12 Not-A-Virus.Monitor.Win32.NetMon.a
FileAdvisor 1 2008.03.13 Low threat detected
Fortinet 3.14.0.0 2008.03.13 Adware/SearchAid
F-Prot 4.4.2.54 2008.03.12 W32/Monitor.YV
F-Secure 6.70.13260.0 2008.03.13 W32/NetMon.C
Ikarus T3.1.1.20 2008.03.13 not-a-virus:Monitor.Win32.NetMon.a
Kaspersky 7.0.0.125 2008.03.13 not-a-virus:Monitor.Win32.NetMon.a
McAfee 5250 2008.03.12 potentially unwanted program Tool-NetMon
Microsoft 1.3301 2008.03.12 TrojanDownloader:Win32/Monnet
NOD32v2 2943 2008.03.13 Win32/Monitor.Netmon.A
Norman 5.80.02 2008.03.12 W32/NetMon.C
Panda 9.0.0.4 2008.03.12 Adware/SearchAid
Prevx1 V2 2008.03.13 Adware Generic.KGZ
Rising 20.35.31.00 2008.03.13 -
Sophos 4.27.0 2008.03.13 Netmon
Sunbelt 3.0.930.0 2008.03.05 Backdoor.Win32.NetMon
Symantec 10 2008.03.13 Spyware.ISearch
TheHacker 6.2.92.244 2008.03.12 Aplicacion/NetMon.a
VBA32 3.12.6.2 2008.03.13 -
VirusBuster 4.3.26:9 2008.03.12 Adware.NetMon.A
Webwasher-Gateway 6.6.2 2008.03.13 Riskware.NetMon.A

O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
Kennst Du die Domäne ?*
--> unter welchem pfad such ich diese datei kann hklm nicht finden!!!

C:\WINDOWS\Fonts\svchost.exe
Müsste schädlich sein. Die svchost.exe läuft doch eigentlich nur in system32.*
--> heute unter fonts kann ich keine svchost.exe finden

jetzt bin ich noch mehr verzweifelt!!!!!
bitte um hilfe!!!

Sabina · 13.03.2008, 13:11

Hallo,

1.
Start -- Ausführen -- schreib rein: cmd
reinkopieren in das schwarze dos-Fenster:
(eventuelle Fehlermeldungen übergehe...)

sc stop Network Monitor

[klicke "enter"]

und warte ein bisschen, dann kopiere rein:

sc delete Network Monitor

[klicke "enter"]

sc stop Command Service

[klicke "enter"]

sc delete Command Service

[klicke "enter"]

sc stop cmdService

[klicke "enter"]

sc delete cmdService

[klicke "enter"]

-------------------------------------------------------------------------------

2.
mit dem HijackThis löschen ("fixen")
Klicke: "Do a system scan only"
Setze ein Häckchen in das Kästchen vor den genannten Eintrag
und wähle fix checked

Zitat:

O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll

O2 - BHO: (no name) - {EAC548FC-660E-4DD4-A76C-0CC7349E96A7} - C:\Programme\Internet Explorer\satof89104.dll

O3 - Toolbar: (no name) - {BA52B914-B692-46c4-B683-905236F6F655} - (no file)

O4 - HKLM\..\Run: [Host Process] C:\WINDOWS\Fonts\svchost.exe

O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu1000106.exe 61A847B5BBF72813329B385772FF01F0B3E35B6638993F4661 AA4EBD86D67C56389B284534F310

O4 - Global Startup: dllhost.exe

O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll

O23 - Service: Command Service (cmdService) - Unknown owner - C:\WINDOWS\VGhvbWFz\command.exe

O23 - Service: Network Monitor - Unknown owner - C:\Programme\Network Monitor\netmon.exe

3.
lade sdfix
SDFix
beachte, funktioniert nur im abgesicherten Modus

scanne im abgesicherten Modus + poste dann hier den report, der erscheint

4.
lade otmoveIt
OTMoveIt by OldTimer

Kopiere rein: im linken Fenster ,wo steht: Paste Standart List of Files/Folders to be Move

Code:

ATTFilter

C:\Programme\Internet Explorer\satof89104.dll
C:\WINDOWS\mrofinu1000106.exe
C:\WINDOWS\SYSTEM32\byxurss.dll
C:\Programme\Network Monitor
C:\WINDOWS\VGhvbWFz

Klicke auf den Roten MoveIt!

