Kann Trojaner Pakes Den 16 nicht löschen!

snafucactus · 29.06.2008, 12:16

Hallo,
gestern habe ich durch Zufall, da Google und Yahoo nicht mehr geladen haben, mehrere Trojaner geunden. Bis auf TR/Pakes.Den.16 konnte Antivir alle löschen.
Die Datei heißt C:/WINDOWS/SYSTEM32/wvUOiiig.dll und wird von Antivir eigentlich jedesmal, wenn ich etwas aufrufe, gemeldet. Wenn ich sie löschen will, sagt Antivir, ich hätte eventuell keine Zugriffsrechte (bin aber im Administrator-Account). Bei normal löschen oder mit Eraser das gleiche Problem. Habe es auch mit Unlocker versucht, aber dann kommt jedes Mal Bluescreen schwerer Systemfehler, das System wurde runtergefahren.
Habe dann Spyware Terminator laufen lassen, der hat den Trojaner nicht gefunden. Mit HijackThis fixen hat auch nichts gebracht.
Ich weiß jetzt langsam nicht mehr weiter und finde auch speziell zu diesem Trojaner keine Infos...
Kann mir jemand helfen?
Dankeschön
snafu

schrauber · 29.06.2008, 16:27

hi,

poste doch mal ein HijackThis logfile nach der anleitung in dem link. dann schauen wir mal

gruß

schrauber

undoreal · 30.06.2008, 07:23

Huhu..

Zitat:

Habe dann Spyware Terminator laufen lassen

Deinstalliere den Spyware Terminator!!! Der gehört zu den Fraud Tools!

snafucactus · 30.06.2008, 22:24

DAnke für die Antworten! Mittlerweile sind noch zwei Trojaner dazugekommen:
TR/Vundo.ewz.9 (wnlaoeyg.dll) und TR/Monder.WG (gchbti.dll) beide in system32...
hier der hijack-logfile:

Logfile of Trend Micro Hijack This v2.0.2
Scan saved at 23:17:36, on 30.06.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Terminator\sp_rsser.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\QTTask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\APPS\SMP\SmpSys.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Eraser\eraser.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.BIN
C:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [url=http://w*w.crawler.com/search/dispatcher.aspx?tp=aus&qkw=%s&tbid=60327]%s - Crawler.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url=http://w*w.deviantart.com/]deviantART: where ART meets application!
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\ger.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = [url=http://w*w.crawler.com/search/ie.aspx?tb_id=60327]Internet Explorer Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = [url=ht*p://dnl.crawler.com/support/sa_customize.aspx?TbId=60327]Search Assistant
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = [url=ht*p://www.crawler.com/search/ie.aspx?tb_id=60327]Internet Explorer Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = [url=ht*p://dnl.crawler.com/support/sa_customize.aspx?TbId=60327]Search Assistant
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = [url=ht*p://www.google.de/]Google
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
O2 - BHO: (no name) - {500DBD6E-6D95-4106-B9A2-DDDCCB2B30D1} - C:\WINDOWS\system32\wvUOiiig.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: {1989dadb-7968-9a49-de14-a5ace2b508c8} - {8c805b2e-ca5a-41ed-94a9-8697bdad9891} - C:\WINDOWS\system32\qwxmnm.dll
O2 - BHO: (no name) - {8E239B5F-0B77-4E8D-9456-EC8DD8CA7684} - C:\WINDOWS\system32\vtUkljJD.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [f8f31326] rundll32.exe "C:\WINDOWS\system32\wnlaoeyg.dll",b
O4 - HKLM\..\Run: [BMfbc020ba] Rundll32.exe "C:\WINDOWS\system32\ikoybsyd.dll",s
O4 - HKCU\..\Run: [SmpcSys] C:\APPS\SMP\SmpSys.exe
O4 - HKCU\..\Run: [Eraser] C:\Programme\Eraser\eraser.exe -hide
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Programme\OpenOffice.org 2.3\program\quickstart.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\ger.htm
O20 - Winlogon Notify: wvUOiiig - C:\WINDOWS\SYSTEM32\wvUOiiig.dll
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe (file missing)
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe (file missing)
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Spyware Terminator Realtime Shield Service (sp_rssrv) - Crawler.com - C:\Programme\Spyware Terminator\sp_rsser.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: USBDeviceService - Unknown owner - C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe

--
End of file - 8940 bytes

Spyware Terminator ist ein Fraud Tool? Den hab ich von chip.de runtergeladen. naja ich deinstalliere ihn mal.

danke erst mal
snafu

schrauber · 30.06.2008, 22:43

Hi,

Ja deinstalliere das tool,dann gehts so weiter:

1)

Lade das SDFix (erstellt von AndyManchesta) herunter und speichere es auf deinem Desktop.

