*schmunzel* ich kann ja so vieles nicht, aber wenigstens googeln und das kompensiert heute ja so einiges

so, hier ist er:

ComboFix 10-01-04.01 - HS 06.01.2010 22:07:18.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1022.599 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\HS.MISTSTUECK\Desktop\cofi.exe
AV: AntiVir Desktop *On-access scanning enabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning disabled* (Updated) {85A28D34-FFA4-00EF-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Outdated) {00000000-0000-0000-0000-000000000000}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {85AF67F4-FFA4-00DE-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {85DC693C-FFA4-00DE-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {862ABB74-FFA4-00DE-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {86324CA4-FFA4-00DE-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {864CB2DC-FFA4-00EF-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {8654FB7C-FFA4-00DE-0D24-347CA8A3377C}
AV: Avira AntiVir PersonalEdition Classic *On-access scanning enabled* (Updated) {86638DB4-FFA4-00DE-0D24-347CA8A3377C}
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\EventSystem.log
c:\windows\system32\Ijl11.dll

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_IPRIP
-------\Service_Iprip


((((((((((((((((((((((( Dateien erstellt von 2009-12-06 bis 2010-01-06 ))))))))))))))))))))))))))))))
.

2010-01-06 12:14 . 2010-01-06 15:25 -------- d-----w- c:\programme\trend micro
2010-01-06 12:14 . 2010-01-06 12:14 -------- d-----w- C:\rsit
2010-01-06 11:46 . 2010-01-06 12:12 -------- d-----w- c:\dokumente und einstellungen\HS.MISTSTUECK\Anwendungsdaten\FreeFixer
2010-01-06 11:46 . 2010-01-06 11:46 -------- d-----w- c:\dokumente und einstellungen\HS.MISTSTUECK\Lokale Einstellungen\Anwendungsdaten\FreeFixer
2010-01-05 23:50 . 2010-01-05 23:50 -------- d--h--w- c:\windows\PIF
2010-01-05 23:11 . 2010-01-06 11:46 -------- d-----w- c:\programme\FreeFixer
2010-01-05 21:41 . 2010-01-05 21:41 -------- d-----w- c:\dokumente und einstellungen\HS.MISTSTUECK\Anwendungsdaten\Malwarebytes
2010-01-05 21:40 . 2009-12-30 13:55 38224 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-05 21:40 . 2010-01-05 21:41 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2010-01-05 21:40 . 2010-01-05 21:40 -------- d-----w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes
2010-01-03 12:35 . 2010-01-06 21:21 763904 ----a-w- c:\windows\system32\drivers\gxikoq.sys
2009-12-20 18:26 . 2010-01-06 21:21 -------- d-----w- c:\dokumente und einstellungen\HS.MISTSTUECK\Tracing
2009-12-20 18:24 . 2009-12-20 18:24 -------- d-----w- c:\programme\Microsoft
2009-12-20 18:24 . 2009-12-20 18:24 -------- d-----w- c:\programme\Windows Live SkyDrive
2009-12-20 18:23 . 2009-12-20 18:24 -------- d-----w- c:\programme\Windows Live
2009-12-20 18:18 . 2009-12-20 18:18 -------- d-----w- c:\programme\Gemeinsame Dateien\Windows Live

