Hallo zusammen,

ich habe seit kurzer Zeit Probleme mit meinem Rechner. Anscheinend habe ich mir einen Virus eigefangen. Ich habe bereits den Thread "Trojaner entfernen (TR/Downloader.Gen, TR/Agent.job)" gelesen. Die dort beschriebene Lösung kann ich nicht durchführen, weil ich nicht in den abgesicherten Modus komme.

Hier was ich beobachte:
- Im normale Betrieb meldet der Antivir Guard etwa alle 10 Minute eine Fund: C:\Widows\Temp\****.tmp\svchost.exe
ist das trojanische Pferd TR/Downloader.Gen
(**** sind vier beliebige Buchstaben z.B. 'wkoi')

- wenn ich eine vollständige Systemprüfung mit Antivi mache schaltet sich der Computer nach etwa 10 min von alleine aus. Ein Scan der auf die Windows Systemverzeichnisse beschränkt ist läuft ohne Fund durch.

- Malwarebytes Anti Malware läuft ebenfalls ohne Fund durch

- wenn ich versuche im abgesicherten Modus zu starten kommt ein Bluesscreen. Im normalen Modus gab es noch keinen Bluescreen.

Zu meinem System:
- Sony Vaio VGN-CR 21s Laptop mit Windows XP SP3
- Hardware wurde noch nie geändert. System lief bis vor kurzem immer völlig normal
- Als Virenschutz habe ich nur den AntiVir Guard

Logs:

- HijackThis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:22:10, on 06.12.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Dropbox\bin\Dropbox.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Matrox Graphics Inc\PowerDesk SE\Matrox.PowerDesk.Services.exe
C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\M-Audio\Transit\Install\TUSBInst.exe
C:\Programme\Malwarebytes' Anti-Malware\mbam.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
c:\programme\avira\antivir desktop\avcenter.exe
c:\programme\avira\antivir desktop\avscan.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Matrox PowerDesk SE] "C:\Programme\Matrox Graphics Inc\PowerDesk SE\Matrox.PowerDesk SE.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - Startup: Dropbox.lnk = C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Dropbox\bin\Dropbox.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: SW Distributed TS Coordinator Service (CoordinatorServiceHost) - Dassault Systèmes SolidWorks Corp. - D:\Projekte\CAD\SolidWorks\SolidWorks\swScheduler\DTSCoordinatorService.exe
O23 - Service: Cisco Systems, Inc. VPN Service (CVPND) - Cisco Systems, Inc. - C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: Matrox Centering Service - Unknown owner - C:\Programme\Matrox Graphics Inc\PowerDesk SE\Matrox.PowerDesk.Services.exe
O23 - Service: NIHardwareService - Native Instruments GmbH - C:\Programme\Gemeinsame Dateien\Native Instruments\Hardware\NIHardwareService.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation  - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: M-Audio Transit Installer (TransitInstallerService) - M-Audio - C:\Programme\M-Audio\Transit\Install\TUSBInst.exe

--
End of file - 3216 bytes
         

- Malwarebytes Anti-Malware

Malwarebytes' Anti-Malware 1.41
Datenbank Version: 3168
Windows 5.1.2600 Service Pack 3

06.12.2009 14:17:09
mbam-log-2009-12-06 (14-17-09).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 106426
Laufzeit: 3 minute(s), 14 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)
         

-Antivir "Windows Systemverzeichnisse durchsuchen"

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 6. Dezember 2009  14:20

Es wird nach 1417505 Virenstämmen gesucht.

Lizenznehmer   : Avira AntiVir Personal - FREE Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : Admin
Computername   : IRIEMOBIL

