Hallo zusammen!

Ich habe seit heute Mittag ein Problem: Wenn ich Mozilla Firefox per Doppelklick öffnen will erscheint die Meldung: "Ein anderes Programm greift gerade auf diese Datei zu".

Nachdem ich den Computer einmal heruntergefahren habe, habe ich sowohl den CC-Cleaner als auch Malwarebytes und meinen Antivir-Virensucher durchlaufen lassen. Ohne Ergebnis!

Schließlich hab ich Mozilla deinstalliert und neu gedownloadet und installiert.
Die Meldung erschien immer noch.

Meine letzter Versuch war eine Systemrückstellung. Danach kam zwar nicht mehr die Meldung, aber Mozilla öffnete sich trotzdem nicht bei Doppelklick und mein Antivir spielte auch verrückt.

Ich habe Hijack laufen lassen. Hier das Logfile:



Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:02:16, on 22.08.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16876)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\ICQ6Toolbar\ICQ Service.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\WINDOWS\system32\VTTimer.exe
C:\WINDOWS\system32\VTtrayp.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe
C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe
C:\Programme\Creative\Sync Manager Unicode\CTSyncU.exe
C:\Programme\ICQ6.5\ICQ.exe
C:\WINDOWS\ISW\netcol.dsl\signup\NcDial.exe
C:\WINDOWS\ISW\netcol.dsl\signup\NcDial.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.internetcologne.de/
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = local
R3 - URLSearchHook: (no name) - - (no file)
R3 - URLSearchHook: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Programme\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: ICQToolBar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\Programme\ICQ6Toolbar\ICQToolBar.dll
O4 - HKLM\..\Run: [WinDSL MTU-Adjust] WinDSL_MTU.exe
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [OpwareSE2] "C:\Programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [VTTimer] VTTimer.exe
O4 - HKLM\..\Run: [VTTrayp] VTtrayp.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [mmplayer.exe] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [EPSON Stylus D92 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATIBZE.EXE /FU "C:\WINDOWS\TEMP\E_SBE.tmp" /EF "HKCU"
O4 - HKCU\..\Run: [CTSyncU.exe] "C:\Programme\Creative\Sync Manager Unicode\CTSyncU.exe"
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6.5\ICQ.exe" silent
O4 - HKCU\..\Run: [mmplayer.exe] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Crawler Search - tbr:iemenu
O9 - Extra button: Bonjour - {7F9DB11C-E358-4ca6-A83D-ACC663939424} - C:\Programme\Bonjour\ExplorerPlugin.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6.5\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{B134054F-B02B-41A7-A03E-34F7F6928777}: NameServer = 81.173.194.68 213.168.112.60
O18 - Protocol: tbr - {4D25FB7A-8902-4291-960E-9ADA051CFBBF} - (no file)
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Bonjour Dienst (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\ALDI Sued Foto Service\Common\Database\bin\fbserver.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: ICQ Service - Unknown owner - C:\Programme\ICQ6Toolbar\ICQ Service.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

--
End of file - 7538 bytes

hi,

Zitat von LEV04

R3 - URLSearchHook: (no name) - - (no file)

Das kommt mir verdächtig vor. Aber es ist kein Name oder Speicherort vorhanden.
Warte auf einen Helfer/Kompetenzler!

Sonst noch:

C:\Programme\ICQ6Toolbar\ICQ Service.exe
         

Bei dem bin ich mir nicht sicher, aber ich schätze, dieser Prozess ist nicht schädlich.

Unbenannt

Poste bitte den kompletten Antivir Report incl. Rootkitscan und lasse Die Datei C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe bitte bei virustotal.com pruefen und poste den Link zum Ergebniss....

Hallo!

Erstmal danke für die schnelle Antwort.

