ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher

virenjäger · 10.08.2010, 16:01

hallo bin neu hier und habe folgendes problem ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher hab schon sämtliche av programme probiert aber nichts schlägt an.

kann mir vielleicht einer von euch helfen weil ich bin schon total verzweifelt und weiß echt nicht mehr weiter.
vielen dank im voraus

greets virenjäger

Larusso · 10.08.2010, 17:35

Hi,
du hast dir die neueste Variante von Mebroot/Sinowal eingefangen. Als erstes möchte ich daher sagen, dass es sich dabei um einen Backdoor trojaner handelt, sprich andere konnten auf deinen Rechner zugreifen, deine Passwörter auslesen und Einstellungen verändern.

Der Befall ist ein Rootkit und versteckt sich im Master Boot Record, nur sehr wenige Programme, in der Regel spezialisierte Programme, können diesen Befall derzeit sehen.

Das sicherste ist in solchen Fällen immer neuaufzusetzen, wir können dir aber helfen die Überreste des Befalls zu entfernen, wenn du nicht Neuaufsetzen willst.

Falls du Bereinigen dem Neuaufsetzen vorziehst, würde ich gerne Folgendes versuchen:

Downloade HelpAsst_mebroot_fix.exe und speichere das Tool auf Deinem Desktop.
Schließe alle Programme und Fenster.
Doppelklicke das Tool und folge den Anweisungen.
Sollte das Tool noch eine MBR-Infektion finden, erlaube mbr -f laufen zu lassen und den Computer neu zu starten.
Warte nach dem Neustart mindestens 5 Minuten und fahre wie folgt fort:

Start => ausführen => schreibe das folgende Kommando dort hinein und bestätige mit Enter:

helpasst -mbrt

Vergesse nicht das Leerzeichen zwischen helpasst und -mbrt !
Wenn das Tool fertig ist, öffnet sich ein Logfile.
Poste mir den Inhalt in Deine nächste Antwort.

Wenn das Tool während des ersten Laufs keine MBR-Infektion gemeldet hat:

Start => ausführen => schreibe das folgende Kommando dort hinein und bestätige mit Enter:

mbr -f

Starte den Computer neu.
Warte nach dem Neustart mindestens 5 Minuten und fahre wie folgt fort:

Start => ausführen => schreibe das folgende Kommando dort hinein und bestätige mit Enter:

helpasst -mbrt

Vergesse nicht das Leerzeichen zwischen helpasst und -mbrt !
Wenn das Tool fertig ist, öffnet sich ein Logfile.
Poste mir den Inhalt in Deine nächste Antwort.

virenjäger · 10.08.2010, 18:53

hab jetzt HelpAsst_mebroot_fix.exe laufen lassen und er meldet folgendes

help assistant profile not found
drücken sie eine beliebige taste...

was ich auch gemacht habe und dann kam nochwas

user & kernel mbr ok
drücken sie eine beliebige taste

virenjäger · 10.08.2010, 18:59

ich hab das programm HelpAsst_mebroot_fix.exe ausgeführt und dann kam folgende meldung:

helpassistant profile not found
drücken sie eine beliebige taste...
was ich auch gemacht habe und dann kam noch eine meldung

user & kernel mbr ok
the tool has completed

drücken sie eine beliebige taste...

Larusso · 10.08.2010, 19:21

Du brauchst mich anzuschreiben. Ich antworte sobald ich zeit habe -.-

Schritt 1

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur eine Sekunde.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Schritt 2

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die Textbox.

Code:

ATTFilter

netsvcs
drivers32 /all
msconfig
%SYSTEMDRIVE%\*.*
%systemroot%\system32\*.wt
%systemroot%\system32\*.ruy
%systemroot%\Fonts\*.com
%systemroot%\Fonts\*.dll
%systemroot%\Fonts\*.ini
%systemroot%\Fonts\*.ini2
%systemroot%\system32\spool\prtprocs\w32x86\*.*
%systemroot%\REPAIR\*.bak1
%systemroot%\REPAIR\*.ini
%systemroot%\system32\*.jpg
%systemroot%\*.scr
%systemroot%\*._sy
%APPDATA%\Adobe\Update\*.*
%ALLUSERSPROFILE%\Favorites\*.*
%APPDATA%\Microsoft\*.*
%PROGRAMFILES%\*.*
%APPDATA%\Update\*.*
%systemroot%\*. /mp /s
CREATERESTOREPOINT
%systemroot%\system32\*.dll /lockedfiles
%systemroot%\Tasks\*.job /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\system32\user32.dll /md5
%systemroot%\system32\ws2_32.dll /md5
%systemroot%\system32\ws2help.dll /md5
HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

