Kann bitte jemand meine Log-Datei auswerten? Problem mit Zlob.Downloader.vcd

sushi14

Hallo Sabina,

vielen Dank für Deine Tips!!!!
Hier sind jetzt meine Dateien.

smitfraudfix:

SmitFraudFix v2.301

Scan done at 13:13:35,04, 14.03.2008
Run from
C:\Dokumente und Einstellungen\XXX\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe
C:\Programme\Microsoft ActiveSync\wcescomm.exe
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexStoreSvr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts

hosts file corrupted !

127.0.0.1 wxw.legal-at-spybot.info
127.0.0.1 legal-at-spybot.info

»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles






»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\XXX~1\FAVORI~1

C:\DOKUME~1\XXX~1\FAVORI~1\Error Cleaner.url FOUND !
C:\DOKUME~1\XXX~1\FAVORI~1\Privacy Protector.url FOUND !
C:\DOKUME~1\XXX~1\FAVORI~1\Spyware?Malware Protection.url FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» Desktop

C:\DOKUME~1\XXX~1\Desktop\Error Cleaner.url FOUND !
C:\DOKUME~1\XXX~1\Desktop\Privacy Protector.url FOUND !
C:\DOKUME~1\XXX~1\Desktop\Spyware?Malware Protection.url FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"


»»»»»»»»»»»»»»»»»»»»»»»» IEDFix
!!!Attention, following keys are not inevitably infected!!!

IEDFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» VACFix
!!!Attention, following keys are not inevitably infected!!!

VACFix
Credits: Malware Analysis & Diagnostic
Code: S!Ri

[!] Suspicious: bokpkov.dll
SSODL: bokpkov - {79BA2B03-DB58-41C2-A015-557B92BD559F}

[!] Suspicious: altvxvm.dll
SSODL: altvxvm - {CB49A1C9-68FF-4DA2-A790-3B0381452800}


»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: Realtek RTL8139-Familie-PCI-Fast Ethernet-NIC - Paketplaner-Miniport
DNS Server Search Order: 192.168.2.1

HKLM\SYSTEM\CCS\Services\Tcpip\..\{A90BBF38-4812-4910-813C-DB435338C8B3}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{A90BBF38-4812-4910-813C-DB435338C8B3}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS3\Services\Tcpip\..\{A90BBF38-4812-4910-813C-DB435338C8B3}: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CCS\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1
HKLM\SYSTEM\CS3\Services\Tcpip\Parameters: DhcpNameServer=192.168.2.1


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End



combofix:


ComboFix 08-03-13.4 - Nicole & Ändy 2008-03-14 13:48:14.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.303 [GMT 1:00]
ausgeführt von:: F:\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-02-14 bis 2008-03-14 ))))))))))))))))))))))))))))))
.

2008-03-14 13:19 . 2008-03-14 13:19 <DIR> dr------- C:\Dokumente und Einstellungen\Administrator\Eigene Dateien
2008-03-14 13:17 . 2007-02-15 19:22 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Vorlagen
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> dr------- C:\Dokumente und Einstellungen\Administrator\Startmenü
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Netzwerkumgebung
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> d-------- C:\Dokumente und Einstellungen\Administrator\Favoriten
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Druckumgebung
2008-03-14 13:17 . 2001-02-16 14:57 <DIR> dr-h----- C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten
2008-03-14 13:13 . 2008-03-14 13:25 1,666 --a------ C:\WINDOWS\system32\tmp.reg
2008-03-12 12:03 . 2008-03-12 12:03 85 --a------ C:\WINDOWS\wininit.ini
2008-03-12 11:25 . 2008-03-12 11:25 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-03-12 11:25 . 2008-03-12 12:04 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-11 19:29 . 2008-03-11 18:00 86,016 --a------ C:\WINDOWS\fmsxwqs.exe
2008-02-17 13:50 . 2008-03-13 16:26 <DIR> d-------- C:\Programme\Kyodai Mahjongg 2006
2008-02-17 13:41 . 2008-02-17 13:41 <DIR> d-------- C:\Programme\Zylom Games
2008-02-17 13:41 . 2008-02-17 13:41 <DIR> d-------- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Zylom
2008-02-17 13:41 . 2008-02-17 13:41 <DIR> d-------- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Zylom
2008-02-17 13:41 . 2008-02-17 13:41 <DIR> d-------- C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Zylom
2008-02-17 13:41 . 2008-02-17 13:41 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Zylom

