Trojaner-Board - Spyware im Systemtray lässt sich nicht entfernen

Hallo!

Bin ganz neu hier und wende mich an euch, da ich gerade ein riesiges Problem habe, dass ich nicht mehr alleine hinbekomme. Ich hab den PC von einem Bekannten bekommen mit dem Klagen, dass ständig Porno-Seiten aufgehen und er vermutet dass lauter Viren, Spyware auf seinem PC sind.

Also hab ich das gute Teil bei mir aufgestellt angeschalten und ich hab folgendes Verhalten festgestellt:
- Lauter Icons von Porno-Seiten auf dem Desktop
- nur AntiVir und Internet Security von Symantec installiert
- unbekanntes Symbol im System-Tray (rotes Kreuz, aber dazu gleich mehr)
- Browser geht immer wieder mal auf um eine Porno-Seite zu öffnen

Das waren so die ersten Sachen die ich bemerkt habe. Ich dachte schon absolut Easy, die Standart-Programme drüberlaufen lassen und das wars.
Also hab ich erst einmal CounterSpy und Kaspersky Antivirus installiert. Beide im abgesichterten Modus mit Admin-Rechten drüber laufen lassen. Wie zu erwarten wurden einige Viren/Keylogger/Spyware/etc. gefunden und auch erfolgreich entfernt. Doch noch immer waren die Icons auf dem Desktop und das Symbol im System-Tray. Also die Icons gelöscht, aber nach wenigen Sekunden waren diese wieder da. Das Programm im System-Tray schreit auch immer wieder auf (Angriff aus dem Netzwerk obwohl keine Netzwerk angeschlossen ist).

Also hab ich noch AdAware Prof. und Spybot S&D drüber laufen lassen, was aber nicht mit Erfolg gekrönt war. Also Hijackthis runtergeladen drüber laufen lassen und das Log über das Formular von http://www.hijackthis.de auswerten lassen. Alle "bösen" und "unbekannte" Objekte entfernen lassen.

Doch das Icon im System-Tray ist immernoch da. Bin echt am verzweifeln. Leider ist eine Rep.-Installation nicht möglich (damn XP-Home) und auch neuinstallation ist unwirtschaftlich da sehr viele Geschäftsdaten auf dem PC sind, die nur schwer (bzw. mit sehr sehr viel aufwand) gesichert werden können.

Deshalb wende ich mich nun an euch und hoffe dass ihr mit der Fehlerbeschreibung sowie dem nachfolgenden Log und Screenshots etwas anfangen könnt.

Screenshots:
http://www.blackburn.de.hm/screen1.jpg

http://www.blackburn.de.hm/screen2.jpg

Hijackthis-Log:

Code:

Logfile of HijackThis v1.99.1

Scan saved at 16:32:04, on 17.05.2005

Platform: Windows XP SP1 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\WINDOWS\Explorer.EXE

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe

C:\WINDOWS\system32\LEXBCES.EXE

C:\WINDOWS\system32\spoolsv.exe

C:\WINDOWS\system32\LEXPPS.EXE

C:\WINDOWS\SOUNDMAN.EXE

C:\Programme\Messenger\msmsgs.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe

C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe

C:\WINDOWS\system32\fxssvc.exe

C:\Dokumente und Einstellungen\Jens\Desktop\hijackthis_199\HijackThis.exe

c:\programme\t-online\t-online_software_5\browser\browser.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.specialgoods.info/ad/ad0194/

O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll

O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: Web assistant - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: Web assistant - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\AdBlocking\NISShExt.dll

O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx

O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE

O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [Symantec NetDriver Monitor] C:\PROGRA~1\SYMNET~1\SNDMon.exe /Consumer

O4 - HKLM\..\Run: [KAVPersonal50] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kav.exe" /minimize

O4 - HKLM\..\RunServices: [DJSNetCN] C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE

O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1114093320203

O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab

O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab

O17 - HKLM\System\CCS\Services\Tcpip\..\{A50C198E-5523-427A-9EEC-FD58892E410A}: NameServer = 192.168.0.1

O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe

O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe

O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe

O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe

O23 - Service: Symantec Licensing Detect Internet Connection (DJSNETCN) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe

O23 - Service: kavsvc - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus Personal\kavsvc.exe

O23 - Service: LexBce Server (LexBceS) - Lexmark International, Inc. - C:\WINDOWS\system32\LEXBCES.EXE

O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe

O23 - Service: SymWMI Service (SymWSC) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe

Vielen Dank im Voraus!

Greetz Dominik (Blackburn)