Hier der letzte Antivir-Bericht. Ich hoffe er ist so komplett, wie Du ihn haben wolltest:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 22. August 2009 13:45

Es wird nach 1649952 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : STEFFIE-DA59CAC

Versionsinformationen:
BUILD.DAT : 9.0.0.407 17961 Bytes 29.07.2009 10:29:00
AVSCAN.EXE : 9.0.3.7 466689 Bytes 05.08.2009 19:21:48
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 10:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 09:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 08:41:59
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 10:30:36
ANTIVIR1.VDF : 7.1.4.132 5707264 Bytes 24.06.2009 19:33:58
ANTIVIR2.VDF : 7.1.5.88 2668032 Bytes 10.08.2009 17:02:26
ANTIVIR3.VDF : 7.1.5.142 435712 Bytes 20.08.2009 17:10:33
Engineversion : 8.2.1.3
AEVDF.DLL : 8.1.1.1 106868 Bytes 20.05.2009 22:02:28
AESCRIPT.DLL : 8.1.2.25 459130 Bytes 12.08.2009 20:06:20
AESCN.DLL : 8.1.2.4 127348 Bytes 22.07.2009 17:06:20
AERDL.DLL : 8.1.2.4 430452 Bytes 14.07.2009 18:14:08
AEPACK.DLL : 8.1.3.18 401783 Bytes 27.05.2009 17:33:43
AEOFFICE.DLL : 8.1.0.38 196987 Bytes 17.06.2009 18:36:31
AEHEUR.DLL : 8.1.0.155 1921400 Bytes 18.08.2009 17:01:57
AEHELP.DLL : 8.1.6.0 233846 Bytes 18.08.2009 17:01:46
AEGEN.DLL : 8.1.1.57 356725 Bytes 18.08.2009 16:57:39
AEEMU.DLL : 8.1.0.9 393588 Bytes 09.10.2008 12:32:40
AECORE.DLL : 8.1.7.6 184694 Bytes 22.07.2009 17:06:19
AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 12:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 06:47:56
AVPREF.DLL : 9.0.0.1 43777 Bytes 03.12.2008 09:39:55
AVREP.DLL : 8.0.0.3 155905 Bytes 20.01.2009 12:34:28
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 13:25:04
AVARKT.DLL : 9.0.0.3 292609 Bytes 20.05.2009 22:02:28
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 08:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 13:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 06:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 13:41:21
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 10.06.2009 18:08:19
RCTEXT.DLL : 9.0.37.0 87809 Bytes 20.05.2009 22:02:27

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: aus
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Samstag, 22. August 2009 13:45

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '39419' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ICQ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTSyncU.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NMBgMonitor.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mmplayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VTTrayp.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'VTTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'opwareSE2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'realsched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AGRSMMSG.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'qttask.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SOUNDMAN.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ICQ Service.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CTSVCCDA.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '38' Prozesse mit '38' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
C:\WINDOWS\system32\kawtfjyak.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Die Registry wurde durchsucht ( '58' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\WINDOWS\system32\kawtfjyak.exe
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Samstag, 22. August 2009 14:15
Benötigte Zeit: 29:37 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

4906 Verzeichnisse wurden überprüft
197950 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
3 Dateien konnten nicht durchsucht werden
197947 Dateien ohne Befall
1660 Archive wurden durchsucht
3 Warnungen
1 Hinweise
39419 Objekte wurden beim Rootkitscan durchsucht
0 Versteckte Objekte wurden gefunden



Mit dem zweiten Teil hab ich allerdings ein Problem
Ich finde die Datei C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe nicht.
Nach C:\Dokumente und Einstellungen\*** ist Schluß. Eine Auswahlmöglichkeit Anwendungsdaten gibt es nicht.
Oder stell ich mich einfach blöd an? Sorry, Amateur am Werk.

