Mein Rechner war (?) mit dem Zlob infiziert.

Habe auf der HP von MS den Defender runtergeladen und installiert. Der bringt bei der Installation eine Fehlermeldung: “kann nicht aktualisiert werden“.

Dann habe ich mir Spybot geladen und installiert.
Der erste Scan brachte eine ganze Reihe von Funden, die ich von Spybot entfernen ließ. (leider ohne die Liste zu speichern, dachte es gibt automatisch ein Protokoll…).
Habe dann den Suchlauf nochmal gestartet, weil diese blinkende Icon mit der ominösen Warnmeldung immer noch da war. Allerdings, der Link führt ins Leere und nicht mehr zu ***.virusheat.com. Auch das Icon selbst hat sein Aussehen geändert, einmal leeres Viereck, blinkend Blase mit Fragezeichen.
Ergebnis das Scans:
„Win32.Renos“ --- C:\Windows\system32\kknwg.dll_old
Spybot versucht Beseitigung, allerdings scheinbar ohne Erfolg (Icon blinkt weiter)

Habe dann als nächstes einen Start im abgesicherten Modus machen wollen, um das Programm nochmal laufen zu lassen.
Abgesicherter Modus ließ sich mit F8 nicht erreichen.

Aber offenbar hatte ich mit Spybot Erfolg: Das Icon ist nach dem Neustart nun weg, erneuter Suchlauf bringt keine Funde mehr. Problem damit wohl gelöst.

Antivir brachte dann noch eine Reihe von Funden, die sich mit dieser Infektion in Verbindung bringen lassen.
Erstaunlich ist, daß Antivir vor der Reinigung mit Sopybot nichts gefunden hatte!

Es war sicher nicht falsch, Antivir danach nochmals laufen zu lassen - die Infektion war also doch ziemlich heftig, der Angriff kombiniert. Das hatte ich ja schon vermutet, weil zwei (konkurrierende) Aufforderungen zum Download von kostenpflichtiger Antispyware-Software erschienen.
In einem dieser Fenster stand "Donwload" ;-D

Dank an boston :-) der mir riet, trotz des scheinbaren Erfolges hier doch noch ein Logfile zu posten.

Hier also mein Scan, und soweit ich sehen konnte mußte ich nichts editieren (keine http enthalten):


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:53:20, on 04.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\ATKKBService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\ahead\InCD\InCD.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Windows Defender\MSASCui.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
G:\Systemordner\ZSP\abc.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {7C109800-A5D5-438F-9640-18D17E168B88} - C:\Programme\NetProject\sbmdl.dll (file missing)
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: Internet Service - {DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40} - C:\Programme\NetProject\wamdl.dll (file missing)
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ASUSGamerOSD] C:\Program Files\ASUS\GamerOSD\GamerOSD.exe
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] C:\Programme\ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Mobipocket Reader Notifications] C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Cyber-shot Viewer-Medien-Prüfung.lnk = C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe
O4 - Startup: OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O12 - Plugin for .UVR: C:\Programme\Internet Explorer\Plugins\NPUPano.dll
O22 - SharedTaskScheduler: bimaculate - {d70e9b0f-aabc-4066-8176-c6de84d92fa1} - C:\WINDOWS\system32\kknwg.dll (file missing)
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 6209 bytes


Ich danke Euch für Eure Hilfe!

Hi,

mit HJ fixen:
Öffne das HijackThis -- Button "scan" -- vor den unten genannten Einträge(n) Häkchen setzen -- Button "Fix checked" -- PC neustarten
Achtung: Alle Anwendungen bis auf HJ müssen geschlossen sein, ein eventuell aktiver Teatimer von Spybot muss unbedingt deaktiviert sein!)

O3 - Toolbar: Internet Service - {DB9FBA9D-AB1B-4CC6-9745-F3B549D64E40} - C:\Programme\NetProject\wamdl.dll (file missing)
O2 - BHO: (no name) - {7C109800-A5D5-438F-9640-18D17E168B88} - C:\Programme\NetProject\sbmdl.dll (file missing)
O22 - SharedTaskScheduler: bimaculate - {d70e9b0f-aabc-4066-8176-c6de84d92fa1} - C:\WINDOWS\system32\kknwg.dll (file missing)

Avira:
Stelle Avira wie folgt ein: http://www.trojaner-board.de/showthread.php?t=54192
Führe einen Systemscan durch und poste das Ergebnis!

Combofix
Lade ComboFix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.
Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen
Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.

Abgesicherter Modus reparieren:
Downloade SafeMode Repair.zip
http://www.hijackthis-forum.de/attachment.php?attachmentid=2272&d=1187631899
entpacke es auf Deinen Desktop, mach einen Doppelklick auf die neu entstandene RegDatei, um sie laufen zu lassen.
Klicke auf 'ok' > starte deinen Rechner in den normalen Modus auf.

chris

Danke.