virenjäger · 10.08.2010, 19:36

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000007d

Kernel Drivers (total 119):
0x804D7000 \WINXP\system32\ntoskrnl.exe
0x80700000 \WINXP\system32\hal.dll
0xF7987000 \WINXP\system32\KDCOM.DLL
0xF7897000 \WINXP\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINXP\system32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF74D6000 fltMgr.sys
0xF798B000 avgarkt.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINXP\system32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74B7000 ftdisk.sys
0xF798D000 dmload.sys
0xF7491000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7479000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINXP\system32\DRIVERS\CLASSPNP.SYS
0xF7467000 sr.sys
0xF742E000 PCTCore.sys
0xF7417000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF786A000 NDIS.sys
0xF7850000 Mup.sys
0xF76A7000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB9D31000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB9D1D000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9CF5000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB9CD9000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xF775F000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB9CB5000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF7767000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF776F000 \SystemRoot\system32\DRIVERS\fdc.sys
0xB9CA1000 \SystemRoot\system32\DRIVERS\parport.sys
0xF76B7000 \SystemRoot\system32\DRIVERS\serial.sys
0xF7937000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF76C7000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF76D7000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF76E7000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9C7E000 \SystemRoot\system32\DRIVERS\ks.sys
0xBA7A8000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF76F7000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7943000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB9C67000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7586000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7576000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF7777000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB9C3F000 \SystemRoot\system32\DRIVERS\psched.sys
0xF7566000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF777F000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF7787000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB9BF1000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xF7556000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF778F000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF7797000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7995000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB9B1B000 \SystemRoot\system32\DRIVERS\update.sys
0xBA7E8000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF7536000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB7472000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB744E000 \SystemRoot\system32\drivers\portcls.sys
0xF7526000 \SystemRoot\system32\drivers\drmk.sys
0xF7516000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF799B000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF779F000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xF799D000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7A9E000 \SystemRoot\System32\Drivers\Null.SYS
0xF799F000 \SystemRoot\System32\Drivers\Beep.SYS
0xB7407000 \SystemRoot\system32\DRIVERS\ehdrv.sys
0xF7AA0000 \SystemRoot\System32\DRIVERS\AvgArCln.sys
0xF77AF000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF77B7000 \SystemRoot\System32\drivers\vga.sys
0xF79A1000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79A3000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF77BF000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF77C7000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB9BED000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xB73D4000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xB737B000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xB7353000 \SystemRoot\system32\DRIVERS\netbt.sys
0xB732D000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xBA76E000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xB7315000 \SystemRoot\system32\DRIVERS\epfwtdir.sys
0xB72CB000 \SystemRoot\System32\drivers\afd.sys
0xBA75E000 \SystemRoot\system32\DRIVERS\netbios.sys
0xB72A0000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xB7230000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA74E000 \SystemRoot\System32\Drivers\Fips.SYS
0xBA71E000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xB7977000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBA70E000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xF77CF000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xB7973000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xB796B000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xB7218000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79A9000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xB7957000 \SystemRoot\System32\drivers\Dxapi.sys
0xF77D7000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xBA7AC000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0xB6E02000 \SystemRoot\system32\DRIVERS\eamon.sys
0xB6EF8000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB6AF5000 \SystemRoot\system32\drivers\wdmaud.sys
0xB6D4A000 \SystemRoot\system32\drivers\sysaudio.sys
0xB681E000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF79D5000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xB6777000 \SystemRoot\system32\DRIVERS\srv.sys
0xB6466000 \SystemRoot\System32\Drivers\HTTP.sys
0xB661B000 \SystemRoot\system32\DRIVERS\usbscan.sys
0xB9BC1000 \SystemRoot\system32\DRIVERS\usbprint.sys
0xB9BA1000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0xB59B1000 \??\C:\DOKUME~1\Eminem\LOKALE~1\Temp\mbr.sys
0xB5681000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINXP\system32\ntdll.dll

Processes (total 28):
0 System Idle Process
4 System
656 C:\WINXP\system32\smss.exe
708 csrss.exe
736 C:\WINXP\system32\winlogon.exe
780 C:\WINXP\system32\services.exe
792 C:\WINXP\system32\lsass.exe
964 C:\WINXP\system32\svchost.exe
1040 svchost.exe
1136 C:\WINXP\system32\svchost.exe
1272 svchost.exe
1340 svchost.exe
1580 C:\WINXP\system32\spoolsv.exe
1676 C:\WINXP\explorer.exe
1888 C:\WINXP\RTHDCPL.EXE
1908 C:\Programme\ESET\ESET NOD32 Antivirus\egui.exe
1936 C:\WINXP\system32\rundll32.exe
1944 C:\WINXP\system32\ctfmon.exe
460 svchost.exe
496 C:\Programme\Spyware Doctor\BDT\BDTUpdateService.exe
556 C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe
584 C:\WINXP\system32\nvsvc32.exe
396 alg.exe
1616 C:\WINXP\system32\svchost.exe
1620 C:\WINXP\system32\spool\drivers\w32x86\3\E_FATIEGE.EXE
3380 C:\Programme\Mozilla Firefox\firefox.exe
760 C:\Programme\Mozilla Firefox\plugin-container.exe
2880 C:\Dokumente und Einstellungen\Eminem\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: ST3250310AS, Rev: 3.AAF
PhysicalDrive1 Model Number: HitachiHDP725025GLA380, Rev: GM2OA52A

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
232 GB \\.\PhysicalDrive1 Known-bad MBR code detected (Whistler / Black Internet)!
SHA1: 1A274426101DFC3A9826C5147E783C810EA1938F

Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:

Larusso · 10.08.2010, 19:37

Was ist Platte D: ?

virenjäger · 10.08.2010, 19:47

Zitat:

Zitat von Larusso

Was ist Platte D: ?