Stelle bitte mal folgendes ein und du findest die Datei
http://www.trojaner-board.de/59624-a...-sichtbar.html


Problemdatei ist C:\WINDOWS\system32\kawtfjyak.exe
Wenn moeglich, pruefe die Datei ebenfalls bei virustotal.com

Der Link zur ersten Datei

analisis/90e5a728db0dbd5c9409be03dadd45c31488cfa3d70eeb60e27e1f078edd9a72-1250936412

Bei der zweiten Datei: C:\WINDOWS\system32\kawtfjyak.exe
sagt mir virustotal.com "0 bytes size received"

Erstelle und poste bitte einen GMER Report. Loesche GMER nicht, das brauchen wir nachher noch fuer die "0 bytes" Datei...

GMER 1.0.15.15077 [6t8b5igz[1].exe] - http://www.gmer.net
Rootkit scan 2009-08-22 23:24:44
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.15 ----

SSDT F7D52DCE ZwCreateKey
SSDT F7D52DC4 ZwCreateThread
SSDT F7D52DD3 ZwDeleteKey
SSDT F7D52DDD ZwDeleteValueKey
SSDT F7D52DE2 ZwLoadKey
SSDT F7D52DB0 ZwOpenProcess
SSDT F7D52DB5 ZwOpenThread
SSDT F7D52DEC ZwReplaceKey
SSDT F7D52DE7 ZwRestoreKey
SSDT F7D52DD8 ZwSetValueKey
SSDT F7D52DBF ZwTerminateProcess

---- User code sections - GMER 1.0.15 ----

.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetCloseHandle 408BDA71 5 Bytes JMP 13509E8C
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!HttpOpenRequestA 408C4339 5 Bytes JMP 135086E8
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetConnectA 408C4992 5 Bytes JMP 13508590
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetReadFile 408CABCC 5 Bytes JMP 13509C8C
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetQueryDataAvailable 408CAE0D 5 Bytes JMP 13509AAC
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetOpenA 408CC879 5 Bytes JMP 13508540
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!HttpSendRequestA 408CCD50 5 Bytes JMP 135090AC
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!HttpSendRequestW 408E0845 5 Bytes JMP 135094B0
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetReadFileExW 408E3F18 5 Bytes JMP 13509E3C
.text C:\WINDOWS\Explorer.EXE[1840] WININET.dll!InternetReadFileExA 408E3F50 5 Bytes JMP 13509DEC

---- EOF - GMER 1.0.15 ----

Starte bitte Gmer, gehe auf den Reiter Files (falls du ihn nicht sehen solltest, druecke auf den ">>>" Reiter)

Dann navigiere nach C:\WINDOWS\system32\ klicke einmal auf die DAtei kawtfjyak.exe, waehle dann rechts copy, waehle einen Speicherort deiner Wahl incl. Dateinamen, ebenfalls nach deiner Wahl. Speichere die Datei und teste die kopierte Datei bei virustotal, bitte den Link zum Ergebniss posten

Sorry, daß es so lange gedauert hat, aber das Programm ist mir ein paarmal abgestürzt. Hier ist der Link:

analisis/b081868f8fad3b85faa7afb3eebcba9097d51f8ae449be69e74acf5ece138c0e-1250980262

Lade die kopierte Datei bitte hier hoch:
http://www.trojaner-board.de/54791-a...ner-board.html

Dann erstelle bitte ein Combofix Report:


Lade es von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichere es als test.exe auf den Desktop
Danach schliesse alle Fenster, deaktiviere alle Hintergrundwaechter (AV und z.B. Spybots Tea-Timer) starte die combofix.exe, lies die Informationen auf den auftauchenden Fenstern und beantworte sie danach mit Ja.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Waehrend des Scans bitte nichts am Rechner unternehmen
Es kann moeglich sein, das der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report angezeigt, den bitte kopieren und in deinem Thread einfuegen.
Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Nutze immer eine aktuelle Version von Combofix, auch wenn du "deine" erst vor einem Tag heruntergeladen hast.

ComboFix 09-08-22.06 - stephanie 23.08.2009 10:35.3.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.3.1252.49.1031.18.446.206 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\stephanie\Desktop\test.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\Fonts\WPHV07NB.TTF
c:\windows\Installer\2eec0.msi
c:\windows\system32\lsprst7.dll
c:\windows\system32\ssprs.dll

.
((((((((((((((((((((((( Dateien erstellt von 2009-07-23 bis 2009-08-23 ))))))))))))))))))))))))))))))
.

