Wird das Programm PowerDVD benutzt?

ciao, andreas

Nur ab und zu...

Hast du Administratorrechte?

ciao, andreas

Ja ich habe Admin-Rechte

Wir versuchen es noch einmal:

Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

KILLALL::

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windowsnt\currentversion\drivers32]
"wave1"=-
"midi1"=-
"mixer1"=-
"wave2"=-
"midi2"=-
"mixer2"=-
"aux1"=-
"aux2"=-

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"rundll32.exe"=-

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"rundll32.exe"=-
         

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

Falls es mit der rechten Maustaste nicht funktioniert, dann versuche die linke.

ciao, andreas

ComboFix 09-02-26.02 - Tom 2009-02-28 23:30:52.3 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.2046.1524 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Tom\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Tom\Desktop\cfscript.txt
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
* Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((( Dateien erstellt von 2009-01-28 bis 2009-02-28 ))))))))))))))))))))))))))))))
.

2009-02-28 09:05 . 2009-02-28 09:07 <DIR> d-------- c:\dokumente und einstellungen\Tom\Anwendungsdaten\ICQ
2009-02-28 08:55 . 2009-02-28 08:55 <DIR> d-------- c:\dokumente und einstellungen\Tom\Anwendungsdaten\Foxit
2009-02-28 00:07 . 2009-02-28 00:08 <DIR> d-------- c:\dokumente und einstellungen\Tom\.SunDownloadManager
2009-02-27 20:28 . 2009-02-28 00:10 <DIR> d-------- c:\dokumente und einstellungen\Tom\Anwendungsdaten\SUPERAntiSpyware.com
2009-02-27 20:28 . 2009-02-27 20:28 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2009-02-09 17:14 . 2009-02-09 17:16 <DIR> d-------- c:\dokumente und einstellungen\Tom\Anwendungsdaten\U3
2009-02-02 20:08 . 2009-02-02 20:08 32,135 --a------ c:\windows\Irremote.ini
2009-02-02 20:08 . 2009-02-02 20:08 30 --a------ c:\windows\system32\UNWISE.INI

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-28 10:36 --------- d-----w c:\programme\Tools
2009-02-28 08:07 --------- d--h--w c:\programme\InstallShield Installation Information
2009-02-28 08:00 --------- d-----w c:\programme\Java
2009-02-28 07:48 --------- d-----w c:\programme\Google
2009-02-27 23:20 --------- d-----w c:\programme\Gemeinsame Dateien\Adobe
2009-02-27 17:11 --------- d-----w c:\dokumente und einstellungen\Tom\Anwendungsdaten\Canon
2009-02-23 17:47 140,216 ----a-w c:\windows\system32\drivers\PnkBstrK.sys
2009-02-23 07:39 --------- d-----w c:\programme\WinTV
2009-02-22 13:30 --------- d-----w c:\dokumente und einstellungen\Tom\Anwendungsdaten\ZoomBrowser EX
2009-02-22 13:30 --------- d-----w c:\dokumente und einstellungen\All Users\Anwendungsdaten\ZoomBrowser
2009-02-21 11:47 --------- d-----w c:\programme\Malwarebytes' Anti-Malware
2009-02-11 09:19 38,496 ----a-w c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-11 09:19 15,504 ----a-w c:\windows\system32\drivers\mbam.sys
2009-02-02 19:08 --------- d-----w c:\programme\vtplus
2009-01-11 19:04 --------- d-----w c:\programme\ElsterFormular
2009-01-05 19:39 --------- d-----w c:\dokumente und einstellungen\Tom\Anwendungsdaten\Skype
2009-01-05 19:38 --------- d-----w c:\dokumente und einstellungen\Tom\Anwendungsdaten\skypePM
2008-02-16 18:07 32 ----a-w c:\dokumente und einstellungen\All Users\Anwendungsdaten\ezsid.dat
2008-02-01 16:39 76 --sh--r c:\windows\CT4CET.bin
2008-05-09 12:32 32,768 --sha-w c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008050920080510\index.dat
.

