Ja, der sollte sich normalerweise in Wohlgefallen aufloesen, hat etwas mit einem windowseigenem "Hausputz" zu tun.
Antibot kannst du gerne installieren, dann wuerde ich aber Zonealarm deinstallieren und denke daran, das Antibot nicht mehr weiter entwickelt wird...

na dann lass ich zonealarm drauf.also hab noch mal mit malewarbytes gescannt und jetzt sieht alles schick aus....hoffen wir das es so bleibt




also nochmal danke für die hilfe

lg.denis

Der Sicherheit wegen sollten wir doch noch ein zwei Sachen loeschen. Waere nett, wenn du dir eine neue Cf version herunterladen koenntest und mit dieser einen neuen Report erstellst.

was meinst mit cf?

ach combofix
so hier nochmal das aktuelle.

ComboFix 09-09-06.02 - ColdCorley 06.09.2009 20:45.2.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.511.241 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\ColdCorley.FROPPEN\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
FW: ZoneAlarm Firewall *enabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}
.

((((((((((((((((((((((( Dateien erstellt von 2009-08-06 bis 2009-09-06 ))))))))))))))))))))))))))))))
.

2009-09-06 11:11 . 2009-09-06 11:12 -------- d-----w- C:\rsit
2009-09-06 06:52 . 2006-06-19 11:01 69632 ----a-w- c:\windoof\system32\ztvcabinet.dll
2009-09-06 06:52 . 2006-05-25 13:52 162304 ----a-w- c:\windoof\system32\ztvunrar36.dll
2009-09-06 06:52 . 2005-08-25 23:50 77312 ----a-w- c:\windoof\system32\ztvunace26.dll
2009-09-06 06:52 . 2003-02-02 18:06 153088 ----a-w- c:\windoof\system32\UNRAR3.dll
2009-09-06 06:52 . 2002-03-05 23:00 75264 ----a-w- c:\windoof\system32\unacev2.dll
2009-09-06 06:52 . 2009-09-06 06:52 -------- d-----w- c:\programme\Trojan Remover
2009-09-06 06:52 . 2009-09-06 06:52 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\Simply Super Software
2009-09-06 06:52 . 2009-09-06 06:52 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Simply Super Software
2009-09-05 17:34 . 2009-09-05 17:36 -------- d-----r- c:\dokumente und einstellungen\rey\Favoriten
2009-09-05 17:34 . 2009-08-22 12:56 -------- d--h--w- c:\dokumente und einstellungen\rey\Netzwerkumgebung
2009-09-05 17:34 . 2009-08-22 12:56 -------- d--h--w- c:\dokumente und einstellungen\rey\Druckumgebung
2009-09-05 17:34 . 2009-08-22 12:56 -------- d-----r- c:\dokumente und einstellungen\rey\Startmenü
2009-09-05 17:34 . 2009-08-22 12:07 -------- d--h--w- c:\dokumente und einstellungen\rey\Vorlagen
2009-09-05 17:34 . 2009-09-05 17:41 -------- d-----w- c:\dokumente und einstellungen\rey
2009-09-05 16:23 . 2009-09-05 16:23 -------- d-----w- c:\programme\audiograbber
2009-09-05 13:37 . 2009-09-05 13:40 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Lokale Einstellungen\Anwendungsdaten\Google
2009-09-05 13:32 . 2009-09-05 22:17 -------- d-----w- c:\programme\Google
2009-09-05 08:32 . 2009-09-06 17:10 -------- d---a-w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\TEMP
2009-09-04 22:19 . 2009-09-04 22:19 -------- d-----w- c:\windoof\system32\wbem\snmp
2009-09-04 22:19 . 2009-09-04 22:19 -------- d-----w- c:\windoof\system32\xircom
2009-09-04 22:19 . 2009-09-04 22:19 -------- d-----w- c:\programme\microsoft frontpage
2009-09-04 21:12 . 2009-09-04 21:12 -------- d-----w- c:\windoof\system32\bits
2009-09-04 20:41 . 2009-09-04 21:13 -------- d-----w- c:\windoof\ServicePackFiles
2009-09-04 20:26 . 2008-04-14 05:24 25856 ------w- c:\windoof\system32\drivers\hidbth.sys
2009-09-04 16:45 . 2009-09-05 18:35 -------- d-----w- c:\windoof\system32\NtmsData
2009-09-03 13:56 . 2009-09-03 13:56 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\ESET
2009-09-03 13:46 . 2009-09-03 13:46 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Downloaded Installations
2009-09-01 19:09 . 2009-09-01 19:09 -------- d--h--w- c:\windoof\system32\GroupPolicy
2009-08-29 07:36 . 2007-03-17 17:59 7552 ----a-w- c:\windoof\system32\drivers\MSKSSRV.sys
2009-08-26 07:49 . 2009-08-26 07:54 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Lokale Einstellungen\Anwendungsdaten\Ahead
2009-08-26 07:48 . 2009-08-31 16:55 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\Ahead
2009-08-26 07:47 . 2009-08-26 07:47 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Ahead
2009-08-26 07:45 . 2009-08-26 07:46 -------- d-----w- c:\programme\Gemeinsame Dateien\Ahead
2009-08-26 07:45 . 2009-08-26 07:45 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Nero
2009-08-24 09:36 . 2000-06-26 09:45 106496 ----a-w- c:\windoof\system32\TwnLib20.dll
