Habe heute bei einem Scan mit Avira Antivir in einer Datei den WORM/Autorun.xgd gefunden, habe über Google leider nichts dazu gefunden. Die befallene Datei ist der Neo-Geo Emulator Winkawaks V1.56 den ich schon seit über 2 Jahren nutze, bis heute trat nie ein Problem auf. Auch bei vorigen Virenscans gab es keine Funde. Das Original Zip-Archiv von damals ist auch damit befallen.

Kann mir jemand was zu diesem Wurm sagen, ist ein System neu aufsetzen unumgänglich?

Danke schon mal vorweg

Bernd

Hallo und

BITTE BEACHTE DIE NUB

Poste uns mal bitte ein HijackThis logfile

Mein Betriebssystem ist Windows XP mit SP3

Hier mein Logfile:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:48:41, on 22.01.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18241)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Winamp\Winampa.exe
C:\Programme\Java\jre1.6.0_01\bin\jusched.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\bgsvcgen.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [WinampAgent] "C:\Programme\Winamp\Winampa.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_01\bin\jusched.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [ToADiMon.exe] C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe -TOnlineAutodialStart
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Directory Opus Desktop Dblclk] "C:\Programme\GPSoftware\Directory Opus\dopusrt.exe" /dblclk
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_01\bin\ssv.dll
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1228144494437
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 6467 bytes

Ich hoffe es ist alles richtig, bin auf diesem Gebiet unerfahren.

Fixe bitte mit HijackThis folgende Einträge:

O3 - Toolbar: Ask Toolbar - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O2 - BHO: AskBar BHO - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site .cab?1228144494437
         

Lade dir bitte mal Malwarebytes runter und folge der Anleitung.

Ich kann jetzt nicht böses erkennen.

Poste mal bitte das Log von dem Fund deines AVP

p.s. du solltest keine Beta Programme auf deinem produktiven System installieren (IE8)

Vielen Dank erstmal für deine Mühe.

Die Einträge habe ich gefixt, Malwarebytes Antimalware hatte ich schon drauf hier mal der Scan:

Malwarebytes' Anti-Malware 1.33
Datenbank Version: 1678
Windows 5.1.2600 Service Pack 3

22.01.2009 17:23:20
mbam-log-2009-01-22 (17-23-20).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 104000
Laufzeit: 25 minute(s), 25 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

Dies ist mein Virenlog:

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 22. Januar 2009 15:17

Es wird nach 1256408 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: PC
Computername: PC-CC492BFAF526

Versionsinformationen:
BUILD.DAT : 8.2.0.337 16934 Bytes 18.11.2008 13:01:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 01.12.2008 14:34:51
AVSCAN.DLL : 8.1.4.0 48897 Bytes 23.07.2008 12:55:04
LUKE.DLL : 8.1.4.5 164097 Bytes 23.07.2008 12:55:04
LUKERES.DLL : 8.1.4.0 12545 Bytes 23.07.2008 12:55:04
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 14:17:22
ANTIVIR1.VDF : 7.1.1.113 2817536 Bytes 14.01.2009 14:28:54
ANTIVIR2.VDF : 7.1.1.148 440832 Bytes 20.01.2009 09:19:32
ANTIVIR3.VDF : 7.1.1.166 302592 Bytes 22.01.2009 12:38:04
Engineversion : 8.2.0.57
AEVDF.DLL : 8.1.0.6 102772 Bytes 17.10.2008 11:59:46
AESCRIPT.DLL : 8.1.1.26 340347 Bytes 19.01.2009 10:15:34
AESCN.DLL : 8.1.1.5 123251 Bytes 07.11.2008 18:18:09
AERDL.DLL : 8.1.1.3 438645 Bytes 07.11.2008 18:18:08
AEPACK.DLL : 8.1.3.5 393588 Bytes 11.01.2009 22:59:46
AEOFFICE.DLL : 8.1.0.33 196987 Bytes 12.12.2008 10:37:14
AEHEUR.DLL : 8.1.0.84 1540471 Bytes 19.01.2009 10:15:33
AEHELP.DLL : 8.1.2.0 119159 Bytes 19.11.2008 12:12:50
AEGEN.DLL : 8.1.1.10 323957 Bytes 19.01.2009 10:15:30
AEEMU.DLL : 8.1.0.9 393588 Bytes 17.10.2008 11:59:37
AECORE.DLL : 8.1.5.2 172405 Bytes 01.12.2008 14:34:51
AEBB.DLL : 8.1.0.3 53618 Bytes 17.10.2008 11:59:35
AVWINLL.DLL : 1.0.0.12 15105 Bytes 23.07.2008 12:55:04
AVPREF.DLL : 8.0.2.0 38657 Bytes 23.07.2008 12:55:04
AVREP.DLL : 8.0.0.2 98344 Bytes 04.08.2008 13:53:15
AVREG.DLL : 8.0.0.1 33537 Bytes 23.07.2008 12:55:04
AVARKT.DLL : 1.0.0.23 307457 Bytes 15.04.2008 13:13:39
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 23.07.2008 12:55:04
SQLITE3.DLL : 3.3.17.1 339968 Bytes 15.04.2008 13:13:39
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 23.07.2008 12:55:04
NETNT.DLL : 8.0.0.1 7937 Bytes 15.04.2008 13:13:39
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 23.07.2008 12:55:03
RCTEXT.DLL : 8.0.52.0 86273 Bytes 23.07.2008 12:55:03

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: ShlExt
Konfigurationsdatei..............: C:\DOKUME~1\PC\LOKALE~1\Temp\4377e17b.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: D:,
Durchsuche aktive Programme......: aus
Durchsuche Registrierung.........: aus
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Intelligente Dateiauswahl
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Donnerstag, 22. Januar 2009 15:17

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'D:\Games\Emulatoren\Neo Geo\WinKawaks\winkawaks156.zip'
D:\Games\Emulatoren\Neo Geo\WinKawaks\winkawaks156.zip
[0] Archivtyp: ZIP
--> WinKawaks.exe
[FUND] Enthält Erkennungsmuster des Wurmes WORM/Autorun.xgd
[HINWEIS] Die Datei wurde gelöscht.


Ende des Suchlaufs: Donnerstag, 22. Januar 2009 15:17
Benötigte Zeit: 00:05 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
79 Dateien wurden geprüft
1 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
1 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
78 Dateien ohne Befall
3 Archive wurden durchsucht
0 Warnungen
1 Hinweise

Den Internet Explorer nutze ich ja nicht, nehme immer Firefox, hatte nur gelesen, dass man immer die neueste Version installieren soll - hab gar nicht gemerkt, dass das eine Beta ist. Welche Version sollte man da installieren?

79 Dateien wurden geprüft
         

lass mal deinen ganzen PC durchsuchen

IE7 ist der aktuelle.

Wo hast du denn

WORM/Autorun.xgd
         

gefunden?