Habe ein Problem und brauche Hilfe

roland56 · 23.05.2008, 18:24

ich habe seit gestern ein Problem.
Ich habe Windos XP Service Pack2.
Sobald ich eine Internet Seite besuchen möchte, mein Mail öffne oder mit dem Windows Explorer einen Ordner öffnen möchte
kommt über AntiVir die Meldung "Auf ihrem Computer urde ein Virus ....... gefunden"
C:\WINDOWS\System32\rqRIcaXO.dll
Ist das Trojaniches Pferd TR\Dldr.CONHOOK.SM
Ich kenne mich nicht so aus, also seht es mir nach, enn ich mich etas blöd anstelle. Leider kann ich nicht mehr sagen, ich hoffe es reicht aus.

Ich verweigere immer den Zugriff.
Ich habe wie in dem vorigen Thema MicMicro Hijack drüberlaufen lassen
und folgende Meldung bekommen.

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:20:55, on 23.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\sistray.EXE
C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\SPYWAREfighter\spftray.exe
C:\Programme\Netropa\Multimedia Keyboard\TrayMon.exe
C:\WINDOWS\system32\Rundll32.exe
C:\Programme\SPYWAREfighter\spfprc.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\Programme\NETGEAR\WG111v2\WG111v2.exe
C:\Programme\Netropa\InetKb\Inetkb.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Internet Explorer\iexplore.exe
c:\programme\antivir personaledition classic\avcenter.exe
C:\Dokumente und Einstellungen\Roland XXXXX .ROLAND-xxxxxx\Lokale Einstellungen\Temporary Internet Files\Content.IE5\X0LN1Y07\HiJackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://de.yahoo.com
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://us.rd.yahoo.com/customize/ie/defaults/sb/msgr7/*http://www.yahoo.com/ext/search/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://de.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Windows Internet Explorer bereitgestellt von T-Online
R3 - URLSearchHook: _URLHandler - {7FF23285-DBBC-49B6-818C-34AC459D5BB3} - C:\WINDOWS\system32\pidd.dll (file missing)
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~2\ICQTOO~1\toolbaru.dll
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - (no file)
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {09A78B33-C7F6-465D-9CCA-98D5B98B78CB} - C:\WINDOWS\system32\rqRIcaXO.dll
O2 - BHO: (no name) - {1E7F88BC-0219-4E6E-A495-1CB4AB6159F1} - C:\WINDOWS\system32\tuvVOFyy.dll (file missing)
O2 - BHO: (no name) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - (no file)
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - (no file)
O2 - BHO: (no name) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - (no file)
O2 - BHO: {570a35de-33a5-c8eb-9ec4-449e249d2f4d} - {d4f2d942-e944-4ce9-be8c-5a33ed53a075} - C:\WINDOWS\system32\sskywgkv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~2\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SW24] C:\WINDOWS\system32\sw24.exe
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [ac3f3e32] rundll32.exe "C:\WINDOWS\system32\kesxgjje.dll",b
O4 - HKLM\..\Run: [spywarefighterguard] C:\Programme\SPYWAREfighter\spftray.exe
O4 - HKLM\..\Run: [BMaf0c0dae] Rundll32.exe "C:\WINDOWS\system32\nqmrnhgd.dll",s
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: NETGEAR WG111v2 Smart Wizard.lnk = C:\Programme\NETGEAR\WG111v2\WG111v2.exe
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Search - ?p=ZU
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~2\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~2\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - D:\Programs\AIM95\aim.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~2\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - http://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1170783280703
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F551} (Flatcast Viewer 4.15) - http://data.flatcast.com/NpFv415.dll
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - http://www.creative.com/su2/CTL_V02002/ocx/15030/CTPID.cab
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - http://pdl.stream.aol.com/downloads/aol/unagi/ampx_en_dl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9AA013CE-BE83-4EA3-9BD9-116C6D1D70D8}: NameServer = 212.185.252.201,154.25.2.129
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: rqRIcaXO - C:\WINDOWS\SYSTEM32\rqRIcaXO.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programme\Bluetooth Software\bin\btwdins.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: SPYWAREfighterRP - SpamFighter APS - C:\Programme\SPYWAREfighter\spfprc.exe
O23 - Service: DSL-Manager (TDslMgrService) - T-Systems Enterprise Services GmbH - C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe
O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2

--
End of file - 12077 bytes

DANKE

BataAlexander · 23.05.2008, 18:42

Bei Dir ist einiges zu holen.

Combofix

- Download ComboFix von hier oder hier auf Deinen Desktop.
- Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen!)
- Mache einen Doppelklick auf combofix.exe
- Wenn combofix fertig ist, legt es ein Logfile an. Poste dieses Logfile und ein neues HJT Logfile als nächste Antwort
Achtung: Während Combofix läuft klicke nichts an, und benutze den Rechner nicht.

roland56 · 23.05.2008, 19:17

sorry, hat so lange gedauert.

Hier die Nummer 1:

omboFix 08-05-21.3 - Roland Busse 2008-05-23 19:52:23.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.567 [GMT 2:00]
ausgeführt von:: C:\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BMaf0c0dae.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\gnowmebk.dll
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\DcdgPqru.ini
C:\WINDOWS\system32\DcdgPqru.ini2
C:\WINDOWS\system32\ejjgxsek.ini
C:\WINDOWS\system32\hflgfffc.exe
C:\WINDOWS\system32\jktidrlf.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\nqmrnhgd.dll
C:\WINDOWS\system32\sskywgkv.dll
C:\WINDOWS\system32\tbjgsvyy.ini
C:\WINDOWS\system32\urqPgdcD.dll
C:\WINDOWS\system32\winsys.exe
C:\WINDOWS\system32\yyFOVvut.ini
C:\WINDOWS\system32\yyFOVvut.ini2

.
((((((((((((((((((((((( Dateien erstellt von 2008-04-23 bis 2008-05-23 ))))))))))))))))))))))))))))))
.

