Trojaner-Board - Problem mit Bundespolizei-Scareware!!!

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Problem mit Bundespolizei-Scareware!!! (https://www.trojaner-board.de/101230-problem-bundespolizei-scareware.html)

Problem mit Bundespolizei-Scareware!!!

Meine Mutter hat sich den Bundespolizei-Virus eingefangen...
Habe Scan mit OTLPE gemacht...
Die anderen Board-Einträge habe ich schon gelesen, habe aber immer noch ein Problem mit der fix.txt Datei.
Kann mir jemand bei der fix.txt Datei helfen???

Danke schon mal im voraus...

Mach einen OTL-Fix über OTLPE, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht oder verändert hast, musst Du das Ausgesternte bzw. Veränderte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

:OTL

O20 - HKLM Winlogon: Shell - (C:\Dokumente und Einstellungen\Mustermann\Anwendungsdaten\jashla.exe) - C:\Dokumente und Einstellungen\Mustermann\Anwendungsdaten\jashla.exe (Moth Bombay)

[2011/07/11 05:14:30 | 000,192,512 | ---- | C] (Moth Bombay) -- C:\Dokumente und Einstellungen\Mustermann\Anwendungsdaten\jashla.exe

:Commands

[purity]

[resethosts]

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.

Danach sollte Windows wieder normal starten - stell uns bitte den Quarantäneordner von OTL zur Verfügung. Dabei bitte so vorgehen:

1.) GANZ WICHTIG!! Virenscanner deaktivieren, der darf das Packen nicht beeinträchtigen!
2.) Ordner movedfiles in C:\_OTL in eine Datei zippen
3.) Die erstellte ZIP-Datei hier hochladen => http://www.trojaner-board.de/54791-a...ner-board.html
4.) Wenns erfolgreich war Bescheid sagen
5.) Erst dann wieder den Virenscanner einschalten

Habe die zip-datei hochgeladen...
Windows startete wieder normal! :)
Vielen, vielen Dank schonmal!!!
Jetzt noch eine Frage: Weitere Schritte? Was nun zu tun??

MfG

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Danach OTL-Custom:

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Kopiere nun den Inhalt in die http://billy-oneal.com/Canned%20Spee.../customFix.png Textbox.

Code:

netsvcs

msconfig

safebootminimal

safebootnetwork

activex

drivers32

%ALLUSERSPROFILE%\Application Data\*.

%ALLUSERSPROFILE%\Application Data\*.exe /s

%APPDATA%\*.

%APPDATA%\*.exe /s

%SYSTEMDRIVE%\*.exe

/md5start

wininit.exe

userinit.exe

eventlog.dll

scecli.dll

netlogon.dll

cngaudit.dll

ws2ifsl.sys

sceclt.dll

ntelogon.dll

winlogon.exe

logevent.dll

user32.DLL

iaStor.sys

nvstor.sys

atapi.sys

IdeChnDr.sys

viasraid.sys

AGP440.sys

vaxscsi.sys

nvatabus.sys

viamraid.sys

nvata.sys

nvgts.sys

iastorv.sys

ViPrt.sys

eNetHook.dll

ahcix86.sys

KR10N.sys

nvstor32.sys

ahcix86s.sys

/md5stop

%systemroot%\system32\drivers\*.sys /lockedfiles

%systemroot%\System32\config\*.sav

%systemroot%\*. /mp /s

%systemroot%\system32\*.dll /lockedfiles

CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf http://billy-oneal.com/Canned%20Spee.../OTL/btnOK.png.
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

Ok alles gemacht, hat alles geklappt!!!