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-06 21:22 . 2002-08-29 12:00 82464 ----a-w- c:\windows\system32\perfc007.dat
2010-01-06 21:22 . 2002-08-29 12:00 435828 ----a-w- c:\windows\system32\perfh007.dat
2010-01-06 21:18 . 2007-09-23 00:33 -------- d-----w- c:\dokumente und einstellungen\HS.MISTSTUECK\Anwendungsdaten\TwonkyMedia
2010-01-06 20:52 . 2010-01-06 20:55 185158 ----a-w- c:\windows\pchealth\helpctr\Config\Cache\Professional_32_1031.dat
2010-01-05 20:29 . 2007-05-20 03:55 -------- d-----w- c:\programme\CCleaner
2009-12-20 18:26 . 2006-08-20 17:36 124344 ----a-w- c:\dokumente und einstellungen\HS.MISTSTUECK\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-12-08 20:29 . 2009-09-06 01:46 56816 ----a-w- c:\windows\system32\drivers\avgntflt.sys
2009-10-29 07:40 . 2002-08-29 12:00 916480 ----a-w- c:\windows\system32\wininet.dll
2009-10-24 08:44 . 2009-10-24 08:44 86148 ---ha-w- c:\windows\system32\mlfcache.dat
2009-10-24 08:25 . 2009-10-24 08:25 79144 ----a-w- c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Apple Computer\Installer Cache\iTunes 9.0.1.8\SetupAdmin.exe
2009-10-21 05:38 . 2006-08-20 22:05 25088 ----a-w- c:\windows\system32\httpapi.dll
2009-10-21 05:38 . 2006-08-20 22:05 75776 ----a-w- c:\windows\system32\strmfilt.dll
2009-10-20 16:20 . 2006-08-20 22:05 265728 ------w- c:\windows\system32\drivers\http.sys
2009-10-13 10:32 . 2002-08-29 12:00 271360 ----a-w- c:\windows\system32\oakley.dll
2009-10-12 13:38 . 2002-08-29 12:00 79872 ----a-w- c:\windows\system32\raschap.dll
2009-10-12 13:38 . 2002-08-29 12:00 150528 ----a-w- c:\windows\system32\rastls.dll
2007-10-07 02:37 . 2007-10-07 02:37 411248 ----a-w- c:\programme\FLV PlayerRCSetup.exe
2007-09-02 16:51 . 2007-09-02 16:48 51418424 ----a-w- c:\programme\iTunesSetup.exe
2007-03-29 22:35 . 2008-03-01 20:28 14240 ----a-w- c:\programme\Flash CS3 Professional - Bitte lesen.html
2007-06-07 15:36 . 2007-06-07 15:36 8192 --sha-w- c:\windows\o2cLicStore.bin
2006-08-22 02:49 . 2006-08-22 02:49 8 --sh--r- c:\windows\system32\5E4CAD0C51.sys
2008-04-14 02:22 . 2002-08-29 12:00 617472 --sha-w- c:\windows\system32\comctl32.dll
2006-05-03 09:06 . 2007-10-07 03:04 163328 --sh--r- c:\windows\system32\flvDX.dll
2006-08-22 02:49 . 2006-08-22 02:47 4704 --sha-w- c:\windows\system32\KGyGaAvL.sys
2008-04-14 02:22 . 2002-08-29 12:00 1028096 --sha-w- c:\windows\system32\mfc42.dll
2002-08-29 12:00 . 2002-08-29 12:00 57344 --sha-w- c:\windows\system32\mfc42loc.dll
2007-02-21 10:47 . 2007-10-07 03:04 31232 --sh--r- c:\windows\system32\msfDX.dll
2008-04-14 02:22 . 2002-08-29 12:00 413696 --sha-w- c:\windows\system32\msvcp60.dll
2008-04-14 02:22 . 2002-08-29 12:00 343040 --sha-w- c:\windows\system32\msvcrt.dll
2002-08-29 12:00 . 2002-08-29 12:00 253952 --sha-w- c:\windows\system32\msvcrt20.dll
2008-04-14 02:22 . 2002-08-29 12:00 30749 --sha-w- c:\windows\system32\vbajet32.dll
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"msnmsgr"="c:\programme\Windows Live\Messenger\msnmsgr.exe" [2009-07-26 3883840]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AVMWlanClient"="c:\programme\avmwlanstick\wlangui.exe" [2005-10-18 1560576]
"VTTimer"="VTTimer.exe" [2005-03-08 53248]
"VTTrayp"="VTtrayp.exe" [2005-11-01 163840]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"PDF Converter Registry Controller"="c:\programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\\RegistryController.exe" [2004-08-18 98304]
"SoundMan"="SOUNDMAN.EXE" [2006-03-01 577536]
"nwiz"="nwiz.exe" [2006-08-11 1519616]
"PinnacleDriverCheck"="c:\windows\system32\\PSDrvCheck.exe" [2004-03-11 406016]
"LiveMonitor"="c:\programme\MSI\Live Update 3\LMonitor.exe" [2009-02-24 498688]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2009-09-04 417792]
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe" [2009-09-21 305440]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2006-08-11 7630848]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\HS.MISTSTUECK\Startmen�\Programme\Autostart\
Microsoft Office OneNote 2003 Schnellstart.lnk - c:\programme\Microsoft Office\OFFICE11\ONENOTEM.EXE [2007-4-19 64864]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\avgnt]
2009-03-02 11:08 209153 ----a-w- c:\programme\Avira\AntiVir Desktop\avgnt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NvCplDaemon]
2006-08-11 20:43 7630848 ----a-w- c:\windows\system32\nvcpl.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SW20]
2006-06-01 16:22 208896 ----a-w- c:\windows\system32\sw20.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SW24]
2006-06-01 16:22 69632 ----a-w- c:\windows\system32\sw24.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run-]
"BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}"="c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
"swg"=c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-]
"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_02\bin\jusched.exe"
"NvCplDaemon"=RUNDLL32.EXE c:\windows\system32\NvCpl.dll,NvStartup
"InCD"=c:\programme\Nero\Nero 7\InCD\InCD.exe
"PCMService"="c:\programme\Home Cinema\PowerCinema\PCMService.exe"
"RemoteControl"="c:\programme\Home Cinema\PowerDVD\PDVDServ.exe"
"NeroFilterCheck"=c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" -atboottime
"iTunesHelper"="c:\programme\iTunes\iTunesHelper.exe"
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Home Cinema\\PowerCinema\\PowerCinema.exe"=
"c:\\Programme\\Home Cinema\\PowerCinema\\PCMService.exe"=
"c:\\Programme\\Pinnacle\\Studio 10\\programs\\RM.exe"=
"c:\\Programme\\Pinnacle\\Studio 10\\programs\\Studio.exe"=
"c:\\Programme\\Pinnacle\\Studio 10\\programs\\PMSRegisterFile.exe"=
"c:\\Programme\\Pinnacle\\Studio 10\\programs\\umi.exe"=
"c:\\WINDOWS\\system32\\usmt\\migwiz.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Windows Media Player\\wmplayer.exe"=
"c:\\Programme\\Nero\\Nero 7\\Nero MediaHome\\NeroMediaHome.exe"=
"c:\\Programme\\devolo\\informer\\devinf.exe"=
"c:\\Programme\\devolo\\easyshare\\easyshare.exe"=
"c:\\Programme\\FRITZ!DSL\\FBOXUPD.EXE"=
"c:\\Programme\\TwonkyMedia\\TwonkyMediaServer.exe"=
"c:\\Programme\\TwonkyMedia\\TwonkyMedia.exe"=
"c:\\Programme\\Bonjour\\mDNSResponder.exe"=
"c:\\Programme\\iTunes\\iTunes.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009
"1723:TCP"= 1723:TCP:@xpsp2res.dll,-22015
"1701:UDP"= 1701:UDP:@xpsp2res.dll,-22016
"500:UDP"= 500:UDP:@xpsp2res.dll,-22017

