Trojaner / Malware /ADSPY - Hilferuf einer Verzweifelten

kolly · 18.06.2009, 18:18

Hallo und Guten Tag.

Ich habe ein riesiges Problem – leider.

Vorab, ich bin kein PC Spezialist und kann mit Fachbegriffen nicht all zu viel anfangen. Booten oder fixen oder partitionieren sind Fremdworte für mich.

Ich habe mich durch Google gekämpft, durch etliche Foren und threads und irgendwie doch nicht das gefunden was mir helfen könnte.

Allem Anschein nach habe ich mir einen Virus eingefangen. Oder Würmer oder Trojaner oder Malware oder worin die sich auch unterscheiden. Ich hab ein "Foto" (mit "Druck") von der Ansicht gemacht, die Avira mit den Viren, etc. zeigt. Falls ich dieses posten soll, gerne bescheid sagen, dann mach ich das. Und wie ich das "Bild" dann hier poste, das wäre auch noch nett.

Mein Problem:
· Firefox leitet mich teilweise auf andere Seiten
· Einige Websites funktionieren gar nicht (Fehlermeldung „Diese Seite kann nicht geladen werden“ oder etwas, dass diese Seite versuchen würde mich zu attakieren, obwohl es beispielsweise nur die meiner Bank oder freemail web.de ist) und einige Seiten (beispielsweise gmx) sehen aus wie ein Dokument ohne Grafiken etc.
· Defragmentierung funzt nicht
· Systemwiederherstellung hat keinerlei Punkte
· Einige Programme laufen langsam oder fehlerhaft
· Mein Outlook funzt nicht mehr (soll heißen er ruft die Mails nicht ab, er beginnt bei der ersten und dann tut er irgendwas, nur nicht weiter die Mails abrufen)
· Und ich weiss nicht was noch alles.

Ich hab in einem Forum von checkdisk gelesen, das hab ich versucht, aber auch das hat nicht wirklich funktioniert. Auch nicht beim erneuten Hochfahren.
Ich bin völlig verzweifelt, da ich so etwas noch niemals hatte und mein PC gerade mal zwei Monate alt ist da ich mir erst einen neuen gekauft habe.
Allerdings hab ich auch schon gelesen, dass es nicht so unbedingt Sinn macht, alles runter zu schmeissen und neu zu installieren. Ich hab sowas auch noch nie gemacht und möchte mich eigentlich auch um ehrlich zu sein vor dem Aufwand drücken alles wieder neu aufzuspielen und ich trau es mir auch nicht so ganz zu wenn ich dann was von Festplatten partitionieren etc. lese.
Ich bitte ganz dringend um Hilfe (bin Samstag nicht erreichbar zur Info), da ich echt etwas Angst habe. Derzeit versuche ich meine Daten zu sichern, aber die Brennprogramme funzen nicht richtig und so erstelle ich derzeit mit Nero ISO Dateien und brenne die dann mit CloneDVD.

Wenn mir bitte jemand helfen könnte, wäre das fantastisch. Bitte sagt mir was ihr sonst noch von mir benötigt um mir zu helfen.

Herzlichen Dank im Voraus und herzliche Grüße

Ich versuche jetzt noch die Dinge zu tun, die hier im Forum stehen, die ich downloaden und posten soll. Ich hoffe es funzt.

1. Ccleaner wurde installiert und durchgeführt (solange bis keine Fehler mehr vorhanden waren)
2. Malewarebytes Anti-Malware ausgeführt (siehe unten)
3. ein Logfile mit HijackThis erstellt (siehe unten)

Malewarebytes:

Code:

ATTFilter

Malwarebytes' Anti-Malware 1.38
Datenbank Version: 2304
Windows 5.1.2600 Service Pack 3

18.06.2009 18:51:31
mbam-log-2009-06-18 (18-51-31).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 128952
Laufzeit: 8 minute(s), 20 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 2
Infizierte Dateien: 16

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Userinit.exe (Security.Hijack) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\runit (Trojan.Agent) -> Quarantined and deleted successfully.
C:\Programme\IEToolbar\Bullseye Tool Bar (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.

