Mein Rechner war (?) mit dem Zlob infiziert.

Habe auf der HP von MS den Defender runtergeladen und installiert. Der bringt bei der Installation eine Fehlermeldung: “kann nicht aktualisiert werden“.

Dann habe ich mir Spybot geladen und installiert.
Der erste Scan brachte eine ganze Reihe von Funden, die ich von Spybot entfernen ließ. (leider ohne die Liste zu speichern, dachte es gibt automatisch ein Protokoll…).
Habe dann den Suchlauf nochmal gestartet, weil diese blinkende Icon mit der ominösen Warnmeldung immer noch da war. Allerdings, der Link führt ins Leere und nicht mehr zu ***.virusheat.com. Auch das Icon selbst hat sein Aussehen geändert, einmal leeres Viereck, blinkend Blase mit Fragezeichen.
Ergebnis das Scans:
„Win32.Renos“ --- C:\Windows\system32\kknwg.dll_old
Spybot versucht Beseitigung, allerdings scheinbar ohne Erfolg (Icon blinkt weiter)

Habe dann als nächstes einen Start im abgesicherten Modus machen wollen, um das Programm nochmal laufen zu lassen.
Abgesicherter Modus ließ sich mit F8 nicht erreichen.

Aber offenbar hatte ich mit Spybot Erfolg: Das Icon ist nach dem Neustart nun weg, erneuter Suchlauf bringt keine Funde mehr. Problem damit wohl gelöst.

Antivir brachte dann noch eine Reihe von Funden, die sich mit dieser Infektion in Verbindung bringen lassen.
Erstaunlich ist, daß Antivir vor der Reinigung mit Sopybot nichts gefunden hatte!

Es war sicher nicht falsch, Antivir danach nochmals laufen zu lassen - die Infektion war also doch ziemlich heftig, der Angriff kombiniert. Das hatte ich ja schon vermutet, weil zwei (konkurrierende) Aufforderungen zum Download von kostenpflichtiger Antispyware-Software erschienen.
In einem dieser Fenster stand "Donwload" ;-D

Dank an boston :-) der mir riet, trotz des scheinbaren Erfolges hier doch noch ein Logfile zu posten.

Hier also mein Scan, und soweit ich sehen konnte mußte ich nichts editieren (keine http enthalten):


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:53:20, on 04.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\ATKKBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\ahead\InCD\InCD.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
G:\Systemordner\ZSP\abc.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7C109800-A5D5-438F-9640-18D17E168B88} - C:\Programme\NetProject\sbmdl.dll (file missing)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Internet Service - {DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40} - C:\Programme\NetProject\wamdl.dll (file missing)
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Mobipocket Reader Notifications] C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Cyber-shot Viewer-Medien-Prüfung.lnk = C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .UVR: C:\Programme\Internet Explorer\Plugins\NPUPano.dll
O22 - SharedTaskScheduler: bimaculate - {d70e9b0f-aabc-4066-8176-c6de84d92fa1} - C:\WINDOWS\system32\kknwg.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 6209 bytes


Ich danke Euch für Eure Hilfe!

Hi,

mit HJ fixen:
Öffne das HijackThis -- Button "scan" -- vor den unten genannten Einträge(n) Häkchen setzen -- Button "Fix checked" -- PC neustarten
Achtung: Alle Anwendungen bis auf HJ müssen geschlossen sein, ein eventuell aktiver Teatimer von Spybot muss unbedingt deaktiviert sein!)

O3 - Toolbar: Internet Service - {DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40} - C:\Programme\NetProject\wamdl.dll (file missing)
O2 - BHO: (no name) - {7C109800-A5D5-438F-9640-18D17E168B88} - C:\Programme\NetProject\sbmdl.dll (file missing)
O22 - SharedTaskScheduler: bimaculate - {d70e9b0f-aabc-4066-8176-c6de84d92fa1} - C:\WINDOWS\system32\kknwg.dll (file missing)

Avira:
Stelle Avira wie folgt ein: http://www.trojaner-board.de/showthread.php?t=54192
Führe einen Systemscan durch und poste das Ergebnis!

Combofix
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Abgesicherter Modus reparieren:
Downloade SafeMode Repair.zip
http://www.hijackthis-forum.de/attachment.php?attachmentid=2272&d=1187631899
entpacke es auf Deinen Desktop, mach einen Doppelklick auf die neu entstandene RegDatei, um sie laufen zu lassen.
Klicke auf 'ok' > starte deinen Rechner in den normalen Modus auf.

chris

Danke.