2008-05-23 19:49 . 2008-05-23 19:49 1,974,863 --a--c--- C:\ComboFix.exe
2008-05-23 19:02 . 2008-05-23 19:02 90,624 --a--c--- C:\WINDOWS\system32\yyvsgjbt.dll
2008-05-23 12:55 . 2008-05-23 12:58 <DIR> d----c--- C:\Programme\SPYWAREfighter
2008-05-23 12:55 . 2008-05-23 12:55 <DIR> d----c--- C:\Programme\Gemeinsame Dateien\Application
2008-05-23 12:47 . 2008-05-23 12:47 214,528 --a--c--- C:\VundoFix.exe
2008-05-23 11:11 . 2008-05-23 12:21 <DIR> d----c--- C:\Programme\Registry Defender Platinum
2008-05-23 09:08 . 2008-05-23 09:08 <DIR> d----c--- C:\VundoFix Backups
2008-05-22 23:14 . 2008-05-22 23:14 <DIR> d----c--- C:\Programme\Enigma Software Group
2008-05-21 21:40 . 2008-05-21 21:40 29,312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll
2008-05-21 21:39 . 2008-05-21 17:43 217,088 --a--c--- C:\WINDOWS\nldfmtapnvb.dll
2008-05-21 21:39 . 2008-05-21 17:43 94,208 --a--c--- C:\WINDOWS\elsq.exe
2008-05-21 21:39 . 2008-05-21 17:44 81,920 --a--c--- C:\WINDOWS\mdtgkswr.exe
2008-05-19 20:17 . 2008-05-19 20:17 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ Toolbar
2008-05-19 19:54 . 2008-05-21 21:59 <DIR> d----c--- C:\Programme\ICQToolbar
2008-05-19 19:51 . 2008-05-20 19:49 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ
2008-05-14 19:20 . 2008-05-14 19:20 1,324 --a--c--- C:\WINDOWS\system32\d3d9caps.tmp
2008-05-13 07:04 . 2008-05-23 20:08 54,156 --ah-c--- C:\WINDOWS\QTFont.qfn
2008-05-13 07:04 . 2008-05-13 07:04 1,409 --a--c--- C:\WINDOWS\QTFont.for
2008-05-12 07:50 . 2008-05-12 07:50 <DIR> d----c--- C:\Programme\QuickTime
2008-05-11 11:59 . 2008-05-11 12:13 <DIR> d----c--- C:\Programme\Virtual Earth 3D
2008-05-04 12:59 . 2008-05-04 12:59 <DIR> d----c--- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\NVIDIA
2008-04-27 07:12 . 2008-04-28 06:09 <DIR> d----c--- C:\Programme\Norton Security Scan
2008-04-27 07:10 . 2008-04-27 07:11 <DIR> d----c--- C:\WINDOWS\system32\Adobe

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-23 08:14 --------- dc----w C:\Programme\BeClean
2008-05-23 05:57 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2008-05-22 21:30 --------- dc----w C:\Programme\Spybot - Search & Destroy
2008-05-21 04:01 --------- dc-h--w C:\Programme\InstallShield Installation Information
2008-05-15 20:04 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\Skype
2008-05-13 05:03 --------- dc----w C:\Programme\Yahoo!
2008-05-13 05:03 --------- dc----w C:\Programme\iTunes
2008-05-13 05:03 --------- dc----w C:\Programme\Apple Software Update
2008-05-12 05:59 --------- dc----w C:\Programme\Creative
2008-05-12 05:56 --------- dc----w C:\Programme\Google
2008-05-12 05:53 --------- dc----w C:\Programme\iPod
2008-05-11 14:24 --------- dc----w C:\Programme\Gemeinsame Dateien\Adobe
2008-05-11 14:21 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\AdobeUM
2008-05-04 07:13 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\teamspeak2
2008-04-18 06:45 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\AntiVir PersonalEdition Classic
2008-03-27 09:55 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\dvdcss
2008-03-26 08:58 --------- dc----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
2008-03-25 04:51 621,344 -c--a-w C:\WINDOWS\system32\mswstr10.dll
2008-03-25 04:51 187,168 -c--a-w C:\WINDOWS\system32\msjint40.dll
2008-03-20 08:03 1,845,376 -c--a-w C:\WINDOWS\system32\win32k.sys
2008-03-01 12:54 826,368 -c--a-w C:\WINDOWS\system32\wininet.dll
2005-04-12 18:07 56 -csh--r C:\WINDOWS\system32\4EEC91256C.sys
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}]
2008-05-21 21:40 29312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E7F88BC-0219-4E6E-A495-1CB4AB6159F1}]
C:\WINDOWS\system32\tuvVOFyy.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d4f2d942-e944-4ce9-be8c-5a33ed53a075}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"SW24"="C:\WINDOWS\system32\sw24.exe" [2005-07-04 07:29 69632]
"SW20"="C:\WINDOWS\system32\sw20.exe" [2005-06-29 11:08 212992]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"SoundMan"="SOUNDMAN.EXE" [2004-07-29 11:59 67584 C:\WINDOWS\SOUNDMAN.EXE]
"SiSUSBRG"="C:\WINDOWS\SiSUSBrg.exe" [2002-07-12 18:15 106496]
"SiS Windows KeyHook"="C:\WINDOWS\system32\keyhook.exe" [2003-08-19 15:11 241664]
"SiS Tray"="C:\WINDOWS\system32\sistray.EXE" [2003-08-19 15:12 667648]
"PCSuiteTrayApplication"="C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2006-11-08 14:27 222208]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"MULTIMEDIA KEYBOARD"="C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-06-04 02:32 163840]
"HP Software Update"="C:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 17:24 54840]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-18 07:06 262401]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-03-28 23:37 413696]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2007-12-11 13:10 267048]
"spywarefighterguard"="C:\Programme\SPYWAREfighter\spftray.exe" [2008-02-21 15:37 115344]
"ac3f3e32"="C:\WINDOWS\system32\kesxgjje.dll" [ ]
"@"="" []
"BMaf0c0dae"="C:\WINDOWS\system32\nqmrnhgd.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"PcSync"="C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe" [2006-11-09

roland56 · 23.05.2008, 19:19

und hier die Nummer 2.....
Danke

Logfile of Trend Micro HijackThis v2.0.2...

[edit]
Bitte editiere zukünftig deine Links, wie es dir u.a. hier angezeigt wird:
http://www.trojaner-board.de/22771-a...tml#post171958

Danke.
Sunny
[/edit]

BataAlexander · 23.05.2008, 19:21

Das Combofix Log ist unvollständig. Bitte poste es erneut!

roland56 · 23.05.2008, 19:24

hier bitte:

ComboFix 08-05-21.3 - Roland Busse 2008-05-23 19:52:23.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.567 [GMT 2:00]
ausgeführt von:: C:\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BMaf0c0dae.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\gnowmebk.dll
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\DcdgPqru.ini
C:\WINDOWS\system32\DcdgPqru.ini2
C:\WINDOWS\system32\ejjgxsek.ini
C:\WINDOWS\system32\hflgfffc.exe
C:\WINDOWS\system32\jktidrlf.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\nqmrnhgd.dll
C:\WINDOWS\system32\sskywgkv.dll
C:\WINDOWS\system32\tbjgsvyy.ini
C:\WINDOWS\system32\urqPgdcD.dll
C:\WINDOWS\system32\winsys.exe
C:\WINDOWS\system32\yyFOVvut.ini
C:\WINDOWS\system32\yyFOVvut.ini2

.
((((((((((((((((((((((( Dateien erstellt von 2008-04-23 bis 2008-05-23 ))))))))))))))))))))))))))))))
.

