TR/Vundo.Gen Trojaner Meldung alle 2 sec.

andyafro · 24.10.2008, 16:01

Guten Tag,
Mein PC (windows xp service pack 3) wurde in letzter Zeit sehr langsam, zudem kommen nun seit Heute ca. im 2 Sekundentakt Meldungen von meinen Antivir wie "C:\WINDOWS\system32\urqPhfeC.dll Ist das Trojanische Pferd TR/Vundo.Gen.
Wenn ich jedoch versuch diese Datei in die Quarantäne verschieben, löschen, oder sonst was mit machen will, geschieht nichts, die Meldungen kommen immernoch.
Nun habe ich mir VundoFix.exe geholt und den durchlaufen lassen - ohne Erfolg, bzw. nichts gefunden.

Habe nun ein hyjackthis log gemacht:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:50:57, on 24.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16705)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\ZONELABS\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
D:\2hotspot\Program\pacsvc.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
D:\Cfos\spd.exe
C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\DTSRVC.exe
C:\WINDOWS\system32\oodag.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
D:\Zone Labs\ZoneAlarm\ZoneAlarm\zlclient.exe
C:\Programme\Portrait Displays\HP My Display\DTHtml.exe
C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\HookManager.exe
D:\Cfos\cFosSpeed.exe
D:\Itunes\iTunesHelper.exe
D:\QIP\qip.exe
D:\Strokeit\strokeit.exe
C:\WINDOWS\system32\ctfmon.exe
D:\True Crypt 6.0a\TrueCrypt.exe
C:\Programme\iPod\bin\iPodService.exe
D:\Itunes\iTunes.exe
D:\Mozilla Firefox\firefox.exe
C:\Programme\uTorrent\uTorrent.exe
D:\Avira\AntiVir PersonalEdition Classic\avguard.exe
D:\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\rundll32.exe
F:\Downloads\test.com
F:\Downloads\highjackthis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://start.qip.ru
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch = 
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = h**p://www.tune-up.com/link/?target=timeservers&app=tu2008&version=7.0.7992&tulang=en&lang=de&country=DE&os_ver=5.1&os_x64=0&os_sp=2.0&os_id=4&nidt=071213_a
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {6C350DFC-885F-4296-82E3-6428DD982099} - C:\WINDOWS\system32\nnnkHbBU.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: {e46f705b-d4d7-dd0a-4364-63afe1fdd28e} - {e82ddf1e-fa36-4634-a0dd-7d4db507f64e} - C:\WINDOWS\system32\nmdnbe.dll
O2 - BHO: (no name) - {F0A9DD74-2875-44FA-82F3-02F58CEA0153} - C:\WINDOWS\system32\urqPhfeC.dll
O3 - Toolbar: Yahoo! Toolbar mit Pop-Up-Blocker - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [ZoneAlarm Client] "D:\Zone Labs\ZoneAlarm\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [DT HPW] C:\Programme\Portrait Displays\HP My Display\DTHtml.exe -startup_folder
O4 - HKLM\..\Run: [Antivirus System Tray Tool] D:\Avira\AntiVir PersonalEdition Classic\avgnt.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [cFosSpeed] D:\Cfos\cFosSpeed.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\Itunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [9827f63d] rundll32.exe "C:\WINDOWS\system32\vcqvjtgh.dll",b
O4 - HKCU\..\Run: [QIP2005] D:\QIP\qip.exe
O4 - HKCU\..\Run: [StrokeIt] D:\Strokeit\strokeit.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [TrueCrypt] "D:\True Crypt 6.0a\TrueCrypt.exe" /q preferences
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [nltide_2] regsvr32 /s /n /i:U shell32 (User 'Default user')
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://D:\MICROS~1\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\ICQ\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\ICQ\ICQ6\ICQ.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - D:\PartyPoker\PartyPokerNet\RunPF.exe
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - D:\PartyPoker\PartyPokerNet\RunPF.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {30528230-99f7-4bb4-88d8-fa1d4f56a2ab} (YInstStarter Class) - C:\Programme\Yahoo!\Common\yinsthelper.dll
O16 - DPF: {C72A0388-1423-4B8D-87B9-A92A29752772} (Perspectix P'X5 Configurator (vUSM)) - h**ps://w**w.usmshop.com/vusm/plugin/plugin/npvusm-5.0.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: nmdnbe.dll
O20 - Winlogon Notify: nnnkHbBU - C:\WINDOWS\SYSTEM32\nnnkHbBU.dll
O23 - Service: 2hotspot (2hotspotsvc) - 2hotspot.com - D:\2hotspot\Program\pacsvc.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: cFosSpeed System Service (cFosSpeedS) - cFos Software GmbH - D:\Cfos\spd.exe
O23 - Service: Portrait Displays Display Tune Service (DTSRVC) - Unknown owner - C:\Programme\Gemeinsame Dateien\Portrait Displays\Shared\DTSRVC.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: NBService - Nero AG - D:\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Check Point Software Technologies LTD - C:\WINDOWS\system32\ZONELABS\vsmon.exe

--
End of file - 9236 bytes

Hoffe ihr könnt mir helfen.

Danke

**Sunny** · 24.10.2008, 16:18

Hallo andyafro und

Malwarebytes' Anti-Malware

Lies dir die Entfernungsanleitung durch und lass alles entfernen was gefunden wurde:

Download von Malwarebytes' Anti-Malware

(nach dem scannen auf den Button klicken und Funde löschen lassen!)

ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

(ausführliche Anleitung -> Ein Leitfaden und Tutorium zur Nutzung von ComboFix)

andyafro · 24.10.2008, 17:10

wollte meinen Eintrag editiern, ging aber nich, nun halt so

hab alles gemacht was Du gesagt hast, es hat viiiele Dateien gelöscht und nun scheint wieder alles "normal" zu sein

Hier die log von combo fix:

Code:

ATTFilter

ComboFix 08-10-23.08 - Andy 2008-10-24 18:03:47.1 - FAT32x86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.643 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Andy\Desktop\ComboFix.exe
 * Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.
  Error: Cfiles.dat

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\inst.exe
C:\WINDOWS\system32\fpgvrd.dll
C:\WINDOWS\system32\iwmelqsu.ini
C:\WINDOWS\system32\xjuwpupd.dll

.
(((((((((((((((((((((((   Dateien erstellt von 2008-09-24 bis 2008-10-24  ))))))))))))))))))))))))))))))
.

2008-10-24 17:33 . 2008-10-24 17:33	<DIR>	d--------	C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\Malwarebytes
2008-10-24 17:32 . 2008-10-24 17:32	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-10-24 17:32 . 2008-10-22 16:10	38,496	--a------	C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-10-24 17:32 . 2008-10-22 16:10	15,504	--a------	C:\WINDOWS\system32\drivers\mbam.sys
2008-10-24 16:35 . 2008-10-24 16:35	<DIR>	d--------	C:\VundoFix Backups
2008-10-23 22:23 . 2008-10-23 22:23	<DIR>	d--------	C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\dvdcss
2008-10-23 17:31 . 2008-10-23 17:31	<DIR>	d--hs----	C:\FOUND.008
2008-10-21 15:13 . 2002-08-30 15:01	1,765,888	--a------	C:\WINDOWS\j_alba.scr
2008-10-20 18:28 . 2008-10-20 18:28	<DIR>	d--------	C:\Programme\iPod
2008-10-20 18:28 . 2008-10-20 18:28	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{3276BE95_AF08_429F_A64F_CA64CB79BCF6}
2008-10-17 17:18 . 2003-07-18 13:58	516,784	-ra------	C:\WINDOWS\system32\XceedCry.dll
2008-10-17 17:18 . 2002-02-28 09:46	217,088	--a------	C:\WINDOWS\system32\DartSock.dll
2008-10-17 17:18 . 2002-02-21 10:12	118,784	--a------	C:\WINDOWS\system32\DartWeb.dll
2008-10-17 17:18 . 1998-06-18 00:00	89,360	--a------	C:\WINDOWS\system32\VB5DB.DLL
2008-10-17 17:18 . 1998-06-13 22:53	44,544	--a------	C:\WINDOWS\system32\Gif89.dll
2008-10-17 17:18 . 2002-04-12 13:19	28,672	--a------	C:\WINDOWS\system32\DartWeb.oca
2008-10-16 17:35 . 2008-10-16 17:35	<DIR>	d--------	C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\KONAMI
2008-10-16 16:43 . 2008-08-14 15:19	2,191,488	---------	C:\WINDOWS\system32\dllcache\ntoskrnl.exe
2008-10-16 16:43 . 2008-08-14 15:19	2,147,840	---------	C:\WINDOWS\system32\dllcache\ntkrnlmp.exe
2008-10-16 16:43 . 2008-08-14 15:19	2,068,352	---------	C:\WINDOWS\system32\dllcache\ntkrnlpa.exe
2008-10-16 16:43 . 2008-08-14 15:19	2,026,496	---------	C:\WINDOWS\system32\dllcache\ntkrpamp.exe
2008-10-16 14:07 . 2008-10-16 14:07	<DIR>	d--hs----	C:\FOUND.007
2008-10-15 15:42 . 2008-09-15 17:24	1,846,528	---------	C:\WINDOWS\system32\dllcache\win32k.sys
2008-10-15 15:40 . 2008-09-08 12:41	333,824	---------	C:\WINDOWS\system32\dllcache\srv.sys
2008-10-09 21:10 . 2008-10-09 21:10	0	--a------	C:\WINDOWS\ativpsrm.bin
2008-10-09 21:09 . 2008-08-20 21:05	593,920	---------	C:\WINDOWS\system32\ati2sgag.exe
2008-10-09 21:08 . 2008-10-09 21:08	<DIR>	d--------	C:\ATI
2008-10-08 20:20 . 2008-10-08 20:20	<DIR>	d--------	C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\Leadertech
2008-10-08 20:14 . 2008-03-05 15:56	3,786,760	--a------	C:\WINDOWS\system32\D3DX9_37.dll
2008-09-29 20:43 . 2008-09-29 20:43	<DIR>	d--------	C:\Programme\TI Education
2008-09-29 20:43 . 2008-09-29 20:43	<DIR>	d--------	C:\Programme\Gemeinsame Dateien\TI Shared
2008-09-29 20:43 . 2004-01-28 15:03	21,456	--a------	C:\WINDOWS\system32\drivers\SilvrLnk.sys
2008-09-28 16:29 . 2008-09-28 16:29	<DIR>	d--------	C:\Programme\Gemeinsame Dateien\xing shared
2008-09-28 16:28 . 2008-09-28 16:28	<DIR>	d--------	C:\Programme\Real
2008-09-28 16:28 . 2008-09-28 16:28	<DIR>	d--------	C:\Programme\Gemeinsame Dateien\Real
2008-09-25 19:54 . 2008-04-14 04:22	21,504	--a------	C:\WINDOWS\system32\hidserv.dll
2008-09-25 19:54 . 2008-04-14 04:22	21,504	--a------	C:\WINDOWS\system32\dllcache\hidserv.dll
2008-09-25 19:54 . 2008-04-14 03:58	14,720	--a------	C:\WINDOWS\system32\drivers\kbdhid.sys
2008-09-25 19:54 . 2008-04-14 03:58	14,720	--a------	C:\WINDOWS\system32\dllcache\kbdhid.sys

