Ich habe folgendes Problem: Ich hatte vor einigen Tagen bei Antivir die Meldung erhalten, dass ich einen Trojaner habe und zwar im folgenden Verzeichnis:
Die Datei 'C:\System Volume Information\_restore{388F645E-5735-47E2-8BC6-14B501FBA2E6}\RP382\A0060533.dll'
enthielt einen Virus oder unerwünschtes Programm 'TR/Agent.64512' [trojan].

Und zwar ca. zwanzig Stück, jeweils mit anderen Endungen, also z.B. A0060531, ich habe die Trojaner in Quarantäne verschoben und von dort gelöscht. Mir ist absolut unklar, wie diese überhaupt auf den PC gelangen konnten, da ich eine Sygate Firewall habe und das Antivirus-Programm.
Ich habe mit Hijack This ein Logfile erstellt und bin dem Problem per google und diversen Boards auf die Spur gekommen. Ich war auch der Meinung, dass die Trojaner dann nicht mehr auf meinem Notebook waren.
Nun bekam ich heute abend, ohne, dass gerade irgendeine Aktion auf dem Notebook stattfand, also es befand sich niemand am Notebook, es waren keine Programme offen, es wurde nichts gedownloadet, diese Meldung:

In der Datei 'C:\WINDOWS\system32\config\systemprofile\Dati applicazioni\Macromedia\Common\6818600c1.dll'
wurde ein Virus oder unerwünschtes Programm 'TR/Agent.btxi' [trojan] gefunden.
Ausgeführte Aktion: Datei in Quarantäne verschieben

Beim letzten mal waren die Trojaner / Viren z.T. auch in dem Ordner Macromedia / Common. Den hatte ich dann, nachdem er leer war, manuell gelöscht.
Daraufhin kam beim Systemstart jedesmal eine Fehlermeldung wegen einem Launcher (sorry, die krieg ich nicht mehr zusammen), also hab ich mit Windows XP eine Reparatur durchgeführt, und das hatte auch geklappt, bis heute.
Nun also wieder ein Trojaner, ich habe ihn in Quarantäne verschoben und dann gelöscht.

Ach so, beim letzten mal konnte ich keine Systemwiederherstellung durchführen, habe mehrere verschiedene Punkte angeklickt, aber es ging gar nichts.
Dazu muss ich sagen, dass wir noch ein Mac-Notebook haben und zusammen über einen Router online gehen.
Mein Mac-Notebook hat keinen Virenschutz, aber auch da gibt es keine Downloads usw. Kann da trotzdem ein Zusammenhang bestehen?
Wir klicken nicht wild auf Anhänge und öffnen diese, uns ist unklar, woher die Trojaner kommen!

So, nun ein aktuelles Logfile von Hijack This:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:35:01, on 09.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Sygate\SPF\smc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programmi\Apoint2K\Apoint.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programmi\Siemens_WLAN\WlanMon.exe
C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programmi\Apoint2K\Apntex.exe
C:\WINDOWS\system32\LVComsX.exe
C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programmi\Mozilla Firefox\firefox.exe
c:\programmi\avira\antivir personaledition classic\avcenter.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programmi\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName = Collegamenti
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programmi\File comuni\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programmi\Java\jre1.6.0_06\bin\ssv.dll
O2 - BHO: PDFCreator Toolbar Helper - {C451C08A-EC37-45DF-AAAD-18B51AB5E837} - C:\Programmi\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programmi\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: PDFCreator Toolbar - {31CF9EBE-5755-4A1D-AC25-2834D952D9B4} - C:\Programmi\PDFCreator Toolbar\v3.3.0.1\PDFCreator_Toolbar.dll
O4 - HKLM\..\Run: [Apoint] C:\Programmi\Apoint2K\Apoint.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [avgnt] "C:\Programmi\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Siemens WLAN Monitor] C:\Programmi\Siemens_WLAN\WlanMon.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programmi\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Console - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programmi\Java\jre1.6.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://w**.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1201193792170
O17 - HKLM\System\CCS\Services\Tcpip\..\{67DC9C9B-011F-496C-B6BD-5CB7D179395F}: NameServer = 192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{E4A0586A-DDC2-4D26-B22A-AC6B7035F718}: NameServer = 192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\FILECO~1\Skype\SKYPE4~1.DLL
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Wireless Service - C:\Programmi\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programmi\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programmi\File comuni\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programmi\iPod\bin\iPodService.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programmi\PC Connectivity Solution\ServiceLayer.exe
O23 - Service: Sygate Personal Firewall (SmcService) - Sygate Technologies, Inc. - C:\Programmi\Sygate\SPF\smc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programmi\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: TuneUp Drive Defrag-Dienst (TuneUp.Defrag) - TuneUp Software GmbH - C:\WINDOWS\System32\TuneUpDefragService.exe

--
End of file - 6123 bytes


Ich bin gerade wirklich ratlos und freue mich über jede Hilfe,
schönen Abend und danke!