2009-08-24 09:36 . 2001-07-06 12:41 569344 ----a-w- c:\windoof\system32\imagr5.dll
2009-08-24 09:36 . 2001-07-06 10:44 544768 ----a-w- c:\windoof\system32\imagx5.dll
2009-08-24 09:36 . 2001-06-26 06:15 38912 ----a-w- c:\windoof\system32\picn20.dll
2009-08-24 09:36 . 2001-07-06 16:24 283920 ----a-w- c:\windoof\system32\ImagXpr5.dll
2009-08-24 09:36 . 2009-08-24 09:37 -------- d-----w- c:\programme\Ahead
2009-08-23 17:54 . 2009-08-23 17:54 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\vlc
2009-08-23 16:37 . 2009-09-06 14:35 11694112 --sha-w- c:\windoof\system32\drivers\fidbox.dat
2009-08-23 16:34 . 2009-08-23 16:34 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\MailFrontier
2009-08-23 16:33 . 2008-07-09 07:05 1086952 ----a-w- c:\windoof\system32\zpeng24.dll
2009-08-23 16:16 . 2009-08-23 16:16 -------- d-----w- c:\programme\Zone Labs
2009-08-23 15:52 . 2009-08-23 15:52 -------- d-----w- c:\programme\CCleaner
2009-08-23 10:50 . 2009-09-06 16:23 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\skypePM
2009-08-23 10:48 . 2009-09-06 16:23 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\Skype
2009-08-23 10:48 . 2009-08-23 10:48 -------- d-----w- c:\programme\Skype
2009-08-23 10:48 . 2009-08-23 10:48 -------- d-----w- c:\programme\Gemeinsame Dateien\Skype
2009-08-23 10:48 . 2009-08-23 10:48 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Skype
2009-08-23 10:36 . 2009-08-26 07:45 -------- d-----w- c:\programme\Nero
2009-08-23 10:26 . 2009-08-23 10:27 -------- d-----w- c:\programme\Messer
2009-08-23 09:38 . 2006-10-26 17:56 32592 ----a-w- c:\windoof\system32\msonpmon.dll
2009-08-23 09:35 . 2009-08-23 09:35 -------- d-----w- c:\programme\Microsoft Works
2009-08-23 09:35 . 2009-08-23 09:35 -------- d-----w- c:\programme\MSBuild
2009-08-23 09:24 . 2009-08-23 09:33 -------- d-----w- c:\windoof\SHELLNEW
2009-08-23 09:23 . 2009-08-23 09:23 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Lokale Einstellungen\Anwendungsdaten\Microsoft Help
2009-08-23 09:23 . 2009-08-24 20:23 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Microsoft Help
2009-08-23 09:22 . 2009-08-23 09:22 -------- d--h--r- C:\MSOCache
2009-08-23 09:01 . 2009-08-23 09:01 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Lokale Einstellungen\Anwendungsdaten\Identities
2009-08-23 08:46 . 2009-08-23 08:47 -------- d-----w- c:\programme\ICQ6Toolbar
2009-08-23 08:46 . 2009-08-23 08:46 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\ICQ
2009-08-23 08:46 . 2009-08-23 08:46 -------- d--h--w- c:\programme\InstallShield Installation Information
2009-08-23 08:45 . 2009-08-23 11:34 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\ICQ
2009-08-23 08:43 . 2009-08-23 11:42 -------- d-----w- c:\programme\ICQ6.5
2009-08-23 08:37 . 2009-08-23 09:55 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Contacts
2009-08-23 08:36 . 2009-08-23 08:36 -------- dc----w- c:\windoof\system32\DRVSTORE
2009-08-23 08:35 . 2009-09-05 05:42 -------- d-----w- c:\programme\MSN Messenger
2009-08-23 08:33 . 2009-08-23 08:33 -------- d-----w- c:\programme\RevGSoft
2009-08-23 08:33 . 1997-11-19 13:49 303616 ----a-w- c:\windoof\IsUninst.exe
2009-08-23 08:29 . 2009-08-23 08:29 -------- d-----w- c:\programme\VideoLAN
2009-08-23 08:16 . 2009-08-31 18:47 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Soulseek
2009-08-22 16:36 . 2009-08-22 16:37 -------- d-----w- c:\programme\SoulseekNS
2009-08-22 14:24 . 2009-08-22 14:24 -------- d-----w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Anwendungsdaten\Malwarebytes
2009-08-22 14:24 . 2009-08-03 11:36 38160 ----a-w- c:\windoof\system32\drivers\mbamswissarmy.sys
2009-08-22 14:24 . 2009-08-22 14:24 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2009-08-22 14:24 . 2009-08-22 14:24 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Malwarebytes
2009-08-22 14:24 . 2009-08-03 11:36 19096 ----a-w- c:\windoof\system32\drivers\mbam.sys
2009-08-22 14:07 . 2009-08-23 11:11 55656 ----a-w- c:\windoof\system32\drivers\avgntflt.sys
2009-08-22 14:07 . 2009-03-30 08:33 96104 ----a-w- c:\windoof\system32\drivers\avipbb.sys
2009-08-22 14:07 . 2009-02-13 09:29 22360 ----a-w- c:\windoof\system32\drivers\avgntmgr.sys
2009-08-22 14:07 . 2009-02-13 09:17 45416 ----a-w- c:\windoof\system32\drivers\avgntdd.sys
2009-08-22 14:07 . 2009-08-22 14:07 -------- d-----w- c:\programme\Avira
2009-08-22 14:07 . 2009-08-22 14:07 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\Avira