Infizierte Dateien:
c:\programme\runit\runit_32.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\WINDOWS\ftxa07573.exe (Trojan.Agent) -> Quarantined and deleted successfully.
c:\programme\runit\config.txt (Trojan.Agent) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\basis.xml (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\date2.html (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\icons.bmp (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\info.txt (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\lw.crc (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\lwpopper.html (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\popper3.html (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\popup1.html (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\popup2.html (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\uninstall.exe (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\version.txt (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
c:\programme\ietoolbar\bullseye tool bar\your_logo.png (Adware.BullseyeToolbar) -> Quarantined and deleted successfully.
C:\WINDOWS\kdiue732.txt (Malware.Trace) -> Quarantined and deleted successfully.

HijackThis:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:05:25, on 18.06.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16850)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Lexmark 2300 Series\lxcgmon.exe
C:\Programme\Lexmark 2300 Series\ezprint.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe
C:\Programme\Tobit ClipInc\Player\ClipIncTray.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\system32\cisvc.exe
C:\Programme\Tobit ClipInc\Server\ClipInc-Server.exe
C:\WINDOWS\SYSTEM32\GEARSEC.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
C:\WINDOWS\system32\IoctlSvc.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\lxcgcoms.exe
C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\WINDOWS\system32\cidaemon.exe
C:\Programme\HijackThis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {261B8EEB-6A72-76BE-763A-CB9EA0C1460A} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [NBKeyScan] "C:\Programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [LXCGCATS] rundll32 C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\LXCGtime.dll,_RunDLLEntry@16
O4 - HKLM\..\Run: [lxcgmon.exe] "C:\Programme\Lexmark 2300 Series\lxcgmon.exe"
O4 - HKLM\..\Run: [EzPrint] "C:\Programme\Lexmark 2300 Series\ezprint.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [CloneCDTray] "C:\Programme\SlySoft\CloneCD\CloneCDTray.exe" /s
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" ASO-616B5711-6DAE-4795-A05F-39A1E5104020
O4 - HKCU\..\Run: [ClipIncSrvTray] "C:\Programme\Tobit ClipInc\Player\ClipIncTray.exe"
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\RunOnce: [NeroHomeFirstStart] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMFirstStart.exe" (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-20\..\RunOnce: [NeroHomeFirstStart] "C:\Programme\Gemeinsame Dateien\Nero\Lib\NMFirstStart.exe" (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**p://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - C:\Programme\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\SYSTEM32\GEARSEC.EXE
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: lxcg_device -   - C:\WINDOWS\system32\lxcgcoms.exe
O23 - Service: Nero BackItUp Scheduler 3 - Nero AG - C:\Programme\Nero\Nero8\Nero BackItUp\NBService.exe
O23 - Service: NMIndexingService - Nero AG - C:\Programme\Gemeinsame Dateien\Nero\Lib\NMIndexingService.exe
O23 - Service: PLFlash DeviceIoControl Service - Prolific Technology Inc. - C:\WINDOWS\system32\IoctlSvc.exe

--
End of file - 6765 bytes

Edit:
Ich habe nach dem CCleaner und dieser Anti-Malware mal versucht auf meine Bankseite zu gehen, die nie funzte. Das geht wohl wieder. Aber bin ich da jetzt überhaupt sicher oder wie ist das?
Die Defragmentierung geht allerdings noch immer nicht. (Fehlermeldung wie vorher: "Die Defragmentierung konnte nicht gestartet werden.")
Die Systemwiederherstellung sagt noch immer "Zurzeit sind keine Wiederherstellungspunkte verfügbar", obwohl ich schon einmal welche hatte.
Das nur zur weiteren Info.

kolly · 21.06.2009, 11:48

Es wäre nett wenn mir vielleicht jemand helfen könnte. Ich habe jetzt beobachtet dass ich beim Starten des PCs eine Info bekomme. (hab XP Home drauf) Leider ist diese immer sehr schnell wieder weg. Was ich aber lesen konnte ist: "Autochk ist für RAM Laufwerke nicht verfügbar". Ich hab keine Ahnung woher das kommt oder was mir das sagen soll. Vielleicht kann mir jemand helfen??

kolly · 23.06.2009, 17:19

Als ich heute den PC hochgefahren habe, hatte ich einen schwarzen Bildschirm mit der Mitteilung dass Windows nicht korrekt beendet wurde und ob ich zu der letzten Konfiguration zurück möchte.

