AV findet ftpsteal[1], frame[1] in ordner content.ie5. Lassen sich nicht entfernen!

Orry31

So...

Bin CCleaner durchgegangen und hab die Anleitung befolgt...
Bei der 1. Suche hat er allerdings immer wieder etwas gefunden, wie oft ich das auch gemacht habe.
Die Registry hat er aufgeräumt und keine Fehler mehr gefunden.

Dann cofi.exe...
Der PC musste sich zwischendurch immer mal wieder neu starten... dann hat er allerdings auch immer mein Ad-aware und antivir gestartet (autostart)... konnte das nicht ausschalten. Hatte auch Angst, da man ja nicht die Maus bewegen sollte...

Aber er hat nicht abgebrochen. Allerdings kam bei jedem Start gleich wieder eine Antivir-Meldung (TR/Gendal)...

Hier das cofi-Log:

ComboFix 10-04-18.04 - Administrator 19.04.2010 19:00:57.1.4 - x86
ausgeführt von:: e:\dokumente und einstellungen\Administrator\Desktop\cofi.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

e:\windows\jestertb.dll
e:\windows\system32\msxsltsso.dll
e:\windows\system32\uZQEtNDuIS.dll
e:\windows\system32\winlogon.bak

e:\windows\system32\drivers\ndis.sys . . . ist infiziert!!

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_MSUPDATE
-------\Legacy_SSHNAS


((((((((((((((((((((((( Dateien erstellt von 2010-03-19 bis 2010-04-19 ))))))))))))))))))))))))))))))
.

2010-04-19 17:14 . 2010-04-19 17:14 -------- d-----w- e:\windows\system32\xircom
2010-04-19 17:14 . 2010-04-19 17:14 -------- d-----w- e:\windows\system32\wbem\snmp
2010-04-19 17:14 . 2010-04-19 17:14 -------- d-----w- e:\programme\microsoft frontpage
2010-04-19 16:38 . 2010-04-19 16:38 -------- d-----w- e:\programme\CCleaner
2010-04-17 00:09 . 2010-04-17 00:09 -------- d-----w- e:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2010-04-17 00:09 . 2010-03-29 22:46 38224 ----a-w- e:\windows\system32\drivers\mbamswissarmy.sys
2010-04-17 00:09 . 2010-04-17 00:09 -------- d-----w- e:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-04-17 00:09 . 2010-04-17 00:09 -------- d-----w- e:\programme\Malwarebytes' Anti-Malware
2010-04-17 00:09 . 2010-03-29 22:45 20824 ----a-w- e:\windows\system32\drivers\mbam.sys
2010-04-15 16:03 . 2010-04-15 16:03 -------- d-----w- e:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\softonic-de3
2010-04-15 16:03 . 2010-04-15 16:03 -------- d-----w- e:\programme\Conduit
2010-04-15 16:03 . 2010-04-15 16:03 -------- d-----w- e:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\Conduit
2010-04-15 16:03 . 2010-04-15 16:03 -------- d-----w- e:\programme\softonic-de3
2010-04-15 16:03 . 2010-04-15 16:03 -------- d-----w- e:\programme\Trend Micro
2010-04-13 18:47 . 2010-04-13 18:47 212736 -c--a-w- e:\windows\system32\dllcache\ndis.sys
2010-04-13 06:45 . 2010-04-13 06:45 -------- d-----w- e:\dokumente und einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Adobe
2010-04-12 17:59 . 2010-04-12 17:59 -------- d-----w- e:\dokumente und einstellungen\Administrator\Anwendungsdaten\Acoustica Premium
2010-04-11 18:10 . 2010-04-11 18:10 -------- d-----w- E:\spoolerlogs
2010-04-11 17:40 . 2008-11-03 15:09 348160 ----a-w- e:\windows\system32\msvcr71.dll
2010-04-08 17:59 . 2010-04-08 17:59 -------- d-----w- e:\programme\Digidesign
2010-04-08 17:59 . 2010-04-08 17:59 -------- d-----w- e:\programme\Antares
2010-04-08 17:57 . 2010-04-08 18:04 -------- d-----w- e:\programme\Antares Audio Technologies
2010-04-08 17:56 . 2010-04-08 17:56 -------- d-----w- e:\programme\Voxengo
2010-04-08 17:53 . 2010-04-08 17:57 -------- d-----w- e:\programme\Vstplugins
2010-04-02 12:09 . 2008-10-28 21:10 3833856 ----a-w- e:\windows\system32\cdintf300.dll
2010-03-27 14:21 . 2010-03-27 14:21 -------- d-----w- e:\dokumente und einstellungen\Administrator\Anwendungsdaten\TeamViewer
2010-03-27 14:21 . 2010-03-27 14:21 -------- d-----w- e:\programme\TeamViewer