2009-08-23 08:08 . 2009-08-23 08:08 -------- d-----w- c:\windows\LastGood
2009-08-22 23:17 . 2009-07-10 13:26 1315328 -c----w- c:\windows\system32\dllcache\msoe.dll
2009-08-22 19:33 . 2009-08-22 19:33 -------- d-----w- c:\dokumente und einstellungen\stephanie\Neuer Ordner
2009-08-22 18:49 . 2009-08-22 18:49 -------- d-----w- c:\windows\system32\wbem\Repository
2009-08-22 11:01 . 2009-08-22 11:01 32768 ---ha-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Adobe\mmplayer.exe
2009-08-18 20:48 . 2009-08-18 20:48 -------- d-----w- c:\dokumente und einstellungen\stephanie\Lokale Einstellungen\Anwendungsdaten\Rossmann Fotoservice
2009-08-18 17:46 . 2009-08-18 17:46 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Rossmann Fotoservice
2009-08-18 17:46 . 2009-08-22 18:49 -------- d-----w- c:\programme\Rossmann Fotoservice
2009-08-13 17:04 . 2009-08-06 11:11 2492728 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\npTVUAx.dll
2009-08-13 17:04 . 2006-10-18 15:32 499712 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\msvcp71.dll
2009-08-13 17:04 . 2006-10-16 16:44 196608 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\ssleay32.dll
2009-08-13 17:04 . 2008-03-04 16:52 286720 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\libcurl.dll
2009-08-13 17:04 . 2007-10-31 07:39 59904 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\zlib1.dll
2009-08-13 17:04 . 2007-05-17 11:58 143360 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\libexpatw.dll
2009-08-13 17:04 . 2006-10-18 15:32 348160 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\msvcr71.dll
2009-08-13 17:04 . 2006-10-16 16:44 1028096 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\libeay32.dll
2009-08-05 21:28 . 2009-08-05 21:28 -------- d-----w- c:\programme\hs_prog
2009-07-25 22:53 . 2009-07-25 22:53 1405248 ----a-w- c:\dokumente und einstellungen\stephanie\Schlecker_Fotoservice.exe
2009-07-24 21:39 . 2009-07-24 21:39 1025 ----a-w- c:\windows\system32\clauth2.dll
2009-07-24 21:39 . 2009-07-24 21:39 1025 ----a-w- c:\windows\system32\clauth1.dll
2009-07-24 21:39 . 2009-07-24 21:39 1025 ----a-w- c:\windows\system32\sysprs7.dll
2009-07-24 21:39 . 2009-07-24 21:39 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\hps
2009-07-24 21:38 . 2009-07-24 21:38 -------- d-----w- c:\programme\SCHLECKER