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-22 20:41	1,726,464	------w	C:\WINDOWS\Internet Logs\xDB6.tmp
2008-09-17 17:20	---------	d-----w	C:\Programme\microsoft frontpage
2008-09-15 15:24	1,846,528	----a-w	C:\WINDOWS\system32\win32k.sys
2008-09-12 20:52	8,137,150	------w	C:\WINDOWS\Internet Logs\tvDebug.zip
2008-09-11 20:04	---------	d-----w	C:\Programme\Apple Software Update
2008-09-08 10:41	333,824	----a-w	C:\WINDOWS\system32\drivers\srv.sys
2008-08-29 08:24	33,540	----a-w	C:\WINDOWS\system32\CoreFLACDecoder-uninstall.exe
2008-08-29 08:18	87,336	----a-w	C:\WINDOWS\system32\dns-sd.exe
2008-08-29 07:53	61,440	----a-w	C:\WINDOWS\system32\dnssd.dll
2008-08-27 14:40	---------	d-----w	C:\Programme\Google
2008-08-21 18:41	1,221,008	----a-w	C:\WINDOWS\system32\zpeng25.dll
2008-08-21 04:52	3,299,840	----a-w	C:\WINDOWS\system32\dllcache\ati2mtag.sys
2008-08-21 02:19	425,984	----a-w	C:\WINDOWS\system32\ATIDEMGX.dll
2008-08-21 02:18	314,880	----a-w	C:\WINDOWS\system32\dllcache\ati2dvag.dll
2008-08-21 02:18	314,880	----a-w	C:\WINDOWS\system32\ati2dvag.dll
2008-08-21 02:08	184,320	----a-w	C:\WINDOWS\system32\atipdlxx.dll
2008-08-21 02:08	143,360	----a-w	C:\WINDOWS\system32\Oemdspif.dll
2008-08-21 02:07	43,520	----a-w	C:\WINDOWS\system32\ati2edxx.dll
2008-08-21 02:07	26,112	----a-w	C:\WINDOWS\system32\Ati2mdxx.exe
2008-08-21 02:07	143,360	----a-w	C:\WINDOWS\system32\ati2evxx.dll
2008-08-21 02:05	573,440	----a-w	C:\WINDOWS\system32\ati2evxx.exe
2008-08-21 02:04	53,248	----a-w	C:\WINDOWS\system32\ATIDDC.DLL
2008-08-21 02:01	10,084,352	----a-w	C:\WINDOWS\system32\atioglxx.dll
2008-08-21 01:55	4,094,560	----a-w	C:\WINDOWS\system32\dllcache\ati3duag.dll
2008-08-21 01:55	4,094,560	----a-w	C:\WINDOWS\system32\ati3duag.dll
2008-08-21 01:50	307,200	----a-w	C:\WINDOWS\system32\atiiiexx.dll
2008-08-21 01:38	2,377,856	----a-w	C:\WINDOWS\system32\dllcache\ativvaxx.dll
2008-08-21 01:38	2,377,856	----a-w	C:\WINDOWS\system32\ativvaxx.dll
2008-08-21 01:23	48,640	----a-w	C:\WINDOWS\system32\amdpcom32.dll
2008-08-21 01:19	380,928	----a-w	C:\WINDOWS\system32\atikvmag.dll
2008-08-21 01:18	37,376	----a-w	C:\WINDOWS\system32\atiadlxx.dll
2008-08-21 01:18	17,408	----a-w	C:\WINDOWS\system32\atitvo32.dll
2008-08-21 01:17	253,952	----a-w	C:\WINDOWS\system32\atiok3x2.dll
2008-08-21 01:11	561,152	----a-w	C:\WINDOWS\system32\dllcache\ati2cqag.dll
2008-08-21 01:11	561,152	----a-w	C:\WINDOWS\system32\ati2cqag.dll
2008-08-14 13:19	2,191,488	----a-w	C:\WINDOWS\system32\ntoskrnl.exe
2008-08-14 13:19	2,068,352	----a-w	C:\WINDOWS\system32\ntkrnlpa.exe
2008-08-14 10:04	138,496	------w	C:\WINDOWS\system32\dllcache\afd.sys
2008-08-05 21:14	90,112	----a-w	C:\WINDOWS\system32\ATIBRTMON.EXE
2008-08-03 15:02	74,752	----a-w	C:\WINDOWS\ST6UNST.EXE
2008-08-03 15:02	253,952	------w	C:\WINDOWS\Setup1.exe
2008-04-13 16:05	47,360	----a-w	C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\pcouffin.sys
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QIP2005"="D:\QIP\qip.exe" [2008-07-01 3256320]
"StrokeIt"="D:\Strokeit\strokeit.exe" [2005-02-17 21504]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 15360]
"TrueCrypt"="D:\True Crypt 6.0a\TrueCrypt.exe" [2008-07-27 1225920]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ZoneAlarm Client"="D:\Zone Labs\ZoneAlarm\ZoneAlarm\zlclient.exe" [2008-08-21 981904]
"DT HPW"="C:\Programme\Portrait Displays\HP My Display\DTHtml.exe" [2007-04-25 280064]
"Antivirus System Tray Tool"="D:\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-17 266497]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2008-05-16 13529088]
"cFosSpeed"="D:\Cfos\cFosSpeed.exe" [2008-06-25 867544]
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" [2008-09-06 413696]
"iTunesHelper"="D:\Itunes\iTunesHelper.exe" [2008-10-01 289576]
"SoundMan"="SOUNDMAN.EXE" [2005-07-22 C:\WINDOWS\SOUNDMAN.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"nltide_2"="shell32" [X]
"nltide_3"="advpack.dll" [2008-06-23 C:\WINDOWS\system32\advpack.dll]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"AllowLegacyWebView"= 1 (0x1)
"AllowUnhashedWebView"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=nmdnbe.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.ffds"= ffdshow.ax
"VIDC.YV12"= C:\WINDOWS\system32\xvidvfw.dll
"msacm.ac3filter"= ac3filter.acm