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-04-18 21:56 . 2008-11-07 23:28 105728 ----a-w- e:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-04-16 05:52 . 2009-11-04 18:40 -------- d-----w- e:\programme\JDownloader
2010-04-15 16:59 . 2003-04-02 12:00 85510 ----a-w- e:\windows\system32\perfc007.dat
2010-04-15 16:59 . 2003-04-02 12:00 461912 ----a-w- e:\windows\system32\perfh007.dat
2010-04-13 18:53 . 2008-09-14 16:18 36352 ----a-w- e:\windows\system32\drivers\disk.sys
2010-04-13 18:47 . 2008-09-14 16:18 212736 ----a-w- e:\windows\system32\drivers\ndis.sys
2010-04-11 17:44 . 2009-08-19 20:46 -------- d-----w- e:\programme\Acoustica Shared Effects
2010-04-11 17:44 . 2009-08-19 20:45 -------- d-----w- e:\programme\Acoustica Mixcraft 4
2010-04-08 18:00 . 2009-08-20 18:10 -------- d-----w- e:\programme\VST
2010-04-04 09:04 . 2009-06-01 10:47 -------- d-----w- e:\programme\pdf24
2010-04-02 12:07 . 2008-12-15 09:51 -------- d-----w- e:\programme\WISO
2010-04-02 12:07 . 2008-11-07 23:22 -------- d--h--w- e:\programme\InstallShield Installation Information
2010-03-31 20:20 . 2008-11-08 10:43 -------- d-----w- e:\dokumente und einstellungen\Administrator\Anwendungsdaten\Skype
2010-03-13 16:22 . 2010-03-13 16:22 -------- d-----w- e:\programme\IObit
2010-03-13 16:22 . 2010-03-13 16:22 -------- d-----w- e:\dokumente und einstellungen\Administrator\Anwendungsdaten\IObit
2010-03-13 01:48 . 2010-03-13 01:39 -------- d-----w- e:\programme\ATI
2010-03-13 01:40 . 2008-11-07 23:22 -------- d-----w- e:\programme\ATI Technologies
2010-03-13 00:25 . 2008-11-08 12:44 -------- d-----w- e:\programme\TuneUp Utilities 2008
2010-03-13 00:25 . 2010-03-13 00:25 307968 ----a-w- e:\windows\system32\TuneUpDefragService.exe
2010-02-03 04:52 . 2008-06-03 06:20 4605952 ----a-w- e:\windows\system32\drivers\ati2mtag.sys
2010-02-03 04:12 . 2010-03-13 01:40 45056 ----a-w- e:\windows\system32\aticalrt.dll
2010-02-03 04:12 . 2010-03-13 01:40 45056 ----a-w- e:\windows\system32\aticalcl.dll
2010-02-03 04:10 . 2010-03-13 01:40 3633152 ----a-w- e:\windows\system32\aticaldd.dll
