Trojaner TR/BOHLamp unter Windows XP

toba303 · 21.11.2009, 20:20

Hallo,

ich habe mir offensichtlich einen Trojaner eingefangen: Hier poppt regelmäßig der IE mit Werbung auf und Avira hat mehrmals gemeldet, dass eine Datei mit dem Trojaner TR/BOHLam.fut infiziert ist. Zweimal konnte ich die betroffene Dateien löschen, eine davon war die C:\Windows\system32\msxml71.dll, die andere lungerte im Recycler rum, den Namen konnte ich mir aber nicht merken. Die Avira-Meldungen verschwanden immer wieder recht schnell, also musste ich schnell reagieren. Mittlerweile erscheint keine Warnmeldung mehr seitens Avira, aber der IE meldet sich immer noch regelmäßig.

Bei einem vollständigen System-Scan hat Avira übrigens nichts gefunden.

Ich habe mir eine (wahrscheinlich längst veraltete) Version von Knoppicillin gezogen und mit ClamAV mal einen Scan gemacht. Der hat allerdings den Übeltäter nicht finden können. Abgesehen von unendlich vielen "Empty Files" und "Oversized ZIPs" war der einzige, den er gefunden hat, dieser hier:

/media/sda1/pagefile.sys: Trojan.URLspoof.gen.2 FOUND

Ich habe hier im Forum zwei Einträge (1, 2) zu dem genannten Trojaner gefunden, allerdings lieferte keiner davon einen Masterplan, den ich auf mein Problem hätte anwenden können. Da waren offenbar noch eine Reihe anderer Schädlinge im Spiel, was bei mir vermutlich nicht anders sein wird. Immerhin habe ich ganz ähnliche verdächtige Dateien bei mir gefunden, wie sie in einem der Posts erwähnt wurden:

b.exe
csrss.exe (lässt sich nicht beenden)
msb.exe

Die b.exe habe ich mit HighjackThis entfernt, sie befand sich hier:
O4 - HKCU\..\Run: [TurboNet] C:\DOKUME~1\ToBa\LOKALE~1\Temp\b.exe

Ich wäre sehr dankbar für ein paar Tipps, was ich als nächste probieren könnte. Vielen Dank schonmal im Vorraus!

Hier ist das HijackThis-Log:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:12:09, on 21.11.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe
C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\DAEMON Tools\daemon.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Logitech\Gaming Software\LWEMon.exe
C:\WINDOWS\System32\M-AudioTaskBarIcon.exe
D:\Programme\iTunes\iTunesHelper.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Media Player\WMPNSCFG.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Programme\Java\jre6\bin\jucheck.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\Windows NT\Zubehör\WORDPAD.EXE
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\WINDOWS\system32\taskmgr.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\chrome.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\msb.exe
C:\Programme\UltraEdit-32\uedit32.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Canon Easy Web Print Helper - {68F9551E-0411-48E4-9AAF-4BC42A6A46BE} - C:\Programme\Canon\Easy-WebPrint\EWPBrowseLoader.dll
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [MSI Live] C:\Programme\MSI\MSI Live\SetWallpaper.exe
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [Easy-PrintToolBox] C:\Programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE /logon
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Start WingMan Profiler] C:\Programme\Logitech\Gaming Software\LWEMon.exe /noui
O4 - HKLM\..\Run: [M-Audio Taskbar Icon] C:\WINDOWS\System32\M-AudioTaskBarIcon.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "D:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [Google Update] "C:\Dokumente und Einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" /c
O4 - HKCU\..\Run: [WMPNSCFG] C:\Programme\Windows Media Player\WMPNSCFG.exe
O4 - Startup: Adobe Gamma.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: AVer HID Receiver.lnk = C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe
O4 - Global Startup: AVerQuick.lnk = C:\Programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - D:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - h**p://go.microsoft.com/fwlink/?linkid=39204
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apache2.2 - Apache Software Foundation - D:\webserver\apache\bin\httpd.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: AVerRemote - AVerMedia - C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe
O23 - Service: AVerScheduleService - Unknown owner - C:\Programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: MySQL - Unknown owner - D:\webserver\mysql\bin\mysqld-nt (file missing)
O23 - Service: NBService - Nero AG - C:\Programme\Nero\Nero 7\Nero BackItUp\NBService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

--
End of file - 10278 bytes

cosinus · 22.11.2009, 20:23

Hallo und

Zitat:

war der einzige, den er gefunden hat, dieser hier:
/media/sda1/pagefile.sys: Trojan.URLspoof.gen.2 FOUND

Das ist die Auslagerungsdatei von Windows!! Das macht eigentlich keinen Sinn, die zu prüfen.

Bitte diese Liste beachten und abarbeiten. Beim Scan mit MalwareBytes auch alle externen Speicher (ext. Platten, USB-Sticks, ... mit anklemmen!!
Die Logfiles kannst Du zB alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board nämlich zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.

toba303 · 23.11.2009, 01:01

Hi Cosinus,

danke für deine Antwort und den Hinweis. Ich habe in dem Wust an Postings und Regeln den unteren Teil der Liste leider übersehen.

Ich habe die logs von Malwarebytes-Anti-Malware und RSIT hier bereitgestellt:
http://www.file-upload.net/download-2030260/logs.zip.html

Offenbar wurde durch die Tools einiges gefunden und zum Teil auch entfernt. Die b.exe beispielsweise, die leider doch noch da war, taucht jetzt nach einem Neustart nicht mehr im Taskmanager auf. Allerdings taucht sie noch beim Registry-Scan mit CCleaner auf

Die msb.exe seh ich im Moment auch nicht mehr.

CCleaner hat kein Logfile hinterlassen, soweit ich das sehe. Beim Registry-Scan lässt sich aber ein Eintrag nachhaltig nicht entfernen:

Ungenutzte Datei-Endungen {80b8c23c-16e0-4cd8-bbc3-cecec9a78b79} HKCR\{80b8c23c-16e0-4cd8-bbc3-cecec9a78b79}

Zu deiner Anmerkung wegen der Pagefile.sys: Windows war zu dem Zeitpunkt nicht gebootet, der Linux-Scanner hat halt alles gescannt, was er gefunden hat. Ob das Sinn macht oder nicht, kann ich nicht bewerten

Avira hat sich während des Malwarebytes-Scans wieder das ein oder andere Mal gemeldet. Ich war leider zu schnell mit dem "löschen"-Klicken, mindestens einmal wurde auch ein anderer Trojaner gemeldet, als der TR\BOHLamp, aber ich konnte mir so schnell nicht merken welcher.

