Hi, vermutlich hab ich mir einiges an Trojanern und Malware eingefangen. Der PC ist etwas langsamer geworden, arbeitet häufig obwohl ich grad nichts dran mache und auch was das Online Spielen angeht (surfe gern nebenbei), haben sich die frame Raten doch ziemlich verschlechtert.

Ich habe mit Avira AntiVir, Malwares Anti -Malware sowie Ad-Aware von Lavasoft gescannt. Gefunden und gelöscht wurden in letzter Zeit u.a. folgende Sachen:

Von Anti Vir: (das ist jetzt die UMGEKEHRTE chronologische Reihenfolge)

TR/FraudPack.adu' [trojan]
HEUR/HTML.Malware' [heuristic]
TR/Trash.Gen' [trojan]
'PHISH/Fraud.Agent.CI' [phishing]
TR/Crypt.ULPM.Gen' [trojan]
DR/Agent.1005239' [dropper]
'HTML/Infected.WebPage.Gen' [virus]

Von Ad-Aware:

Irgendwelche Tracking Cookies
und irgendwelche MRU Objects
(insgesamt etwa 180 davon -.-)

Und von Anti-Malware:

Trojan.FakeAlert
Adware.BHO


So, das ganze hab ich dann jeweils zunächst in Quarantäne verschoben und dann aus dieser gelöscht. Eigentlich hoffe ich (als relativ unerfahrener User) dass ich das jetzt los hab, ahne aber dass es wohl damit nicht gegessen ist und kriege auch immer mehr das Gefühl dass ich nicht um eine Formatierung herumkommen werde. Ganz habe ich die Hoffnung aber nicht aufgegeben.

Es wäre sehr freundlich (Danke im Voraus) wenn sich jemand der Ahnung hat das HiJack Log hier ansehen könnte und mir sagen was ich noch versuchen kann bevor ich zur ultima ratio greife und ihn formatiere.

Grüße, Goakhley



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:10:09, on 24.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\GameFace Messenger\GameFace.exe
C:\Programme\Creative\SBAudigy4\DVDAudio\CTDVDDET.EXE
C:\Programme\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe
C:\WINDOWS\CTHELPER.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative\MediaSource\Detector\CTDetect.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\ATKKBService.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\system32\CNAB4RPK.EXE
C:\PROGRA~1\Mozilla Firefox\firefox.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R3 - Default URLSearchHook is missing
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame

Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [GameFace Messenger] C:\Programme\GameFace Messenger\GameFace.exe
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy4\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator

"C:\Programme\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [CTRegRun] C:\WINDOWS\CTRegRun.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Creative Detector] C:\Programme\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: T-COM WLAN Manager T-Sinus 154data.lnk = C:\Programme\T-COM\T-COM WLAN Manager T-Sinus

154data\Installer\WINXP\DTUSB11GMonitor.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network

Diagnostic\xpnetdiag.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) -

h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) -

h**p://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1206743192359
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir

PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir

PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame

Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

--
End of file - 6391 bytes




Danke für die Hilfe.

Hallo und

Ich habe mit Avira AntiVir, Malwares Anti -Malware sowie Ad-Aware von Lavasoft gescannt. Gefunden und gelöscht wurden in letzter Zeit u.a. folgende Sachen:

Von Anti Vir: (das ist jetzt die UMGEKEHRTE chronologische Reihenfolge)

TR/FraudPack.adu' [trojan]
HEUR/HTML.Malware' [heuristic]
TR/Trash.Gen' [trojan]
'PHISH/Fraud.Agent.CI' [phishing]
TR/Crypt.ULPM.Gen' [trojan]
DR/Agent.1005239' [dropper]
'HTML/Infected.WebPage.Gen' [virus]
...
Und von Anti-Malware:

Trojan.FakeAlert
Adware.BHO

Wenn du uns dazu noch die Pfade und Dateien nennen könntest, das währe fein
Poste doch bitte die Logs von Antivir und Malwarebytes hierher, dann sehen wir weiter.

MFG

Ok, hier das von AntiVir diesmal in chronologischer Reihenfolge:

1. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\j8fn4w40.default\Cache\_CACHE_002_'
wurde ein Virus oder unerwünschtes Programm 'HTML/Infected.WebPage.Gen' [virus] gefunden.
Ausgeführte Aktion: Datei löschen

2. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\c.exe'
wurde ein Virus oder unerwünschtes Programm 'DR/Agent.1005239' [dropper] gefunden.
Ausgeführte Aktion: Datei löschen

3. "Fehler"
Fehler in AntiVir Guard.
Fehlertext: Aktion ist fehlgeschlagen für die Datei: C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\c.exe
Fehlercode: [0x00000005 - Zugriff verweigert].

4. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\f.exe'
wurde ein Virus oder unerwünschtes Programm 'DR/Agent.1005239' [dropper] gefunden.
Ausgeführte Aktion: Datei löschen

5. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\g.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.ULPM.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei löschen

6. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\f.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Crypt.ULPM.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei löschen

7. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\j8fn4w40.default\Cache\3E166378d01'
wurde ein Virus oder unerwünschtes Programm 'PHISH/Fraud.Agent.CI' [phishing] gefunden.
Ausgeführte Aktion: Datei löschen

8. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**Lokale Einstellungen\Temp\bcmdavrb.exe'
wurde ein Virus oder unerwünschtes Programm 'PHISH/Fraud.Agent.CI' [phishing] gefunden.
Ausgeführte Aktion: Datei löschen

9. "Malware gefunden"
In der Datei 'C:\System Volume Information\_restore{3174CEE3-D20E-4137-AD00-B6C3185FD3F5}\RP190\A0066682.dll'
wurde ein Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

10. "Malware gefunden"
In der Datei 'C:\System Volume Information\_restore{3174CEE3-D20E-4137-AD00-B6C3185FD3F5}\RP190\A0066683.DLL'
wurde ein Virus oder unerwünschtes Programm 'TR/Trash.Gen' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

11. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\b.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/Obfuscated.vfq' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

12. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\d.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/FraudPack.adu' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

13. "Malware gefunden
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\e.exe'
wurde ein Virus oder unerwünschtes Programm 'TR/FraudPack.adu' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

14. "Malware gefunden"
In der Datei 'C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\j8fn4w40.default\Cache\_CACHE_001_'
wurde ein Virus oder unerwünschtes Programm 'HEUR/HTML.Malware' [heuristic] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben


So, und hier ebenfalls chronologisch die Berichte von Anti-Malware:

da poste ich jetzt erstmal den aktuellsten:
----------------------------------------

Malwarebytes' Anti-Malware 1.30
Datenbank Version: 1312
Windows 5.1.2600 Service Pack 3

24.10.2008 14:15:46
mbam-log-2008-10-24 (14-15-46).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|G:\|)
Durchsuchte Objekte: 136101
Laufzeit: 39 minute(s), 22 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{500bca15-57a7-4eaf-8143-8c619470b13d} (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

------------------------------
Und hier noch ein etwas älterer:
------------------------------

Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1212
Windows 5.1.2600 Service Pack 3

27.09.2008 17:23:02
mbam-log-2008-09-27 (17-23-02).txt

Scan-Methode: Vollständiger Scan (C:\|F:\|G:\|)
Durchsuchte Objekte: 132745
Laufzeit: 37 minute(s), 18 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 7
Infizierte Registrierungswerte: 3
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\toolband.xttbpos00 (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{77d6ddfa-7834-4541-b2b3-a8b0fb0e3924} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{4bd2d6c3-31dc-b947-23d0-dc52ec4f0c4c} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\toolband.xttbpos00.1 (Adware.BHO) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\URLSearchHooks\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Toolbar\WebBrowser\{855f3b16-6d32-4fe6-8a56-bbb695989046} (Adware.BHO) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CLASSES_ROOT\scrfile\shell\open\command\ (Broken.OpenCommand) -> Bad: ("%1" %*) Good: ("%1" /S) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\ICQToolbar\toolbaru.dll (Adware.BHO) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\**\Lokale Einstellungen\Temp\c.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Ad-Aware hat im Grunde über die letzten zwei Wochen "nur" 172 Tracking Cookies und 8 "MRU Object" gefunden und gelöscht.


Ich hoffe das hilft dir weiter und Vielen Dank dass du dir die Zeit nimmst.

Grüße, Goakhley

So, ich *push* ma eben ^^

Hallo

deaktiviere bitte zuerst die Systemwiederherstellung, dann lade dir bitte Combofix herunter und lass es dein System untersuchen/bereinigen.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

• Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
  Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

poste bitte anschließend das Log hierher und berichte mal.

MFG

So hi, hatte zwar tierisch Angst als ich ComboFix benutzt hab ich könnt was falsch machen, aber dank deinen genauen Instruktionen scheint alles gut geklappt zu haben.

Hier das ComboFix Log:

ComboFix 08-10-25.01 - ** 2008-10-26 20:36:13.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.1.1031.18.1619 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\**\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841A8.###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841D8.###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@384208.###

.
((((((((((((((((((((((( Dateien erstellt von 2008-09-26 bis 2008-10-26 ))))))))))))))))))))))))))))))
.