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2012-12-27 12:15 --------- d-----w C:\Programme\Microsoft ActiveSync
2012-12-12 19:20 --------- d-----w C:\Programme\City Interactive
2008-08-13 07:25 --------- d-----w C:\Programme\Disc2Phone
2008-08-11 22:38 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Apple Computer
2008-03-13 15:26 --------- d-----w C:\Programme\ZC2.10
2008-03-13 15:26 --------- d-----w C:\Programme\Windows Media Connect 2
2008-02-13 17:16 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-02-13 17:08 --------- d-----w C:\Programme\EA Games
2008-02-03 12:31 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\MyPhoneExplorer
2008-02-03 12:31 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\MyPhoneExplorer
2008-02-03 12:31 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\MyPhoneExplorer
2008-01-24 16:56 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\BonkEnc
2008-01-24 16:56 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\BonkEnc
2008-01-24 16:56 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\BonkEnc
2008-01-24 15:47 --------- d-----w C:\Programme\BonkEnc
2008-01-24 15:45 --------- d-----w C:\Programme\Texas Hold'em Poker
2008-01-24 15:45 --------- d-----w C:\Programme\SuDoku Pro Trial Version
2008-01-24 15:45 --------- d-----w C:\Programme\MyPhoneExplorer
2008-01-24 15:42 --------- d-----w C:\Programme\NCH Software
2008-01-24 15:41 --------- d-----w C:\Programme\NCH Swift Sound
2008-01-24 15:41 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\NCH Swift Sound
2008-01-24 15:41 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\NCH Swift Sound
2008-01-24 15:41 --------- d-----w C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\NCH Swift Sound
2005-05-13 16:12 217,073 --sha-r C:\WINDOWS\meta4.exe
2005-10-24 10:13 66,560 --sha-r C:\WINDOWS\MOTA113.exe
2005-10-13 20:27 422,400 --sha-r C:\WINDOWS\x2.64.exe
2005-10-07 18:14 308,224 --sha-r C:\WINDOWS\system32\avisynth.dll
2005-07-14 11:31 27,648 --sha-r C:\WINDOWS\system32\AVSredirect.dll
2005-06-26 14:32 616,448 --sha-r C:\WINDOWS\system32\cygwin1.dll
2005-06-21 21:37 45,568 --sha-r C:\WINDOWS\system32\cygz.dll
2004-01-24 23:00 70,656 --sha-r C:\WINDOWS\system32\i420vfw.dll
2006-04-27 09:24 2,945,024 --sha-r C:\WINDOWS\system32\Smab.dll
2005-02-28 12:16 240,128 --sha-r C:\WINDOWS\system32\x.264.exe
2004-01-24 23:00 70,656 --sha-r C:\WINDOWS\system32\yv12vfw.dll
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 08:57 15360]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2004-10-13 17:24 1694208]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2006-08-30 15:05 139264]
"AnyDVD"="C:\Programme\SlySoft\AnyDVD\AnyDVD.exe" [2007-06-21 10:09 1384136]
"H/PC Connection Agent"="C:\Programme\Microsoft ActiveSync\wcescomm.exe" [2006-06-21 01:00 1211176]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2007-10-17 18:07 249896]
"NWEReboot"="" []
"Adobe Photo Downloader"="C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe" [2005-06-23 20:33 57344]
"NeroFilterCheck"="C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 16:40 155648]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 08:57 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\Programme\Microsoft ActiveSync\rapimgr.exe"= C:\Programme\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager
"C:\Programme\Microsoft ActiveSync\wcescomm.exe"= C:\Programme\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"C:\Programme\Microsoft ActiveSync\WCESMgr.exe"= C:\Programme\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\drivers\avgntmgr.sys [2007-10-17 18:08]
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys [2007-10-17 18:08]
S3 se44bus;Sony Ericsson Device 068 driver (WDM);C:\WINDOWS\system32\DRIVERS\se44bus.sys [2006-11-30 14:58]
S3 se44mdfl;Sony Ericsson Device 068 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\se44mdfl.sys [2006-11-30 14:58]
S3 se44mdm;Sony Ericsson Device 068 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\se44mdm.sys [2006-11-30 14:58]
S3 se44mgmt;Sony Ericsson Device 068 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\se44mgmt.sys [2006-11-30 14:58]
S3 se44nd5;Sony Ericsson Device 068 USB Ethernet Emulation SEMC44 (NDIS);C:\WINDOWS\system32\DRIVERS\se44nd5.sys [2006-11-30 14:58]
S3 se44obex;Sony Ericsson Device 068 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\se44obex.sys [2006-11-30 14:58]
S3 se44unic;Sony Ericsson Device 068 USB Ethernet Emulation SEMC44 (WDM);C:\WINDOWS\system32\DRIVERS\se44unic.sys [2006-11-30 14:58]

.
Inhalt des "geplante Tasks" Ordners
"2008-03-11 16:07:04 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-14 13:50:44
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-03-14 13:51:38
.
2008-03-12 11:31:21 --- E O F ---



Bei dem smitfraudfix habe ich auch noch eine 2. Datei bekommen nachdem ich den Befehl "Clean" ausgeführt hatte, wird diese auch noch benötigt??

Vielen Dank, ich kenne mich leider fast gar nicht damit aus