Hi Arne

Virenscanner kann es eigentlich nicht sein, da ich das Abo für den norton noch gar nicht verlängert habe und sonst kein anderer Virenscanner läuft..
Anbei schon mal die beide GMER und OSAM-Logs.
Den OTL-Ordner habe ich nochmal neu gezipped mit WinRAR und lade ihn per Upload-Funktion hoch, da er 6,5 MB groß ist.

Bestes
Stefankai

Abo für den norton noch gar nicht verlängert habe und sonst kein anderer Virenscanner läuft..

Ich wollte wissen ob du den VOR dem Zippen deaktiviert hast!

Hi Arne

Sorry. Dann habe ich das nicht richtig verstanden. Also laut Sicherheitscenter ist da nichts aktiviert. Norton meldet auch, dass ich nicht geschützt bin und zeigt nur das Icon im Tray, dass er aus ist. Ich dachte damit ist der deaktiviert. Oder muss ich den Prozess beenden? Wenn ja, aber welchen, denn so kann ich Norton nicht als laufende Anwendung entdecken. Welcher Prozess wäre das? ccSvcHst.exe (läuft zweimal) oder svchost.exe (läuft zehnmal).

Kannst Du mit den Dateien bzw. ZIP-Archiven jetzt etwas anfangen?

Bestes
Stefankai

Ist schon ok so
Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SUPERAntiSpyware und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hi Arne

Dann ist ja gut. Anbei die beiden Logs. SASW hat einige Dateien wohl schon gelöscht und ich starte jetzt neu.