Mach einen Doppelklick auf die Datei SDFix.exe, wähle installieren, um das Programm in seinen eigenen Ordner auf deinem Desktop zu entpacken.
Starte deinen Rechner neu auf, in den abgesicherten Modus .
Öffne den neu entstandenen SDFix Ordner, mach einen Doppelklick auf die RunThis.bat, um das Skript zu starten.
Gib ein Y ein, um den Reinigungsprozess zu beginnen.
Das Programm wird alle Trojaner Dienste und die dazugehörigen Registrierungseinträge löschen, die es findet.
Nun wirst du darum gebeten, einen Taste zu drücken, damit dein Rechner neu aufstarten kann.
Drücke auf eine Taste. Jetzt wird dein Rechner neu aufgestartet.
Wenn der Rechner neu aufgestartet ist, wird das Fixtool nocheinmal laufen, um den Reinigungsprozess zu vervollständigen.
Wenn das Programm angibt, dass es beendet ist (Finished), drücke wieder auf irgendeine Taste, um das Skript zu beenden und deine Desktop Iconen wieder zu laden.
Wenn die Desktop Icons wieder da sind, wird das Skript ein Fenster öffnen und das Ergebnis als einen Report.txt im Ordner SDFix speichern.
Kopiere den Inhalt dieses Report.txt und poste ihn, zusammen mit einem neuen HijackThis Logfile in deinem nächsten Posting.

2)
Drucke diese Anleitung aus oder speichere sie als *.txt Datei, damit du sie bei der Hand hast, wenn du offline arbeitest. Lies sie bitte gruendlich durch bevor du sie anwendest.

Downloade das Combofix, von einem dieser beiden Download Spiegel:

BleepingComputer
Fotospyware
GeeksToGo

Sollten die Links nicht funktionieren
und/oder es zu Problemen mit dem Starten des Programmes kommen,
frag bitte bei uns nach
und teile uns detailliert mit, was passiert ist.

speichere es auf deinem Desktop.

Während des Scans mit dem ComboFix soll(en):

vorsichtshalber alle Programme mit Hintergrundwaechtern inklusive deiner Firewall deaktiviert sein

(Liste der zu deaktivierenden Programme)

nichts am Rechner getan werden

Schliesse alle Anwendungen, wenn du das Combofix laufen lässt.
Wird eine Infektion gefunden, startet das Combofix deinen Rechner automatisch neu auf, um die Entfernung zu vervollständigen.
Schliesse dieses Fenster bitte nicht, sonst wirst du einen leeren Desktop zurück behalten.

1. Mach einen Doppelklick auf die ComboFix.exe.
Gib eine 1 ein, um den Scan zu starten, wenn du danach gefragt wirst.

2. Wenn der Scan beendet ist, wird er ein Logfile erstellen, den C:\ComboFix.txt
3. Poste den Inhalt dieses Logfiles.
4. Starte den Rechner neu auf.

Hinweise:

Stelle dein Antivirus Programm VOR dem scannen mit ComboFix ab, ebenso alle anderen Hintergrund Scanner, inklusive deiner Firewall, da es sonst zu Problemen kommen kann.
Klicke nicht mit der Maus in das Fenster des Combofix während es läuft.
Das könnte dein System einfrieren oder hängen bleiben lassen. Es kann circa eine Viertelstunde dauern, bis der Scan fertig ist.
Mach nichts anderes, wenn es dir nicht gelungen ist, das Combofix laufen zu lassen. Warte auf unsere Anweisungen.
Stelle das Script Blocking ab, wenn du den NAV installiert hast, damit die Programme einander nicht in die Wege kommen.

Hintergrundwaechter und die Firewall bitte wieder einschalten, wenn das ComboFix seinen Scan beendet und das Logfile ausgegeben hat.

Bitte bei Unklarheiten oder Problemen
mit dem abstellen der Programme
VOR DEM SCAN mit dem ComboFix
bei uns nachfragen.

3)
Scanne dein system mit Malwarebytes Anti-Malware, lass die funde löschen und poste das log.

gruß

schrauber

snafucactus · 01.07.2008, 21:24

Danke für die detaillierte Anleitung.
Schritt 1 habe ich genauso befolgt.

Hier der Report von SDFix:

SDFix: Version 1.199
Run by Packard Bell on 01.07.2008 at 22:12

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\DOKUME~1\PACKAR~1\Desktop\SDFix

Checking Services :

Restoring Default Security Values
Restoring Default Hosts File

Rebooting

Checking Files :

Trojan Files Found:

C:\WINDOWS\system32\wvUOiiig.dll - Deleted

Removing Temp Files

ADS Check :

Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, [url]http://www.gmer.net
Rootkit scan 2008-07-01 22:17:26
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

scanning hidden registry entries ...