Angegebene Dateien gefixt. Antivir war schon so eingestellt wie in der Anleitung empfohlen.
Suche nach Rootkits: keine Funde.

Systemcheck: keine Funde.

Der komplette Scan mit allen einzelnen geprüften Dateien paßt hier ja nicht rein. Was ist wichtig für die Diagnose?

Hier der Kopf:




AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Freitag, 4. April 2008 16:30

Es wird nach 1178038 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000zzzzzz-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: yyy
Computername: xxx

Versionsinformationen:
BUILD.DAT : 270 15603 Bytes 19.09.2007 13:29:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23.08.2007 13:16:24
AVSCAN.DLL : 7.0.6.0 57384 Bytes 14.08.2007 15:48:28
LUKE.DLL : 7.0.5.3 147496 Bytes 14.08.2007 15:32:43
LUKERES.DLL : 7.0.6.0 10792 Bytes 14.08.2007 15:49:04
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:27:15
ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07.03.2008 23:43:15
ANTIVIR2.VDF : 7.0.3.85 434176 Bytes 27.03.2008 13:44:38
ANTIVIR3.VDF : 7.0.3.116 147968 Bytes 03.04.2008 19:21:55
AVEWIN32.DLL : 7.6.0.80 3420672 Bytes 03.04.2008 19:21:55
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26.02.2007 10:36:23
AVPREF.DLL : 7.0.2.2 25640 Bytes 18.07.2007 07:16:50
AVREP.DLL : 7.0.0.1 155688 Bytes 16.04.2007 13:16:24
AVPACK32.DLL : 7.6.0.3 360488 Bytes 04.02.2008 18:44:59
AVREG.DLL : 7.0.1.6 30760 Bytes 18.07.2007 07:17:02
AVARKT.DLL : 1.0.0.20 278568 Bytes 28.08.2007 12:26:28
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18.07.2007 07:10:14
NETNT.DLL : 7.0.0.0 7720 Bytes 08.03.2007 11:09:03
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07.08.2007 12:37:51
RCTEXT.DLL : 7.0.62.0 90152 Bytes 21.08.2007 12:50:28
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23.07.2007 09:37:21

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Manuelle Auswahl
Konfigurationsdatei..............: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir PersonalEdition Classic\PROFILES\folder.avp
Protokollierung..................: hoch
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: G:,
Durchsuche Speicher..............: ein
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Freitag, 4. April 2008 16:30

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'c:\programme\avira\antivir personaledition classic\avscan.exe'
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe'
Durchsuche Prozess '_Geizkragen.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'c:\programme\greizkagen\_geizkragen.exe'
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\PROGRA~1\MOZILL~1\FIREFOX.EXE'
Durchsuche Prozess 'ONENOTEM.EXE' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE'
Durchsuche Prozess 'SPUVolumeWatcher.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe'
Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Spybot - Search & Destroy\TeaTimer.exe'
Durchsuche Prozess 'readernotify.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe'
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\ctfmon.exe'
Durchsuche Prozess 'MSASCui.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Windows Defender\MSASCui.exe'
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe'
Durchsuche Prozess 'Monitor.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe'
Durchsuche Prozess 'InCD.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\ahead\InCD\InCD.exe'
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\RUNDLL32.EXE'
Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\RTHDCPL.EXE'
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\Explorer.EXE'
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\System32\alg.exe'
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\nvsvc32.exe'
Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\ATKKBService.exe'
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe'
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe'
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\spoolsv.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\System32\svchost.exe'
Durchsuche Prozess 'MsMpEng.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Windows Defender\MsMpEng.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\lsass.exe'
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\services.exe'
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\winlogon.exe'
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\csrss.exe'
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\\System32\smss.exe'
Es wurden '33' Prozesse mit '33' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[HINWEIS] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'F:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'G:\'
[HINWEIS] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
C:\WINDOWS\
RTHDCPL.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RTHDCPL.EXE
C:\WINDOWS\
Alcmtr.exe
[HINWEIS] HKEY_LOCAL_MACHINE\ALCMTR.EXE
C:\WINDOWS\system32\
rundll32.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
C:\WINDOWS\system32\
nvcpl.dll
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
C:\WINDOWS\system32\
nwiz.exe
[HINWEIS] HKEY_LOCAL_MACHINE\nwiz.exe /install
C:\WINDOWS\system32\
rundll32.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
C:\WINDOWS\system32\
nvmctray.dll
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
C:\WINDOWS\system32\
NeroCheck.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\WINDOWS\system32\NeroCheck.exe
C:\Programme\ahead\InCD\
InCD.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\ahead\InCD\InCD.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\
Monitor.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\Programme\Canon\Easy-PrintToolBox\
BJPSMAIN.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
C:\WINDOWS\system32\
crypt32.dll
[HINWEIS] HKEY_LOCAL_MACHINE\crypt32.dll
C:\WINDOWS\system32\
cryptnet.dll
[HINWEIS] HKEY_LOCAL_MACHINE\cryptnet.dll
C:\WINDOWS\system32\
cscdll.dll
[HINWEIS] HKEY_LOCAL_MACHINE\cscdll.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
sclgntfy.dll
[HINWEIS] HKEY_LOCAL_MACHINE\sclgntfy.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\WlNotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
ctfmon.exe
[HINWEIS] HKEY_CURRENT_USER\C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mobipocket.com\Mobipocket Reader\
readernotify.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
C:\Programme\Spybot - Search & Destroy\
TeaTimer.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
Cyber-shot Viewer-Medien-Prüfung.lnk
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\Cyber-shot Viewer-Medien-Prüfung.lnk
C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\
SPUVolumeWatcher.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\Cyber-shot Viewer-Medien-Prüfung.lnk
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
C:\Programme\Microsoft Office\Office12\
ONENOTEM.EXE
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
C:\WINDOWS\system32\config\systemprofile\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_USERS\C:\WINDOWS\system32\config\systemprofile\Startmenü\Programme\Autostart\desktop.ini
Die Registry wurde durchsucht ( '38' Dateien ).