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-09-06 17:32 . 2009-08-22 13:11 -------- d-----w- c:\programme\Opera
2009-09-06 14:35 . 2009-08-23 16:37 143264 --sha-w- c:\windoof\system32\drivers\fidbox.idx
2009-09-05 18:47 . 2009-09-05 18:43 -------- d-----w- c:\dokumente und einstellungen\rey\Anwendungsdaten\ICQ
2009-09-05 07:38 . 2009-08-22 13:31 69240 ----a-w- c:\dokumente und einstellungen\ColdCorley.FROPPEN\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-09-04 22:22 . 2001-08-18 11:00 49166 ----a-w- c:\windoof\system32\perfc007.dat
2009-09-04 22:22 . 2001-08-18 11:00 320104 ----a-w- c:\windoof\system32\perfh007.dat
2009-08-26 08:00 . 2009-08-22 13:36 -------- d-----w- c:\programme\Gemeinsame Dateien\InstallShield
2009-08-23 10:50 . 2009-08-23 10:50 32 ----a-w- c:\dokumente und einstellungen\All Users.WINDOOF\Anwendungsdaten\ezsid.dat
2009-08-22 13:47 . 2009-08-22 13:47 -------- d-----w- c:\programme\C-Media 3D Audio
2009-08-22 13:34 . 2009-08-22 13:32 -------- d-----w- c:\programme\Winamp
2009-08-22 13:18 . 2009-08-22 13:18 -------- d-----w- c:\programme\Bookmark-Manager
2009-08-22 12:21 . 2009-08-22 12:21 -------- d-----w- c:\programme\Java
2009-08-22 12:21 . 2009-08-22 12:21 -------- d-----w- c:\programme\Gemeinsame Dateien\Java
2009-08-22 12:10 . 2009-08-22 11:06 -------- d-----w- c:\programme\Gemeinsame Dateien\Dienste
2009-08-22 12:08 . 2009-08-22 12:08 21740 ----a-w- c:\windoof\system32\emptyregdb.dat
2009-08-22 12:07 . 2009-08-22 11:03 -------- d-----w- c:\programme\Windows Media Connect 2
2009-08-22 11:10 . 2009-08-22 11:10 -------- d-----w- c:\programme\MSXML 6.0
2009-08-22 11:10 . 2009-08-22 11:10 -------- d-----w- c:\programme\MSXML 4.0
2009-08-22 11:07 . 2009-08-22 11:07 -------- d-----w- c:\programme\Online-Dienste
2009-08-14 04:58 . 2009-09-05 08:33 7396 ----a-w- c:\windoof\system32\drivers\pctcore.cat
.

