Habe Trojaner TR/BHO.Ge alias W32/Podnuha, kommt bai jedem Neustart wieder

Gerald

Hallo,
seit gestern sagt mein AntiVir bei jedem Neustart ich hätte einen Wurm in einer Datei unter c:\WINNT\SYTEM32. Die Datei habe ich gelöscht oder gesperrt oder in Qarantäne gesteckt. Beim nächsten Systemstart kommt wieder eine, der Name wechselt und ist immer ähnlich einem wirklichen Namen einer DLL-Datei, und immer 91k groß. Habe die Datei bei Virustotal geprüft, dort kommen die aufgelisteten Namen für den Wurm.

Betriebssystem WIN2000

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.10.18.0 2008.10.17 -
AntiVir 7.9.0.5 2008.10.17 TR/BHO.Gen
Authentium 5.1.0.4 2008.10.17 -
Avast 4.8.1248.0 2008.10.15 -
AVG 8.0.0.161 2008.10.17 -
BitDefender 7.2 2008.10.17 -
CAT-QuickHeal 9.50 2008.10.17 -
ClamAV 0.93.1 2008.10.17 -
DrWeb 4.44.0.09170 2008.10.17 -
eSafe 7.0.17.0 2008.10.16 Suspicious File
eTrust-Vet 31.6.6153 2008.10.17 Win32/Kvol!generic
Ewido 4.0 2008.10.17 -
F-Prot 4.4.4.56 2008.10.16 W32/Podnuha.A.gen!Eldorado
F-Secure 8.0.14332.0 2008.10.17 -
Fortinet 3.113.0.0 2008.10.17 -
GData 19 2008.10.17 -
Ikarus T3.1.1.44.0 2008.10.17 Virus.Win32.Podnuha.BJ
K7AntiVirus 7.10.498 2008.10.17 -
Kaspersky 7.0.0.125 2008.10.17 -
McAfee 5407 2008.10.16 Boaxxe.dll
Microsoft 1.4005 2008.10.17 Trojan:Win32/Boaxxe.B
NOD32 3532 2008.10.17 -
Panda 9.0.0.4 2008.10.17 Suspicious file
PCTools 4.4.2.0 2008.10.17 -
Prevx1 V2 2008.10.17 -
Rising 20.66.42.00 2008.10.17 -
SecureWeb-Gateway 6.7.6 2008.10.17 Trojan.BHO.Gen
Sophos 4.34.0 2008.10.17 -
Sunbelt 3.1.1730.1 2008.10.17 -
Symantec 10 2008.10.17 -
TheHacker 6.3.1.0.116 2008.10.16 -
TrendMicro 8.700.0.1004 2008.10.17 -
VBA32 3.12.8.7 2008.10.16 Trojan.Win32.Boaxxe
ViRobot 2008.10.17.1425 2008.10.17 -
VirusBuster 4.5.11.0 2008.10.17 -
weitere Informationen
File size: 93184 bytes
MD5...: 6a122330990993ed55d94440bcf54528
SHA1..: 2a3e03fb4e017ac1b214abed0196b1cdf442d345
SHA256: f7e9108995cd026bc0e8911e1004b35629a88be7c885ad6a91b6dfc8c983717b
SHA512: 26eeb87345a5a26ac19e73a0b2d6f3d602623307c2658101836870445fed6c4d
621432d60225623e07644f4cbc21d6ed8a0627a2b81d15b28024c5915b48f5ee
PEiD..: -
TrID..: File type identification
UPX compressed Win32 Executable (42.6%)
Win32 EXE Yoda's Crypter (37.0%)
Win32 Executable Generic (11.8%)
Win16/32 Executable Delphi generic (2.8%)
Generic Win/DOS Executable (2.7%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x43d7c0
timedatestamp.....: 0x2a425e19 (Fri Jun 19 22:22:17 1992)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x27000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x28000 0x16000 0x15a00 7.90 e4db8ff5a740276e31e15d82617240bf
.rsrc 0x3e000 0x1000 0xe00 3.77 2f321c890b6a2bb53ec6043b1bcde735

( 7 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress, VirtualProtect, VirtualAlloc, VirtualFree
> advapi32.dll: RegCloseKey
> ole32.dll: IsEqualGUID
> oleaut32.dll: LoadTypeLib
> shell32.dll: SHGetMalloc
> user32.dll: SetTimer
> wininet.dll: InternetCrackUrlA

( 5 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer, InitEntry0
packers (Kaspersky): PE_Patch.UPX, UPX
packers (F-Prot): UPX

Die HJT Liste habe ich als Anhang eingestellt, hoffe das funktioniert.
allerdings fehlen dort einige BHO's die mir verdächtig vorkammen und ich deshalb entfernt habe.
Mit Malwarebytes habe ich das System auch gescannt, es brachte folgendes Ergebnis:
Malwarebytes' Anti-Malware 1.29
Database version: 1276
Windows 5.0.2195 Service Pack 4

17.10.2008 14:10:04
mbam-log-2008-10-17 (14-10-04).txt

Scan type: Full Scan (C:\|)
Objects scanned: 101974
Time elapsed: 33 minute(s), 52 second(s)

Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 4
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 0

Memory Processes Infected:
(No malicious items detected)

Memory Modules Infected:
(No malicious items detected)

Registry Keys Infected:
(No malicious items detected)

Registry Values Infected:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bf (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\bk (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\iu (Trojan.Agent) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Settings\mu (Trojan.Agent) -> Quarantined and deleted successfully.

Registry Data Items Infected:
(No malicious items detected)

Folders Infected:
(No malicious items detected)

Files Infected:
(No malicious items detected)


Nach Neustart findet er die gleichen Biester wieder.

Inzwischen bin ich ratlos, weiß jemand was besseres als formattieren ?

Vielen Dank