2008-05-23 19:49 . 2008-05-23 19:49 1,974,863 --a--c--- C:\ComboFix.exe
2008-05-23 19:02 . 2008-05-23 19:02 90,624 --a--c--- C:\WINDOWS\system32\yyvsgjbt.dll
2008-05-23 12:55 . 2008-05-23 12:58 <DIR> d----c--- C:\Programme\SPYWAREfighter
2008-05-23 12:55 . 2008-05-23 12:55 <DIR> d----c--- C:\Programme\Gemeinsame Dateien\Application
2008-05-23 12:47 . 2008-05-23 12:47 214,528 --a--c--- C:\VundoFix.exe
2008-05-23 11:11 . 2008-05-23 12:21 <DIR> d----c--- C:\Programme\Registry Defender Platinum
2008-05-23 09:08 . 2008-05-23 09:08 <DIR> d----c--- C:\VundoFix Backups
2008-05-22 23:14 . 2008-05-22 23:14 <DIR> d----c--- C:\Programme\Enigma Software Group
2008-05-21 21:40 . 2008-05-21 21:40 29,312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll
2008-05-21 21:39 . 2008-05-21 17:43 217,088 --a--c--- C:\WINDOWS\nldfmtapnvb.dll
2008-05-21 21:39 . 2008-05-21 17:43 94,208 --a--c--- C:\WINDOWS\elsq.exe
2008-05-21 21:39 . 2008-05-21 17:44 81,920 --a--c--- C:\WINDOWS\mdtgkswr.exe
2008-05-19 20:17 . 2008-05-19 20:17 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ Toolbar
2008-05-19 19:54 . 2008-05-21 21:59 <DIR> d----c--- C:\Programme\ICQToolbar
2008-05-19 19:51 . 2008-05-20 19:49 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ
2008-05-14 19:20 . 2008-05-14 19:20 1,324 --a--c--- C:\WINDOWS\system32\d3d9caps.tmp
2008-05-13 07:04 . 2008-05-23 20:08 54,156 --ah-c--- C:\WINDOWS\QTFont.qfn
2008-05-13 07:04 . 2008-05-13 07:04 1,409 --a--c--- C:\WINDOWS\QTFont.for
2008-05-12 07:50 . 2008-05-12 07:50 <DIR> d----c--- C:\Programme\QuickTime
2008-05-11 11:59 . 2008-05-11 12:13 <DIR> d----c--- C:\Programme\Virtual Earth 3D
2008-05-04 12:59 . 2008-05-04 12:59 <DIR> d----c--- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\NVIDIA
2008-04-27 07:12 . 2008-04-28 06:09 <DIR> d----c--- C:\Programme\Norton Security Scan
2008-04-27 07:10 . 2008-04-27 07:11 <DIR> d----c--- C:\WINDOWS\system32\Adobe

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-23 08:14 --------- dc----w C:\Programme\BeClean
2008-05-23 05:57 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2008-05-22 21:30 --------- dc----w C:\Programme\Spybot - Search & Destroy
2008-05-21 04:01 --------- dc-h--w C:\Programme\InstallShield Installation Information
2008-05-15 20:04 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\Skype
2008-05-13 05:03 --------- dc----w C:\Programme\Yahoo!
2008-05-13 05:03 --------- dc----w C:\Programme\iTunes
2008-05-13 05:03 --------- dc----w C:\Programme\Apple Software Update
2008-05-12 05:59 --------- dc----w C:\Programme\Creative
2008-05-12 05:56 --------- dc----w C:\Programme\Google
2008-05-12 05:53 --------- dc----w C:\Programme\iPod
2008-05-11 14:24 --------- dc----w C:\Programme\Gemeinsame Dateien\Adobe
2008-05-11 14:21 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\AdobeUM
2008-05-04 07:13 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\teamspeak2
2008-04-18 06:45 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\AntiVir PersonalEdition Classic
2008-03-27 09:55 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\dvdcss
2008-03-26 08:58 --------- dc----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
2008-03-25 04:51 621,344 -c--a-w C:\WINDOWS\system32\mswstr10.dll
2008-03-25 04:51 187,168 -c--a-w C:\WINDOWS\system32\msjint40.dll
2008-03-20 08:03 1,845,376 -c--a-w C:\WINDOWS\system32\win32k.sys
2008-03-01 12:54 826,368 -c--a-w C:\WINDOWS\system32\wininet.dll
2005-04-12 18:07 56 -csh--r C:\WINDOWS\system32\4EEC91256C.sys
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}]
2008-05-21 21:40 29312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E7F88BC-0219-4E6E-A495-1CB4AB6159F1}]
C:\WINDOWS\system32\tuvVOFyy.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d4f2d942-e944-4ce9-be8c-5a33ed53a075}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"SW24"="C:\WINDOWS\system32\sw24.exe" [2005-07-04 07:29 69632]
"SW20"="C:\WINDOWS\system32\sw20.exe" [2005-06-29 11:08 212992]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"SoundMan"="SOUNDMAN.EXE" [2004-07-29 11:59 67584 C:\WINDOWS\SOUNDMAN.EXE]
"SiSUSBRG"="C:\WINDOWS\SiSUSBrg.exe" [2002-07-12 18:15 106496]
"SiS Windows KeyHook"="C:\WINDOWS\system32\keyhook.exe" [2003-08-19 15:11 241664]
"SiS Tray"="C:\WINDOWS\system32\sistray.EXE" [2003-08-19 15:12 667648]
"PCSuiteTrayApplication"="C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2006-11-08 14:27 222208]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"MULTIMEDIA KEYBOARD"="C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-06-04 02:32 163840]
"HP Software Update"="C:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 17:24 54840]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-18 07:06 262401]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-03-28 23:37 413696]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2007-12-11 13:10 267048]
"spywarefighterguard"="C:\Programme\SPYWAREfighter\spftray.exe" [2008-02-21 15:37 115344]
"ac3f3e32"="C:\WINDOWS\system32\kesxgjje.dll" [ ]
"@"="" []
"BMaf0c0dae"="C:\WINDOWS\system32\nqmrnhgd.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"PcSync"="C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe" [2006-11-09 18:15 1634304]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoMSAppLogo5ChannelNotify"= 0 (0x0)
"NoToolbarCustomize"= 0 (0x0)
"NoBandCustomize"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}"= C:\WINDOWS\system32\rqRIcaXO.dll [2008-05-21 21:40 29312]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRIcaXO]
rqRIcaXO.dll 2008-05-21 21:40 29312 C:\WINDOWS\system32\rqRIcaXO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=33.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"MSACM.CEGSM"= mobilev.acm