Angegebene Dateien gefixt. Antivir war schon so eingestellt wie in der Anleitung empfohlen.
Suche nach Rootkits: keine Funde.

Systemcheck: keine Funde.

Der komplette Scan mit allen einzelnen geprüften Dateien paßt hier ja nicht rein. Was ist wichtig für die Diagnose?

Hier der Kopf:




AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Freitag, 4. April 2008 16:30

Es wird nach 1178038 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000zzzzzz-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: yyy
Computername: xxx

Versionsinformationen:
BUILD.DAT : 270 15603 Bytes 19.09.2007 13:29:00
AVSCAN.EXE : 7.0.6.1 290856 Bytes 23.08.2007 13:16:24
AVSCAN.DLL : 7.0.6.0 57384 Bytes 14.08.2007 15:48:28
LUKE.DLL : 7.0.5.3 147496 Bytes 14.08.2007 15:32:43
LUKERES.DLL : 7.0.6.0 10792 Bytes 14.08.2007 15:49:04
ANTIVIR0.VDF : 6.40.0.0 11030528 Bytes 18.07.2007 14:27:15
ANTIVIR1.VDF : 7.0.3.2 5447168 Bytes 07.03.2008 23:43:15
ANTIVIR2.VDF : 7.0.3.85 434176 Bytes 27.03.2008 13:44:38
ANTIVIR3.VDF : 7.0.3.116 147968 Bytes 03.04.2008 19:21:55
AVEWIN32.DLL : 7.6.0.80 3420672 Bytes 03.04.2008 19:21:55
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26.02.2007 10:36:23
AVPREF.DLL : 7.0.2.2 25640 Bytes 18.07.2007 07:16:50
AVREP.DLL : 7.0.0.1 155688 Bytes 16.04.2007 13:16:24
AVPACK32.DLL : 7.6.0.3 360488 Bytes 04.02.2008 18:44:59
AVREG.DLL : 7.0.1.6 30760 Bytes 18.07.2007 07:17:02
AVARKT.DLL : 1.0.0.20 278568 Bytes 28.08.2007 12:26:28
AVEVTLOG.DLL : 7.0.0.20 86056 Bytes 18.07.2007 07:10:14
NETNT.DLL : 7.0.0.0 7720 Bytes 08.03.2007 11:09:03
RCIMAGE.DLL : 7.0.1.30 2342952 Bytes 07.08.2007 12:37:51
RCTEXT.DLL : 7.0.62.0 90152 Bytes 21.08.2007 12:50:28
SQLITE3.DLL : 3.3.17.1 339968 Bytes 23.07.2007 09:37:21

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Manuelle Auswahl
Konfigurationsdatei..............: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir PersonalEdition Classic\PROFILES\folder.avp
Protokollierung..................: hoch
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: löschen
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: G:,
Durchsuche Speicher..............: ein
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: hoch
Abweichende Gefahrenkategorien...: +APPL,+GAME,+JOKE,+PCK,+SPR,

