Ich betreibe ein Notebook mit Windows XP. Beim Surfen im Internet mit dem Browser Firefox erschien bei Betätigung eines Links "Click here to go back" -javascript:history.back () - eine Meldung von AntivirGuard über das Auftreten eines Trojaners mit der Option "Löschen, Quarantäne etc". An den genauen Text oder eine nähere Bezeichnung erinnere ich mich nicht. Ich habe Löschen gewählt und dann den Link noch mehrmals betätigt, immer wieder mit der gleichen Meldung - und der gleichen Reaktion "Löschen". Trotz Löschen kam die Meldung bei Betätigung desselben Links immer wieder.

Da das Notebook außerdem noch relativ langsam hochfährt, interessiert mich, wie man feststellen kann, ob der von AntivirGuard angezeigte Trojaner vielleicht doch erfolgreich gelöscht wurde.


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 10:12:19, on 15.08.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\ENE\TSC\ETSCSERVICE.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\Steganos Security Suite 2007\PasswordManagerFFAutoFill.exe
C:\Programme\Steganos Security Suite 2007\SteganosHotKeyService.exe
C:\Programme\Steganos Security Suite 2007\fredirstarter.exe
C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe
C:\Programme\SkySoftware\SkyWin.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_07\bin\jusched.exe
C:\Programme\Microsoft ActiveSync\Wcescomm.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Power DVD Player\PowerDVDPlayer.exe
C:\Dokumente und Einstellungen\HHE\Anwendungsdaten\Opera\Opera\prof ile\cache4\temporary_download\clock\CLOCK.EXE
C:\PROGRA~1\MICROS~3\rapimgr.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\PROGRA~1\WinTV\EPG Services\System\EPGService.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\WINDOWS\system32\SatSrv.exe
c:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.defaulthomepage.info
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Steganos Password Manager AutoFill - {1427A821-7B93-4F08-9A34-9FA03A3D93DB} - C:\Programme\Steganos Security Suite 2007\PasswordManagerBHO.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119 .1736\swg.dll
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [SSS2007 PasswordManagerFFAutoFill] "C:\Programme\Steganos Security Suite 2007\PasswordManagerFFAutoFill.exe"
O4 - HKLM\..\Run: [SSS2007 HotKeys] "C:\Programme\Steganos Security Suite 2007\SteganosHotKeyService.exe"
O4 - HKLM\..\Run: [SSS2007 File Redirection Starter] "C:\Programme\Steganos Security Suite 2007\fredirstarter.exe"
O4 - HKLM\..\Run: [HDAudDeck] C:\Programme\VIA\VIAudioi\HDADeck\HDeck.exe 1
O4 - HKLM\..\Run: [SkyWin] C:\Programme\SkySoftware\SkyWin.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe "
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\Wcescomm.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [Power DVD Player] "C:\Programme\Power DVD Player\PowerDVDPlayer.exe" hmw
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: Analoguhr.lnk = C:\Dokumente und Einstellungen\XXX\Anwendungsdaten\Opera\Opera\prof ile\cache4\temporary_download\clock\CLOCK.EXE
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MICROS~3\INetRepl.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1162468014625
O16 - DPF: {745395C8-D0E1-4227-8586-624CA9A10A8D} (AxisMediaControl Class) - h**p://doonan.axiscam.net:8088/activex/AMC.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BGRaSvc - Unknown owner - C:\Programme\BullGuard Software\BullGuard\support\bgrasvc.exe (file missing)
O23 - Service: EPGService - Hauppauge Computer Works - C:\PROGRA~1\WinTV\EPG Services\System\EPGService.exe
O23 - Service: ETSCSERVICE Service (ETSCSERVICE) - Walter Oney Software - C:\Programme\ENE\TSC\ETSCSERVICE.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: HauppaugeTVServer - Hauppauge Computer Works - C:\PROGRA~1\WinTV\HCWTVS~1.EXE
O23 - Service: Steganos AntiTheft (SatSrv) - Unknown owner - C:\WINDOWS\system32\\SatSrv.exe
O23 - Service: TOSHIBA Bluetooth Service - TOSHIBA CORPORATION - c:\Programme\Toshiba\Bluetooth Toshiba Stack\TosBtSrv.exe

--
End of file - 7785 bytes

Vielen Dank im voraus!!