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher]
"TracesProcessed"=dword:0000005a
"TracesSuccessful"=dword:00000004

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0

Remaining Services :

Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%ProgramFiles%\\Ahead\\SIPPS\\SIPPS.exe"="%ProgramFiles%\\Ahead\\SIPPS\\SIPPS.exe:*:Enabled:SIPPS"
"%ProgramFiles%\\sipgate X-Lite\\sipgateXLite.exe"="%ProgramFiles%\\sipgate X-Lite\\sipgateXLite.exe:*:Enabled:sipgateXLite"
"C:\\APPS\\Powercinema\\PowerCinema.exe"="C:\\APPS\\Powercinema\\PowerCinema.exe:*:Enabled:CyberLink PowerCinema Main Program"
"C:\\APPS\\Powercinema\\PCMService.exe"="C:\\APPS\\Powercinema\\PCMService.exe:*:Enabled:CyberLink PowerCinema Resident Program"
"C:\\APPS\\Powercinema\\Kernel\\DMS\\CLMSService.exe"="C:\\APPS\\Powercinema\\Kernel\\DMS\\CLMSService.exe:*:Enabled:CyberLink Media Server"
"C:\\APPS\\Powercinema\\Kernel\\DMS\\CLMSServer.exe"="C:\\APPS\\Powercinema\\Kernel\\DMS\\CLMSServer.exe:*:Enabled:CyberLink Media Server"
"C:\\APPS\\Powercinema\\Kernel\\DMSTV\\CLMSServer.exe"="C:\\APPS\\Powercinema\\Kernel\\DMSTV\\CLMSServer.exe:*:Enabled:CyberLink TV Server"
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe"="C:\\WINDOWS\\system32\\ZoneLabs\\avsys\\ScanningProcess.exe:*:Enabled:Kaspersky AV Scanner"
"C:\\Programme\\AOL 9.0\\aol.exe"="C:\\Programme\\AOL 9.0\\aol.exe:*

isabled:AOL"
"C:\\Programme\\Soulseek\\slsk.exe"="C:\\Programme\\Soulseek\\slsk.exe:*:Enabled:SoulSeek"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe:*:Enabled:hpqtra08.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe:*:Enabled:hpqste08.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe:*:Enabled:hpofxm08.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe:*:Enabled:hposfx08.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe:*:Enabled:hposid01.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe:*:Enabled:hpqscnvw.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe:*:Enabled:hpqkygrp.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe:*:Enabled:hpqcopy.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe:*:Enabled:hpfccopy.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe:*:Enabled:hpzwiz01.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe:*:Enabled:hpoews01.exe"
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"="C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe:*:Enabled:hpqnrs08.exe"
"C:\\Warhammer© Mark of Chaos\\Warhammer.exe"="C:\\Warhammer© Mark of Chaos\\Warhammer.exe:*

isabled:Warhammer©: Mark of ChaosT"
"C:\\Programme\\eMule\\emule.exe"="C:\\Programme\\eMule\\emule.exe:*:Enabled:eMule"
"C:\\generals\\game.dat"="C:\\generals\\game.dat:*:Enabled:game"
"C:\\Programme\\Quake3\\quake3.exe"="C:\\Programme\\Quake3\\quake3.exe:*:Enabled:quake3"
"C:\\counter\\games\\hl.exe"="C:\\counter\\games\\hl.exe:*:Enabled:Half-Life Launcher"
"C:\\dawn\\W40k.exe"="C:\\dawn\\W40k.exe:*:Enabled:W40k"
"C:\\Programme\\THQ\\Dawn of War - Dark Crusade\\DarkCrusade.exe"="C:\\Programme\\THQ\\Dawn of War - Dark Crusade\\DarkCrusade.exe:*

isabled

arkCrusade"
"C:\\Dokumente und Einstellungen\\Gast\\Startmen\\Programme\\THQ\\W40kWA.exe"="C:\\Dokumente und Einstellungen\\Gast\\Startmen\\Programme\\THQ\\W40kWA.exe:*

isabled:W40kWA"
"C:\\Programme\\iTunes\\iTunes.exe"="C:\\Programme\\iTunes\\iTunes.exe:*:Enabled:iTunes"
"C:\\APPS\\AOL 9.0\\waol.exe"="C:\\APPS\\AOL 9.0\\waol.exe:*:Enabled:AOL 9.0"
"C:\\Programme\\Real\\RealPlayer\\realplay.exe"="C:\\Programme\\Real\\RealPlayer\\realplay.exe:*:Enabled:RealPlayer"
"C:\\Dokumente und Einstellungen\\Gast\\Anwendungsdaten\\THQ\\Dawn of War - Soulstorm\\Soulstorm.exe"="C:\\Dokumente und Einstellungen\\Gast\\Anwendungsdaten\\THQ\\Dawn of War - Soulstorm\\Soulstorm.exe:*

isabled:Soulstorm"
"C:\\Programme\\DNA\\btdna.exe"="C:\\Programme\\DNA\\btdna.exe:*:Enabled

NA"
"C:\\Programme\\BitTorrent\\bittorrent.exe"="C:\\Programme\\BitTorrent\\bittorrent.exe:*:Enabled:BitTorrent"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\APPS\\AOL 9.0\\waol.exe"="C:\\APPS\\AOL 9.0\\waol.exe:*:Enabled:AOL 9.0"

Remaining Files :

