Hallo Leute,

folgendes Problem betrifft meinen USB-Stick und auch meinen Rechner zuhause, (im Moment bin ich in der Arbeit an meinem Notebook) bzw. an diesem nur die angeschlossene externe Festplatte. Die lokalen Laufwerke scheinen bisher verschont geblieben zu sein. Das ganze wurde wohl eingeschleppt weil ich per Console die Daten eines Bekannten auf einen Ordner der externen Festplatte gespielt habe. Virenscanner erkennen nichts. Bei dem Versuch auf das Laufwerk zuzugreifen kommt die Meldung: ""Recycler/S-5-0-28-100029516-1000001134-100009691-4866.com konnte nicht gefunden werden."
Habe schon in einem anderen Thread gelesen und scheinbar ist es nötig einen Combofix-log zu erstellen, die anderen schätze ich sind da nicht mehr so nötig, falls doch, bitte bescheid geben, liefere ich sofort nach.
Bitte helft mir das Problem zu lösen da ich schnell wieder meinen Stick verwenden möchte/muss, aber solang dieser infiziert ist kann ich das nicht machen. Eine Lösung für meinen Rechner zuhause kann erst heute nachmittag gesucht werden da ich ja jetzt schlecht einen Log erstellen kann. :/

Bitte sagt mir wie ich vorgehen muss.

Combofix log:

ComboFix 09-05-18.04 - Claus 19.05.2009 9:53.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.958.639 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Claus\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((( Dateien erstellt von 2009-04-19 bis 2009-05-19 ))))))))))))))))))))))))))))))
.

2009-05-19 06:56 . 2009-05-19 06:56 -------- d-----w c:\windows\system32\config\systemprofile\Anwendungsdaten\ATI
2009-05-19 06:56 . 2009-05-19 06:56 -------- d-----w c:\windows\system32\config\systemprofile\Lokale Einstellungen\Anwendungsdaten\ATI
2009-05-18 09:03 . 2001-08-18 02:54 5632 ----a-w c:\windows\system32\ptpusb.dll
2009-05-18 09:03 . 2008-04-14 05:52 159232 ----a-w c:\windows\system32\ptpusd.dll
2009-05-18 07:51 . 2009-05-18 07:51 -------- d-----w c:\dokumente und einstellungen\Claus\Anwendungsdaten\Foxit
2009-05-18 07:51 . 2009-05-18 07:51 -------- d-----w c:\programme\Foxit Software
2009-05-13 20:10 . 2009-05-13 20:10 -------- d-----w c:\dokumente und einstellungen\Sabine\Anwendungsdaten\LaxiusForce
2009-05-13 20:03 . 2009-05-13 20:04 -------- d-----w c:\programme\Laxius Force
2009-05-08 23:57 . 2009-05-08 23:59 -------- d-----w C:\schwule bilder
2009-05-06 20:33 . 2008-04-14 05:52 21504 -c--a-w c:\windows\system32\dllcache\hidserv.dll
2009-05-06 20:33 . 2008-04-14 05:52 21504 ----a-w c:\windows\system32\hidserv.dll
2009-05-06 09:01 . 2008-04-14 05:28 14720 -c--a-w c:\windows\system32\dllcache\kbdhid.sys
2009-05-06 09:01 . 2008-04-14 05:28 14720 ----a-w c:\windows\system32\drivers\kbdhid.sys
2009-04-30 12:13 . 2008-10-16 12:06 268648 ----a-w c:\windows\system32\mucltui.dll
2009-04-30 09:01 . 2009-04-30 09:01 -------- d-s---w c:\dokumente und einstellungen\Claus\UserData
2009-04-29 12:00 . 2007-12-11 12:46 24448 ----a-r c:\windows\system32\drivers\ewdcsc.sys
2009-04-29 12:00 . 2007-12-11 12:46 101120 ----a-r c:\windows\system32\drivers\ewusbmdm.sys
2009-04-29 11:59 . 2009-04-29 11:59 -------- d-----w c:\programme\T-Mobile
2009-04-29 08:15 . 2009-04-29 08:43 -------- d-----w c:\dokumente und einstellungen\Claus\Anwendungsdaten\dvdcss
2009-04-24 08:29 . 2009-04-28 08:12 -------- d-----w c:\dokumente und einstellungen\Claus\workspace
2009-04-24 07:04 . 2008-04-13 22:15 15104 -c--a-w c:\windows\system32\dllcache\usbscan.sys
2009-04-24 07:04 . 2008-04-13 22:15 15104 ----a-w c:\windows\system32\drivers\usbscan.sys
2009-04-24 07:02 . 2006-08-24 22:00 9216 ----a-w c:\windows\system32\escdev.dll
2009-04-24 07:02 . 2009-04-24 07:02 -------- d-----w c:\programme\epson
2009-04-24 07:02 . 2006-03-09 22:00 3584 ----a-w c:\windows\system32\eswiaml.dll
2009-04-24 07:02 . 2006-10-12 22:00 63488 ----a-w c:\windows\system32\eswia66.dll
2009-04-24 07:02 . 2006-08-24 22:00 65793 ----a-w c:\windows\system32\esfw66.bin
2009-04-24 07:02 . 2006-08-24 22:00 163840 ----a-w c:\windows\system32\esint66.dll
2009-04-23 07:11 . 2009-04-23 07:11 -------- d-----w c:\programme\Paint.NET
2009-04-23 07:11 . 2009-04-24 07:05 -------- d-----w c:\dokumente und einstellungen\Claus\Lokale Einstellungen\Anwendungsdaten\Paint.NET
2009-04-23 07:03 . 2001-08-17 11:56 7552 -c--a-w c:\windows\system32\dllcache\sonypvu1.sys
2009-04-23 07:03 . 2001-08-17 11:56 7552 ----a-w c:\windows\system32\drivers\SONYPVU1.SYS

