AntiVir findet dauernd "TR/PSW.Zbot.133169.Y"

Plasmodium · 30.06.2010, 19:02

Guten Tag,

mein AntiVir alamiert mich dauernd wegen einer gefundenen Maleware namens "TR/PSW.Zbot.133169.Y". Versuche diese zu löschen sind leider fehl geschlagen. Ich habe mir bereits das andere Thema hier im Forum durch gelesen, bei dem ein User die gleichen Probleme beschrieb. Soll ich einfach der bereits vorhandenen Anleitung folgen oder müssen für jeden einzelnen Entfernungsprozeß auf unterschiedlichen Rechnern systemabhängige Konfigurationen an den Programmen die den Virus entfernen sollen vorgenommen werden ?

Hier noch der HiJackLog:

HiJackthis Logfile:

Code:

ATTFilter

Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 19:57:10, on 30.06.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal
 
Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\rundll32.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
C:\Programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\****\Eigene Dateien\Bw Sachen\Chaos Launcher\Chaoslauncher.exe
C:\WINDOWS\system32\javaw.exe
C:\Programme\Mozilla Firefox\firefox.exe
c:\programme\avira\antivir desktop\avcenter.exe
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\Dokumente und Einstellungen\****\Eigene Dateien\FF Downloads\HiJackThis204.exe
 
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://search.live.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = www.google.de
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://search.live.com/sphome.aspx
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: SkypeIEPluginBHO - {AE805869-2E5C-4ED4-8F7B-F1F7851A4497} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\SoundMAX\SMax4PNP.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [StartCCC] "C:\Programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" MSRun
O4 - HKLM\..\Run: [BearShare] "C:\Programme\BearShare\BearShare.exe" /pause
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Wtesuwimuwes] rundll32.exe "C:\WINDOWS\madmubdr.dll",Startup
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Free YouTube to Mp3 Converter - C:\Dokumente und Einstellungen\****\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubetomp3.htm
O9 - Extra button: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra 'Tools' menuitem: Skype add-on for Internet Explorer - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {88D969C0-F192-11D4-A65F-0040963251E5} (XML DOM Document 4.0) - file://C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\EI40_\msxml4.cab
O18 - Protocol: skype-ie-addon-data - {91774881-D725-4E58-B298-07617B9B86A8} - C:\Programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.DLL
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
 
--
End of file - 6436 bytes

--- --- ---

Was kann ich machen um den Virus runter zu bekommen ?

Larusso · 01.07.2010, 08:24

Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.

Bitte arbeite alle Schritte der Reihe nach ab.
Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
Bitte kein Crossposting ( posten in mehreren Foren).
Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.

Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.

Schritt 1

Downloade OTS.exe und speichere es unbedingt auf Deinem Desktop. Doppelklick auf die OTS.exe
Wenn Dein Anti-Viren-Programm bei OTS Meldung macht, erlaube es.

Mache einen Haken bei "Scan All Users und Include MD5".

Kopiere folgenden Text in die

Box.

Code:

ATTFilter

NetSvcs
Drivers32
%SYSTEMDRIVE%\*.exe
%systemroot%\*. /mp /s
CREATERESTOREPOINT
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\system32\drivers\*.sys /90
%systemroot%\system32\ws2help.dll /md5
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs

Unter der Box klicke auf den Button.
Hake nun folgende Einträge an:
- Reg- Active Sub Paths
- App Paths
- Approved Shell Extensions
- Disabled MS Config Items
- File Lop Check
- File Purity Check
Mache währenddessen nichts anderes an dem Rechner.
Wenn der Scan durchgeführt ist (Scan complete!), öffnet sich der Editor mit dem Logfile.
Auch zu finden auf dem Desktop ( OTS.txt )
Schließe nun alle laufenden Programme sowie deinen Browser.
Klicke auf den links oben, um die Untersuchung zu starten

Hänge diese Log bitte hier an, die ist nicht gerade kurz.

Bitte poste in Deiner nächsten Antwort
OTS.txt (angehängt)

Plasmodium · 01.07.2010, 10:52

Super, danke für die schnelle Hilfe

.
Ich spiele schon wieder mit dem Gedanken alles zu formatieren. Nur habe ich langsam keine lust mehr darauf schon wieder alle Daten zu verlieren...
Die OST.txt kann nicht angehangen werden da zu groß, soll ich sie einfach hier rein posten ?

Larusso · 01.07.2010, 11:06

Lade die Logfile bitte bei File-Upload.net hoch und poste mir den Downloadlink.

Plasmodium · 01.07.2010, 11:24

Ok danke, hier : hxxp://www.file-upload.net/download-2640204/OTS.Txt.html

Larusso · 01.07.2010, 12:01

Schritt 2

Starte bitte OTS.

Kopiere nun folgendes in die

Box.