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"CTFMON.EXE"=C:\WINDOWS\system32\ctfmon.exe
"DLD.EXE"=D:\Rapidshare\DLD.exe
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"HPpromo psc 2400 series"="D:\HP\Digital Imaging\Promotions\HPpromo.exe" /N "psc 2400 series" -r
"QuickTime Task"="C:\Programme\QuickTime\QTTask.exe" -atboottime
"NeroFilterCheck"=C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
"HP Software Update"="D:\HP\HP Software Update\HPWuSchd.exe"
"avgnt"="D:\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\uTorrent\\uTorrent.exe"=
"F:\\Downloads\\µtorrent\\utorrent.exe"=
"C:\\Programme\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"D:\\ICQ\\ICQ6\\ICQ.exe"=
"D:\\2hotspot\\Program\\pacsvc.exe"=
"D:\\2hotspot\\Program\\dhcpd.exe"=
"C:\\Programme\\Bonjour\\mDNSResponder.exe"=
"F:\\Games\\PES 2009\\pes2009.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=
"D:\\Itunes\\iTunes.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1723:TCP"= 1723:TCP:@xpsp2res.dll,-22015
"1701:UDP"= 1701:UDP:@xpsp2res.dll,-22016
"500:UDP"= 500:UDP:@xpsp2res.dll,-22017

R0 xmasbus;xmasbus;C:\WINDOWS\system32\DRIVERS\xmasbus.sys [2003-12-21 140800]
R2 {95808DC4-FA4A-4c74-92FE-5B863F82066B};{95808DC4-FA4A-4c74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2006-11-02 16:51 13560]
R2 2hotspotsvc;2hotspot;D:\2hotspot\Program\pacsvc.exe [2008-05-23 307176]
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe [2008-04-14 14336]
R3 2hotspot controller;2hotspot Miniport;C:\WINDOWS\system32\DRIVERS\acontrol.sys [2008-05-23 72296]
S0 xmasscsi;xmasscsi;C:\WINDOWS\system32\Drivers\xmasscsi.sys [2003-12-20 5504]
S3 TuneUp.Defrag;TuneUp Drive Defrag-Dienst;C:\WINDOWS\System32\TuneUpDefragService.exe [2008-02-29 306432]
S3 zlportio;zlportio;D:\UltraStar Deluxe\zlportio.sys [ ]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f0588c63-e653-11dc-9851-806d6172696f}]
\Shell\AutoRun\command - I:\POV.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{f0588c64-e653-11dc-9851-806d6172696f}]
\Shell\AutoRun\command - J:\Setup.exe

*Newly Created Service* - PROCEXP90
.
Inhalt des "geplante Tasks" Ordners

2008-10-24 C:\WINDOWS\Tasks\1-Click Maintenance.job
- D:\Tuenup\OneClick.exe [2008-01-08 14:31]

2008-10-23 C:\WINDOWS\Tasks\AppleSoftwareUpdate.job
- C:\Programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 12:34]
.
.
------- Zusätzlicher Suchlauf -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\Andy\Anwendungsdaten\Mozilla\Firefox\Profiles\qvozvxu6.default\
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.de/
FF -: plugin - C:\Programme\DivX\DivX Content Uploader\npUpload.dll
FF -: plugin - C:\Programme\Yahoo!\Common\npyaxmpb.dll
FF -: plugin - C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll
FF -: plugin - D:\Itunes\Mozilla Plugins\npitunes.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npdivx32.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npnul32.dll
FF -: plugin - D:\Mozilla Firefox\plugins\NPOFF12.DLL
FF -: plugin - D:\Mozilla Firefox\plugins\nppdf32.dll
FF -: plugin - D:\Mozilla Firefox\plugins\nppl3260.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin2.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin3.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin4.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin5.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin6.dll
FF -: plugin - D:\Mozilla Firefox\plugins\npqtplugin7.dll
FF -: plugin - D:\Mozilla Firefox\plugins\nprjplug.dll
FF -: plugin - D:\Mozilla Firefox\plugins\nprpjplug.dll
FF -: plugin - D:\Mozilla Firefox\plugins\NPSWF32.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2008-10-24 18:04:52
Windows 5.1.2600 Service Pack 3 FAT NTAPI

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet011\Services\{95808DC4-FA4A-4c74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
Zeit der Fertigstellung: 2008-10-24 18:05:16
ComboFix-quarantined-files.txt  2008-10-24 16:05:16

Vor Suchlauf: 2.935.685.120 Bytes frei
Nach Suchlauf: 3,007,758,336 Bytes frei

230	--- E O F ---	2008-10-16 14:52:14

Danke für die tolle und schnelle Hilfe

edit:
der malware report (hatte den nichtmehr gefunden, nun gesehen, dass man den im programm einlesen kann)

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1306
Windows 5.1.2600 Service Pack 3

24.10.2008 17:44:47
mbam-log-2008-10-24 (17-44-47).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 49014
Laufzeit: 10 minute(s), 41 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 4
Infizierte Registrierungsschlüssel: 12
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 9

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
C:\WINDOWS\system32\vcqvjtgh.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\urqPhfeC.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\nmdnbe.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\nnnkHbBU.dll (Trojan.Vundo) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6c350dfc-885f-4296-82e3-6428dd982099} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\nnnkhbbu (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{6c350dfc-885f-4296-82e3-6428dd982099} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c5b019c2-67f1-484c-99d6-adbbc041ccab} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_CLASSES_ROOT\CLSID\{c5b019c2-67f1-484c-99d6-adbbc041ccab} (Trojan.Vundo.H) -> Delete on reboot.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e82ddf1e-fa36-4634-a0dd-7d4db507f64e} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{e82ddf1e-fa36-4634-a0dd-7d4db507f64e} (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\9827f63d (Trojan.Vundo.H) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6c350dfc-885f-4296-82e3-6428dd982099} (Trojan.Vundo) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\urqphfec -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\urqphfec  -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\nnnkHbBU.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\urqPhfeC.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\CefhPqru.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\CefhPqru.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\nmdnbe.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\vcqvjtgh.dll (Trojan.Vundo.H) -> Delete on reboot.
C:\WINDOWS\system32\hgtjvqcv.ini (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\rsnkqfmi.dll (Trojan.Vundo.H) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\geBrsSIx.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

**Sunny** · 24.10.2008, 17:13

Bitte den Report von Malwarebytes noch hinzufügen!

**Sunny** · 24.10.2008, 17:23

Versuche mal noch folgendes:

Dateien Online überprüfen lassen:

Als erstes versteckte Dateien anzeigen lassen! (nur Punkt 1 durchführen!)

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

Code:

ATTFilter

C:\WINDOWS\system32\dllcache\ntoskrnl.exe
C:\WINDOWS\system32\dllcache\win32k.sys
C:\WINDOWS\system32\dllcache\srv.sys
C:\WINDOWS\system32\dllcache\hidserv.dll
C:\WINDOWS\system32\DartSock.dll
C:\WINDOWS\system32\XceedCry.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!

andyafro · 24.10.2008, 17:36

Code:

ATTFilter

 Datei ntoskrnl.exe empfangen 2008.10.24 18:30:52 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 2.
Geschätzte Startzeit is zwischen 43 und 61 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email: 	
	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3	2008.10.24.3	2008.10.24	-
AntiVir	7.9.0.9	2008.10.24	-
Authentium	5.1.0.4	2008.10.24	-
Avast	4.8.1248.0	2008.10.24	-
AVG	8.0.0.161	2008.10.24	-
BitDefender	7.2	2008.10.24	-
CAT-QuickHeal	9.50	2008.10.24	-
ClamAV	0.93.1	2008.10.24	-
DrWeb	4.44.0.09170	2008.10.24	-
eSafe	7.0.17.0	2008.10.23	-
eTrust-Vet	31.6.6167	2008.10.24	-
Ewido	4.0	2008.10.24	-
F-Prot	4.4.4.56	2008.10.24	-
F-Secure	8.0.14332.0	2008.10.24	-
Fortinet	3.113.0.0	2008.10.24	-
GData	19	2008.10.24	-
Ikarus	T3.1.1.44.0	2008.10.24	-
K7AntiVirus	7.10.506	2008.10.24	-
Kaspersky	7.0.0.125	2008.10.24	-
McAfee	5414	2008.10.24	-
Microsoft	1.4005	2008.10.24	-
NOD32	3552	2008.10.24	-
Norman	5.80.02	2008.10.24	-
Panda	9.0.0.4	2008.10.24	-
PCTools	4.4.2.0	2008.10.24	-
Prevx1	V2	2008.10.24	-
Rising	21.00.42.00	2008.10.24	-
SecureWeb-Gateway	6.7.6	2008.10.24	-
Sophos	4.34.0	2008.10.24	-
Sunbelt	3.1.1749.1	2008.10.23	-
Symantec	10	2008.10.24	-
TheHacker	6.3.1.0.126	2008.10.23	-
TrendMicro	8.700.0.1004	2008.10.24	-
VBA32	3.12.8.8	2008.10.22	-
ViRobot	2008.10.24.1436	2008.10.24	-
VirusBuster	4.5.11.0	2008.10.24	-
weitere Informationen
File size: 2191488 bytes
MD5...: 934fbea25f8de017abfc6169b8446d94
SHA1..: 2020bc70a82ce41b91851ff0c328d70284dba3d0
SHA256: 567bb829785814e134b6a29d21cfbe95caf5164b7b5a0d60eb59356fc02b8b28
SHA512: f418440c5be80c5d0c71675e4bb31c466a5119c8d34cb29c3cc03287c40d1fbd
50c9cce2fdde14c771710914d3527d4c3e268fe23f98167f3fb0f5e683b83af0

text iss irgendwie schon für 1 datei zu lang zum posten musste die exports wegmachen, mach ich was falsch, bzw kann ich da noch mehr weglassen??