Ich bin dann in den abgesicherten Modus gegangen und habe Malware noch mal drüber laufen lassen. Er hat keine Probleme gefunden. Den CCleaner habe ich auch noch mal durchgeführt. Auch hier wurden keine Fehler gefunden.

Hilfe! Was ist denn hier los? Ich bin wirklich sehr verunsichert und weiss nicht was ich noch machen soll.
Es werden keine Fehler mehr gefunden. Aber irgendwas muss doch noch sein. Die Defragmentierung funzt nicht, die Systemwiederherstellung ist angeschaltet, aber setzt keine Punkte, ich werde teilweise auf andere Seiten umgeleitet. (Beispiel: Ich rufe mir über Google "meinestadt.de" auf und lande auf einer Seite für Ferienwohnungen.

Bitte kann mir nicht jemand helfen!?

john.doe · 23.06.2009, 19:41

Hallo und

Zitat:

Ich hab ein "Foto" (mit "Druck") von der Ansicht gemacht, die Avira mit den Viren, etc. zeigt. Falls ich dieses posten soll, gerne bescheid sagen, dann mach ich das.

Ja, bitte.

Zitat:

Und wie ich das "Bild" dann hier poste, das wäre auch noch nett.

Das Bild mit einem Bildbearbeitungsprogramm (z.B. paint) speichern und bei einem Filehoster hochladen (z.B. pic.leech.it). Den 4. Link von oben (Hotlink for forums) hier posten.

Zitat:

Allerdings hab ich auch schon gelesen, dass es nicht so unbedingt Sinn macht, alles runter zu schmeissen und neu zu installieren.

Das ist bei dem, das du da hast, der schnellste und sicherste Weg. Wo hast du etwas Gegenteiliges gelesen?

Solltest du noch irgendetwas mit dem Computer verbinden, wie Memorysticks, Speicherkarten, Digitalkameras, Handy, externe Laufwerke, ... dann stecke vor dem Scan alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir das Tool hier herunter auf den Desktop -> KLICK

Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:

Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen. Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Sollte sich ComboFix nicht starten lassen, dann benenne es um in cofi.exe und versuche es nocheinmal.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

kolly · 23.06.2009, 20:46

Hallo Andreas.

Erst einmal vielen herzlichen Dank für die Antwort.

Kannst du mir evtl. sagen, was ich da genau verbrochen habe? Was ich auf dem PC habe? Wie schlimm das ist? Ich verspreche ich werde stark sein.

Ich kann dir nicht mehr sagen, wo genau ich das gelesen habe dass es teilweise nicht viel bringt mit dem Runterwerfen des Systems. Naja, davon ab, trau ich mir das nicht so ganz zu mit partitionieren oder sowas alles. Ich will nicht noch mehr kaputt machen. Auf jeden Fall hatte jemand geschrieben, dass er wohl das BS runter geschmissen und neu aufgespielt hatte und ein Virus (oder was auch immer es war) hinterher noch immer da war.

Ich lade hier jetzt gerade mal das Pic von Antivir hoch und dann kümmere ich mich um dieses ComboFix.

Nochmals schon mal herzlichen Dank.

Noch eine Frage: ich hab zwar ne Digicam, aber die hab ich ne ganze Weile nicht angeschlossen. Muss ich sie zum Scan trotzdem anschließen? Wozu?

john.doe · 23.06.2009, 20:54

Zitat:

Kannst du mir evtl. sagen, was ich da genau verbrochen habe?

Ja. Selber schuld. Das volle leben (keygen inside).zip. Du hast dir Rattengift besorgt, es gegessen und jetzt hast du Bauchschmerzen.

Hier geht es weiter => http://www.trojaner-board.de/51262-a...sicherung.html

ciao, andreas

kolly · 23.06.2009, 21:13

seufz Ich habs befürchtet.

Also:

ich hab dieses Combofix ausgeführt und er gab mir eine Meldung dass ich mir einige "Sachen" notieren sollte, da sie evtl. später gebraucht werden (C/windows/system32 bla bla...). Soll ich die hier schnell aufschreiben? (hab grad gesehen, dass sie ja in der Logdatei stehen). Kann ich Antivir wieder einschalten?