Hier die Logs:

Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

O32 - HKLM CDRom: AutoRun - 1

O32 - AutoRun File - [2009.02.10 12:56:21 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]

O33 - MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\Shell - "" = AutoRun

O33 - MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\Shell\AutoRun\command - "" = D:\Setup.exe

O33 - MountPoints2\{c8fc23ec-f81f-11dd-903d-00166fa96661}\Shell\AutoRun\command - "" = E:\wd_windows_tools\WDSetup.exe

O33 - MountPoints2\{e82f39d1-26da-11e0-87e3-00166f74fb86}\Shell\AutoRun\command - "" = E:\setupSNK.exe

:Commands

[purity]

[resethosts]

Hier der Log:

========== OTL ==========
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\AUTOEXEC.BAT moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7a317bc1-f75f-11dd-902b-806d6172696f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7a317bc1-f75f-11dd-902b-806d6172696f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{7a317bc1-f75f-11dd-902b-806d6172696f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{7a317bc1-f75f-11dd-902b-806d6172696f}\ not found.
File D:\Setup.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{c8fc23ec-f81f-11dd-903d-00166fa96661}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{c8fc23ec-f81f-11dd-903d-00166fa96661}\ not found.
File E:\wd_windows_tools\WDSetup.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{e82f39d1-26da-11e0-87e3-00166f74fb86}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{e82f39d1-26da-11e0-87e3-00166f74fb86}\ not found.
File E:\setupSNK.exe not found.
========== COMMANDS ==========
C:\WINDOWS\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

OTL by OldTimer - Version 3.2.26.1 log created on 07132011_135654

Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html

Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.

http://www.trojaner-board.de/attachm...rnen-start.png

Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen:
Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop.
Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )
http://www.trojaner-board.de/images/icons/icon4.gif Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen! http://www.trojaner-board.de/images/icons/icon4.gif

So auch gemacht...
Log im Anhang...
Weitere Schritte?

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop.

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Auch erledigt. :)
Hier der Log:

Combofix Logfile:

Code:

ComboFix 11-07-14.03 - Mustermann 14.07.2011  18:08:00.1.1 - x86

Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.1015.602 [GMT 2:00]

ausgeführt von:: c:\dokumente und einstellungen\Mustermann\Eigene Dateien\Downloads\ComboFix.exe

AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-06-14 bis 2011-07-14  ))))))))))))))))))))))))))))))

.

.

2011-07-12 19:05 . 2011-07-12 19:05        --------        d-----w-        c:\dokumente und einstellungen\Mustermann\Anwendungsdaten\Malwarebytes

2011-07-12 19:05 . 2011-05-29 07:11        39984        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-07-12 19:05 . 2011-07-12 19:05        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-07-12 19:05 . 2011-07-12 19:05        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-07-12 19:05 . 2011-05-29 07:11        22712        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-07-11 22:19 . 2011-07-11 16:29        --------        d-----w-        C:\_OTL

2011-07-11 16:25 . 2011-07-11 16:26        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\WinZip

2011-06-25 09:32 . 2011-06-25 09:32        404640        ----a-w-        c:\windows\system32\FlashPlayerCPLApp.cpl

2011-06-17 13:56 . 2011-04-21 13:37        105472        -c----w-        c:\windows\system32\dllcache\mup.sys

.

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-06-28 14:50 . 2011-01-24 12:17        66616        ----a-w-        c:\windows\system32\drivers\avgntflt.sys

2011-06-28 14:50 . 2011-01-24 12:17        138192        ----a-w-        c:\windows\system32\drivers\avipbb.sys

2011-06-06 11:35 . 2004-08-04 00:46        1859072        ----a-w-        c:\windows\system32\win32k.sys

2011-05-02 15:31 . 2009-02-10 10:53        692736        ----a-w-        c:\windows\system32\inetcomm.dll

2011-04-29 17:25 . 2004-08-04 00:57        151552        ----a-w-        c:\windows\system32\schannel.dll

2011-04-29 16:19 . 2004-08-03 23:15        456320        ----a-w-        c:\windows\system32\drivers\mrxsmb.sys

2011-04-26 11:07 . 2004-08-04 00:57        293888        ----a-w-        c:\windows\system32\winsrv.dll

2011-04-26 11:07 . 2004-08-04 00:57        33280        ----a-w-        c:\windows\system32\csrsrv.dll

2011-04-25 16:05 . 2004-08-04 00:57        916480        ----a-w-        c:\windows\system32\wininet.dll

2011-04-25 16:05 . 2004-08-04 00:58        1469440        ------w-        c:\windows\system32\inetcpl.cpl