Beginn des Suchlaufs: Freitag, 4. April 2008 16:30

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'c:\programme\avira\antivir personaledition classic\avscan.exe'
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe'
Durchsuche Prozess '_Geizkragen.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'c:\programme\greizkagen\_geizkragen.exe'
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\PROGRA~1\MOZILL~1\FIREFOX.EXE'
Durchsuche Prozess 'ONENOTEM.EXE' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE'
Durchsuche Prozess 'SPUVolumeWatcher.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\SPUVolumeWatcher.exe'
Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Spybot - Search & Destroy\TeaTimer.exe'
Durchsuche Prozess 'readernotify.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe'
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\ctfmon.exe'
Durchsuche Prozess 'MSASCui.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Windows Defender\MSASCui.exe'
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe'
Durchsuche Prozess 'Monitor.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe'
Durchsuche Prozess 'InCD.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\ahead\InCD\InCD.exe'
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\RUNDLL32.EXE'
Durchsuche Prozess 'RTHDCPL.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\RTHDCPL.EXE'
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\Explorer.EXE'
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\System32\alg.exe'
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\nvsvc32.exe'
Durchsuche Prozess 'ATKKBService.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\ATKKBService.exe'
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe'
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe'
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\spoolsv.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\System32\svchost.exe'
Durchsuche Prozess 'MsMpEng.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\Programme\Windows Defender\MsMpEng.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\svchost.exe'
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\lsass.exe'
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\services.exe'
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\winlogon.exe'
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\system32\csrss.exe'
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Modul ist OK -> 'C:\WINDOWS\\System32\smss.exe'
Es wurden '33' Prozesse mit '33' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[HINWEIS] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'F:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'G:\'
[HINWEIS] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
C:\WINDOWS\
RTHDCPL.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RTHDCPL.EXE
C:\WINDOWS\
Alcmtr.exe
[HINWEIS] HKEY_LOCAL_MACHINE\ALCMTR.EXE
C:\WINDOWS\system32\
rundll32.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
C:\WINDOWS\system32\
nvcpl.dll
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
C:\WINDOWS\system32\
nwiz.exe
[HINWEIS] HKEY_LOCAL_MACHINE\nwiz.exe /install
C:\WINDOWS\system32\
rundll32.exe
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
C:\WINDOWS\system32\
nvmctray.dll
[HINWEIS] HKEY_LOCAL_MACHINE\RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
C:\WINDOWS\system32\
NeroCheck.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\WINDOWS\system32\NeroCheck.exe
C:\Programme\ahead\InCD\
InCD.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\ahead\InCD\InCD.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\
Monitor.exe
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\WINDOWS\
Explorer.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\Programme\Canon\Easy-PrintToolBox\
BJPSMAIN.EXE
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
C:\WINDOWS\system32\
crypt32.dll
[HINWEIS] HKEY_LOCAL_MACHINE\crypt32.dll
C:\WINDOWS\system32\
cryptnet.dll
[HINWEIS] HKEY_LOCAL_MACHINE\cryptnet.dll
C:\WINDOWS\system32\
cscdll.dll
[HINWEIS] HKEY_LOCAL_MACHINE\cscdll.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
sclgntfy.dll
[HINWEIS] HKEY_LOCAL_MACHINE\sclgntfy.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\WlNotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
wlnotify.dll
[HINWEIS] HKEY_LOCAL_MACHINE\wlnotify.dll
C:\WINDOWS\system32\
ctfmon.exe
[HINWEIS] HKEY_CURRENT_USER\C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mobipocket.com\Mobipocket Reader\
readernotify.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Programme\Mobipocket.com\Mobipocket Reader\readernotify.exe
C:\Programme\Spybot - Search & Destroy\
TeaTimer.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_LOCAL_MACHINE\C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
Cyber-shot Viewer-Medien-Prüfung.lnk
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\Cyber-shot Viewer-Medien-Prüfung.lnk
C:\Programme\Sony\Sony Picture Utility\VolumeWatcher\
SPUVolumeWatcher.exe
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\Cyber-shot Viewer-Medien-Prüfung.lnk
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\WINDOWS\system32\
desktop.ini
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\desktop.ini
C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\
OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
C:\Programme\Microsoft Office\Office12\
ONENOTEM.EXE
[HINWEIS] HKEY_CURRENT_USER\C:\Dokumente und Einstellungen\Pro\Startmenü\Programme\Autostart\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk
C:\WINDOWS\system32\config\systemprofile\Startmenü\Programme\Autostart\
desktop.ini
[HINWEIS] HKEY_USERS\C:\WINDOWS\system32\config\systemprofile\Startmenü\Programme\Autostart\desktop.ini
Die Registry wurde durchsucht ( '38' Dateien ).



-----



und hier der Schwanz:



Ende des Suchlaufs: Freitag, 4. April 2008 16:43
Benötigte Zeit: 13:32 min

Der Suchlauf wurde vollständig durchgeführt.

2928 Verzeichnisse wurden überprüft
161355 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
84 Dateien konnten nicht durchsucht werden
161355 Dateien ohne Befall
1114 Archive wurden durchsucht
124 Warnungen
3 Hinweise


Von den nicht durchsuchten Dateien sind einige mit Paßwortschutz.


als nächstes folgt nun Combofix.

Hi,

soweit Ok, bitte noch ComboFix-Log...

chris

Hat etwas gedauert. War aber erst mal nicht erfolgreich:

habe Combofix geladen und auf Desktop gespeichert.

Beim Start bringt Avira drei Fundmeldungen:

C:\327882R2FWJFW\pv.cfexe enthält Signatur von SPR/TOOL.PV

(diese Meldung wird zweimal gebracht)

C:\327882R2FWJFW\psexec.cfexe enthält Signatur von APPL/Rmadmin.131072

Und Spybot meldet Zugriffsversuche:

Regdatei-Eintrag: GrpConv Wert -0

Command Processor Änderung: Wert gelöscht, Eintrag : AutoRun

Habe natürlich erstmal alles verweigert.


Bitte, sind das reguläre Bestandteile von Combofix? Soll ich den Zugriff jeweils erlauben?


Danke für Deine Geduld!

hallo, ralf,
die suche nach appl und spr, die auch nicht zur standardeinstellung gehört,
kannst du bei antivir deaktivieren.
extras, konfiguration, expertenmodus, allgemeines, erweiterte gefahrenkategorien.
information zu appl und spr findest du in der antivir-hilfe.
combofix kannst du bedenkenlos ausführen. bitte vorher alle programme, guards,
teatimer etc. beenden.