2008-10-26 20:10 . 2008-10-26 20:10 <DIR> d-------- C:\Programme\CCleaner
2008-10-24 21:08 . 2008-10-24 21:08 <DIR> d-------- C:\Programme\Trend Micro
2008-10-24 12:07 . 2008-10-15 17:35 337,408 -----c--- C:\WINDOWS\system32\dllcache\netapi32.dll
2008-10-15 18:44 . 2008-10-15 18:44 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Blizzard
2008-10-15 10:05 . 2008-09-08 11:41 333,824 -----c--- C:\WINDOWS\system32\dllcache\srv.sys
2008-10-15 10:04 . 2008-09-15 16:24 1,846,528 -----c--- C:\WINDOWS\system32\dllcache\win32k.sys
2008-10-15 10:02 . 2008-08-14 14:19 2,191,488 -----c--- C:\WINDOWS\system32\dllcache\ntoskrnl.exe
2008-10-15 10:02 . 2008-08-14 14:19 2,147,840 -----c--- C:\WINDOWS\system32\dllcache\ntkrnlmp.exe
2008-10-15 10:02 . 2008-08-14 14:19 2,068,352 -----c--- C:\WINDOWS\system32\dllcache\ntkrnlpa.exe
2008-10-15 10:02 . 2008-08-14 14:19 2,026,496 -----c--- C:\WINDOWS\system32\dllcache\ntkrpamp.exe
2008-10-12 18:25 . 2008-10-12 18:25 <DIR> d-------- C:\Programme\Lavasoft
2008-10-12 18:25 . 2008-10-12 18:27 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lavasoft
2008-10-12 18:22 . 2008-10-12 18:22 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-10-10 17:01 . 2008-10-10 17:01 <DIR> d-------- C:\Programme\Gemeinsame Dateien\SWF Studio
2008-10-03 14:31 . 2008-10-03 14:31 <DIR> d-------- C:\Dokumente und Einstellungen\**\Anwendungsdaten\Silver Style Entertainment
2008-09-27 14:57 . 2008-10-24 12:31 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-09-27 14:57 . 2008-09-27 14:57 <DIR> d-------- C:\Dokumente und Einstellungen\**\Anwendungsdaten\Malwarebytes
2008-09-27 14:57 . 2008-09-27 14:57 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-09-27 14:57 . 2008-10-22 15:10 38,496 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-09-27 14:57 . 2008-10-22 15:10 15,504 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-09-27 09:31 . 2008-09-27 09:33 <DIR> d-------- C:\WINDOWS\system32\E177E04D548C4006A465EEB92D3DE021
2008-09-26 12:44 . 2008-09-26 12:52 <DIR> d-------- C:\Programme\PANZERS - Phase2
2008-09-26 12:44 . 2008-09-26 12:44 59 --a------ C:\WINDOWS\WININIT.INI

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-10-26 19:30 --------- d-----w C:\Dokumente und Einstellungen\**\Anwendungsdaten\Skype
2008-10-26 17:18 --------- d-----w C:\Dokumente und Einstellungen\**\Anwendungsdaten\skypePM
2008-10-21 13:53 196,608 ----a-w C:\WINDOWS\system32\drivers\aStandard.bin
2008-10-21 05:30 --------- d-----w C:\Programme\World of Warcraft
2008-10-15 16:48 --------- d-----w C:\Dokumente und Einstellungen\**\Anwendungsdaten\teamspeak2
2008-10-10 16:03 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-10-03 15:15 --------- d-----w C:\Programme\THQ
2008-10-02 19:11 --------- d-----w C:\Programme\Warcraft III
2008-09-27 08:19 --------- d-----w C:\Programme\ICQToolbar
2008-09-27 08:13 --------- d-----w C:\Programme\Total Video Converter
2008-09-23 06:01 --------- d-----w C:\Programme\ICQ6
2008-09-15 15:24 1,846,528 ----a-w C:\WINDOWS\system32\win32k.sys
2008-09-08 10:41 333,824 ----a-w C:\WINDOWS\system32\drivers\srv.sys
2008-09-08 03:24 --------- d-----w C:\Programme\Opera
2008-09-06 18:31 86,016 ----a-w C:\WINDOWS\system32\OpenAL32.dll
2008-09-06 18:29 --------- d-----w C:\Programme\Futuremark
2008-09-05 15:22 --------- d-----w C:\Programme\Google
2008-09-02 17:37 --------- d-----w C:\Programme\CBM
2008-08-27 08:44 --------- d-----w C:\Programme\Canon
2008-08-26 07:57 826,368 ----a-w C:\WINDOWS\system32\wininet.dll
2008-08-14 13:19 2,147,840 ----a-w C:\WINDOWS\system32\ntoskrnl.exe
2008-08-14 13:19 2,026,496 ----a-w C:\WINDOWS\system32\ntkrnlpa.exe
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2008-04-14 15360]
"Creative Detector"="C:\Programme\Creative\MediaSource\Detector\CTDetect.exe" [2004-12-02 102400]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"Skype"="C:\Programme\Skype\Phone\Skype.exe" [2008-08-11 21741864]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2008-09-01 173304]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"GameFace Messenger"="C:\Programme\GameFace Messenger\GameFace.exe" [2006-11-01 2154496]
"CTDVDDET"="C:\Programme\Creative\SBAudigy4\DVDAudio\CTDVDDET.EXE" [2003-06-18 45056]
"CTSysVol"="C:\Programme\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe" [2005-02-15 57344]
"AudioDrvEmulator"="C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" [2005-06-16 49152]
"UpdReg"="C:\WINDOWS\UpdReg.EXE" [2000-05-11 90112]
"CTRegRun"="C:\WINDOWS\CTRegRun.EXE" [1999-10-11 41984]
"StartCCC"="C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 39792]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-17 266497]
"MSConfig"="C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe" [2008-04-14 172544]
"CTHelper"="CTHELPER.EXE" [2006-08-11 C:\WINDOWS\CTHELPER.EXE]
"CTxfiHlp"="CTXFIHLP.EXE" [2006-08-11 C:\WINDOWS\system32\CTXFIHLP.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2008-04-14 15360]