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"NBJ"="C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Logitech Utility"=Logi_MwX.Exe
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe
"zBrowser Launcher"=C:\Programme\Logitech\iTouch\iTouch.exe
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
"PDF Converter Registry Controller"="C:\Programme\ScanSoft\PDF Converter 2.0 Professional\PDFConv\\RegistryController.exe"
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
"REGSHAVE"=C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\OUTLOOK.EXE"=
"C:\\WINDOWS\\system32\\dwwin.exe"=
"C:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"C:\\Programme\\Windows Media Player\\wmplayer.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpHost.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpCtr.exe"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\POWERPNT.EXE"=
"C:\\Programme\\Microsoft ActiveSync\\wcescomm.exe"=
"C:\\Programme\\Microsoft ActiveSync\\WCESMgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"D:\\World of Warcraft\\BackgroundDownloader.exe"=
"D:\\World of Warcraft\\WoW-2.4.0-deDE-downloader.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\drivers\avgntmgr.sys [2008-04-18 07:06]
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys [2008-04-18 07:06]
R1 msikbd2k;Multimedia Keyboard Filter Driver;C:\WINDOWS\system32\DRIVERS\msikbd2k.sys [2001-12-20 11:02]
R2 nhksrv;Netropa NHK Server;C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe [2001-08-06 08:41]
R3 AN983;ADMtek AN983/AN985/ADM951X 10/100Mbps Fast Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\AN983.sys [2002-10-28 10:23]
R3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-27 18:53]
R3 SpyFighter;SpyFighter Guard Device;C:\Programme\SPYWAREfighter\spyfighter.sys [2008-02-21 15:38]
R3 SPYWAREfighterRP;SPYWAREfighterRP;"C:\Programme\SPYWAREfighter\spfprc.exe" [2008-02-21 15:37]
R3 TSMPacket;DSL-Manager Service;C:\WINDOWS\system32\DRIVERS\tsmpkt.sys [2007-06-26 12:53]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 14:18]
S3 IwUSB;IwUSB Driver;C:\WINDOWS\system32\Drivers\IwUSB.sys [2005-04-23 07:40]
S3 SIS163u;SiS163 usb Wireless LAN Adapter Driver;C:\WINDOWS\system32\DRIVERS\sis163u.sys [2005-03-24 12:54]
S3 TDslMgrService;DSL-Manager;"C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe" [2007-08-01 15:36]
S3 V0330VID;WebCam Vista;C:\WINDOWS\system32\DRIVERS\V0330Vid.sys [2006-11-03 19:01]
S3 WLAN_USB;Fujitsu Siemens Computers Wireless LAN USB Driver;C:\WINDOWS\system32\DRIVERS\FUJIUSB.sys [2002-01-17 12:01]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
tapisrv REG_MULTI_SZ Tapisrv

.
Inhalt des "geplante Tasks" Ordners
"2008-05-23 15:15:00 C:\WINDOWS\Tasks\1-Click Maintenance.job"
- C:\Programme\TuneUp Utilities 2004\SystemOptimizer.exe
"2008-05-22 21:15:01 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
- C:\Programme\TuneUp Utilities 2006\SystemOptimizer.exe
"2008-05-12 05:37:19 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-23 20:05:30
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\RtlGina2.dll
-> C:\WINDOWS\system32\rqRIcaXO.dll

PROCESS: C:\WINDOWS\explorer.exe
-> C:\WINDOWS\system32\nview.dll
.
------------------------ Other Running Processes ------------------------
.
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\NETGEAR\WG111v2\WG111v2.exe
C:\Programme\Netropa\Multimedia Keyboard\Traymon.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\Programme\Netropa\Inetkb\iNetKb.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\imapi.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-23 20:14:59 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-23 18:14:41

23 Verzeichnis(se), 1,198,649,344 Bytes frei
28 Verzeichnis(se), 1,371,357,184 Bytes frei

242 --- E O F --- 2008-05-16 21:22:31

BataAlexander · 23.05.2008, 20:05

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

Killall::

File::
C:\WINDOWS\system32\yyvsgjbt.dll
C:\WINDOWS\system32\rqRIcaXO.dll
C:\WINDOWS\nldfmtapnvb.dll
C:\WINDOWS\elsq.exe
C:\WINDOWS\mdtgkswr.exe
C:\WINDOWS\system32\tuvVOFyy.dll
C:\WINDOWS\system32\kesxgjje.dll
C:\WINDOWS\system32\nqmrnhgd.dll
C:\Windows\system32\33.dll

Folder::
C:\VundoFix Backups

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E7F88BC-0219-4E6E-A495-1CB4AB6159F1}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d4f2d942-e944-4ce9-be8c-5a33ed53a075}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ac3f3e32"=-
"@"=-
"BMaf0c0dae"=-
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRIcaXO]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=-

Filelook::
C:\WINDOWS\system32\RtlGina2.dll
D:\World of Warcraft\WoW-2.4.0-deDE-downloader.exe
C:\WINDOWS\system32\4EEC91256C.sys

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer!)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann

roland56 · 23.05.2008, 20:43

hier bitte:

ComboFix 08-05-21.3 - Roland Busse 2008-05-23 21:22:54.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.340 [GMT 2:00]
ausgeführt von:: C:\ComboFix.exe
Command switches used :: C:\CFScript,txt.txt
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\nldfmtapnvb.dll
C:\WINDOWS\system32\ljvcagtu.ini
C:\WINDOWS\system32\qWEhQqru.ini
C:\WINDOWS\system32\qWEhQqru.ini2
C:\WINDOWS\system32\urqQhEWq.dll

.
((((((((((((((((((((((( Dateien erstellt von 2008-04-23 bis 2008-05-23 ))))))))))))))))))))))))))))))
.

2008-05-23 21:19 . 2008-05-23 21:19 90,112 --a--c--- C:\WINDOWS\system32\utgacvjl.dll
2008-05-23 20:15 . 2008-05-23 20:15 <DIR> d----c--- C:\Dokumente und Einstellungen\NetworkService.NT-AUTORITÄT
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\NetworkService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\NetworkService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . 2008-05-23 20:15 <DIR> d----c--- C:\Dokumente und Einstellungen\LocalService.NT-AUTORITÄT
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\LocalService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\LocalService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 19:49 . 2008-05-23 19:49 1,974,863 --a--c--- C:\ComboFix.exe
2008-05-23 19:02 . 2008-05-23 19:02 90,624 --a--c--- C:\WINDOWS\system32\yyvsgjbt.dll
2008-05-23 12:55 . 2008-05-23 12:58 <DIR> d----c--- C:\Programme\SPYWAREfighter
2008-05-23 12:55 . 2008-05-23 12:55 <DIR> d----c--- C:\Programme\Gemeinsame Dateien\Application
2008-05-23 12:47 . 2008-05-23 12:47 214,528 --a--c--- C:\VundoFix.exe
2008-05-23 11:11 . 2008-05-23 12:21 <DIR> d----c--- C:\Programme\Registry Defender Platinum
2008-05-23 09:08 . 2008-05-23 09:08 <DIR> d----c--- C:\VundoFix Backups
2008-05-22 23:14 . 2008-05-22 23:14 <DIR> d----c--- C:\Programme\Enigma Software Group
2008-05-21 21:40 . 2008-05-21 21:40 29,312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll
2008-05-21 21:39 . 2008-05-21 17:43 94,208 --a--c--- C:\WINDOWS\elsq.exe
2008-05-21 21:39 . 2008-05-21 17:44 81,920 --a--c--- C:\WINDOWS\mdtgkswr.exe
2008-05-19 20:17 . 2008-05-19 20:17 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ Toolbar
2008-05-19 19:54 . 2008-05-21 21:59 <DIR> d----c--- C:\Programme\ICQToolbar
2008-05-19 19:51 . 2008-05-20 19:49 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ
2008-05-14 19:20 . 2008-05-14 19:20 1,324 --a--c--- C:\WINDOWS\system32\d3d9caps.tmp
2008-05-13 07:04 . 2008-05-23 21:33 54,156 --ah-c--- C:\WINDOWS\QTFont.qfn
2008-05-13 07:04 . 2008-05-13 07:04 1,409 --a--c--- C:\WINDOWS\QTFont.for
2008-05-12 07:50 . 2008-05-12 07:50 <DIR> d----c--- C:\Programme\QuickTime
2008-05-11 11:59 . 2008-05-11 12:13 <DIR> d----c--- C:\Programme\Virtual Earth 3D
2008-05-04 12:59 . 2008-05-04 12:59 <DIR> d----c--- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\NVIDIA
2008-04-27 07:12 . 2008-04-28 06:09 <DIR> d----c--- C:\Programme\Norton Security Scan
2008-04-27 07:10 . 2008-04-27 07:11 <DIR> d----c--- C:\WINDOWS\system32\Adobe