Hallöle.

Deaktiviere die Systemwiederherstellung auf allen Laufwerken. Nachdem die Bereinigung KOMPLETT beendet ist kann sie wieder aktiviert werden.



Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

Hallo und danke für die schnelle Antwort. Anbei Scan:

;***************************************************************************************************************************************************** ******************************
ANALYSIS: 2009-03-10 00:31:17
PROTECTIONS: 1
MALWARE: 1
SUSPECTS: 1
;***************************************************************************************************************************************************** ******************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================== ==============================
Avira AntiVir PersonalEdition 8.0.1.30 Yes Yes
;===================================================================================================================================================== ==============================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================== ==============================
00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No C:\Documents and Settings\NetworkService\Dati applicazioni\Mozilla\Firefox\Profiles\2l2n2di4.default\cookies.txt[.doubleclick.net/]
;===================================================================================================================================================== ==============================
SUSPECTS
Sent Location
;===================================================================================================================================================== ==============================
No C:\Documents and Settings\NetworkService\Dati applicazioni\Macromedia\Common\6818600c1.dll
;===================================================================================================================================================== ==============================
VULNERABILITIES
Id Severity Description
;===================================================================================================================================================== ==============================
;====================================

Was mache ich jetzt?

OTMoveIt by OldTimer

Folgendes Tool herunterladen -> OTMoveIt3.exe
--> Starte nun die OTMoveIt.exe

--> Im Fenster links (Paste Standard List of Files/Folders to be Move) folgendes reinkopieren:

C:\Documents and Settings\NetworkService\Dati applicazioni\Macromedia\Common\6818600c1.dll

--> Danach den Roten MoveIt!-Button klicken
--> Das Programm wird dir anschliessend einen Bericht anzeigen, kopiere diesen ab und füge ihn in deinen Beitrag ein!

Moin, Moin,

dabei kam folgendes raus:

Error: Unable to interpret <:\Documents and Settings\NetworkService\Dati applicazioni\Macromedia\Common\6818600c1.dll > in the current context!

OTMoveIt3 by OldTimer - Version 1.0.8.0 log created on 03102009_075558

Du hast das C nicht mit kopiert..

Error: Unable to interpret <:\Documents and Settings\NetworkService\Dati applicazioni\Macromedia\Common\6818600c1.dll > in the current context!

Muss heißen:

C:\Documents and Settings\NetworkService\Dati applicazioni\Macromedia\Common\6818600c1.dll

Hallo, anbei der Log.
Eine infizierte Datei wurde wohl gefunden, aber ich kapiere das nicht wirklich, das ist eine Text-Datei, und ich hab die grad auch von Antivir prüfen lassen, und die schien okay. Was soll ich jetzt machen?
Ach so, die andere Datei wurde mit Fila assasin gelöscht.

;***************************************************************************************************************************************************** ******************************
ANALYSIS: 2009-03-11 12:54:00
PROTECTIONS: 1
MALWARE: 1
SUSPECTS: 0
;***************************************************************************************************************************************************** ******************************
PROTECTIONS
Description Version Active Updated
;===================================================================================================================================================== ==============================
Avira AntiVir PersonalEdition 8.0.1.30 Yes Yes
;===================================================================================================================================================== ==============================
MALWARE
Id Description Type Active Severity Disinfectable Disinfected Location
;===================================================================================================================================================== ==============================
00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No C:\Documents and Settings\NetworkService\Dati applicazioni\Mozilla\Firefox\Profiles\2l2n2di4.default\cookies.txt[.doubleclick.net/]
;===================================================================================================================================================== ==============================
SUSPECTS
Sent Location #
;===================================================================================================================================================== ==============================
;===================================================================================================================================================== ==============================
VULNERABILITIES
Id Severity Description #
;===================================================================================================================================================== ==============================
;===================================================================================================================================================== ==============================

Das ist ein Tracking Cookie welches in der Tat nicht auf den rechner gehört obwohl es nicht direkt schädlich ist.
Kannst du einfach löschen.

Ich würde gerne ein Combofix log sehen. Anleitung steht unten noch...