Versionsinformationen:
BUILD.DAT      : 9.0.0.415     21609 Bytes  08.11.2009 09:55:00
AVSCAN.EXE     : 9.0.3.10     466689 Bytes  19.11.2009 21:56:22
AVSCAN.DLL     : 9.0.3.0       49409 Bytes  13.02.2009 11:04:10
LUKE.DLL       : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0       13569 Bytes  26.01.2009 09:41:59
VBASE000.VDF   : 7.10.0.0   19875328 Bytes  06.11.2009 21:56:22
VBASE001.VDF   : 7.10.1.0    1372672 Bytes  19.11.2009 21:56:22
VBASE002.VDF   : 7.10.1.1       2048 Bytes  19.11.2009 21:56:22
VBASE003.VDF   : 7.10.1.2       2048 Bytes  19.11.2009 21:56:22
VBASE004.VDF   : 7.10.1.3       2048 Bytes  19.11.2009 21:56:22
VBASE005.VDF   : 7.10.1.4       2048 Bytes  19.11.2009 21:56:22
VBASE006.VDF   : 7.10.1.5       2048 Bytes  19.11.2009 21:56:22
VBASE007.VDF   : 7.10.1.6       2048 Bytes  19.11.2009 21:56:22
VBASE008.VDF   : 7.10.1.7       2048 Bytes  19.11.2009 21:56:22
VBASE009.VDF   : 7.10.1.8       2048 Bytes  19.11.2009 21:56:22
VBASE010.VDF   : 7.10.1.9       2048 Bytes  19.11.2009 21:56:22
VBASE011.VDF   : 7.10.1.10      2048 Bytes  19.11.2009 21:56:22
VBASE012.VDF   : 7.10.1.11      2048 Bytes  19.11.2009 21:56:22
VBASE013.VDF   : 7.10.1.79    209920 Bytes  25.11.2009 21:55:45
VBASE014.VDF   : 7.10.1.128    197632 Bytes  30.11.2009 15:41:53
VBASE015.VDF   : 7.10.1.129      2048 Bytes  30.11.2009 15:41:53
VBASE016.VDF   : 7.10.1.130      2048 Bytes  30.11.2009 15:41:54
VBASE017.VDF   : 7.10.1.131      2048 Bytes  30.11.2009 15:41:54
VBASE018.VDF   : 7.10.1.132      2048 Bytes  30.11.2009 15:41:54
VBASE019.VDF   : 7.10.1.133      2048 Bytes  30.11.2009 15:41:54
VBASE020.VDF   : 7.10.1.134      2048 Bytes  30.11.2009 15:41:54
VBASE021.VDF   : 7.10.1.135      2048 Bytes  30.11.2009 15:41:54
VBASE022.VDF   : 7.10.1.136      2048 Bytes  30.11.2009 15:41:54
VBASE023.VDF   : 7.10.1.137      2048 Bytes  30.11.2009 15:41:54
VBASE024.VDF   : 7.10.1.138      2048 Bytes  30.11.2009 15:41:54
VBASE025.VDF   : 7.10.1.139      2048 Bytes  30.11.2009 15:41:54
VBASE026.VDF   : 7.10.1.140      2048 Bytes  30.11.2009 15:41:54
VBASE027.VDF   : 7.10.1.141      2048 Bytes  30.11.2009 15:41:54
VBASE028.VDF   : 7.10.1.142      2048 Bytes  30.11.2009 15:41:54
VBASE029.VDF   : 7.10.1.143      2048 Bytes  30.11.2009 15:41:54
VBASE030.VDF   : 7.10.1.144      2048 Bytes  30.11.2009 15:41:54
VBASE031.VDF   : 7.10.1.169    148992 Bytes  04.12.2009 17:56:43
Engineversion  : 8.2.1.92 
AEVDF.DLL      : 8.1.1.2      106867 Bytes  01.10.2009 08:26:20
AESCRIPT.DLL   : 8.1.2.45     586108 Bytes  17.11.2009 20:33:50
AESCN.DLL      : 8.1.2.5      127346 Bytes  01.10.2009 08:26:11
AESBX.DLL      : 8.1.1.1      246132 Bytes  19.11.2009 21:56:22
AERDL.DLL      : 8.1.3.4      479605 Bytes  01.12.2009 15:41:57
AEPACK.DLL     : 8.2.0.3      422261 Bytes  08.11.2009 03:50:01
AEOFFICE.DLL   : 8.1.0.38     196987 Bytes  23.07.2009 08:59:39
AEHEUR.DLL     : 8.1.0.184   2146681 Bytes  01.12.2009 15:41:57
AEHELP.DLL     : 8.1.7.5      237942 Bytes  25.11.2009 21:55:46
AEGEN.DLL      : 8.1.1.78     364917 Bytes  25.11.2009 21:55:46
AEEMU.DLL      : 8.1.1.0      393587 Bytes  05.10.2009 21:15:52
AECORE.DLL     : 8.1.8.5      180598 Bytes  02.12.2009 15:41:57
AEBB.DLL       : 8.1.0.3       53618 Bytes  09.10.2008 13:32:40
AVWINLL.DLL    : 9.0.0.3       18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL     : 9.0.3.0       44289 Bytes  02.10.2009 13:33:38
AVREP.DLL      : 8.0.0.3      155905 Bytes  20.01.2009 13:34:28
AVREG.DLL      : 9.0.0.0       36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL     : 9.0.0.3      292609 Bytes  24.03.2009 14:05:37
AVEVTLOG.DLL   : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0       11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.25    2438913 Bytes  15.05.2009 14:35:17
RCTEXT.DLL     : 9.0.73.0      87297 Bytes  19.11.2009 21:56:22

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Windows Systemverzeichnis
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysdir.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, 
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: aus
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Intelligente Dateiauswahl
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Sonntag, 6. Dezember 2009  14:20

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iexplore.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HijackThis.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbam.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TUSBInst.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'NIHardwareService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Matrox.PowerDesk.Services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Dropbox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'SynTPEnh.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '35' Prozesse mit '35' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD2
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '42' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\WINDOWS\system32'


Ende des Suchlaufs: Sonntag, 6. Dezember 2009  14:21
Benötigte Zeit: 01:05 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

    371 Verzeichnisse wurden überprüft
  21513 Dateien wurden geprüft
      0 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
  21513 Dateien ohne Befall
     30 Archive wurden durchsucht
      0 Warnungen
      0 Hinweise
         

Normalerweise würde ich einfach mein Backup eispielen. Leider muss ich bis Ende nächster Woche eine Studienarbeit fertig machen und bin zu sehr im Zeitdruck. Die Programme die ich dafür brauche sind natürlich dummerweise noch nicht im Image enthalten...

Vielen Dank schomal für eure Hilfe!
Gruß, Pascal

Hallo und

06.12.2009 14:17:09
mbam-log-2009-12-06 (14-17-09).txt

Scan-Methode: Quick-Scan

Warum nur Quick-Scan? Mach bitte einen Durchlauf mit vollständigem Scan und aktuellen Signaturen. Erstell auch mit RSIT Logfiles.

Die Logfiles bitte alle in eine Datei zippen und auf File-Upload.net hochladen und hier verlinken, denn 1. sind manche Logfiles fürs Board zu groß und 2. kann ich mit einem Klick mir gleich alle auf einmal runterladen.