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-19 07:26 . 2001-08-18 12:00 80666 ----a-w c:\windows\system32\perfc007.dat
2009-05-19 07:26 . 2001-08-18 12:00 449492 ----a-w c:\windows\system32\perfh007.dat
2009-05-18 13:04 . 2009-03-23 18:06 -------- d-----w c:\programme\Trillian
2009-05-16 23:38 . 2009-03-23 18:22 -------- d-----w c:\programme\Trillian2
2009-05-08 21:59 . 2009-03-23 18:01 -------- d-----w c:\programme\TuneUp Utilities 2008
2009-05-06 12:59 . 2009-04-08 10:05 410984 ----a-w c:\windows\system32\deploytk.dll
2009-05-04 11:04 . 2009-03-23 16:12 29096 ----a-w c:\dokumente und einstellungen\Claus\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-30 23:19 . 2009-03-23 18:16 29096 ----a-w c:\dokumente und einstellungen\Sabine\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-04-28 08:11 . 2009-04-09 09:15 -------- d-----w c:\programme\eclipse
2009-04-27 21:18 . 2009-03-23 16:34 55640 ----a-w c:\windows\system32\drivers\avgntflt.sys
2009-04-09 09:08 . 2009-04-09 09:08 -------- d-----w c:\programme\Sun
2009-04-09 09:07 . 2009-04-08 10:05 -------- d-----w c:\programme\Java
2009-04-09 08:59 . 2009-04-09 08:58 -------- d-----w c:\programme\phase5
2009-04-09 08:57 . 2009-04-09 08:56 -------- d-----w c:\programme\AdobePhotoshopCS3Portable
2009-04-09 08:56 . 2009-04-09 08:56 -------- d-----w c:\programme\Gemeinsame Dateien\Adobe
2009-04-09 08:03 . 2009-04-09 08:02 -------- d-----w c:\programme\7-Zip
2009-04-08 12:23 . 2009-04-08 12:23 -------- d-----w c:\programme\JRE
2009-04-08 12:22 . 2009-04-08 12:22 -------- d-----w c:\programme\OpenOffice.org 3
2009-04-08 12:22 . 2009-04-08 12:22 -------- d-----w c:\programme\Gemeinsame Dateien\Java
2009-03-24 13:58 . 2009-03-24 10:30 84184 ----a-w c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-03-24 10:49 . 2009-03-24 10:49 -------- d-----w c:\programme\Microsoft Visual Studio 8
2009-03-24 10:49 . 2009-03-24 10:49 -------- d-----w c:\programme\Microsoft Expression
2009-03-24 10:30 . 2009-03-24 10:30 -------- d-----w c:\programme\MSBuild
2009-03-24 10:29 . 2009-03-24 10:29 -------- d-----w c:\programme\Reference Assemblies
2009-03-24 09:23 . 2009-03-24 09:23 -------- d-----w c:\programme\DAEMON Tools Lite
2009-03-24 09:19 . 2009-03-24 09:19 717296 ----a-w c:\windows\system32\drivers\sptd.sys
2009-03-24 09:17 . 2009-03-24 09:17 -------- d-----w c:\programme\Astonsoft
2009-03-23 18:15 . 2009-03-23 18:03 361728 ----a-w c:\windows\system32\TuneUpDefragService.exe
2009-03-23 18:15 . 2009-03-23 18:14 -------- d-----w c:\programme\Winamp
2009-03-23 18:11 . 2009-03-23 18:11 -------- d-----w c:\programme\VideoLAN
2009-03-23 17:55 . 2009-03-23 17:55 -------- d-----r c:\programme\Skype
2009-03-23 17:22 . 2009-03-23 17:22 -------- d-----w c:\programme\Microsoft Works
2009-03-23 17:21 . 2009-03-23 17:21 -------- d-----w c:\programme\Microsoft.NET
2009-03-23 17:16 . 2009-03-23 17:16 -------- d-----w c:\programme\CONEXANT
2009-03-23 17:06 . 2009-03-23 16:36 -------- d--h--w c:\programme\InstallShield Installation Information
2009-03-23 17:02 . 2009-03-23 17:02 -------- d-----w c:\programme\Synaptics
2009-03-23 16:44 . 2009-03-23 16:44 -------- d-----w c:\programme\DIFX
2009-03-23 16:44 . 2009-03-23 16:44 -------- d-----w c:\programme\Gemeinsame Dateien\ATI Technologies
2009-03-23 16:42 . 2009-03-23 16:39 -------- d-----w c:\programme\ATI Technologies
2009-03-23 16:42 . 2009-03-23 16:36 -------- d-----w c:\programme\Gemeinsame Dateien\InstallShield
2009-03-23 16:36 . 2009-03-23 16:36 -------- d-----w c:\programme\Realtek
2009-03-23 16:34 . 2009-03-23 16:34 -------- d-----w c:\programme\Avira
2009-03-23 16:32 . 2009-03-23 16:32 -------- d-----w c:\programme\Opera
2009-03-23 14:52 . 2009-03-23 14:52 -------- d-----w c:\programme\microsoft frontpage
2009-03-23 14:51 . 2009-03-23 14:51 -------- d-----w c:\programme\Online-Dienste
2009-03-23 14:50 . 2009-03-23 14:50 -------- d-----w c:\programme\Gemeinsame Dateien\Dienste
2009-03-23 14:49 . 2009-03-23 14:49 21740 ----a-w c:\windows\system32\emptyregdb.dat
2009-03-06 14:19 . 2001-08-18 12:00 286720 ----a-w c:\windows\system32\pdh.dll
2009-02-20 08:09 . 2001-08-18 12:00 671744 ----a-w c:\windows\system32\wininet.dll
2009-02-20 08:09 . 2009-03-23 16:04 81920 ------w c:\windows\system32\ieencode.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"DAEMON Tools Lite"="c:\programme\DAEMON Tools Lite\daemon.exe" [2008-12-29 687560]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"ATICCC"="c:\programme\ATI Technologies\ATI.ACE\cli.exe" [2006-01-02 45056]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2006-03-03 761946]
"WinampAgent"="c:\programme\Winamp\winampa.exe" [2009-03-09 37888]
"DataCardMonitor"="c:\programme\T-Mobile\web'n'walk Manager\DataCardMonitor.exe" [2009-04-29 253952]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-05-06 148888]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2006-06-28 16248320]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Trillian\\trillian.exe"=
"c:\\Programme\\Trillian2\\trillian.exe"=
"c:\\Programme\\Opera\\opera.exe"=
"c:\\Programme\\Java\\jre6\\launch4j-tmp\\JDownloader.exe"=
"c:\\WINDOWS\\system32\\java.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [23.03.2009 18:34 108289]

