C:\Windows\System 32\rtlb.exe von Trojan Remover erkannt und weitere Probleme.

Robin-1712

Hallo zusammen!

Ich habe seit einigen Tagen mehrere Probleme mit meinem Laptop.
Und zwar kamen zunächst in Sekunden-Abständen Viren-Meldungen von AntiVir für Dateien aus dem Windows-Temp Ordner. Diese waren immer in verschiedenen Ordnern, welcher sich anscheinend nach dem Löschen selber neu erstellt hat (jeweils mit einem anderen Namen (immer 4 Buchstaben)).
Dieses Problem habe ich mittlerweile mit mehreren Anti-Virus und -Malware Programmen in den Griff bekommen.

Ein weiteres Problem ist, dass der Prozess iexplore.exe beim Systemstart zwei mal im Taskmanager aufgelistet ist (ich nutze jedoch ausschließlich Firefox). Wenn ich den Prozess schließe, kommt er nach einiger Zeit wieder. Das merke ich immer dann, wenn ich plötzlich eine Stimme höre (nehme an aus irgendeinem vom Internet Explorer geöffneten Video, es hört sich nämlich nach einer Art Werbung an).
Lösungsvorschläge aus anderen Threads haben bei mir leider nicht funktioniert.
Nachdem ich eben den Trojan Remover installiert und geöffnen habe, zeigt mir dieser beim Scan an, dass die Datei chrome.exe vom Internet Explorer geöffnet wird. Demnach habe ich die Empfohlene "Behandlung" durchgeführt.
Hoffe, dieses Problem ist damit erledigt.

Was mir nun Sorgen bereitet ist, dass Trojan Remover mir meldet, dass die Datei rtlb.exe (in C:\Windows\system32\rtlb.exe) als "Debugger" für Userinit.exe festgelegt ist.
Ich weiß nicht was ich als weiteres Vorgehen auswählen soll, denn irgendwelche System-Dateien möchte ich ungern einfach löschen. Soll ich die Warnung deswegen aber einfach ignorieren?

Ich hoffe Ihr könnt mir weiterhelfen.

Anbei noch eine HijackThis Log-Datei (vielleicht entdeckt Ihr darin auch noch irgendwas interessantes).

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 21:27:52, on 28.11.2009
Platform: Windows Vista SP2 (WinNT 6.00.1906)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\Windows\system32\taskeng.exe
P:\TuneUpUtilities\TuneUpUtilitiesApp32.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe
C:\Program Files\UltraMon\UltraMon.exe
C:\Program Files\UltraMon\UltraMonTaskbar.exe
C:\Program Files\Windows Media Player\wmpnscfg.exe
C:\Windows\system32\ctfmon.exe
C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
P:\iTunes\iTunes.exe
P:\HijackThis\HijackThis.exe
P:\Malwarebytes' Anti-Malware\mbam.exe
C:\Program Files\Mozilla Firefox\firefox.exe
P:\Trojan Remover\Rmvtrjan.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page =
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,CustomizeSearch =
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page =
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R0 - HKCU\Software\Microsoft\Internet Explorer\Toolbar,LinksFolderName =
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - P:\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files\Java\jre6\bin\jp2ssv.dll
O4 - HKLM\..\Run: [Windows Defender] %ProgramFiles%\Windows Defender\MSASCui.exe -hide
O4 - HKLM\..\Run: [avgnt] "C:\Program Files\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [VirtualCloneDrive] "C:\Program Files\Elaborate Bytes\VirtualCloneDrive\VCDDaemon.exe" /s
O4 - HKLM\..\Run: [SBCSTray] P:\CounterSpy\SBCSTray.exe
O4 - HKLM\..\Run: [TrojanScanner] P:\Trojan Remover\Trjscan.exe /boot
O4 - HKUS\S-1-5-19\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-19\..\Run: [WindowsWelcomeCenter] rundll32.exe oobefldr.dll,ShowWelcomeCenter (User 'LOCAL SERVICE')
O4 - HKUS\S-1-5-20\..\Run: [Sidebar] %ProgramFiles%\Windows Sidebar\Sidebar.exe /detectMem (User 'NETWORK SERVICE')
O4 - Startup: Microsoft Office Outlook 2007.lnk = C:\Program Files\Microsoft Office\Office12\OUTLOOK.EXE
O4 - Global Startup: UltraMon.lnk = ?
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\Windows\system32\GPhotos.scr/200
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - P:\ICQ6.5\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - P:\ICQ6.5\ICQ.exe
O13 - Gopher Prefix:
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - h**p://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\COMMON~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Program Files\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Program Files\Common Files\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Program Files\Bonjour\mDNSResponder.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Program Files\Common Files\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Inc. - C:\Program Files\iPod\bin\iPodService.exe
O23 - Service: Lavasoft Ad-Aware Service - Lavasoft - C:\Program Files\Lavasoft\Ad-Aware\AAWService.exe
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\Windows\system32\nvvsvc.exe
O23 - Service: Sunbelt CounterSpy Antispyware (SBCSSvc) - Sunbelt Software - P:\CounterSpy\SBCSSvc.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - P:\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - P:\Spyware Doctor\pctsSvc.exe
O23 - Service: Steam Client Service - Valve Corporation - C:\Program Files\Common Files\Steam\SteamService.exe
O23 - Service: TeamViewer 4 (TeamViewer4) - TeamViewer GmbH - C:\Program Files\TeamViewer\Version4\TeamViewer_Service.exe
O23 - Service: @P:\TuneUpUtilities\TuneUpDefragService.exe,-1 (TuneUp.Defrag) - TuneUp Software - P:\TuneUpUtilities\TuneUpDefragService.exe
O23 - Service: @%SystemRoot%\System32\TUProgSt.exe,-1 (TuneUp.ProgramStatisticsSvc) - TuneUp Software - C:\Windows\System32\TUProgSt.exe
O23 - Service: TuneUp Utilities Service (TuneUp.UtilitiesSvc) - TuneUp Software - P:\TuneUpUtilities\TuneUpUtilitiesService32.exe