C:\Dokumente und Einstellungen\All Users\Startmen�\Programme\Autostart\
Microsoft Office.lnk - C:\Programme\Microsoft Office\Office\OSA9.EXE [1999-02-17 65588]
T-COM WLAN Manager T-Sinus 154data.lnk - C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe [2004-02-06 606208]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.asv2"= asusasv2.dll

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Google Updater.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Google Updater.lnk
backup=C:\WINDOWS\pss\Google Updater.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
--a------ 2008-10-11 07:41 1410296 C:\Programme\Valve\Steam\Steam.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Valve\\Steam\\SteamApps\\goakhley\\counter-strike source\\hl2.exe"=
"C:\\MAGIX\\ms2005_deLuxe\\AudStu.exe"=
"C:\\Programme\\Microsoft Games\\Dungeon Siege 2\\DungeonSiege2.exe"=
"C:\\Programme\\World of Warcraft\\WoW-1.12.0-deDE-downloader.exe"=
"C:\\Programme\\World of Warcraft\\WoW-1.12.x-to-2.0.1-deDE-patch-downloader.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\Ubisoft\\DIE SIEDLER - Aufstieg eines Königreichs Demo\\base\\bin\\Settlers6Demo.exe"=
"C:\\WINDOWS\\system32\\CNAB4RPK.EXE"=
"C:\\Programme\\THQ\\Company of Heroes\\RelicCOH.exe"=
"C:\\Programme\\THQ\\S.T.A.L.K.E.R. - Shadow of Chernobyl\\bin\\XR_3DA.exe"=
"C:\\Programme\\THQ\\S.T.A.L.K.E.R. - Shadow of Chernobyl\\bin\\dedicated\\XR_3DA.exe"=
"C:\\Programme\\World of Warcraft\\BackgroundDownloader.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3724:TCP"= 3724:TCP:Blizzard Downloader: 3724

R3 DT154_A02;T-Sinus 154data Driver;C:\WINDOWS\system32\DRIVERS\TS154USB.sys [2003-11-11 336800]
R3 Video3D;ASUS Video3D Service;C:\WINDOWS\system32\Drivers\Video3D32.sys [2006-09-29 10752]
R3 w32n5223;w32n5223 Protocol Driver;C:\PROGRA~1\T-COM\T-COMW~1\INSTAL~1\WINXP\w32n5223.SYS [2003-05-12 15104]
R4 atidgllk;atidgllk;C:\WINDOWS\atidgllk.sys [2005-10-20 5376]
S1 asusgsb;ASUS Virtual Video Capture Device Driver;C:\WINDOWS\system32\drivers\asusgsb32.sys [2005-10-20 12416]
S3 EverestDriver;Lavalys EVEREST Kernel Driver;C:\Dokumente und Einstellungen\**\Desktop\Everest 4.10.1091\kerneld.wnt [2007-08-02 21104]

*Newly Created Service* - CATCHME
*Newly Created Service* - PROCEXP90
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-swg - C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe


.
------- Zusätzlicher Suchlauf -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\**\Anwendungsdaten\Mozilla\Firefox\Profiles\j8fn4w40.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.de
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, h**p://www.gmer.net
Rootkit scan 2008-10-26 20:36:59
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\EverestDriver]
"ImagePath"="\??\C:\Dokumente und Einstellungen\**\Desktop\Everest 4.10.1091\kerneld.wnt"
.
Zeit der Fertigstellung: 2008-10-26 20:37:51
ComboFix-quarantined-files.txt 2008-10-26 19:37:48