Bestes
Stefankai

1. Malwarebytes:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000007c

Kernel Drivers (total 137):
0x804D7000 \WINDOWS\system32\ntoskrnl.exe
0x80701000 \WINDOWS\system32\hal.dll
0xF7987000 \WINDOWS\system32\KDCOM.DLL
0xF7897000 \WINDOWS\system32\BOOTVID.dll
0xF75A7000 ACPI.sys
0xF7989000 \WINDOWS\System32\DRIVERS\WMILIB.SYS
0xF7596000 pci.sys
0xF75F7000 isapnp.sys
0xF7A4F000 pciide.sys
0xF7707000 \WINDOWS\System32\DRIVERS\PCIIDEX.SYS
0xF7607000 MountMgr.sys
0xF74D7000 ftdisk.sys
0xF798B000 dmload.sys
0xF74B1000 dmio.sys
0xF770F000 PartMgr.sys
0xF7617000 VolSnap.sys
0xF7499000 atapi.sys
0xF7627000 disk.sys
0xF7637000 \WINDOWS\System32\DRIVERS\CLASSPNP.SYS
0xF7479000 fltmgr.sys
0xF7467000 sr.sys
0xF7647000 Lbd.sys
0xF7418000 SYMEFA.SYS
0xF7657000 PxHelp20.sys
0xF7401000 KSecDD.sys
0xF7884000 WudfPf.sys
0xF7B52000 Ntfs.sys
0xF7857000 NDIS.sys
0xF783D000 Mup.sys
0xF7526000 \SystemRoot\System32\DRIVERS\intelppm.sys
0xB9B63000 \SystemRoot\system32\DRIVERS\ati2mtag.sys
0xB9B4F000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xB9B2A000 \SystemRoot\System32\DRIVERS\HDAudBus.sys
0xF777F000 \SystemRoot\System32\DRIVERS\usbuhci.sys
0xB9B06000 \SystemRoot\System32\DRIVERS\USBPORT.SYS
0xF7787000 \SystemRoot\System32\DRIVERS\usbehci.sys
0xF778F000 \SystemRoot\System32\DRIVERS\DM9PCI5.SYS
0xB9AF2000 \SystemRoot\System32\DRIVERS\parport.sys
0xBA05C000 \SystemRoot\System32\DRIVERS\gameenum.sys
0xF7A89000 \SystemRoot\system32\drivers\msmpu401.sys
0xB9ACE000 \SystemRoot\system32\drivers\portcls.sys
0xBA760000 \SystemRoot\system32\drivers\drmk.sys
0xB9AAB000 \SystemRoot\system32\drivers\ks.sys
0xBA750000 \SystemRoot\System32\DRIVERS\serial.sys
0xBA054000 \SystemRoot\System32\DRIVERS\serenum.sys
0xF79DF000 \SystemRoot\System32\DRIVERS\ASACPI.sys
0xBA740000 \SystemRoot\System32\DRIVERS\imapi.sys
0xB9A93000 \SystemRoot\System32\Drivers\AnyDVD.sys
0xF79E1000 \SystemRoot\System32\Drivers\ElbyDelay.sys
0xBA730000 \SystemRoot\System32\DRIVERS\cdrom.sys
0xBA720000 \SystemRoot\System32\DRIVERS\redbook.sys
0xF7797000 \SystemRoot\System32\Drivers\GEARAspiWDM.sys
0xF7A8E000 \SystemRoot\System32\DRIVERS\audstub.sys
0xBA0C0000 \SystemRoot\System32\DRIVERS\rasl2tp.sys
0xBA048000 \SystemRoot\System32\DRIVERS\ndistapi.sys
0xB9662000 \SystemRoot\System32\DRIVERS\ndiswan.sys
0xBA0B0000 \SystemRoot\System32\DRIVERS\raspppoe.sys
0xBA0A0000 \SystemRoot\System32\DRIVERS\raspptp.sys
0xF77AF000 \SystemRoot\System32\DRIVERS\TDI.SYS
0xB9651000 \SystemRoot\System32\DRIVERS\psched.sys
0xBA090000 \SystemRoot\System32\DRIVERS\msgpc.sys
0xF77B7000 \SystemRoot\System32\DRIVERS\ptilink.sys
0xF77BF000 \SystemRoot\System32\DRIVERS\raspti.sys
0xB9621000 \SystemRoot\System32\DRIVERS\rdpdr.sys
0xBA080000 \SystemRoot\System32\DRIVERS\termdd.sys
0xF77C7000 \SystemRoot\System32\DRIVERS\kbdclass.sys
0xF77CF000 \SystemRoot\System32\DRIVERS\mouclass.sys
0xF77D7000 \SystemRoot\system32\DRIVERS\SymIM.sys
0xF79FB000 \SystemRoot\System32\DRIVERS\swenum.sys
0xB9573000 \SystemRoot\System32\DRIVERS\update.sys
0xF793F000 \SystemRoot\System32\DRIVERS\mssmbios.sys
0xF7586000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xA94DD000 \SystemRoot\system32\drivers\ADIHdAud.sys
0xA94BD000 \SystemRoot\system32\drivers\AEAudio.sys
0xA945D000 \SystemRoot\system32\drivers\Senfilt.sys
0xBA780000 \SystemRoot\System32\DRIVERS\usbhub.sys
0xF79C1000 \SystemRoot\System32\DRIVERS\USBD.SYS
0xF79DD000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xBA021000 \SystemRoot\System32\Drivers\Null.SYS
0xF79E3000 \SystemRoot\System32\Drivers\Beep.SYS
0xF781F000 \SystemRoot\system32\DRIVERS\HIDPARSE.SYS
0xF7747000 \SystemRoot\System32\drivers\vga.sys
0xF79E5000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF79E7000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF774F000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF7757000 \SystemRoot\System32\Drivers\Npfs.SYS
0xBA060000 \SystemRoot\System32\DRIVERS\rasacd.sys
0xA942A000 \SystemRoot\System32\DRIVERS\ipsec.sys
0xA93D1000 \SystemRoot\System32\DRIVERS\tcpip.sys
0xA939D000 \SystemRoot\System32\Drivers\N360\0308000.029\SYMTDI.SYS
0xA9377000 \SystemRoot\System32\DRIVERS\ipnat.sys
0xA9352000 \??\C:\WINDOWS\system32\Drivers\SYMEVENT.SYS
0xA932A000 \SystemRoot\System32\DRIVERS\netbt.sys
0xBA710000 \SystemRoot\System32\DRIVERS\wanarp.sys
0xA9308000 \SystemRoot\System32\drivers\afd.sys
0xF76A7000 \SystemRoot\System32\DRIVERS\netbios.sys