--
End of file - 5830 bytes

Vielen Dank schonmal für Eure Hilfe!






EDIT: Jetzt ist auch der Scan von Malwarebytes`Anti-Malware abgeschlossen.

Hier die Log-Datei:

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3251
Windows 6.0.6002 Service Pack 2

28.11.2009 21:39:43
mbam-log-2009-11-28 (21-39-29).txt

Scan-Methode: Vollständiger Scan (C:\|G:\|P:\|S:\|)
Durchsuchte Objekte: 284356
Laufzeit: 1 hour(s), 59 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 10
Infizierte Registrierungswerte: 1
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\TypeLib\{497dddb6-6eee-4561-9621-b77dc82c1f84} (Rogue.Ascentive) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{4e980492-027b-47f1-a7ab-ab086dacbb9e} (Rogue.Ascentive) -> No action taken.
HKEY_CLASSES_ROOT\Interface\{5ead8321-fcbb-4c3f-888c-ac373d366c3f} (Rogue.Ascentive) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{31f3cf6e-a71a-4daa-852b-39ac230940b4} (Rogue.Ascentive) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\chrome.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\safari.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\navigator.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\opera.exe (Security.Hijack) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\Userinit.exe (Security.Hijack) -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Cerberus (Backdoor.Trace) -> No action taken.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs\C:\Windows\System32\SysRestore.dll (Rogue.Ascentive) -> No action taken.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Windows\System32\SysRestore.dll (Rogue.Ascentive) -> No action taken.








EDIT: Auswertung der Datei rtlb.exe von VirusTotal:

Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.43 2009.11.28 Trojan.Win32.Inject!IK
AhnLab-V3 5.0.0.2 2009.11.28 -
AntiVir 7.9.1.79 2009.11.27 -
Antiy-AVL 2.0.3.7 2009.11.27 -
Authentium 5.2.0.5 2009.11.28 -
Avast 4.8.1351.0 2009.11.28 -
AVG 8.5.0.426 2009.11.28 -
BitDefender 7.2 2009.11.28 Trojan.Generic.CJ.AFGE
CAT-QuickHeal 10.00 2009.11.28 -
ClamAV 0.94.1 2009.11.28 -
Comodo 3069 2009.11.28 TrojWare.Win32.Trojan.Agent.Gen
DrWeb 5.0.0.12182 2009.11.28 -
eSafe 7.0.17.0 2009.11.26 -
eTrust-Vet 35.1.7146 2009.11.27 -
F-Prot 4.5.1.85 2009.11.28 -
F-Secure 9.0.15370.0 2009.11.24 Suspicious:W32/Malware!Gemini
Fortinet 4.0.14.0 2009.11.28 W32/Inject.ALTA!tr
GData 19 2009.11.28 Trojan.Generic.CJ.AFGE
Ikarus T3.1.1.74.0 2009.11.28 Trojan.Win32.Inject
Jiangmin 11.0.800 2009.11.28 -
K7AntiVirus 7.10.906 2009.11.27 -
Kaspersky 7.0.0.125 2009.11.28 Trojan.Win32.Inject.alta
McAfee 5816 2009.11.28 -
McAfee+Artemis 5816 2009.11.28 Artemis!E00306F161BF
McAfee-GW-Edition 6.8.5 2009.11.28 -
Microsoft 1.5302 2009.11.28 TrojanSpy:Win32/Bebloh.A
NOD32 4645 2009.11.28 a variant of Win32/Kryptik.AVN
Norman 6.03.02 2009.11.27 -
nProtect 2009.1.8.0 2009.11.28 -
Panda 10.0.2.2 2009.11.28 Suspicious file
PCTools 7.0.3.5 2009.11.28 -
Prevx 3.0 2009.11.28 High Risk Cloaked Malware
Rising 22.23.05.04 2009.11.28 -
Sophos 4.48.0 2009.11.28 -
Sunbelt 3.2.1858.2 2009.11.28 Trojan.Win32.Bredolab.Gen.1 (v)
Symantec 1.4.4.12 2009.11.28 -
TheHacker 6.5.0.2.081 2009.11.28 -
TrendMicro 9.100.0.1001 2009.11.28 -
VBA32 3.12.12.0 2009.11.28 -
ViRobot 2009.11.28.2060 2009.11.28 -
VirusBuster 5.0.21.0 2009.11.28 -
weitere Informationen
File size: 74752 bytes
MD5...: e00306f161bf133b35a1dc8687b9be82
SHA1..: 0bc7b730a8e95e0dbecda612ed68742559dac5f8
SHA256: d44e672e2bc7b7f75fd6a402da2761f397fd57f3a3c1a351fe37df692c35694c
ssdeep: 1536:cpTWUOxmsTgBF5rHGLUGI/e7zQXwr1MK1FwdmJq:HUOfgBjm4ze/Qi1FFq
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x1127
timedatestamp.....: 0x41cc2e15 (Fri Dec 24 14:56:21 2004)
machinetype.......: 0x14c (I386)

( 4 sections )
name viradd virsiz rawdsiz ntrpy md5
.text 0x1000 0x3000 0x3000 4.98 21c05d94b6b02183040e9e73a86ec4b6
.data 0x4000 0x29000 0xe600 6.27 381808024982e8b1e4733bfbe46ed57d
.rdata 0x2d000 0x1000 0x400 4.22 f5389ef1b048742ba2489eb8c67e3fa8
.rsrc 0x2e000 0x1000 0x600 2.99 16e2d2588720f5379a62aaaca9430756

( 4 imports )
> ADVAPI32.DLL: CloseServiceHandle, RegOpenKeyW, AdjustTokenPrivileges, RegEnumValueW
> KERNEL32.DLL: GetModuleHandleA, LoadLibraryA, VirtualAlloc, WaitForSingleObject, VirtualAlloc, GetCommandLineW, LocalAlloc, ExitProcess
> USER32.DLL: CharNextW, GetWindowLongW, GetWindowRect, PostMessageW, CreateDialogParamW, EndDialog
> GDI32.DLL: GetObjectW, StretchBlt, LineTo, CreateBitmap, GetTextExtentPoint32W, GetTextMetricsW, CreateCompatibleBitmap

( 0 exports )
RDS...: NSRL Reference Data Set
-
pdfid.: -
trid..: Win32 Executable Generic (68.0%)
Generic Win/DOS Executable (15.9%)
DOS Executable Generic (15.9%)
Autodesk FLIC Image File (extensions: flc, fli, cel) (0.0%)
<a href='h**p://info.prevx.com/aboutprogramtext.asp?PX5=07ECA3AA00907C81240B01794466060050684C18' target='_blank'>h**p://info.prevx.com/aboutprogramtext.asp?PX5=07ECA3AA00907C81240B01794466060050684C18</a>
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned