TR/Cryo.XPACK.Gen,TR/Vundo.Gen, Virtumondo etc.

RobKll

Hi,
habe seit einigen Tagen massive Probleme mit Trojaner.
AntiVir meldet bei jedem Programmstart oft mehrfach TR/Crypt.XPACK.Gen Befall, manchmal auch TR/Vundo.Gen Befall. SPYBOT&Destroy findet Vitumondo bzw. Virtumondo.dll.
Bei mehrfache Scanläufe und Entfernen mit SBD wurde einige Dateien gefunden und entfernt, bleibt der Befall.
Scanläufe mit SDFix.exe und ComboFix.exe, wie im Thread "TR/Vundo.Gen, Vundo.AG, Crypt.XPACK.Gen usw." beschrieben, waren letztlich auch nicht erfolgreich.

Bitte um dringende Hilfe !!

Nachfolgend mein HijackThis Logfile:



[edit]
Bitte editiere zukünftig deine Links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

Danke.
Sunny
[/edit]


Das Logfile von ComboFix.exe sieht so aus:
ComboFix 08-05-15.3 - **** 2008-05-17 14:22:59.3 - NTFSx86
Microsoft Windows XP Home Edition
ausgeführt von:: C:\Dokumente und Einstellungen\****\Desktop\ComboFix.exe
.
(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\gfNVCcdd.ini
C:\WINDOWS\system32\gfNVCcdd.ini2
C:\WINDOWS\system32\qdrnraoj.ini
.
((((((((((((((((((((((( Dateien erstellt von 2008-04-17 bis 2008-05-17 ))))))))))))))))))))))))))))))
.
2008-05-17 11:33 . 2008-05-17 11:34 370,176 --a------ C:\WINDOWS\system32\efcYRJYR.VIR
2008-05-17 10:56 . 2008-05-17 10:56 <DIR> d-------- C:\WINDOWS\ERUNT
2008-05-17 10:49 . 2008-05-17 14:11 <DIR> d-------- C:\SDFix
2008-05-17 08:55 . 2008-05-17 08:55 20 --a------ C:\WINDOWS\system32\20d35834
2008-05-17 07:24 . 2008-05-17 07:24 115,776 --a------ C:\WINDOWS\system32\xgmomcvk.VIR
2008-05-12 20:11 . 2008-05-17 13:41 211 --a------ C:\WINDOWS\wininit.ini
2008-05-12 19:58 . 2008-05-12 19:59 124,416 --a------ C:\WINDOWS\system32\ryeugwvs.dll
2008-05-12 18:56 . 2008-05-17 14:29 54,156 --ah----- C:\WINDOWS\QTFont.qfn
2008-05-12 18:56 . 2008-05-17 14:24 1,409 --a------ C:\WINDOWS\QTFont.for
2008-05-12 18:33 . 2008-05-12 18:29 691,545 --a------ C:\WINDOWS\unins000.exe
2008-05-12 18:33 . 2008-05-12 18:33 2,570 --a------ C:\WINDOWS\unins000.dat
2008-05-12 08:01 . 2008-05-12 08:01 134,656 --a------ C:\WINDOWS\system32\occbctrb.dll
2008-05-12 08:01 . 2008-05-12 08:01 2,048 --a------ C:\WINDOWS\system32\xmmuuatf.VIR
2008-05-12 07:57 . 2008-05-17 12:01 109,807 --a------ C:\WINDOWS\BM23e07926.xml
2008-05-12 07:50 . 2008-05-12 07:50 52,736 --------- C:\WINDOWS\system32\opnooOfF.dll
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-12 19:11 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-05-08 11:58 --------- d-----w C:\Dokumente und Einstellungen\*****\Anwendungsdaten\AdobeUM
2008-04-17 15:35 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
.
------- Sigcheck -------
2004-08-04 08:00 29056 4448006b6bc60e6c027932cfc38d6855 C:\WINDOWS\SoftwareDistribution\Download\fa6fb01ac82a6e60ca928c584157ebda\ip6fw.sys
2003-06-30 16:35 29952 eddca9c72f1e7f2e2e2ab6ad7106c4a5 C:\WINDOWS\system32\drivers\ip6fw.sys
.
((((((((((((((((((((((((((((( snapshot@2008-05-17_11.34.14.76 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-05-17 09:27:24 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-05-17 12:26:59 2,048 --s-a-w C:\WINDOWS\bootstat.dat
- 2008-05-17 08:56:27 5,349,376 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000001\ntuser.dat
+ 2008-05-17 11:54:39 4,984,832 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000001\ntuser.dat
- 2008-05-17 08:56:27 12,288 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000002\UsrClass.dat
+ 2008-05-17 11:54:39 8,192 ----a-w C:\WINDOWS\ERUNT\SDFIX\Users\00000002\UsrClass.dat
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{382CA4F5-CD60-4BEC-8299-6C808211574D}]
C:\WINDOWS\System32\efcBrRJY.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{4dcbdaf1-7016-4f67-a652-80b80fed5e87}]
C:\WINDOWS\System32\vymmqwdc.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{6162CD4C-F1D1-4275-9E91-1171C00CBA44}]
C:\WINDOWS\System32\ddcCVNfg.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{78C22FBA-9797-4E5F-BC39-1FB9AC58B7E5}]
C:\WINDOWS\System32\msdtctmd.dll
[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{F9DF827A-8FA7-48A3-B268-CA4DB563EA40}]
2008-05-12 07:50 52736 --------- C:\WINDOWS\System32\opnooOfF.dll
