MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Home Edition
Windows Information: Service Pack 2 (build 2600)
Logical Drives Mask: 0x000003fc

Kernel Drivers (total 134):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806E3000 \WINDOWS\system32\hal.dll
0xF7B10000 \WINDOWS\system32\KDCOM.DLL
0xF7A20000 \WINDOWS\system32\BOOTVID.dll
0xF74E0000 ACPI.sys
0xF7B12000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xF74CF000 pci.sys
0xF7610000 isapnp.sys
0xF7BD8000 pciide.sys
0xF7890000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xF7620000 MountMgr.sys
0xF74B0000 ftdisk.sys
0xF7898000 PartMgr.sys
0xF7630000 VolSnap.sys
0xF7498000 atapi.sys
0xF7640000 disk.sys
0xF7650000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xF7478000 fltMgr.sys
0xF7422000 SYMDS.SYS
0xF7410000 sr.sys
0xF73E3000 SYMEFA.SYS
0xF73CC000 KSecDD.sys
0xF733F000 Ntfs.sys
0xF7312000 NDIS.sys
0xF725F000 WDMCAPI.sys
0xF7660000 ohci1394.sys
0xF7670000 \WINDOWS\system32\DRIVERS\1394BUS.SYS
0xF7244000 Mup.sys
0xF7750000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xF62DB000 \SystemRoot\system32\DRIVERS\nv4_mini.sys
0xF62C7000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xF62A2000 \SystemRoot\system32\DRIVERS\HDAudBus.sys
0xF79C0000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xF627F000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF79C8000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF61B5000 \SystemRoot\system32\DRIVERS\3xHybrid.sys
0xF6192000 \SystemRoot\system32\DRIVERS\ks.sys
0xF7220000 \SystemRoot\system32\DRIVERS\BdaSup.SYS
0xF6086000 \SystemRoot\system32\DRIVERS\AGRSM.sys
0xF79D0000 \SystemRoot\System32\Drivers\Modem.SYS
0xF79D8000 \SystemRoot\system32\DRIVERS\fdc.sys
0xF6075000 \SystemRoot\system32\DRIVERS\serial.sys
0xF7214000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF6061000 \SystemRoot\system32\DRIVERS\parport.sys
0xF7760000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF7770000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF7780000 \SystemRoot\system32\DRIVERS\redbook.sys
0xF79E0000 \SystemRoot\system32\DRIVERS\GEARAspiWDM.sys
0xF7CB2000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF7790000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7208000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xF604A000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF77A0000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF77B0000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF79E8000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xF6039000 \SystemRoot\system32\DRIVERS\psched.sys
0xF77C0000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF79F0000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF79F8000 \SystemRoot\system32\DRIVERS\raspti.sys
0xF77D0000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF7A00000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF7A08000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7B64000 \SystemRoot\system32\DRIVERS\swenum.sys
0xF5FE0000 \SystemRoot\system32\DRIVERS\update.sys
0xF71FC000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF77E0000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xF3AA3000 \SystemRoot\system32\drivers\RtkHDAud.sys
0xF3A81000 \SystemRoot\system32\drivers\portcls.sys
0xF77F0000 \SystemRoot\system32\drivers\drmk.sys
0xF7800000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF7B6C000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF7B98000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7C6C000 \SystemRoot\System32\Drivers\Null.SYS
0xF7B9A000 \SystemRoot\System32\Drivers\Beep.SYS
0xF7900000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF7908000 \SystemRoot\System32\drivers\vga.sys
0xF7B9C000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF7BA0000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF7910000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF7918000 \SystemRoot\System32\Drivers\Npfs.SYS
0xF7B04000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xF39AE000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xF3956000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xF390D000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xF38B6000 \SystemRoot\System32\Drivers\N360\0402000.00C\SYMTDI.SYS
0xF76B0000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xF3891000 \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS
0xF383C000 \??\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\IPSDefs\20100826.001\IDSxpx86.sys
0xF3814000 \SystemRoot\system32\DRIVERS\netbt.sys
0xF37F2000 \SystemRoot\System32\drivers\afd.sys
0xF76C0000 \SystemRoot\system32\DRIVERS\netbios.sys
0xF37D3000 \SystemRoot\system32\drivers\N360\0402000.00C\Ironx86.SYS
0xF7928000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xF3E86000 \SystemRoot\system32\DRIVERS\hp4200c.sys
0xF7700000 \SystemRoot\system32\drivers\N360\0402000.00C\SRTSPX.SYS