Hallo und

Acker das hier für weitere Analysen ab:

1.) Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:

C:\Programme\ENE\TSC\ETSCSERVICE.exe
         

2.) Backlight und Malwarebytes Antimalware ausführen und Logfile posten

3.) ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

Poste die Logfiles bitte mit Codetags umschlossen (#-Button) also so:

[code] Hier das Logfile rein! [/code]

4.) Mach auch ein Filelisting mit diesem script:

• Script abspeichern per Rechtsklick, speichern unter auf dem Desktop
• Doppelklick auf listing8.cmd auf dem Desktop
• nach kurzer Zeit erscheint eine listing.txt auf dem Desktop

Diese listing.txt z.B. bei File-Upload.net hochladen und hier verlinken, da dieses Logfile zu groß fürs Board ist.

Vielen Dank root24.

Leider komme ich nicht voran, denn ich scheiteres schon bei Pkt. 1. - Ich habe dafür gesorgt, dass alle Dateien angezeigt werden, die Datei "C:\Programme\ENE\TSC\ETSCSERVICE.exe" lässt sich aber trotz aller Such-Bemühungen nicht finden.

Danke im voraus für weitere Hilfe!!

Dann überspring diesen Punkt einfach.

Auswertung


Vielen Dank root24!





Pkt. 2 Backlight und Malwarebytes Antimalware ausfgeführt. Keine Befunde.

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1071
Windows 5.1.2600 Service Pack 2

12:04:52 20.08.2008
mbam-log-08-20-2008 (12-04-52).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 188159
Laufzeit: 1 hour(s), 47 minute(s), 2 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)


Pkt. 3.

ComboFix.

Dieses Programm habe ich noch nicht gestartet.

Pkt. 4

Filelisting mit diesem Script:

Hier der Link: File-Upload.net - listing8.cmd

Vielen Dank im voraus für weitere Hilfe !!!!

Du solltest das script ausführen und dann die listing.txt hochladen - nicht das script selbst!

Very sorry root24:

Hier ist der richtige Link zu Pkt. 4:


File-Upload.net - listing.txt

Vielen Dank

Machst Du noch den Durchlauf mit Combofix? Auf dem ersten Blick fiel mir im Filelisting nix auf.

Hier ist das Ergebnis des Durchlaufs mit Combofix:

Danke im voraus für Checking:

ComboFix 08-08-18.05 - HAE 2008-08-20 13:49:30.1 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.1.1031.18.638 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\HAE\Desktop\ComboFix.exe
Command switches used :: C:\Dokumente und Einstellungen\HAE\Desktop\WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
 * Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((((((((((((((((   Weitere L”schungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\Default User\UserData
C:\Dokumente und Einstellungen\Default User\UserData\index.dat
C:\Dokumente und Einstellungen\Default User\UserData\Y5RHF08O\oWindowsUpdate[1].xml
C:\Dokumente und Einstellungen\HAE\UserData
C:\Dokumente und Einstellungen\HAE\UserData\2JYO729U\YL[1].xml
C:\Dokumente und Einstellungen\HAE\UserData\index.dat
C:\Dokumente und Einstellungen\HAE\UserData\OMTR0YIZ\oXMLStore[1].xml
C:\Dokumente und Einstellungen\HAE\UserData\UFJ2RCB8\oWindowsUpdate[1].xml
C:\Dokumente und Einstellungen\HAE\UserData\Y5RHF08O\oWindowsUpdate[1].xml
C:\WINDOWS\Downloaded Program Files\setup.inf
C:\WINDOWS\system32\config\systemprofile\UserData
C:\WINDOWS\system32\config\systemprofile\UserData\index.dat
C:\WINDOWS\system32\config\systemprofile\UserData\Y5RHF08O\oWindowsUpdate[1].xml

.
(((((((((((((((((((((((   Dateien erstellt von 2008-07-20 bis 2008-08-20  ))))))))))))))))))))))))))))))
.