Code:

ATTFilter

[Kill All Processes]
[Unregister Dlls]
[Registry - Safe List]
< BHO's [HKEY_LOCAL_MACHINE] > -> HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
YN -> {5C255C8A-E604-49b4-9D64-90988571CECB} [HKLM] -> Reg Error: Key error. [Reg Error: Key error.]
< Run [HKEY_CURRENT_USER\] > -> HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run
YY -> "Wtesuwimuwes" -> C:\WINDOWS\madmubdr.DLL [rundll32.exe "C:\WINDOWS\madmubdr.dll",Startup]
< Drives with AutoRun files > -> 
NY -> D:\AUTORUN.INF  -> D:\AUTORUN.INF [ CDFS ]
[Registry - Additional Scans - Safe List]
< ActiveX StubPath [HKEY_LOCAL_MACHINE\] > -> HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\
YN -> {283807B5-2C60-11D0-A31D-00AA00B92C03} [HKLM] -> Reg Error: Key error. [(default): DirectAnimation; IsInstalled: 1]
YN -> {36f8ec70-c29a-11d1-b5c7-0000f8051515} [HKLM] -> Reg Error: Key error. [(default): Dynamic HTML-Datenbindung für Java; IsInstalled: 1]
YN -> {3af36230-a269-11d1-b5bf-0000f8051515} [HKLM] -> Reg Error: Key error. [(default): Offline Browsing Pack; IsInstalled: 1]
YN -> {3bf42070-b3b1-11d1-b5c5-0000f8051515} [HKLM] -> Reg Error: Key error. [(default): Uniscribe; IsInstalled: 1]
YN -> {3C3901C5-3455-3E0A-A214-0B093A5070A6} [HKLM] -> Reg Error: Key error. [(default): .NET Framework]
YN -> {4278c270-a269-11d1-b5bf-0000f8051515} [HKLM] -> Reg Error: Key error. [(default): Erweitertes Authoring; IsInstalled: 1]
[Empty Temp Folders]
[Reboot]

Schließe nun alle laufenden Programme. Speichere offene Dokumente ab.
Klicke auf den

Button.

Der Fix dauert nicht lange.

Schritt 2

Lade ComboFix von einem der unten aufgeführten Links herunter. Du musst diese umbenennen, bevor Du es auf den Desktop speicherst. Speichere ComboFix auf deinen Desktop.

**NB: Es ist wichtig, das ComboFix.exe auf dem Desktop gespeichert wird**

Deaktivere Deine Anti-Virus- und Anti-Spyware-Programme. Normalerweise kannst Du dies über einen Rechtsklick auf das Systemtray-Icon tun. Die Programme könnten sonst eventuell unsere Programme bei deren Arbeit stören.
Doppel-klicke auf ComboFix.exe und folge den Aufforderungen.
- Wenn ComboFix fertig ist, wird es ein Log für dich erstellen.
- Bitte poste mir den Inhalt von C:\ComboFix.txt hier in de Thread.

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Bitte poste in Deiner nächsten Antwort
OTS Fix. Log
Combo-Fix.txt

Plasmodium · 01.07.2010, 13:20

OTS LOG:

Zitat:

All Processes Killed
[Registry - Safe List]
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
Registry value HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\\Wtesuwimuwes deleted successfully.
DllUnregisterServer procedure not found in C:\WINDOWS\madmubdr.DLL
C:\WINDOWS\madmubdr.DLL moved successfully.
File move failed. D:\AUTORUN.INF scheduled to be moved on reboot.
[Registry - Additional Scans - Safe List]
[Empty Temp Folders]

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: LocalService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Neo
->Temp folder emptied: 558379795 bytes
->Temporary Internet Files folder emptied: 158212138 bytes
->Java cache emptied: 12182968 bytes
->FireFox cache emptied: 84183327 bytes
->Flash cache emptied: 46347 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 1141000 bytes
->Flash cache emptied: 1530 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 1119649 bytes
%systemroot%\System32 .tmp files removed: 3771271 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 22732254 bytes
RecycleBin emptied: 8088856 bytes

Total Files Cleaned = 811,00 mb

< End of fix log >
OTS by OldTimer - Version 3.1.31.2 fix logfile created on 07012010_131131

Files\Folders moved on Reboot...
File move failed. D:\AUTORUN.INF scheduled to be moved on reboot.

Registry entries deleted on Reboot...

Combo-Fix log:

Combofix Logfile:

Code:

ATTFilter

ComboFix 10-06-30.03 - Neo 01.07.2010  13:36:08.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2559.2150 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\Neo\Desktop\Combo-Fix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\Neo\Anwendungsdaten\Akosa
c:\dokumente und einstellungen\Neo\Anwendungsdaten\Akosa\noqay.exe

Infizierte Kopie von c:\windows\system32\midimap.dll wurde gefunden und desinfiziert 
Kopie von - c:\windows\NiwradSoft Shell Pack\Backup\midimap.dll wurde wiederhergestellt 

.
(((((((((((((((((((((((   Dateien erstellt von 2010-06-01 bis 2010-07-01  ))))))))))))))))))))))))))))))
.