0xBA0F0000 \SystemRoot\system32\drivers\N360\0308000.029\SRTSPX.SYS
0xA923D000 \SystemRoot\System32\DRIVERS\rdbss.sys
0xA91CD000 \SystemRoot\System32\DRIVERS\mrxsmb.sys
0xBA0E0000 \SystemRoot\System32\Drivers\Fips.SYS
0xF775F000 \SystemRoot\System32\Drivers\ElbyCDIO.sys
0xA916F000 \??\C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\eeCtrl.sys
0xA9152000 \??\C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EraserUtilRebootDrv.sys
0xA90D7000 \SystemRoot\System32\Drivers\N360\0308000.029\ccHPx86.sys
0xA9095000 \SystemRoot\System32\Drivers\N360\0308000.029\BHDrvx86.sys
0xB9611000 \SystemRoot\system32\DRIVERS\usbccgp.sys
0xA9513000 \SystemRoot\System32\DRIVERS\hidusb.sys
0xF76E7000 \SystemRoot\System32\DRIVERS\HIDCLASS.SYS
0xF76F7000 \SystemRoot\system32\drivers\LVUSBSta.sys
0xF794B000 \SystemRoot\system32\DRIVERS\usbscan.sys
0xBF800000 \SystemRoot\System32\win32k.sys
0xA908D000 \SystemRoot\System32\drivers\Dxapi.sys
0xB95D9000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7ABD000 \SystemRoot\System32\drivers\dxgthk.sys
0xA9089000 \SystemRoot\System32\DRIVERS\mouhid.sys
0xF7546000 \SystemRoot\system32\drivers\usbaudio.sys
0xA9079000 \SystemRoot\system32\DRIVERS\kbdhid.sys
0xBF012000 \SystemRoot\System32\ati2dvag.dll
0xBF054000 \SystemRoot\System32\ati2cqag.dll
0xBF08E000 \SystemRoot\System32\atikvmag.dll
0xBF0C4000 \SystemRoot\System32\ati3duag.dll
0xBF32B000 \SystemRoot\System32\ativvaxx.dll
0xBF3FE000 \SystemRoot\System32\ATMFD.DLL
0xA6E90000 \SystemRoot\System32\DRIVERS\ndisuio.sys
0xA6C2B000 \SystemRoot\System32\DRIVERS\mrxdav.sys
0xF79B7000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xA6B26000 \SystemRoot\system32\drivers\wdmaud.sys
0xA6CA0000 \SystemRoot\system32\drivers\sysaudio.sys
0xA68B4000 \SystemRoot\System32\DRIVERS\srv.sys
0xA6154000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xF7807000 \SystemRoot\system32\DRIVERS\LVPr2Mon.sys
0xA5D5B000 \SystemRoot\System32\Drivers\HTTP.sys
0xA5AED000 \SystemRoot\system32\DRIVERS\asyncmac.sys
0xA57B6000 \??\C:\DOKUME~1\STCKLE~1\LOKALE~1\Temp\uglyrpob.sys
0xA578B000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 49):
0 System Idle Process
4 System
668 C:\WINDOWS\system32\smss.exe
760 csrss.exe
796 C:\WINDOWS\system32\winlogon.exe
840 C:\WINDOWS\system32\services.exe
852 C:\WINDOWS\system32\lsass.exe
1032 C:\WINDOWS\system32\ati2evxx.exe
1048 C:\WINDOWS\system32\svchost.exe
1104 svchost.exe
1200 C:\WINDOWS\system32\svchost.exe
1240 C:\WINDOWS\system32\svchost.exe
1284 svchost.exe
1432 svchost.exe
1620 C:\WINDOWS\system32\spoolsv.exe
1712 svchost.exe
1744 C:\WINDOWS\system32\svchost.exe
1756 C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
1992 C:\Programme\Bonjour\mDNSResponder.exe
2028 svchost.exe
124 C:\Programme\Norton 360\AddOns\Norton AddOn Pack\Engine\3.8.0.5\ccProxy.exe
332 C:\WINDOWS\system32\inetsrv\inetinfo.exe
464 C:\Programme\Java\jre6\bin\jqs.exe
500 C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe
588 C:\Programme\Gemeinsame Dateien\LogiShrd\LVMVFM\LVPrcSrv.exe
728 C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
116 sqlservr.exe
924 C:\Programme\Norton 360\Engine\3.8.0.41\ccSvcHst.exe
1408 sqlbrowser.exe
1500 C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
1780 C:\WINDOWS\system32\svchost.exe
612 C:\WINDOWS\system32\ati2evxx.exe
2588 C:\WINDOWS\explorer.exe
2884 C:\Programme\Norton 360\Engine\3.8.0.41\ccSvcHst.exe
3428 alg.exe
3680 C:\Programme\Gemeinsame Dateien\LogiShrd\LVCOMSER\LVComSer.exe
3984 C:\WINDOWS\system32\wscntfy.exe
2524 C:\Programme\Analog Devices\Core\smax4pnp.exe
2748 C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
3056 C:\Programme\ATI Technologies\ATI HydraVision\HydraDM.exe
2292 C:\Programme\DivX\DivX Update\DivXUpdate.exe
2340 C:\Programme\DivX\DivX Plus Web Player\DDMService.exe
1840 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
3320 C:\Programme\iTunes\iTunesHelper.exe
3464 C:\WINDOWS\system32\ctfmon.exe
3632 C:\Programme\Stardock\ObjectDock\ObjectDock.exe
1476 C:\Programme\iPod\bin\iPodService.exe
524 C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
4528 C:\Dokumente und Einstellungen\Stöcklein\Desktop\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)
\\.\E: --> \\.\PhysicalDrive1 at offset 0x00000000`00007e00 (NTFS)
\\.\F: --> \\.\PhysicalDrive1 at offset 0x00000018`69e59800 (NTFS)
\\.\G: --> \\.\PhysicalDrive1 at offset 0x00000030`d3cb3000 (NTFS)