da hab ich meine ganzen wichtigen dateien drauf

virenjäger · 10.08.2010, 23:22

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000003d

Kernel Drivers (total 114):
0x804D7000 \WINXP\system32\ntoskrnl.exe
0x80700000 \WINXP\system32\hal.dll
0xF7987000 \WINXP\system32\KDCOM.DLL
0xF7897000 \WINXP\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINXP\system32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF74D6000 fltMgr.sys
0xF798B000 avgarkt.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINXP\system32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74B7000 ftdisk.sys
0xF798D000 dmload.sys
0xF7491000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7479000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINXP\system32\DRIVERS\CLASSPNP.SYS
0xF7467000 sr.sys
0xF742E000 PCTCore.sys
0xF7417000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF786A000 NDIS.sys
0xF7850000 Mup.sys
0xF76C7000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB9DE6000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB9DD2000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9DAA000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB9D8E000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xF776F000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB9D6A000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF7777000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF777F000 \SystemRoot\system32\DRIVERS\fdc.sys
0xB9D56000 \SystemRoot\system32\DRIVERS\parport.sys
0xF76D7000 \SystemRoot\system32\DRIVERS\serial.sys
0xF793B000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF76E7000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF76F7000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF7586000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9D1C000 \SystemRoot\system32\DRIVERS\ks.sys
0xF7A82000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF7576000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7947000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB9D05000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7566000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7556000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF7787000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB9CF4000 \SystemRoot\system32\DRIVERS\psched.sys
0xF7546000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF778F000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF7797000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB9CA6000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xF7536000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF779F000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF77A7000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7997000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB9BD0000 \SystemRoot\system32\DRIVERS\update.sys
0xBA7E4000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF7506000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB754F000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB752B000 \SystemRoot\system32\drivers\portcls.sys
0xF74F6000 \SystemRoot\system32\drivers\drmk.sys
0xBA76E000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF79B1000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF77B7000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xF79B3000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7A8D000 \SystemRoot\System32\Drivers\Null.SYS
0xF79B5000 \SystemRoot\System32\Drivers\Beep.SYS
0xB74BC000 \SystemRoot\system32\DRIVERS\ehdrv.sys
0xBA7AF000 \SystemRoot\System32\DRIVERS\AvgArCln.sys
0xF77C7000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF77CF000 \SystemRoot\System32\drivers\vga.sys
0xF79BB000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79BD000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF77D7000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF77DF000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB9C8A000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xB7489000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xB7430000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xB7408000 \SystemRoot\system32\DRIVERS\netbt.sys
0xB73E2000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xBA73E000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xB73CA000 \SystemRoot\system32\DRIVERS\epfwtdir.sys
0xB7380000 \SystemRoot\System32\drivers\afd.sys
0xBA72E000 \SystemRoot\system32\DRIVERS\netbios.sys
0xB7355000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xB72E5000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA71E000 \SystemRoot\System32\Drivers\Fips.SYS
0xBA6EE000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xF77E7000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xB750B000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBA6DE000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xB7507000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xBA78E000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xB72A5000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79D1000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xB74FB000 \SystemRoot\System32\drivers\Dxapi.sys
0xF7817000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7AC1000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0xB6E67000 \SystemRoot\system32\DRIVERS\eamon.sys
0xB6F51000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB6B32000 \SystemRoot\system32\drivers\wdmaud.sys
0xB6C27000 \SystemRoot\system32\drivers\sysaudio.sys
0xB6835000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF79D9000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xB678E000 \SystemRoot\system32\DRIVERS\srv.sys
0xB647D000 \SystemRoot\System32\Drivers\HTTP.sys
0x7C910000 \WINXP\system32\ntdll.dll

Processes (total 28):
0 System Idle Process
4 System
656 C:\WINXP\system32\smss.exe
712 csrss.exe
740 C:\WINXP\system32\winlogon.exe
792 C:\WINXP\system32\services.exe
804 C:\WINXP\system32\lsass.exe
980 C:\WINXP\system32\svchost.exe
1044 svchost.exe
1140 C:\WINXP\system32\svchost.exe
1260 svchost.exe
1336 svchost.exe
1576 C:\WINXP\system32\spoolsv.exe
1644 C:\WINXP\explorer.exe
1868 C:\WINXP\RTHDCPL.EXE
1904 C:\Programme\ESET\ESET NOD32 Antivirus\egui.exe
180 C:\WINXP\system32\rundll32.exe
192 C:\WINXP\system32\ctfmon.exe
264 C:\WINXP\system32\spool\drivers\w32x86\3\E_FATIEGE.EXE
592 svchost.exe
648 C:\Programme\Spyware Doctor\BDT\BDTUpdateService.exe
128 C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe
996 C:\WINXP\system32\nvsvc32.exe
1288 C:\WINXP\system32\svchost.exe
1204 alg.exe
2316 C:\Programme\Mozilla Firefox\firefox.exe
1828 C:\Programme\Mozilla Firefox\plugin-container.exe
2964 C:\Dokumente und Einstellungen\Eminem\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: ST3250310AS, Rev: 3.AAF
PhysicalDrive1 Model Number: HitachiHDP725025GLA380, Rev: GM2OA52A

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
232 GB \\.\PhysicalDrive1 Known-bad MBR code detected (Whistler / Black Internet)!
SHA1: 1A274426101DFC3A9826C5147E783C810EA1938F

Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:

virenjäger · 10.08.2010, 23:27

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000003d

Kernel Drivers (total 114):
0x804D7000 \WINXP\system32\ntoskrnl.exe
0x80700000 \WINXP\system32\hal.dll
0xF7987000 \WINXP\system32\KDCOM.DLL
0xF7897000 \WINXP\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINXP\system32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF74D6000 fltMgr.sys
0xF798B000 avgarkt.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINXP\system32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74B7000 ftdisk.sys
0xF798D000 dmload.sys
0xF7491000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7479000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINXP\system32\DRIVERS\CLASSPNP.SYS
0xF7467000 sr.sys
0xF742E000 PCTCore.sys
0xF7417000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF786A000 NDIS.sys
0xF7850000 Mup.sys
0xF76C7000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB9DE6000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB9DD2000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9DAA000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB9D8E000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xF776F000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB9D6A000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF7777000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF777F000 \SystemRoot\system32\DRIVERS\fdc.sys
0xB9D56000 \SystemRoot\system32\DRIVERS\parport.sys
0xF76D7000 \SystemRoot\system32\DRIVERS\serial.sys
0xF793B000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF76E7000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF76F7000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF7586000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9D1C000 \SystemRoot\system32\DRIVERS\ks.sys
0xF7A82000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF7576000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7947000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB9D05000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7566000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7556000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF7787000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB9CF4000 \SystemRoot\system32\DRIVERS\psched.sys
0xF7546000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF778F000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF7797000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB9CA6000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xF7536000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF779F000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF77A7000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7997000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB9BD0000 \SystemRoot\system32\DRIVERS\update.sys
0xBA7E4000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF7506000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB754F000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB752B000 \SystemRoot\system32\drivers\portcls.sys
0xF74F6000 \SystemRoot\system32\drivers\drmk.sys
0xBA76E000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF79B1000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF77B7000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xF79B3000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7A8D000 \SystemRoot\System32\Drivers\Null.SYS
0xF79B5000 \SystemRoot\System32\Drivers\Beep.SYS
0xB74BC000 \SystemRoot\system32\DRIVERS\ehdrv.sys
0xBA7AF000 \SystemRoot\System32\DRIVERS\AvgArCln.sys
0xF77C7000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF77CF000 \SystemRoot\System32\drivers\vga.sys
0xF79BB000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79BD000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF77D7000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF77DF000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB9C8A000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xB7489000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xB7430000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xB7408000 \SystemRoot\system32\DRIVERS\netbt.sys
0xB73E2000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xBA73E000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xB73CA000 \SystemRoot\system32\DRIVERS\epfwtdir.sys
0xB7380000 \SystemRoot\System32\drivers\afd.sys
0xBA72E000 \SystemRoot\system32\DRIVERS\netbios.sys
0xB7355000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xB72E5000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA71E000 \SystemRoot\System32\Drivers\Fips.SYS
0xBA6EE000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xF77E7000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xB750B000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xBA6DE000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xB7507000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xBA78E000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xB72A5000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79D1000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xB74FB000 \SystemRoot\System32\drivers\Dxapi.sys
0xF7817000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7AC1000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0xB6E67000 \SystemRoot\system32\DRIVERS\eamon.sys
0xB6F51000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB6B32000 \SystemRoot\system32\drivers\wdmaud.sys
0xB6C27000 \SystemRoot\system32\drivers\sysaudio.sys
0xB6835000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF79D9000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xB678E000 \SystemRoot\system32\DRIVERS\srv.sys
0xB647D000 \SystemRoot\System32\Drivers\HTTP.sys
0x7C910000 \WINXP\system32\ntdll.dll

Processes (total 28):
0 System Idle Process
4 System
656 C:\WINXP\system32\smss.exe
712 csrss.exe
740 C:\WINXP\system32\winlogon.exe
792 C:\WINXP\system32\services.exe
804 C:\WINXP\system32\lsass.exe
980 C:\WINXP\system32\svchost.exe
1044 svchost.exe
1140 C:\WINXP\system32\svchost.exe
1260 svchost.exe
1336 svchost.exe
1576 C:\WINXP\system32\spoolsv.exe
1644 C:\WINXP\explorer.exe
1868 C:\WINXP\RTHDCPL.EXE
1904 C:\Programme\ESET\ESET NOD32 Antivirus\egui.exe
180 C:\WINXP\system32\rundll32.exe
192 C:\WINXP\system32\ctfmon.exe
264 C:\WINXP\system32\spool\drivers\w32x86\3\E_FATIEGE.EXE
592 svchost.exe
648 C:\Programme\Spyware Doctor\BDT\BDTUpdateService.exe
128 C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe
996 C:\WINXP\system32\nvsvc32.exe
1288 C:\WINXP\system32\svchost.exe
1204 alg.exe
2316 C:\Programme\Mozilla Firefox\firefox.exe
1828 C:\Programme\Mozilla Firefox\plugin-container.exe
2964 C:\Dokumente und Einstellungen\Eminem\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: ST3250310AS, Rev: 3.AAF
PhysicalDrive1 Model Number: HitachiHDP725025GLA380, Rev: GM2OA52A

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
232 GB \\.\PhysicalDrive1 Known-bad MBR code detected (Whistler / Black Internet)!
SHA1: 1A274426101DFC3A9826C5147E783C810EA1938F

Found non-standard or infected MBR.
Enter 'Y' and hit ENTER for more options, or 'N' to exit:
Options:
[1] Dump the MBR of a physical disk to file.
[2] Restore the MBR of a physical disk with a standard boot code.
[3] Exit.

Enter your choice: Enter the physical disk number to fix (0-99, -1 to cancel): 1Available MBR codes:
[ 0] Default (Windows XP)
[ 1] Windows XP
[ 2] Windows Server 2003
[ 3] Windows Vista
[ 4] Windows 2008
[ 5] Windows 7
[-1] Cancel

Please select the MBR code to write to this drive: 1
Do you want to fix the MBR code? Type 'YES' and hit ENTER to continue: yes
Successfully wrote new MBR code!
Please reboot your computer to complete the fix.

Done!