File Backups: - C:\DOKUME~1\PACKAR~1\Desktop\SDFix\backups\backups.zip

Files with Hidden Attributes :

Sat 11 Mar 2006 210 A.SHR --- "C:\BOOT.BAK"
Thu 27 Dec 2007 48 A.SH. --- "C:\WINDOWS\S7202484F.tmp"
Wed 13 Oct 2004 1,694,208 A.SH. --- "C:\Programme\Messenger\msmsgs.exe"
Mon 28 Jan 2008 1,404,240 A.SHR --- "C:\Programme\Spybot - Search & Destroy\SDUpdate.exe"
Mon 28 Jan 2008 5,146,448 A.SHR --- "C:\Programme\Spybot - Search & Destroy\SpybotSD.exe"
Mon 28 Jan 2008 2,097,488 A.SHR --- "C:\Programme\Spybot - Search & Destroy\TeaTimer.exe"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\0a67b6c406b1d7e0f5c1e6f6d44a3f6e\BIT6B.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\18b19374451d28a8fbaf1939cf31ff45\BIT6E.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\26924cbc8132a10b438ce6e2b49d4652\BIT6A.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\2d9afc485ff57441ce14a08241df89e8\BIT70.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\ad2d37be81d37204b0a12680c06ffd51\BIT6D.tmp"
Wed 7 May 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\ccba472a05828aa2a3ee32c96c6466ca\BITBA.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\d77b9b5b8fed23dd91f50d167cce60d3\BIT6F.tmp"
Sat 23 Feb 2008 0 A..H. --- "C:\WINDOWS\SoftwareDistribution\Download\ed6c7531380802fe7c2504f3909edb19\BIT6C.tmp"
Sun 18 May 2008 1,714 ...HR --- "C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\SecuROM\UserData\securom_v7_01.bak"
Mon 29 Aug 2005 121,240 A..HR --- "C:\Dokumente und Einstellungen\Gast\Startmen\Programme\THQ\Disk1CheckW40k.EXE"
Sat 20 Aug 2005 121,237 A..HR --- "C:\Dokumente und Einstellungen\Gast\Startmen\Programme\THQ\Disk1Check.EXE"
Sun 23 Mar 2008 857 ...HR --- "C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\SecuROM\UserData\securom_v7_01.bak"
Thu 26 Apr 2001 9,124,984 A..H. --- "C:\Dokumente und Einstellungen\Packard Bell\Eigene Dateien\stick\ECDL- CDRom\logo\AR500DEU.EXE"

Finished!

schrauber · 01.07.2008, 21:26

sehr schön, dann jetzt der rest

gruß

schrauber

snafucactus · 01.07.2008, 21:28

und hier der neue Hijackthis-Logfile:

Logfile of Trend Micro Hijack This v2.0.2
Scan saved at 22:20:53, on 01.07.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\CDBurnerXP\NMSAccessU.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\notepad.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\QuickTime\QTTask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\WINDOWS\system32\Rundll32.exe
C:\APPS\SMP\SmpSys.exe
C:\Programme\Eraser\eraser.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.BIN
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = [url=http://www.crawler.com/search/dispatcher.aspx?tp=aus&qkw=%s&tbid=60327]%s - Crawler.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = [url=http://www.deviantart.com/]deviantART: where ART meets application!
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = file://C:\APPS\IE\offline\ger.htm
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,SearchAssistant = [url=http://www.crawler.com/search/ie.aspx?tb_id=60327]Internet Explorer Search
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = [url=http://dnl.crawler.com/support/sa_customize.aspx?TbId=60327]Search Assistant
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = [url=http://www.crawler.com/search/ie.aspx?tb_id=60327]Internet Explorer Search
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = [url=http://dnl.crawler.com/support/sa_customize.aspx?TbId=60327]Search Assistant
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = [url=http://www.google.de/]Google
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Packard Bell
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: {1989dadb-7968-9a49-de14-a5ace2b508c8} - {8c805b2e-ca5a-41ed-94a9-8697bdad9891} - C:\WINDOWS\system32\qwxmnm.dll
O2 - BHO: (no name) - {E635419B-A4A9-4E02-85A4-CA669F84847D} - C:\WINDOWS\system32\vtUkljJD.dll
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [f8f31326] rundll32.exe "C:\WINDOWS\system32\wnlaoeyg.dll",b
O4 - HKLM\..\Run: [BMfbc020ba] Rundll32.exe "C:\WINDOWS\system32\ikoybsyd.dll",s
O4 - HKCU\..\Run: [SmpcSys] C:\APPS\SMP\SmpSys.exe
O4 - HKCU\..\Run: [Eraser] C:\Programme\Eraser\eraser.exe -hide
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.3.lnk = C:\Programme\OpenOffice.org 2.3\program\quickstart.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\system32\Shdocvw.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=file://C:\APPS\IE\offline\ger.htm
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AOL Connectivity Service (AOL ACS) - America Online, Inc. - C:\Programme\Gemeinsame Dateien\AOL\ACS\AOLAcsd.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: CyberLink Background Capture Service (CBCS) (CLCapSvc) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe (file missing)
O23 - Service: CyberLink Task Scheduler (CTS) (CLSched) - Unknown owner - c:\APPS\Powercinema\Kernel\TV\CLSched.exe (file missing)
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NMSAccessU - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: USBDeviceService - Unknown owner - C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe

--
End of file - 8704 bytes

snafucactus · 01.07.2008, 21:34

leider lädt die liste der zu deaktivierenden Programme bei mir nicht.
ist da außer firewall, antivir und spybot noch was?

schrauber · 01.07.2008, 21:42

Antivir,Adaware, Firewall und Spybot.

bei Spybot ganz wichtig:

Teatimer abstellen
Mit laufendem TeaTimer von Spybot Search&Destroy lässt sich keine Reinigung durchführen, da er alle gelöschten Einträge wiederherstellt. Der Teatimer muss also während der Reinigungsarbeiten abgestellt werden (lasse den Teatimer so lange ausgeschaltet, bis wir mit der Reinigung fertig sind):
Starte Spybot S&D => stelle im Menü "Modus" den "Erweiterten Modus" ein => klicke dann links unten auf "Werkzeuge" => klicke auf "Resident" => das Häkchen entfernen bei Resident "TeaTimer" (Schutz aller Systemeinstellungen) => Spybot Search&Destroy schließen => Rechner neu starten.

snafucactus · 01.07.2008, 22:07

ok, soweit...
das combofix logfile:

ComboFix 08-06-30.2 - Packard Bell 2008-07-01 22:55:19.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.375 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Packard Bell\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BMfbc020ba.txt
C:\WINDOWS\cookies.ini
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\DJjlkUtv.ini
C:\WINDOWS\system32\DJjlkUtv.ini2
C:\WINDOWS\system32\etxkawpf.dll
C:\WINDOWS\system32\ghbcdakw.dll
C:\WINDOWS\system32\gyeoalnw.ini
C:\WINDOWS\system32\ikoybsyd.dll
C:\WINDOWS\system32\leowis.dll
C:\WINDOWS\system32\lgprhmyb.ini
C:\WINDOWS\system32\lpaufdxp.ini
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\mvykyaor.ini
C:\WINDOWS\system32\qmhvavqr.ini
C:\WINDOWS\system32\qwxmnm.dll
C:\WINDOWS\system32\ttuohwad.ini
C:\WINDOWS\system32\vtUkljJD.dll
C:\WINDOWS\system32\wnvkdeeu.dll
C:\WINDOWS\system32\xfpxqerd.dll
C:\WINDOWS\system32\xjnbex.dll

.
((((((((((((((((((((((( Dateien erstellt von 2008-06-01 bis 2008-07-01 ))))))))))))))))))))))))))))))
.

2008-07-01 22:09 . 2008-07-01 22:09 <DIR> d-------- C:\WINDOWS\ERUNT
2008-06-29 15:51 . 2008-06-29 15:51 <DIR> d-------- C:\Programme\Spybot - Search & Destroy
2008-06-29 15:51 . 2008-06-30 22:46 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-06-29 15:11 . 2008-06-29 15:15 <DIR> d-------- C:\!KillBox
2008-06-29 10:52 . 2008-06-29 10:57 335 --a------ C:\WINDOWS\system32\1214729559.(null)
2008-06-28 21:33 . 2008-06-28 21:34 <DIR> d-------- C:\Programme\Unlocker
2008-06-28 21:33 . 2008-06-28 21:33 <DIR> d-------- C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\Desktopicon
2008-06-28 20:55 . 2008-06-28 20:55 <DIR> d-------- C:\Programme\Trend Micro
2008-06-25 19:12 . 2008-06-25 19:12 <DIR> d-------- C:\WINDOWS\Crystal
2008-06-25 19:12 . 2008-06-25 19:12 <DIR> d-------- C:\Programme\Nemetschek
2008-06-25 19:12 . 2008-06-25 19:12 <DIR> d-------- C:\Daten
2008-06-25 19:12 . 2006-03-11 00:08 5,350,912 --a------ C:\WINDOWS\system32\crpe32.dll
2008-06-25 19:12 . 2006-03-11 00:08 679,424 --a------ C:\WINDOWS\system32\cr2c70de.dll
2008-06-25 19:12 . 2006-03-11 00:08 413,184 --a------ C:\WINDOWS\system32\cpeaut32.dll
2008-06-25 19:12 . 2006-03-11 00:08 183,296 --a------ C:\WINDOWS\system32\crpaig32.dll
2008-06-25 19:12 . 2006-03-11 00:08 171,520 --a------ C:\WINDOWS\system32\P2smon.dll
2008-06-25 19:12 . 2006-03-11 00:08 18,944 --a------ C:\WINDOWS\system32\implode.dll
2008-06-25 18:50 . 2008-06-25 18:50 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Nemetschek
2008-06-25 03:56 . 2008-07-01 22:46 110,415 --a------ C:\WINDOWS\BMfbc020ba.xml
2008-06-24 16:09 . 2008-06-24 16:09 <DIR> d-------- C:\Programme\BitTorrent
2008-06-24 16:09 . 2008-06-29 10:57 <DIR> d-------- C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\DNA
2008-06-24 16:09 . 2008-06-26 15:56 <DIR> d-------- C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\BitTorrent
2008-06-23 22:47 . 2008-06-23 22:47 <DIR> d-------- C:\WINDOWS\nvidia icons
2008-06-23 22:47 . 2008-05-03 05:46 182,347 --a------ C:\WINDOWS\system32\nvapps.nvb
2008-06-23 22:46 . 2008-06-23 22:46 <DIR> d-------- C:\NVIDIA
2008-06-17 19:01 . 2008-06-17 19:01 <DIR> d-------- C:\Dokumente und Einstellungen\Packard Bell\java_plugin_AppletStore
2008-06-14 22:13 . 2008-06-14 22:13 307 --a------ C:\WINDOWS\system32\202245664521.cpx
2008-06-11 15:53 . 2008-06-14 19:57 273,024 --------- C:\WINDOWS\system32\drivers\bthport.sys
2008-06-11 15:53 . 2008-06-14 19:57 273,024 --------- C:\WINDOWS\system32\dllcache\bthport.sys
2008-06-05 08:20 . 2008-06-05 12:20 <DIR> d-------- C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\Meine Die Schlacht um Mittelerde-Dateien
2008-06-04 22:01 . 2008-06-04 22:04 <DIR> d-------- C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\Meine Die Schlacht um Mittelerde-Dateien
2008-06-04 21:56 . 2008-06-04 21:56 <DIR> d-------- C:\spiele
2008-06-04 15:28 . 2008-06-04 15:34 <DIR> d-------- C:\Programme\Hammer & Sichel