2011-04-25 16:05 . 2004-08-04 00:57        43520        ------w-        c:\windows\system32\licmgr10.dll

2011-04-25 12:01 . 2004-08-04 00:42        385024        ------w-        c:\windows\system32\html.iec

2011-04-21 13:37 . 2004-08-03 23:15        105472        ----a-w-        c:\windows\system32\drivers\mup.sys

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"igfxtray"="c:\windows\system32\igfxtray.exe" [2006-09-15 94208]

"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2006-09-15 77824]

"igfxpers"="c:\windows\system32\igfxpers.exe" [2006-09-15 118784]

"IntelZeroConfig"="c:\programme\Intel\Wireless\bin\ZCfgSvc.exe" [2007-02-21 819200]

"IntelWireless"="c:\programme\Intel\Wireless\Bin\ifrmewrk.exe" [2007-02-21 970752]

"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2010-05-14 248552]

"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-12-13 281768]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

"c:\\Programme\\ICQ7.4\\ICQ.exe"=

.

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [24.01.2011 14:17 136360]

R2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [19.03.2011 14:08 247096]

R3 GTIPCI21;GTIPCI21;c:\windows\system32\drivers\gtipci21.sys [11.02.2009 11:41 88192]

S3 MBAMSwissArmy;MBAMSwissArmy;c:\windows\system32\drivers\mbamswissarmy.sys [12.07.2011 21:05 39984]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://start.icq.com/

uInternet Connection Wizard,ShellNext = iexplore

IE: {{73C6DCFB-B606-47F3-BDFA-9A4FBF931E37} - c:\programme\ICQ7.4\ICQ.exe

IE: {{FA9B9510-9FCB-4ca0-818C-5D0987B47C4D} - c:\programme\PokerStars.NET\PokerStarsUpdate.exe

TCP: DhcpNameServer = 192.168.2.1

FF - ProfilePath - c:\dokumente und einstellungen\Mustermann\Anwendungsdaten\Mozilla\Firefox\Profiles\1k65lyjx.default\

FF - prefs.js: browser.search.selectedEngine - Google

FF - prefs.js: browser.startup.homepage - hxxp://www.google.de/

FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&tb_ver=1.1.9&q=

FF - prefs.js: network.proxy.type - 0

FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0012-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0012-ABCDEFFEDCBA}

FF - Ext: Java Console: {CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA}

FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff

FF - Ext: Yahoo! Toolbar: {635abd67-4fe9-1b23-4f01-e679fa7484c1} - %profile%\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}

FF - Ext: ICQ Toolbar: {800b5000-a755-47e1-992b-48a1c1357f07} - %profile%\extensions\{800b5000-a755-47e1-992b-48a1c1357f07}

FF - user.js: yahoo.ytff.general.dontshowhpoffer - true

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -

.

HKCU-Run-ModemOnHold - c:\programme\NetWaiting\netwaiting.exe

.

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-07-14 18:13

Windows 5.1.2600 Service Pack 3 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'explorer.exe'(3080)

c:\windows\system32\webcheck.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\programme\Intel\Wireless\Bin\EvtEng.exe

c:\programme\Intel\Wireless\Bin\S24EvMon.exe

c:\programme\Intel\Wireless\Bin\WLKeeper.exe

c:\windows\System32\SCardSvr.exe

c:\programme\Avira\AntiVir Desktop\avguard.exe

c:\programme\Java\jre6\bin\jqs.exe

c:\programme\Intel\Wireless\Bin\RegSrvc.exe

c:\programme\Avira\AntiVir Desktop\avshadow.exe

c:\windows\system32\wbem\wmiapsrv.exe

c:\programme\Intel\Wireless\Bin\Dot1XCfg.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-07-14  18:16:23 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-07-14 16:16

.

Vor Suchlauf: 10 Verzeichnis(se), 69.617.774.592 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 69.701.783.552 Bytes frei

.

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

UnsupportedDebug="do not select this" /debug

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

.

- - End Of File - - 5C0EBF5A1DC77DA81E6E90655C9819F0

--- --- ---

was nun?