2010-07-01 11:11 . 2010-07-01 11:11	--------	d-----w-	C:\_OTS
2010-06-30 16:10 . 2010-06-30 16:10	63488	----a-w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\SD10006.dll
2010-06-30 16:10 . 2010-06-30 16:10	52224	----a-w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\SD10005.dll
2010-06-30 16:10 . 2010-06-30 16:10	117760	----a-w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\SUPERAntiSpyware.com\SUPERAntiSpyware\SDDLLS\UIREPAIR.DLL
2010-06-30 16:10 . 2010-06-30 16:10	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\SUPERAntiSpyware.com
2010-06-30 16:10 . 2010-06-30 16:10	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2010-06-30 16:09 . 2010-06-30 16:10	--------	d-----w-	c:\programme\SUPERAntiSpyware
2010-06-28 22:19 . 2010-06-28 22:19	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\vlc
2010-06-26 12:33 . 2010-06-26 12:33	--------	d-----w-	c:\dokumente und einstellungen\Neo\Lokale Einstellungen\Anwendungsdaten\PackageAware
2010-06-23 16:09 . 2010-06-23 16:09	--------	d-----w-	c:\windows\Sun
2010-06-12 14:35 . 2008-04-14 05:52	221184	----a-w-	c:\windows\system32\wmpns.dll
2010-06-12 14:35 . 2010-06-12 14:35	--------	d-----w-	c:\programme\Windows Media Connect 2
2010-06-12 14:33 . 2010-06-12 14:34	--------	d-----w-	c:\windows\system32\drivers\UMDF
2010-06-12 14:33 . 2010-06-12 14:33	--------	d-----w-	c:\windows\system32\LogFiles
2010-06-11 13:58 . 2006-06-20 08:56	225280	----a-w-	c:\windows\system32\rewire.dll
2010-06-11 13:58 . 2010-06-11 13:58	--------	d-----w-	c:\programme\VstPlugins
2010-06-11 13:58 . 2010-06-11 13:58	--------	d-----w-	c:\programme\Outsim
2010-06-11 13:54 . 2010-06-11 13:58	--------	d-----w-	c:\programme\Image-Line
2010-06-10 17:36 . 2010-06-10 17:36	78848	----a-w-	c:\windows\system32\drivers\SSHDRV85.sys
2010-06-10 17:02 . 2010-06-10 17:02	--------	d-----w-	c:\programme\Ascaron Entertainment
2010-06-09 11:47 . 2010-05-06 10:31	743424	-c----w-	c:\windows\system32\dllcache\iedvtool.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-07-01 11:19 . 2010-05-19 11:28	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Ugidqo
2010-07-01 10:12 . 2010-05-13 14:25	--------	d-----w-	c:\programme\Starcraft
2010-06-30 16:03 . 2010-05-12 00:20	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\BitTorrent
2010-06-28 20:39 . 2010-05-19 20:50	--------	d--h--w-	c:\programme\JDownloader
2010-06-21 21:25 . 2010-05-25 20:59	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\dvdcss
2010-06-09 12:51 . 2003-04-02 12:00	99942	----a-w-	c:\windows\system32\perfc007.dat
2010-06-09 12:51 . 2003-04-02 12:00	516144	----a-w-	c:\windows\system32\perfh007.dat
2010-06-05 14:19 . 2010-05-20 18:30	--------	d-----w-	c:\programme\Bethesda Softworks
2010-05-25 18:06 . 2010-05-25 17:52	--------	d--h--w-	c:\programme\BearShare
2010-05-24 19:33 . 2010-05-24 00:09	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Skype
2010-05-24 17:01 . 2010-05-24 00:12	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\skypePM
2010-05-24 13:14 . 2010-05-24 00:09	--------	d-----w-	c:\programme\Google
2010-05-24 00:12 . 2010-05-24 00:12	56	---ha-w-	c:\windows\system32\ezsidmv.dat
2010-05-24 00:09 . 2010-05-24 00:09	--------	d-----r-	c:\programme\Skype
2010-05-24 00:09 . 2010-05-24 00:09	--------	d-----w-	c:\programme\Gemeinsame Dateien\Skype
2010-05-24 00:09 . 2010-05-24 00:08	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Skype
2010-05-23 17:40 . 2010-05-23 17:40	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\DVDVideoSoftIEHelpers
2010-05-23 17:40 . 2010-05-23 17:39	--------	d-----w-	c:\programme\Gemeinsame Dateien\DVDVideoSoft
2010-05-23 17:40 . 2010-05-23 17:39	--------	d-----w-	c:\programme\DVDVideoSoft
2010-05-22 17:50 . 2010-05-22 17:49	31049	----a-w-	c:\windows\scunin.dat
2010-05-22 17:50 . 2010-05-22 17:49	967	----a-w-	c:\windows\ScUnin.pif
2010-05-22 17:50 . 2010-05-22 17:49	70656	----a-w-	c:\windows\ScUnin.exe
2010-05-22 15:18 . 2010-05-22 15:14	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Ventrilo
2010-05-22 15:13 . 2010-05-22 15:13	--------	d-----w-	c:\programme\Ventrilo
2010-05-22 15:12 . 2010-05-22 15:12	--------	d-----w-	c:\programme\Gemeinsame Dateien\Wise Installation Wizard
2010-05-20 18:30 . 2010-05-11 22:05	--------	d--h--w-	c:\programme\InstallShield Installation Information
2010-05-20 18:30 . 2010-05-20 18:30	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Fallout3
2010-05-20 18:22 . 2010-05-20 18:22	107888	----a-w-	c:\windows\system32\CmdLineExt.dll
2010-05-20 11:15 . 2010-05-11 22:33	13688	----a-w-	c:\dokumente und einstellungen\Neo\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-05-20 10:55 . 2010-05-20 10:55	--------	d-----w-	c:\programme\MSBuild
2010-05-20 10:55 . 2010-05-20 10:55	--------	d-----w-	c:\programme\Reference Assemblies
2010-05-19 20:49 . 2010-05-19 20:50	411368	----a-w-	c:\windows\system32\deploytk.dll
2010-05-19 20:49 . 2010-05-19 20:49	--------	d-----w-	c:\programme\Java
2010-05-19 20:49 . 2010-05-19 20:49	152576	----a-w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Sun\Java\jre1.6.0_17\lzma.dll
2010-05-19 20:49 . 2010-05-19 20:48	79488	----a-w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Sun\Java\jre1.6.0_17\gtapi.dll
2010-05-19 20:21 . 2010-05-19 20:21	--------	d-----w-	c:\programme\VideoLAN
2010-05-19 17:27 . 2010-05-19 17:27	--------	d-----w-	c:\programme\Gemeinsame Dateien\ATI Technologies
2010-05-19 17:26 . 2010-05-11 22:05	--------	d-----w-	c:\programme\Gemeinsame Dateien\InstallShield
2010-05-13 17:33 . 2010-05-13 17:24	--------	d-----w-	c:\programme\ATITool
2010-05-13 13:24 . 2010-05-11 23:54	664	----a-w-	c:\windows\system32\d3d9caps.dat
2010-05-13 13:20 . 2010-05-13 13:20	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\ATI
2010-05-13 13:20 . 2010-05-13 13:20	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\ATI
2010-05-12 14:27 . 2010-05-12 14:27	--------	d-----w-	c:\programme\Microsoft
2010-05-12 14:27 . 2010-05-12 14:26	--------	d-----w-	c:\programme\Windows Live
2010-05-12 14:26 . 2010-05-12 14:26	--------	d-----w-	c:\programme\Windows Live SkyDrive
2010-05-12 14:24 . 2010-05-12 14:24	--------	d-----w-	c:\programme\Gemeinsame Dateien\Windows Live
2010-05-12 00:41 . 2010-05-12 00:41	--------	d-----w-	c:\programme\MSXML 4.0
2010-05-12 00:30 . 2010-05-12 00:30	--------	d-----w-	c:\dokumente und einstellungen\Neo\Anwendungsdaten\Avira
2010-05-12 00:25 . 2003-04-02 12:00	219136	----a-w-	c:\windows\system32\uxtheme.dll
2010-05-12 00:20 . 2010-05-12 00:20	--------	d--h--w-	c:\programme\BitTorrent
2010-05-11 23:35 . 2010-05-11 23:35	--------	d-----w-	c:\programme\Microsoft.NET
2010-05-11 23:28 . 2010-05-11 23:28	0	----a-w-	c:\windows\ativpsrm.bin
2010-05-11 23:27 . 2010-05-11 23:25	--------	d-----w-	c:\programme\ATI Technologies
2010-05-11 23:13 . 2010-05-11 23:13	--------	d-----w-	c:\programme\Avira
2010-05-11 23:13 . 2010-05-11 23:13	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-05-11 23:12 . 2010-05-11 23:12	0	----a-w-	c:\windows\nsreg.dat
2010-05-11 22:22 . 2010-05-11 21:51	86327	----a-w-	c:\windows\PCHealth\HelpCtr\OfflineCache\index.dat
2010-05-11 22:09 . 2010-05-11 22:09	--------	d-----w-	c:\programme\Analog Devices
2010-05-11 22:06 . 2010-05-11 22:06	--------	d-----w-	c:\programme\Intel
2010-05-11 22:04 . 2010-05-11 22:04	136	----a-w-	c:\dokumente und einstellungen\Neo\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
2010-05-11 21:52 . 2010-05-11 21:52	--------	d-----w-	c:\programme\microsoft frontpage
2010-05-11 21:50 . 2010-05-11 21:50	--------	d-----w-	c:\programme\Online-Dienste
2010-05-11 21:50 . 2010-05-11 21:50	--------	d-----w-	c:\programme\Gemeinsame Dateien\Dienste
2010-05-11 21:49 . 2010-05-11 21:49	21740	----a-w-	c:\windows\system32\emptyregdb.dat
2010-05-06 10:31 . 2003-04-02 12:00	916480	----a-w-	c:\windows\system32\wininet.dll
2010-05-02 08:05 . 2003-04-02 12:00	1851392	----a-w-	c:\windows\system32\win32k.sys
2010-04-20 05:29 . 2003-04-02 12:00	285696	----a-w-	c:\windows\system32\atmfd.dll
2010-04-16 20:12 . 2010-04-16 20:12	48464	----a-w-	c:\windows\system32\sirenacm.dll
.