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-07-01 20:59 --------- d-----w C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\OpenOffice.org2
2008-07-01 20:04 --------- d-----w C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\OpenOffice.org2
2008-06-29 10:51 --------- d-----w C:\Programme\Google
2008-06-29 09:31 --------- d-----w C:\Programme\Soulseek
2008-06-29 07:42 --------- d-----w C:\Programme\Mozilla Thunderbird
2008-06-28 17:22 --------- d-----w C:\Programme\Java
2008-06-28 12:37 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft Help
2008-06-28 12:32 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-06-25 17:12 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-06-24 12:52 --------- d-----w C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\AdobeUM
2008-05-26 11:30 --------- d-----w C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\DivX
2008-05-15 12:14 --------- d-----w C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\THQ
2008-05-15 12:14 --------- d-----w C:\Dokumente und Einstellungen\Gast\Anwendungsdaten\InstallShield Installation Information
2008-05-08 12:28 202,752 ----a-w C:\WINDOWS\system32\drivers\rmcast.sys
2008-05-03 03:46 6,554,496 ----a-w C:\WINDOWS\system32\drivers\nv4_mini.sys
2008-05-02 15:02 --------- d-----w C:\Programme\Gemeinsame Dateien\DVDVideoSoft
2008-05-02 14:53 --------- d-----w C:\Programme\DVDVideoSoft
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SmpcSys"="C:\APPS\SMP\SmpSys.exe" [2005-11-17 10:51 975360]
"Eraser"="C:\Programme\Eraser\eraser.exe" [2007-07-28 23:05 277328]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15:00 15360]
"SpybotSD TeaTimer"="C:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-01-28 11:43 2097488]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" [2004-08-04 15:00 208952]
"PHIME2002ASync"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-04 15:00 455168]
"PHIME2002A"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-04 15:00 455168]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-03 05:46 13529088]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 04:25 144784]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-04-18 10:44 262401]
"HP Software Update"="C:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2006-02-19 03:41 49152]
"RealTray"="C:\Programme\Real\RealPlayer\RealPlay.exe" [2006-03-11 06:55 26112]
"WinampAgent"="C:\Programme\Winamp\winampa.exe" [2008-01-16 00:54 37376]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-02-01 00:13 385024]
"iTunesHelper"="C:\Programme\iTunes\iTunesHelper.exe" [2008-02-19 14:10 267048]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2008-05-03 05:46 86016]
"UnlockerAssistant"="C:\Programme\Unlocker\UnlockerAssistant.exe" [2008-05-02 06:15 15872]
"RTHDCPL"="RTHDCPL.EXE" [2006-07-21 16:56 16261632 C:\WINDOWS\RTHDCPL.exe]
"SkyTel"="SkyTel.EXE" [2006-05-16 18:04 2879488 C:\WINDOWS\SkyTel.exe]
"nwiz"="nwiz.exe" [2008-05-03 05:46 1630208 C:\WINDOWS\system32\nwiz.exe]
"Alcmtr"="ALCMTR.EXE" [2005-05-03 18:43 69632 C:\WINDOWS\Alcmtr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 15:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"msacm.dvacm"= C:\PROGRA~1\GEMEIN~1\ULEADS~1\Vio\Dvacm.acm
"msacm.mpegacm"= mpegacm.acm
"msacm.ulmp3acm"= ulmp3acm.acm