2008-08-20 13:23 . 2008-08-20 13:23	<DIR>	d--------	C:\Programme\CCleaner
2008-08-20 10:13 . 2008-08-20 12:45	<DIR>	d--------	C:\Programme\Malwarebytes' Anti-Malware
2008-08-20 10:13 . 2008-08-20 10:13	<DIR>	d--------	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\Malwarebytes
2008-08-20 10:13 . 2008-08-20 10:13	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-20 10:13 . 2008-08-17 15:01	38,472	--a------	C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-20 10:13 . 2008-08-17 15:01	17,144	--a------	C:\WINDOWS\system32\drivers\mbam.sys
2008-08-19 15:58 . 2008-08-19 15:58	<DIR>	d--------	C:\Programme\bhv
2008-08-19 11:07 . 2008-08-19 11:07	<DIR>	d--------	C:\WINDOWS\~DPReader
2008-08-16 12:08 . 2008-08-16 12:08	<DIR>	d--------	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\Avira
2008-08-16 10:31 . 2008-08-16 10:44	<DIR>	d--------	C:\Programme\Security Task Manager
2008-08-16 10:31 . 2008-08-16 10:44	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan
2008-08-16 09:46 . 2008-08-16 09:46	<DIR>	d--------	C:\Programme\Trend Micro
2008-08-15 12:28 . 2008-08-15 12:28	<DIR>	d--------	C:\Programme\Audacity
2008-08-01 14:29 . 2008-08-16 10:18	<DIR>	d--------	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\OpenOffice.org2
2008-08-01 14:27 . 2008-08-01 14:27	<DIR>	d--------	C:\Programme\OpenOffice.org 2.4
2008-08-01 14:01 . 2008-08-01 14:01	6,144	--ahs----	C:\WINDOWS\system32\access.ctl
2008-08-01 13:59 . 2008-08-01 14:08	<DIR>	d--------	C:\Programme\ExpressZIP
2008-07-29 10:42 . 2008-07-29 10:42	<DIR>	d--------	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\GMX
2008-07-29 10:41 . 2008-07-29 10:41	<DIR>	d--------	C:\Programme\GMX
2008-07-29 10:41 . 2008-07-29 10:41	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\GMX
2008-07-29 10:41 . 2008-04-01 12:54	90,112	--a------	C:\WINDOWS\system32\UIGMXMON.DLL
2008-07-21 15:17 . 2008-07-21 15:17	51,356	--ah-----	C:\WINDOWS\system32\mlfcache.dat

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-20 11:48	---------	d-----w	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\SmartSurfer
2008-08-20 09:05	---------	d-----w	C:\Programme\AntiVir PersonalEdition Premium
2008-08-20 09:05	---------	d-----w	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Premium
2008-08-18 13:09	---------	d-----w	C:\Programme\FreePDF_XP
2008-08-16 08:47	---------	d-----w	C:\Programme\Google
2008-08-16 07:50	---------	d-----w	C:\Programme\Logitech
2008-08-13 16:27	4,282	----a-w	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\wklnhst.dat
2008-07-25 10:36	---------	d-----w	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\gtk-2.0
2008-07-24 09:43	---------	d-----w	C:\Programme\WinTV
2008-07-19 19:56	---------	d-----w	C:\Programme\Picasa2
2008-07-19 19:04	---------	d-----w	C:\Programme\GIMP-2.0
2008-07-17 15:44	---------	d-----w	C:\Programme\Opera
2008-07-07 20:30	253,952	----a-w	C:\WINDOWS\system32\es.dll
2008-06-25 12:46	---------	d-----w	C:\Programme\TuneUp Utilities 2008
2008-06-25 12:45	355,584	----a-w	C:\WINDOWS\system32\TuneUpDefragService.exe
2008-06-25 12:45	---------	d-----w	C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\TuneUp Software
2008-06-25 12:44	---------	d-----w	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TuneUp Software
2008-06-25 12:43	---------	d-----w	C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-06-24 16:22	74,240	----a-w	C:\WINDOWS\system32\mscms.dll
2008-06-23 16:14	672,768	----a-w	C:\WINDOWS\system32\wininet.dll
2008-06-20 17:36	247,296	----a-w	C:\WINDOWS\system32\mswsock.dll
2008-06-20 10:44	360,960	----a-w	C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 10:44	138,368	----a-w	C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 09:32	225,920	----a-w	C:\WINDOWS\system32\drivers\tcpip6.sys
2008-05-29 07:28	28,416	----a-w	C:\WINDOWS\system32\uxtuneup.dll
2008-03-12 08:05	32	----a-w	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2007-08-21 08:12	156,154	----a-w	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\firstlsp.reg.dat
.