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

Doppelklick auf die MBRCheck.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Das Tool braucht nur wenige Sekunden.
Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

sorry war länger nicht da...

hier der osam log:

OSAM Logfile:

Code:

Report of OSAM: Autorun Manager v5.0.11926.0

hxxp://www.online-solutions.ru/en/

Saved at 12:58:10 on 20.07.2011
 

OS: Windows XP Professional Service Pack 3 (Build 2600)

Default Browser: Mozilla Corporation Firefox 3.6.13
 

Scanner Settings

[x] Rootkits detection (hidden registry)

[x] Rootkits detection (hidden files)

[x] Retrieve files information

[x] Check Microsoft signatures
 

Filters

[ ] Trusted entries

[ ] Empty entries

[x] Hidden registry entries (rootkit activity)

[x] Exclusively opened files

[x] Not found files

[x] Files without detailed information

[x] Existing files

[ ] Non-startable services

[ ] Non-startable drivers

[x] Active entries

[x] Disabled entries
 
 

[Control Panel Objects]

-----( %SystemRoot%\system32 )-----

"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\WINDOWS\system32\FlashPlayerCPLApp.cpl

"javacpl.cpl" - "Sun Microsystems, Inc." - C:\WINDOWS\system32\javacpl.cpl

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----

"Avira AntiVir Personal" - "Avira GmbH" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
 

[Drivers]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"AEGIS Protocol (IEEE 802.1x) v3.6.0.0" (AegisP) - "Meetinghouse Data Communications" - C:\WINDOWS\System32\DRIVERS\AegisP.sys

"avgio" (avgio) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avgio.sys

"avgntflt" (avgntflt) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avgntflt.sys

"avipbb" (avipbb) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\avipbb.sys

"catchme" (catchme) - ? - C:\ComboFix\catchme.sys  (File not found)

"Changer" (Changer) - ? - C:\WINDOWS\system32\drivers\Changer.sys  (File not found)

"Conexant Setup API" (UIUSys) - ? - C:\WINDOWS\System32\drivers\UIUSys.sys  (File not found)

"i2omgmt" (i2omgmt) - ? - C:\WINDOWS\system32\drivers\i2omgmt.sys  (File not found)

"lbrtfdc" (lbrtfdc) - ? - C:\WINDOWS\system32\drivers\lbrtfdc.sys  (File not found)

"MBAMSwissArmy" (MBAMSwissArmy) - "Malwarebytes Corporation" - C:\WINDOWS\system32\drivers\mbamswissarmy.sys

"PCIDump" (PCIDump) - ? - C:\WINDOWS\system32\drivers\PCIDump.sys  (File not found)

"PDCOMP" (PDCOMP) - ? - C:\WINDOWS\system32\drivers\PDCOMP.sys  (File not found)

"PDFRAME" (PDFRAME) - ? - C:\WINDOWS\system32\drivers\PDFRAME.sys  (File not found)

"PDRELI" (PDRELI) - ? - C:\WINDOWS\system32\drivers\PDRELI.sys  (File not found)

"PDRFRAME" (PDRFRAME) - ? - C:\WINDOWS\system32\drivers\PDRFRAME.sys  (File not found)

"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\WINDOWS\System32\DRIVERS\ssmdrv.sys

"WDICA" (WDICA) - ? - C:\WINDOWS\system32\drivers\WDICA.sys  (File not found)

"WLAN-Transport" (s24trans) - "Intel Corporation" - C:\WINDOWS\System32\DRIVERS\s24trans.sys
 

[Explorer]

-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----

{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----

{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? - deskpan.dll  (File not found)

{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)

{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\shlext.dll

{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)

{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - "Alexander Roshal" - C:\Programme\WinRAR\rarext.dll
 

[Internet Explorer]

-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----

ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)

<binary data> "ITBarLayout" - ? -   (File not found | COM-object registry key not found)

-----( HKCU\Software\Microsoft\Internet Explorer\URLSearchHooks )-----

{855F3B16-6D32-4fe6-8A56-BBB695989046} "ICQToolBar" - "ICQ" - C:\Programme\ICQ6Toolbar\ICQToolBar.dll