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%ProgramFiles%\\Ahead\\SIPPS\\SIPPS.exe"=
"%ProgramFiles%\\sipgate X-Lite\\sipgateXLite.exe"=
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Soulseek\\slsk.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqtra08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqste08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpofxm08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposfx08.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hposid01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqscnvw.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqkygrp.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqCopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpfccopy.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpzwiz01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpoews01.exe"=
"C:\\Programme\\HP\\Digital Imaging\\bin\\hpqnrs08.exe"=
"C:\\counter\\games\\hl.exe"=
"C:\\Programme\\THQ\\Dawn of War - Dark Crusade\\DarkCrusade.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"C:\\Dokumente und Einstellungen\\Gast\\Anwendungsdaten\\THQ\\Dawn of War - Soulstorm\\Soulstorm.exe"=
"C:\\Programme\\BitTorrent\\bittorrent.exe"=

R2 NMSAccessU;NMSAccessU;C:\Programme\CDBurnerXP\NMSAccessU.exe [2007-10-12 09:34]

.
Inhalt des "geplante Tasks" Ordners
"2008-06-19 11:03:05 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job"
- C:\Programme\Apple Software Update\SoftwareUpdate.exe
.
- - - - ORPHANS REMOVED - - - -

BHO-{8c805b2e-ca5a-41ed-94a9-8697bdad9891} - (no file)
BHO-{E635419B-A4A9-4E02-85A4-CA669F84847D} - (no file)
HKLM-Run-f8f31326 - C:\WINDOWS\system32\wnlaoeyg.dll
HKLM-Run-BMfbc020ba - C:\WINDOWS\system32\ikoybsyd.dll

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, [url]http://www.gmer.net
Rootkit scan 2008-07-01 22:58:53
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
"ImagePath"="\"c:\APPS\Powercinema\Kernel\TV\CLCapSvc.exe\"\00\00\00\00\02\00\00\00@
[%\00«Ô’|\00\00\00\00\00\00\00\00\00\00\00\00(\00\00\00\00\00*\03pè\13\00pè\13\00\18î"

.
------------------------ Other Running Processes ------------------------
.
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.exe
C:\Programme\OpenOffice.org 2.3\program\soffice.bin
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\HP\Digital Imaging\bin\hpqste08.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-07-01 23:01:19 - machine was rebooted
ComboFix-quarantined-files.txt 2008-07-01 21:01:17

18 Verzeichnis(se), 98,294,022,144 Bytes frei
25 Verzeichnis(se), 98,367,369,216 Bytes frei

194 --- E O F --- 2008-06-28 17:24:38

schrauber · 01.07.2008, 22:40

hi,

Kaspersky Online Scan
Überprüfe Dein komplettes System mit dem Kaspersky Online-Scanner. Bitte während des Scans alle evtl. vorhandenen externen Festplatten einschalten/anschließen. Außerdem während des Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliche) abstellen und nicht vergessen, sie hinterher wieder einzuschalten. Java muss aktiv sein. Bei Nutzung des Internet Explorer musst Du die ActiveX Steuerelemente (Controls) zulassen. Wenn es nicht funktioniert, die jeweilige Seite zu den Sicheren hinzufügen bzw. die Sicherheitseinstellungen (Extras => Internetoptionen) für die Internetzone herabsetzen (danach aber sofort wieder hochsetzen). Der Scan kann auch mit dem Firefox ausgeführt werden. Dafür muss Java installiert und aktiv/erlaubt sein. Bebilderte Anleitung von sundavis.

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick.
Wir werden Dir helfen, die Funde manuell vom System zu entfernen.

Browser öffnen und
Kaspersky Online Scanner ansurfen.
Die Datenschutzerklärung akzeptieren.
Die nötigen ActiveX-Steuerelemente installieren lassen.
Update der Signaturen installieren lassen => Weiter
Scan-Einstellungen => Standard wählen => OK
Link "Arbeitsplatz" anklicken
Scan beginnt automatisch
Untersuchung wurde abgeschlossen => Protokoll speichern als...
Dateityp auf .txt umstellen => und auf dem Desktop als Kaspersky.txt speichern
Logdatei hier posten.

