Ich kann leider vorerst nur die log von Virustotal vorbringen, da Combofix nicht so ganz will.

Wenn ich es ausführen möchte, kommt die Meldung "Installation Fehlgeschlagen".
Hab nun versucht alle zu Combofix gehörenden Daten zu löschen und es erneut auszuführen - selbes Ergebnis.


Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.10.0 2008.05.13 -
AntiVir 7.8.0.17 2008.05.13 -
Authentium 5.1.0.4 2008.05.13 -
Avast 4.8.1195.0 2008.05.13 -
AVG 7.5.0.516 2008.05.13 -
BitDefender 7.2 2008.05.08 -
CAT-QuickHeal 9.50 2008.05.13 -
ClamAV 0.92.1 2008.05.13 -
DrWeb 4.44.0.09170 2008.05.13 -
eSafe 7.0.15.0 2008.05.13 -
eTrust-Vet 31.4.5783 2008.05.12 -
Ewido 4.0 2008.05.13 -
F-Prot 4.4.2.54 2008.05.13 -
F-Secure 6.70.13260.0 2008.05.13 -
Fortinet 3.14.0.0 2008.05.13 -
GData 2.0.7306.1023 2008.05.13 -
Ikarus T3.1.1.26.0 2008.05.13 Trojan.Win32.Vundo.AF
Kaspersky 7.0.0.125 2008.05.13 -
McAfee 5294 2008.05.13 -
Microsoft 1.3520 2008.05.13 Trojan:Win32/Vundo.AF
NOD32v2 3096 2008.05.13 -
Norman 5.80.02 2008.05.13 -
Panda 9.0.0.4 2008.05.12 Suspicious file
Prevx1 V2 2008.05.13 Malicious Software
Rising 20.44.12.00 2008.05.13 -
Sophos 4.29.0 2008.05.13 -
Sunbelt 3.0.1114.0 2008.05.12 -
Symantec 10 2008.05.13 -
TheHacker 6.2.92.309 2008.05.13 -
VBA32 3.12.6.6 2008.05.13 -
VirusBuster 4.3.26:9 2008.05.13 -
Webwasher-Gateway 6.6.2 2008.05.13 Win32.Malware.gen!80 (suspicious)
weitere Informationen
File size: 131584 bytes
MD5...: 3c0b745c1729aaf821cd19897c65dbfe
SHA1..: 6ed808d8547e3d177e783c351dadba48a0051ef2
SHA256: 82f50289c23d6351368b3256c60411e2093da05b1917626b79a8a8361c1e2f6c
SHA512: 0b3ee8825e296159d53bbe16763863d9df07e6daa606171b69501ab08810c7aa
e78151438c919a9e91518581871cb88390c675ff23418379a042a244869acb6b
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10001002
timedatestamp.....: 0x478a2fee (Sun Jan 13 15:36:14 2008)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x81d8 0x8200 7.21 39c0dacaf923485c2f259207b04a9dd1
.rdata 0xa000 0x10736 0x10800 7.99 3cfcdf6240bbf508ea90920a8924a1bb
.data 0x1b000 0x16745 0x7400 7.95 91b6739439938e03aee531359f168a59

( 2 imports )
> user32.dll: DispatchMessageA, CreatePopupMenu, CreateIconFromResourceEx, CreateDialogIndirectParamA, CharPrevA, CharLowerA
> kernel32.dll: GetSystemTime, lstrlenA, lstrcpyA, lstrcatA, VirtualAlloc, TlsSetValue, TlsFree, CompareStringA, EnumResourceLanguagesA, EnumResourceNamesA, ExitThread, FindResourceA, FreeResource, GetCommandLineA, GetDateFormatA, GetModuleHandleA, GetSystemTimeAsFileTime, GetVersionExA, LoadLibraryA, LoadResource, RaiseException, ReadFile, SleepEx, TlsAlloc

( 0 exports )
Prevx info: 58906499.SVD - Prevx

Leiste bitte erstmal etwas vorarbeit und hake folgendes in HijackThis an und druecke fix checked:

O2 - BHO: (no name) - {07003550-8662-45E3-B992-BB55F51BDA08} - C:\WINDOWS\system32\vtUopMDu.dll (file missing) -
O2 - BHO: {44eb037f-255a-3ec9-c314-7605c09bcf45} - {54fcb90c-5067-413c-9ce3-a552f730be44} - C:\WINDOWS\system32\hexagssd.dll
O2 - BHO: (no name) - {E243A8E7-6244-49E0-A361-22DBF30FD46C} - C:\WINDOWS\system32\ddcCSIBQ.dll -
O4 - HKLM\..\Run: [BMeff574ad] Rundll32.exe "C:\WINDOWS\system32\ojqlbdre.dll",s -
O4 - HKLM\..\RunOnce: [SpybotDeletingA241] command /c del "C:\WINDOWS\system32\Sys32\NBKR.006"
O4 - HKLM\..\RunOnce: [SpybotDeletingC7386] cmd /c del "C:\WINDOWS\system32\Sys32\NBKR.006"
O4 - HKLM\..\RunOnce: [SpybotDeletingA2968] command /c del "C:\WINDOWS\system32\Sys32\NBKR.007"
O4 - HKLM\..\RunOnce: [SpybotDeletingC4743] cmd /c del "C:\WINDOWS\system32\Sys32\NBKR.007"
O4 - HKLM\..\RunOnce: [SpybotDeletingA446] command /c del "C:\WINDOWS\system32\vtUopMDu.dll_old"
O4 - HKLM\..\RunOnce: [SpybotDeletingC7232] cmd /c del "C:\WINDOWS\system32\vtUopMDu.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingB449] command /c del "C:\WINDOWS\system32\Sys32\NBKR.006"
O4 - HKCU\..\RunOnce: [SpybotDeletingD3689] cmd /c del "C:\WINDOWS\system32\Sys32\NBKR.006"
O4 - HKCU\..\RunOnce: [SpybotDeletingB8697] command /c del "C:\WINDOWS\system32\Sys32\NBKR.007"
O4 - HKCU\..\RunOnce: [SpybotDeletingD8836] cmd /c del "C:\WINDOWS\system32\Sys32\NBKR.007"
O4 - HKCU\..\RunOnce: [SpybotDeletingB838] command /c del "C:\WINDOWS\system32\vtUopMDu.dll_old"
O4 - HKCU\..\RunOnce: [SpybotDeletingD2816] cmd /c del "C:\WINDOWS\system32\vtUopMDu.dll_old"
O4 - HKUS\S-1-5-19\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [tscuninstall] %systemroot%\system32\tscupgrd.exe (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_3] rundll32 advpack.dll,LaunchINFSectionEx nLite.inf,C,,4,N (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\RunOnce: [TSClientMSIUninstaller] cmd.exe /C "cscript %systemroot%\Installer\TSClientMsiTrans\tscuinst.v bs" (User 'Default user')
O20 - Winlogon Notify: ddcCSIBQ - C:\WINDOWS\SYSTEM32\ddcCSIBQ.dll
O23 - Service: VNC Server Version 4 (WinVNC4) - RealVNC Ltd. - C:\Programme\RealVNC\VNC4\WinVNC4.exe

Bevor du auf fix checked drueckst, musst du den Teatimer deaktivieren. Dann starte neu. Es werden nicht alle Eintraege verschwunden sein, aber das ist in Ordnung. Solltest du VNC gebrauchen, kannst du es nach der Reinigung via HijackThis Backups wieder aktivieren.

Dann deaktiviere wieder den Teatimer und deaktiviere deinen Bitdefender Hintergrundwaechter.

Lade dir eine neue combofix.exe auf deinem Desktop herunter. Jetzt gebe unter Start/Ausfuehren folgendes ein und druecke enter:

"C:\Dokumente und Einstellungen\%username%\Desktop\combofix.exe" /killall

Laeuft Combofix nun, oder gibt es erneut eine Fehlermeldung? Wenn ja, poste den erstellten Report sowie auf jeden Fall ein neues aktuelles HijackThis log