 "{855F3B16-6D32-4fe6-8A56-BBB695989046}" - ? -   (File not found | COM-object registry key not found)

-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----

{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_23" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_23.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab

{CAFEEFAC-0016-0000-0023-ABCDEFFEDCBA} "Java Plug-in 1.6.0_23" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_23.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab

{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_23" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_23.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_23-windows-i586.cab

{166B1BCA-3F9C-11CF-8075-444553540000} "Shockwave ActiveX Control" - "Adobe Systems, Inc." - C:\WINDOWS\system32\Adobe\Director\SwDir.dll / hxxp://download.macromedia.com/pub/shockwave/cabs/director/sw.cab

{8FFBE65D-2C9C-4669-84BD-5829DC0B603C} "{8FFBE65D-2C9C-4669-84BD-5829DC0B603C}" - ? -   (File not found | COM-object registry key not found) / hxxp://fpdownload.macromedia.com/get/flashplayer/current/polarbear/ultrashim.cab

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----

"ICQ7.4" - "ICQ, LLC." - C:\Programme\ICQ7.4\ICQ.exe

"PokerStars.net" - "PokerStars" - C:\Programme\PokerStars.NET\PokerStarsUpdate.exe

-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar )-----

{855F3B16-6D32-4FE6-8A56-BBB695989046} "ICQToolBar" - "ICQ" - C:\Programme\ICQ6Toolbar\ICQToolBar.dll

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----

{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} "Adobe PDF Reader Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll

{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
 

[Logon]

-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini

-----( %UserProfile%\Startmenü\Programme\Autostart )-----

"desktop.ini" - ? - C:\Dokumente und Einstellungen\Mustermann\Startmenü\Programme\Autostart\desktop.ini

-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----

"avgnt" - "Avira GmbH" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

"IntelWireless" - "Intel Corporation" - "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless

"IntelZeroConfig" - "Intel Corporation" - "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"

"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
 

[Services]

-----( HKLM\SYSTEM\CurrentControlSet\Services )-----

"Avira AntiVir Guard" (AntiVirService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\avguard.exe

"Avira AntiVir Planer" (AntiVirSchedulerService) - "Avira GmbH" - C:\Programme\Avira\AntiVir Desktop\sched.exe

"ICQ Service" (ICQ Service) - ? - C:\Programme\ICQ6Toolbar\ICQ Service.exe

"Intel(R) PROSet/Wireless Event Log" (EvtEng) - "Intel Corporation" - C:\Programme\Intel\Wireless\Bin\EvtEng.exe

"Intel(R) PROSet/Wireless Registry Service" (RegSrvc) - "Intel Corporation" - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe

"Intel(R) PROSet/Wireless Service" (S24EventMonitor) - "Intel Corporation " - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe

"Intel(R) PROSet/Wireless SSO Service" (WLANKEEPER) - "Intel(R) Corporation" - C:\Programme\Intel\Wireless\Bin\WLKeeper.exe

"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
 

[Winlogon]

-----( HKCU\Control Panel\IOProcs )-----

"MVB" - ? - mvfs32.dll  (File not found)

-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify )-----

"WgaLogon" - "Microsoft Corporation" - C:\WINDOWS\system32\WgaLogon.dll
 

===[ Logfile end ]=========================================[ Logfile end ]===

--- --- ---

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

und hier noch mbrcheck log:

MBRCheck, version 1.2.3
(c) 2010, AD

Command-line:
Windows Version: Windows XP Professional
Windows Information: Service Pack 3 (build 2600)
Logical Drives Mask: 0x0000000c