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-08-23 08:31 . 2007-12-25 19:46 63192 ----a-w- c:\dokumente und einstellungen\stephanie\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-08-18 20:49 . 2009-08-18 18:00 6712 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\mdbu.bin
2009-08-05 19:21 . 2009-05-20 21:56 55656 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-08-05 08:59 . 2004-08-04 12:00 206336 ----a-w- c:\windows\system32\mswebdvd.dll
2009-07-23 21:01 . 2008-07-26 17:28 -------- d-----w- c:\programme\Picasa2
2009-07-19 17:15 . 2008-02-04 17:42 -------- d-----w- c:\programme\DivX
2009-07-19 17:14 . 2009-03-13 08:15 -------- d-----w- c:\programme\Gemeinsame Dateien\DivX Shared
2009-07-17 19:01 . 2004-08-04 12:00 58880 ----a-w- c:\windows\system32\atl.dll
2009-07-13 21:43 . 2004-08-04 12:00 286208 ----a-w- c:\windows\system32\wmpdxm.dll
2009-06-29 15:55 . 2004-08-04 12:00 827392 ----a-w- c:\windows\system32\wininet.dll
2009-06-29 15:55 . 2004-08-04 12:00 78336 ----a-w- c:\windows\system32\ieencode.dll
2009-06-29 15:55 . 2004-08-04 12:00 17408 ------w- c:\windows\system32\corpol.dll
2009-06-16 14:36 . 2004-08-04 12:00 81920 ----a-w- c:\windows\system32\fontsub.dll
2009-06-16 14:36 . 2004-08-04 12:00 119808 ----a-w- c:\windows\system32\t2embed.dll
2009-06-15 10:43 . 2004-08-04 12:00 78848 ----a-w- c:\windows\system32\telnet.exe
2009-06-10 19:04 . 2009-06-10 19:04 152576 ----a-w- c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Sun\Java\jre1.6.0_13\lzma.dll
2009-06-10 14:13 . 2004-08-04 12:00 85504 ----a-w- c:\windows\system32\avifil32.dll
2009-06-10 07:19 . 2007-12-16 14:30 2066432 ----a-w- c:\windows\system32\mstscax.dll
2009-06-10 06:14 . 2004-08-04 12:00 132096 ----a-w- c:\windows\system32\wkssvc.dll
2009-06-03 19:09 . 2004-08-04 12:00 1296896 ----a-w- c:\windows\system32\quartz.dll
2009-05-01 21:02 . 2009-05-01 21:02 1044480 ----a-w- c:\programme\mozilla firefox\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02 200704 ----a-w- c:\programme\mozilla firefox\plugins\ssldivx.dll
2008-04-11 18:08 . 2008-01-12 16:49 48 --sh--w- c:\windows\SCA572A73.tmp
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\lib\NMBgMonitor.exe" [2005-09-03 94208]
"CTSyncU.exe"="c:\programme\Creative\Sync Manager Unicode\CTSyncU.exe" [2007-05-30 868352]
"ICQ"="c:\programme\ICQ6.5\ICQ.exe" [2009-03-01 172792]
"mmplayer.exe"="c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Adobe\mmplayer.exe" [2009-08-22 32768]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2007-12-26 155648]
"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-03-16 185896]
"OpwareSE2"="c:\programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe" [2003-05-08 49152]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-09 148888]
"mmplayer.exe"="c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Adobe\mmplayer.exe" [2009-08-22 32768]
"WinDSL MTU-Adjust"="WinDSL_MTU.exe" - c:\windows\system32\WinDSL_MTU.exe [2001-02-15 65536]
"SoundMan"="SOUNDMAN.EXE" - c:\windows\SOUNDMAN.EXE [2004-12-01 77824]
"AGRSMMSG"="AGRSMMSG.exe" - c:\windows\AGRSMMSG.exe [2004-06-29 88363]
"VTTimer"="VTTimer.exe" - c:\windows\system32\VTTimer.exe [2006-09-21 53248]
"VTTrayp"="VTtrayp.exe" - c:\windows\system32\VTTrayp.exe [2007-08-27 200704]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Real\\RealPlayer\\realplay.exe"=
"c:\\Programme\\SopCast\\SopCast.exe"=
"c:\\Programme\\SopCast\\adv\\SopAdver.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero ShowTime\\ShowTime.exe"=
"c:\\Programme\\TVUPlayer\\TVUPlayer.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [20.05.2009 23:56 108289]
R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [10.06.2009 20:58 222968]
R3 WinDSLa;WinDSL-Adapter (PPP-over-Ethernet);c:\windows\system32\drivers\windsl.sys [25.12.2007 19:06 47056]
S3 aaudstum;aaudstum;\??\c:\dokume~1\STEPHA~1\LOKALE~1\Temp\aaudstum.sys --> c:\dokume~1\STEPHA~1\LOKALE~1\Temp\aaudstum.sys [?]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\ALDI Sued Foto Service\Common\Database\bin\fbserver.exe [06.07.2008 21:16 1527900]
S3 SetupNTGLM7X;SetupNTGLM7X;\??\d:\ntglm7x.sys --> d:\NTGLM7X.sys [?]
S3 WinDSLp;%WinDSLp_Desc%;c:\windows\system32\drivers\windsl.sys [25.12.2007 19:06 47056]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKLM-Run-NWEReboot - (no file)