Vor Suchlauf: 17 Verzeichnis(se), 55.748.980.736 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 55,795,363,840 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
C:\CMDCONS\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect /usepmtimer

161 --- E O F --- 2008-10-24 11:13:57



---------------------------------------------
---------------------------------------------
---------------------------------------------

Hier außerdem auch ein frisches HiJack This Log:

Logfile of Trend Micro Hijack This v2.0.2
Scan saved at 20:40:46, on 26.10.2008
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16735)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\GameFace Messenger\GameFace.exe
C:\Programme\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe
C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Creative\MediaSource\Detector\CTDetect.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\CNAB4RPK.EXE
C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\ATKKBService.exe
C:\WINDOWS\system32\CTsvcCDA.EXE
C:\WINDOWS\explorer.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Skype\Plugin Manager\skypePM.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [GameFace Messenger] C:\Programme\GameFace Messenger\GameFace.exe
O4 - HKLM\..\Run: [CTDVDDET] C:\Programme\Creative\SBAudigy4\DVDAudio\CTDVDDET.EXE
O4 - HKLM\..\Run: [CTSysVol] C:\Programme\Creative\SBAudigy4\Surround Mixer\CTSysVol.exe /r
O4 - HKLM\..\Run: [AudioDrvEmulator] "C:\Programme\Creative\Shared Files\Module Loader\DLLML.exe" -1 AudioDrvEmulator "C:\Programme\Creative\Shared Files\Module Loader\Audio Emulator\AudDrvEm.dll"
O4 - HKLM\..\Run: [UpdReg] C:\WINDOWS\UpdReg.EXE
O4 - HKLM\..\Run: [CTRegRun] C:\WINDOWS\CTRegRun.EXE
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Creative Detector] C:\Programme\Creative\MediaSource\Detector\CTDetect.exe /R
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: T-COM WLAN Manager T-Sinus 154data.lnk = C:\Programme\T-COM\T-COM WLAN Manager T-Sinus 154data\Installer\WINXP\DTUSB11GMonitor.exe
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - h**p://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1206743192359
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ATK Keyboard Service (ATKKeyboardService) - ASUSTeK COMPUTER INC. - C:\WINDOWS\ATKKBService.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe

--
End of file - 6122 bytes


--------------------------------------------
--------------------------------------------

Ich hoffe dass dir das weiterhilft und bedanke mich für die Mühe, Danke!

Grüße, Goakhley

nochmal kurz *push*

Hallo

nochmal kurz *push*

keine Angst du gehst nicht verloren

C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841A8 .###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841D8 .###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@384208 .###

Leider kann ich dir nicht sagen was Combofix da gelöscht hat...
Sieh bitte in den Ordner C:\Qoobox\Quarantine\C:\Dokumente und Einstellungen\**\Anwendungsdaten\ und lass diese Dateien !?
auswerten, ebenso lass bitte diese Datei
C:\WINDOWS\system32\E177E04D548C4006A465EEB92D3DE021
hier Virustotal, hier virscan.org
oder hier Jotti überprüfen (kann einige Minuten dauern),
poste die gesamten Ergebnisse mit der Angabe der Größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben oder verlinke auf die Auswertung,
bitte auch wenn nichts gefunden wurde.

Dein HijackThis Log scheint mir unauffällig.

MFG

Hi, also bei

C:\Qoobox\Quarantine\C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#

handelt es sich um einen Ordner der 3 Dateien enthält. Hier der Virustotal Scan für die erste von Ihnen, nämlich:

--------------------------------------------------------------
C:\Qoobox\Quarantine\C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841A8 .###
--------------------------------------------------------------