Kernel Drivers (total 129):
0x804D7000 \WINDOWS\system32\ntkrnlpa.exe
0x806D1000 \WINDOWS\system32\hal.dll
0xF7A87000 \WINDOWS\system32\KDCOM.DLL
0xF7997000 \WINDOWS\system32\BOOTVID.dll
0xF7457000 ACPI.sys
0xF7A89000 \WINDOWS\system32\DRIVERS\WMILIB.SYS
0xF7446000 pci.sys
0xF7587000 isapnp.sys
0xF799B000 compbatt.sys
0xF799F000 \WINDOWS\system32\DRIVERS\BATTC.SYS
0xF7B4F000 pciide.sys
0xF7807000 \WINDOWS\system32\DRIVERS\PCIIDEX.SYS
0xF7A8B000 intelide.sys
0xF7428000 pcmcia.sys
0xF7597000 MountMgr.sys
0xF7409000 ftdisk.sys
0xF780F000 PartMgr.sys
0xF75A7000 VolSnap.sys
0xF73F1000 atapi.sys
0xF75B7000 disk.sys
0xF75C7000 \WINDOWS\system32\DRIVERS\CLASSPNP.SYS
0xF73D1000 fltmgr.sys
0xF73BF000 sr.sys
0xF73A8000 KSecDD.sys
0xF731B000 Ntfs.sys
0xF72EE000 NDIS.sys
0xF72D4000 Mup.sys
0xF76F7000 \SystemRoot\system32\DRIVERS\intelppm.sys
0xF7A1B000 \SystemRoot\system32\DRIVERS\CmBatt.sys
0xF7145000 \SystemRoot\system32\DRIVERS\ialmnt5.sys
0xF7131000 \SystemRoot\system32\DRIVERS\VIDEOPRT.SYS
0xF7107000 \SystemRoot\system32\DRIVERS\b57xp32.sys
0xF7867000 \SystemRoot\system32\DRIVERS\usbuhci.sys
0xF70E3000 \SystemRoot\system32\DRIVERS\USBPORT.SYS
0xF786F000 \SystemRoot\system32\DRIVERS\usbehci.sys
0xF70CD000 \SystemRoot\system32\DRIVERS\gtipci21.sys
0xF7A1F000 \SystemRoot\system32\DRIVERS\SMCLIB.SYS
0xF6EB1000 \SystemRoot\system32\DRIVERS\w29n51.sys
0xF6E6E000 \SystemRoot\system32\drivers\STAC97.sys
0xF6E4A000 \SystemRoot\system32\drivers\portcls.sys
0xF7707000 \SystemRoot\system32\drivers\drmk.sys
0xF6E27000 \SystemRoot\system32\drivers\ks.sys
0xF6DF4000 \SystemRoot\system32\DRIVERS\HSFHWICH.sys
0xF6CF7000 \SystemRoot\system32\DRIVERS\HSF_DPV.SYS
0xF6C4A000 \SystemRoot\system32\DRIVERS\HSF_CNXT.sys
0xF7877000 \SystemRoot\System32\Drivers\Modem.SYS
0xF7717000 \SystemRoot\system32\DRIVERS\i8042prt.sys
0xF787F000 \SystemRoot\system32\DRIVERS\mouclass.sys
0xF7887000 \SystemRoot\system32\DRIVERS\kbdclass.sys
0xF7727000 \SystemRoot\system32\DRIVERS\serial.sys
0xF7A23000 \SystemRoot\system32\DRIVERS\serenum.sys
0xF7737000 \SystemRoot\system32\DRIVERS\smcirda.sys
0xF7A27000 \SystemRoot\system32\DRIVERS\irenum.sys
0xF6C36000 \SystemRoot\system32\DRIVERS\parport.sys
0xF7747000 \SystemRoot\system32\DRIVERS\imapi.sys
0xF7757000 \SystemRoot\system32\DRIVERS\cdrom.sys
0xF7767000 \SystemRoot\system32\DRIVERS\redbook.sys
0xF7C13000 \SystemRoot\system32\DRIVERS\audstub.sys
0xF788F000 \SystemRoot\system32\DRIVERS\rasirda.sys
0xF7897000 \SystemRoot\system32\DRIVERS\TDI.SYS
0xF7777000 \SystemRoot\system32\DRIVERS\rasl2tp.sys
0xF7A37000 \SystemRoot\system32\DRIVERS\ndistapi.sys
0xF6C1F000 \SystemRoot\system32\DRIVERS\ndiswan.sys
0xF7787000 \SystemRoot\system32\DRIVERS\raspppoe.sys
0xF7797000 \SystemRoot\system32\DRIVERS\raspptp.sys
0xF6C0E000 \SystemRoot\system32\DRIVERS\psched.sys
0xF77A7000 \SystemRoot\system32\DRIVERS\msgpc.sys
0xF789F000 \SystemRoot\system32\DRIVERS\ptilink.sys
0xF78A7000 \SystemRoot\system32\DRIVERS\raspti.sys
0xF5EF6000 \SystemRoot\system32\DRIVERS\rdpdr.sys