0xF37A8000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xF3739000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xF7710000 \SystemRoot\System32\Drivers\Fips.SYS
0xF36DB000 \??\C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\eeCtrl.sys
0xF36BE000 \??\C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys
0xF363F000 \SystemRoot\system32\drivers\N360\0402000.00C\ccHPx86.sys
0xF3593000 \??\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\BASHDefs\20100810.004\BHDrvx86.sys
0xF3548000 \SystemRoot\System32\Drivers\Fastfat.SYS
0xF3536000 \SystemRoot\system32\DRIVERS\cmiucr.SYS
0xF7970000 \SystemRoot\system32\DRIVERS\usbprint.sys
0xF34DA000 \SystemRoot\system32\DRIVERS\PRISMA02.sys
0xF7AE4000 \SystemRoot\system32\DRIVERS\hidusb.sys
0xF7740000 \SystemRoot\system32\DRIVERS\HIDCLASS.SYS
0xF7980000 \SystemRoot\System32\Drivers\x10ufx2.sys
0xF3952000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xF394E000 \SystemRoot\system32\DRIVERS\mouhid.sys
0xF34C2000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF7B2E000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xF3E8A000 \SystemRoot\System32\drivers\Dxapi.sys
0xF79A0000 \SystemRoot\System32\watchdog.sys
0xBD000000 \SystemRoot\System32\drivers\dxg.sys
0xF7D57000 \SystemRoot\System32\drivers\dxgthk.sys
0xBD012000 \SystemRoot\System32\nv4_disp.dll
0xBFFA0000 \SystemRoot\System32\ATMFD.DLL
0xF78D0000 \SystemRoot\system32\DRIVERS\AegisP.sys
0xB8704000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xB833B000 \SystemRoot\system32\drivers\wdmaud.sys
0xB8460000 \SystemRoot\system32\drivers\sysaudio.sys
0xB80BB000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xB784F000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xB7413000 \SystemRoot\system32\DRIVERS\srv.sys
0xB6C2B000 \SystemRoot\System32\Drivers\N360\0402000.00C\SRTSP.SYS
0xB6A17000 \??\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\VirusDefs\20100827.003\NAVEX15.SYS
0xB6A03000 \??\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Norton\{0C55C096-0F1D-4F28-AAA2-85EF591126E7}\N360_4.0.0.127\Definitions\VirusDefs\20100827.003\NAVENG.SYS
0xB68FA000 \SystemRoot\System32\Drivers\HTTP.sys
0xB69DF000 \??\C:\WINDOWS\system32\PCANDIS5.SYS
0xF7998000 \??\C:\PROGRA~1\GEMEIN~1\MARMIK~1\MACNDIS5.SYS
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 58):
0 System Idle Process
4 System
468 C:\WINDOWS\system32\smss.exe
700 csrss.exe
732 C:\WINDOWS\system32\winlogon.exe
776 C:\WINDOWS\system32\services.exe
788 C:\WINDOWS\system32\lsass.exe
960 C:\WINDOWS\system32\nvsvc32.exe
992 C:\WINDOWS\system32\svchost.exe
1044 svchost.exe
1140 C:\WINDOWS\system32\svchost.exe
1244 svchost.exe
1348 svchost.exe
1648 C:\WINDOWS\system32\spoolsv.exe
1832 C:\WINDOWS\explorer.exe
1984 C:\WINDOWS\RTHDCPL.EXE
2028 C:\WINDOWS\mHotkey.exe
108 C:\WINDOWS\CNYHKey.exe
152 C:\Programme\Home Cinema\PowerDVD\PDVDServ.exe
244 C:\Programme\Home Cinema\PowerCinema\PCMService.exe
300 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
320 C:\WINDOWS\vVX1000.exe
396 C:\WINDOWS\system32\rundll32.exe
388 C:\WINDOWS\system32\hplampc.exe
484 C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis1\ToADiMon.exe
524 C:\Programme\iTunes\iTunesHelper.exe
548 C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
1376 C:\Programme\DT\Sinus 1054 data\Wifiusb.exe
856 svchost.exe
1732 C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
1416 C:\Programme\Bonjour\mDNSResponder.exe
2016 C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
628 C:\Programme\Home Cinema\PowerCinema\Kernel\CLML_NTService\CLMLServer.exe
1404 C:\Programme\ICQ6Toolbar\ICQ Service.exe
1720 C:\Programme\Java\jre6\bin\jqs.exe
1904 C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
2024 C:\Programme\Microsoft LifeCam\MSCamS32.exe
532 C:\Programme\Gemeinsame Dateien\Marmiko Shared\MZCCntrl.exe
852 C:\Programme\Norton 360\Engine\4.2.0.12\ccsvchst.exe
1496 C:\Programme\Netzmanager\NMInfraIS2\Netzmanager_Service.exe
1976 C:\Programme\CyberLink\Shared Files\RichVideo.exe
2164 C:\WINDOWS\system32\svchost.exe
2248 C:\Programme\TomTom HOME 2\TomTomHOMEService.exe
2876 C:\WINDOWS\system32\wuauclt.exe
3172 C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
2216 C:\Programme\Norton 360\Engine\4.2.0.12\ccsvchst.exe
2872 C:\PROGRA~1\COMMON~1\X10\Common\X10nets.exe
3404 C:\Programme\iPod\bin\iPodService.exe
2052 wmiprvse.exe
3968 C:\WINDOWS\system32\wbem\wmiapsrv.exe
4068 alg.exe
3896 C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\kernel.exe
1260 C:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\sc_watch.exe
4008 C:\PROGRA~1\T-Online\T-ONLI~2\BASIS-~1\Basis2\PROFIL~1.EXE
3036 C:\PROGRA~1\T-Online\T-ONLI~2\Notifier\Notifier.exe
3892 C:\Programme\Gemeinsame Dateien\Marmiko Shared\MWLaMaS.exe
1512 C:\Programme\Mozilla Firefox\firefox.exe
3816 C:\Dokumente und Einstellungen\Tobi\Desktop\PC-Hilfe\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\D: --> \\.\PhysicalDrive0 at offset 0x0000001d`1a8eb800 (NTFS)
\\.\E: --> \\.\PhysicalDrive0 at offset 0x00000038`14eb4600 (FAT32)