2010-02-03 04:07 . 2008-11-07 23:22 311296 ----a-w- e:\windows\system32\atiiiexx.dll
2010-02-03 04:02 . 2008-09-24 02:09 14188544 ----a-w- e:\windows\system32\atioglxx.dll
2010-02-03 03:50 . 2008-06-03 02:59 3566048 ----a-w- e:\windows\system32\ati3duag.dll
2010-02-03 03:40 . 2008-11-07 23:22 446464 ----a-w- e:\windows\system32\ATIDEMGX.dll
2010-02-03 03:39 . 2008-06-03 03:21 301568 ----a-w- e:\windows\system32\ati2dvag.dll
2010-02-03 03:35 . 2008-06-03 02:48 2176640 ----a-w- e:\windows\system32\ativvaxx.dll
2010-02-03 03:34 . 2008-11-07 23:22 887724 ----a-w- e:\windows\system32\ativva6x.dat
2010-02-03 03:34 . 2008-11-07 23:22 3 ----a-w- e:\windows\system32\ativva5x.dat
2010-02-03 03:32 . 2008-06-03 03:04 397312 ----a-w- e:\windows\system32\atiok3x2.dll
2010-02-03 03:23 . 2008-06-03 03:11 208896 ----a-w- e:\windows\system32\atipdlxx.dll
2010-02-03 03:23 . 2008-06-03 03:11 155648 ----a-w- e:\windows\system32\Oemdspif.dll
2010-02-03 03:23 . 2008-06-03 03:11 26112 ----a-w- e:\windows\system32\Ati2mdxx.exe
2010-02-03 03:23 . 2008-06-03 03:11 43520 ----a-w- e:\windows\system32\ati2edxx.dll
2010-02-03 03:22 . 2008-06-03 03:11 159744 ----a-w- e:\windows\system32\ati2evxx.dll
2010-02-03 03:21 . 2008-06-03 03:09 602112 ----a-w- e:\windows\system32\ati2evxx.exe
2010-02-03 03:19 . 2008-06-03 03:08 53248 ----a-w- e:\windows\system32\ATIDDC.DLL
2010-02-03 03:19 . 2010-03-13 01:40 143360 ----a-w- e:\windows\system32\atiapfxx.exe
2010-02-03 03:18 . 2010-03-13 01:40 65024 ----a-w- e:\windows\system32\atimpc32.dll
2010-02-03 03:18 . 2008-06-03 02:33 65024 ----a-w- e:\windows\system32\amdpcom32.dll
2010-02-03 03:17 . 2008-06-03 02:27 53248 ----a-w- e:\windows\system32\drivers\ati2erec.dll
2010-02-03 03:15 . 2008-06-03 02:29 565248 ----a-w- e:\windows\system32\atikvmag.dll
2010-02-03 03:12 . 2008-06-03 02:28 180224 ----a-w- e:\windows\system32\atiadlxx.dll
2010-02-03 03:12 . 2008-06-03 02:28 17408 ----a-w- e:\windows\system32\atitvo32.dll
2010-02-03 03:06 . 2008-06-03 02:21 638976 ----a-w- e:\windows\system32\ati2cqag.dll
2010-01-27 14:28 . 2009-11-05 21:46 15880 ----a-w- e:\windows\system32\lsdelete.exe
.