5.
wende bitte Combofix an + poste hier den Report
combofix

thomas1982 · 13.03.2008, 20:42

hi,

erstmals danke!

zu punkt 1)

bei network monitor und command service bekomm ich immer die fehlermeldung
Failed 1060
der angegebene dienst ist kein installierter dienst!
nur bei cmdService war es successfull!!!!

zu punkt 2)

diese zeile lässt sich nicht entfernen:
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll

anbei aktuelles hijack:

ogfile of HijackThis v1.99.1
Scan saved at 18:19:16, on 13.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Norton AntiVirus\navapsvc.exe
C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\CyberLink\Shared Files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\Programme\Java\jre1.6.0_03\bin\jusched.exe
C:\WINDOWS\system32\mmrtkrnl.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\ClamWin\bin\ClamTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\dllhost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\T-Mobile\web 'n' walk Manager\Web 'n' Walk Manager.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\cmd.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\Thomas\LOKALE~1\Temp\Rar$EX00.953\HijackThis.exe

O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: (no name) - {70AB0A8B-8A8A-496F-A339-4CD2F3352991} - C:\WINDOWS\system32\byxurss.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: 0 - {B15F656D-7087-4959-2785-BB32EB95AC5D} - C:\Programme\MSN Gaming Zone\zyjib.dll (file missing)
O2 - BHO: NAV Helper - {BDF3E430-B101-42AD-A544-FADC6B084872} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Norton AntiVirus - {42CDD1BF-3FFB-4238-8AD1-7859DF00B1D6} - C:\Programme\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [PDUiP6210DMon] C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_03\bin\jusched.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] "mmrtkrnl.exe" /i
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ClamWin] "C:\Programme\ClamWin\bin\ClamTray.exe" --logon
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - Global Startup: auto-bit.lnk = C:\SYSPREP\bit\bit.exe
O4 - Global Startup: dllhost.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: PokerStars.net - {FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {CF40ACC5-E1BB-4AFF-AC72-04C2F616BCA7} (get_atlcom Class) - http://www.adobe.com/products/acrobat/nos/gp.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{EBC5A999-8EF2-4EB0-AAA0-A9529A0AE29E}: NameServer = 213.162.65.1 213.162.65.2
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: byxurss - C:\WINDOWS\SYSTEM32\byxurss.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Norton AntiVirus Auto-Protect Service (navapsvc) - Symantec Corporation - C:\Programme\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton AntiVirus Firewall Monitor Service (NPFMntor) - Symantec Corporation - C:\Programme\Norton AntiVirus\IWP\NPFMntor.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared Files\RichVideo.exe
O23 - Service: SAVScan - Symantec Corporation - C:\Programme\Norton AntiVirus\SAVScan.exe
O23 - Service: ScriptBlocking Service (SBService) - Symantec Corporation - C:\PROGRA~1\GEMEIN~1\SYMANT~1\SCRIPT~1\SBServ.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

zu punkt 3)

anbei der report:

SDFix: Version 1.156

Run by Thomas on 13.03.2008 at 17:54

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix

Checking Services :

Name:
Network Monitor

Path:
C:\Programme\Network Monitor\netmon.exe service

Network Monitor - Deleted

Restoring Windows Registry Values
Restoring Windows Default Hosts File

Rebooting

Checking Files :

Trojan Files Found:

C:\WINDOWS\SYSTEM32\TASKKILL.EXE - Deleted
C:\PROGRA~1\MSNGAM~1\ZYJIB - Deleted
C:\PROGRA~1\MSNGAM~1\ZYJIB.DLL - Deleted
C:\PROGRA~1\INTERN~1\SATOF8~1.DLL - Deleted
C:\Temp\1cb\syscheck.log - Deleted
C:\n.bat - Deleted
C:\WINDOWS\mrofinu1000106.exe - Deleted
C:\WINDOWS\mrofinu1188.exe - Deleted
C:\Programme\a.zip - Deleted
C:\Programme\b.zip - Deleted
C:\Programme\c.zip - Deleted
C:\Programme\A.ico - Deleted
C:\Programme\B.ico - Deleted
C:\Programme\Network Monitor\netmon.exe - Deleted
C:\Programme\Setup.exe - Deleted
C:\Programme\Track_03.exe - Deleted
C:\Programme\Video.exe - Deleted
C:\Dokumente und Einstellungen\Thomas\services.exe - Deleted
C:\services.exe - Deleted
C:\smss.exe - Deleted
C:\svchost.exe - Deleted
C:\winlogon.exe - Deleted
C:\x.dat - Deleted
C:\z.dat - Deleted
C:\WINDOWS\Fonts\Crack.exe - Deleted
C:\WINDOWS\Fonts\svchost.exe - Deleted
C:\WINDOWS\system32\atmtd.dll - Deleted
C:\WINDOWS\system32\atmtd.dll._ - Deleted
C:\WINDOWS\system32\p2pnetworking.exe - Deleted
C:\WINDOWS\system32\pac.txt - Deleted
C:\WINDOWS\system32\WINLOGO.EXE - Deleted
C:\WINDOWS\tk58.exe - Deleted
C:\WINDOWS\uninstall_nmon.vbs - Deleted

x.dat and z.dat data copied to \SDFix\Data.txt

Folder C:\Programme\Network Monitor - Removed
Folder C:\Temp\1cb - Removed
Folder C:\WINDOWS\Fonts\' - Removed

Removing Temp Files

ADS Check :

Final Check :

catchme 0.3.1344.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-13 18:06:47
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

Remaining Services :

zu punkt 5)

combofix
läuft jedoch jedoch 2mal bei fertiggestellt stufe 8 bzw 9 tut sich nicht mehr! computer mehr als 1 stunde laufen gelassen! kann das seine!

danke für weitere schritte!!!!

thomas1982 · 13.03.2008, 22:18

so jetzt doch noch der combofix report:

ComboFix 08-03-10.1 - Thomas 2008-03-13 22:12:51.6 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.49.1031.18.706 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Thomas\Eigene Dateien\Meine empfangenen Dateien\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-02-13 bis 2008-03-13 ))))))))))))))))))))))))))))))
.

2008-03-13 18:21 . 2008-03-13 18:21 <DIR> d-------- C:\_OTMoveIt
2008-03-13 18:10 . 2008-03-13 21:59 218,600 --a------ C:\Programme\c.zip
2008-03-13 18:10 . 2008-03-13 21:59 217,700 --a------ C:\Programme\b.zip
2008-03-13 18:10 . 2008-03-13 21:59 201,621 --a------ C:\Programme\a.zip
2008-03-13 17:48 . 2008-03-13 17:49 <DIR> d-------- C:\WINDOWS\ERUNT
2008-03-13 17:40 . 2008-03-13 18:09 <DIR> d-------- C:\SDFix
2008-03-12 17:39 . 2008-03-12 17:40 <DIR> d-------- C:\Programme\Hij
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Programme\ClamWin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 15:56 . 2008-03-12 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\.clamwin
2008-03-12 15:46 . 2008-03-12 15:46 237 --a------ C:\348.bat
2008-03-12 15:46 . 2008-03-12 15:46 77 --a------ C:\Dokumente und Einstellungen\Thomas\2311.bat
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\md4
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\iDlo18
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\ex3
2008-03-12 15:04 . 2008-03-12 15:04 <DIR> d-------- C:\WINDOWS\system32\axs9
2008-03-12 15:04 . 2008-03-13 18:35 <DIR> d-------- C:\Temp
2008-03-12 15:04 . 2008-03-12 15:04 57,344 --------- C:\lx.exe
2008-03-12 15:04 . 2008-03-12 15:04 237 --a------ C:\879.bat
2008-03-12 15:02 . 2008-03-13 10:15 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-03-12 15:00 . 2008-03-13 21:59 417,792 --a------ C:\Programme\Video.exe
2008-03-12 15:00 . 2008-03-13 21:59 417,792 --a------ C:\Programme\Track_03.exe
2008-03-12 15:00 . 2007-02-05 10:19 393,216 --a------ C:\Programme\Setup.exe
2008-03-12 15:00 . 2008-03-12 15:00 147,456 --a------ C:\WINDOWS\system32\vbzip10.dll
2008-03-12 14:26 . 2004-03-09 10:00 152,848 --a------ C:\WINDOWS\system32\comdlg32.ocx
2008-03-12 14:26 . 2002-09-21 15:33 65,536 --a------ C:\WINDOWS\system32\cpvslider.ocx
2008-03-12 14:26 . 2002-09-13 17:09 45,056 --a------ C:\WINDOWS\system32\BPM_Control.ocx
2008-03-11 19:51 . 2008-03-12 14:24 <DIR> d-------- C:\OtsLabs
2008-03-03 19:02 . 2007-12-17 13:53 159,458 --a------ C:\WINDOWS\system32\nvapps.nvb
2008-03-03 19:01 . 2008-03-03 19:01 <DIR> d-------- C:\NVIDIA
2008-03-03 19:01 . 2007-12-05 02:53 356,352 --a------ C:\WINDOWS\system32\NVUNINST.EXE
2008-03-03 18:14 . 2007-05-16 16:45 3,497,832 --a------ C:\WINDOWS\system32\d3dx9_34.dll
2008-03-03 18:14 . 2006-09-28 16:05 2,414,360 --a------ C:\WINDOWS\system32\d3dx9_31.dll
2008-03-03 18:14 . 2008-03-03 18:14 278,728 --a------ C:\WINDOWS\system32\drivers\atksgt.sys
2008-03-03 18:14 . 2008-03-03 18:14 25,416 --a------ C:\WINDOWS\system32\drivers\lirsgt.sys
2008-03-03 18:10 . 2008-03-03 18:10 <DIR> d-------- C:\Programme\Ubisoft
2008-02-28 08:00 . 2008-03-12 14:19 <DIR> d-------- C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\skypePM
2008-02-28 08:00 . 2008-02-28 08:00 32 --a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Skype
2008-02-28 07:58 . 2008-02-28 07:58 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Skype

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-13 21:02 --------- d-----w C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-03-13 20:59 25,214 ----a-w C:\Programme\B.ico
2008-03-13 20:59 25,214 ----a-w C:\Programme\A.ico
2008-03-13 09:20 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\LimeWire
2008-03-12 14:56 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\.clamwin
2008-03-12 13:58 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\Skype
2008-03-11 18:41 --------- d-----w C:\Programme\UltraMixer
2008-03-03 17:10 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-02 20:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-28 06:58 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2008-02-12 17:08 --------- d-----w C:\Programme\JetAudio
2008-01-15 18:10 --------- d-----w C:\Programme\MP3-DJ
2008-01-15 18:06 --------- d-----w C:\Programme\d-lusion
2008-01-13 12:56 --------- d-----w C:\Dokumente und Einstellungen\Thomas\Anwendungsdaten\AlcaTech
2008-01-13 12:56 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AlcaTech
2008-01-13 10:21 --------- d-----w C:\Programme\Java
2005-11-12 14:15 901 -c--a-w C:\Programme\uninstal.log
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"Power2GoExpress"="" []
"swg"="C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-08-14 18:05 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMan"="SOUNDMAN.EXE" [2004-10-27 07:49 73728 C:\WINDOWS\soundman.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2004-11-02 20:24 32768]
"PDUiP6210DMon"="C:\Programme\Canon\Memory Card Utility\iP6210D\PDUiP6210DMon.exe" [2005-05-06 19:28 69632]
"Easy-PrintToolBox"="C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 02:10 409600]
"ccApp"="C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" [2004-08-13 21:17 58488]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_03\bin\jusched.exe" [2007-09-25 01:11 132496]
"Realtime Audio Engine"="mmrtkrnl.exe" [2007-07-18 15:52 70144 C:\WINDOWS\system32\mmrtkrnl.exe]
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 11:45 63712]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 22:16 39792]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"ClamWin"="C:\Programme\ClamWin\bin\ClamTray.exe" [2008-01-20 22:08 77824]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Ubisoft\\DIE SIEDLER - Aufstieg eines Königreichs\\base\\bin\\Settlers6.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

R1 BIOS;BIOS;C:\WINDOWS\system32\drivers\BIOS.sys [2005-03-16 07:23]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\D]
\Shell\AutoRun\command - D:\autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]
\Shell\AutoRun\command - E:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b0-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{458779b1-3f8c-11dc-9fcd-00142aaa4bb9}]
\Shell\AutoRun\command - I:\AutoRun.exe

.
Inhalt des "geplante Tasks" Ordners
"2008-03-07 19:00:03 C:\WINDOWS\Tasks\Norton AntiVirus - Scan my computer - Thomas.job"
- C:\PROGRA~1\NORTON~1\Navw32.exel/task:
"2008-03-13 15:15:00 C:\WINDOWS\Tasks\Symantec NetDetect.job"
- C:\Programme\Symantec\LiveUpdate\NDETECT.EXE
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-13 22:14:44
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-03-13 22:15:37
ComboFix-quarantined-files.txt 2008-03-13 21:15:34
.
2007-10-30 19:40:25 --- E O F ---

bitte um weiter hilfe

Virus.Win32.Fontra.c / kompletter Computer anfänger

Plagegeister aller Art und deren Bekämpfung: Virus.Win32.Fontra.c / kompletter Computer anfänger