R0 xfilt;VIA SATA IDE Hot-plug Driver;c:\windows\system32\drivers\xfilt.sys [18.10.2006 16:39 11264]
R1 SSHDRV57;SSHDRV57;c:\windows\system32\drivers\SSHDRV57.sys [07.06.2007 16:46 32768]
R1 SSHDRV86;SSHDRV86;c:\windows\system32\drivers\SSHDRV86.sys [09.07.2007 16:43 81408]
R2 PLCNDIS5;PLCNDIS5 NDIS Protocol Driver;c:\windows\system32\plcndis5.sys [17.05.2004 09:21 17280]
R2 TwonkyMedia;TwonkyMedia;c:\programme\TwonkyMedia\TwonkyMedia.exe -serviceversion 0 --> c:\programme\TwonkyMedia\TwonkyMedia.exe -serviceversion 0 [?]
R3 3xHybrid;Philips SAA713x PCI Card;c:\windows\system32\drivers\3xHybrid.sys [21.08.2006 00:32 882688]
R3 Pei10Wdm;PEI10 Protokoll Treiber;c:\windows\system32\drivers\Pei10Wdm.sys [15.08.2002 08:20 35547]
R3 Pei16Wdm;PEI16 Protokoll Treiber;c:\windows\system32\drivers\Pei16Wdm.sys [19.09.2002 20:07 34683]
S3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\drivers\fwlanusb.sys [20.08.2006 22:18 264704]
S3 MSSQL$PP40;MSSQL$PP40;c:\programme\Microsoft SQL Server\MSSQL$PP40\Binn\sqlservr.exe -sPP40 --> c:\programme\Microsoft SQL Server\MSSQL$PP40\Binn\sqlservr.exe -sPP40 [?]
S3 PLCMPR5;PLCMPR5 NDIS Protocol Driver;\??\c:\windows\system32\PLCMPR5.SYS --> c:\windows\system32\PLCMPR5.SYS [?]
S3 Pronto2G;Philips Pronto NG USB Driver;c:\windows\system32\drivers\Pronto2G.sys [20.05.2007 02:06 16384]
S3 SQLAgent$PP40;SQLAgent$PP40;c:\programme\Microsoft SQL Server\MSSQL$PP40\Binn\sqlagent.EXE -i PP40 --> c:\programme\Microsoft SQL Server\MSSQL$PP40\Binn\sqlagent.EXE -i PP40 [?]
S3 TNET1130;D-Link AirPlus XtremeG+ Wireless Adapter;c:\windows\system32\drivers\GPLUS.sys [20.08.2006 18:39 202496]
S4 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [06.09.2009 02:46 108289]