edit:
2. datei:

Code:

ATTFilter

Datei win32k.sys empfangen 2008.10.24 18:35:50 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 3.
Geschätzte Startzeit is zwischen 48 und 69 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email: 	
	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3	2008.10.24.3	2008.10.24	-
AntiVir	7.9.0.9	2008.10.24	-
Authentium	5.1.0.4	2008.10.24	-
Avast	4.8.1248.0	2008.10.24	-
AVG	8.0.0.161	2008.10.24	-
BitDefender	7.2	2008.10.24	-
CAT-QuickHeal	9.50	2008.10.24	-
ClamAV	0.93.1	2008.10.24	-
DrWeb	4.44.0.09170	2008.10.24	-
eSafe	7.0.17.0	2008.10.23	-
eTrust-Vet	31.6.6167	2008.10.24	-
Ewido	4.0	2008.10.24	-
F-Prot	4.4.4.56	2008.10.24	-
F-Secure	8.0.14332.0	2008.10.24	-
Fortinet	3.113.0.0	2008.10.24	-
GData	19	2008.10.24	-
Ikarus	T3.1.1.44.0	2008.10.24	-
K7AntiVirus	7.10.506	2008.10.24	-
Kaspersky	7.0.0.125	2008.10.24	-
McAfee	5414	2008.10.24	-
Microsoft	1.4005	2008.10.24	-
NOD32	3552	2008.10.24	-
Norman	5.80.02	2008.10.24	-
Panda	9.0.0.4	2008.10.24	-
PCTools	4.4.2.0	2008.10.24	-
Prevx1	V2	2008.10.24	-
Rising	21.00.42.00	2008.10.24	-
SecureWeb-Gateway	6.7.6	2008.10.24	-
Sophos	4.34.0	2008.10.24	-
Sunbelt	3.1.1749.1	2008.10.23	-
Symantec	10	2008.10.24	-
TheHacker	6.3.1.0.126	2008.10.23	-
TrendMicro	8.700.0.1004	2008.10.24	-
VBA32	3.12.8.8	2008.10.22	-
ViRobot	2008.10.24.1436	2008.10.24	-
VirusBuster	4.5.11.0	2008.10.24	-
weitere Informationen
File size: 1846528 bytes
MD5...: 73d8927591735616492c8cab9393bc03
SHA1..: aeef007df18009286d72b32de7950a3b61897740
SHA256: cbac7876f7ff810a62f3c6b8ecde2473e407e6f5fe9a4371b9b482fa126163ce
SHA512: ec4f5a800f5a1d9fa30237dcbcd085321ece88505eb47d68a1a8858a2a35e682
227f17f010e69e344220000696de878103e5630f941a69efebaf1a6b20da9843

3.file:

Code:

ATTFilter

  Datei srv.sys empfangen 2008.10.24 18:40:55 (CET)
Status: Beendet
Ergebnis: 0/36 (0.00%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3 	2008.10.24.3 	2008.10.24 	-
AntiVir 	7.9.0.9 	2008.10.24 	-
Authentium 	5.1.0.4 	2008.10.24 	-
Avast 	4.8.1248.0 	2008.10.24 	-
AVG 	8.0.0.161 	2008.10.24 	-
BitDefender 	7.2 	2008.10.24 	-
CAT-QuickHeal 	9.50 	2008.10.24 	-
ClamAV 	0.93.1 	2008.10.24 	-
DrWeb 	4.44.0.09170 	2008.10.24 	-
eSafe 	7.0.17.0 	2008.10.23 	-
eTrust-Vet 	31.6.6167 	2008.10.24 	-
Ewido 	4.0 	2008.10.24 	-
F-Prot 	4.4.4.56 	2008.10.24 	-
F-Secure 	8.0.14332.0 	2008.10.24 	-
Fortinet 	3.113.0.0 	2008.10.24 	-
GData 	19 	2008.10.24 	-
Ikarus 	T3.1.1.44.0 	2008.10.24 	-
K7AntiVirus 	7.10.506 	2008.10.24 	-
Kaspersky 	7.0.0.125 	2008.10.24 	-
McAfee 	5414 	2008.10.24 	-
Microsoft 	1.4005 	2008.10.24 	-
NOD32 	3552 	2008.10.24 	-
Norman 	5.80.02 	2008.10.24 	-
Panda 	9.0.0.4 	2008.10.24 	-
PCTools 	4.4.2.0 	2008.10.24 	-
Prevx1 	V2 	2008.10.24 	-
Rising 	21.00.42.00 	2008.10.24 	-
SecureWeb-Gateway 	6.7.6 	2008.10.24 	-
Sophos 	4.34.0 	2008.10.24 	-
Sunbelt 	3.1.1749.1 	2008.10.23 	-
Symantec 	10 	2008.10.24 	-
TheHacker 	6.3.1.0.126 	2008.10.23 	-
TrendMicro 	8.700.0.1004 	2008.10.24 	-
VBA32 	3.12.8.8 	2008.10.22 	-
ViRobot 	2008.10.24.1436 	2008.10.24 	-
VirusBuster 	4.5.11.0 	2008.10.24 	-
weitere Informationen
File size: 333824 bytes
MD5...: 4f8a43adef66f135564085a9dca96a26
SHA1..: 7ffefcee9d41c63fca74cfee9c21b3fd4337cb91
SHA256: 7203cae76f6ed0f9f3e75cd6bb4918d74601b97b5399192993e643cb9168b687
SHA512: d49bc9e42a8022fec5c64ecca2109a433ef812044c941bfc26e045e7cbac35a5
9b5424a213b17e90fd0386a2811c864e4525a29f786223304b2cec51cb513c34