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://start.icq.com/
uInternet Connection Wizard,ShellNext = hxxp://www.internetcologne.de/
uInternet Settings,ProxyOverride = local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Crawler Search - tbr:iemenu
FF - ProfilePath - c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - www.haberlands-erben.de
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=
FF - plugin: c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Mozilla\Firefox\Profiles\gnc71t9h.default\extensions\firefox@tvunetworks.com\plugins\npTVUAx.dll
FF - plugin: c:\programme\Picasa2\npPicasa3.dll

---- FIREFOX Richtlinien ----
FF - user.js: general.useragent.extra.zencast - Creative ZENcast v1.02.12c:\programme\Mozilla Firefox\greprefs\all.js - pref("media.enforce_same_site_origin", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("media.cache_size", 51200);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("media.ogg.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("media.wave.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("media.autoplay.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.urlbar.autocomplete.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("capability.policy.mailnews.*.wholeText", "noAccess");
c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.storage.default_quota", 5120);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("content.sink.event_probe_rate", 3);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.http.prompt-temp-redirect", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("layout.css.dpi", -1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("layout.css.devPixelsPerPx", -1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("gestures.enable_single_finger_input", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.max_chrome_script_run_time", 0);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.tcp.sendbuffer", 131072);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("geo.enabled", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.remember_cert_checkbox_default_setting", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr", "moz35");
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-cjkt", "moz35");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.blocklist.level", 2);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.restrict.typed", "~");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.urlbar.default.behavior", 0);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.history", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.formdata", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.passwords", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.downloads", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cookies", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.cache", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.sessions", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.offlineApps", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.clearOnShutdown.siteSettings", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.history", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.formdata", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.passwords", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.downloads", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cookies", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.cache", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.sessions", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.offlineApps", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.cpd.siteSettings", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("privacy.sanitize.migrateFx3Prefs", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.ssl_override_behavior", 2);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("security.alternate_certificate_error_page", "certerror");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.autostart", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.privatebrowsing.dont_prompt_on_enter", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("geo.wifi.uri", "https://www.google.com/loc/json");
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-08-23 10:41
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2009-08-23 10:43
ComboFix-quarantined-files.txt 2009-08-23 08:43

Vor Suchlauf: 8 Verzeichnis(se), 130.438.275.072 Bytes frei
Nach Suchlauf: 8 Verzeichnis(se), 130.517.856.256 Bytes frei

193 --- E O F --- 2009-08-22 23:37

Lade diese Datei bitte auch in den Uploadchannel hoch:
c:\dokumente und einstellungen\stephanie\Anwendungsdaten\Adobe\mmplayer.exe

Hake in HijackThis folgendes an und druecke fix checked:
O4 - HKLM\..\Run: [mmplayer.exe] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe
O4 - HKCU\..\Run: [mmplayer.exe] C:\Dokumente und Einstellungen\***\Anwendungsdaten\Adobe\mmplayer.exe

Starte bitte nocheinmal gmer, gehe wieder auf files zu der Datei C:\WINDOWS\system32\kawtfjyak.exe, markiere sie und druecke diesmal kill und starte neu. Nach dem Neustart wird Antivir die Datei als trash.gen melden, lasse sie loeschen...

Schaue, ob die HijackThis Eintraege verschwunden sind und ob sich firefox wieder starten laesst...

LAde bitte noch die umbenannte Datei beim Uploadchannel hoch. du hast sie glaub ich trojanerboard genannte

Hi!

Die Datei hab ich jetzt gerade noch hochgeladen.

Mozilla läßt sich aber wieder problemlos öffen.

Herzlichen Dank schonmal für die nette Hilfe.