Antivir schaltete sich einmal wieder ein, da der Rechner runterfuhr und wieder neu startete. Antivir "warnte" dann vor Combofix. Ich hab es ignoriert. War das richtig?

Und... muss ich echt neu aufsetzen? Keine andere Chance ja?

Und noch was: ich hab mir geschworen ich machs nie wieder mit so nem keygen. Ich wusste nicht, dass das etwas Schlimmes ist.

Hier die Logdatei:

Code:

ATTFilter

ComboFix 09-06-22.0E - Kolly 23.06.2009 22:04.1 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.3.1252.49.1031.18.1791.1395 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Kolly\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programme\IEToolbar
c:\recycler\S-1-5-21-1318227473-1567776950-3451154005-1004
c:\recycler\S-1-5-21-1390067357-115176313-1801674531-1004
c:\recycler\S-1-5-21-1808880501-2588306663-2169135034-1004
c:\recycler\S-1-5-21-2214160576-820931813-2739942483-1004
c:\recycler\S-1-5-21-3204970751-3395789182-2269524408-1004
c:\recycler\S-1-5-21-1318227473-1567776950-3451154005-1004\desktop.ini
c:\recycler\S-1-5-21-1318227473-1567776950-3451154005-1004\INFO2
c:\recycler\S-1-5-21-1390067357-115176313-1801674531-1004\desktop.ini
c:\recycler\S-1-5-21-1390067357-115176313-1801674531-1004\INFO2
c:\recycler\S-1-5-21-1808880501-2588306663-2169135034-1004\desktop.ini
c:\recycler\S-1-5-21-1808880501-2588306663-2169135034-1004\INFO2
c:\recycler\S-1-5-21-2214160576-820931813-2739942483-1004\desktop.ini
c:\recycler\S-1-5-21-2214160576-820931813-2739942483-1004\INFO2
c:\recycler\S-1-5-21-3204970751-3395789182-2269524408-1004\desktop.ini
c:\recycler\S-1-5-21-3204970751-3395789182-2269524408-1004\INFO2
c:\windows\system32\drivers\SKYNETxewcijvm.sys
c:\windows\system32\SKYNETlovbrfqq.dat
c:\windows\system32\SKYNETuwrkoonb.dll
c:\windows\system32\SKYNETwirrsphy.dat
c:\windows\system32\SKYNETyxwaknql.dll

.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_SKYNETborjntym


(((((((((((((((((((((((   Dateien erstellt von 2009-05-23 bis 2009-06-23  ))))))))))))))))))))))))))))))
.

2009-06-18 18:52 . 2009-06-18 18:52	--------	d-----w-	c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Adobe
2009-06-18 16:40 . 2009-06-18 16:40	3561743	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe
2009-06-18 16:38 . 2009-06-18 16:38	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Malwarebytes
2009-06-18 16:38 . 2009-06-17 09:27	38160	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2009-06-18 16:38 . 2009-06-18 16:38	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-06-18 16:38 . 2009-06-17 09:27	19096	----a-w-	c:\windows\system32\drivers\mbam.sys
2009-06-18 16:35 . 2009-06-18 16:38	--------	d-----w-	c:\programme\ Malwarebytes Anti-Malware 
2009-06-18 16:16 . 2009-06-18 16:20	--------	d-----w-	c:\programme\CCleaner
2009-06-13 09:52 . 2009-06-13 09:53	--------	d-----w-	c:\programme\virtualdub
2009-05-29 19:05 . 2007-12-17 13:43	27648	--sh--w-	c:\windows\system32\Smab0.dll
2009-05-29 19:05 . 2007-02-21 11:47	31232	--sh--r-	c:\windows\system32\msfDX.dll
2009-05-29 19:05 . 2006-05-03 10:06 163328	--sh--r-	c:\windows\system32\flvDX.dll
2009-05-29 18:11 . 2009-05-29 18:11	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Lokale Einstellungen\Anwendungsdaten\WinAVI
2009-05-29 18:11 . 2009-05-29 19:05	--------	d-----w-	c:\programme\converter