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2009-05-19 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2008\OneClickStarter.exe [2009-03-23 17:47]
.
.
------- Zusätzlicher Suchlauf -------
.
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-05-19 09:54
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
DataCardMonitor = c:\programme\T-Mobile\web'n'walk Manager\DataCardMonitor.exe?ana????s?t???=???=?E?????????????????????????????????????????????????????????????????????????????????????????????????????? ??????????????????????????????? ???????? ???????

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(596)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2009-05-19 9:55
ComboFix-quarantined-files.txt 2009-05-19 07:55

Vor Suchlauf: 11 Verzeichnis(se), 68.438.659.072 Bytes frei
Nach Suchlauf: 10 Verzeichnis(se), 68.596.297.728 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

164 --- E O F --- 2009-05-13 18:04

Hi,

äh damit ich das jetzt Blicke...
Das Log stammt von Deinem Arbeitsrechner, an dem die infizierte Festplatte im Augenblick der Erstellung des Logs angeschlossen war?

Ist dem so?

chris

Genau, also nicht die Festplatte, sondern der USB-Stick, der Rechner ist bisher seltsamerweise verschont geblieben.
Und seit ich Combofix drüberlaufen lassen hab kann ich auch einfach wieder auf den USB-Stick zugreifen, aber nicht dass da noch irgendwelche Schaddateien unbemekrt hinterblieben sind :/

Hi,

hmm, das CF-Log zeigt nichts auffälliges...
Keine hidden Drivers etc...

Unbedingt zuhause ein Log erstellen, dazu alle Lfw. anschließen (USB-Sticks, USB-Festplatten etc.)...

Dann noch mal ComboFix laufen lassen...

Danach schützen wie folgt:
Lade Dir den Flash_desinfector auf den Desktop, starte ihn und folge den Anweisungen...
http://www.techsupportforum.com/sectools/sUBs/Flash_Disinfector.exe
oder
http://www.trojaner-board.de/72847-flash-disinfector-externe-medien-desinfizieren-und-absichern.html

1. Trenne den Rechner physikalisch vom Netz.
2. Deaktiviere den Hintergrundwächter deines AVP und (falls vorhanden) den TeaTimer.
3. Schließe jetzt alle externe Datenträger mit gedrückter Shift-Taste an Deinen Rechner (Autoplay wird unterbunden).
4. Starte den Flash Disinfector mit einem Doppelklick und folge ggf. den Anweisungen.
5. Wenn der Scan zuende ist, kannst du das Programm schließen.
6. Starte Deinen Rechner neu.

Es werden auf allen angeschl. Lfw. autorun-Dateien/Folder angelegt, die nicht überschrieben werden können. Damit kann sich ein autorun-Virus nicht mehr "fortpflanzen"...

chris