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-23 08:14 --------- dc----w C:\Programme\BeClean
2008-05-23 05:57 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2008-05-22 21:30 --------- dc----w C:\Programme\Spybot - Search & Destroy
2008-05-21 04:01 --------- dc-h--w C:\Programme\InstallShield Installation Information
2008-05-15 20:04 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\Skype
2008-05-13 05:03 --------- dc----w C:\Programme\Yahoo!
2008-05-13 05:03 --------- dc----w C:\Programme\iTunes
2008-05-13 05:03 --------- dc----w C:\Programme\Apple Software Update
2008-05-12 05:59 --------- dc----w C:\Programme\Creative
2008-05-12 05:56 --------- dc----w C:\Programme\Google
2008-05-12 05:53 --------- dc----w C:\Programme\iPod
2008-05-11 14:24 --------- dc----w C:\Programme\Gemeinsame Dateien\Adobe
2008-05-11 14:21 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\AdobeUM
2008-05-04 07:13 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\teamspeak2
2008-04-18 06:45 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\AntiVir PersonalEdition Classic
2008-03-27 09:55 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\dvdcss
2008-03-26 08:58 --------- dc----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
2008-03-25 04:51 621,344 -c--a-w C:\WINDOWS\system32\mswstr10.dll
2008-03-25 04:51 187,168 -c--a-w C:\WINDOWS\system32\msjint40.dll
2008-03-20 08:03 1,845,376 -c--a-w C:\WINDOWS\system32\win32k.sys
2008-03-01 12:54 826,368 -c--a-w C:\WINDOWS\system32\wininet.dll
2005-04-12 18:07 56 -csh--r C:\WINDOWS\system32\4EEC91256C.sys
.

((((((((((((((((((((((((((((( snapshot@2008-05-23_20.14.06.31 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-05-23 18:04:05 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-05-23 19:28:44 2,048 --s-a-w C:\WINDOWS\bootstat.dat
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}]
2008-05-21 21:40 29312 -----c--- C:\WINDOWS\system32\rqRIcaXO.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E7F88BC-0219-4E6E-A495-1CB4AB6159F1}]
C:\WINDOWS\system32\tuvVOFyy.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d4f2d942-e944-4ce9-be8c-5a33ed53a075}]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"SW24"="C:\WINDOWS\system32\sw24.exe" [2005-07-04 07:29 69632]
"SW20"="C:\WINDOWS\system32\sw20.exe" [2005-06-29 11:08 212992]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"SoundMan"="SOUNDMAN.EXE" [2004-07-29 11:59 67584 C:\WINDOWS\SOUNDMAN.EXE]
"SiSUSBRG"="C:\WINDOWS\SiSUSBrg.exe" [2002-07-12 18:15 106496]
"SiS Windows KeyHook"="C:\WINDOWS\system32\keyhook.exe" [2003-08-19 15:11 241664]
"SiS Tray"="C:\WINDOWS\system32\sistray.EXE" [2003-08-19 15:12 667648]
"PCSuiteTrayApplication"="C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2006-11-08 14:27 222208]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"MULTIMEDIA KEYBOARD"="C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-06-04 02:32 163840]
"HP Software Update"="C:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 17:24 54840]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-18 07:06 262401]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-03-28 23:37 413696]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2007-12-11 13:10 267048]
"spywarefighterguard"="C:\Programme\SPYWAREfighter\spftray.exe" [2008-02-21 15:37 115344]
"ac3f3e32"="C:\WINDOWS\system32\kesxgjje.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"PcSync"="C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe" [2006-11-09 18:15 1634304]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoMSAppLogo5ChannelNotify"= 0 (0x0)
"NoToolbarCustomize"= 0 (0x0)
"NoBandCustomize"= 0 (0x0)

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}"= C:\WINDOWS\system32\rqRIcaXO.dll [2008-05-21 21:40 29312]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRIcaXO]
rqRIcaXO.dll 2008-05-21 21:40 29312 C:\WINDOWS\system32\rqRIcaXO.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=33.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"MSACM.CEGSM"= mobilev.acm

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"NBJ"="C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Logitech Utility"=Logi_MwX.Exe
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe
"zBrowser Launcher"=C:\Programme\Logitech\iTouch\iTouch.exe
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
"PDF Converter Registry Controller"="C:\Programme\ScanSoft\PDF Converter 2.0 Professional\PDFConv\\RegistryController.exe"
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
"REGSHAVE"=C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\OUTLOOK.EXE"=
"C:\\WINDOWS\\system32\\dwwin.exe"=
"C:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"C:\\Programme\\Windows Media Player\\wmplayer.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpHost.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpCtr.exe"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\POWERPNT.EXE"=
"C:\\Programme\\Microsoft ActiveSync\\wcescomm.exe"=
"C:\\Programme\\Microsoft ActiveSync\\WCESMgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"D:\\World of Warcraft\\BackgroundDownloader.exe"=
"D:\\World of Warcraft\\WoW-2.4.0-deDE-downloader.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\drivers\avgntmgr.sys [2008-04-18 07:06]
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys [2008-04-18 07:06]
R1 msikbd2k;Multimedia Keyboard Filter Driver;C:\WINDOWS\system32\DRIVERS\msikbd2k.sys [2001-12-20 11:02]
R2 nhksrv;Netropa NHK Server;C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe [2001-08-06 08:41]
R3 AN983;ADMtek AN983/AN985/ADM951X 10/100Mbps Fast Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\AN983.sys [2002-10-28 10:23]
R3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-27 18:53]
R3 SpyFighter;SpyFighter Guard Device;C:\Programme\SPYWAREfighter\spyfighter.sys [2008-02-21 15:38]
R3 SPYWAREfighterRP;SPYWAREfighterRP;"C:\Programme\SPYWAREfighter\spfprc.exe" [2008-02-21 15:37]
R3 TSMPacket;DSL-Manager Service;C:\WINDOWS\system32\DRIVERS\tsmpkt.sys [2007-06-26 12:53]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 14:18]
S3 IwUSB;IwUSB Driver;C:\WINDOWS\system32\Drivers\IwUSB.sys [2005-04-23 07:40]
S3 SIS163u;SiS163 usb Wireless LAN Adapter Driver;C:\WINDOWS\system32\DRIVERS\sis163u.sys [2005-03-24 12:54]
S3 TDslMgrService;DSL-Manager;"C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe" [2007-08-01 15:36]
S3 V0330VID;WebCam Vista;C:\WINDOWS\system32\DRIVERS\V0330Vid.sys [2006-11-03 19:01]
S3 WLAN_USB;Fujitsu Siemens Computers Wireless LAN USB Driver;C:\WINDOWS\system32\DRIVERS\FUJIUSB.sys [2002-01-17 12:01]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
tapisrv REG_MULTI_SZ Tapisrv