--- Andere Dienste/Treiber im Speicher ---

*Deregistered* - gxikoq

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2010-01-06 c:\windows\Tasks\1-Klick-Wartung.job
- c:\programme\TuneUp Utilities 2009\OneClickStarter.exe [2009-07-15 10:07]

2010-01-01 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2007-08-29 10:34]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = about:blank
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Connection Wizard,ShellNext = iexplore
uInternet Settings,ProxyServer = 192.168.3.3:1060
uInternet Settings,ProxyOverride = localhost;<local>;*.local
uSearchAssistant = hxxp://www.google.com/ie
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
IE: PDF in Word öffnen (PDF Converter 2.0) - c:\programme\ScanSoft\PDFConverter 2.0 Professional\PDFConv\IEShellExt.dll /500
DPF: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab
DPF: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab
FF - ProfilePath - c:\dokumente und einstellungen\HS.MISTSTUECK\Anwendungsdaten\Mozilla\Firefox\Profiles\f11d7ruy.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.search.selectedEngine - Google

---- FIREFOX Richtlinien ----
FF - user.js: nglayout.initialpaint.delay - 600
FF - user.js: content.notify.interval - 600000
FF - user.js: content.max.tokenizing.time - 1800000
FF - user.js: content.switch.threshold - 600000
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

AddRemove-{FAF88B432344413595BB2DED98385684} - c:\programme\DivX\DivXUserGuideUninstall



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-06 22:21
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet002\Services\gxikoq]

