Hallo,

ich habe hier den Computer eines Kunden. Viele AV-Programme bescheinigen dem Computer Virenfreiheit, z.B. AVIRA AntiVir Personal, Trend Micro HouseCall, Panda Onlne-Scanner.
Lediglich das Security Essentials von Microsoft und nun auch a-squared (A2) Anti Malware 4.5 finden im Ordner
C:\Dokumente und Einstellungen\Kunde\Lokale Einstellungen\TEMP\in1.tmp den Trojaner W32.Obitel!IK

Zwar zeigen die Tools auch an, dass der Trojaner nach dem Durchlauf gelöscht wurde, er taucht jedoch nach jedem reboot wieder auf. Löscht man ihn nicht, wird nach jeder Neuanmeldung (auch nach einem Benutzerwechsel) eine neue in*.tmp-Datei erzeugt, die ebenfalls positiv auf den Trojaner getestet wird.
Ein "normales" löschen der Dateien ist nicht möglich, erst mit einem Unlocker funktioniert dies.

Der Trojaner wurde von der Postbank festgestellt. Diese hat den Kunden bereits vom online-banking ausgeschlossen. Er wird beim Aufruf der banking-Seite aufgefordert, 20 TANs einzugeben. Solltet Ihr hier keine Lösung mehr anbieten können, wird die HDD an die Forensik der Postbank geschickt. Dies hätte aber den Nachteil, dass ich nie erfahren würde, wie ich gegen den Trojaner vorgehen kann - und die Platte wäre nebst Kundendaten auch weg.
Das Tool Malwarebytes läuft gerade, hat aber bereits die beiden üblichen Dateien positiv gefunden ....\TEMP\in1.tmp.

Vielleicht hat hier ja jemand einen Tip, wie ich die HDD noch retten kann.

Danke

CrapCleaner diverse Male durchlaufen lassen, bis nichts mehr angezeigt wurde...

Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3595
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

19.01.2010 06:48:56
mbam-log-2010-01-19 (06-48-56).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|)
Durchsuchte Objekte: 210642
Laufzeit: 50 minute(s), 9 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

-------------------------------------------------


Logfile of random's system information tool 1.06 (written by random/random)
Run by XXXXX at 2010-01-19 06:50:07
Microsoft Windows XP Home Edition Service Pack 3
System drive C: has 9 GB (20%) free of 48 GB
Total RAM: 511 MB (49% free)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 06:50:11, on 19.01.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Unlocker\UnlockerAssistant.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\SOUNDMAN.EXE
E:\Programme\QuickTime\qttask.exe
E:\Programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\VIA\VIAudioi\SBADeck\ADeck.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Windows Desktop Search\WindowsSearch.exe
C:\Programme\a-squared Anti-Malware\a2service.exe
C:\Programme\a-squared Free\a2service.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Google\Update\GoogleUpdate.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLIDSVC.EXE
C:\WINDOWS\system32\SearchIndexer.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLIDSvcM.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\RealOneMessageCenter.exe
C:\WINDOWS\system32\SearchProtocolHost.exe
H:\Service-Tools\Software\AntiVirenSW\RSIT - Randoms System Information Tool\RSIT.exe
C:\Programme\Trend Micro\HijackThis\Holger.exe <------- ????

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = Bing
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = Bing
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = MSN, Messenger und Hotmail sowie Nachrichten, Unterhaltung, Video, Sport, Lifestyle, Finanzen, Auto uvm. bei MSN
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant =
O4 - HKLM\..\Run: [UnlockerAssistant] "C:\Programme\Unlocker\UnlockerAssistant.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [QuickTime Task] "E:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [OpwareSE2] "E:\Programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe"
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [AudioDeck] C:\Programme\VIA\VIAudioi\SBADeck\ADeck.exe 1
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe"
O4 - HKCU\..\Run: [MsnMsgr] ~"C:\PROGRA~1\WI1F86~1\MESSEN~1\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Windows Search.lnk = C:\Programme\Windows Desktop Search\WindowsSearch.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MI1933~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - http://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1198022908090
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: a-squared Anti-Malware Service (a2AntiMalware) - Emsi Software GmbH - C:\Programme\a-squared Anti-Malware\a2service.exe
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Google Update Service (gupdate1ca01667692470) (gupdate1ca01667692470) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe
O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