.
Inhalt des "geplante Tasks" Ordners
"2008-05-23 15:15:00 C:\WINDOWS\Tasks\1-Click Maintenance.job"
- C:\Programme\TuneUp Utilities 2004\SystemOptimizer.exe
"2008-05-22 21:15:01 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
- C:\Programme\TuneUp Utilities 2006\SystemOptimizer.exe
"2008-05-12 05:37:19 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-23 21:30:15
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

C:\WINDOWS\system32\ljvcagtu.ini 294 bytes

Scan erfolgreich abgeschlossen
versteckte Dateien: 1

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\RtlGina2.dll
-> C:\WINDOWS\system32\rqRIcaXO.dll

PROCESS: C:\WINDOWS\explorer.exe
-> C:\WINDOWS\system32\nview.dll
-> C:\WINDOWS\system32\utgacvjl.dll
.
------------------------ Other Running Processes ------------------------
.
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\NETGEAR\WG111v2\WG111v2.exe
C:\Programme\Netropa\Multimedia Keyboard\Traymon.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\Programme\Netropa\Inetkb\iNetKb.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\imapi.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-23 21:40:26 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-23 19:40:08
ComboFix2.txt 2008-05-23 18:15:00

23 Verzeichnis(se), 1,301,037,056 Bytes frei
27 Verzeichnis(se), 1,293,508,608 Bytes frei

243 --- E O F --- 2008-05-16 21:22:31

BataAlexander · 23.05.2008, 21:15

Deaktiviere den Tea Timer, wie hier beschrieben!

Erst dann folgendes:

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

KILLALL::

Rootkit::
C:\WINDOWS\system32\rqRIcaXO.dll
C:\WINDOWS\system32\ljvcagtu.ini
C:\WINDOWS\system32\utgacvjl.dll
C:\WINDOWS\system32\yyvsgjbt.dll
C:\WINDOWS\elsq.exe
C:\WINDOWS\mdtgkswr.exe
C:\WINDOWS\system32\4EEC91256C.sys
C:\WINDOWS\system32\tuvVOFyy.dll
C:\WINDOWS\system32\kesxgjje.dll
C:\WINDOWS\system32\33.dll

Folder::
C:\VundoFix Backups

Registry::
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{1E7F88BC-0219-4E6E-A495-1CB4AB6159F1}]
[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{d4f2d942-e944-4ce9-be8c-5a33ed53a075}]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ac3f3e32"=-
[hkey_local_machine\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{09A78B33-C7F6-465D-9CCA-98D5B98B78CB}"=-
[-HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\rqRIcaXO]
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=-

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer!)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann

roland56 · 23.05.2008, 21:51

so, ich denke jetzt habe ich alles richtig gemacht....

ComboFix 08-05-21.3 - Roland Busse 2008-05-23 22:38:57.5 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.680 [GMT 2:00]
ausgeführt von:: C:\ComboFix.exe
Command switches used :: C:\CFScript.txt
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\elsq.exe
C:\WINDOWS\mdtgkswr.exe
C:\WINDOWS\system32\33.dll
C:\WINDOWS\system32\4EEC91256C.sys
C:\WINDOWS\system32\kesxgjje.dll
C:\WINDOWS\system32\ljvcagtu.ini
C:\WINDOWS\system32\rqRIcaXO.dll
C:\WINDOWS\system32\tuvVOFyy.dll
C:\WINDOWS\system32\utgacvjl.dll
C:\WINDOWS\system32\yyvsgjbt.dll

.
((((((((((((((((((((((( Dateien erstellt von 2008-04-23 bis 2008-05-23 ))))))))))))))))))))))))))))))
.

2008-05-23 20:15 . 2008-05-23 20:15 <DIR> d----c--- C:\Dokumente und Einstellungen\NetworkService.NT-AUTORITÄT
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\NetworkService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\NetworkService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . 2008-05-23 20:15 <DIR> d----c--- C:\Dokumente und Einstellungen\LocalService.NT-AUTORITÄT
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\LocalService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 20:15 . <DIR> C:\Dokumente und Einstellungen\LocalService.NT-AUTORIT-T\Lokale Einstellungen
2008-05-23 19:49 . 2008-05-23 19:49 1,974,863 --a--c--- C:\ComboFix.exe
2008-05-23 12:55 . 2008-05-23 21:56 <DIR> d----c--- C:\Programme\SPYWAREfighter
2008-05-23 12:47 . 2008-05-23 12:47 214,528 --a--c--- C:\VundoFix.exe
2008-05-23 11:11 . 2008-05-23 12:21 <DIR> d----c--- C:\Programme\Registry Defender Platinum
2008-05-22 23:14 . 2008-05-22 23:14 <DIR> d----c--- C:\Programme\Enigma Software Group
2008-05-19 20:17 . 2008-05-19 20:17 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ Toolbar
2008-05-19 19:54 . 2008-05-21 21:59 <DIR> d----c--- C:\Programme\ICQToolbar
2008-05-19 19:51 . 2008-05-20 19:49 <DIR> d----c--- C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\ICQ
2008-05-14 19:20 . 2008-05-14 19:20 1,324 --a--c--- C:\WINDOWS\system32\d3d9caps.tmp
2008-05-13 07:04 . 2008-05-23 22:42 54,156 --ah-c--- C:\WINDOWS\QTFont.qfn
2008-05-13 07:04 . 2008-05-13 07:04 1,409 --a--c--- C:\WINDOWS\QTFont.for
2008-05-12 07:50 . 2008-05-12 07:50 <DIR> d----c--- C:\Programme\QuickTime
2008-05-11 11:59 . 2008-05-11 12:13 <DIR> d----c--- C:\Programme\Virtual Earth 3D
2008-05-04 12:59 . 2008-05-04 12:59 <DIR> d----c--- C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\NVIDIA
2008-04-27 07:12 . 2008-04-28 06:09 <DIR> d----c--- C:\Programme\Norton Security Scan
2008-04-27 07:10 . 2008-04-27 07:11 <DIR> d----c--- C:\WINDOWS\system32\Adobe