4.file:

Code:

ATTFilter

 Datei hidserv.dll empfangen 2008.10.24 18:44:00 (CET)
Status: Beendet
Ergebnis: 0/36 (0.00%)
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3 	2008.10.24.3 	2008.10.24 	-
AntiVir 	7.9.0.9 	2008.10.24 	-
Authentium 	5.1.0.4 	2008.10.24 	-
Avast 	4.8.1248.0 	2008.10.24 	-
AVG 	8.0.0.161 	2008.10.24 	-
BitDefender 	7.2 	2008.10.24 	-
CAT-QuickHeal 	9.50 	2008.10.24 	-
ClamAV 	0.93.1 	2008.10.24 	-
DrWeb 	4.44.0.09170 	2008.10.24 	-
eSafe 	7.0.17.0 	2008.10.23 	-
eTrust-Vet 	31.6.6167 	2008.10.24 	-
Ewido 	4.0 	2008.10.24 	-
F-Prot 	4.4.4.56 	2008.10.24 	-
F-Secure 	8.0.14332.0 	2008.10.24 	-
Fortinet 	3.113.0.0 	2008.10.24 	-
GData 	19 	2008.10.24 	-
Ikarus 	T3.1.1.44.0 	2008.10.24 	-
K7AntiVirus 	7.10.506 	2008.10.24 	-
Kaspersky 	7.0.0.125 	2008.10.24 	-
McAfee 	5414 	2008.10.24 	-
Microsoft 	1.4005 	2008.10.24 	-
NOD32 	3552 	2008.10.24 	-
Norman 	5.80.02 	2008.10.24 	-
Panda 	9.0.0.4 	2008.10.24 	-
PCTools 	4.4.2.0 	2008.10.24 	-
Prevx1 	V2 	2008.10.24 	-
Rising 	21.00.42.00 	2008.10.24 	-
SecureWeb-Gateway 	6.7.6 	2008.10.24 	-
Sophos 	4.35.0 	2008.10.24 	-
Sunbelt 	3.1.1749.1 	2008.10.23 	-
Symantec 	10 	2008.10.24 	-
TheHacker 	6.3.1.0.126 	2008.10.23 	-
TrendMicro 	8.700.0.1004 	2008.10.24 	-
VBA32 	3.12.8.8 	2008.10.22 	-
ViRobot 	2008.10.24.1436 	2008.10.24 	-
VirusBuster 	4.5.11.0 	2008.10.24 	-
weitere Informationen
File size: 21504 bytes
MD5...: b35da85e60c0103f2e4104532da2f12b
SHA1..: e11533ca9fc17fc471c901b544ac71f5abb13212
SHA256: e13c9f73df7713554cb614b36123d75014f5121aa1fc9069733e61758751cbe4
SHA512: c7b80513f122a6337040a8061f746453fb674e9f5dd5e9d495860e905e16e870
41dd17bbfea29d2a85b631de4f2e13e60cd2a2947942131e0c18a446e53f272b

5.file:

Code:

ATTFilter

 Datei DartSock.dll empfangen 2008.10.24 18:48:09 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 4.
Geschätzte Startzeit is zwischen 53 und 76 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email: 	
	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3	2008.10.24.3	2008.10.24	-
AntiVir	7.9.0.9	2008.10.24	-
Authentium	5.1.0.4	2008.10.24	-
Avast	4.8.1248.0	2008.10.24	-
AVG	8.0.0.161	2008.10.24	-
BitDefender	7.2	2008.10.24	-
CAT-QuickHeal	9.50	2008.10.24	-
ClamAV	0.93.1	2008.10.24	-
DrWeb	4.44.0.09170	2008.10.24	-
eSafe	7.0.17.0	2008.10.23	-
eTrust-Vet	31.6.6167	2008.10.24	-
Ewido	4.0	2008.10.24	-
F-Prot	4.4.4.56	2008.10.24	-
F-Secure	8.0.14332.0	2008.10.24	-
Fortinet	3.113.0.0	2008.10.24	-
GData	19	2008.10.24	-
Ikarus	T3.1.1.44.0	2008.10.24	-
K7AntiVirus	7.10.506	2008.10.24	-
Kaspersky	7.0.0.125	2008.10.24	-
McAfee	5414	2008.10.24	-
Microsoft	1.4005	2008.10.24	-
NOD32	3552	2008.10.24	-
Norman	5.80.02	2008.10.24	-
Panda	9.0.0.4	2008.10.24	-
PCTools	4.4.2.0	2008.10.24	-
Prevx1	V2	2008.10.24	-
Rising	21.00.42.00	2008.10.24	-
SecureWeb-Gateway	6.7.6	2008.10.24	-
Sophos	4.35.0	2008.10.24	-
Sunbelt	3.1.1749.1	2008.10.23	-
Symantec	10	2008.10.24	-
TheHacker	6.3.1.0.126	2008.10.23	-
TrendMicro	8.700.0.1004	2008.10.24	-
VBA32	3.12.8.8	2008.10.22	-
ViRobot	2008.10.24.1436	2008.10.24	-
VirusBuster	4.5.11.0	2008.10.24	-
weitere Informationen
File size: 217088 bytes
MD5...: 7e400d392eb35965251c2ea2450f91df
SHA1..: 7e13df1e2ce2954b308dddf0e98667c8ff7ffb48
SHA256: 5a7958dcde8b02880196d5ce819d75968039bd7ee3f4cb4b841e36f66efc3774
SHA512: 7c2210c1cd4024f774b9c348455cb582acf6bad9ee0c4e3fbfc34c34ea925fae
5a85737f97bebc4c271cc4beeca08a228583bddf30e0c27104b847bbf416b3ca
PEiD..: Armadillo v1.xx - v2.xx