------- Sigcheck -------

[7] 2008-04-14 . F09A527B422E25C478E38CAA0E44417A . 513024 . . [5.1.2600.5512] . . c:\windows\NiwradSoft Shell Pack\Backup\winlogon.exe
[-] 2008-04-14 . AD37DF3FB8F168E42C09B77B487F6812 . 552448 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\winlogon.exe
[-] 2008-04-14 . AD37DF3FB8F168E42C09B77B487F6812 . 552448 . . [5.1.2600.5512] . . c:\windows\system32\winlogon.exe
[-] 2003-04-02 . 616896B708286DA98D6A099293F181D7 . 521728 . . [5.1.2600.1106] . . c:\windows\$NtServicePackUninstall$\winlogon.exe

[7] 2008-04-14 . AD28671D1B83A386B070DC451A113C13 . 617472 . . [5.82] . . c:\windows\NiwradSoft Shell Pack\Backup\comctl32.dll
[-] 2008-04-14 . E30E7D620E14DFBCF647E019C05260B9 . 643072 . . [5.82] . . c:\windows\ServicePackFiles\i386\comctl32.dll
[-] 2008-04-14 . E30E7D620E14DFBCF647E019C05260B9 . 643072 . . [5.82] . . c:\windows\system32\comctl32.dll
[-] 2003-04-02 . 94A83DBB37E8FC21FD9D9EDB374974CF . 557056 . . [5.82] . . c:\windows\$NtServicePackUninstall$\comctl32.dll

[7] 2010-02-17 . 786F98EFD090AD93F03E3BD95FB68714 . 2192256 . . [5.1.2600.5938] . . c:\windows\Driver Cache\i386\ntoskrnl.exe
[7] 2010-02-16 . E1BD0FAFF2C1D0A825CBA97DCF0DDDAE . 2148864 . . [5.1.2600.5938] . . c:\windows\NiwradSoft Shell Pack\Backup\ntoskrnl.exe
[-] 2010-02-16 . 6B244541C9520899E94180D5CDB68815 . 2311680 . . [5.1.2600.5938] . . c:\windows\ServicePackFiles\i386\ntoskrnl.exe
[-] 2010-02-16 . 6B244541C9520899E94180D5CDB68815 . 2311680 . . [5.1.2600.5938] . . c:\windows\system32\ntoskrnl.exe
[-] 2010-02-16 . 6B244541C9520899E94180D5CDB68815 . 2311680 . . [5.1.2600.5938] . . c:\windows\system32\dllcache\ntoskrnl.exe
[7] 2010-02-16 . 4456016C2FF1A8CCCAC8309C9B76E2F5 . 2192384 . . [5.1.2600.5938] . . c:\windows\$hf_mig$\KB979683\SP3QFE\ntoskrnl.exe
[7] 2009-02-10 . D3453310FC92736E674FFDC6E3F455B7 . 2191488 . . [5.1.2600.5755] . . c:\windows\$hf_mig$\KB956572\SP3QFE\ntoskrnl.exe
[7] 2008-04-14 . 88077F757C6C793C33408D878B6E0F76 . 2147840 . . [5.1.2600.5512] . . c:\windows\$NtUninstallKB979683$\ntoskrnl.exe
[-] 2003-04-02 . 772012964E35CFAB814582AF726FD10F . 1893888 . . [5.1.2600.1106] . . c:\windows\$NtServicePackUninstall$\ntoskrnl.exe