PhysicalDrive0 Model Number: ST3250823AS, Rev: 3.03

Size Device Name MBR Status
--------------------------------------------
232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A


Done!

232 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A

MBR ist ok!

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Malwarebytes' Anti-Malware 1.46
Malwarebytes

Datenbank Version: 4493

Windows 5.1.2600 Service Pack 2
Internet Explorer 6.0.2900.2180

28.08.2010 15:01:39
mbam-log-2010-08-28 (15-01-39).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|E:\|)
Durchsuchte Objekte: 250622
Laufzeit: 1 Stunde(n), 12 Minute(n), 46 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe (Trojan.Dropper) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP288\A0041056.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

SUPERAntiSpyware Scan Log
SUPERAntiSpyware.com | Remove Malware | Remove Spyware - AntiMalware, AntiSpyware, AntiAdware!

Generated 08/28/2010 at 04:32 PM

Application Version : 4.42.1000

Core Rules Database Version : 5421
Trace Rules Database Version: 3233

Scan type : Complete Scan
Total Scan Time : 01:18:10

Memory items scanned : 692
Memory threats detected : 0
Registry items scanned : 7913
Registry threats detected : 0
File items scanned : 109315
File threats detected : 7

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@tracking.hannoversche[2].txt
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@atdmt[2].txt
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@im.banner.t-online[2].txt
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@doubleclick[1].txt
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@ad4.adfarm1.adition[1].txt
C:\Dokumente und Einstellungen\Tobi\Cookies\tobi@adfarm1.adition[2].txt

Trojan.Agent/Gen-Nullo[Short]
C:\SYSTEM VOLUME INFORMATION\_RESTORE{20EA187A-C68E-49AC-A1E6-FEF621E0E4FC}\RP292\A0043737.EXE

Infizierte Dateien:
C:\Programme\CyberLink\PowerCinema Linux\ion_install.exe (Trojan.Dropper) -> Quarantined and deleted successfully.

Wieso findet MBAM das was?
Wo hast Du diese Version her?

Wie welche Version ?
Die von Malewarebytes ?
-> AV Security Suite entfernen / löschen - Rechner, Schritt, Malware, Internet, Modus, Security, Suite, Explorer - ITler.NET - Der Blog für ITler und Sysadmins

Nein! Beachte das Zitat! Power Cinema von Cyberlink, was macht das Linux da im Programmpfad?

Achso. Das weiß ich nicht !!!
Power Cinema ist glaub ich ein Programm von Medion, das von Anfang an auf dem PC war.
Was soll ich machen ?

Na, dann isses ok.
Noch Probleme oder weitere Funde in der Zwischenzeit?

Ja also an der Schnelligkeit am PC hat sich nichts geändert, sprich er wurde nicht schneller.
Und beim Scan den ich gepostet hab hat er einen Trojan.Agent gefunden !
Außerdem beim Malewarybytesscan 2 Trojan.Dropper.

Habe ja die Log's gepostet

Was soll ich da jetzt noch machen ?
Wie geht es weiter ?

Außerdem : Nach starten von Windows frägt er mich jedes mal, ob ich Windows normal starten will oder die Wiederherstellungskonsole. Kann ich das nachfragen irgendwie wieder abstellen ?

Schoni

Der erste Fund war vermutlich ein Fehlalarm im Powercinema-Ordner. Der andere war in der Systemwiederherstellung. Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.


Seit wann ist der PC so langsam? Manchmal lässt sich mit ein paar Optimierungsprozessen das System schneller machen => http://www.trojaner-board.de/71631-p...samer-tun.html
Das hilft aber auch nicht immer und manchmal ist es dann tatsächlich besser (v.a. bei stark und planlos zugemüllten Systemen) ein format c: plus Neuinstallation von Windows zu machen.

Achso ok.
Ja wie mein Thema schon heißt : Nach AV Security Suite.
Eben nach der Beseitigung.

Bereinigt haben wir aber. Die letzten Funde waren Überreste/Fehlalarme. Acker nochmal den Artikle ab (Pc immer langsamer was tun) danach sehen wir weiter.

Und wegen der Wiederherstellungskonsole. Bei jedem Start werde ich gefragt ob ich Windows oder die Wiederherstellungskonsole starten will. Kann ich das irgendwie abstellen ?