Datei MBX_2E0_3841A8.___.vir empfangen 2008.10.27 18:21:44 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 2/36 (5.56%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: ___.
Geschätzte Startzeit is zwischen ___ und ___ .
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.10.27.3 2008.10.27 -
AntiVir 7.9.0.9 2008.10.27 -
Authentium 5.1.0.4 2008.10.27 -
Avast 4.8.1248.0 2008.10.27 -
AVG 8.0.0.161 2008.10.27 -
BitDefender 7.2 2008.10.27 -
CAT-QuickHeal 9.50 2008.10.27 -
ClamAV 0.93.1 2008.10.27 -
DrWeb 4.44.0.09170 2008.10.27 -
eSafe 7.0.17.0 2008.10.27 Suspicious File
eTrust-Vet 31.6.6168 2008.10.25 -
Ewido 4.0 2008.10.27 -
F-Prot 4.4.4.56 2008.10.27 -
F-Secure 8.0.14332.0 2008.10.27 -
Fortinet 3.113.0.0 2008.10.27 -
GData 19 2008.10.27 -
Ikarus T3.1.1.44.0 2008.10.27 -
K7AntiVirus 7.10.509 2008.10.27 -
Kaspersky 7.0.0.125 2008.10.27 -
McAfee 5415 2008.10.25 -
Microsoft 1.4005 2008.10.27 -
NOD32 3560 2008.10.27 -
Norman 5.80.02 2008.10.24 -
Panda 9.0.0.4 2008.10.27 -
PCTools 4.4.2.0 2008.10.27 -
Prevx1 V2 2008.10.27 -
Rising 21.01.02.00 2008.10.27 -
SecureWeb-Gateway 6.7.6 2008.10.27 Win32.Malware.gen (suspicious)
Sophos 4.35.0 2008.10.27 -
Sunbelt 3.1.1753.1 2008.10.25 -
Symantec 10 2008.10.27 -
TheHacker 6.3.1.1.131 2008.10.27 -
TrendMicro 8.700.0.1004 2008.10.27 -
VBA32 3.12.8.8 2008.10.27 -
ViRobot 2008.10.27.1438 2008.10.27 -
VirusBuster 4.5.11.0 2008.10.27 -

weitere Informationen
File size: 2048 bytes
MD5...: 29d38b322e0b6a040a6cd28db97f4a35
SHA1..: d00ee334f505204e1d71d3986d12ba158adfe85a
SHA256: fbbde7effeaa3898a089a9a179136d7cc0607c9d6ea69d03293ab2a3c928ad37
SHA512: 0be9d4f8f2c3b8f907a2f2623b0e47e4c50f64d2531355b71f18b3bdbc2af763
a810f3094efdbd2daf8fd6bea612691a079028a8502179576947dfa7f22e71d5
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x302ef000
timedatestamp.....: 0x466daac0 (Mon Jun 11 20:04:16 2007)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1a3000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rdata 0x1a4000 0x2d000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data 0x1d1000 0xfd000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x2ce000 0xf000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.reloc 0x2dd000 0x12000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
_BOX_ 0x2ef000 0x1000 0x200 1.48 d37d7be9a96ae9df7305621e4d4caac9

( 0 imports )

( 0 exports )


Dann die zweite Datei, nämlich:

-------------------------------------------------------------
C:\Qoobox\Quarantine\C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841D8 .###
-------------------------------------------------------------

Datei MBX_2E0_3841D8.___.vir empfangen 2008.10.27 18:28:18 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 2/36 (5.56%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 3.
Geschätzte Startzeit is zwischen 50 und 71 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.10.27.3 2008.10.27 -
AntiVir 7.9.0.9 2008.10.27 -
Authentium 5.1.0.4 2008.10.27 -
Avast 4.8.1248.0 2008.10.27 -
AVG 8.0.0.161 2008.10.27 -
BitDefender 7.2 2008.10.27 -
CAT-QuickHeal 9.50 2008.10.27 -
ClamAV 0.93.1 2008.10.27 -
DrWeb 4.44.0.09170 2008.10.27 -
eSafe 7.0.17.0 2008.10.27 Suspicious File
eTrust-Vet 31.6.6168 2008.10.25 -
Ewido 4.0 2008.10.27 -
F-Prot 4.4.4.56 2008.10.27 -
F-Secure 8.0.14332.0 2008.10.27 -
Fortinet 3.113.0.0 2008.10.27 -
GData 19 2008.10.27 -
Ikarus T3.1.1.44.0 2008.10.27 -
K7AntiVirus 7.10.509 2008.10.27 -
Kaspersky 7.0.0.125 2008.10.27 -
McAfee 5415 2008.10.25 -
Microsoft 1.4005 2008.10.27 -
NOD32 3560 2008.10.27 -
Norman 5.80.02 2008.10.27 -
Panda 9.0.0.4 2008.10.27 -
PCTools 4.4.2.0 2008.10.27 -
Prevx1 V2 2008.10.27 -
Rising 21.01.02.00 2008.10.27 -
SecureWeb-Gateway 6.7.6 2008.10.27 Win32.Malware.gen!94 (suspicious)
Sophos 4.35.0 2008.10.27 -
Sunbelt 3.1.1753.1 2008.10.25 -
Symantec 10 2008.10.27 -
TheHacker 6.3.1.1.131 2008.10.27 -
TrendMicro 8.700.0.1004 2008.10.27 -
VBA32 3.12.8.8 2008.10.27 -
ViRobot 2008.10.27.1438 2008.10.27 -
VirusBuster 4.5.11.0 2008.10.27 -
weitere Informationen
File size: 2048 bytes
MD5...: f5a6a8bfe85365871e1a835e745daa72
SHA1..: cf52c6dd1d180dfbee150bfa2ef46b001ecdad75
SHA256: 4f75ec3bb888b842f97d23f5991f341eb7da2585c2222f8571c52483acd9dea5
SHA512: e5ec8e8bf1304b4dff70035af8662a8d3076e9fef0455eec0a30ea3cc0eee27d
f4e757fdde494a346b336d471e1f9a8be2c334b9b2d479008a044247c490bef1
PEiD..: -
TrID..: File type identification
Win16/32 Executable Delphi generic (33.9%)
Generic Win/DOS Executable (32.7%)
DOS Executable Generic (32.7%)
VXD Driver (0.5%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x6ab24000
timedatestamp.....: 0x3ef274f8 (Fri Jun 20 02:44:08 2003)
machinetype.......: 0x14c (I386)