------- Sigcheck -------

[-] 26DB81279FED58D5199235C26D4836E2 [7.00.6000.20583 (vista_ldr.070420-1500)] c:\windoof\ie7updates\KB937143-IE7\wininet.dll
[7] B4AEE98A48917B274FACFB78BBE0BC84 [6.00.2900.5512 (xpsp.080413-2105)] c:\windoof\ServicePackFiles\i386\wininet.dll
[-] 17D39B59E2E3740058AE3FBCD432CEDE [7.00.6000.20627 (vista_ldr.070625-1522)] c:\windoof\system32\wininet.dll
[-] 17D39B59E2E3740058AE3FBCD432CEDE [7.00.6000.20627 (vista_ldr.070625-1522)] c:\windoof\system32\dllcache\wininet.dll

[-] 07ABB2A695B8F91F7A12BE2BDD3E5932 [7.00.6000.20591 (vista_ldr.070503-1540)] c:\windoof\ie7updates\KB937143-IE7\mshtml.dll
[7] 72AE55A9FFBC60650339CB12E35C7DD5 [6.00.2900.5512 (xpsp.080413-2105)] c:\windoof\ServicePackFiles\i386\mshtml.dll
[-] B91AB1E55D77740D500BE0C4B2861844 [7.00.6000.20641 (vista_ldr.070716-1600)] c:\windoof\system32\mshtml.dll
[-] B91AB1E55D77740D500BE0C4B2861844 [7.00.6000.20641 (vista_ldr.070716-1600)] c:\windoof\system32\dllcache\mshtml.dll

[7] 1704D8C4C8807B889E43C649B478A452 [5.1.2600.5512 (xpsp.080413-2108)] c:\windoof\ServicePackFiles\i386\kbdclass.sys
[-] B128FC0A5CD83F669D5DE4B58F77C7D6 [5.1.2600.2180 (xpsp_sp2_rtm.040803-2158)] c:\windoof\system32\drivers\kbdclass.sys

[-] C51B4A5C05A5475708E3C81C7765B71D [11.0.5721.5145] c:\windoof\system32\mspmsnsv.dll