((((((((((((((((((((((((((((   Autostart Punkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"H/PC Connection Agent"="C:\Programme\Microsoft ActiveSync\wcescomm.exe" [2006-11-13 14:50 1289000]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SynTPLpr"="C:\Programme\Synaptics\SynTP\SynTPLpr.exe" [2005-03-18 15:35 98393]
"SynTPEnh"="C:\Programme\Synaptics\SynTP\SynTPEnh.exe" [2005-03-18 15:34 688217]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-03-10 17:07 5566464]
"Logitech Hardware Abstraction Layer"="C:\Programme\Gemeinsame Dateien\Logitech\khalshared\KHALMNPR.EXE" [2006-07-19 12:03 94208]
"avgnt"="C:\Programme\AntiVir PersonalEdition Premium\avgnt.exe" [2008-07-21 14:17 266497]
"MSConfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2004-08-04 14:00 160768]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2007-10-19 21:16 286720]
"FreePDF Assistant"="C:\Programme\FreePDF_XP\fpassist.exe" [2008-07-22 22:44 357376]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2006-07-19 12:03 94208 C:\WINDOWS\KHALMNPR.Exe]
"AlcWzrd"="ALCWZRD.EXE" [2005-03-10 09:49 2803712 C:\WINDOWS\ALCWZRD.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\FreePDF Assistant]
--a------ 2008-07-22 22:44 357376 C:\Programme\FreePDF_XP\fpassist.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\H/PC Connection Agent]
--a------ 2006-11-13 14:50 1289000 C:\Programme\Microsoft ActiveSync\wcescomm.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"Yahoo! Pager"=C:\Programme\Yahoo!\Messenger\ypager.exe -quiet
"H/PC Connection Agent"="C:\Programme\Microsoft ActiveSync\wcescomm.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SoundMan"=SOUNDMAN.EXE
"RemoteControl"=C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
"InstantOn"="C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
"nwiz"=nwiz.exe /install
"SMSERIAL"=sm56hlpr.exe
"ISUSScheduler"="C:\Programme\Gemeinsame Dateien\InstallShield\UpdateService\issch.exe" -start
"Verknüpfung mit der High Definition Audio-Eigenschaftenseite"=HDAShCut.exe
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" -atboottime
"NeroFilterCheck"=C:\WINDOWS\system32\NeroCheck.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Yahoo!\\Messenger\\YPager.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=
"C:\Programme\Microsoft ActiveSync\WCESMgr.exe"= C:\Programme\Microsoft ActiveSync\WCESMgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Application
"C:\Programme\Microsoft ActiveSync\wcescomm.exe"= C:\Programme\Microsoft ActiveSync\wcescomm.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync Connection Manager
"C:\Programme\Microsoft ActiveSync\rapimgr.exe"= C:\Programme\Microsoft ActiveSync\rapimgr.exe:169.254.2.0/255.255.255.0:Enabled:ActiveSync RAPI Manager

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"26675:TCP"= 26675:TCP:169.254.2.0/255.255.255.0:Enabled:ActiveSync Service

R2 acedrv10;acedrv10;C:\WINDOWS\system32\drivers\acedrv10.sys [2007-07-24 09:45]
R2 acehlp10;acehlp10;C:\WINDOWS\system32\drivers\acehlp10.sys [2007-07-11 10:20]
R2 AntiVirMailService;AntiVir PersonalEdition Premium MailGuard;C:\Programme\AntiVir PersonalEdition Premium\avmailc.exe [2008-07-21 14:17]
R2 AVEService;AntiVir PersonalEdition Premium MailGuard Hilfsdienst;C:\Programme\AntiVir PersonalEdition Premium\avesvc.exe [2008-07-21 14:17]
R2 LBeepKE;LBeepKE;C:\WINDOWS\system32\Drivers\LBeepKE.sys [2006-09-01 12:32]
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2004-08-04 14:00]
S3 HauppaugeTVServer;HauppaugeTVServer;C:\PROGRA~1\WinTV\HCWTVS~1.EXE [2008-03-31 16:18]
S3 hcw95bda;Hauppauge MOD7700 Tuner Driver;C:\WINDOWS\system32\Drivers\hcw95bda.sys [2008-04-17 17:58]
S3 hcw95rc;Hauppauge MOD7700 IR Driver;C:\WINDOWS\system32\DRIVERS\hcw95rc.sys [2008-04-17 17:59]
S3 Slazldrv;SmartLink AMR_PCI Driver;C:\WINDOWS\system32\DRIVERS\SLDRV\slazldrv.sys [2005-02-07 18:33]
S3 TuneUp.Defrag;TuneUp Drive Defrag-Dienst;C:\WINDOWS\System32\TuneUpDefragService.exe [2008-06-25 14:45]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp
.
.
------- Zus„tzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\HAE\Anwendungsdaten\Mozilla\Firefox\Profiles\ekuh9l5o.default\
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-20 13:53:54
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\Programme\AntiVir PersonalEdition Premium\avguard.exe
C:\Programme\AntiVir PersonalEdition Premium\sched.exe
C:\WINDOWS\system32\slserv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Dokumente und Einstellungen\HAE\Startmenü\Programme\Autostart\CLOCK.EXE
C:\PROGRA~1\MICROS~4\rapimgr.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-08-20 13:58:27 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2008-08-20 11:58:24