6.file:

Code:

ATTFilter

 Datei XceedCry.dll empfangen 2008.10.24 18:58:56 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 0/36 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 2.
Geschätzte Startzeit is zwischen 43 und 61 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email: 	
	
Antivirus 	Version 	letzte aktualisierung 	Ergebnis
AhnLab-V3	2008.10.24.3	2008.10.24	-
AntiVir	7.9.0.9	2008.10.24	-
Authentium	5.1.0.4	2008.10.24	-
Avast	4.8.1248.0	2008.10.24	-
AVG	8.0.0.161	2008.10.24	-
BitDefender	7.2	2008.10.24	-
CAT-QuickHeal	9.50	2008.10.24	-
ClamAV	0.93.1	2008.10.24	-
DrWeb	4.44.0.09170	2008.10.24	-
eSafe	7.0.17.0	2008.10.23	-
eTrust-Vet	31.6.6167	2008.10.24	-
Ewido	4.0	2008.10.24	-
F-Prot	4.4.4.56	2008.10.24	-
F-Secure	8.0.14332.0	2008.10.24	-
Fortinet	3.113.0.0	2008.10.24	-
GData	19	2008.10.24	-
Ikarus	T3.1.1.44.0	2008.10.24	-
K7AntiVirus	7.10.506	2008.10.24	-
Kaspersky	7.0.0.125	2008.10.24	-
McAfee	5414	2008.10.24	-
Microsoft	1.4005	2008.10.24	-
NOD32	3552	2008.10.24	-
Norman	5.80.02	2008.10.24	-
Panda	9.0.0.4	2008.10.24	-
PCTools	4.4.2.0	2008.10.24	-
Prevx1	V2	2008.10.24	-
Rising	21.00.42.00	2008.10.24	-
SecureWeb-Gateway	6.7.6	2008.10.24	-
Sophos	4.35.0	2008.10.24	-
Sunbelt	3.1.1749.1	2008.10.23	-
Symantec	10	2008.10.24	-
TheHacker	6.3.1.0.126	2008.10.23	-
TrendMicro	8.700.0.1004	2008.10.24	-
VBA32	3.12.8.8	2008.10.22	-
ViRobot	2008.10.24.1436	2008.10.24	-
VirusBuster	4.5.11.0	2008.10.24	-
weitere Informationen
File size: 516784 bytes
MD5...: 0317aa56fadcb4671a736ee524b6047c
SHA1..: 953ac620c05495984d2aa7c91c91500ed3e5435d
SHA256: 8ae4475b672efe49256ab0dd91c41bc3333e714dcd2410572f2367a01a5320aa
SHA512: 9b9711d9b763a6d39391c8a472c1d506b45ff561cde0e979a8194d83de96bb79
137121c7d9031caedbe8f5eb2334021d4d93f5429bf5425ef3643dd5aa2d3f8c
PEiD..: Armadillo v1.xx - v2.xx

so nun müsste ich alles haben...

**Sunny** · 24.10.2008, 17:41

Poste nur den oberen Teil der Auswertung, also alle Scannerberichte bis zu diesem Punkt:

Zitat:

Symantec 10 2008.10.24 -
TheHacker 6.3.1.0.126 2008.10.23 -
TrendMicro 8.700.0.1004 2008.10.24 -
VBA32 3.12.8.8 2008.10.22 -
ViRobot 2008.10.24.1436 2008.10.24 -
VirusBuster 4.5.11.0 2008.10.24 -
weitere Informationen
File size: 2191488 bytes
MD5...: 934fbea25f8de017abfc6169b8446d94
SHA1..: 2020bc70a82ce41b91851ff0c328d70284dba3d0
SHA256: 567bb829785814e134b6a29d21cfbe95caf5164b7b5a0d60eb59356fc02b8b28
SHA512: f418440c5be80c5d0c71675e4bb31c466a5119c8d34cb29c3cc03287c40d1fbd
50c9cce2fdde14c771710914d3527d4c3e268fe23f98167f3fb0f5e683b83af0

24.10.2008, 17:13	#4
Sunny Administrator > Competence Manager	TR/Vundo.Gen Trojaner Meldung alle 2 sec. Bitte den Report von Malwarebytes noch hinzufügen! __________________ Anfragen per Email, Profil- oder privater Nachricht werden ignoriert! Hilfe gibts NUR im Forum! Stulti est se ipsum sapientem putare.

TR/Vundo.Gen Trojaner Meldung alle 2 sec.

Log-Analyse und Auswertung: TR/Vundo.Gen Trojaner Meldung alle 2 sec.