0xF77D7000 \SystemRoot\system32\DRIVERS\termdd.sys
0xF7A9B000 \SystemRoot\system32\DRIVERS\swenum.sys
0xF5E98000 \SystemRoot\system32\DRIVERS\update.sys
0xF7A4F000 \SystemRoot\system32\DRIVERS\mssmbios.sys
0xF77E7000 \SystemRoot\System32\Drivers\NDProxy.SYS
0xF75F7000 \SystemRoot\system32\DRIVERS\usbhub.sys
0xF7A9D000 \SystemRoot\system32\DRIVERS\USBD.SYS
0xF7A9F000 \SystemRoot\System32\Drivers\Fs_Rec.SYS
0xF7BCE000 \SystemRoot\System32\Drivers\Null.SYS
0xF7AA1000 \SystemRoot\System32\Drivers\Beep.SYS
0xF78CF000 \SystemRoot\System32\drivers\vga.sys
0xF7AA3000 \SystemRoot\System32\Drivers\mnmdd.SYS
0xF7AA5000 \SystemRoot\System32\DRIVERS\RDPCDD.sys
0xF78D7000 \SystemRoot\System32\Drivers\Msfs.SYS
0xF78DF000 \SystemRoot\System32\Drivers\Npfs.SYS
0xF728F000 \SystemRoot\system32\DRIVERS\rasacd.sys
0xAA6C5000 \SystemRoot\system32\DRIVERS\ipsec.sys
0xAA66C000 \SystemRoot\system32\DRIVERS\tcpip.sys
0xAA644000 \SystemRoot\system32\DRIVERS\netbt.sys
0xAA622000 \SystemRoot\System32\drivers\afd.sys
0xF7627000 \SystemRoot\system32\DRIVERS\netbios.sys
0xF78E7000 \SystemRoot\system32\DRIVERS\ssmdrv.sys
0xAA5F7000 \SystemRoot\system32\DRIVERS\rdbss.sys
0xAA587000 \SystemRoot\system32\DRIVERS\mrxsmb.sys
0xF7637000 \SystemRoot\System32\Drivers\Fips.SYS
0xAA561000 \SystemRoot\system32\DRIVERS\ipnat.sys
0xF7647000 \SystemRoot\system32\DRIVERS\wanarp.sys
0xAA53A000 \SystemRoot\system32\DRIVERS\avipbb.sys
0xF7AAD000 \??\C:\Programme\Avira\AntiVir Desktop\avgio.sys
0xF76A7000 \SystemRoot\System32\Drivers\Cdfs.SYS
0xAA4FA000 \SystemRoot\System32\Drivers\dump_atapi.sys
0xF7AB1000 \SystemRoot\System32\Drivers\dump_WMILIB.SYS
0xBF800000 \SystemRoot\System32\win32k.sys
0xF5E74000 \SystemRoot\System32\drivers\Dxapi.sys
0xF78F7000 \SystemRoot\System32\watchdog.sys
0xBF000000 \SystemRoot\System32\drivers\dxg.sys
0xF7C75000 \SystemRoot\System32\drivers\dxgthk.sys
0xBF021000 \SystemRoot\System32\ialmdnt5.dll
0xBF012000 \SystemRoot\System32\ialmrnt5.dll
0xBF043000 \SystemRoot\System32\ialmdev5.DLL
0xBF07E000 \SystemRoot\System32\ialmdd5.DLL
0xAA3CB000 \SystemRoot\system32\DRIVERS\avgntflt.sys
0xF7967000 \SystemRoot\system32\DRIVERS\AegisP.sys
0xAA33D000 \SystemRoot\system32\DRIVERS\irda.sys
0xAA327000 \SystemRoot\system32\DRIVERS\nwlnkipx.sys
0xAA47A000 \SystemRoot\system32\DRIVERS\nwlnknb.sys
0xF7A6B000 \SystemRoot\system32\DRIVERS\s24trans.sys
0xAA36B000 \SystemRoot\system32\DRIVERS\ndisuio.sys
0xAA007000 \SystemRoot\system32\DRIVERS\nwrdr.sys
0xA9FDA000 \SystemRoot\system32\DRIVERS\mrxdav.sys
0xF7A8F000 \SystemRoot\System32\Drivers\ParVdm.SYS
0xAA123000 \SystemRoot\system32\DRIVERS\mdmxsdk.sys
0xAA0E7000 \SystemRoot\system32\DRIVERS\nwlnkspx.sys
0xA9E1A000 \SystemRoot\system32\DRIVERS\srv.sys
0xA9ABD000 \SystemRoot\system32\drivers\wdmaud.sys
0xA9CC2000 \SystemRoot\system32\drivers\sysaudio.sys
0xA9706000 \SystemRoot\System32\Drivers\HTTP.sys
0xA92B8000 \SystemRoot\system32\drivers\kmixer.sys
0x7C910000 \WINDOWS\system32\ntdll.dll