PhysicalDrive0 Model Number: SAMSUNGHD080HJ, Rev: ZH100-41
PhysicalDrive1 Model Number: SAMSUNGHD300LJ, Rev: ZT100-12

Size Device Name MBR Status
--------------------------------------------
74 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11
279 GB \\.\PhysicalDrive1 Windows XP MBR code detected
SHA1: DA38B874B7713D1B51CBC449F4EF809B0DEC644A


Done!

2. SuperAntiSpyware:

SUPERAntiSpyware Scan Log
hxxp://www.superantispyware.com

Generated 03/20/2011 at 06:04 AM

Application Version : 4.50.1002

Core Rules Database Version : 6634
Trace Rules Database Version: 4446

Scan type : Complete Scan
Total Scan Time : 02:31:15

Memory items scanned : 901
Memory threats detected : 0
Registry items scanned : 9897
Registry threats detected : 10
File items scanned : 233308
File threats detected : 4

Adware.Tracking Cookie
C:\Dokumente und Einstellungen\Stöcklein\Cookies\stefankai@doubleclick[2].txt
C:\Dokumente und Einstellungen\Stöcklein\Cookies\stefankai@atdmt[2].txt
ia.media-imdb.com [ C:\Dokumente und Einstellungen\Stöcklein\Anwendungsdaten\Macromedia\Flash Player\#SharedObjects\KG9K5BUE ]

Adware.MyWebSearch/FunWebProducts
HKCR\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}
HKCR\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}\ProxyStubClsid
HKCR\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}\ProxyStubClsid32
HKCR\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}\TypeLib
HKCR\Interface\{2E9937FC-CF2F-4F56-AF54-5A6A3DD375CC}\TypeLib#Version
HKCR\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}
HKCR\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}\ProxyStubClsid
HKCR\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}\ProxyStubClsid32
HKCR\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}\TypeLib
HKCR\Interface\{741DE825-A6F0-4497-9AA6-8023CF9B0FFF}\TypeLib#Version

Trojan.Agent/Gen
C:\DOKUMENTE UND EINSTELLUNGEN\STöCKLEIN\DESKTOP\TROJANERBOARD\_OTL\MOVEDFILES\03142011_233440\C_WINDOWS\SYSTEM32\IFSUT.DLL

Du hast MBRCheck mit Malwarebytes verwechselt

Sorry, puh, bei all den Scannern und Antivirennamen kann man aber auch schon mal durcheinander kommen... Da passt auch das Datum...

Malwarebytes, also:

Malwarebytes' Anti-Malware 1.50.1.1100
www.malwarebytes.org

Datenbank Version: 6108

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

20.03.2011 03:24:34
mbam-log-2011-03-20 (03-24-34).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|F:\|G:\|)
Durchsuchte Objekte: 413043
Laufzeit: 1 Stunde(n), 8 Minute(n), 50 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 10

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP1\A0000015.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP1\A0000106.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP1\A0000120.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP2\A0000638.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP3\A0000747.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP5\A0001346.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP5\A0001361.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP6\A0001557.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP6\A0001578.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.
c:\system volume information\_restore{37c7cda1-380c-4f2e-98e1-584923278efc}\RP6\A0001597.sys (Rootkit.Rustock) -> Quarantined and deleted successfully.

Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.

Danke. Daran hatte ich mich auch erinnert und ich habe das diesmal vor dem Scannen bereits gemacht. Jetzt starte ich also neu ohne Systemwiederherstellung.

Hi Arne,

Ist mein PC jetzt also wieder viren- und trojanerfrei? Dann stelle ich die Systemwiederherstellung wieder ein.

Und bedanke mich für die tolle und schnelle, umfassende Hilfe!!!

Beste Grüße
Stefankai

P.S. Und gespendet habe ich dem trojaner-board.de auch etwas, jawoll. Danke dfür, dass ihr da draußen seid