Dann kann ich dich entlassen.

ciao, andreas

Jah. Danke für die Hilfe (:

Der Thread schon zu? =/

Nö, du kannst noch schreiben.

ciao, andreas

Doch nicht .. Also, ich habe mich doch für Lösungsweg 2 entschieden. Hoffe das macht keine all zu großen Umständen.

RSIT Log - Datei 1:
http://www.materialordner.de/wyT6EkJVhVqwF9CHp8VPrDIjZOWw0lZl.html

RSIT log - Datei 2:
http://www.materialordner.de/HZgaj1PdfZk6EqT8TgJ8cqZGKDlyFFUb.html

Und das listing0.bat
http://www.materialordner.de/tv84EtW33VOTZ8mR7icPYj4iFMb4Su.html

Danke schonmal im vorraus für die großartige und schnelle Hilfe hier

Liebe Grüße, Stefan

Du schuldest mir noch immer darauf eine Antwort:

Seit wann genau hast du Probleme?

ciao, andreas

Oh tut mir leid ... Äm, Probleme, hmm .. bemerkbar hat es sich erst sei einigen wochen gemacht mit diversen Soundproblemen (Firefox prozess wurde nicht beendet wenn man draußen war) Youtube war dann imma "mehrtönig" wenn ich ein neues Video angeklickt hab, lief das vorrige auch noch.

bemerkbar hat es sich erst sei einigen wochen gemacht

Soooo genau wollte ich es gar nicht wissen.

Geht es etwas präziser, sonst suche ich mir einen Wolf.

ciao, andreas

Hmm .. also würde sagen seit nem Monat.

Irgendetwas passt mit deinen Netzwerkeinstellungen nicht.
Ist der Provider Chello in Felixdorf (nähe Wien)?

1.) Deinstalliere (falls möglich):

• HP Software Update
• RON Tool Rightonadz (Wie kann man sich nur solchen Mist installieren?)
• Socialnetworking Helper Adssite (Wie kann man sich nur solchen Mist installieren?)
• SuperAntiSpyware

2.) Scripten mit Combofix

• Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:

KILLALL::

Driver::
Profos
Trufos
MHN

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"=-
"SUPERAntiSpyware"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"HP Software Update"=-
"TkBellExe"=-
"ISUSPM Startup"=-
"NeroFilterCheck"=-
"MMTray"=-
"mmtask"=-
"WinampAgent"=-
"QuickTime Task"=-
"iTunesHelper"=-
"SunJavaUpdateSched"=-
"RTHDCPL"=-
"nwiz"=-
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"DWQueuedReporting"=-
[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=-
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{fea61937-6483-250c-1b5c-6e75c5bd7a08}]

Folder::
C:\Programme\Gemeinsame Dateien\BitDefender
C:\Config.Msi
C:\rsit
c:\dokumente und einstellungen\HP_Administrator\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
c:\programme\SUPERAntiSpyware
c:\dokumente und einstellungen\HP_Administrator\Anwendungsdaten\SUPERAntiSpyware.com
c:\dokumente und einstellungen\HP_Administrator\Anwendungsdaten\LimeWire
c:\programme\LimeWire
c:\programme\Online Services
c:\programme\Online-Dienste
C:\WINDOWS\Connection Wizard
C:\WINDOWS\msdownld.tmp

File::
C:\WINDOWS\UPGRADE.TXT
C:\WINDOWS\svcpack.log
C:\WINDOWS\setupapi.log.0.old
C:\WINDOWS\system32\c53e776f-89fa-d0f8-df2f-52308063e46f.exe
C:\WINDOWS\system32\mhdlruwigvkped.exe
C:\sqmdata00.sqm
C:\sqmdata01.sqm
C:\sqmnoopt00.sqm
C:\sqmnoopt01.sqm
C:\WINDOWS\system32\CONFIG.TMP
C:\WINDOWS\system32\KERNEL.TMP

DirLook::
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec
c:\programme\AVN Products
c:\dokumente und einstellungen\HP_Administrator\Anwendungsdaten\U3
         

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

• Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

• Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

Ja sollte er sein. Wohne ja in Österreich .. Das das internet ab und zu seine Makken hat is mir auch aufgefallen, aber wir haben bei Chello angerufen, und die meinten da kann nichts sein .. Hmm.