Processes (total 40):
0 System Idle Process
4 System
780 C:\WINDOWS\system32\smss.exe
852 csrss.exe
876 C:\WINDOWS\system32\winlogon.exe
920 C:\WINDOWS\system32\services.exe
932 C:\WINDOWS\system32\lsass.exe
1104 C:\WINDOWS\system32\svchost.exe
1172 svchost.exe
1212 C:\WINDOWS\system32\svchost.exe
1244 C:\Programme\Intel\Wireless\Bin\EvtEng.exe
1412 C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
1444 C:\Programme\Intel\Wireless\Bin\WLKEEPER.exe
1540 svchost.exe
1648 svchost.exe
1904 C:\WINDOWS\system32\spoolsv.exe
1956 scardsvr.exe
1976 C:\Programme\Avira\AntiVir Desktop\sched.exe
2028 svchost.exe
1348 C:\Programme\Avira\AntiVir Desktop\avguard.exe
1388 C:\Programme\ICQ6Toolbar\ICQ Service.exe
1472 C:\Programme\Java\jre6\bin\jqs.exe
1564 C:\Programme\Avira\AntiVir Desktop\avshadow.exe
1612 C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
620 C:\WINDOWS\system32\wbem\wmiapsrv.exe
652 alg.exe
2324 C:\WINDOWS\explorer.exe
2772 C:\WINDOWS\system32\hkcmd.exe
2784 C:\WINDOWS\system32\igfxpers.exe
2796 C:\Programme\Intel\Wireless\Bin\ZCfgSvc.exe
2852 C:\Programme\Intel\Wireless\Bin\iFrmewrk.exe
2876 C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
2912 C:\Programme\Avira\AntiVir Desktop\avgnt.exe
2940 C:\WINDOWS\system32\ctfmon.exe
1044 C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
3984 C:\Programme\Gemeinsame Dateien\Java\Java Update\jucheck.exe
2140 C:\Programme\Mozilla Firefox\firefox.exe
2144 C:\Dokumente und Einstellungen\Mustermann\Desktop\OSAM\osam.exe
2984 C:\Programme\Mozilla Firefox\plugin-container.exe
1136 C:\Dokumente und Einstellungen\Mustermann\Eigene Dateien\Downloads\MBRCheck.exe

\\.\C: --> \\.\PhysicalDrive0 at offset 0x00000000`00007e00 (NTFS)

PhysicalDrive0 Model Number: ST9100823A, Rev: 8.03

Size Device Name MBR Status
--------------------------------------------
93 GB \\.\PhysicalDrive0 Windows XP MBR code detected
SHA1: ADFE55CD0C6ED2E00B22375835E4C2736CE9AD11

Done!