((((((((((((((((((((((((((((( SnapShot@2009-02-27_22.15.47.29 )))))))))))))))))))))))))))))))))))))))))
.
+ 2009-02-28 16:50:25 884,736 ----a-w c:\windows\gmer.dll
+ 2009-02-28 08:20:53 811,008 ----a-w c:\windows\gmer.exe
- 2008-12-03 16:21:34 410,984 ----a-w c:\windows\system32\deploytk.dll
+ 2009-02-28 08:00:26 410,984 ----a-w c:\windows\system32\deploytk.dll
+ 2009-02-28 16:50:25 85,969 ----a-w c:\windows\system32\drivers\gmer.sys
- 2008-12-03 16:21:35 144,792 ----a-w c:\windows\system32\java.exe
+ 2009-02-28 08:00:26 144,792 ----a-w c:\windows\system32\java.exe
- 2008-12-03 16:21:35 144,792 ----a-w c:\windows\system32\javaw.exe
+ 2009-02-28 08:00:26 144,792 ----a-w c:\windows\system32\javaw.exe
- 2008-12-03 16:21:35 148,888 ----a-w c:\windows\system32\javaws.exe
+ 2009-02-28 08:00:26 148,888 ----a-w c:\windows\system32\javaws.exe
- 2007-11-20 15:52:00 2,884,992 ----a-w c:\windows\system32\Macromed\Flash\NPSWF32.dll
+ 2009-02-03 02:15:28 3,771,296 ----a-w c:\windows\system32\Macromed\Flash\NPSWF32.dll
- 2007-11-20 15:52:00 218,496 ----a-w c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe
+ 2009-02-03 02:15:30 240,544 ----a-w c:\windows\system32\Macromed\Flash\NPSWF32_FlashUtil.exe
+ 2009-02-28 08:02:07 84,661 ----a-w c:\windows\system32\Macromed\Flash\uninstall_plugin.exe
- 2009-02-04 10:29:48 73,904 ----a-w c:\windows\system32\perfc007.dat
+ 2009-02-27 23:16:59 73,904 ----a-w c:\windows\system32\perfc007.dat
- 2009-02-04 10:29:48 60,958 ----a-w c:\windows\system32\perfc009.dat
+ 2009-02-27 23:16:59 60,958 ----a-w c:\windows\system32\perfc009.dat
- 2009-02-04 10:29:48 415,340 ----a-w c:\windows\system32\perfh007.dat
+ 2009-02-27 23:16:59 415,340 ----a-w c:\windows\system32\perfh007.dat
- 2009-02-04 10:29:48 400,798 ----a-w c:\windows\system32\perfh009.dat
+ 2009-02-27 23:16:59 400,798 ----a-w c:\windows\system32\perfh009.dat
+ 2009-02-28 22:32:58 16,384 ----atw c:\windows\temp\Perflib_Perfdata_29c.dat
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DellSupportCenter"="c:\programme\Dell Support Center\bin\sprtcmd.exe" [2008-08-13 206064]
"rundll32.exe"="c:\dokumente und einstellungen\Tom\Anwendungsdaten\Macromedia\Common\69e5801a1.dll" [2009-02-27 64512]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-06-06 8433664]
"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2007-02-21 819200]
"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2007-02-21 970752]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2007-04-27 851968]
"KADxMain"="c:\windows\system32\KADxMain.exe" [2006-11-02 282624]
"dscactivate"="c:\programme\Dell Support Center\gs_agent\custom\dsca.exe" [2007-11-15 16384]
"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Premium\avgnt.exe" [2008-07-17 266497]
"DellSupportCenter"="c:\programme\Dell Support Center\bin\sprtcmd.exe" [2008-08-13 206064]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-02-28 148888]
"nwiz"="nwiz.exe" [2007-06-06 c:\windows\system32\nwiz.exe]
"NvMediaCenter"="NvMCTray.dll" [2007-06-06 c:\windows\system32\nvmctray.dll]
"SigmatelSysTrayApp"="stsystra.exe" [2007-05-06 c:\windows\stsystra.exe]
"Kernel and Hardware Abstraction Layer"="KHALMNPR.EXE" [2007-11-29 c:\windows\KHALMNPR.Exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
"rundll32.exe"="c:\dokumente und einstellungen\NetworkService\Anwendungsdaten\Macromedia\Common\69e5801a1.dll" [2009-02-27 64512]

c:\dokumente und einstellungen\All Users\Startmen�\Programme\Autostart\
AutoStart IR.lnk - c:\programme\WinTV\Ir.exe [2009-02-02 110647]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"wave1"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"midi1"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"mixer1"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"wave2"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"midi2"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"mixer2"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"aux1"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll
"aux2"= c:\dokume~1\Tom\ANWEND~1\MACROM~1\Common\69e5801a1.dll