.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\Ø•€|ÿÿÿÿ•€|ù•6~*]
"7040711900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
"7040111900063D11C8EF10054038389C"="C?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(3604)
c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroSearchBar.dll
c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroSearchTrayHook.dll
c:\programme\Gemeinsame Dateien\Ahead\Lib\MFC71U.DLL
c:\programme\Gemeinsame Dateien\Ahead\Lib\BCGCBPRO800u.dll
c:\programme\Microsoft Office\OFFICE11\msohev.dll
c:\programme\Creative\Creative NOMAD Jukebox Zen Xtra\NOMAD Explorer\CTJBNS.DLL
c:\programme\Creative\Creative NOMAD Jukebox Zen Xtra\NOMAD Explorer\CTIntrfc.dll
c:\programme\Creative\Creative NOMAD Jukebox Zen Xtra\NOMAD Explorer\JBNSHK.dll
c:\programme\Creative\Creative NOMAD Jukebox Zen Xtra\NOMAD Explorer\JBNSRES.DLL
c:\windows\system32\webcheck.dll
c:\windows\system32\WPDShServiceObj.dll
c:\programme\Microsoft Virtual PC\VPCShExH.DLL
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
c:\programme\FRITZ!DSL\IGDCTRL.EXE
c:\programme\avmwlanstick\WlanNetService.exe
c:\programme\Bonjour\mDNSResponder.exe
c:\programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
c:\windows\System32\dllhost.exe
c:\windows\system32\CTSvcCDA.EXE
c:\programme\Gemeinsame Dateien\AVM\de_serv.exe
c:\windows\System32\tcpsvcs.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\windows\System32\msdtc.exe
c:\programme\Pinnacle\MediaServer\Microsoft SQL Server\MSSQL$PINNACLESYS\Binn\sqlservr.exe
c:\windows\system32\nvsvc32.exe
c:\windows\System32\locator.exe
c:\windows\System32\TUProgSt.exe
c:\programme\TwonkyMedia\TwonkyMedia.exe
c:\windows\System32\vssvc.exe
c:\programme\pinnacle\shared files\programs\mediaserver\pmshost.exe
c:\programme\TwonkyMedia\TwonkyMediaServer.exe
c:\windows\system32\VTTimer.exe
c:\windows\SOUNDMAN.EXE
c:\programme\iPod\bin\iPodService.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-01-06 22:28:23 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-01-06 21:28

Vor Suchlauf: 19 Verzeichnis(se), 114.673.135.616 Bytes frei
Nach Suchlauf: 22 Verzeichnis(se), 114.518.900.736 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

- - End Of File - - 376BAF2BFF505EC2AFAC09C78746EBAD

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien (sofern diese noch existieren) bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen. Du kannst auch einfach den Ergebnislink posten:

c:\windows\system32\drivers\gxikoq.sys
         

Hallo Arne,

1.: Nach dem Check laut Deiner Liste waren die geschützten Systemdateien ursprünglich ausgeblendet, ist jetzt behoben.

2. Virustotal.com:
Das ist seltsam. Ich glaube, Du hast da definitiv den richtigen Riecher mit dieser Datei: Die Datei lässt sich weder mit noch ohne SSL hochladen, es kommt die Fehlermeldung, dass 0KB empfangen wurden:
0 bytes size received / Se ha recibido un archivo vacio

Wollte die Datei daher via Mail an den Server schicken, aber auch hier: hänge ich die Datei (746 KB) an eine Mail an, erhalte ich hier mehr oder weniger die gleiche Meldung, nämlich, dass ein Senden dieser Datei nicht möglich ist, und auch hier werden 0 KB angezeigt.

Auch interessant: im Dateiexplorer wird in der Spalte "Geändert am" immer schön die aktuelle Uhrzeit angezeigt.

AntiVir gibt folgende Meldung zu dieser Datei bei einem Direktscan:
Beginn des Suchlaufs: Freitag, 8. Januar 2010 21:30

Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\WINDOWS\system32\drivers\gxikoq.sys'
C:\WINDOWS\system32\drivers\gxikoq.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!


Ende des Suchlaufs: Freitag, 8. Januar 2010 21:30
Benötigte Zeit: 00:01 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
2 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
1 Dateien konnten nicht durchsucht werden
1 Dateien ohne Befall
0 Archive wurden durchsucht
1 Warnungen
0 Hinweise

Dann gehen wir wieder mit dem Avenger dran, siehe Anleitung oben, nur diesen Script bitte diesmal benutzen:

files to delete:
c:\windows\system32\drivers\gxikoq.sys

Und nach der Prozedur bitte die Datei c:\avenger\backup.zip bei File-Upload.net - Ihr kostenloser File Hoster! hochladen und hier verlinken.

hier ist es:
http://www.file-upload.net/download-...ackup.zip.html

Das kleine Miststück lässt sich leider auch von Avenger nicht löschen.

(Lässt sich auch nicht umbenennen, beim Versuch, sie umzubenennen kommt
"Die Quelldatei oder vom Quelldatenträger kann nicht gelesen werden").
Was ein hartnäckiges Biest....