-----



und hier der Schwanz:



Ende des Suchlaufs: Freitag, 4. April 2008 16:43
Benötigte Zeit: 13:32 min

Der Suchlauf wurde vollständig durchgeführt.

2928 Verzeichnisse wurden überprüft
161355 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
84 Dateien konnten nicht durchsucht werden
161355 Dateien ohne Befall
1114 Archive wurden durchsucht
124 Warnungen
3 Hinweise


Von den nicht durchsuchten Dateien sind einige mit Paßwortschutz.


als nächstes folgt nun Combofix.

Hi,

soweit Ok, bitte noch ComboFix-Log...

chris

Hat etwas gedauert. War aber erst mal nicht erfolgreich:

habe Combofix geladen und auf Desktop gespeichert.

Beim Start bringt Avira drei Fundmeldungen:

C:\327882R2FWJFW\pv.cfexe enthält Signatur von SPR/TOOL.PV

(diese Meldung wird zweimal gebracht)

C:\327882R2FWJFW\psexec.cfexe enthält Signatur von APPL/Rmadmin.131072

Und Spybot meldet Zugriffsversuche:

Regdatei-Eintrag: GrpConv Wert -0

Command Processor Änderung: Wert gelöscht, Eintrag : AutoRun

Habe natürlich erstmal alles verweigert.


Bitte, sind das reguläre Bestandteile von Combofix? Soll ich den Zugriff jeweils erlauben?


Danke für Deine Geduld!

hallo, ralf,
die suche nach appl und spr, die auch nicht zur standardeinstellung gehört,
kannst du bei antivir deaktivieren.
extras, konfiguration, expertenmodus, allgemeines, erweiterte gefahrenkategorien.
information zu appl und spr findest du in der antivir-hilfe.
combofix kannst du bedenkenlos ausführen. bitte vorher alle programme, guards,
teatimer etc. beenden.

Hallo,

anbei des Scan. Hatte den Teatimer über den Task-Manager deaktiviert (hab im Programm selbst nicht gefunden, wie ich's hätte eleganter tun können :-/ ).

Deshalb meldete Spybot die Zugriffe von Combofix, die ich aber "erlaubte". Das Programm sollte deshalb so gelaufen sein, wie notwendig.





ComboFix 08-04-03.5 - Pro 2008-04-05 15:25:57.1 - NTFSx86
ausgeführt von:: C:\Dokumente und Einstellungen\Pro\Desktop\ComboFix.exe

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-03-05 bis 2008-04-05 ))))))))))))))))))))))))))))))
.