--
End of file - 6192 bytes

======Scheduled tasks folder======

C:\WINDOWS\tasks\1-Klick-Wartung.job
C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
C:\WINDOWS\tasks\User_Feed_Synchronization-{65CBCA7F-239B-47E6-80C2-65F96EAC8EB6}.job

======Registry dump======

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
Locked

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run]
"UnlockerAssistant"=C:\Programme\Unlocker\UnlockerAssistant.exe [2009-10-26 15872]
"TkBellExe"=C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe [2009-10-08 198160]
"SunJavaUpdateSched"=C:\Programme\Java\jre6\bin\jusched.exe [2008-12-26 136600]
"SoundMan"=C:\WINDOWS\SOUNDMAN.EXE [2003-01-07 46592]
"QuickTime Task"=E:\Programme\QuickTime\qttask.exe [2008-01-04 77824]
"OpwareSE2"=E:\Programme\ScanSoft\OmniPageSE2.0\OpwareSE2.exe [2003-05-08 49152]
"nwiz"=nwiz.exe /install []
"NvMediaCenter"=C:\WINDOWS\system32\NvMcTray.dll [2003-07-28 49152]
"NvCplDaemon"=C:\WINDOWS\system32\NvCpl.dll [2003-07-28 4841472]
"NPSStartup"= []
"Cmaudio"=RunDll32 cmicnfg.cpl,CMICtrlWnd []
"avgnt"=C:\Programme\Avira\AntiVir Desktop\avgnt.exe [2009-03-02 209153]
"AudioDeck"=C:\Programme\VIA\VIAudioi\SBADeck\ADeck.exe [2007-08-09 528384]
"Adobe Reader Speed Launcher"=C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe [2009-02-27 35696]
"a-squared"=C:\Programme\a-squared Anti-Malware\a2guard.exe [2010-01-02 3280712]

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Run]
"MsnMsgr"=~C:\PROGRA~1\WI1F86~1\MESSEN~1\msnmsgr.exe /background []
"ctfmon.exe"=C:\WINDOWS\system32\ctfmon.exe [2008-04-14 15360]

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart
Windows Search.lnk - C:\Programme\Windows Desktop Search\WindowsSearch.exe

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll [2006-10-18 133632]
UPnPMonitor - {e57ce738-33e8-4c51-8354-bb4de9d215d1} - C:\WINDOWS\system32\upnpui.dll [2008-04-14 239616]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"= []
"{56F9679E-7826-4C84-81F3-532071A8BCC5}"=C:\Programme\Windows Desktop Search\MSNLNamespaceMgr.dll [2009-05-24 304128]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\nm]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\nm.sys]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\network\UploadMgr]

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\System]
"dontdisplaylastusername"=0
"legalnoticecaption"=
"legalnoticetext"=
"shutdownwithoutlogon"=1
"undockwithoutlogon"=1

[HKEY_CURRENT_USER\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"NoDriveTypeAutoRun"=145

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Policies\explorer]
"HonorAutoRunSetting"=

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"E:\mc2.exe"="E:\mc2.exe:*:Enabled:mc2"
"C:\Programme\Messenger\msmsgs.exe"="C:\Programme\Messenger\msmsgs.exe:*:Enabled:Windows Messenger"
"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Programme\Windows Live\Messenger\livecall.exe"="C:\Programme\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Programme\Mozilla Firefox\firefox.exe"="C:\Programme\Mozilla Firefox\firefox.exe:*:Enabled:Firefox"
"C:\Program Files\Real\RealPlayer\realplay.exe"="C:\Program Files\Real\RealPlayer\realplay.exe:*isabled:RealPlayer"
"C:\Programme\Rockstar Games\Midnight Club II\mc2.exe"="C:\Programme\Rockstar Games\Midnight Club II\mc2.exe:*:Enabled:mc2"
"C:\Programme\Samsung\Samsung New PC Studio\npsasvr.exe"="C:\Programme\Samsung\Samsung New PC Studio\npsasvr.exe:*:Enabled:KTF MUSIC AoD Server"
"C:\Programme\Samsung\Samsung New PC Studio\npsvsvr.exe"="C:\Programme\Samsung\Samsung New PC Studio\npsvsvr.exe:*:Enabled:KTF MUSIC VoD Server"
"D:\Programme\uTorrent\uTorrent.exe"="D:\Programme\uTorrent\uTorrent.exe:*:Enabled:µTorrent"
"C:\Programme\Windows Live\Messenger\wlcsdk.exe"="C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\system32\sessmgr.exe"="%windir%\system32\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"%windir%\Network Diagnostic\xpnetdiag.exe"="%windir%\Network Diagnostic\xpnetdiag.exe:*:Enabled:@xpsp3res.dll,-20000"
"C:\Programme\Windows Live\Messenger\msnmsgr.exe"="C:\Programme\Windows Live\Messenger\msnmsgr.exe:*:Enabled:Windows Live Messenger"
"C:\Programme\Windows Live\Messenger\livecall.exe"="C:\Programme\Windows Live\Messenger\livecall.exe:*:Enabled:Windows Live Messenger (Phone)"
"C:\Programme\Windows Live\Messenger\wlcsdk.exe"="C:\Programme\Windows Live\Messenger\wlcsdk.exe:*:Enabled:Windows Live Call"

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
shell\AutoRun\command - G:\autorun.exe

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\H]
shell\AutoRun\command - H:\LaunchU3.exe -a

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{13fb8d20-fc50-11de-9249-000d870a15a5}]
shell\AutoRun\command - H:\LaunchU3.exe -a


======List of files/folders created in the last 1 months======

2010-01-19 06:50:07 ----D---- C:\rsit
2010-01-18 23:29:30 ----D---- C:\Programme\CCleaner
2010-01-18 22:24:41 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\Malwarebytes
2010-01-18 22:24:28 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-01-18 22:22:53 ----D---- C:\Programme\Malwarebytes' Anti-Malware
2010-01-18 19:06:54 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\Desktopicon
2010-01-18 19:06:51 ----D---- C:\Programme\Unlocker
2010-01-18 14:15:22 ----D---- C:\Programme\a-squared Anti-Malware
2010-01-18 11:50:28 ----A---- C:\WINDOWS\system32\p77aat.tmp
2010-01-18 11:50:28 ----A---- C:\WINDOWS\system32\5g4yrl.tmp
2010-01-17 09:57:17 ----D---- C:\Programme\THQ
2010-01-17 00:19:38 ----HDC---- C:\WINDOWS\$NtUninstallKB972270$
2010-01-16 21:40:59 ----A---- C:\WINDOWS\system32\muugm3.tmp
2010-01-16 15:00:20 ----D---- C:\DAS_GROSSE_LEBEN_LIVE
2010-01-11 14:31:27 ----A---- C:\WINDOWS\system32\mdimon.dll
2010-01-11 14:27:34 ----D---- C:\Programme\Microsoft Works
2010-01-11 14:27:28 ----D---- C:\Programme\Microsoft Visual Studio
2010-01-11 14:26:56 ----D---- C:\WINDOWS\SHELLNEW
2010-01-11 14:25:11 ----D---- C:\Programme\Microsoft.NET
2010-01-10 23:10:46 ----D---- C:\Programme\Avira
2010-01-10 13:13:28 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2010-01-10 09:12:34 ----D---- C:\Programme\Panda Security
2010-01-09 14:58:44 ----D---- C:\Programme\a-squared Free
2010-01-09 14:53:10 ----A---- C:\WINDOWS\SchedLgU.Txt
2010-01-09 10:26:43 ----A---- C:\WINDOWS\wininit.ini
2010-01-09 09:24:58 ----D---- C:\Programme\Spybot - Search & Destroy
2010-01-09 09:24:58 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2010-01-08 18:45:51 ----N---- C:\WINDOWS\system32\MpSigStub.exe
2010-01-08 18:03:45 ----HDC---- C:\WINDOWS\$NtUninstallKB955759$
2010-01-08 18:03:32 ----HDC---- C:\WINDOWS\$NtUninstallKB971513$
2010-01-08 13:19:55 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\U3
2010-01-03 18:48:07 ----HD---- C:\WINDOWS\msdownld.tmp
2009-12-31 07:48:47 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\Corel
2009-12-31 00:12:01 ----D---- C:\Programme\Corel
2009-12-31 00:12:01 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Corel
2009-12-31 00:07:28 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\InstallShield
2009-12-30 14:59:22 ----D---- C:\Programme\Microsoft
2009-12-30 14:59:02 ----D---- C:\Programme\Windows Live SkyDrive
2009-12-30 14:55:35 ----D---- C:\Programme\Gemeinsame Dateien\Windows Live
2009-12-30 14:52:47 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\Pitbull - Hotel Room Service
2009-12-29 13:20:07 ----SHD---- C:\WINDOWS\ftpcache
2009-12-25 18:24:31 ----D---- C:\Terzio

======List of files/folders modified in the last 1 months======

2010-01-19 01:21:46 ----D---- C:\WINDOWS\Prefetch
2010-01-18 23:33:37 ----D---- C:\WINDOWS\Temp
2010-01-18 23:31:42 ----D---- C:\WINDOWS\Debug
2010-01-18 23:31:42 ----D---- C:\WINDOWS
2010-01-18 23:29:30 ----RD---- C:\Programme
2010-01-18 23:27:36 ----D---- C:\Programme\Mozilla Firefox
2010-01-18 23:25:05 ----D---- C:\WINDOWS\system32\CatRoot2
2010-01-18 23:24:00 ----D---- C:\WINDOWS\system32\drivers
2010-01-18 23:23:00 ----HDC---- C:\WINDOWS\$NtUninstallKB938127$
2010-01-18 23:22:26 ----D---- C:\WINDOWS\system32
2010-01-18 22:19:32 ----RASH---- C:\boot.ini
2010-01-18 22:19:32 ----A---- C:\WINDOWS\win.ini
2010-01-18 22:19:32 ----A---- C:\WINDOWS\system.ini
2010-01-18 22:18:54 ----D---- C:\WINDOWS\pss
2010-01-18 18:33:07 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\uTorrent
2010-01-18 17:40:08 ----SHD---- C:\RECYCLER
2010-01-18 15:12:17 ----A---- C:\WINDOWS\system32\userinit.exe
2010-01-18 14:09:59 ----SD---- C:\WINDOWS\Downloaded Program Files
2010-01-18 11:28:01 ----HD---- C:\WINDOWS\inf
2010-01-17 10:06:24 ----D---- C:\WINDOWS\system32\DirectX
2010-01-17 10:06:01 ----RSD---- C:\WINDOWS\assembly
2010-01-17 09:57:15 ----HD---- C:\Programme\InstallShield Installation Information
2010-01-17 00:20:33 ----SHD---- C:\WINDOWS\Installer
2010-01-17 00:20:32 ----D---- C:\Config.Msi
2010-01-17 00:19:40 ----RSHDC---- C:\WINDOWS\system32\dllcache
2010-01-17 00:19:21 ----HD---- C:\WINDOWS\$hf_mig$
2010-01-14 14:47:42 ----D---- C:\Programme\KronosFaktura
2010-01-11 15:24:36 ----D---- C:\Dokumente und Einstellungen\Holger\Anwendungsdaten\Mozilla
2010-01-11 14:50:05 ----D---- C:\WINDOWS\system32\CatRoot
2010-01-11 14:45:26 ----RSD---- C:\WINDOWS\Fonts
2010-01-11 14:44:25 ----D---- C:\Programme\Gemeinsame Dateien\Microsoft Shared
2010-01-11 14:31:32 ----A---- C:\WINDOWS\ODBC.INI
2010-01-11 14:27:47 ----D---- C:\Programme\Microsoft Office
2010-01-11 14:27:04 ----D---- C:\Programme\Gemeinsame Dateien\System
2010-01-11 14:26:48 ----D---- C:\WINDOWS\Help
2010-01-11 14:25:11 ----SD---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft
2010-01-11 14:24:23 ----D---- C:\WINDOWS\system
2010-01-10 23:10:31 ----D---- C:\WINDOWS\WinSxS
2010-01-10 22:39:37 ----SD---- C:\WINDOWS\Tasks
2010-01-09 23:04:56 ----D---- C:\Programme\Gemeinsame Dateien\Teleca Shared
2010-01-09 23:04:39 ----D---- C:\Programme\Gemeinsame Dateien
2010-01-09 23:03:40 ----DC---- C:\WINDOWS\system32\DRVSTORE
2010-01-09 17:09:53 ----D---- C:\WINDOWS\UbiSoft
2010-01-09 12:56:58 ----D---- C:\WINDOWS\Minidump
2010-01-09 00:15:28 ----D---- C:\Dokumente und Einstellungen
2010-01-08 19:30:52 ----AD---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2010-01-08 18:05:56 ----D---- C:\WINDOWS\AppPatch
2010-01-08 18:03:26 ----D---- C:\Programme\Internet Explorer
2010-01-08 18:03:24 ----D---- C:\WINDOWS\ie8updates
2010-01-08 18:02:12 ----D---- C:\WINDOWS\system32\ReinstallBackups
2010-01-08 17:46:23 ----D---- C:\WINDOWS\system32\de-de
2010-01-08 17:46:21 ----D---- C:\WINDOWS\system32\XPSViewer
2010-01-08 17:09:33 ----D---- C:\Programme\Trend Micro
2010-01-08 16:58:27 ----D---- C:\Programme\Google
2010-01-08 16:50:40 ----SHD---- C:\System Volume Information
2010-01-07 14:38:05 ----D---- C:\WINDOWS\network diagnostic
2010-01-05 01:17:46 ----A---- C:\WINDOWS\system32\MRT.exe
2010-01-03 18:47:43 ----D---- C:\Programme\MSN
2009-12-31 13:53:46 ----A---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\sysReserve.ini
2009-12-28 09:03:47 ----D---- C:\WINDOWS\system32\Samsung_USB_Drivers
2009-12-27 18:52:22 ----D---- C:\Programme\Rockstar Games
2009-12-27 18:51:28 ----D---- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google

======List of drivers (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R1 AmdK7;AMD K7-Prozessortreiber; C:\WINDOWS\System32\DRIVERS\amdk7.sys [2008-04-14 41856]
R1 avgio;avgio; \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys []
R1 avipbb;avipbb; C:\WINDOWS\system32\DRIVERS\avipbb.sys [2009-03-30 96104]
R1 ssmdrv;ssmdrv; C:\WINDOWS\system32\DRIVERS\ssmdrv.sys [2009-05-11 28520]
R1 Tcpip6;Microsoft IPv6-Protokolltreiber; C:\WINDOWS\system32\DRIVERS\tcpip6.sys [2008-06-20 225856]
R2 avgntflt;avgntflt; C:\WINDOWS\system32\DRIVERS\avgntflt.sys [2009-11-25 56816]
R3 Arp1394;1394-ARP-Clientprotokoll; C:\WINDOWS\System32\DRIVERS\arp1394.sys [2008-04-13 60800]
R3 FET5X86V;VIA Rhine-Family Fast-Ethernet Adapter Driver Service; C:\WINDOWS\system32\DRIVERS\fetnd5bv.sys [2008-09-22 43520]
R3 hidusb;Microsoft HID Class-Treiber; C:\WINDOWS\System32\DRIVERS\hidusb.sys [2008-04-14 10368]
R3 KMWDFILTER;HIDUASDesc; C:\WINDOWS\system32\DRIVERS\KMWDFILTER.sys [2008-10-09 17408]
R3 mouhid;Maus-HID-Treiber; C:\WINDOWS\System32\DRIVERS\mouhid.sys [2003-04-02 12288]
R3 NIC1394;1394-Netzwerktreiber; C:\WINDOWS\System32\DRIVERS\nic1394.sys [2008-04-13 61824]
R3 nv;nv; C:\WINDOWS\System32\DRIVERS\nv4_mini.sys [2003-07-28 1341339]
R3 tunmp;Microsoft Tun-Miniportadaptertreiber; C:\WINDOWS\system32\DRIVERS\tunmp.sys [2008-04-13 12288]
R3 usbehci;Miniporttreiber für erweiterten Microsoft USB 2.0-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbehci.sys [2008-04-13 30208]
R3 usbhub;USB2-aktivierter Hub; C:\WINDOWS\System32\DRIVERS\usbhub.sys [2008-04-13 59520]
R3 USBSTOR;USB-Massenspeichertreiber; C:\WINDOWS\system32\DRIVERS\USBSTOR.SYS [2008-04-13 26368]
R3 usbuhci;Miniporttreiber für universellen Microsoft USB-Hostcontroller; C:\WINDOWS\System32\DRIVERS\usbuhci.sys [2008-04-13 20608]
R3 VIAudio;Vinyl AC'97 Audio Controller (WDM); C:\WINDOWS\system32\drivers\vinyl97.sys [2007-06-27 207488]
S1 kbdhid;Tastatur-HID-Treiber; C:\WINDOWS\system32\DRIVERS\kbdhid.sys [2008-04-14 14720]
S3 ADM8511;ADMtek ADM8511/AN986-USB-Fast Ethernetkonvertierer; C:\WINDOWS\system32\DRIVERS\ADM8511.SYS [2001-08-17 20160]
S3 ALCXWDM;Service for Realtek AC97 Audio (WDM); C:\WINDOWS\system32\drivers\ALCXWDM.SYS [2003-01-10 695852]
S3 cmuda;C-Media WDM Audio Interface; C:\WINDOWS\system32\drivers\cmuda.sys [2006-06-09 1373120]
S3 FETNDIS;VIA PCI 10/100-MBit/s-Fast Ethernetadapter-NT-Treiber; C:\WINDOWS\System32\DRIVERS\fetnd5.sys [2001-08-17 27165]
S3 FETNDISB;VIA Rhine Family Fast Ethernet Adapter Driver Service; C:\WINDOWS\system32\DRIVERS\fetnd5b.sys [2002-10-29 40960]
S3 FsUsbExDisk;FsUsbExDisk; \??\C:\WINDOWS\system32\FsUsbExDisk.SYS []
S3 SE27bus;Sony Ericsson Device 039 Driver driver (WDM); C:\WINDOWS\system32\DRIVERS\SE27bus.sys [2006-09-18 61600]
S3 SE27mdfl;Sony Ericsson Device 039 USB WMC Modem Filter; C:\WINDOWS\system32\DRIVERS\SE27mdfl.sys [2006-09-18 9360]
S3 SE27mdm;Sony Ericsson Device 039 USB WMC Modem Driver; C:\WINDOWS\system32\DRIVERS\SE27mdm.sys [2006-09-18 97184]
S3 SE27mgmt;Sony Ericsson Device 039 USB WMC Device Management Drivers (WDM); C:\WINDOWS\system32\DRIVERS\SE27mgmt.sys [2006-09-18 88688]
S3 se27nd5;Sony Ericsson Device 039 USB Ethernet Emulation SEMC39 (NDIS); C:\WINDOWS\system32\DRIVERS\se27nd5.sys [2006-09-18 18704]
S3 SE27obex;Sony Ericsson Device 039 USB WMC OBEX Interface; C:\WINDOWS\system32\DRIVERS\SE27obex.sys [2006-09-18 86560]
S3 se27unic;Sony Ericsson Device 039 USB Ethernet Emulation SEMC39 (WDM); C:\WINDOWS\system32\DRIVERS\se27unic.sys [2006-09-18 90800]
S3 SymIM;Symantec Network Security Intermediate Filter Service; C:\WINDOWS\system32\DRIVERS\SymIM.sys []
S3 SymIMMP;SymIMMP; C:\WINDOWS\system32\DRIVERS\SymIM.sys []
S3 usbccgp;Microsoft Standard-USB-Haupttreiber; C:\WINDOWS\system32\DRIVERS\usbccgp.sys [2008-04-13 32128]
S3 usbprint;Microsoft USB-Druckerklasse; C:\WINDOWS\system32\DRIVERS\usbprint.sys [2008-04-13 25856]
S3 usbscan;USB-Scannertreiber; C:\WINDOWS\system32\DRIVERS\usbscan.sys [2008-04-13 15104]
S3 WinDriver6;WinDriver6; C:\WINDOWS\system32\drivers\windrvr6.sys [2008-12-26 186592]
S3 WudfPf;Windows Driver Foundation - User-mode Driver Framework Platform Driver; C:\WINDOWS\system32\DRIVERS\WudfPf.sys [2006-09-28 77568]
S3 WudfRd;Windows Driver Foundation - User-mode Driver Framework Reflector; C:\WINDOWS\system32\DRIVERS\wudfrd.sys [2006-09-28 82944]
S4 IntelIde;IntelIde; C:\WINDOWS\system32\drivers\IntelIde.sys []
S4 sr;Filtertreiber für Systemwiederherstellung; C:\WINDOWS\System32\DRIVERS\sr.sys [2008-04-14 73472]
S4 WS2IFSL;Windows Socket 2.0 Non-IFS-Dienstanbieter-Unterstützungsumgebung; C:\WINDOWS\System32\drivers\ws2ifsl.sys [2003-04-02 12032]

======List of services (R=Running, S=Stopped, 0=Boot, 1=System, 2=Auto, 3=Demand, 4=Disabled)======

R2 6to4;IPv6-Hilfsdienst; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
R2 a2AntiMalware;a-squared Anti-Malware Service; C:\Programme\a-squared Anti-Malware\a2service.exe [2009-10-01 1858144]
R2 a2free;a-squared Free Service; C:\Programme\a-squared Free\a2service.exe [2009-10-01 1858144]
R2 AntiVirSchedulerService;Avira AntiVir Planer; C:\Programme\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
R2 AntiVirService;Avira AntiVir Guard; C:\Programme\Avira\AntiVir Desktop\avguard.exe [2009-07-21 185089]
R2 JavaQuickStarterService;Java Quick Starter; C:\Programme\Java\jre6\bin\jqs.exe [2008-12-26 152984]
R2 MDM;Machine Debug Manager; C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe [2003-06-19 322120]
R2 NVSvc;NVIDIA Driver Helper Service; C:\WINDOWS\system32\nvsvc32.exe [2003-07-28 77824]
R2 wlidsvc;Windows Live ID Sign-in Assistant; C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WLIDSVC.EXE [2009-03-30 1533808]
R2 WSearch;Windows Search; C:\WINDOWS\system32\SearchIndexer.exe [2008-05-26 439808]
S2 gupdate1ca01667692470;Google Update Service (gupdate1ca01667692470); C:\Programme\Google\Update\GoogleUpdate.exe [2009-07-10 133104]
S3 aspnet_state;ASP.NET-Zustandsdienst; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\aspnet_state.exe [2008-07-25 34312]
S3 clr_optimization_v2.0.50727_32;.NET Runtime Optimization Service v2.0.50727_X86; C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe [2008-07-25 69632]
S3 FontCache3.0.0.0;Windows Presentation Foundation Font Cache 3.0.0.0; C:\WINDOWS\Microsoft.NET\Framework\v3.0\WPF\PresentationFontCache.exe [2008-07-29 46104]
S3 gusvc;Google Software Updater; C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe [2009-07-10 190448]
S3 IDriverT;InstallDriver Table Manager; C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1150\Intel 32\IDriverT.exe [2005-11-14 69632]
S3 idsvc;Windows CardSpace; C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe [2008-07-29 881664]
S3 ose;Office Source Engine; C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE [2007-08-22 147824]
S3 WMPNetworkSvc;Windows Media Player-Netzwerkfreigabedienst; C:\Programme\Windows Media Player\WMPNetwk.exe [2006-11-03 920576]
S3 WudfSvc;Windows Driver Foundation - User-mode Driver Framework; C:\WINDOWS\system32\svchost.exe [2008-04-14 14336]
S4 FsUsbExService;FsUsbExService; C:\WINDOWS\system32\FsUsbExService.Exe [2009-01-08 233472]
S4 NetTcpPortSharing;Net.Tcp-Portfreigabedienst; C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\SMSvcHost.exe [2008-07-29 132096]
S4 ProtexisLicensing;ProtexisLicensing; C:\WINDOWS\system32\PSIService.exe [2006-11-02 174656]

-----------------EOF-----------------

a² findet jedoch die üblichen Verdächtigen in den Files in1.tmp, in2.tmp und weiteren...

Aufgefallen ist mir noch, dass das OS Windows XP Home zwar eine deutsche Version ist, der IE jedoch in Englisch. Auch das Update auf IE8 wird in Englisch angeboten. Der Firefox 3.5.7 öffnet sporadisch gar keine Seiten mehr und endet irgendwann im timeout.
Wenn ich die *.tmp Dateien, die positiv getestet wurden lösche, meldet sich beim nachfolgenden Start die Software Powerpoint 2003 mit einem Fehler und bittet um einen Fehlerbericht.

AVIRA AntiVir hat beim Restart den Guard gestoppt (geschlossener Regenschirm);

a-squared Anti-Malware - Version 4.5
Letztes Update: 18.01.2010 14:18:57

Scan Einstellungen:

Scan Methode: Detail Scan
Objekte: Speicher, Traces, Cookies, C:\, D:\, E:\, H:\
Archiv Scan: An
Heuristik: Aus
ADS Scan: An

Scan Beginn: 19.01.2010 07:02:58

C:\Dokumente und Einstellungen\Nutzer\Lokale Einstellungen\Temp\in1.tmp gefunden: Trojan-Downloader.Win32.Obitel!IK
C:\Dokumente und Einstellungen\Nutzer\Lokale Einstellungen\Temp\in2.tmp gefunden: Trojan-Downloader.Win32.Obitel!IK
C:\Dokumente und Einstellungen\Nutzer\Lokale Einstellungen\Temp\in3.tmp gefunden: Trojan-Downloader.Win32.Obitel!IK

Gescannt

Dateien: 146197
Traces: 660381
Cookies: 13
Prozesse: 41

Gefunden

Dateien: 3
Traces: 0
Cookies: 0
Prozesse: 0
Registry Keys: 0

Scan Ende: 19.01.2010 08:34:54
Scan Zeit: 1:31:56

Ich habe eine der Dateien via Virustotal checken lassen, um ggf. über die anderen Bezeichnungen mehr herausfinden zu könne. Ergebnis von Virustotal hier:
Antivirus Version letzte aktualisierung Ergebnis
a-squared 4.5.0.50 2010.01.19 Trojan-Downloader.Win32.Obitel!IK
AhnLab-V3 5.0.0.2 2010.01.19 -
AntiVir 7.9.1.142 2010.01.19 -
Antiy-AVL 2.0.3.7 2010.01.19 -
Authentium 5.2.0.5 2010.01.19 -
Avast 4.8.1351.0 2010.01.19 -
AVG 9.0.0.730 2010.01.19 -
BitDefender 7.2 2010.01.19 Trojan.Gadja.Injected.A
CAT-QuickHeal 10.00 2010.01.19 -
ClamAV 0.94.1 2010.01.19 -
Comodo 3636 2010.01.19 -
DrWeb 5.0.1.12222 2010.01.19 -
eSafe 7.0.17.0 2010.01.18 -
eTrust-Vet 35.2.7245 2010.01.19 -
F-Prot 4.5.1.85 2010.01.18 -
F-Secure 9.0.15370.0 2010.01.19 Trojan.Gadja.Injected.A
Fortinet 4.0.14.0 2010.01.19 -
GData 19 2010.01.19 Trojan.Gadja.Injected.A
Ikarus T3.1.1.80.0 2010.01.19 Trojan-Downloader.Win32.Obitel
Jiangmin 13.0.900 2010.01.19 -
K7AntiVirus 7.10.950 2010.01.18 -
Kaspersky 7.0.0.125 2010.01.19 -
McAfee 5865 2010.01.18 -
McAfee+Artemis 5865 2010.01.18 -
McAfee-GW-Edition 6.8.5 2010.01.19 -
Microsoft 1.5302 2010.01.19 TrojanDownloader:Win32/Obitel
NOD32 4785 2010.01.19 -
Norman 6.04.03 2010.01.19 -
nProtect 2009.1.8.0 2010.01.19 -
Panda 10.0.2.2 2010.01.18 -
PCTools 7.0.3.5 2010.01.19 -
Prevx 3.0 2010.01.19 -
Rising 22.31.01.04 2010.01.19 -
Sophos 4.49.0 2010.01.19 Mal/ZbotTemp-A
Sunbelt 3.2.1858.2 2010.01.19 -
Symantec 20091.2.0.41 2010.01.19 -
TheHacker 6.5.0.6.156 2010.01.19 -
TrendMicro 9.120.0.1004 2010.01.19 -
VBA32 3.12.12.1 2010.01.19 -
ViRobot 2010.1.19.2144 2010.01.19 -
VirusBuster 5.0.21.0 2010.01.18 -
weitere Informationen
File size: 2799 bytes
MD5...: 76fb09298b94b06353c95a3ee6a04336
SHA1..: f7c5518f37a1f4061449836f8af5cb3bd446fcf8
SHA256: b7f4bdbccf68beff7783dfd234e7fc0bda320d6fc3763d79f6e6ab30d03fed57
ssdeep: 48:wlllX2UZJ62lGamxCgRblBsvXqByduWr90/IMRKavqxPOSA2IlOC:wl/mUZ6x
CgRSHMWrz8KDPBIlOC
PEiD..: -
PEInfo: -
RDS...: NSRL Reference Data Set
-
sigcheck:
publisher....: n/a
copyright....: n/a
product......: n/a
description..: n/a
original name: n/a
internal name: n/a
file version.: n/a
comments.....: n/a
signers......: -
signing date.: -
verified.....: Unsigned
pdfid.: -
trid..: Unknown!