Tofger-infiziert, wie entfernen

merz

Hallo,
habe diesen "Trojaner" über die Forums-Suche hier gesucht und leider nichts gefunden. Infiziert ist ein W2K SP4, IE 5.5 GER, AntiVir mit den neusten Updates meldet immer wieder eine Infizierung mit dem Tofger Trojaner. Einen Trojaner dieser Art soll es nach der symantec-Datenbak geben.
Typische Meldung von AntiVir ist:
"C:\WINDOWS\SYSTEM32\ADDZY.EXE
Ist das Trojanische Pferd TR/Spy.Tofger.BI.2"
Angebenes Programm ist entweder eine EXE oder eine DLL, Name ist immer wieder anders.
IE wird oft zu einer search-to-find-Site umgeleitet. Habe alle üblichen und hier auf der Hauptseite aufgezählten Programm in der neusten Version angewandt, bekommen ihn aber nicht weg.
Wer kann helfen? [Neuinstallation wäre das letzte Mittel, das ich anwenden will.] GGf. wäre auch wichtig, ob AntiVir nicht einfach spinnt, da die anderen Programme NICHTS finden.


merz

P.S.: HiJack This Log ist:

Logfile of HijackThis v1.97.7
Scan saved at 12:40:52, on 01.09.2004
Platform: Windows 2000 SP4 (WinNT 5.00.2195)
MSIE: Internet Explorer v5.00 SP4 (5.00.2920.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\regsvc.exe
C:\WINDOWS\system32\MSTask.exe
C:\WINDOWS\System32\WBEM\WinMgmt.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AVPersonal\AVGNT.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\system32\addhk32.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
D:\MZ\HJacked Bacup\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R1 - HKCU\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = res://C:\WINDOWS\system32\hcqcv.dll/sp.html#29126
O2 - BHO: (no name) - {76558A55-90AE-81AD-3B53-B36989DABBC7} - C:\WINDOWS\system32\msjc.dll
O4 - HKLM\..\Run: [SystemTray] SysTray.Exe
O4 - HKLM\..\Run: [AVGCtrl] "C:\Programme\AVPersonal\AVGNT.EXE" /min
O4 - HKLM\..\Run: [Synchronization Manager] mobsync.exe /logon
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\system32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /runonce
O4 - HKLM\..\Run: [addhk32.exe] C:\WINDOWS\system32\addhk32.exe
O4 - HKLM\..\RunOnce: [addzc.exe] C:\WINDOWS\system32\addzc.exe
O4 - HKLM\..\RunOnce: [d3lg.exe] C:\WINDOWS\d3lg.exe
O13 - WWW. Prefix: http://
O14 - IERESET.INF: SEARCH_PAGE_URL=
O14 - IERESET.INF: START_PAGE_URL=
O16 - DPF: {00000000-7777-0704-0B53-2C8830E9FAEC} - http://gn.one2bill.de/soft/ieloader.cab
O16 - DPF: {9EB320CE-BE1D-4304-A081-4B4665414BEF} (MediaTicketsInstaller Control) - http://www.mt-download.com/MediaTicketsInstaller.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{35652CC2-D865-427F-858E-4944A70F8C7B}: NameServer = 195.50.140.250 145.253.2.203