Gelöscht hab ich die Programme, ich weiß gar nicht mehr wo die herkamen bis auf "SuperAntiSpyware" .. Durch das Löschen von "SuperAntiSpyware" wurden die Viren jz aber wieder aus der Quarantäne befreit, soll das so sein?

So hier das Log:

http://www.materialordner.de/JuJXwwkI07ieQFABVYkHQq0Espt444C.html

Dein Firefox ist völlig verseucht. Hast du Lesezeichen, Verlauf oder Sonstiges, auf dass du nicht verzichten kannst?

ciao, andreas

Ich hab zwar paar Lesezeichen .. aber brauch ich nicht wirklich wenn man es löschen müsste.

Dann exportiere die vorher.

1.) Lade folgende Dateien

c:\windows\system32\nsoB.dll
c:\programme\mozilla firefox\components\39e4c05f-0f2a-0f53-da08-ef9be41682c7.dll
c:\programme\mozilla firefox\components\nsadssite.dll
         

bitte bei uns hoch => http://www.trojaner-board.de/54791-a...ner-board.html

2.) Deaktiviere den Wächter von Avira.

3.) Packe den Ordner c:\qoobox mit Zip oder Rar, lade das Archiv bei einem Filehoster hoch (z.B. www.materialordner.de) und schicke mir den Link als PN.

4.) Aktiviere den Wächter von Avira.

5.) Arbeite diese Anleitung ab: http://www.trojaner-board.de/411645-post19.html (nur Punkt 2-6).

6.) Poste ein aktuelles HJT-Log.

ciao, andreas

p.s.: Kein Wunder, das Avira nicht angeschlagen hat, die erkennen den noch gar nicht.

Datei 39e4c05f-0f2a-0f53-da08-ef9be4168 empfangen 2009.06.08 18:10:13 (UTC)
Status:    Beendet 
Ergebnis: 2/40 (5%) 
 Filter 
Drucken der Ergebnisse  Antivirus	Version	letzte aktualisierung	Ergebnis
a-squared	4.5.0.18	2009.06.08	-
AhnLab-V3	5.0.0.2	2009.06.08	-
AntiVir	7.9.0.180	2009.06.08	-
Antiy-AVL	2.0.3.1	2009.06.08	-
Authentium	5.1.2.4	2009.06.08	-
Avast	4.8.1335.0	2009.06.07	-
AVG	8.5.0.339	2009.06.08	Downloader.Zlob_r.FU
BitDefender	7.2	2009.06.08	-
CAT-QuickHeal	10.00	2009.06.08	-
ClamAV	0.94.1	2009.06.08	-
Comodo	1286	2009.06.08	-
DrWeb	5.0.0.12182	2009.06.08	-
eSafe	7.0.17.0	2009.06.07	-
eTrust-Vet	31.6.6547	2009.06.08	-
F-Prot	4.4.4.56	2009.06.08	-
F-Secure	8.0.14470.0	2009.06.08	-
Fortinet	3.117.0.0	2009.06.08	-
GData	19	2009.06.08	-
Ikarus	T3.1.1.59.0	2009.06.08	-
K7AntiVirus	7.10.757	2009.06.08	-
Kaspersky	7.0.0.125	2009.06.08	-
McAfee	5640	2009.06.08	-
McAfee+Artemis	5640	2009.06.08	-
McAfee-GW-Edition	6.7.6	2009.06.08	-
Microsoft	1.4701	2009.06.08	TrojanDownloader:Win32/Zlob.JN
NOD32	4138	2009.06.08	-
Norman	6.01.09	2009.06.08	-
nProtect	2009.1.8.0	2009.06.08	-
Panda	10.0.0.14	2009.06.08	-
PCTools	4.4.2.0	2009.06.06	-
Prevx	3.0	2009.06.08	-
Rising	21.33.03.00	2009.06.08	-
Sophos	4.42.0	2009.06.08	-
Sunbelt	3.2.1858.2	2009.06.07	-
Symantec	1.4.4.12	2009.06.08	-
TheHacker	6.3.4.3.342	2009.06.08	-
TrendMicro	8.950.0.1092	2009.06.08	-
VBA32	3.12.10.6	2009.06.08	-
ViRobot	2009.6.8.1773	2009.06.08	-
VirusBuster	4.6.5.0	2009.06.08	-
weitere Informationen
File size: 684544 bytes
MD5...: f6bd47c147b932da238b050c910d0464
SHA1..: 642af00b9498e6577ebd0d523997bbfc946cdec5
SHA256: f4247ab66a56e4b8e2eea051231c29054643bfe4a9f7f811ad17ce0396c640ec
ssdeep: -
PEiD..: -
TrID..: File type identification
Win32 Executable MS Visual C++ (generic) (65.2%)
Win32 Executable Generic (14.7%)
Win32 Dynamic Link Library (generic) (13.1%)
Generic Win/DOS Executable (3.4%)
DOS Executable Generic (3.4%)
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x3b7c0
timedatestamp.....: 0x49db51d2 (Tue Apr 07 13:14:58 2009)
machinetype.......: 0x14c (I386)