Ich nehme an, ich bin noch nicht aus dem Gröbsten raus. Was kann ich als nächste tun?

Vielen Dank!

cosinus · 23.11.2009, 08:59

Lade dir Lop S&D herunter.

Führe Lop S&D.exe per Doppelklick aus.
Wähle die Sprache deiner Wahl und anschließend die Option 1.
Warte bis der Scanbericht erstellt wird und poste ihn hier (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen).

toba303 · 23.11.2009, 09:30

Hi Cosinus,

hier ist das Log. Da unter "Cracks" etwas aus meinem Azereus-Ordner aufgelistet wird, will ich noch hinzufügen, dass ich schon seit Monaten kein Filesharing mehr gemacht habe und auch vorher nur in sehr geringem Maße. Azereus und Emule sind zwar installiert, aber eben schon ewig nicht mehr in Betrieb.

Code:

ATTFilter

   --------------------\\  Lop S&D 4.2.5-0   XP/Vista

   Microsoft Windows XP Professional ( v5.1.2600 ) Service Pack 3
   X86-based PC ( Multiprocessor Free : Intel(R) Core(TM)2 CPU          6300  @ 1.86GHz )
   BIOS : Phoenix - AwardBIOS v6.00PG
   USER : ToBa ( Administrator )
   BOOT : Normal boot
   Antivirus : AntiVir Desktop 9.0.1.32 (Activated)
   C:\ (Local Disk) - NTFS - Total:48 Go (Free:15 Go)
   D:\ (Local Disk) - NTFS - Total:184 Go (Free:10 Go)
   E:\ (CD or DVD) - CDFS - Total:0 Go (Free:0 Go)
   G:\ (CD or DVD) - CDFS - Total:1 Go (Free:0 Go)
   H:\ (CD or DVD)
   I:\ (CD or DVD)
   J:\ (CD or DVD)
   K:\ (Local Disk) - NTFS - Total:298 Go (Free:12 Go)

   "C:\Lop SD" ( MAJ : 19-12-2008|23:40 )
   Option : [1] ( 23.11.2009| 9:21 )
 
   --------------------\\  Ordner Verzeichnis unter ANWEND~1

   [04.10.2009|22:46] C:\DOKUME~1\ALLUSE~1\ANWEND~1\{0691F710-1ECA-4B5A-9727-25554F1BFDC6}
   [22.09.2009|18:31] C:\DOKUME~1\ALLUSE~1\ANWEND~1\{755AC846-7372-4AC8-8550-C52491DAA8BD}
   [28.12.2008|18:28] C:\DOKUME~1\ALLUSE~1\ANWEND~1\2DBoy
   [23.12.2006|15:00] C:\DOKUME~1\ALLUSE~1\ANWEND~1\ACD Systems
   [03.12.2008|19:50] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Adobe
   [21.10.2007|21:09] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Adobe Systems
   [22.09.2009|18:34] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Apple
   [04.02.2007|19:10] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Apple Computer
   [20.04.2009|20:38] C:\DOKUME~1\ALLUSE~1\ANWEND~1\AVerTV
   [22.03.2009|17:15] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Avira
   [13.09.2009|09:27] C:\DOKUME~1\ALLUSE~1\ANWEND~1\AVS4YOU
   [28.01.2008|22:49] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Azureus
   [23.12.2006|15:42] C:\DOKUME~1\ALLUSE~1\ANWEND~1\CanonBJ
   [04.06.2008|23:02] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Codemasters
   [31.05.2009|19:29] C:\DOKUME~1\ALLUSE~1\ANWEND~1\DVD Shrink
   [07.12.2008|00:07] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Fallout3
   [26.07.2009|16:39] C:\DOKUME~1\ALLUSE~1\ANWEND~1\hps
   [11.04.2009|22:25] C:\DOKUME~1\ALLUSE~1\ANWEND~1\id Software
   [08.09.2008|13:11] C:\DOKUME~1\ALLUSE~1\ANWEND~1\iProxyInstaller
   [22.11.2009|20:59] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Malwarebytes
   [02.10.2009|12:54] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Microsoft
   [12.11.2009|00:54] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Microsoft Help
   [15.12.2006|12:41] C:\DOKUME~1\ALLUSE~1\ANWEND~1\NVIDIA
   [10.09.2009|22:58] C:\DOKUME~1\ALLUSE~1\ANWEND~1\PopCap Games
   [09.01.2007|16:57] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Propellerhead Software
   [08.01.2007|13:49] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Skype
   [05.11.2008|20:01] C:\DOKUME~1\ALLUSE~1\ANWEND~1\SongbirdVLC
   [08.11.2009|14:47] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Team MediaPortal
   [07.10.2009|18:10] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Teleca
   [22.08.2009|16:14] C:\DOKUME~1\ALLUSE~1\ANWEND~1\TEMP
   [11.04.2007|21:45] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Trymedia
   [22.08.2008|15:38] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Ubisoft
   [15.12.2006|12:28] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Windows Genuine Advantage
   [0|Datei(en)] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Bytes
   [35|Verzeichnis(se),] C:\DOKUME~1\ALLUSE~1\ANWEND~1\Bytes frei

   [07.02.2008|16:01] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Microsoft
   [0|Datei(en)] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Bytes
   [3|Verzeichnis(se),] C:\DOKUME~1\DEFAUL~1\ANWEND~1\Bytes frei

   [29.01.2008|11:28] C:\DOKUME~1\LOCALS~1\ANWEND~1\Macromedia
   [18.02.2007|20:51] C:\DOKUME~1\LOCALS~1\ANWEND~1\Microsoft
   [29.01.2008|11:28] C:\DOKUME~1\LOCALS~1\ANWEND~1\Mozilla
   [0|Datei(en)] C:\DOKUME~1\LOCALS~1\ANWEND~1\Bytes
   [5|Verzeichnis(se),] C:\DOKUME~1\LOCALS~1\ANWEND~1\Bytes frei