2008-03-31 11:46 . 2008-03-31 13:03 257 --a------ C:\WINDOWS\wininit.ini
2008-03-31 11:16 . 2008-03-31 11:16 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-03-31 11:16 . 2008-03-31 12:38 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-30 00:15 . 2008-03-30 00:15 <DIR> d-------- C:\Programme\Windows Defender
2008-03-29 14:38 . 2008-03-29 23:04 <DIR> d-------- C:\WINDOWS\system32\375013
2008-03-24 21:14 . 2008-03-24 21:14 <DIR> d-------- C:\Dokumente und Einstellungen\xxx\Anwendungsdaten\Ulead Systems
2008-03-15 22:48 . 2008-03-15 22:48 <DIR> d-------- C:\Programme\xp-AntiSpy

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-04-05 13:09 --------- d-----w C:\Programme\GEIZKRAGEN
2008-04-04 05:51 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-04-03 16:23 196,608 ----a-w C:\WINDOWS\system32\drivers\nStandard.bin
2008-04-03 11:31 --------- d-----w C:\Programme\Fractale
2008-03-29 08:54 --------- d-----w C:\Programme\Geizkragen
2008-03-01 14:03 --------- d-----w C:\Programme\fractalprogramm
2008-03-01 14:02 --------- d-----w C:\Programme\Neuer Ordner
2008-02-19 20:37 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-02-19 20:37 --------- d-----w C:\Programme\ElsterFormular
2008-02-17 17:13 --------- d-----w C:\Programme\PhotoEd
2008-02-10 19:47 --------- d-----w C:\Programme\IrfanView
2008-02-10 19:46 --------- d-----w C:\Programme\Seamonkey
2008-02-09 20:53 --------- d-----w C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\Ulead Systems
2008-02-07 17:20 --------- d-----w C:\Dokumente und Einstellungen\Pro\Anwendungsdaten\Ulead Systems
2008-02-06 18:39 --------- d-----w C:\Programme\ESET
2008-02-03 19:24 17,820,592 ----a-w C:\Programme\antivir_workstation_win7u_de_h.exe
2008-02-03 17:42 1,266,475 ----a-w C:\Programme\ilcr_405.exe
2008-02-01 00:28 315,392 ----a-w C:\WINDOWS\HideWin.exe
2006-11-06 07:33 9,526,992 ----a-w C:\Programme\FCE_Foto-Service_Rossmann.exe
2003-12-10 21:02 1,178,489 ----a-w C:\Programme\uswin2zip.exe
2003-01-13 09:59 278,528 ------w C:\Programme\internet explorer\plugins\PanoViewer.dll
1999-04-30 15:00 98,304 ------w C:\Programme\internet explorer\plugins\UPjpeg.dll
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{7C109800-A5D5-438F-9640-18D17E168B88}]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40}"= C:\Programme\NetProject\wamdl.dll [ ]

[HKEY_CLASSES_ROOT\clsid\{db9fba9d-ab1b-4cc6-9745-f3b549d64e40}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"Mobipocket Reader Notifications"="C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe" [2006-06-20 17:54 57344]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2007-05-10 12:08 16342528 C:\WINDOWS\RTHDCPL.exe]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-06-28 18:43 8466432]
"nwiz"="nwiz.exe" [2007-06-28 18:43 1626112 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-06-28 18:43 81920]
"ASUSGamerOSD"="C:\Program Files\ASUS\GamerOSD\GamerOSD.exe" [ ]
"NeroCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 11:50 155648]
"InCD"="C:\Programme\ahead\InCD\InCD.exe" [2001-12-05 02:42 868352]
"Ulead AutoDetector"="C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe" [2003-03-24 20:28 45056]
"Easy-PrintToolBox"="C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.exe" [2004-01-14 03:10 409600]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-04 20:44 249896]
"Windows Defender"="C:\Programme\Windows Defender\MSASCui.exe" [2006-11-03 20:20 866584]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

C:\Dokumente und Einstellungen\Pro\Startmen�\Programme\Autostart\
Cyber-shot Viewer-Medien-Pr�fung.lnk - C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe [2008-02-01 22:14:57 155648]
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk - C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE [2006-10-26 21:24:54 98632]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"MSVideo8"= VfWWDM32.dll
"msacm.scg726"= scg726.acm
"msacm.dvacm"= C:\PROGRA~1\GEMEIN~1\ULEADS~1\Vio\Dvacm.acm