Larusso · 10.08.2010, 23:30

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Lade ComboFix von einem der unten aufgeführten Links herunter. Du musst diese umbenennen, bevor Du es auf den Desktop speicherst. Speichere ComboFix auf deinen Desktop.

**NB: Es ist wichtig, das ComboFix.exe auf dem Desktop gespeichert wird**

Deaktivere Deine Anti-Virus- und Anti-Spyware-Programme. Normalerweise kannst Du dies über einen Rechtsklick auf das Systemtray-Icon tun. Die Programme könnten sonst eventuell unsere Programme bei deren Arbeit stören.
Doppel-klicke auf ComboFix.exe und folge den Aufforderungen.
- Wenn ComboFix fertig ist, wird es ein Log für dich erstellen.
- Bitte poste mir den Inhalt von C:\ComboFix.txt hier in de Thread.

virenjäger · 10.08.2010, 23:55

Combofix Logfile:

Code:

ATTFilter

ComboFix 10-08-10.03 - Eminem 11.08.2010   3:13.1.2 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.2047.1274 [GMT 4,5:30]
ausgeführt von:: c:\dokumente und einstellungen\Eminem\Desktop\Combo-Fix.exe
AV: ESET NOD32 Antivirus 4.2 *On-access scanning disabled* (Updated) {E5E70D32-0101-4F12-8FB0-D96ACA4F34C0}
AV: Spyware Doctor with AntiVirus *On-access scanning disabled* (Updated) {D3C23B96-C9DC-477F-8EF1-69AF17A6EFF6}
.

(((((((((((((((((((((((   Dateien erstellt von 2010-07-10 bis 2010-08-10  ))))))))))))))))))))))))))))))
.

2010-08-10 17:38 . 2008-02-05 03:35	39424	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON\EPSON Stylus SX400 Series\Language\0407.E_DIX0RE.DLL
2010-08-10 17:32 . 2010-08-10 17:32	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\UDL
2010-08-10 17:30 . 2010-08-10 17:30	--------	d-----w-	c:\programme\ABBYY FineReader 6.0 Sprint
2010-08-10 17:27 . 2008-02-07 01:35	56320	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON\EPSON Stylus SX400 Series\Language\0407.E_S9E0G7.DLL
2010-08-10 17:27 . 2007-12-17 13:00	143872	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40ST7.EXE
2010-08-10 17:27 . 2007-01-11 13:02	113664	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON\EPW!3 SSRP\E_S40RP7.EXE
2010-08-10 17:27 . 2008-05-26 03:35	211968	----a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON\EPSON Stylus SX400 Series\Language\0407.E_DI0EEE.DLL
2010-08-10 17:27 . 2007-04-10 10:06	8192	----a-w-	c:\winxp\system32\E_DCINST.DLL
2010-08-10 17:27 . 2007-12-07 11:08	86528	----a-w-	c:\winxp\system32\E_FLBEGE.DLL
2010-08-10 17:27 . 2007-12-07 11:01	78848	----a-w-	c:\winxp\system32\E_FD4BEGE.DLL
2010-08-10 17:27 . 2008-04-13 18:45	15104	-c--a-w-	c:\winxp\system32\dllcache\usbscan.sys
2010-08-10 17:27 . 2008-04-13 18:45	15104	----a-w-	c:\winxp\system32\drivers\usbscan.sys
2010-08-10 17:22 . 2010-08-10 17:27	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\EPSON
2010-08-10 17:22 . 2007-07-12 19:30	71680	----a-w-	c:\winxp\system32\escwiad.dll
2010-08-10 17:22 . 2010-08-10 17:31	--------	d-----w-	c:\programme\epson
2010-08-10 17:02 . 2008-04-13 18:45	26368	-c--a-w-	c:\winxp\system32\dllcache\usbstor.sys
2010-08-10 17:02 . 2008-04-13 18:47	25856	-c--a-w-	c:\winxp\system32\dllcache\usbprint.sys
2010-08-10 17:02 . 2008-04-13 18:47	25856	----a-w-	c:\winxp\system32\drivers\usbprint.sys
2010-08-10 04:07 . 2010-08-10 04:07	--------	d-----w-	c:\dokumente und einstellungen\Eminem\Lokale Einstellungen\Anwendungsdaten\ESET
2010-08-08 17:00 . 2010-08-08 17:00	--------	d-----w-	c:\dokumente und einstellungen\Eminem\Anwendungsdaten\ImagesWords
2010-08-08 17:00 . 2010-08-08 17:00	--------	d-----w-	c:\dokumente und einstellungen\Eminem\Anwendungsdaten\EasyPCGate