Pre-Run: 26 Verzeichnis(se), 53,882,048,512 Bytes frei
Post-Run: 31 Verzeichnis(se), 53,850,640,384 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

178	--- E O F ---	2008-08-16 07:32:58
         

C:\WINDOWS\~DPReader
         

Kennst Du diesen Ordner? Überprüf mal den Inhalt. Am besten mit diesem Befehl:

dir c:\windows\~DPReader /o:-d > c:\dpreader.txt
         

Öffne dann die Datei c:\dpreader.txt und poste den Inhalt.

C:\Programme\bhv
         

Den Ordner kenn ich ebenfall nicht.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
         

Überprüfe, ob die Windows-Firewall läuft.

c:\windows\~DPReader: Der Ordner ist leer

c:\dpreader.txt: Datei ist nicht auffindbar

C:\Programme\bhv: Spanisch 3.0 Vokabeltrainer in Distribution der bhv Software GmbH - gerade erst installiert

Windows-Firewall war nur während der Nutzung des Programms CombiFix deaktivert und ist natürlich jetzt wieder aktiv.

Danke root24:

Hier sind nocheinmal meine Antworten auf Deine letzten Hinweise:

c:\windows\~DPReader: Der Ordner ist leer

c:\dpreader.txt: Datei ist nicht auffindbar

C:\Programme\bhv: Spanisch 3.0 Vokabeltrainer in Distribution der bhv Software GmbH - gerade erst installiert

Windows-Firewall war nur während der Nutzung des Programms CombiFix deaktivert und ist natürlich jetzt wieder aktiv.

Was soll ich jetzt machen?

Ich habe aktuell sonst keine Probleme mit Ausnahme der Tatsache, dass das Notebook aktuell ganz unewohnt extrem langsam herunterfährt.

Vielen Dank für jede Hilfe im voraus.

Zitat von fraeb

Danke root24:

Hier sind nocheinmal meine Antworten auf Deine letzten Hinweise:

c:\windows\~DPReader: Der Ordner ist leer

Ok. Löschen würde ich ihn trotzdem.

c:\dpreader.txt: Datei ist nicht auffindbar

Wäre sie schon wenn Du den Befehl ausgeführt hättest. ist aber nicht notwendig wenn der o.g. Ordner wirklich leer ist.

Ich habe aktuell sonst keine Probleme mit Ausnahme der Tatsache, dass das Notebook aktuell ganz unewohnt extrem langsam herunterfährt.

Da kann ich mir keinen Reim drauf machen. Ich kann langsames Herunterfahren nur im Zusammenhang mit XP-Antispy, viele User stellen ein, die Auslagerungsdatei bei jedem Herunterfahren zu löschen bzw. überschreiben, was aber IMHO keinen Sinn ergibt den Shutdown aber ziemlich in die Länge zieht.

Hallo root24, nochmals Dank!

Habe "c:\windows\~DPReader:" gelöscht

Die Auslagerungsdatei wird nicht gelöscht. Die Einstellung "HKEY_LOCAL_MACHINE >System > CurrentControlSet > Control > SessionManager > MemoryManagement > ClearPageFileAtShutdown" steht auf 0.

Trotzdem fährt das Notebook aktuell nur noch im Schneckentempo herunter. Gibt es noch irgendwelche Empfehlungen, die mir zur Klärung helfen könnten?

Vielen Dank im voraus !!!