   [22.05.2009|23:23] C:\DOKUME~1\NETWOR~1\ANWEND~1\Microsoft
   [0|Datei(en)] C:\DOKUME~1\NETWOR~1\ANWEND~1\Bytes
   [3|Verzeichnis(se),] C:\DOKUME~1\NETWOR~1\ANWEND~1\Bytes frei

   [21.11.2009|17:01] C:\DOKUME~1\ToBa\ANWEND~1\Ableton
   [23.12.2006|15:01] C:\DOKUME~1\ToBa\ANWEND~1\ACD Systems
   [15.03.2008|23:59] C:\DOKUME~1\ToBa\ANWEND~1\Adobe
   [15.08.2007|19:20] C:\DOKUME~1\ToBa\ANWEND~1\Ahead
   [20.04.2009|23:03] C:\DOKUME~1\ToBa\ANWEND~1\Amazon
   [22.09.2009|18:37] C:\DOKUME~1\ToBa\ANWEND~1\Apple Computer
   [13.09.2009|09:41] C:\DOKUME~1\ToBa\ANWEND~1\AVS4YOU
   [14.06.2009|15:56] C:\DOKUME~1\ToBa\ANWEND~1\Azureus
   [03.03.2008|11:56] C:\DOKUME~1\ToBa\ANWEND~1\Bioshock
   [13.06.2009|13:05] C:\DOKUME~1\ToBa\ANWEND~1\DSound
   [18.04.2009|20:24] C:\DOKUME~1\ToBa\ANWEND~1\dvdcss
   [13.01.2009|20:01] C:\DOKUME~1\ToBa\ANWEND~1\fretsonfire
   [18.02.2007|18:48] C:\DOKUME~1\ToBa\ANWEND~1\funkitron
   [01.03.2009|14:19] C:\DOKUME~1\ToBa\ANWEND~1\Hamachi
   [11.04.2009|22:26] C:\DOKUME~1\ToBa\ANWEND~1\id Software
   [15.12.2006|12:08] C:\DOKUME~1\ToBa\ANWEND~1\Identities
   [02.09.2007|14:20] C:\DOKUME~1\ToBa\ANWEND~1\IDMComp
   [22.08.2008|15:27] C:\DOKUME~1\ToBa\ANWEND~1\InstallShield
   [16.05.2007|21:02] C:\DOKUME~1\ToBa\ANWEND~1\Joost
   [17.12.2006|00:06] C:\DOKUME~1\ToBa\ANWEND~1\Macromedia
   [22.11.2009|20:59] C:\DOKUME~1\ToBa\ANWEND~1\Malwarebytes
   [02.10.2009|12:55] C:\DOKUME~1\ToBa\ANWEND~1\Microsoft
   [17.06.2008|20:48] C:\DOKUME~1\ToBa\ANWEND~1\Mozilla
   [22.08.2009|16:11] C:\DOKUME~1\ToBa\ANWEND~1\MyPhoneExplorer
   [25.11.2008|16:33] C:\DOKUME~1\ToBa\ANWEND~1\OpenOffice.org
   [25.11.2008|16:24] C:\DOKUME~1\ToBa\ANWEND~1\OpenOffice.org2
   [09.01.2007|17:02] C:\DOKUME~1\ToBa\ANWEND~1\Propellerhead Software
   [09.12.2007|23:08] C:\DOKUME~1\ToBa\ANWEND~1\SecuROM
   [07.07.2008|20:45] C:\DOKUME~1\ToBa\ANWEND~1\Skype
   [05.11.2008|20:05] C:\DOKUME~1\ToBa\ANWEND~1\Songbird2
   [09.01.2007|16:23] C:\DOKUME~1\ToBa\ANWEND~1\Steinberg
   [17.12.2006|17:40] C:\DOKUME~1\ToBa\ANWEND~1\Sun
   [29.01.2007|20:49] C:\DOKUME~1\ToBa\ANWEND~1\Talkback
   [19.09.2009|20:44] C:\DOKUME~1\ToBa\ANWEND~1\Teleca
   [29.01.2007|20:49] C:\DOKUME~1\ToBa\ANWEND~1\Thunderbird
   [22.08.2008|15:48] C:\DOKUME~1\ToBa\ANWEND~1\Ubisoft
   [17.12.2006|20:15] C:\DOKUME~1\ToBa\ANWEND~1\vlc
   [02.09.2007|23:16] C:\DOKUME~1\ToBa\ANWEND~1\WinRAR
   [0|Datei(en)] C:\DOKUME~1\ToBa\ANWEND~1\Bytes
   [40|Verzeichnis(se),] C:\DOKUME~1\ToBa\ANWEND~1\Bytes frei
 
   --------------------\\  Geplante Aufgaben unter C:\WINDOWS\Tasks

   [23.11.2009 01:00][--a------] C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003UA.job
   [04.11.2009 11:00][--a------] C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003Core.job
   [23.11.2009 09:19][--ah-----] C:\WINDOWS\tasks\SA.DAT
   [18.08.2001 13:00][-r-h-----] C:\WINDOWS\tasks\desktop.ini