( 5 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x81527 0x81600 6.79 dc1c1d6476222f2b74608a7e09d3155d
.rdata 0x83000 0x1223f 0x12400 5.17 b44f2e78866e24489f08340ead11aa5e
.data 0x96000 0x65a0 0x2800 4.13 e68a58bb32ea42a74a0cefc77ae70f84
.rsrc 0x9d000 0x4a4 0x600 4.53 eac74723758cb3abe91d9a02e3fb5b80
.reloc 0x9e000 0x10558 0x10600 4.88 6a0dc658c27b9d7cecdf52db9e314419

( 5 imports ) 
> xpcom.dll: NS_StringContainerFinish, NS_StringContainerInit, NS_CStringGetData, NS_Free, NS_StringContainerInit2, NS_Alloc, NS_GetServiceManager, NS_GetComponentManager, NS_StringGetData, NS_CStringContainerFinish, NS_CStringContainerInit, NS_CStringSetData
> nspr4.dll: PR_AtomicIncrement, PR_AtomicDecrement
> KERNEL32.dll: FreeEnvironmentStringsA, ExitThread, InterlockedCompareExchange, SetEnvironmentVariableA, CompareStringW, CompareStringA, GetDriveTypeA, CreateFileA, GetProcessHeap, SetEndOfFile, WriteConsoleW, GetConsoleOutputCP, GetProcAddress, LoadLibraryA, DeleteCriticalSection, EnterCriticalSection, WriteConsoleA, CreateFileW, SetStdHandle, GetLocaleInfoW, InitializeCriticalSectionAndSpinCount, IsValidLocale, EnumSystemLocalesA, GetUserDefaultLCID, GetStringTypeW, GetStringTypeA, GetLocaleInfoA, WideCharToMultiByte, MultiByteToWideChar, InterlockedIncrement, InterlockedDecrement, Sleep, InterlockedExchange, InitializeCriticalSection, LeaveCriticalSection, RtlUnwind, GetSystemTimeAsFileTime, TerminateProcess, GetCurrentProcess, UnhandledExceptionFilter, SetUnhandledExceptionFilter, IsDebuggerPresent, RaiseException, GetCurrentThreadId, GetCommandLineA, GetLastError, HeapFree, FindClose, FileTimeToSystemTime, FileTimeToLocalFileTime, GetDriveTypeW, FindFirstFileW, LCMapStringA, LCMapStringW, GetCPInfo, GetModuleHandleW, TlsGetValue, TlsAlloc, TlsSetValue, TlsFree, SetLastError, HeapSize, ExitProcess, HeapAlloc, GetModuleHandleA, WriteFile, GetStdHandle, GetModuleFileNameA, SetHandleCount, GetFileType, GetStartupInfoA, CreateThread, GetEnvironmentStrings, FreeEnvironmentStringsW, GetEnvironmentStringsW, HeapCreate, HeapDestroy, VirtualFree, QueryPerformanceCounter, GetTickCount, GetCurrentProcessId, GetACP, GetOEMCP, IsValidCodePage, GetTimeZoneInformation, VirtualAlloc, HeapReAlloc, CloseHandle, GetConsoleCP, GetConsoleMode, FlushFileBuffers, ReadFile, SetFilePointer, GetFullPathNameW, GetCurrentDirectoryA
> USER32.dll: CallWindowProcW, SendMessageW, PostMessageW, SetWindowLongW, ShowWindow, MoveWindow, SetWindowTextW, FindWindowExW, GetWindowTextW, IsWindow, CharUpperW, CharLowerW, wsprintfW, SetWindowPos, SystemParametersInfoW, GetWindowRect
> SHLWAPI.dll: PathMatchSpecW, PathIsDirectoryW, PathFileExistsW