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-06-23 19:37 . 2009-04-28 21:29	--------	d-----w-	c:\programme\Lx_cats
2009-06-22 16:31 . 2009-05-03 11:17	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\LimeWire
2009-06-17 20:59 . 2008-04-14 12:00	70778	----a-w-	c:\windows\system32\perfc007.dat
2009-06-17 20:59 . 2008-04-14 12:00	405448	----a-w-	c:\windows\system32\perfh007.dat
2009-05-17 20:51 . 2009-05-17 20:51	33061	----a-w-	c:\windows\king-uninstall.exe
2009-05-17 20:50 . 2009-05-17 20:50	277248	----a-w-	c:\programme\kinginstaller.exe
2009-05-17 15:31 . 2009-05-17 15:31	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\CyberLink
2009-05-16 15:23 . 2009-05-16 15:23	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\CyberLink
2009-05-16 15:23 . 2009-05-16 15:23	--------	d-----w-	c:\programme\CyberLink
2009-05-16 15:23 . 2009-02-05 12:31	--------	d--h--w-	c:\programme\InstallShield Installation Information
2009-05-16 14:22 . 2009-04-25 15:37	--------	d-----w-	c:\programme\NCH Software
2009-05-16 14:21 . 2009-04-25 15:38	--------	d-----w-	c:\programme\NCH Swift Sound
2009-05-16 14:19 . 2009-05-16 14:19	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Tobit
2009-05-16 14:13 . 2009-05-16 13:54	--------	d-----w-	c:\programme\DaViDeo 4
2009-05-16 14:13 . 2009-05-16 14:13	--------	d-----w-	c:\programme\AviSynth 2.5
2009-05-16 14:08 . 2009-05-16 13:51	--------	d-----w-	c:\programme\SlySoft
2009-05-16 13:56 . 2009-05-16 13:56	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\SlySoft
2009-05-16 13:56 . 2009-05-16 13:52	24	--sh--w-	c:\windows\S2A680F47.tmp
2009-05-16 13:53 . 2009-05-16 13:54	53248	------w-	c:\windows\system32\GEARSEC.EXE
2009-05-16 13:53 . 2009-05-16 13:54	9856	------w-	c:\windows\system32\drivers\GEARASPIWDM.SYS
2009-05-16 13:53 . 2009-05-16 13:54	69632	------w-	c:\windows\system32\GEARASPI.DLL
2009-05-16 13:48 . 2009-05-16 13:48	--------	d-----w-	c:\programme\Elaborate Bytes
2009-05-16 11:18 . 2009-02-05 13:01	--------	d-----w-	c:\programme\Gemeinsame Dateien\Adobe
2009-05-15 15:45 . 2009-02-05 13:15	1680648	----a-w-	c:\windows\CISUnins.exe
2009-05-15 15:45 . 2009-02-05 13:15	1680648	----a-w-	c:\windows\CICUnins.exe
2009-05-14 16:32 . 2009-04-25 11:52	20864	----a-w-	c:\dokumente und einstellungen\Kolly\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-05-13 21:02 . 2009-05-13 21:02	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\TeamViewer
2009-05-13 18:49 . 2009-05-13 18:49	4990	----a-w-	c:\windows\Help\hhcolreg.dat
2009-05-13 18:49 . 2009-05-13 18:49	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Microsoft Web Folders
2009-05-13 18:48 . 2009-02-05 12:15	--------	d-----w-	c:\programme\microsoft frontpage
2009-05-09 13:38 . 2009-04-25 16:31	1	----a-w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2009-05-07 18:53 . 2009-05-02 22:52	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Skype
2009-05-07 18:38 . 2009-05-02 22:54	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\skypePM
2009-05-07 15:32 . 2008-04-14 12:00	348160	----a-w-	c:\windows\system32\localspl.dll
2009-05-03 15:30 . 2009-05-03 11:04	--------	d-----w-	c:\programme\limewire
2009-05-02 22:54 . 2009-05-02 22:54	56	---ha-w-	c:\windows\system32\ezsidmv.dat
2009-05-02 22:52 . 2009-05-02 22:43	--------	d-----r-	c:\programme\skype
2009-05-02 22:52 . 2009-05-02 22:52	--------	d-----w-	c:\programme\Gemeinsame Dateien\Skype
2009-05-02 22:52 . 2009-05-02 22:52	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Skype
2009-04-29 15:32 . 2009-04-28 21:28	--------	d-----w-	c:\programme\Lexmark 2300 Series
2009-04-29 04:42 . 2008-04-14 12:00	827392	----a-w-	c:\windows\system32\wininet.dll
2009-04-29 04:41 . 2008-04-14 12:00	78336	----a-w-	c:\windows\system32\ieencode.dll