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-08-10 22:25 . 2010-08-08 13:08	--------	d---a-w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2010-08-10 17:34 . 2010-08-08 12:09	--------	d--h--w-	c:\programme\InstallShield Installation Information
2010-08-10 17:33 . 2010-08-08 12:09	--------	d-----w-	c:\programme\Gemeinsame Dateien\InstallShield
2010-08-10 04:18 . 2010-08-08 13:08	--------	d-----w-	c:\programme\Spyware Doctor
2010-08-09 09:35 . 2010-08-08 11:56	86315	----a-w-	c:\winxp\pchealth\helpctr\OfflineCache\index.dat
2010-08-08 17:04 . 2010-08-08 12:16	--------	d-----w-	c:\programme\ESET
2010-08-08 16:36 . 2008-04-14 09:00	48354	----a-w-	c:\winxp\system32\perfc007.dat
2010-08-08 16:36 . 2008-04-14 09:00	316924	----a-w-	c:\winxp\system32\perfh007.dat
2010-08-08 16:22 . 2010-08-08 16:22	0	----a-w-	c:\winxp\nsreg.dat
2010-08-08 13:12 . 2010-08-08 13:08	--------	d-----w-	c:\programme\Gemeinsame Dateien\PC Tools
2010-08-08 13:08 . 2010-08-08 13:08	--------	d-----w-	c:\dokumente und einstellungen\Eminem\Anwendungsdaten\PC Tools
2010-08-08 13:08 . 2010-08-08 13:08	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\PC Tools
2010-08-08 12:16 . 2010-08-08 12:16	--------	d-----w-	c:\dokumente und einstellungen\All Users\Anwendungsdaten\ESET
2010-08-08 12:12 . 2010-08-08 12:09	--------	d-----w-	c:\programme\Realtek
2010-08-08 12:12 . 2010-08-08 12:12	--------	d-----w-	c:\dokumente und einstellungen\Eminem\Anwendungsdaten\InstallShield
2010-08-08 12:06 . 2010-08-08 12:06	--------	d-----w-	c:\programme\Intel
2010-08-08 11:58 . 2010-08-08 11:58	--------	d-----w-	c:\programme\microsoft frontpage
2010-08-08 11:55 . 2010-08-08 11:55	--------	d-----w-	c:\programme\Online-Dienste
2010-08-08 11:55 . 2010-08-08 11:55	--------	d-----w-	c:\programme\Gemeinsame Dateien\Dienste
2010-08-08 11:54 . 2010-08-08 11:54	21740	----a-w-	c:\winxp\system32\emptyregdb.dat
2010-08-08 11:53 . 2010-08-08 11:53	--------	d-----w-	c:\programme\Windows Media Connect 2
2010-06-14 14:31 . 2010-08-08 11:54	744448	----a-w-	c:\winxp\pchealth\helpctr\binaries\helpsvc.exe
.

------- Sigcheck -------

[-] 2008-12-10 . 451D0981F4CCA5697307AF90D799BDC3 . 1571840 . . [5.1.2600.5512] . . c:\winxp\system32\sfcfiles.dll
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2008-10-28 17331200]
"egui"="c:\programme\ESET\ESET NOD32 Antivirus\egui.exe" [2010-04-07 2145000]
"NvCplDaemon"="c:\winxp\system32\NvCpl.dll" [2008-07-26 13570048]
"nwiz"="nwiz.exe" [2008-07-26 1657376]
"NvMediaCenter"="c:\winxp\system32\NvMcTray.dll" [2008-07-26 86016]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\winxp\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\RunOnce]
"_nltide_2"="shell32" [X]

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=

R0 PCTCore;PCTools KDS;c:\winxp\system32\drivers\PCTCore.sys [08.08.2010 17:39 218592]
R1 ehdrv;ehdrv;c:\winxp\system32\drivers\ehdrv.sys [07.04.2010 21:08 114984]
R1 epfwtdir;epfwtdir;c:\winxp\system32\drivers\epfwtdir.sys [07.04.2010 21:09 95872]
R2 Browser Defender Update Service;Browser Defender Update Service;c:\programme\Spyware Doctor\BDT\BDTUpdateService.exe [08.08.2010 17:41 112592]
R2 ekrn;ESET Service;c:\programme\ESET\ESET NOD32 Antivirus\ekrn.exe [07.04.2010 21:08 810120]
S3 sdAuxService;PC Tools Auxiliary Service;c:\programme\Spyware Doctor\pctsAuxs.exe [08.08.2010 17:39 366840]
.
Inhalt des "geplante Tasks" Ordners

2010-08-10 c:\winxp\Tasks\User_Feed_Synchronization-{74E8065A-1287-42D0-8D55-84CEF5C160D8}.job
- c:\winxp\system32\msfeedssync.exe [2008-12-10 00:01]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
FF - ProfilePath - c:\dokumente und einstellungen\Eminem\Anwendungsdaten\Mozilla\Firefox\Profiles\gqon8f8w.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/
FF - prefs.js: network.proxy.type - 0

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.lu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nu", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.nz", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true); 
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true); 
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--p1ai", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbayh7gpa", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.tel", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.proxy.type",                  5);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.count", 24);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.buffer.cache.size",  4096);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("dom.ipc.plugins.timeoutSecs", 45);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("accelerometer.enabled", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.allow_unrestricted_renego_everywhere__temporarily_available_pref", true);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.renego_unrestricted_hosts", "");
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.treat_unsafe_negotiation_as_broken", false);
c:\programme\Mozilla Firefox\greprefs\security-prefs.js - pref("security.ssl.require_safe_negotiation",  false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.nptest.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npswf32.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npctrl.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled.npqtplugin.dll", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, GMER - Rootkit Detector and Remover
Rootkit scan 2010-08-11 03:20
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse... 

Scanne versteckte Autostarteinträge... 

Scanne versteckte Dateien... 