( 1 exports ) 
NSGetModule
PDFiD.: -
RDS...: NSRL Reference Data Set
         

Da geht man ja echt durch die Hölle .. Hab die Dateien ma raufgeladen und alle grünen Einträge mit dem Programm gelöscht.

Hier das HJT-Log:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:42:53, on 08.06.2009
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\WINDOWS\arservice.exe
C:\Programme\Gemeinsame Dateien\Autodata Limited Shared\Service\ADCDLicSvc.exe
C:\WINDOWS\eHome\ehRecvr.exe
C:\WINDOWS\eHome\ehSched.exe
C:\Programme\Windows Live\Family Safety\fsssvc.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\system32\tcpsvcs.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\ehome\ehtray.exe
C:\WINDOWS\ARPWRMSG.EXE
C:\Programme\HP DigitalMedia Archive\DMAScheduler.exe
C:\WINDOWS\eHome\ehmsas.exe
C:\Programme\SlySoft\CloneCD\CloneCDTray.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Windows Live\Family Safety\fsui.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\explorer.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Windows Live\Contacts\wlcomm.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Bar = http://ie.redirect.hp.com/svs/rdr?TYPE=3&tp=iesearch&locale=DE_AT&c=64&bd=PAVILION&pf=desktop
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = <loc;*.l;<l;<local>
O2 - BHO: Windows Live Family Safety Browser Helper - {4f3ed5cd-0726-42a9-87f5-d13f3d2976ac} - C:\Programme\Windows Live\Family Safety\fssbho.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [ehTray] C:\WINDOWS\ehome\ehtray.exe
O4 - HKLM\..\Run: [ftutil2] rundll32.exe ftutil2.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [AlwaysReady Power Message APP] ARPWRMSG.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [DMAScheduler] "c:\Programme\HP DigitalMedia Archive\DMAScheduler.exe"
O4 - HKLM\..\Run: [Recguard] C:\WINDOWS\SMINST\RECGUARD.EXE
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [fssui] "C:\Programme\Windows Live\Family Safety\fsui.exe" -autorun
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKCU\..\Run: [AnyDVD] C:\Programme\SlySoft\AnyDVD\AnyDVDtray.exe
O9 - Extra button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programme\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra 'Tools' menuitem: In Windows Live Writer in Blog veröffentliche&n - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programme\Windows Live\Writer\WriterBrowserExtension.dll
O9 - Extra button: Hilfe zu Verbindungen - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra 'Tools' menuitem: Hilfe zu Verbindungen - {E2D4D26B-0180-43a4-B05F-462D6D54C789} - C:\WINDOWS\PCHEALTH\HELPCTR\Vendors\CN=Hewlett-Packard,L=Cupertino,S=Ca,C=US\IEButton\support.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O14 - IERESET.INF: START_PAGE_URL=http://home.deu.chello.at/ssi/welcome/welcome.php?url=home
O16 - DPF: {BDBDE413-7B1C-4C68-A8FF-C5B2B4090876} (F-Secure Online Scanner 3.3) - http://support.f-secure.com/ols/fscax.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: Avira AntiVir Personal - Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal - Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodata Limited License Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Autodata Limited Shared\Service\ADCDLicSvc.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

--
End of file - 7104 bytes