Hallo,
Avira AntiVir hat bei mir in C:\Windows\Temp\_avast5_\unp113296976.tmp den TR/crypt.xpack.gen gefunden. Nach dem Löschen habe ich Malwarebytes und Avira AntiVir sowie Avast! laufen lassen (jeweils komplett) ohne den Trojaner wieder gefunden zu haben. Zwei Tage später, während eines erneuten Malwarebyte quickscans hat sich Avira gemeldet, dass der Trojaner erneut gefunden wurde (in Quarantäne verschoben).

Ccleaner (nach der Anleitung), sowie Malwarebytes und HighJackThis habe ich ausgeführt. Ich bin mit meinem Latein am Ende und hoffe, dass mir jemand weiterhelfen kann.

carsten


Malwarebytes' Anti-Malware 1.45
www.malwarebytes.org

Datenbank Version: 3935

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

31.03.2010 03:26:16
mbam-log-2010-03-31 (03-26-16).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 117304
Laufzeit: 37 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 0

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
(Keine bösartigen Objekte gefunden)

-------------------------------------------------
Logfile of Trend Micro HijackThis v2.0.3 (BETA)
Scan saved at 01:37:38, on 02.04.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe
D:\XP\AnVrs\AvastSvc.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\XP\Avira\AntiVir Desktop\sched.exe
C:\XP\Avira\AntiVir Desktop\avguard.exe
C:\XP\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\avmwlanstick\wlangui.exe
C:\WINDOWS\system32\devldr32.exe
C:\Programme\Windows Defender\MSASCui.exe
D:\XP\AnVrs\avastUI.exe
C:\WINDOWS\system32\ctfmon.exe
C:\XP\Logitech\SetPoint\SetPoint.exe
C:\Programme\Gemeinsame Dateien\Teleca Shared\CapabilityManager.exe
C:\Programme\Gemeinsame Dateien\Logishrd\KHAL2\KHALMNPR.EXE
C:\Programme\avmwlanstick\WlanNetService.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\msiexec.exe
C:\XP\HJT\TrendMicro\HiJackThis\HiJackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = about:blank
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - (no file)
O4 - HKLM\..\Run: [Kernel and Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [avgnt] "C:\XP\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "d:\XP\Adobe\Reader\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\wlangui.exe
O4 - HKLM\..\Run: [Sony Ericsson PC Suite] "C:\XP\Sony Ericsson\Manager\Application Launcher\Application Launcher.exe" /startoptions
O4 - HKLM\..\Run: [Windows Defender] "C:\Programme\Windows Defender\MSASCui.exe" -hide
O4 - HKLM\..\Run: [avast5] D:\XP\AnVrs\avastUI.exe /nogui
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Logitech SetPoint.lnk = C:\XP\Logitech\SetPoint\SetPoint.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: hxxp://store.steampowered.com
O15 - Trusted Zone: hxxp://download.windowsupdate.com
O15 - Trusted Zone: hxxp://*.windowsupdate.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1257061035026
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} - hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\XP\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\XP\Avira\AntiVir Desktop\avguard.exe
O23 - Service: avast! Antivirus - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe
O23 - Service: avast! Mail Scanner - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe
O23 - Service: avast! Web Scanner - ALWIL Software - D:\XP\AnVrs\AvastSvc.exe
O23 - Service: AVM WLAN Connection Service - AVM Berlin - C:\Programme\avmwlanstick\WlanNetService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: Logitech Bluetooth Service (LBTServ) - Logitech, Inc. - C:\Programme\Gemeinsame Dateien\Logishrd\Bluetooth\LBTServ.exe

--
End of file - 5198 bytes

Ich habe Aviras AntiVir im Abgesichertem Modus durchlaufen lassen. Avast! ließ sich dort nicht starten/reparieren. Hier das Logfile. Die Dateiheuristik wird im Log mit mittel angegeben, ist in der Konfiguration allerdings auf hoch eingestellt. Vielleicht liegt das an der Freeware Version, wissen tu ich das allerdings nicht.


Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Freitag, 2. April 2010 02:58

Es wird nach 1953431 Virenstämmen gesucht.

Lizenznehmer : Avira AntiVir Personal - FREE Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Abgesicherter Modus
Benutzername : XXKrabbe
Computername : CAR

Versionsinformationen:
BUILD.DAT : 9.0.0.422 21701 Bytes 09.03.2010 10:23:00
AVSCAN.EXE : 9.0.3.10 466689 Bytes 20.11.2009 01:53:49
AVSCAN.DLL : 9.0.3.0 49409 Bytes 13.02.2009 12:04:10
LUKE.DLL : 9.0.3.2 209665 Bytes 20.02.2009 11:35:44
LUKERES.DLL : 9.0.2.0 13569 Bytes 26.01.2009 10:41:59
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 01:53:42
VBASE001.VDF : 7.10.1.0 1372672 Bytes 19.11.2009 01:53:45
VBASE002.VDF : 7.10.3.1 3143680 Bytes 20.01.2010 15:28:25
VBASE003.VDF : 7.10.3.75 996864 Bytes 26.01.2010 20:20:08
VBASE004.VDF : 7.10.4.203 1579008 Bytes 05.03.2010 08:15:52
VBASE005.VDF : 7.10.4.204 2048 Bytes 05.03.2010 08:15:52
VBASE006.VDF : 7.10.4.205 2048 Bytes 05.03.2010 08:15:53
VBASE007.VDF : 7.10.4.206 2048 Bytes 05.03.2010 08:15:53
VBASE008.VDF : 7.10.4.207 2048 Bytes 05.03.2010 08:15:53
VBASE009.VDF : 7.10.4.208 2048 Bytes 05.03.2010 08:15:53
VBASE010.VDF : 7.10.4.209 2048 Bytes 05.03.2010 08:15:53
VBASE011.VDF : 7.10.4.210 2048 Bytes 05.03.2010 08:15:54
VBASE012.VDF : 7.10.4.211 2048 Bytes 05.03.2010 08:15:54
VBASE013.VDF : 7.10.4.242 153088 Bytes 08.03.2010 11:33:46
VBASE014.VDF : 7.10.5.17 99328 Bytes 10.03.2010 16:36:49
VBASE015.VDF : 7.10.5.44 107008 Bytes 11.03.2010 16:36:49
VBASE016.VDF : 7.10.5.69 92672 Bytes 12.03.2010 16:07:46
VBASE017.VDF : 7.10.5.91 119808 Bytes 15.03.2010 04:01:15
VBASE018.VDF : 7.10.5.121 112640 Bytes 18.03.2010 00:29:53
VBASE019.VDF : 7.10.5.138 139776 Bytes 18.03.2010 00:29:54
VBASE020.VDF : 7.10.5.164 113152 Bytes 22.03.2010 09:11:04
VBASE021.VDF : 7.10.5.182 108032 Bytes 23.03.2010 09:11:04
VBASE022.VDF : 7.10.5.199 123904 Bytes 24.03.2010 09:11:04
VBASE023.VDF : 7.10.5.217 279552 Bytes 25.03.2010 09:11:05
VBASE024.VDF : 7.10.5.234 202240 Bytes 26.03.2010 09:11:06
VBASE025.VDF : 7.10.5.254 187904 Bytes 30.03.2010 19:39:32
VBASE026.VDF : 7.10.5.255 2048 Bytes 30.03.2010 19:39:32
VBASE027.VDF : 7.10.6.0 2048 Bytes 30.03.2010 19:39:32
VBASE028.VDF : 7.10.6.1 2048 Bytes 30.03.2010 19:39:32
VBASE029.VDF : 7.10.6.2 2048 Bytes 30.03.2010 19:39:32
VBASE030.VDF : 7.10.6.3 2048 Bytes 30.03.2010 19:39:32
VBASE031.VDF : 7.10.6.16 134144 Bytes 01.04.2010 19:39:33
Engineversion : 8.2.1.210
AEVDF.DLL : 8.1.1.3 106868 Bytes 25.01.2010 20:15:50
AESCRIPT.DLL : 8.1.3.24 1282425 Bytes 01.04.2010 19:39:36
AESCN.DLL : 8.1.5.0 127347 Bytes 26.02.2010 19:21:00
AESBX.DLL : 8.1.2.1 254323 Bytes 18.03.2010 04:01:32
AERDL.DLL : 8.1.4.3 541043 Bytes 18.03.2010 04:01:26
AEPACK.DLL : 8.2.1.1 426358 Bytes 21.03.2010 00:30:01
AEOFFICE.DLL : 8.1.0.41 201083 Bytes 18.03.2010 04:01:24
AEHEUR.DLL : 8.1.1.16 2503031 Bytes 27.03.2010 09:11:12
AEHELP.DLL : 8.1.11.3 242039 Bytes 01.04.2010 19:39:35
AEGEN.DLL : 8.1.3.6 373108 Bytes 01.04.2010 19:39:34
AEEMU.DLL : 8.1.1.0 393587 Bytes 06.11.2009 13:30:40
AECORE.DLL : 8.1.13.1 188790 Bytes 01.04.2010 19:39:33
AEBB.DLL : 8.1.0.3 53618 Bytes 09.10.2008 14:32:40
AVWINLL.DLL : 9.0.0.3 18177 Bytes 12.12.2008 08:47:56
AVPREF.DLL : 9.0.3.0 44289 Bytes 06.11.2009 13:31:43
AVREP.DLL : 8.0.0.7 159784 Bytes 18.02.2010 19:28:21
AVREG.DLL : 9.0.0.0 36609 Bytes 07.11.2008 15:25:04
AVARKT.DLL : 9.0.0.3 292609 Bytes 24.03.2009 15:05:37
AVEVTLOG.DLL : 9.0.0.7 167169 Bytes 30.01.2009 10:37:04
SQLITE3.DLL : 3.6.1.0 326401 Bytes 28.01.2009 15:03:49
SMTPLIB.DLL : 9.2.0.25 28417 Bytes 02.02.2009 08:21:28
NETNT.DLL : 9.0.0.0 11521 Bytes 07.11.2008 15:41:21
RCIMAGE.DLL : 9.0.0.25 2438913 Bytes 01.04.2010 19:39:32
RCTEXT.DLL : 9.0.73.0 87297 Bytes 20.11.2009 01:53:25

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\xp\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: löschen
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, D:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Freitag, 2. April 2010 02:58

Der Suchlauf nach versteckten Objekten wird begonnen.
Der Treiber konnte nicht initialisiert werden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AvastUI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MsMpEng.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '13' Prozesse mit '13' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Bootsektor 'D:\'
[INFO] Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '50' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <FESTPLATTE>
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\NOS\Adobe_Downloads\nos_3289.dat
[0] Archivtyp: NSIS
--> [UnknownDir]/NPSWF32_FlashUtil.exe
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
[WARNUNG] Aus diesem Archiv können keine weiteren Dateien ausgepackt werden. Das Archiv wird geschlossen.
Beginne mit der Suche in 'D:\' <Volume>
D:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
[HINWEIS] Bei dieser Datei handelt es sich um eine Windows Systemdatei.
[HINWEIS] Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.


Ende des Suchlaufs: Freitag, 2. April 2010 03:50
Benötigte Zeit: 52:04 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

4928 Verzeichnisse wurden überprüft
128328 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
2 Dateien konnten nicht durchsucht werden
128326 Dateien ohne Befall
1686 Archive wurden durchsucht
4 Warnungen
2 Hinweise

Avira AntiVir hat bei mir in C:\Windows\Temp\_avast5_\unp113296976.tmp

In diesen Ordner entpackt avast Dateien während er sie scannt. Normalerweise werden diese nach dem Scan wieder entfernt. Es sei denn, es kommt Avira daher und blockt den Zugriff.

TR/crypt.xpack.gen gefunden

.gen bedeutet heuristische Erkennung, die häufig Fehlalarme produziert. In diesem Fall ist es höchstwahrscheinlich ein Fehlalarm.

Zwei AV-Programme bringen keinen Mehrnutzen, behindern sich gegenseitig und können sogar zur Instabilität und Abstürzen des Systems führen. Entscheide dich für eins und deinstalliere das andere.

Hallo Sion,

erstmal Danke für die Entwarnung. Werde gleich mal versuchen Malwarebytes laufen zu lassen ohne Avast!. Dann müßte Avira sich ja nicht mehr melden. Ich wollte mir Avast! mal ansehen und dann entscheiden, was deinstalliert wird. Eine Frage habe ich allerdings noch. Ich kenne mich mit Windowsdateien überhaupt nicht aus, und wollte deshalb wissen, ob es normal ist, das ich den Windows\System32 Ordner zweimal habe (Einmal grosses S einmal klein), der Expolrer mir aber nur einen anzeigt? Siehe Highjackthis log im ersten Beitrag.

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe <------
C:\Programme\Windows Defender\MsMpEng.exe
C:\WINDOWS\System32\svchost.exe <------

Das ist ein und derselbe Ordner, der von HJT mal so und mal so genannt wird. Keine Ahnung warum. Kannst dir ja mal ein paar Threads hier mit Logs anschauen - ist vollkommen normal.

Zitat von Krabbe111

Ich kenne mich mit Windowsdateien überhaupt nicht aus, und wollte deshalb wissen, ob es normal ist, das ich den Windows\System32 Ordner zweimal habe (Einmal grosses S einmal klein),

Hallo,

Anders wie Linux unterscheidet Windows im Dateisystem nicht zwischen Groß- und Kleinschreibung...

Keine Meldung mehr von AntiVir, wenn Malwarebytes scant. War ja eh nur falscher Alarm. Ich werde jetzt mal Avast! versuchen und Avira löschen, denke Avast! hat noch ein paar funktionen mehr (Email, Download und Firewall ?).
Das mit der Groß- und Kleinschreibung der Ordner erschient mir eigenartig, den im Explorer kann man sowohl Grosse und Kleien erstellen, die Information muß also gespeichert sein...aber was ist nicht eigenartig an Windows. http://www.trojaner-board.de/images/smilies/smile.gif

Vielen Dank nochmal an Sion und Cosinus, hatte nach der Meldung erstmal einen Schreck bekommen, gut das es das Trojanerboard gibt.

Gruß Carsten