[7] 2008-04-14 . B0050CC5340E3A0760DD8B417FF7AEBD . 580096 . . [5.1.2600.5512] . . c:\windows\NiwradSoft Shell Pack\Backup\user32.dll
[-] 2008-04-14 . C268AE6C540CC43F2264C8CB7A9A4243 . 580096 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\user32.dll
[-] 2008-04-14 . C268AE6C540CC43F2264C8CB7A9A4243 . 580096 . . [5.1.2600.5512] . . c:\windows\system32\user32.dll
[-] 2003-04-02 . E3DAFFDB1C86C1AEAC1B205F6CF67009 . 561664 . . [5.1.2600.1106] . . c:\windows\$NtServicePackUninstall$\user32.dll

[-] 2008-04-14 . C4F91B363B29E589E84E6D9D41A92952 . 1544192 . . [6.00.2900.5512] . . c:\windows\explorer.exe
[7] 2008-04-14 . 418045A93CD87A352098AB7DABE1B53E . 1036800 . . [6.00.2900.5512] . . c:\windows\NiwradSoft Shell Pack\Backup\explorer.exe
[-] 2008-04-14 . C4F91B363B29E589E84E6D9D41A92952 . 1544192 . . [6.00.2900.5512] . . c:\windows\ServicePackFiles\i386\explorer.exe
[-] 2003-04-02 . 22B0A56E6C5847292437078B484EC61B . 1007104 . . [6.00.2800.1106] . . c:\windows\$NtServicePackUninstall$\explorer.exe

[7] 2008-04-14 . 01B4E6E990B6C5EA8856D96C7FD044B2 . 15360 . . [5.1.2600.5512] . . c:\windows\NiwradSoft Shell Pack\Backup\ctfmon.exe
[-] 2008-04-14 . 6BB3F4E4B01913F1764CC137E841B520 . 40448 . . [5.1.2600.5512] . . c:\windows\ServicePackFiles\i386\ctfmon.exe
[-] 2008-04-14 . 6BB3F4E4B01913F1764CC137E841B520 . 40448 . . [5.1.2600.5512] . . c:\windows\system32\ctfmon.exe
[-] 2003-04-02 . E5EE2F4700B6A85F0D45A18C67DA500F . 13312 . . [5.1.2600.1106] . . c:\windows\$NtServicePackUninstall$\ctfmon.exe

[7] 2010-02-16 . 9F24D01B6027FED0423FD28F1055E3DD . 2069120 . . [5.1.2600.5938] . . c:\windows\Driver Cache\i386\ntkrnlpa.exe
[7] 2010-02-16 . 1DFCBCFD1C9016C051BE6D7243459CCA . 2027008 . . [5.1.2600.5938] . . c:\windows\NiwradSoft Shell Pack\Backup\ntkrnlpa.exe
[-] 2010-02-16 . AB4B9C13B4933F071C7D197E34925FBB . 2189824 . . [5.1.2600.5938] . . c:\windows\ServicePackFiles\i386\ntkrnlpa.exe
[-] 2010-02-16 . AB4B9C13B4933F071C7D197E34925FBB . 2189824 . . [5.1.2600.5938] . . c:\windows\system32\ntkrnlpa.exe
[-] 2010-02-16 . AB4B9C13B4933F071C7D197E34925FBB . 2189824 . . [5.1.2600.5938] . . c:\windows\system32\dllcache\ntkrnlpa.exe
[7] 2010-02-16 . CEE28C8C47E52F185F9F8F3A2E31880C . 2069248 . . [5.1.2600.5938] . . c:\windows\$hf_mig$\KB979683\SP3QFE\ntkrnlpa.exe
[7] 2009-02-09 . 1F9DA92672B8B5720C5FB1E87D8F249F . 2068480 . . [5.1.2600.5755] . . c:\windows\$hf_mig$\KB956572\SP3QFE\ntkrnlpa.exe
[7] 2008-04-14 . FEFB3BDA35CF469809B0C89AB6833AFC . 2026496 . . [5.1.2600.5512] . . c:\windows\$NtUninstallKB979683$\ntkrnlpa.exe
[-] 2003-04-02 . 76078E724B9026E368998E76C3A493C7 . 1922560 . . [5.1.2600.1106] . . c:\windows\$NtServicePackUninstall$\ntkrnlpa.exe
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SUPERAntiSpyware"="c:\programme\SUPERAntiSpyware\SUPERAntiSpyware.exe" [2010-06-07 2403568]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMAXPnP"="c:\programme\Analog Devices\SoundMAX\SMax4PNP.exe" [2003-03-11 774144]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-03-02 282792]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2010-02-10 61440]
"BearShare"="c:\programme\BearShare\BearShare.exe" [2006-07-26 3305472]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 40448]

[hkey_local_machine\software\microsoft\windows\currentversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "c:\programme\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2009-09-03 22:21	548352	----a-w-	c:\programme\SUPERAntiSpyware\SASWINLO.DLL

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\BitTorrent\\bittorrent.exe"=
"c:\\Programme\\Windows Live\\Messenger\\wlcsdk.exe"=
"c:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"c:\\Programme\\Starcraft\\StarCraft.exe"=
"c:\\Programme\\Java\\jre6\\bin\\javaw.exe"=
"c:\\Programme\\Ventrilo\\Ventrilo.exe"=
"c:\\Programme\\Skype\\Plugin Manager\\skypePM.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\BearShare\\BearShare.exe"=

R1 SASDIFSV;SASDIFSV;c:\programme\SUPERAntiSpyware\sasdifsv.sys [17.02.2010 20:25 12872]
R1 SASKUTIL;SASKUTIL;c:\programme\SUPERAntiSpyware\SASKUTIL.SYS [10.05.2010 20:41 67656]
R1 SSHDRV85;SSHDRV85;c:\windows\system32\drivers\SSHDRV85.sys [10.06.2010 19:36 78848]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [12.05.2010 01:13 135336]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;c:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [18.03.2010 13:16 130384]
S3 WPFFontCache_v0400;Windows Presentation Foundation Font Cache 4.0.0.0;c:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe [18.03.2010 13:16 753504]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = www.google.de
IE: Free YouTube to Mp3 Converter - c:\dokumente und einstellungen\Neo\Anwendungsdaten\DVDVideoSoftIEHelpers\youtubetomp3.htm
IE: {{898EA8C8-E7FF-479B-8935-AEC46303B9E5} - {898EA8C8-E7FF-479B-8935-AEC46303B9E5} - c:\programme\Skype\Toolbars\Internet Explorer\skypeieplugin.dll
FF - ProfilePath - c:\dokumente und einstellungen\Neo\Anwendungsdaten\Mozilla\Firefox\Profiles\44bcy36q.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.bing.com/search?FORM=IEFM1&q=
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - www.google.de
FF - prefs.js: keyword.URL - hxxp://www.bing.com/search?FORM=IEFM1&q=
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type",                  5);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKCU-Run-Wtesuwimuwes - c:\windows\madmubdr.dll
HKCU-Run-{98F94D0A-CFF4-428B-74B7-AA3446616AB7} - c:\dokumente und einstellungen\Neo\Anwendungsdaten\Akosa\noqay.exe
AddRemove-HijackThis - c:\dokumente und einstellungen\Neo\Eigene Dateien\Downloads\HijackThis.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-07-01 13:46
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(720)
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\sfc_os.dll
c:\programme\SUPERAntiSpyware\SASWINLO.DLL
c:\windows\system32\Ati2evxx.dll
c:\windows\system32\cscui.dll
c:\windows\system32\COMRes.dll

- - - - - - - > 'lsass.exe'(776)
c:\windows\system32\setupapi.dll
c:\windows\system32\psbase.dll

- - - - - - - > 'explorer.exe'(1968)
c:\windows\system32\COMRes.dll
c:\windows\System32\cscui.dll
c:\windows\system32\LINKINFO.dll
c:\windows\system32\ntshrui.dll
c:\windows\system32\SETUPAPI.dll
c:\windows\system32\NETSHELL.dll
c:\windows\system32\credui.dll
c:\windows\system32\webcheck.dll
c:\windows\system32\stobject.dll
c:\windows\system32\WPDShServiceObj.dll
c:\windows\system32\PortableDeviceTypes.dll
c:\windows\system32\PortableDeviceApi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\Ati2evxx.exe
c:\windows\system32\Ati2evxx.exe
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\programme\Analog Devices\SoundMAX\SMAgent.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\ccc.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-07-01  13:51:59 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-07-01 11:51

Vor Suchlauf: 9 Verzeichnis(se), 10.957.012.992 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 10.971.971.584 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

- - End Of File - - AE094F469F5963B7E9A1578CE9E73250

--- --- ---

Larusso · 01.07.2010, 14:47

Schritt 1

Vorbereitung

Lösche die vorhandene Version von Combofix und lade das Programm von einem der folgenden Download-Spiegel neu herunter:

BleepingComputer.com - ForoSpyware.com

und speichere es auf dem Desktop (nicht woanders hin, das ist wichtig)!
Wenn Du ComboFix bereits vorher auf dem Rechner hattest, lösche die alte Version, da ComboFix laufend aktualisiert wird.

Denke daran, während des Laufs von Combofix Dein Antiviren-Programm temporär abzustellen.
Danach wieder anstellen nicht vergessen!
Wichtig: Bewege nicht die Maus über das ComboFix-Fenster oder klicke in dieses hinein.
Dies kann dazu führen, dass ComboFix sich aufhängt.

Anwendung

Öffne notepad (Start => Ausführen => notepad (reinschreiben) => ok) oder einen Editor Deiner Wahl und kopiere alles aus der nachfolgenden Codebox in ein leeres Dokument:

Code:

ATTFilter

KillAll::
FCopy::
c:\windows\NiwradSoft Shell Pack\Backup\winlogon.exe | c:\windows\system32\winlogon.exe
c:\windows\NiwradSoft Shell Pack\Backup\winlogon.exe | c:\windows\ServicePackFiles\i386\winlogon.exe
c:\windows\NiwradSoft Shell Pack\Backup\winlogon.exe | c:\windows\$NtServicePackUninstall$\winlogon.exe
c:\windows\NiwradSoft Shell Pack\Backup\comctl32.dll | c:\windows\system32\comctl32.dll
c:\windows\NiwradSoft Shell Pack\Backup\comctl32.dll | c:\windows\$NtServicePackUninstall$\comctl32.dll
c:\windows\NiwradSoft Shell Pack\Backup\comctl32.dll | c:\windows\ServicePackFiles\i386\comctl32.dll
c:\windows\Driver Cache\i386\ntoskrnl.exe | c:\windows\system32\ntoskrnl.exe
c:\windows\Driver Cache\i386\ntoskrnl.exe | c:\windows\ServicePackFiles\i386\ntoskrnl.exe
c:\windows\Driver Cache\i386\ntoskrnl.exe | c:\windows\system32\dllcache\ntoskrnl.exe
c:\windows\Driver Cache\i386\ntoskrnl.exe | c:\windows\$NtServicePackUninstall$\ntoskrnl.exe
c:\windows\NiwradSoft Shell Pack\Backup\user32.dll | c:\windows\system32\user32.dll
c:\windows\NiwradSoft Shell Pack\Backup\user32.dll | c:\windows\ServicePackFiles\i386\user32.dll
c:\windows\NiwradSoft Shell Pack\Backup\user32.dll | c:\windows\$NtServicePackUninstall$\user32.dll
c:\windows\NiwradSoft Shell Pack\Backup\explorer.exe | c:\windows\explorer.exe
c:\windows\NiwradSoft Shell Pack\Backup\explorer.exe | c:\windows\ServicePackFiles\i386\explorer.exe
c:\windows\NiwradSoft Shell Pack\Backup\explorer.exe | c:\windows\$NtServicePackUninstall$\explorer.exe
c:\windows\NiwradSoft Shell Pack\Backup\ctfmon.exe | c:\windows\$NtServicePackUninstall$\explorer.exe  
c:\windows\NiwradSoft Shell Pack\Backup\ctfmon.exe | c:\windows\system32\ctfmon.exe
c:\windows\NiwradSoft Shell Pack\Backup\ctfmon.exe | c:\windows\$NtServicePackUninstall$\ctfmon.exe
c:\windows\Driver Cache\i386\ntkrnlpa.exe | c:\windows\ServicePackFiles\i386\ntkrnlpa.exec
C:\windows\Driver Cache\i386\ntkrnlpa.exe | c:\windows\system32\ntkrnlpa.exe
c:\windows\Driver Cache\i386\ntkrnlpa.exe | c:\windows\system32\dllcache\ntkrnlpa.exe
c:\windows\Driver Cache\i386\ntkrnlpa.exe | c:\windows\$NtServicePackUninstall$\ntkrnlpa.exe

Speichere dies als CFScript.txt auf Deinem Desktop
.

.
In Bezug auf obiges Bild, ziehe CFScript.txt in die ComboFix.exe
Wenn ComboFix fertig ist, wird es ein Log erstellen, C:\ComboFix.txt. Bitte füge es hier als Antwort ein.

Hinweis für Mitleser: Obiges Combofix-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!

Falls im Skript die Anweisung Suspect:: oder Collect:: enthalten ist, wird eine Message-Box erscheinen, nachdem Combofix fertig ist. Klicke OK und folge den Aufforderungen/Anweisungen, um die Dateien hochzuladen.

Schritt 2

Starte bitte OTS.exe und klicke auf QuickScan

Bitte poste in Deiner nächsten Antwort
Combofix.txt
OTS.txt (angehängt)

Larusso · 06.07.2010, 15:16

Fehlende Rückmeldung

Dieses Thema wurde aus den Abos gelöscht. Somit bekomm ich keine Benachrichtigung über neue Antworten.

PN an mich falls Du denoch weiter machen willst.

Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner schon sauber ist.

Jeder andere eröffnet bitte einen eigenen Thread.

01.07.2010, 11:06	#4
Larusso /// Selecta Jahrusso	AntiVir findet dauernd "TR/PSW.Zbot.133169.Y" Lade die Logfile bitte bei File-Upload.net hoch und poste mir den Downloadlink. __________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie

AntiVir findet dauernd "TR/PSW.Zbot.133169.Y"

Plagegeister aller Art und deren Bekämpfung: AntiVir findet dauernd "TR/PSW.Zbot.133169.Y"