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-05-23 20:28 --------- dc----w C:\Programme\Spybot - Search & Destroy
2008-05-23 20:28 --------- dc----w C:\Dokumente und Einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy
2008-05-23 08:14 --------- dc----w C:\Programme\BeClean
2008-05-21 04:01 --------- dc-h--w C:\Programme\InstallShield Installation Information
2008-05-15 20:04 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\Skype
2008-05-13 05:03 --------- dc----w C:\Programme\Yahoo!
2008-05-13 05:03 --------- dc----w C:\Programme\iTunes
2008-05-13 05:03 --------- dc----w C:\Programme\Apple Software Update
2008-05-12 05:59 --------- dc----w C:\Programme\Creative
2008-05-12 05:56 --------- dc----w C:\Programme\Google
2008-05-12 05:53 --------- dc----w C:\Programme\iPod
2008-05-11 14:24 --------- dc----w C:\Programme\Gemeinsame Dateien\Adobe
2008-05-11 14:21 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\AdobeUM
2008-05-04 07:13 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\teamspeak2
2008-03-27 09:55 --------- dc----w C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Anwendungsdaten\dvdcss
2008-03-26 08:58 --------- dc----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
.

((((((((((((((((((((((((((((( snapshot@2008-05-23_20.14.06.31 )))))))))))))))))))))))))))))))))))))))))
.
- 2008-05-23 18:04:05 2,048 --s-a-w C:\WINDOWS\bootstat.dat
+ 2008-05-23 20:41:09 2,048 --s-a-w C:\WINDOWS\bootstat.dat
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-12-05 01:41 8523776]
"SW24"="C:\WINDOWS\system32\sw24.exe" [2005-07-04 07:29 69632]
"SW20"="C:\WINDOWS\system32\sw20.exe" [2005-06-29 11:08 212992]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"SoundMan"="SOUNDMAN.EXE" [2004-07-29 11:59 67584 C:\WINDOWS\SOUNDMAN.EXE]
"SiSUSBRG"="C:\WINDOWS\SiSUSBrg.exe" [2002-07-12 18:15 106496]
"SiS Windows KeyHook"="C:\WINDOWS\system32\keyhook.exe" [2003-08-19 15:11 241664]
"SiS Tray"="C:\WINDOWS\system32\sistray.EXE" [2003-08-19 15:12 667648]
"PCSuiteTrayApplication"="C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe" [2006-11-08 14:27 222208]
"nwiz"="nwiz.exe" [2007-12-05 01:41 1626112 C:\WINDOWS\system32\nwiz.exe]
"MULTIMEDIA KEYBOARD"="C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe" [2003-06-04 02:32 163840]
"HP Software Update"="C:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2007-05-08 17:24 54840]
"BluetoothAuthenticationAgent"="bthprops.cpl" [2004-08-04 14:00 110592 C:\WINDOWS\system32\bthprops.cpl]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-12-05 01:41 81920]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-03-28 23:37 413696]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2007-12-11 13:10 267048]
"spywarefighterguard"="C:\Programme\SPYWAREfighter\spftray.exe" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"PcSync"="C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe" [2006-11-09 18:15 1634304]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoMSAppLogo5ChannelNotify"= 0 (0x0)
"NoToolbarCustomize"= 0 (0x0)
"NoBandCustomize"= 0 (0x0)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"MSACM.CEGSM"= mobilev.acm

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"NBJ"="C:\Programme\Ahead\Nero BackItUp\NBJ.exe"
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"Logitech Utility"=Logi_MwX.Exe
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe
"zBrowser Launcher"=C:\Programme\Logitech\iTouch\iTouch.exe
"SSBkgdUpdate"="C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
"PDF Converter Registry Controller"="C:\Programme\ScanSoft\PDF Converter 2.0 Professional\PDFConv\\RegistryController.exe"
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
"REGSHAVE"=C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Internet Explorer\\IEXPLORE.EXE"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\OUTLOOK.EXE"=
"C:\\WINDOWS\\system32\\dwwin.exe"=
"C:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"C:\\Programme\\Windows Media Player\\wmplayer.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpHost.exe"=
"C:\\WINDOWS\\PCHEALTH\\HELPCTR\\Binaries\\HelpCtr.exe"=
"C:\\Programme\\Microsoft Office\\OFFICE11\\POWERPNT.EXE"=
"C:\\Programme\\Microsoft ActiveSync\\wcescomm.exe"=
"C:\\Programme\\Microsoft ActiveSync\\WCESMgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqPhUnl.exe"=
"C:\\Programme\\HP\\Digital Imaging\\Unload\\HpqDIA.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"D:\\World of Warcraft\\BackgroundDownloader.exe"=
"D:\\World of Warcraft\\WoW-2.4.0-deDE-downloader.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

R1 msikbd2k;Multimedia Keyboard Filter Driver;C:\WINDOWS\system32\DRIVERS\msikbd2k.sys [2001-12-20 11:02]
R2 nhksrv;Netropa NHK Server;C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe [2001-08-06 08:41]
R3 AN983;ADMtek AN983/AN985/ADM951X 10/100Mbps Fast Ethernet Adapter;C:\WINDOWS\system32\DRIVERS\AN983.sys [2002-10-28 10:23]
R3 RTLWUSB;NETGEAR WG111v2 54Mbps Wireless USB 2.0 Adapter NT Driver;C:\WINDOWS\system32\DRIVERS\wg111v2.sys [2006-03-27 18:53]
R3 TSMPacket;DSL-Manager Service;C:\WINDOWS\system32\DRIVERS\tsmpkt.sys [2007-06-26 12:53]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 14:18]
S3 IwUSB;IwUSB Driver;C:\WINDOWS\system32\Drivers\IwUSB.sys [2005-04-23 07:40]
S3 SIS163u;SiS163 usb Wireless LAN Adapter Driver;C:\WINDOWS\system32\DRIVERS\sis163u.sys [2005-03-24 12:54]
S3 TDslMgrService;DSL-Manager;"C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe" [2007-08-01 15:36]
S3 V0330VID;WebCam Vista;C:\WINDOWS\system32\DRIVERS\V0330Vid.sys [2006-11-03 19:01]
S3 WLAN_USB;Fujitsu Siemens Computers Wireless LAN USB Driver;C:\WINDOWS\system32\DRIVERS\FUJIUSB.sys [2002-01-17 12:01]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
tapisrv REG_MULTI_SZ Tapisrv

.
Inhalt des "geplante Tasks" Ordners
"2008-05-23 15:15:00 C:\WINDOWS\Tasks\1-Click Maintenance.job"
- C:\Programme\TuneUp Utilities 2004\SystemOptimizer.exe
"2008-05-22 21:15:01 C:\WINDOWS\Tasks\1-Klick-Wartung.job"
- C:\Programme\TuneUp Utilities 2006\SystemOptimizer.exe
"2008-05-12 05:37:19 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-05-23 22:41:56
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- DLLs Loaded Under Running Processes ---------------------