------- Sigcheck -------

[-] 2010-04-13 . B5B1080D35974C0E718D64280761BCD5 . 212736 . . [5.1.2600.5588] . . e:\windows\system32\drivers\ndis.sys
[-] 2010-04-13 . B5B1080D35974C0E718D64280761BCD5 . 212736 . . [5.1.2600.5588] . . e:\windows\system32\dllcache\ndis.sys

[-] 2008-11-08 . 413F6D9D4326E02541CD4988A52247E7 . 513024 . . [5.1.2600.5587] . . e:\windows\system32\winlogon.exe
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\Webbrowser]
"{3041D03E-FD4B-44E0-B742-2D9B88305F98}"= "e:\programme\AskBarDis\bar\bin\askBar.dll" [2008-08-26 279944]

[HKEY_CLASSES_ROOT\clsid\{3041d03e-fd4b-44e0-b742-2d9b88305f98}]
[HKEY_CLASSES_ROOT\TypeLib\{4b1c1e16-6b34-430e-b074-5928eca4c150}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StartCCC"="e:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2008-01-21 61440]
"iTunesHelper"="e:\programme\iTunes\iTunesHelper.exe" [2009-09-21 305440]
"avgnt"="e:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"H2O"="e:\programme\SyncroSoft\Pos\H2O\cledx.exe" [2005-10-22 385024]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"ShowDeskFix"="shell32" [X]
"_nltide_3"="advpack.dll" [2008-09-14 124928]
"IE7"="advpack.dll" [2008-09-14 124928]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoResolveTrack"= 1 (0x1)

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoResolveTrack"= 1 (0x1)

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Lavasoft Ad-Aware Service]
@="Service"

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=

R0 feahbqnf;feahbqnf; [x]
R3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;e:\programme\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 1527900]
R3 FlashUSB;FlashUSB;e:\windows\system32\DRIVERS\FlashUSB.sys [2009-05-12 16896]
R3 SynasUSB;SynasUSB;e:\windows\system32\drivers\SynasUSB.sys [2006-01-29 16896]
R3 WinRM;Windows Remote Management (WS-Management);e:\windows\system32\svchost.exe [2008-04-14 14336]
R4 sptd;sptd;e:\windows\system32\Drivers\sptd.sys [2009-08-22 722416]
S0 Lbd;Lbd;e:\windows\system32\DRIVERS\Lbd.sys [2009-09-23 64288]
S2 AAV UpdateService;AAV UpdateService;e:\programme\Akademische Arbeitsgemeinschaft\AAVUpdateManager\aavus.exe [2008-10-24 128296]
S2 AntiVirSchedulerService;Avira AntiVir Planer;e:\programme\Avira\AntiVir Desktop\sched.exe [2009-05-13 108289]
S2 Lavasoft Ad-Aware Service;Lavasoft Ad-Aware Service;e:\programme\Lavasoft\Ad-Aware\AAWService.exe [2010-02-04 1181328]
S2 mi-raysat_3dsMax2009_32;mental ray 3.6 Satellite for Autodesk 3ds Max 2009 32-bit 32-bit;e:\programme\Autodesk\3ds Max 2009\mentalray\satellite\raysat_3dsMax2009_32server.exe [2008-03-19 65536]
S2 TeamViewer5;TeamViewer 5;e:\programme\TeamViewer\Version5\TeamViewer_Service.exe [2010-03-18 172328]
S3 CLEDX;Team H2O CLEDX service;e:\windows\system32\DRIVERS\cledx.sys [2005-05-09 33792]
S3 LgBttPort;LGE Bluetooth TransPort;e:\windows\system32\DRIVERS\lgbtport.sys [2009-09-29 12160]
S3 lgbusenum;LG Bluetooth Bus Enumerator;e:\windows\system32\DRIVERS\lgbtbus.sys [2009-09-29 10496]
S3 LGVMODEM;LGE Virtual Modem;e:\windows\system32\DRIVERS\lgvmodem.sys [2009-09-29 12928]


[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\svchost]
WINRM REG_MULTI_SZ WINRM

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost - NetSvcs
UxTuneUp
.
Inhalt des "geplante Tasks" Ordners

2010-04-19 e:\windows\Tasks\1-Klick-Wartung.job
- e:\programme\TuneUp Utilities 2008\OneClickStarter.exe [2010-03-13 08:58]

2010-04-19 e:\windows\Tasks\Ad-Aware Update (Daily 1).job
- e:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-10-01 20:28]

2010-04-19 e:\windows\Tasks\Ad-Aware Update (Daily 2).job
- e:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-10-01 20:28]

2010-04-19 e:\windows\Tasks\Ad-Aware Update (Daily 3).job
- e:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-10-01 20:28]

2010-04-19 e:\windows\Tasks\Ad-Aware Update (Daily 4).job
- e:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-10-01 20:28]