[7] 8BED39E3C35D6A489438B8141717A557 [5.1.2601.3142] c:\windoof\ServicePackFiles\i386\aec.sys
[-] 1EE7B434BA961EF845DE136224C30FEC [5.1.2601.2180] c:\windoof\system32\drivers\aec.sys
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe" [2007-06-27 152872]
"ccleaner"="c:\programme\CCleaner\CCleaner.exe" [2009-02-19 1471728]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SiSUSBRG"="c:\windoof\SiSUSBrg.exe" [2002-07-12 106496]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"GrooveMonitor"="c:\programme\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-26 31016]
"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2007-03-01 153136]
"Google Quick Search Box"="c:\programme\Google\Quick Search Box\GoogleQuickSearchBox.exe" [2009-09-05 68592]
"TrojanScanner"="c:\programme\Trojan Remover\Trjscan.exe" [2009-09-04 1069960]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windoof\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"ShowDeskFix"="shell32" [X]
"nltide_3"="advpack.dll" - c:\windoof\system32\advpack.dll [2007-06-27 124928]
"IE7"="advpack.dll" - c:\windoof\system32\advpack.dll [2007-06-27 124928]

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"ForceClassicControlPanel"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Avira\\AntiVir Desktop\\avcenter.exe"=
"c:\\Programme\\SoulseekNS\\slsk.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"c:\\WINDOOF\\system32\\ZoneLabs\\vsmon.exe"=
"c:\\Programme\\MSN Messenger\\msnmsgr.exe"=
"c:\\Programme\\MSN Messenger\\livecall.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1723:TCP"= 1723:TCP:@xpsp2res.dll,-22015
"1701:UDP"= 1701:UDP:@xpsp2res.dll,-22016
"500:UDP"= 500:UDP:@xpsp2res.dll,-22017

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [22.08.2009 16:07 108289]
R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [23.08.2009 10:46 222968]
S3 avgntdd;avgntdd;\??\c:\programme\AVPersonal\AVGNTDD.SYS --> c:\programme\AVPersonal\AVGNTDD.SYS [?]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~1\Office12\EXCEL.EXE/3000
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-09-06 21:36
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(3856)
c:\windoof\system32\wpdshserviceobj.dll
c:\windoof\system32\portabledevicetypes.dll
c:\windoof\system32\portabledeviceapi.dll

- - - - - - - > 'explorer.exe'(2332)
c:\windoof\system32\wpdshserviceobj.dll
c:\windoof\system32\portabledevicetypes.dll
c:\windoof\system32\portabledeviceapi.dll
.
Zeit der Fertigstellung: 2009-09-06 21:44
ComboFix-quarantined-files.txt 2009-09-06 19:44
ComboFix2.txt 2009-09-06 13:34

Vor Suchlauf: 6 Verzeichnis(se), 99.655.282.688 Bytes frei
Nach Suchlauf: 6 Verzeichnis(se), 99.652.579.328 Bytes frei

215


Lg.denis

Deinstalliere bitte cf wieder, mache die Windows/IE Updates und mache in 2-3 Tagen nochmal einen GMER Report sowie einen CF Report.

Ich weiss, ist alles ein wenig hin und her, nur moechte ich es dann gerne nochmal kontrollieren...

ja klar mache ich.hab jetzt verschieden scans gemacht und sieht alles sauber aus.
also ich meld mich dann nochmal.hab jetzt auch ein benutzerkonto angelegt ist dann etwas sicherer.

lg.denis

axo,wegen der updates wird wohl etwas schwierig,da ich kein echtes windows habe.aber über den internetexplorer geh ich sowieso nich rein.oder hast du ne idee wie ich die updates trotzdem machen kann?

Sorry, das geht nur ueber den "legalen" Weg....

Hallo Ralf,

hier erstmal das Gmer.Combofix geht irgendwie nicht.Hab mir ein zusätzliches Benutzerkonto angelegt,war aber als Admin drin.Beim starten fragt er mich dann von welchem Konto ich es starten möchte.hab dann das aktuelle Konto ausgewählt,danach kommt dann eine Fehlermeldung.Weist du da was?