( 6 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0xfe000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
ENGINE 0xff000 0xd000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data 0x10c000 0x7000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rsrc 0x113000 0x31000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.reloc 0x144000 0x10000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
_BOX_ 0x154000 0x1000 0x200 1.48 c4acd6ea69cda924c912fbe734dbe647

( 0 imports )

( 0 exports )


Hier die letzte Datei, nämlich:

-------------------------------------------------------------
C:\Qoobox\Quarantine\C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@384208 .###
--------------------------------------------------------------

Datei MBX_2E0_384208.___.vir empfangen 2008.10.27 18:32:19 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 3/36 (8.34%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 2.
Geschätzte Startzeit is zwischen 45 und 64 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.10.27.3 2008.10.27 -
AntiVir 7.9.0.9 2008.10.27 -
Authentium 5.1.0.4 2008.10.27 -
Avast 4.8.1248.0 2008.10.27 -
AVG 8.0.0.161 2008.10.27 -
BitDefender 7.2 2008.10.27 -
CAT-QuickHeal 9.50 2008.10.27 -
ClamAV 0.93.1 2008.10.27 -
DrWeb 4.44.0.09170 2008.10.27 -
eSafe 7.0.17.0 2008.10.27 Suspicious File
eTrust-Vet 31.6.6168 2008.10.25 -
Ewido 4.0 2008.10.27 -
F-Prot 4.4.4.56 2008.10.27 -
F-Secure 8.0.14332.0 2008.10.27 -
Fortinet 3.113.0.0 2008.10.27 -
GData 19 2008.10.27 -
Ikarus T3.1.1.44.0 2008.10.27 -
K7AntiVirus 7.10.509 2008.10.27 -
Kaspersky 7.0.0.125 2008.10.27 -
McAfee 5415 2008.10.25 -
Microsoft 1.4005 2008.10.27 -
NOD32 3560 2008.10.27 -
Norman 5.80.02 2008.10.27 -
Panda 9.0.0.4 2008.10.27 -
PCTools 4.4.2.0 2008.10.27 -
Prevx1 V2 2008.10.27 -
Rising 21.01.02.00 2008.10.27 -
SecureWeb-Gateway 6.7.6 2008.10.27 Win32.Malware.gen (suspicious)
Sophos 4.35.0 2008.10.27 -
Sunbelt 3.1.1753.1 2008.10.25 -
Symantec 10 2008.10.27 -
TheHacker 6.3.1.1.131 2008.10.27 -
TrendMicro 8.700.0.1004 2008.10.27 PAK_Generic.001
VBA32 3.12.8.8 2008.10.27 -
ViRobot 2008.10.27.1438 2008.10.27 -
VirusBuster 4.5.11.0 2008.10.27 -
weitere Informationen
File size: 2048 bytes
MD5...: d6f01a53d36d73bffc22959ce70f9a1c
SHA1..: 9c6efda65bc3853e38cb9a45f150101a7a1e0190
SHA256: b4d9cdc11cce9b06d0bb2067a309d3669e077a1ccf1b21c2e6bbea7fece3c729
SHA512: 76848a93457ab6ae064dec729141082868709a29061a060c8c05ad5e512f2776
f88a85ea8bd2298463d7e5ca6b8473fb1f71dedc537e3f02713a613d365b3f21
PEiD..: -
TrID..: File type identification
Generic Win/DOS Executable (49.9%)
DOS Executable Generic (49.8%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.1%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10030000
timedatestamp.....: 0x47c58f75 (Wed Feb 27 16:27:33 2008)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x1d000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.rdata 0x1e000 0x5000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.data 0x23000 0xb000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
.reloc 0x2e000 0x2000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
_BOX_ 0x30000 0x1000 0x200 1.33 d98e311312600c55ba5b7a3f032d1caf

( 0 imports )

( 0 exports )



So, was die andere Datei angeht: C:\WINDOWS\system32\E177E04D548C4006A465EEB92D3DE0 21

Es handelt sich hier um einen Ordner der seinerseits folgende Ordner enthält:

Continous Storage
Discrete Storage
EC-License
License-DLL
Licenses
Publisher Runtime
Runtime
Temp
Test Storage


Was genau soll ich da ausscannen?