2010-04-19 e:\windows\Tasks\Ad-Aware Update (Weekly).job
- e:\programme\Lavasoft\Ad-Aware\Ad-AwareAdmin.exe [2009-10-01 20:28]

2010-04-16 e:\windows\Tasks\AppleSoftwareUpdate.job
- e:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]
.
.
------- Zusätzlicher Suchlauf -------
.
FF - ProfilePath - e:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\nwu78cd5.default\
FF - prefs.js: browser.search.selectedEngine - search for firefox
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de
FF - prefs.js: keyword.URL - hxxp://www.finduny.com?client=mozilla-firefox&cd=UTF-8&search=1&q=
FF - plugin: e:\programme\Virtual Earth 3D\npVE3D.dll

---- FIREFOX Richtlinien ----
FF - user.js: keyword.URL - hxxp://www.finduny.com?client=mozilla-firefox&cd=UTF-8&search=1&q=
FF - user.js: dom.disable_window_status_change - false
FF - user.js: privacy.item.cookies - false
FF - user.js: privacy.sanitize.promptOnSanitize - false
FF - user.js: browser.search.selectedEngine - search for firefox
FF - user.js: browser.search.order.1 - search for firefox
FF - user.js: browser.search.defaultenginename - search for firefox
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

WebBrowser-{CC05A3E3-64C3-4AF2-BFC1-AF0D66B69065} - (no file)
SSODL-GootkitSSO-{DA5CEA94-99B8-4DE9-99F5-88D8E9E915EF} - e:\windows\System32\msxsltsso.dll



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-04-19 19:15
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, hxxp://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntkrnlpa.exe >>UNKNOWN [0x8A5F6580]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xba10cf28
\Driver\ACPI -> ACPI.sys @ 0xb9f7ecb8
\Driver\atapi -> atapi.sys @ 0xb9f10852
IoDeviceObjectType -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
ParseProcedure -> ntkrnlpa.exe @ 0x805827e8
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntkrnlpa.exe @ 0x805836a8
ParseProcedure -> ntkrnlpa.exe @ 0x805827e8
NDIS: Realtek RTL8168C(P)/8111C(P) PCI-E Gigabit Ethernet NIC -> SendCompleteHandler -> NDIS.sys @ 0x8a5ddbb0
PacketIndicateHandler -> NDIS.sys @ 0x8a5cca0d
SendHandler -> NDIS.sys @ 0x8a5e0b40
user & kernel MBR OK

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\Installer\UserData\LocalSystem\Components\h–€|ÿÿÿÿ¤•€|ù•6~*]
"7040110900063D11C8EF10054038389C"="E?\\WINDOWS\\system32\\FM20ENU.DLL"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(836)
e:\windows\system32\Ati2evxx.dll
e:\windows\system32\atiadlxx.dll

- - - - - - - > 'explorer.exe'(7992)
e:\windows\system32\msi.dll
e:\windows\system32\wpdshserviceobj.dll
e:\windows\system32\portabledevicetypes.dll
e:\windows\system32\portabledeviceapi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
e:\windows\system32\Ati2evxx.exe
e:\windows\system32\Ati2evxx.exe
e:\programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACService.exe
e:\programme\Avira\AntiVir Desktop\avguard.exe
e:\programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
e:\programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
e:\programme\Bonjour\mDNSResponder.exe
e:\programme\Nero\Nero8\Nero BackItUp\NBService.exe
e:\programme\iPod\bin\iPodService.exe
e:\programme\TeamViewer\Version5\TeamViewer.exe
e:\programme\Lavasoft\Ad-Aware\AAWTray.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-04-19 19:22:39 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-04-19 17:22

Vor Suchlauf: 8 Verzeichnis(se), 220.794.863.616 Bytes frei
Nach Suchlauf: 10 Verzeichnis(se), 220.768.845.824 Bytes frei

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(2)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(2)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect /usepmtimer

- - End Of File - - 78C9F7105779FEA50599DC1D24674197