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\WdfLoadGroup]
@=""

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Logitech SetPoint.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Logitech SetPoint.lnk
backup=c:\windows\pss\Logitech SetPoint.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Dell QuickSet]
--a------ 2007-07-03 13:57 1228800 c:\programme\Dell\QuickSet\quickset.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DELL Webcam Manager]
--------- 2007-07-27 16:43 118784 c:\programme\Dell\Dell Webcam Manager\DellWMgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Easy-PrintToolBox]
--a------ 2004-01-14 02:10 409600 c:\programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\PDFPrint]
--a------ 2008-01-31 08:17 134144 c:\programme\Tools\pdf24\PDFBackend.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
-ra------ 2008-11-07 14:31 21633320 c:\programme\Skype\Phone\Skype.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programme\\EA GAMES\\Battlefield 2\\BF2.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\Tools\\ICQ6.5\\ICQ.exe"=

R2 {FE4C91E7-22C2-4D0C-9F6B-82F1B7742054};{FE4C91E7-22C2-4D0C-9F6B-82F1B7742054};c:\programme\Tools\CyberLink\PowerDVD8\PowerDVD8\000.fcl [2008-02-01 16:24:04 41456]
R2 AntiVirMailService;AntiVir PersonalEdition Premium MailGuard;c:\programme\Avira\AntiVir PersonalEdition Premium\avmailc.exe [2008-03-04 164097]
R2 AVEService;AntiVir PersonalEdition Premium MailGuard Hilfsdienst;c:\programme\Avira\AntiVir PersonalEdition Premium\avesvc.exe [2008-03-04 41217]
R2 EPGService;EPGService;c:\progra~1\WinTV\EPG Services\System\EPGService.exe [2009-02-02 431104]
R2 Prvflder;Prvflder;c:\windows\system32\drivers\prvflder.sys [2006-04-21 70912]
R3 OEM02Afx;Provides a software interface to control audio effects of OEM002 camera.;c:\windows\system32\drivers\OEM02Afx.sys [2008-02-02 141376]
R3 OEM02Dev;Creative Camera OEM002 Driver;c:\windows\system32\drivers\OEM02Dev.sys [2008-02-02 235584]
R3 OEM02Vfx;Creative Camera OEM002 Video VFX Driver;c:\windows\system32\drivers\OEM02Vfx.sys [2008-02-02 7424]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\Common\Database\bin\fbserver.exe [2008-02-16 1527900]
S3 HauppaugeTVServer;HauppaugeTVServer;c:\progra~1\WinTV\HCWTVS~1.EXE [2009-02-02 815104]
S3 hcw95bda;Hauppauge MOD7700 Tuner Driver;c:\windows\system32\drivers\hcw95bda.sys [2008-08-29 487424]
S3 hcw95rc;Hauppauge MOD7700 IR Driver;c:\windows\system32\drivers\hcw95rc.sys [2008-08-29 15488]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\E]
\Shell\AutoRun\command - E:\LaunchU3.exe -a
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
IE: Easy-WebPrint - Drucken - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
IE: Easy-WebPrint - Schnelldruck - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
IE: Easy-WebPrint - Vorschau - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
IE: Easy-WebPrint - Zu Druckliste hinzufügen - c:\programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
LSP: avsda.dll
FF - ProfilePath - c:\dokumente und einstellungen\Tom\Anwendungsdaten\Mozilla\Firefox\Profiles\s24lf7b0.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - plugin: c:\programme\Mozilla Firefox\plugins\npFoxitReaderPlugin.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-28 23:33:09
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{FE4C91E7-22C2-4D0C-9F6B-82F1B7742054}]
"ImagePath"="\??\c:\programme\Tools\CyberLink\PowerDVD8\PowerDVD8\000.fcl"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'lsass.exe'(968)
c:\windows\system32\avsda.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Intel\Wireless\Bin\WLKEEPER.exe
c:\programme\Avira\AntiVir PersonalEdition Premium\avguard.exe
c:\programme\Avira\AntiVir PersonalEdition Premium\sched.exe
c:\programme\WinTV\EPG Services\System\EPGService.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\windows\system32\nvsvc32.exe
c:\windows\system32\PnkBstrA.exe
c:\windows\system32\PnkBstrB.exe
c:\programme\Microsoft Private Folder 1.0\PrfldSvc.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\Dell Support Center\bin\sprtsvc.exe
c:\programme\Canon\CAL\CALMAIN.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\windows\system32\rundll32.exe
c:\windows\system32\wscntfy.exe
c:\programme\Intel\Wireless\Bin\Dot1XCfg.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-02-28 23:36:29 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2009-02-28 22:36:26
ComboFix2.txt 2009-02-28 21:17:44
ComboFix3.txt 2009-02-27 21:16:35