Und noch was, ich weiß leider nicht was "MD5 und SHA1 Angaben" sind. Sry

Danke für deine Hilfe, Grüße, Goakhley

Hallo

Es handelt sich hier um einen Ordner der seinerseits folgende Ordner enthält:
....
Was genau soll ich da ausscannen?

verschiebe den Ordner mal an eine andere Stelle auf deiner Festplatte und überprüfe ob weiterhin alles funktioniert wie bisher.
Such dir einige Dateien aus den Unterordnern heraus, egal welche und lass sie überprüfen, poste die Ergebnisse, wenn etwas gefunden wird.

Und noch was, ich weiß leider nicht was "MD5 und SHA1 Angaben" sind. Sry

kein Beinbruch, du hast sie mitkopiert gehabt z.B.

MD5...: 29d38b322e0b6a040a6cd28db97f4a35
SHA1..: d00ee334f505204e1d71d3986d12ba158adfe85a
SHA256: fbbde7effeaa3898a089a9a179136d7cc0607c9d6ea69d0329 3ab2a3c928ad37
SHA512: 0be9d4f8f2c3b8f907a2f2623b0e47e4c50f64d2531355b71f 18b3bdbc2af763
a810f3094efdbd2daf8fd6bea612691a079028a85021795769 47dfa7f22e71d5

Secure Hash Algorithm ? Wikipedia
Message-Digest Algorithm 5 ? Wikipedia

Lösch bitte den Inhalt der Qoobox Quarantäne und leere den Mülleimer, dann führe bitte einen Onlinescan hier durch, poste das Log hierher und berichte anschließend
Free Virus Scan - Kaspersky Lab

MFG

Hi, also ich hab sämtliche Dateien in den Unterordner ausgescannt, bei keiner wurde was gefunden. eine konnte allerdings nicht hochgeladen werden:

C:\WINDOWS\system32\E177E04D548C4006A465EEB92D3DE0 21\Runtime\Security\prv_fallback_6_41_95.dll.sec

Die ist auch nur 0 KB groß. versteh das irgendwie nicht.

Was den ordner selbst angeht: Hatte ihn kurz nach C verschoben. Hatte nicht das Gefühl irgendwas würde danach nicht gehen.

Dann noch ne Frage: Du sagtest ich soll den Inhalt der Quarantine in der QooBox löschen, den kompletten Inhalt des Ordners "Quarantine" oder bestimmte Dateien? Weil da sind noch Unterordner wie "HP Registry Backup" oder eben "C" drin.


Grüße, Goakhley

Ich geh ma wieder meinem Lieblingshobby nach und *push mal

Grüße

Hallo

lösche im Quarantäneordner erstmal nur die Fett markierten

C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841A8 .###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@3841D8 .###
C:\Dokumente und Einstellungen\**\Anwendungsdaten\.#\MBX@2E0@384208 .###

Hi, also ich hab sämtliche Dateien in den Unterordner ausgescannt, bei keiner wurde was gefunden. eine konnte allerdings nicht hochgeladen werden:

Ich habe auf den Mc Afeeseiten nur einige Programme gefunden die diese Dateien beinhalten und denke der Ordner Samt Inhalt ist i.O.
(Sollte ich mich täuschen, bitte ich um Berichtigung)

Führe bitte den verlinkten Onlinescan bei Kaspersky durch
Free Virus Scan - Kaspersky Lab
und berichte bitte anschließend.

MFG

scan hat nichts ergeben, hier der bericht:




Wednesday, October 29, 2008
Operating System: Microsoft Windows XP Home Edition Service Pack 3 (build 2600)
Kaspersky Online Scanner 7 version: 7.0.25.0
Program database last update: Wednesday, October 29, 2008 15:25:28
Records in database: 1356289
Scan settings
Scan using the following database extended
Scan archives yes
Scan mail databases yes
Scan area My Computer
A:\
C:\
E:\
F:\
G:\
Scan statistics
Files scanned 84105
Threat name 0
Infected objects 0
Suspicious objects 0
Duration of the scan 00:46:45

No malware has been detected. The scan area is clean.
The selected area was scanned.


Gruß, Goakhley

Hallo

No malware has been detected. The scan area is clean.

sehr schön.

Deinstalliere bitte noch Combofix
Start --> Ausführen --> schreibe rein Combofix /u --> Enter

Gibt es noch Probleme mit dem System?

MFG