2009-04-28 20:04 . 2009-04-28 19:51	--------	d-----w-	c:\programme\Lexmark Druckertreiber
2009-04-27 19:22 . 2009-04-27 19:22	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\NCH Swift Sound
2009-04-27 16:45 . 2009-04-27 16:45	--------	d-----w-	c:\programme\eBay
2009-04-27 16:36 . 2009-04-27 16:36	0	---ha-w-	c:\windows\system32\drivers\Msft_Kernel_motmodem_01005.Wdf
2009-04-27 16:36 . 2009-04-27 16:36	0	---ha-w-	c:\windows\system32\drivers\MsftWdf_Kernel_01005_Coinstaller_Critical.Wdf
2009-04-27 16:32 . 2009-04-27 16:32	--------	d-----w-	c:\programme\Gemeinsame Dateien\Motorola Shared
2009-04-27 16:10 . 2009-02-05 12:14	76487	----a-w-	c:\windows\pchealth\helpctr\OfflineCache\index.dat
2009-04-27 16:04 . 2009-04-27 15:55	--------	d-----w-	c:\programme\Turbolister
2009-04-27 15:55 . 2009-04-20 13:53	96104	----a-w-	c:\windows\system32\drivers\avipbb.sys
2009-04-27 15:55 . 2009-04-20 13:53	55640	----a-w-	c:\windows\system32\drivers\avgntflt.sys
2009-04-25 15:39 . 2009-04-25 15:39	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\NCH Software
2009-04-25 15:38 . 2009-04-25 15:38	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\NCH Software
2009-04-25 15:38 . 2009-04-25 15:38	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\NCH Swift Sound
2009-04-25 15:37 . 2009-04-25 15:37	--------	d-----w-	c:\programme\umwandel
2009-04-25 13:54 . 2009-04-25 13:54	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\AAV
2009-04-25 13:54 . 2009-04-25 13:54	--------	d-----w-	c:\programme\Gemeinsame Dateien\AAV
2009-04-25 13:53 . 2009-04-25 13:53	--------	d-----w-	c:\programme\Akademische Arbeitsgemeinschaft
2009-04-25 12:31 . 2009-04-25 12:31	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Media Player Classic
2009-04-25 12:30 . 2009-04-25 12:30	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\DivX
2009-04-25 12:21 . 2009-04-25 12:21	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\OpenOffice.org
2009-04-25 11:52 . 2009-04-25 11:52	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\ATI
2009-04-25 11:52 . 2009-04-25 11:52	--------	d-----w-	c:\dokumente und einstellungen\Kolly\Anwendungsdaten\Nero
2009-04-19 19:46 . 2008-04-14 12:00	1847296	----a-w-	c:\windows\system32\win32k.sys
2009-04-15 14:51 . 2008-04-14 12:00	585216	----a-w-	c:\windows\system32\rpcrt4.dll
2006-05-03 10:06 . 2009-05-29 19:05 163328	--sh--r-	c:\windows\system32\flvDX.dll
2007-02-21 11:47 . 2009-05-29 19:05	31232	--sh--r-	c:\windows\system32\msfDX.dll
2007-12-17 13:43 . 2009-05-29 19:05	27648	--sh--w-	c:\windows\system32\Smab0.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"IndxStoreSvr_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Nero\Lib\NMIndexStoreSvr.exe" [2008-02-28 1828136]
"ClipIncSrvTray"="c:\programme\Tobit ClipInc\Player\ClipIncTray.exe" [2009-03-16 668424]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Nero\Lib\NeroCheck.exe" [2008-03-25 570664]
"NBKeyScan"="c:\programme\Nero\Nero8\Nero BackItUp\NBKeyScan.exe" [2008-02-18 2221352]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"LXCGCATS"="c:\windows\System32\spool\DRIVERS\W32X86\3\LXCGtime.dll" [2005-07-20 73728]
"lxcgmon.exe"="c:\programme\Lexmark 2300 Series\lxcgmon.exe" [2005-07-21 200704]
"EzPrint"="c:\programme\Lexmark 2300 Series\ezprint.exe" [2005-08-01 94208]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]
"CloneCDTray"="c:\programme\SlySoft\CloneCD\CloneCDTray.exe" [2005-05-19 57344]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2008-04-10 16861184]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Microsoft Office.lnk - c:\programme\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute	REG_MULTI_SZ   	autocheck autochk /r \??\C:\0autocheck autochk *