Vor Suchlauf: 16 Verzeichnis(se), 33.584.103.424 Bytes frei
Nach Suchlauf: 16 Verzeichnis(se), 33,570,357,248 Bytes frei

206 --- E O F --- 2009-02-25 20:31:51

Also ich sage dir die Wahrheit. Ich bin hier nur am rumraten. Alleine der Dateiname hat mich argwöhnisch gemacht. Ich habe mir Rat vom (ehemaligen) Mitglied des Kompetenzteams geholt (meiner angebeteten Heldin und Verlobten , die mich allerdings schwanger sitzen ließ ), weil ich mittlerweile ratlos bin.

Was wir in Erfahrung gebracht haben: ThreatExpert Report
(Achte aufs Datum, du hast da etwas ganz Neues!)

Lade die Datei:

C:\Dokumente und Einstellungen\LocalService\Anwendungsdaten\Macromedia\Common\69e5801a1.dll
         

bei diesen zwei Adressen hoch:

1. Submit your sample
Gebe als Namen diesen Link an
http://www.trojaner-board.de/70481-hilfe-nach-trojaner.html
(Üblicherweise muss man 2 Tage auf Antwort warten, mit der Angabe dieses Namens hat es beim letzten Mal nur 2 Stunden gedauert )

2. Malwarebytes.org

Trotz sorgfältiger Suche haben wir (noch!) nicht den verursachenden Bösewicht ausmachen können. Deshalb müssen wir genauer hinschauen.

• lade dir Process Monitor herunter.
• Entpacke das Programm ProcMon.exe in einen Ordner deiner Wahl (etwa C:\Programme\ProcessMonitor)
• Die NUB annehmen und das Programm starten
• Rufe dann unter Tools die Filter auf.
• Setze folgenden Filter:
  

  Path contains HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run then include
           

• Provoziere das Erscheinen des Eintrages durch Starten von FixIt.reg
• Nachdem der gesuchte Eintrag erscheint auf File und auf Save gehen. Dort unter Format den Haken bei Comma-separated value setzen und die Datei abspeichern.
• Den Inhalt der Datei dann hier posten

ciao, andreas

Hallo Andreas,

ich bin total am verzweifeln

Die Datei habe ich bei den Adre4ssen hochgeladen und das Prog habe ich wie Du beschrieben hast gestartet. Es lief schon ne ganze Weile. Dann aber ERROR und einige Fehlermeldungen OH ICH HAB BALD DIE SCHNAU....VOLL

Die Fehlermeldungen habe ich mit einem Screenshot gespeichert. Kann ich dieses hier irgendwie posten?

Tom

Ja. Lade die Bilder bei einem Imagehoster (z.B. PiC.LEECH.iT - FREE iMAGE HOSTiNG) hoch und poste den Link oder benutze das Symbol mit Sonne und Bergen.

Poste bitte auch den Link, den du von Avira bekommen hast.

ciao, andreas

Ok dann schaun mer mal...

Das Internet funktioniert jetzt auch nicht mehr. Schei....

[IMG][/IMG]

Hoffe, dass es geklappt hat.

Tom

Also wenn man die Userkommentare liest, kann einem Angst und Bange werden. File Information - wmiprvse.exe Fehler deinstallieren

Finde die Datei und lösche sie. Noch schlimmer kann es nicht werden. Deinstalliere Avira, beende vor dem Process Monitor alle Programme. Versuche unten rechts im Systemtray alles zu beenden, das sich beenden oder schliessen lässt.

Poste bitte den Link, den du von Avira bekommen hast.

ciao, andreas