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"C:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"C:\\Programme\\Geizkragen\\Geizkragen.exe"=
"C:\\WINDOWS\\system32\\sessmgr.exe"=

R0 BsStor;InCD Storage Helper Driver;C:\WINDOWS\system32\DRIVERS\bsstor.sys [2001-11-08 18:00]
R2 BsUDF;InCD UDF Driver;C:\WINDOWS\system32\drivers\BsUDF.sys [2001-12-05 02:31]
R3 asusgsb;ASUS Virtual Video Capture Device Driver;C:\WINDOWS\system32\drivers\asusgsb.sys [2007-07-12 11:03]
R3 Video3D;ASUS Video3D Service;C:\WINDOWS\system32\Drivers\Video3D32.sys [2007-07-12 11:03]
S3 SetupNTGLM7X;SetupNTGLM7X;D:\NTGLM7X.sys []

.
Inhalt des "geplante Tasks" Ordners
"2008-04-05 13:25:42 C:\WINDOWS\Tasks\MP Scheduled Scan.job"
- C:\Programme\Windows Defender\MpCmdRun.exe
.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-04-05 15:26:39
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-04-05 15:26:54
ComboFix-quarantined-files.txt 2008-04-05 13:26:46
6 Verzeichnis(se), 23,063,789,568 Bytes frei
9 Verzeichnis(se), 23,053,438,976 Bytes frei
.
2008-04-02 12:27:35 --- E O F ---



--------------------------------------------------------------------

Hoffe, das ist aussagekräftig genug.

Werde anschließend den abgesicherten Modus nach Anleitung reparieren.

Ich denke, die Systemwiederherstellung sollte ich erst nach überstandener Kur aktivieren.

Danke + einen schönen Tag!

Ralf

So, der abgesicherte Modus läßt sich auch wieder aktivieren.
Hat problemlos geklappt, habs auch getestet.
Die Repair.zip ist derart klein, da fragt sich der unbedarfte User, warum die überhaupt gezippt ist. Ob nun 2kB oder 4 kB heruntergeladen werden, ist sogar bei meiner Modem-Verbindung einerlei ;-)

Nach dem Lauf von ComboFix war plötzlich der IE als Standardbrowser eingestellt.
Ist ja weiter kein Problem, wirft nur eine Frage auf: Gibt es noch mehr individuelle Einstellungen, die ich wiederherstellen muß?


Schönen Tag!

Ralf

Hi,

der ist noch übrig...
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40}"= C:\Programme\NetProject\wamdl.dll [ ]

Wenn Du Dich mit dem Regedit auskennst, bitte den Eintrag darüber löschen, ansonsten ein Tool wie CCleaner benutzen und die Registery von "unnützen" Einträgen befreien lassen...

Gruß,
Chris

*schäm* den Eintrag hätte ich auch selbst entdecken können, wenn ich auch nicht weiß, was er bewirkt.

Habs über regedit gelöscht - hast es mir ja super genau beschrieben :-)

Hab den Conbofix nochmal laufen lassen - der bewußte Eintrag ist nun weg.

Werde als letztes die Systemwiederherstellung noch aktivieren.

Habt recht vielen Dank, und ich hoffe, ich muß nicht so bald wieder hierher.

Hab ja auch was dazugelernt. Werde für die "Kinder" einen Gastzugang einrichten, damit sowas nicht wieder so schnell passieren kann.

Liebe Grüße aus DD

Ralf

Hi,

nun ja, Netproject schmeisst mit Popups um sich...

Combofix bitte noch entfernen, da er täglich zusammengebaut wird ist er heute schon nicht mehr aktuell...

Start->ausführen "combofix /u" eingeben...

Gastzugang einrichten ist eine gute Idee, Firefox mit NoScript ist auch nicht schlecht ... ;o)

chris

Danke - ohne diesen Rat hätte ich den Combofix als "Reserve" behalten.

Ok, im Falle eines Falles bin ich eh wieder hier ;-)

Bin selbst auch in einem anderen Forum aktiv, wo gegenseitige Hilfe groß geschrieben wird, nur hat dieses Forum überhaupt nichts mit PCs zu tun ;-)

Danke also nochmals an euch beide!

Werde mich mal noch weiter hier umschauen. Vielleicht kann mir ja auch jemand helfen, den MS Photo-Editor zum Laufen zu bringen... aber das ist ein anderes Thema und ein anderes Unterforum ;-)

Ralf