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\WINXP\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe,-101"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\Elevation]
"Enabled"=dword:00000001

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\LocalServer32]
@="c:\\WINXP\\system32\\Macromed\\Flash\\FlashUtil10h_ActiveX.exe"

[HKEY_LOCAL_MACHINE\software\Classes\CLSID\{A483C63A-CDBC-426E-BF93-872502E8144E}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}]
@Denied: (A 2) (Everyone)
@="IFlashBroker4"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"

[HKEY_LOCAL_MACHINE\software\Classes\Interface\{E3F2C3CB-5EB8-4A04-B22C-7E3B4B6AF30F}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'explorer.exe'(3676)
c:\progra~1\WINDOW~2\wmpband.dll
c:\winxp\system32\webcheck.dll
c:\winxp\system32\wpdshserviceobj.dll
c:\winxp\system32\portabledevicetypes.dll
c:\winxp\system32\portabledeviceapi.dll
.
Zeit der Fertigstellung: 2010-08-11  03:23:45
ComboFix-quarantined-files.txt  2010-08-10 22:53

Vor Suchlauf: 7 Verzeichnis(se), 243.578.597.376 Bytes frei
Nach Suchlauf: 8 Verzeichnis(se), 243.625.107.456 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINXP
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINXP="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - B46C8D12B9F2FC6EE6E527D32691C586

--- --- ---

Larusso · 11.08.2010, 09:43

Hy,

Wir müssen den MBR manuell fixen.

Drucke Dir folgendes eventuell aus oder schreibe es Dir auf.

Starte den PC neu auf.
Beim Neustart wirst Du gefragt welches Betriebssystem Du starten willst.
Wähle hier die Wiederherstellungskonsole
Du wirst gefragt welche Windows Installation Du starten willst. Gib hier 1 ein und drücke enter.
Nun findest Du dich in einem schwarzen Fenster wo C:\windows>.
Gib hier bitte folgende(n) Befehl(e) ein und bestätige jede Zeile mit [Enter]

Achte auf die Leerzeichen

Code:

ATTFilter

fixmbr \Device\HardDisk1
Exit

Windows wird nun neu starten.
Starte MBRCheck.exe erneut und poste mir die Logfile

virenjäger · 11.08.2010, 17:05

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000007d

Kernel Drivers (total 117):
0x804D7000 \WINXP\system32\ntoskrnl.exe
0x80700000 \WINXP\system32\hal.dll
0xF7987000 \WINXP\system32\KDCOM.DLL
0xF7897000 \WINXP\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINXP\system32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF74D6000 fltMgr.sys
0xF798B000 avgarkt.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINXP\system32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74B7000 ftdisk.sys
0xF798D000 dmload.sys
0xF7491000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7479000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINXP\system32\DRIVERS\CLASSPNP.SYS
0xF7467000 sr.sys
0xF742E000 PCTCore.sys
0xF7417000 KSecDD.sys
0xF7B52000 Ntfs.sys
0xF786A000 NDIS.sys
0xF7850000 Mup.sys
0xF7586000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xB9E24000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xB9E10000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9DE8000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xB9DCC000 \SystemRoot\system32\DRIVERS\Rtenicxp.sys
0xF7787000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xB9DA8000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF778F000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF7797000 \SystemRoot\system32\DRIVERS\fdc.sys
0xB9D94000 \SystemRoot\system32\DRIVERS\parport.sys
0xF7576000 \SystemRoot\system32\DRIVERS\serial.sys
0xF793F000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF7566000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF7556000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF7546000 \SystemRoot\system32\DRIVERS\redbook.sys
0xB9D71000 \SystemRoot\system32\DRIVERS\ks.sys
0xBA7A8000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF7536000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF794B000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xB9D5A000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7526000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7516000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF779F000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xB9D49000 \SystemRoot\system32\DRIVERS\psched.sys
0xF7506000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF77A7000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF77AF000 \SystemRoot\system32\DRIVERS\raspti.sys
0xB9D19000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xF74F6000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF77B7000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF77BF000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7997000 \SystemRoot\system32\DRIVERS\swenum.sys
0xB9C43000 \SystemRoot\system32\DRIVERS\update.sys
0xBA7E0000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xBA75E000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xB75C2000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xB759E000 \SystemRoot\system32\drivers\portcls.sys
0xBA74E000 \SystemRoot\system32\drivers\drmk.sys
0xBA73E000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF799B000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF77C7000 \SystemRoot\system32\DRIVERS\flpydisk.sys
0xF799D000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA7A6000 \SystemRoot\System32\Drivers\Null.SYS
0xF799F000 \SystemRoot\System32\Drivers\Beep.SYS
0xB752F000 \SystemRoot\system32\DRIVERS\ehdrv.sys
0xF7A76000 \SystemRoot\System32\DRIVERS\AvgArCln.sys
0xF77D7000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF77DF000 \SystemRoot\System32\drivers\vga.sys
0xF79A1000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79A3000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF77E7000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF77EF000 \SystemRoot\System32\Drivers\Npfs.SYS
0xB9D0D000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xB74FC000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xB74A3000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xB747D000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xB7455000 \SystemRoot\system32\DRIVERS\netbt.sys
0xBA70E000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xB743D000 \SystemRoot\system32\DRIVERS\epfwtdir.sys
0xB741B000 \SystemRoot\System32\drivers\afd.sys
0xBA6FE000 \SystemRoot\system32\DRIVERS\netbios.sys
0xB73F0000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xB7358000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xBA6EE000 \SystemRoot\System32\Drivers\Fips.SYS
0xF7677000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xF77FF000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xB7596000 \SystemRoot\system32\DRIVERS\usbscan.sys
0xF7807000 \SystemRoot\system32\DRIVERS\usbprint.sys
0xF780F000 \SystemRoot\system32\DRIVERS\USBSTOR.SYS
0xB758E000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xF7687000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xB758A000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xB7582000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xB7318000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF79AB000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xB7572000 \SystemRoot\System32\drivers\Dxapi.sys
0xF7817000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7A74000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF012000 \SystemRoot\System32\nv4_disp.dll
0xB62D0000 \SystemRoot\system32\DRIVERS\eamon.sys
0xB63B2000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB5FC3000 \SystemRoot\system32\drivers\wdmaud.sys
0xB7AC3000 \SystemRoot\system32\drivers\sysaudio.sys
0xB5D8C000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF79E9000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xB5BAA000 \SystemRoot\system32\DRIVERS\srv.sys
0xB5939000 \SystemRoot\System32\Drivers\HTTP.sys
0x7C910000 \WINXP\system32\ntdll.dll