Dann eben mit anderen Maßnahmen

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 90 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist



4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partition wo Windows installiert ist, meistens isses /dev/sda1
6. Benenne auf sda1 die Datei /windows/system32/drivers/gxikoq.sys um in gxikoq.bad
7. Starte den Rechner neu und boote Windows
8. Die in Linux umbenannte Datei bei Virustotal.com auswerten lassen und Ergebnislink posten

hihi, das hat Spaß gemacht:

Startscreen Auswertung:
Die Datei wurde bereits analysiert:
MD5: a5e7a32a05af52b5807038a24c8b97e0
First received: 2010.01.02 12:50:12 UTC
Datum 2010.01.10 15:23:31 UTC [<1D]
Ergebnisse 31/41
Permalink:

Dateianalyse:
http://www.virustotal.com/de/analisi...dc6-1263137547

Schön, probier mal bitte einen Durchlauf mit GMER und poste das Log. Unabhängig davon ob GMER durchläuft oder nicht (manchmal stürzt es leider ab ) danach einen neuen Durchlauf mit Malwarebytes (aktuelle Signaturen) machen.

GMER lief über 8 (!) Stunden, bis er im Windows/system32-Ordner ankam,
dann kam ein Bluescreen mit dem Hinweis, dass ein Problem festgestellt wurde und Windows heruntergefahren wird. Zusätzlich der Hinweis, dass dieses Problem möglicherweise von folgender Datei verursacht wurde:

fwryyaow.sys
PAGE_FAULT_IN_NONPAGED_AREA

Address B790FD3D base at B7904000, datestamp 4b274f8d

Lasse grade nebenher Malwarebytes laufen und suche mal nach dieser Datei, poste nachher die Ergebnisse.

Hast Du bei fullscan (GMER) auf Nein/no geklickt?

ja habe ich, das kam ganz am Anfang, noch bevor man die Häkchen setzen kann. Man hat auch während dem Scan gesehen, wie er sich durch die Ordner plagt...allerdings ist da auch wirklich massig drauf, der kleine Rechner verwaltet leider meine Musiksammlung

Edit: die Datei, die im Bluescreen-Modus genannt wird, befindet sich laut Dateisuche nicht auf dem Rechner (Tipps zur richtigen Suche hier aus dem Forum alle berücksichtigt)

Hmja, wie ich schon erwähnte, stürzt GMER leider auf manchen Systemen ab
Mach bitte mit Malwarebytes weiter.

Malwarebytes' Anti-Malware 1.43
Datenbank Version: 3458
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11.01.2010 23:38:45
mbam-log-2010-01-11 (23-38-45).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 328631
Laufzeit: 1 hour(s), 33 minute(s), 25 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\System Volume Information\_restore{50DEB8D6-7FDE-42DB-B0D7-3FC1D17C4935}\RP1\A0000151.exe (Trojan.Banker) -> Quarantined and deleted successfully.

Ergänzung:
zusätzlich hat Avira beim Neustart nach Malwarescan die Datei von gestern, die wir in die *Bad-Datei via Linux Boot-CD umbenannt haben, gekillt:

In der Datei 'C:\WINDOWS\system32\drivers\gxikoq.bad'
wurde ein Virus oder unerwünschtes Programm 'RKIT/Kryptic.763904' [trojan] gefunden.
Ausgeführte Aktion: Datei löschen

und zusätzlich zwei in Quarantäne verschoben, aber die kommen von ComboFix(?):
C:\cofi\N_\testme (enthält Erkennungsmuster des Rootkits RKIT/Kryptic.763904)
C:\cofi\ClsidFiles (enthält verdächtigen Code: HEUR/HTML.Malware)

--> ich versuche über Nacht jetzt nochmal GMER laufen zu lassen, vielleicht klappt es ja diesmal...

Hm ist ja klar, die umbenannte Datei kann AntiVir ja jetzt auch "sehen", da das Rootkit inaktiv ist ist und sich somit nicht verstecken kann

Und das andere ist von Combofix.