   --------------------\\  Ordner Verzeichnis unter C:\Programme

   [21.11.2009|16:57] C:\Programme\Ableton
   [23.12.2006|15:00] C:\Programme\ACD Systems
   [03.12.2008|19:50] C:\Programme\Adobe
   [19.09.2009|23:11] C:\Programme\AGEIA Technologies
   [19.03.2009|10:25] C:\Programme\AntiVir PersonalEdition Classic
   [22.09.2009|18:27] C:\Programme\Apple Software Update
   [05.10.2009|20:27] C:\Programme\Atari
   [20.04.2009|20:37] C:\Programme\AVerMedia
   [22.03.2009|17:15] C:\Programme\Avira
   [13.09.2009|09:40] C:\Programme\AVS4YOU
   [07.12.2008|00:07] C:\Programme\Bethesda Softworks
   [22.09.2009|18:30] C:\Programme\Bonjour
   [23.12.2006|15:55] C:\Programme\Canon
   [23.12.2006|15:42] C:\Programme\CanonBJ
   [22.11.2009|20:43] C:\Programme\CCleaner
   [15.12.2006|12:01] C:\Programme\ComPlus Applications
   [15.10.2008|18:49] C:\Programme\Convar
   [16.12.2006|23:58] C:\Programme\DAEMON Tools
   [13.10.2008|21:10] C:\Programme\Data Doctor Recovery Digital Camera (Demo)
   [04.01.2008|23:19] C:\Programme\DivX
   [21.05.2009|21:07] C:\Programme\Doom 3
   [13.06.2009|13:04] C:\Programme\DSound
   [03.01.2007|01:29] C:\Programme\DVD Shrink
   [02.09.2007|22:33] C:\Programme\EA GAMES
   [06.07.2007|22:17] C:\Programme\EA SPORTS
   [06.01.2007|15:38] C:\Programme\Electronic Arts
   [21.06.2009|15:39] C:\Programme\eMule
   [26.12.2006|19:48] C:\Programme\FileZilla
   [03.09.2008|22:39] C:\Programme\Foxit Software
   [18.02.2007|18:46] C:\Programme\funkitron
   [31.01.2008|16:17] C:\Programme\GameSpy
   [02.10.2009|12:52] C:\Programme\Gemeinsame Dateien
   [18.01.2009|18:24] C:\Programme\Google
   [08.01.2007|14:08] C:\Programme\Hamachi
   [13.06.2009|13:04] C:\Programme\InstallShield Installation Information
   [15.12.2006|12:16] C:\Programme\Intel
   [04.11.2009|12:41] C:\Programme\Internet Explorer
   [22.09.2009|18:30] C:\Programme\iPod
   [08.10.2009|18:22] C:\Programme\Java
   [25.11.2008|16:25] C:\Programme\JRE
   [16.12.2006|14:28] C:\Programme\Lavalys
   [25.11.2008|16:23] C:\Programme\licenses
   [12.04.2009|01:42] C:\Programme\Logitech
   [22.11.2009|20:59] C:\Programme\Malwarebytes' Anti-Malware
   [28.06.2009|14:51] C:\Programme\M-Audio
   [12.10.2008|14:32] C:\Programme\Messenger
   [02.10.2009|12:54] C:\Programme\Microsoft
   [15.12.2006|12:03] C:\Programme\microsoft frontpage
   [24.02.2009|12:30] C:\Programme\Microsoft Office
   [17.10.2009|13:37] C:\Programme\Microsoft SQL Server
   [24.02.2009|12:30] C:\Programme\Microsoft Works
   [22.05.2009|23:22] C:\Programme\Microsoft.NET
   [08.01.2007|13:22] C:\Programme\Miranda IM
   [12.10.2008|14:30] C:\Programme\Movie Maker
   [22.11.2009|21:37] C:\Programme\Mozilla Firefox
   [08.11.2009|18:50] C:\Programme\Mozilla Thunderbird
   [06.08.2007|18:40] C:\Programme\MSBuild
   [16.12.2006|13:57] C:\Programme\MSI
   [15.12.2006|12:00] C:\Programme\MSN
   [15.12.2006|12:00] C:\Programme\MSN Gaming Zone
   [01.01.2007|23:30] C:\Programme\MSXML 4.0
   [15.08.2007|12:42] C:\Programme\MSXML 6.0
   [07.12.2008|15:21] C:\Programme\MyPhoneExplorer
   [05.10.2007|21:26] C:\Programme\Native Instruments
   [21.12.2006|20:23] C:\Programme\Nero
   [12.10.2008|14:29] C:\Programme\NetMeeting
   [11.11.2007|19:01] C:\Programme\NVIDIA
   [15.12.2006|12:01] C:\Programme\Online Services
   [15.12.2006|12:02] C:\Programme\Online-Dienste
   [11.05.2008|23:00] C:\Programme\OpenAL
   [25.11.2008|16:25] C:\Programme\OpenOffice.org 2.1
   [25.11.2008|16:25] C:\Programme\OpenOffice.org 3
   [16.08.2009|14:11] C:\Programme\Outlook Express
   [16.10.2007|23:02] C:\Programme\Paint.NET
   [21.05.2009|21:17] C:\Programme\PokerStars.NET
   [09.01.2007|16:26] C:\Programme\Propellerhead
   [22.09.2009|18:29] C:\Programme\QuickTime
   [16.06.2009|20:58] C:\Programme\RdDrv001
   [25.11.2008|16:23] C:\Programme\readmes
   [15.12.2006|13:18] C:\Programme\Realtek
   [06.08.2007|18:37] C:\Programme\Reference Assemblies
   [13.01.2007|00:07] C:\Programme\Setup Files
   [08.01.2007|13:49] C:\Programme\Skype
   [19.07.2009|19:01] C:\Programme\Songbird
   [12.01.2007|22:17] C:\Programme\SpeedFan
   [07.04.2007|22:10] C:\Programme\Steinberg
   [09.01.2007|16:22] C:\Programme\Syncrosoft
   [31.01.2008|15:36] C:\Programme\SystemRequirementsLab
   [21.11.2009|23:34] C:\Programme\TC Electronic
   [08.11.2009|14:47] C:\Programme\Team MediaPortal
   [08.01.2007|13:55] C:\Programme\THQ
   [15.11.2009|15:15] C:\Programme\Trend Micro
   [09.12.2007|23:23] C:\Programme\Ubi Soft
   [20.03.2009|16:58] C:\Programme\Ubisoft
   [02.09.2007|14:19] C:\Programme\UltraEdit-32
   [15.12.2006|12:08] C:\Programme\Uninstall Information
   [17.12.2006|18:09] C:\Programme\VideoLAN
   [07.04.2007|22:11] C:\Programme\Vokator
   [21.11.2009|23:40] C:\Programme\VSTPlugins
   [08.11.2009|14:27] C:\Programme\WinAce
   [02.10.2009|12:54] C:\Programme\Windows Live
   [02.10.2009|12:54] C:\Programme\Windows Live SkyDrive
   [18.02.2007|20:47] C:\Programme\Windows Media Connect 2
   [12.10.2008|14:29] C:\Programme\Windows Media Player
   [12.10.2008|14:29] C:\Programme\Windows NT
   [15.12.2006|12:02] C:\Programme\WindowsUpdate
   [03.06.2007|21:02] C:\Programme\winLAME
   [21.03.2008|20:07] C:\Programme\WinMerge
   [03.09.2007|09:50] C:\Programme\WinRAR
   [15.12.2006|12:03] C:\Programme\xerox
   [17.12.2006|18:07] C:\Programme\Xvid
   [0|Datei(en)] C:\Programme\Bytes
   [113|Verzeichnis(se),] C:\Programme\Bytes frei

   --------------------\\  Ordner Verzeichnis unter C:\Programme\Gemeinsame Dateien

   [23.12.2006|15:00] C:\Programme\Gemeinsame Dateien\ACD Systems
   [03.12.2008|19:50] C:\Programme\Gemeinsame Dateien\Adobe
   [21.10.2007|21:09] C:\Programme\Gemeinsame Dateien\Adobe Systems Shared
   [21.12.2006|20:25] C:\Programme\Gemeinsame Dateien\Ahead
   [22.09.2009|18:30] C:\Programme\Gemeinsame Dateien\Apple
   [20.04.2009|20:36] C:\Programme\Gemeinsame Dateien\AVerMedia
   [13.09.2009|09:26] C:\Programme\Gemeinsame Dateien\AVSMedia
   [23.12.2006|15:45] C:\Programme\Gemeinsame Dateien\CANON
   [24.02.2009|12:30] C:\Programme\Gemeinsame Dateien\DESIGNER
   [15.12.2006|12:02] C:\Programme\Gemeinsame Dateien\Dienste
   [02.09.2007|20:08] C:\Programme\Gemeinsame Dateien\InstallShield
   [17.12.2006|17:38] C:\Programme\Gemeinsame Dateien\Java
   [12.04.2009|01:42] C:\Programme\Gemeinsame Dateien\Logitech
   [18.10.2009|20:14] C:\Programme\Gemeinsame Dateien\Microsoft Shared
   [15.12.2006|12:02] C:\Programme\Gemeinsame Dateien\MSSoap
   [07.04.2007|20:11] C:\Programme\Gemeinsame Dateien\Native Instruments
   [15.12.2006|11:56] C:\Programme\Gemeinsame Dateien\ODBC
   [08.01.2007|13:49] C:\Programme\Gemeinsame Dateien\Skype
   [15.12.2006|11:56] C:\Programme\Gemeinsame Dateien\SpeechEngines
   [12.10.2008|14:29] C:\Programme\Gemeinsame Dateien\System
   [07.10.2009|18:10] C:\Programme\Gemeinsame Dateien\Teleca Shared
   [02.10.2009|12:52] C:\Programme\Gemeinsame Dateien\Windows Live
   [0|Datei(en)] C:\Programme\Gemeinsame Dateien\Bytes
   [24|Verzeichnis(se),] C:\Programme\Gemeinsame Dateien\Bytes frei

   --------------------\\  Process

   ( 55 Processes )

   ... OK !

   --------------------\\  Ueberpruefung mit S_Lop

   Kein Lop Ordner gefunden !
 
   --------------------\\  Suche nach Lop Dateien - Ordnern

   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsc1AE.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh42.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh43.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsh4D.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nso186B.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nso48.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsq5B.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nssD.tmp
   C:\DOKUME~1\ToBa\LOKALE~1\Temp\nsu3.tmp
   C:\DOKUME~1\ToBa\Cookies\toba@advertising[1].txt
 
   --------------------\\  Suche innerhalb der Registry
 
   ..... OK !

   --------------------\\  Ueberpruefung der Hosts Datei

   Hosts Datei SAUBER


   --------------------\\  Suche nach verborgenen Dateien mit Catchme
 
   catchme 0.3.1353 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
   Rootkit scan 2009-11-23 09:22:46
   Windows 5.1.2600 Service Pack 3 NTFS
   scanning hidden processes ...
   scanning hidden files ...
   scan completed successfully
   hidden processes: 0
   hidden files: 0
 
   --------------------\\  Suche nach anderen Infektionen

   --------------------\\  Cracks & Keygens ..

   C:\DOKUME~1\ToBa\Anwendungsdaten\Azureus\torrents\Depeche+Mode-Sounds+Of+the+Universe.mp3.by.crackmanec.torrent


   [F:1297][D:172]-> C:\DOKUME~1\ToBa\LOKALE~1\Temp
   [F:81][D:0]-> C:\DOKUME~1\ToBa\Cookies
   [F:1060][D:11]-> C:\DOKUME~1\ToBa\LOKALE~1\TEMPOR~1\content.IE5

   1 - "C:\Lop SD\LopR_1.txt" - 23.11.2009| 9:24 - Option : [1]

   --------------------\\  Scan beendet um  9:24:03

cosinus · 23.11.2009, 12:38

Zitat:

--------------------\\ Cracks & Keygens ..
C:\DOKUME~1\ToBa\Anwendungsdaten\Azureus\torrents\Depeche+Mode-Sounds+Of+the+Universe.mp3.by.crackmanec.torrent

Das ist weder ein Crack noch ein Keygen, aber ein Torrent zu besagtem Album. Solltest Du besser lassen, sonst bekommst Du rechtliche Probleme und es ist nicht soo unwahrscheinlich Post von irgendeinem Anwalt der Musikindustrie zu bekommen. Hatte erst letzens in der Nachbarschaft so einen Fall, die sich auch Musik über Bittorrent gezogen hatten - 450 EUR Lehrgeld!

Mach einen Durchlauf mit Combofix:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

toba303 · 23.11.2009, 21:37

Hi Arne,

ja, die Sache mit den Torrents seh ich genauso, deswegen mach ichs ja auch nicht mehr

Ich glaube, mein System ist auf dem Weg der Besserung nach den ganzen Tools, durch die du mich jetzt durchgejagt hast. Abgesehen von der csrss.exe (ist die überhaupt gefährlich?) tauchen die genannten fragwürdigen Prozesse nicht mehr auf. Den IE mit der Werbung habe ich auch schon eine Weile nicht mehr gesehen (wobei ich das noch ein Weilchen beobachten muss, lange war der Rechner seit den Tools nicht an). Wie steht es denn um meinen Rechner?

Gruß
Thomas

Hier das Log von Combofix:

Code:

ATTFilter

ComboFix 09-11-22.08 - ToBa 23.11.2009 21:23.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.3070.2565 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\ToBa\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\tmp84.tmp
c:\windows\system32\tmp85.tmp

.
(((((((((((((((((((((((   Dateien erstellt von 2009-10-23 bis 2009-11-23  ))))))))))))))))))))))))))))))
.

2009-11-23 08:21 . 2009-11-23 08:24	--------	d-----w-	C:\Lop SD
2009-11-22 23:40 . 2009-11-22 23:40	--------	d-----w-	C:\rsit
2009-11-22 19:59 . 2009-11-22 19:59	--------	d-----w-	c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Malwarebytes
2009-11-22 19:59 . 2009-09-10 13:54	38224	----a-w-	c:\windows\system32\drivers\mbamswissarmy.sys
2009-11-22 19:59 . 2009-11-22 19:59	--------	d-----w-	c:\programme\Malwarebytes' Anti-Malware
2009-11-22 19:59 . 2009-11-22 19:59	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-11-22 19:59 . 2009-09-10 13:53	19160	----a-w-	c:\windows\system32\drivers\mbam.sys
2009-11-22 19:43 . 2009-11-22 19:43	--------	d-----w-	c:\programme\CCleaner
2009-11-21 22:34 . 2009-11-21 22:34	--------	d-----w-	c:\programme\TC Electronic
2009-11-15 14:15 . 2009-11-15 14:15	--------	d-----w-	c:\programme\Trend Micro

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-11-22 13:30 . 2008-11-25 15:33	1	----a-w-	c:\dokumente und einstellungen\ToBa\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2009-11-21 22:40 . 2007-02-24 15:24	--------	d-----w-	c:\programme\VSTPlugins
2009-11-21 16:01 . 2007-02-08 19:19	--------	d-----w-	c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Ableton
2009-11-21 15:57 . 2007-02-08 19:19	--------	d-----w-	c:\programme\Ableton
2009-11-14 17:13 . 2009-09-10 21:59	48	----a-w-	c:\windows\popcinfot.dat
2009-11-11 23:54 . 2009-02-24 11:27	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2009-11-08 17:50 . 2007-01-29 19:49	--------	d-----w-	c:\programme\Mozilla Thunderbird
2009-11-08 13:47 . 2009-05-22 22:18	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Team MediaPortal
2009-11-08 13:47 . 2009-05-22 22:17	--------	d-----w-	c:\programme\Team MediaPortal
2009-11-08 13:27 . 2006-12-17 14:07	--------	d-----w-	c:\programme\WinAce
2009-10-17 12:41 . 2001-08-18 12:00	99674	----a-w-	c:\windows\system32\perfc007.dat
2009-10-17 12:41 . 2001-08-18 12:00	498730	----a-w-	c:\windows\system32\perfh007.dat
2009-10-17 12:37 . 2009-05-22 22:17	--------	d-----w-	c:\programme\Microsoft SQL Server
2009-10-08 17:22 . 2006-12-17 16:39	--------	d-----w-	c:\programme\Java
2009-10-08 17:21 . 2009-10-08 17:21	152576	----a-w-	c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Sun\Java\jre1.6.0_15\lzma.dll
2009-10-07 17:10 . 2006-12-30 22:09	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Teleca
2009-10-07 17:10 . 2006-12-30 22:09	--------	d-----w-	c:\programme\Gemeinsame Dateien\Teleca Shared
2009-10-05 19:27 . 2009-10-05 19:27	--------	d-----w-	c:\programme\Atari
2009-10-04 21:50 . 2006-12-16 23:42	107888	----a-w-	c:\windows\system32\CmdLineExt.dll
2009-10-04 21:46 . 2009-10-04 21:46	--------	dc-h--w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\{0691F710-1ECA-4B5A-9727-25554F1BFDC6}
2009-10-02 11:54 . 2009-10-02 11:54	--------	d-----w-	c:\programme\Microsoft
2009-10-02 11:54 . 2009-10-02 11:53	--------	d-----w-	c:\programme\Windows Live
2009-10-02 11:54 . 2009-10-02 11:54	--------	d-----w-	c:\programme\Windows Live SkyDrive
2009-10-02 11:52 . 2009-10-02 11:52	--------	d-----w-	c:\programme\Gemeinsame Dateien\Windows Live
2009-09-23 17:46 . 2009-09-23 17:46	35748	---ha-w-	c:\windows\system32\mlfcache.dat
2009-09-11 14:17 . 2004-08-03 22:57	136192	----a-w-	c:\windows\system32\msv1_0.dll
2009-09-08 19:43 . 2009-09-08 19:43	79144	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.0.0.70\SetupAdmin.exe
2009-09-04 21:03 . 2004-08-03 22:57	58880	----a-w-	c:\windows\system32\msasn1.dll
2009-08-29 07:54 . 2004-08-03 22:57	916480	----a-w-	c:\windows\system32\wininet.dll
2009-08-28 17:42 . 2009-09-22 17:27	40448	----a-w-	c:\windows\system32\drivers\usbaapl.sys
2009-08-28 17:42 . 2009-09-22 17:27	2065696	----a-w-	c:\windows\system32\usbaaplrc.dll
2009-08-26 08:00 . 2004-08-03 22:57	247326	----a-w-	c:\windows\system32\strmdll.dll
2008-09-30 16:09 . 2008-09-30 16:09	135427055	----a-w-	c:\programme\openofficeorg1.cab
2008-09-30 15:48 . 2008-09-30 15:48	217	----a-w-	c:\programme\setup.ini
2008-09-30 15:48 . 2008-09-30 15:48	9776640	----a-w-	c:\programme\openofficeorg30.msi
2002-03-11 09:06 . 2002-03-11 09:06	1822520	----a-w-	c:\programme\instmsiw.exe
2002-03-11 08:45 . 2002-03-11 08:45	1708856	----a-w-	c:\programme\instmsia.exe
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Google Update"="c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe" [2008-09-03 133104]
"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"DAEMON Tools"="c:\programme\DAEMON Tools\daemon.exe" [2005-11-08 128920]
"NeroFilterCheck"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe" [2006-01-12 155648]
"Easy-PrintToolBox"="c:\programme\Canon\Easy-PrintToolBox\BJPSMAIN.EXE" [2004-01-14 409600]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-12-05 8523776]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-12-05 81920]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"Start WingMan Profiler"="c:\programme\Logitech\Gaming Software\LWEMon.exe" [2007-09-25 93208]
"M-Audio Taskbar Icon"="c:\windows\System32\M-AudioTaskBarIcon.exe" [2008-05-15 356864]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-09-04 417792]
"iTunesHelper"="d:\programme\iTunes\iTunesHelper.exe" [2009-09-08 305440]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-07-25 149280]
" Malwarebytes Anti-Malware  (reboot)"="c:\programme\Malwarebytes' Anti-Malware\mbam.exe" [2009-09-10 1312080]
"SkyTel"="SkyTel.EXE" - c:\windows\SkyTel.exe [2006-05-16 2879488]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2006-11-14 16270848]
"nwiz"="nwiz.exe" - c:\windows\system32\nwiz.exe [2007-12-05 1626112]

c:\dokumente und einstellungen\ToBa\Startmen\Programme\Autostart\
Adobe Gamma.lnk - c:\programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe [2005-3-16 113664]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
AVer HID Receiver.lnk - c:\programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerHIDReceiver.exe [2009-4-20 159744]
AVerQuick.lnk - c:\programme\Gemeinsame Dateien\AVerMedia\AVerQuick\AVerQuick.exe [2009-4-20 663552]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]
@="Driver"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Miranda IM\\miranda32.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\eMule\\emule.exe"=
"c:\\Programme\\Hamachi\\hamachi.exe"=
"d:\\webserver\\apache\\bin\\httpd.exe"=
"d:\\Programme\\Azureus\\Azureus.exe"=
"d:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=
"d:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=
"c:\\WINDOWS\\system32\\PnkBstrA.exe"=
"c:\\WINDOWS\\system32\\PnkBstrB.exe"=
"d:\\Programme\\Codemasters\\GRID\\GRID.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx9.exe"=
"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Dx10.exe"=
"d:\\Programme\\Ubisoft\\Assassin's Creed\\AssassinsCreed_Launcher.exe"=
"c:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=
"d:\\Programme\\Ubisoft\\Funatics\\Die Siedler II - Die nächste Generation\\bin\\s2dng_addon.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"d:\\Programme\\Steam\\steamapps\\common\\peggle extreme\\PeggleExtreme.exe"=
"d:\\Programme\\Steam\\steamapps\\common\\world of goo\\WorldOfGoo.exe"=
"d:\\Programme\\Steam\\steamapps\\common\\plants vs zombies\\PlantsVsZombies.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"d:\\Programme\\iTunes\\iTunes.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [22.03.2009 17:15 108289]
R2 AVerRemote;AVerRemote;c:\programme\Gemeinsame Dateien\AVerMedia\Service\AVerRemote.exe [20.04.2009 20:36 352256]
R2 AVerScheduleService;AVerScheduleService;c:\programme\Gemeinsame Dateien\AVerMedia\Service\AVerScheduleService.exe [20.04.2009 20:36 409600]
R3 MAUSBFT;Service for M-Audio Fast Track USB (WDM);c:\windows\system32\drivers\mausbft.sys [28.06.2009 14:51 132096]
S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [16.12.2006 23:56 664064]
S3 androidusb;ADB Interface Driver;c:\windows\system32\Drivers\androidusb.sys --> c:\windows\system32\Drivers\androidusb.sys [?]
S3 Apache2.2;Apache2.2;d:\webserver\apache\bin\httpd.exe [09.01.2007 22:17 20539]
S3 AVerAF15DMBTH;AVerMedia A850 USB;c:\windows\system32\drivers\AVerAF15DMBTH.sys [20.04.2009 20:37 293120]
S3 HTCAND32;HTC Device Driver;c:\windows\system32\Drivers\ANDROIDUSB.sys --> c:\windows\system32\Drivers\ANDROIDUSB.sys [?]
S3 MA763010;M-Audio Fast Track;c:\windows\system32\drivers\MA763010.sys [16.06.2009 20:32 30848]
S3 s3017bus;Sony Ericsson Device 3017 driver (WDM);c:\windows\system32\drivers\s3017bus.sys [07.12.2008 15:52 83880]
S3 s3017mdfl;Sony Ericsson Device 3017 USB WMC Modem Filter;c:\windows\system32\drivers\s3017mdfl.sys [07.12.2008 15:53 15016]
S3 s3017mdm;Sony Ericsson Device 3017 USB WMC Modem Driver;c:\windows\system32\drivers\s3017mdm.sys [07.12.2008 15:53 110632]
S3 s3017mgmt;Sony Ericsson Device 3017 USB WMC Device Management Drivers (WDM);c:\windows\system32\drivers\s3017mgmt.sys [07.12.2008 15:57 104616]
S3 s3017nd5;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (NDIS);c:\windows\system32\drivers\s3017nd5.sys [07.12.2008 16:01 25512]
S3 s3017obex;Sony Ericsson Device 3017 USB WMC OBEX Interface;c:\windows\system32\drivers\s3017obex.sys [07.12.2008 15:54 100648]
S3 s3017unic;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (WDM);c:\windows\system32\drivers\s3017unic.sys [07.12.2008 15:58 110120]
S3 zlportio;zlportio;\??\d:\eigene dateien\Downloads\ultrastar-dx-100\zlportio.sys --> d:\eigene dateien\Downloads\ultrastar-dx-100\zlportio.sys [?]
.
Inhalt des "geplante Tasks" Ordners

2009-11-04 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003Core.job
- c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2008-09-03 00:20]

2009-11-23 c:\windows\Tasks\GoogleUpdateTaskUserS-1-5-21-776561741-1425521274-682003330-1003UA.job
- c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe [2008-09-03 00:20]
.
.
------- Zusätzlicher Suchlauf -------
.
uInternet Settings,ProxyOverride = *.local
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
IE: Easy-WebPrint - Drucken - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_Print.html
IE: Easy-WebPrint - Schnelldruck - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_HSPrint.html
IE: Easy-WebPrint - Vorschau - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_Preview.html
IE: Easy-WebPrint - Zu Druckliste hinzufügen - c:\programme\Canon\Easy-WebPrint\Toolband.dll/RC_AddToList.html
IE: Nach Microsoft E&xel exportieren - c:\progra~1\MICROS~2\Office12\EXCEL.EXE/3000
FF - ProfilePath - c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Mozilla\Firefox\Profiles\h9gzpjht.default\
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\id Software\QuakeLive\npquakezero.dll
FF - plugin: c:\dokumente und einstellungen\ToBa\Anwendungsdaten\Mozilla\Firefox\Profiles\h9gzpjht.default\extensions\battlefieldheroespatcher@ea.com\platform\WINNT_x86-msvc\plugins\npBFHUpdater.dll
FF - plugin: c:\dokumente und einstellungen\ToBa\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.2.183.13\npGoogleOneClick8.dll
FF - plugin: c:\programme\Google\Picasa3\npPicasa3.dll
FF - plugin: d:\programme\iTunes\Mozilla Plugins\npitunes.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl3.rsa_seed_sha", true);
.

**************************************************************************
Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MySQL]
"ImagePath"="\"d:\webserver\mysql\bin\mysqld-nt\" --defaults-file=\"d:\webserver\mysql\my.ini\" MySQL"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-776561741-1425521274-682003330-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:5e,d4,27,50,d7,20,3f,b9,8b,23,85,52,6e,1d,ee,05,cb,9d,85,cd,b9,c6,e0,
   87,ac,a6,26,e2,15,e7,d2,e9,7b,51,41,82,e2,2a,8b,84,42,25,b0,ed,a0,c5,9d,4c,\
"??"=hex:e2,06,90,c3,a9,ab,f7,ca,1c,f7,63,d7,3e,f2,89,5d

[HKEY_USERS\S-1-5-21-776561741-1425521274-682003330-1003\Software\SecuROM\License information*]
"datasecu"=hex:aa,08,40,d2,c3,da,74,15,f9,29,8d,88,82,6d,a6,f1,68,f4,4a,55,dd,
   67,e7,f6,ea,55,85,75,d5,32,e8,fa,80,e6,81,53,9d,de,5d,f0,d8,37,e4,e2,cf,44,\
"rkeysecu"=hex:aa,97,81,e1,d8,5e,7c,41,07,25,69,f8,a8,2e,cf,7f
.
Zeit der Fertigstellung: 2009-11-23 21:28
ComboFix-quarantined-files.txt  2009-11-23 20:27

Vor Suchlauf: 9 Verzeichnis(se), 16.622.424.064 Bytes frei
Nach Suchlauf: 13 Verzeichnis(se), 17.701.457.920 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - 64DE4BFC29CCC5232A35B582489F3593

cosinus · 24.11.2009, 12:55

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Code:

ATTFilter

KILLALL::

Folder::
c:\Programme\eMule
d:\Programme\Azureus

File::
c:\windows\popcinfot.dat

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die ComboFix.exe (oder eben cofi.exe), so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

toba303 · 24.11.2009, 21:36

Hi,

hier ist das Log. http://www.file-upload.net/download-2034869/cofilog.txt.html

Wie siehts aus?

toba303 · 24.11.2009, 21:54

Gerade eben ratterte hier die Festplatte und Avira meldete den Trojaner TR\Trash.Gen irgendwo in Ordner C:\System Volume Information.

cosinus · 25.11.2009, 11:32

Das Cofilog sieht soweit ok aus.

Zitat:

Trojaner TR\Trash.Gen irgendwo in Ordner C:\System Volume Information.

Trash/Gen = Sowas meldet AntiVir bei "defekten" Schädlingen, solchen Dateien bei den Malwarebytes oder ein anderer Virenscanner die Dateien so verändert hat, dasss sie keinen wirklichen Schaden mehr anrichten können.

System Volume Information = Ort für die Dateien der Systemwiederherstellung. Du kannst sie deaktivieren, dann sind die Meldungen weg, aber auch alle bisher angelegten Wiederherstellungspunkte gelöscht.

Wie ist es sonst um Deinen Rechner bestellt?

toba303 · 25.11.2009, 12:53

Hi Arne,

Der IE ist an den letzten zwei Abenden nicht mehr aufgetaucht (der PC lief jeweils 3-4 Stunden) und die verdächtigen Prozesse (b.exe, msb.exe, msa.exe) tauchen auch nicht mehr auf.

Also abgesehen von den harmlosen Trash.Gen-Meldungen würde ich sagen, dass alles ok ist.

Vielen vielen Dank für deine Hilfe. Ich muss ehrlich sagen, dass ich beeindruckt bin von dem Service hier. Ich verstehe zwar noch nicht, warum ihr euch hier die Mühe macht, Leuten wie mir zu helfen, bin aber sehr dankbar, dass ihr es tut. Und ich würde mich gerne irgendwie revanchieren. Gibts hier irgendwo einen Spenden-Button oder eine anderen Möglichkeit euch zu unterstützen?

cosinus · 25.11.2009, 12:54

Zitat:

Zitat von toba303

Und ich würde mich gerne irgendwie revanchieren. Gibts hier irgendwo einen Spenden-Button oder eine anderen Möglichkeit euch zu unterstützen?

Kann ich Dir meine Bankverbindung per PN schicken?!

toba303 · 25.11.2009, 12:59

Probier es aus

Aber, in anbetracht der Jahreszeit ist vielleicht der Link zur Amazon-Wunschliste angemessener.

cosinus · 25.11.2009, 13:03

Wieso, Du musst mir doch nicht viel überweisen!?

Ein kleiner dreistelliger Betrag und ich bin zufrieden!

23.11.2009, 08:59	#4
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner TR/BOHLamp unter Windows XP Lade dir Lop S&D herunter. Führe Lop S&D.exe per Doppelklick aus. Wähle die Sprache deiner Wahl und anschließend die Option 1. Warte bis der Scanbericht erstellt wird und poste ihn hier (Du findest ihn unter C:\lopR.txt, sollte der Bericht nicht erscheinen). __________________ Logfiles bitte immer in CODE-Tags posten

25.11.2009, 13:03	#15
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Trojaner TR/BOHLamp unter Windows XP Wieso, Du musst mir doch nicht viel überweisen!? Ein kleiner dreistelliger Betrag und ich bin zufrieden! __________________ Logfiles bitte immer in CODE-Tags posten

Trojaner TR/BOHLamp unter Windows XP

Log-Analyse und Auswertung: Trojaner TR/BOHLamp unter Windows XP