Processes (total 24):
0 System Idle Process
4 System
656 C:\WINXP\system32\smss.exe
712 csrss.exe
740 C:\WINXP\system32\winlogon.exe
792 C:\WINXP\system32\services.exe
804 C:\WINXP\system32\lsass.exe
984 C:\WINXP\system32\svchost.exe
1052 svchost.exe
1148 C:\WINXP\system32\svchost.exe
1268 svchost.exe
1344 svchost.exe
1476 C:\WINXP\system32\spoolsv.exe
1736 C:\WINXP\explorer.exe
1884 C:\WINXP\RTHDCPL.EXE
1892 C:\Programme\ESET\ESET NOD32 Antivirus\egui.exe
1960 C:\WINXP\system32\rundll32.exe
432 svchost.exe
476 C:\Programme\Spyware Doctor\BDT\BDTUpdateService.exe
536 C:\Programme\ESET\ESET NOD32 Antivirus\ekrn.exe
580 C:\WINXP\system32\nvsvc32.exe
448 C:\WINXP\system32\svchost.exe
516 alg.exe
2172 C:\Dokumente und Einstellungen\Eminem\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: ST3250310AS, Rev: 3.AAF
PhysicalDrive1 Model Number: HitachiHDP725025GLA380, Rev: GM2OA52A

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
232 GB \\.\PhysicalDrive1 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

Done!

Larusso · 11.08.2010, 17:12

Well Done

Schritt 1

Falls noch nicht vorhanden,
Downloade Dir bitte Malwarebytes

Installiere das Programm in den vorgegebenen Pfad.
Denke daran, bei Vista das Programm als Admin zu starten, ansonsten per Doppelklick starten.
Lasse es online updaten (Reiter Aktualisierungen), sofern sich das Programm bereits auf dem Rechner befand.
Aktiviere "Quick-Scan durchführen" => Scannen.
Wenn der Scan beendet ist, klicke auf "Ergebnisse anzeigen".
Versichere Dich, dass alle Funde markiert sind und drücke "Entferne Auswahl".
Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 2

ESET Online Scanner
Bitte während der Online-Scans evtl. vorhandene externe Festplatten einschalten! Bitte während der Scans alle Hintergrundwächter (Anti-Virus-Programm, Firewall, Skriptblocking und ähnliches) abstellen und nicht vergessen, alles hinterher wieder einzuschalten.

Anmerkung für Vista und Win7 User: Bitte den Browser unbedingt als Administrator starten.
Dein Anti-Virus-Programm während des Scans deaktivieren.

Button (<< klick) drücken.
- Firefox-User:
  Bitte esetsmartinstaller_enu.exe downloaden.Das Firefox-Addon auf dem Desktop speichern und dann installieren.
- IE-User:
  müssen das Installieren eines ActiveX Elements erlauben.
Setze den einen Hacken bei Yes, i accept the Terms of Use.
Drücke den Button.
Warte bis die Komponenten herunter geladen wurden.
Setze einen Haken bei "Remove found threads" und "Scan archives".
drücken.
Die Signaturen werden herunter geladen.Der Scan beginnt automatisch.

Wenn der Scan beendet wurde

Klicke Finish.
Browser schließen.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt suchen und mit Deinem Editor öffnen.
Logfile hier posten.

Schritt 3

Downloade Dir bitte SecurityCheck

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS- Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument ( checkup.txt ) öffnen.

Poste den Inhalt bitte hier.

Schritt 4

Starte bitte OTL.exe und klicke auf den Quick Scan Button.

Bitte poste in Deiner nächsten Antwort
MBAM Log
ESET Log
checkup.txt
OTL.txt
Berichte wie der Rechner läuft

10.08.2010, 18:53	#3
virenjäger Gesperrt	ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher hab jetzt HelpAsst_mebroot_fix.exe laufen lassen und er meldet folgendes help assistant profile not found drücken sie eine beliebige taste... was ich auch gemacht habe und dann kam nochwas user & kernel mbr ok drücken sie eine beliebige taste __________________

10.08.2010, 18:59	#4
virenjäger Gesperrt	ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher ich hab das programm HelpAsst_mebroot_fix.exe ausgeführt und dann kam folgende meldung: helpassistant profile not found drücken sie eine beliebige taste... was ich auch gemacht habe und dann kam noch eine meldung user & kernel mbr ok the tool has completed drücken sie eine beliebige taste...

10.08.2010, 19:37	#7
Larusso /// Selecta Jahrusso	ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher Was ist Platte D: ? __________________ mfg, Daniel ASAP & UNITE Member Alliance of Security Analysis Professionals Unified Network of Instructors and Trusted Eliminators Lerne, zurück zu schlagen und unterstütze uns! TB Akademie

ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher

Plagegeister aller Art und deren Bekämpfung: ich habe einen win32/mebroot trojaner auf der festplatte und auf dem arbeitsspeicher