Deinstallation
nicht nötig, alle Dateien werden in temporären Ordnern gespeichert
=> C:\Dokumente und Einstellungen\<Benutzername>\Lokale Einstellungen\Temp\jkos-<Benutzername>

gruß

schrauber

snafucactus · 01.07.2008, 23:26

hier der logfile anti-malware:
Malwarebytes' Anti-Malware 1.19
Datenbank Version: 912
Windows 5.1.2600 Service Pack 2

23:50:20 01.07.2008
mbam-log-7-1-2008 (23-50-20).txt

Scan Art: Komplett Scan (C:\|D:\|E:\|F:\|G:\|H:\|)
Objekte gescannt: 136762
Scan Dauer: 35 minute(s), 53 second(s)

Infizierte Speicher Prozesse: 0
Infizierte Speicher Module: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 1
Infizierte Datei Objekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 8

Infizierte Speicher Prozesse:
(Keine Malware Objekte gefunden)

Infizierte Speicher Module:
(Keine Malware Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine Malware Objekte gefunden)

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\f8f31326 (Trojan.Vundo) -> Quarantined and deleted successfully.

Infizierte Datei Objekte der Registrierung:
(Keine Malware Objekte gefunden)

Infizierte Verzeichnisse:
(Keine Malware Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Packard Bell\Anwendungsdaten\Desktopicon\eBayShortcuts.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\QooBox\Quarantine\C\WINDOWS\system32\vtUkljJD.dll.vir (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{66234F2B-C93E-4D94-8BDB-1899CBBA9319}\RP124\A0050113.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{66234F2B-C93E-4D94-8BDB-1899CBBA9319}\RP124\A0050131.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{66234F2B-C93E-4D94-8BDB-1899CBBA9319}\RP132\A0057437.dll (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\202245664512.CPX (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\202245664521.cpx (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\clkcnt.txt (Trojan.Vundo) -> Quarantined and deleted successfully.

kann momentan den kaspersky online scanner nicht benutzen, da der anscheinend mein java update nicht erkennt...

vielen dank für die hilfe erstmal
snafu

schrauber · 02.07.2008, 17:33

dann nimm diesen onlinescanner

.

gruß

schrauber

snafucactus · 06.07.2008, 11:56

so, hier jetzt noch der scan log von F-secure:

Scanning Report
Sunday, July 06, 2008 11:55:22 - 12:49:50

Scanning type: Scan system for malware, rootkits
Target: C:\
Result: 1 malware found
Tracking Cookie (spyware)

* System

Statistics
Scanned:

* Files: 54933
* System: 4188
* Not scanned: 8

Actions:

* Disinfected: 0
* Renamed: 0
* Deleted: 0
* None: 1
* Submitted: 0

Files not scanned:

* C:\HIBERFIL.SYS
* C:\PAGEFILE.SYS
* C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
* C:\WINDOWS\SYSTEM32\CONFIG\SAM
* C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
* C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
* C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM
* C:\!KILLBOX\WVUOIIIG.DLL

Options
Scanning engines:

* F-Secure USS: 2.30.0
* F-Secure Hydra: 2.8.8110, 2008-07-04
* F-Secure AVP: 7.0.171, 2008-07-05
* F-Secure Pegasus: 1.20.0, 2008-04-15
* F-Secure Blacklight: 1.0.68

Scanning options:

* Scan defined files: COM EXE SYS OV? BIN SCR DLL SHS HTM HTML HTT VBS JS INF VXD DO? XL? RTF CPL WIZ HTA PP? PWZ P?T MSO PIF . ACM ASP AX CNV CSC DRV INI MDB MPD MPP MPT OBD OBT OCX PCI TLB TSP WBK WBT WPC WSH VWP WML BOO HLP TD0 TT6 MSG ASD JSE VBE WSC CHM EML PRC SHB LNK WSF {* PDF ZL? XML ZIP XXX ANI AVB BAT CMD JPG LSP MAP MHT MIF PHP POT SWF WMF NWS TAR
* Use Advanced heuristics

Jetzt lasse ich nochmal Antivir scannen. Ich hoffe jetzt ist alles weg.
Vielen, vielen Dank für die Hilfe!!!
snafu

29.06.2008, 16:27	#2
schrauber /// the machine /// TB-Ausbilder	Kann Trojaner Pakes Den 16 nicht löschen! hi, poste doch mal ein HijackThis logfile nach der anleitung in dem link. dann schauen wir mal gruß schrauber __________________ __________________

01.07.2008, 21:26	#7
schrauber /// the machine /// TB-Ausbilder	Kann Trojaner Pakes Den 16 nicht löschen! sehr schön, dann jetzt der rest gruß schrauber __________________ gruß, schrauber *Proud Member of UNITE and ASAP since 2009* Spenden Anleitungen und Hilfestellungen Trojaner-Board Facebook-Seite Keine Hilfestellung via PM!

02.07.2008, 17:33	#14
schrauber /// the machine /// TB-Ausbilder	Kann Trojaner Pakes Den 16 nicht löschen! dann nimm diesen onlinescanner . gruß schrauber __________________ gruß, schrauber *Proud Member of UNITE and ASAP since 2009* Spenden Anleitungen und Hilfestellungen Trojaner-Board Facebook-Seite Keine Hilfestellung via PM!

Kann Trojaner Pakes Den 16 nicht löschen!

Plagegeister aller Art und deren Bekämpfung: Kann Trojaner Pakes Den 16 nicht löschen!