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Regstr"="C:\WINDOWS\System32\strlogcon.exe" [ ]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="nwiz.exe" [2003-07-28 15:19 323584 C:\WINDOWS\system32\nwiz.exe]
"NeroCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 10:50 155648]
"AS00_Gear311T"="D:\NETGEAR\WG311TSU\Utility\Gear311T.exe" [2003-12-04 16:13 450560]
"avgnt"="I:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-17 12:55 262401]
"SoundMan"="SOUNDMAN.EXE" [2005-08-17 12:39 90112 C:\WINDOWS\soundman.exe]
"20d34aba"="C:\WINDOWS\System32\joarnrdq.dll" [ ]
"QuickTime Task"="D:\QuickTime\qttask.exe" [2003-11-06 20:23 77824]
"BM23e07926"="C:\WINDOWS\System32\mabahiax.dll" [ ]
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"NvMediaCenter"="C:\WINDOWS\System32\NVMCTRAY.DLL" [2003-07-28 15:19 49152]
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{F9DF827A-8FA7-48A3-B268-CA4DB563EA40}"= C:\WINDOWS\System32\opnooOfF.dll [2008-05-12 07:50 52736]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\opnooOfF]
opnooOfF.dll 2008-05-12 07:50 52736 C:\WINDOWS\system32\opnooOfF.dll
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"SENTINEL"= snti386.dll
"MSACM.CEGSM"= mobilev.acm
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Component Manager]
--a------ 2004-05-12 16:18 241664 C:\Programme\HP\hpcoretech\hpcmpmgr.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HPDJ Taskbar Utility]
--a------ 2001-11-20 05:07 196608 C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--------- 2002-08-20 15:08 1511453 C:\Programme\Messenger\msmsgs.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2003-11-06 20:23 77824 D:\QuickTime\qttask.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RaidTool]
-ra------ 2005-06-20 12:53 1056768 C:\Programme\VIA\RAID\raid_tool.exe
[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
-ra------ 2005-08-17 12:39 90112 C:\WINDOWS\soundman.exe
[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"CTFMON.EXE"=C:\WINDOWS\System32\ctfmon.exe
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" /background
"updateMgr"=D:\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe AcRdB0_0_0 -reboot 1
"winshost.exe"=C:\WINDOWS\System32\winshost.exe
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"HPDJ Taskbar Utility"=C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb04.exe
"NvCplDaemon"=RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
"QuickTime Task"="D:\QuickTime\qttask.exe" -atboottime
"SunJavaUpdateSched"=C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
R0 avgntmgr;avgntmgr;C:\WINDOWS\System32\drivers\avgntmgr.sys [2008-04-17 12:55]
R0 BsStor;InCD Storage Helper Driver;C:\WINDOWS\System32\DRIVERS\bsstor.sys [2002-06-06 01:07]
R1 avgntdd;avgntdd;C:\WINDOWS\System32\DRIVERS\avgntdd.sys [2008-04-17 12:55]
R2 BsUDF;InCD UDF Driver;C:\WINDOWS\System32\drivers\BsUDF.sys [2002-07-10 11:35]
R3 AWINDIS5;AWINDIS5 Protocol Driver;C:\WINDOWS\System32\AWINDIS5.SYS [2002-04-11 17:43]
S3 gUSBSTOi;gUSBSTOi;C:\DOKUME~1\Berni\LOKALE~1\Temp\gUSBSTOi.sys []
S3 Ip6FwHlp;IPv6-Internetverbindungsfirewall;C:\WINDOWS\System32\svchost.exe [2003-04-02 14:00]
S3 NETGEAR_WG311T_SERVICE;NETGEAR WG311T Wireless Adapter Service;C:\WINDOWS\System32\DRIVERS\wg311tn5.sys [2003-10-08 00:23]
S3 StMp3Rec;Player Recovery Device Control Driver;C:\WINDOWS\System32\Drivers\StMp3Rec.sys [2003-07-28 18:47]
.
**************************************************************************
catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-17 14:30:11
Windows 5.1.2600 Service Pack 1 NTFS
Scanne versteckte Prozesse...
Scanne versteckte Autostart Eintr„ge...
Scanne versteckte Dateien...
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------
PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\opnooOfF.dll
.
------------------------ Other Running Processes ------------------------
.
I:\Programme\AntiVir PersonalEdition Classic\sched.exe
I:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\drivers\CDANTSRV.EXE
C:\WINDOWS\system32\nvsvc32.exe
D:\Adobe\Acrobat 7.0\Reader\reader_sl.exe
D:\Microsoft Office\Office\OSA.EXE
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-17 14:33:59 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-17 12:33:53
ComboFix2.txt 2008-05-17 09:56:40
ComboFix3.txt 2008-05-17 09:35:48
13 Verzeichnis(se), 416,520,192 Bytes frei
16 Verzeichnis(se), 405,854,208 Bytes frei
152