PROCESS: C:\WINDOWS\system32\winlogon.exe
-> C:\WINDOWS\system32\RtlGina2.dll
.
------------------------ Other Running Processes ------------------------
.
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\NETGEAR\WG111v2\WG111v2.exe
C:\Programme\Netropa\Multimedia Keyboard\Traymon.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\Programme\Netropa\Inetkb\iNetKb.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-05-23 22:49:13 - machine was rebooted
ComboFix-quarantined-files.txt 2008-05-23 20:49:09
ComboFix2.txt 2008-05-23 20:25:27
ComboFix3.txt 2008-05-23 19:40:27
ComboFix4.txt 2008-05-23 18:15:00

22 Verzeichnis(se), 1,592,639,488 Bytes frei
27 Verzeichnis(se), 1,602,347,008 Bytes frei

211 --- E O F --- 2008-05-16 21:22:31

BataAlexander · 23.05.2008, 21:57

Sieht sehr viel besser aus, bitte ein neues, editiertes HijackThis Log und einen Bericht, was die Fehlermeldungen sagen.

roland56 · 23.05.2008, 22:06

das freut mich :-)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:00:19, on 23.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bluetooth Software\bin\btwdins.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\sistray.EXE
C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\NETGEAR\WG111v2\WG111v2.exe
C:\Programme\Netropa\Multimedia Keyboard\TrayMon.exe
C:\Programme\Netropa\Onscreen Display\OSD.exe
C:\Programme\Netropa\InetKb\Inetkb.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\explorer.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Dokumente und Einstellungen\Roland Busse.ROLAND-02F7795F\Lokale Einstellungen\Temporary Internet Files\Content.IE5\0IWTDMH2\HiJackThis[1].exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.t-online.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = h**p://us.rd.yahoo.com/customize/ie/defaults/sb/msgr7/*h**p://www.yahoo.com/ext/search/search.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://de.yahoo.com
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = h**p://g.msn.com/0SEENUS/SAOS01?FORM=TOOLBR
R3 - URLSearchHook: _URLHandler - {7FF23285-DBBC-49B6-818C-34AC459D5BB3} - C:\WINDOWS\system32\pidd.dll (file missing)
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~2\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~2\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SW24] C:\WINDOWS\system32\sw24.exe
O4 - HKLM\..\Run: [SW20] C:\WINDOWS\system32\sw20.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SiSUSBRG] C:\WINDOWS\SiSUSBrg.exe
O4 - HKLM\..\Run: [SiS Windows KeyHook] C:\WINDOWS\system32\keyhook.exe
O4 - HKLM\..\Run: [SiS Tray] C:\WINDOWS\system32\sistray.EXE
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -startup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [MULTIMEDIA KEYBOARD] C:\Programme\Netropa\Multimedia Keyboard\MMKeybd.exe
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [spywarefighterguard] C:\Programme\SPYWAREfighter\spftray.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: NETGEAR WG111v2 Smart Wizard.lnk = C:\Programme\NETGEAR\WG111v2\WG111v2.exe
O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Control Panel present
O8 - Extra context menu item: &Search - ?p=ZU
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~2\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Senden an &Bluetooth - C:\Programme\Bluetooth Software\btsendto_ie_ctx.htm
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\PROGRA~2\Skype\Phone\IEPlugin\SKYPEI~1.DLL
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~2\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: AIM - {AC9E2541-2814-11d5-BC6D-00B0D0A1DE45} - D:\Programs\AIM95\aim.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-4017 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe (file missing)
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {67A5F8DC-1A4B-4D66-9F24-A704AD929EEE} (System Requirements Lab) - h**p://www.nvidia.com/content/DriverDownload/srl/2.0.0.1/sysreqlab2.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1170783280703
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - h**p://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {E55FD215-A32E-43FE-A777-A7E8F165F551} (Flatcast Viewer 4.15) - h**p://data.flatcast.com/NpFv415.dll
O16 - DPF: {F6ACF75C-C32C-447B-9BEF-46B766368D29} (Creative Software AutoUpdate Support Package) - h**p://www.creative.com/su2/CTL_V02002/ocx/15030/CTPID.cab
O16 - DPF: {FE0BD779-44EE-4A4B-AA2E-743C63F2E5E6} (IWinAmpActiveX Class) - h**p://pdl.stream.aol.com/downloads/aol/unagi/ampx_en_dl.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{9AA013CE-BE83-4EA3-9BD9-116C6D1D70D8}: NameServer = 212.185.252.201,154.25.2.129
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bluetooth Service (btwdins) - WIDCOMM, Inc. - C:\Programme\Bluetooth Software\bin\btwdins.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Netropa NHK Server (nhksrv) - Unknown owner - C:\Programme\Netropa\Multimedia Keyboard\nhksrv.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: DSL-Manager (TDslMgrService) - T-Systems Enterprise Services GmbH - C:\Programme\T-Online\DSL-Manager\DslMgrSvc.exe
O24 - Desktop Component 1: Aqua Real - 7db39a0d-580f-4be9-9195-8bfcd226f6c2

--
End of file - 10456 bytes

BataAlexander · 23.05.2008, 22:09

Das HijackThis ist auch ok. Was machen die Fehlermeldungen?

roland56 · 23.05.2008, 22:12

keine Fehlermeldungen mehr....

Vielen vielen Dank für die Mühe, ohne dich hätte ich das nie geschafft.
Toll, daß es in der heutigen Zeit noch so nette und hilfsbereite Menschen gibt :-)

BataAlexander · 23.05.2008, 22:14

Ês gibt ja auch Leute die Programme wie Combofix schreiben, kostenfrei. Denen muss man danken.

Eins noch:

Um Combofix zu loeschen(den qoobox ordner) gebe unter Start /Ausführen "combofix /u" ein. Ohne die " natürlich.

23.05.2008, 19:21	#5
BataAlexander > MalwareDB	Habe ein Problem und brauche Hilfe Das Combofix Log ist unvollständig. Bitte poste es erneut! __________________ If every computer is running a diverse ecosystem, crackers will have no choice but to resort to small-scale, targetted attacks, and the days of mass-market malware will be over[...]. Stuart Udall

23.05.2008, 21:57	#11
BataAlexander > MalwareDB	Habe ein Problem und brauche Hilfe Sieht sehr viel besser aus, bitte ein neues, editiertes HijackThis Log und einen Bericht, was die Fehlermeldungen sagen. __________________ If every computer is running a diverse ecosystem, crackers will have no choice but to resort to small-scale, targetted attacks, and the days of mass-market malware will be over[...]. Stuart Udall

23.05.2008, 22:09	#13
BataAlexander > MalwareDB	Habe ein Problem und brauche Hilfe Das HijackThis ist auch ok. Was machen die Fehlermeldungen? __________________ If every computer is running a diverse ecosystem, crackers will have no choice but to resort to small-scale, targetted attacks, and the days of mass-market malware will be over[...]. Stuart Udall

Habe ein Problem und brauche Hilfe

Log-Analyse und Auswertung: Habe ein Problem und brauche Hilfe