GMER 1.0.15.15077 [gmer.exe] - http://www.gmer.net
Rootkit scan 2009-09-10 22:28:01
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.15 ----

SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwConnectPort [0xF6C32040]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreateFile [0xF6C2E930]
SSDT            F8BC23A6                                                                                        ZwCreateKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreatePort [0xF6C32510]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreateProcess [0xF6C38870]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreateProcessEx [0xF6C38AA0]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreateSection [0xF6C3BFD0]
SSDT            F8BC239C                                                                                        ZwCreateThread
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwCreateWaitablePort [0xF6C32600]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwDeleteFile [0xF6C2EF20]
SSDT            F8BC23AB                                                                                        ZwDeleteKey
SSDT            F8BC23B5                                                                                        ZwDeleteValueKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwDuplicateObject [0xF6C38580]
SSDT            F8BC23BA                                                                                        ZwLoadKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwOpenFile [0xF6C2ED70]
SSDT            F8BC2388                                                                                        ZwOpenProcess
SSDT            F8BC238D                                                                                        ZwOpenThread
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwRenameKey [0xF6C3B250]
SSDT            F8BC23C4                                                                                        ZwReplaceKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwRequestWaitReplyPort [0xF6C31C00]
SSDT            F8BC23BF                                                                                        ZwRestoreKey
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwSecureConnectPort [0xF6C32220]
SSDT            \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)                     ZwSetInformationFile [0xF6C2F120]
SSDT            F8BC23B0                                                                                        ZwSetValueKey
SSDT            F8BC2397                                                                                        ZwTerminateProcess

---- Kernel code sections - GMER 1.0.15 ----

.text           ntoskrnl.exe!_abnormal_termination + E0                                                         804E273C 4 Bytes  JMP 93E41E03 
.text           ntoskrnl.exe!_abnormal_termination + 104                                                        804E2760 12 Bytes  [10, 25, C3, F6, 70, 88, C3, ...]
?               srescan.sys                                                                                     Das System kann die angegebene Datei nicht finden. !

---- User code sections - GMER 1.0.15 ----

.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!SetScrollInfo                                   7E369056 7 Bytes  JMP 0249AAA2 C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!GetScrollInfo                                   7E37DFE2 7 Bytes  JMP 0249AA2A C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!ShowScrollBar                                   7E37F2F2 5 Bytes  JMP 0249AB26 C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!GetScrollPos                                    7E37F704 5 Bytes  JMP 0249AA52 C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!SetScrollPos                                    7E37F750 5 Bytes  JMP 0249AACD C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!GetScrollRange                                  7E37F787 5 Bytes  JMP 0249AA77 C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!SetScrollRange                                  7E37F99B 5 Bytes  JMP 0249AAF8 C:\Programme\Winamp\Plugins\gen_jumpex.dll
.text           C:\Programme\Winamp\winamp.exe[4052] USER32.dll!EnableScrollBar                                 7E3B8005 7 Bytes  JMP 0249AA02 C:\Programme\Winamp\Plugins\gen_jumpex.dll

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol]                        [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter]                             [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter]                            [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol]                      [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol]                        [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol]                          [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter]                               [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter]                              [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol]                         [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol]                       [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter]                             [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter]                              [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter]                               [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter]                                [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol]                           [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol]                        [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol]                          [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter]                               [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter]                              [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\System32\drivers\afd.sys[ntoskrnl.exe!IoCreateFile]                                 [F6C44330] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisRegisterProtocol]                         [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisDeregisterProtocol]                       [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisCloseAdapter]                             [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\ndisuio.sys[NDIS.SYS!NdisOpenAdapter]                              [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\rspndr.sys[NDIS.SYS!NdisRegisterProtocol]                          [F6C36CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\rspndr.sys[NDIS.SYS!NdisOpenAdapter]                               [F6C371C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\rspndr.sys[NDIS.SYS!NdisDeregisterProtocol]                        [F6C36E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\rspndr.sys[NDIS.SYS!NdisCloseAdapter]                              [F6C37320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtSetInformationFile]                         [F6C2F5C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!IoCreateFile]                                 [F6C2F770] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtCreateFile]                                 [F6C2F2D0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT             \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtOpenFile]                                   [F6C2F670] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- User IAT/EAT - GMER 1.0.15 ----

IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\Explorer.EXE [KERNEL32.dll!GetProcAddress]           [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\ADVAPI32.dll [KERNEL32.dll!GetProcAddress]  [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\RPCRT4.dll [KERNEL32.dll!GetProcAddress]    [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\Secur32.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\GDI32.dll [KERNEL32.dll!GetProcAddress]     [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\USER32.dll [KERNEL32.dll!GetProcAddress]    [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\msvcrt.dll [KERNEL32.dll!GetProcAddress]    [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\ole32.dll [KERNEL32.dll!GetProcAddress]     [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\SHLWAPI.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\CRYPT32.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\NETAPI32.dll [KERNEL32.dll!GetProcAddress]  [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\WININET.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\SHELL32.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\USERENV.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\PSAPI.DLL [KERNEL32.dll!GetProcAddress]     [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\iphlpapi.dll [KERNEL32.dll!GetProcAddress]  [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\WS2_32.dll [KERNEL32.dll!GetProcAddress]    [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)
IAT             C:\WINDOOF\Explorer.EXE[1816] @ C:\WINDOOF\system32\WS2HELP.dll [KERNEL32.dll!GetProcAddress]   [5CF07774] C:\WINDOOF\system32\ShimEng.dll (Shim Engine DLL/Microsoft Corporation)

---- Devices - GMER 1.0.15 ----

Device          \Driver\Tcpip \Device\Ip                                                                        vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Tcp                                                                       vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\Udp                                                                       vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\RawIp                                                                     vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device          \Driver\Tcpip \Device\IPMULTICAST                                                               vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

AttachedDevice  \FileSystem\Fastfat \Fat                                                                        fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- Registry - GMER 1.0.15 ----

Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap@start                                         1
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap@type                                          1
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap@group                                         file system
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap@imagepath                                     \systemroot\system32\drivers\kbiwkmqqaomyyb.sys
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main (not active ControlSet)                  
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main@aid                                      10002
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main@sid                                      1
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main@cmddelay                                 14400
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main\delete (not active ControlSet)           
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main\injector (not active ControlSet)         
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main\injector@*                               kbiwkmwsp.dll
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\main\tasks (not active ControlSet)            
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules (not active ControlSet)               
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules@kbiwkmrk.sys                          \systemroot\system32\drivers\kbiwkmqqaomyyb.sys
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules@kbiwkmcmd.dll                         \systemroot\system32\kbiwkmpfxkapiv.dll
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules@kbiwkmlog.dat                         \systemroot\system32\kbiwkmvvlxmujd.dat
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules@kbiwkmwsp.dll                         \systemroot\system32\kbiwkmuymyevjl.dll
Reg             HKLM\SYSTEM\ControlSet003\Services\kbiwkmxtqlhtap\modules@kbiwkm.dat                            \systemroot\system32\kbiwkmqgikhbin.dat

---- EOF - GMER 1.0.15 ----
         

Lg.Denis.

Da hat das Rootkit teile der Reg. so abgeaendert, das GMER und andere Programme (incl. Windows selber) nicht auf die Eintraege zugreifen kann. ICh wuerde in dem Falle neu aufsetzen um alle zusaetzlichen Veraenderungen auszuschliesen...

Das ganze am besten mit einer legal Erworbenen Windowsversion....

meinst du?aber das GMER ging ohne probleme.wollte mir das eigentlich ersparen.momentan funzt alles super ohne probleme u antivir u malewarebytes sind sauber.meinst du das nochwas passieren könnte in der hinsicht oder dürfte das problem erstmal beseitigt sein?

lg.denis

Dateimaessig ist nichts mehr da, aber die ganzen Aenderungen die die Malware gemacht hat, sind noch da. Wenn dich das nicht behindert, ist mir das gleich...........

also wenn alles so läuft wie jetzt ist das ok für mich.sollte ich in der hinsicht nochmal probleme haben mache ich es neu.hab mir manuell die windowsupdates gezogen,das geht ja auch...

lg.denis.