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Tobit ClipInc\\Server\\ClipInc-Server.exe"=
"c:\\Programme\\Tobit ClipInc\\Player\\ClipInc-Player.exe"=
"c:\\Programme\\skype\\Phone\\Skype.exe"=
"c:\\Dokumente und Einstellungen\\Kolly\\temp\\TeamViewer\\Version4\\TeamViewer.exe"=
"c:\\Programme\\limewire\\LimeWire.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [20.04.2009 15:53 108289]
R2 ClipInc001;ClipInc 001;c:\programme\Tobit ClipInc\Server\ClipInc-Server.exe 001 --> c:\programme\Tobit ClipInc\Server\ClipInc-Server.exe 001 [?]
S3 FXDrv32;FXDrv32;\??\d:\fxdrv32.sys --> d:\FXDrv32.sys [?]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{261B8EEB-6A72-76BE-763A-CB9EA0C1460A} - (no file)


.
------- Zusätzlicher Suchlauf -------
.
FF - ProfilePath - 
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-06-23 22:06
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  LXCGCATS = rundll32 c:\windows\System32\spool\DRIVERS\W32X86\3\LXCGtime.dll,_RunDLLEntry@16??????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????????? 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(736)
c:\windows\system32\Ati2evxx.dll
.
Zeit der Fertigstellung: 2009-06-23 22:06
ComboFix-quarantined-files.txt  2009-06-23 20:06

Vor Suchlauf: 6 Verzeichnis(se), 23.021.957.120 Bytes frei
Nach Suchlauf: 6 Verzeichnis(se), 23.000.584.192 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /noexecute=optin /fastdetect

197	--- E O F ---	2009-06-10 19:40

john.doe · 23.06.2009, 21:26

Ein Tipp noch: Solltest du nach dem Neuaufsetzen das hier wieder installieren:

Zitat:

2009-06-22 16:31 . 2009-05-03 11:17 -------- d-----w- c:\dokumente und einstellungen\Kolly\Anwendungsdaten\LimeWire

dann wird es keine Woche dauern und du kannst wieder Neuaufsetzen und zwar solange, bis du gelernt hast, dass man besser die Hände davon lässt.

Du hast es übrigens gestern, um 16:31 Uhr das letzte Mal benutzt und ich möchte gar nicht wissen, was du geladen hast.

Du bist entlassen und ich bin raus,
Andreas

kolly · 23.06.2009, 21:38

Gestern um 16:31 Uhr??? Das KANN nicht sein! Da war ich arbeiten. Ich arbeite immer bis 17 Uhr und mein PC ist in dieser Zeit auch immer aus! *erschrocken guck*

Okay. Ich mach mich wohl ans Neu aufsetzen.

Limewire hab ich meist genutzt, wenn ich ein Lied gesucht hab. Programme hatte ich da noch nie geladen. Und ich werds auch ganz sicher nicht mehr tun. Mit diesem keygen war mir ne Lehre. Das kannste mir glauben.

Vielen herzlichen Dank für alles.

Vielleicht hast du noch einen Tipp für mich welches Programm ein gutes und günstiges, effektives ist um Daten sichern zu können?

Nochmals vielen Dank und alles Gute,
kolly...

Trojaner / Malware /ADSPY - Hilferuf einer Verzweifelten

Plagegeister aller Art und deren Bekämpfung: Trojaner / Malware /ADSPY - Hilferuf einer Verzweifelten