Problem mit TR/Vundo.Gen und TR/Agent323168
 

Habe schon vieles probiert, was schon hier im forum steht, funktioniert aber nicht so wie ich es will

hier mein hijackthis

Logfile of HijackThis v1.99.1
Scan saved at 16:19:21, on 04.12.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
d:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\RTHDCPL.EXE
D:\Programme\Ahead\InCD\InCD.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
E:\Tobit ClipInc\Player\ClipIncTray.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\CPU-Control\CPU_Control.exe
D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
D:\Programme\WinTV\Ir.exe
E:\Tobit ClipInc\Server\ClipInc-Server.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
D:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avcenter.exe
D:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\*\LOKALE~1\Temp\Rar$EX00.172\HijackThi s.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://w*w.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = h**p://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = h**p://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = h**p://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = h**p://go.microsoft.com/fwlink/?LinkId=69157
O1 - Hosts: 85.176.228.255 l2authd.lineage2.com
O1 - Hosts: 85.176.228.255 l2testauthd.lineage2.com
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3A2224A0-B114-4491-9305-FD0E4B55FA1E} - C:\WINDOWS\system32\hggdcdb.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] d:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ClipIncSrvTray] "E:\Tobit ClipInc\Player\ClipIncTray.exe"
O4 - HKLM\..\Run: [WinCast] H:\SETUP.EXE -ldeu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [CPU_Control] D:\Programme\CPU-Control\CPU_Control.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] D:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - Startup: AutoStart IR.lnk = D:\Programme\WinTV\Ir.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra 'Tools' menuitem: PartyPoker.com - {B7FE5D70-9AA2-40F1-9C6B-12A255F085E1} - F:\Programme\PartyGaming\PartyPoker\RunApp.exe (file missing)
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O15 - Trusted Zone: *.amaena.com
O15 - Trusted Zone: *.avsystemcare.com
O15 - Trusted Zone: *.gomyhit.com
O15 - Trusted Zone: *.imageservr.com
O15 - Trusted Zone: *.imagesrvr.com
O15 - Trusted Zone: *.onerateld.com
O15 - Trusted Zone: *.trustedantivirus.com
O15 - Trusted Zone: *.virusschlacht.com
O15 - Trusted Zone: *.amaena.com (HKLM)
O15 - Trusted Zone: *.avsystemcare.com (HKLM)
O15 - Trusted Zone: *.gomyhit.com (HKLM)
O15 - Trusted Zone: *.imageservr.com (HKLM)
O15 - Trusted Zone: *.imagesrvr.com (HKLM)
O15 - Trusted Zone: *.onerateld.com (HKLM)
O15 - Trusted Zone: *.trustedantivirus.com (HKLM)
O15 - Trusted Zone: *.virusschlacht.com (HKLM)
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - h**p://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1178353327687
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - h**ps://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A72BEF9D-C89B-4B86-B6A4-FA720249C637}: NameServer = 217.237.151.205,217.237.150.205
O20 - Winlogon Notify: hggdcdb - C:\WINDOWS\SYSTEM32\hggdcdb.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: ClipInc 002 (ClipInc002) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - d:\Programme\Ahead\InCD\InCDsrv.exe

mein problem ist folgendes

die warnung von antivir kommt so ca. 10 mal am tag in verschiedenen dateien des systems 32

C:\Windows\system32\gebcc.dll
C:\Windows\system32\ddcca.dll
C:\Windows\system32\jkklm.dll
C:\Windows\system32\mllml.dll
C:\Windows\system32\mlllmm.dll
C:\Windows\system32\usw......

diese meldung scheint sich auf weitere verschiedene dateien zu erweitern und sozusagen zu verbreiten
es sind immer wieder andere dateien betroffen
vundofix sagt, dass kein bedrohtes objekt gefunden wurde ccleaner hab ich auch schon mehrmals durchlaufen lassen
ich hoffe dies genügt.
auch antivir hab ich schon öfter durchlaufen lassen doch er findet keine weiteren bedrohten dateien bin am verzweifeln was ich noch tun kann

ich hoffe, dass es nun mit informationen genügt, trifft es nicht zu, bitte nochmal um antwort

schonmal danke im voraus

Kann mir niemand helfen?

also ich schilder nochmal,

ccleaner schon öfters durchlaufen lassen, vundofix findet keine bedrohung, antivir auch schon öfters durchfahren lassen findet auch keine bedrohung,


combofix und avenger weiß ich nicht genau wie und was ich machen muss, bei avenger weiß ich nicht welchen text ich eingeben muss.
und abgesicherter modus auch keine ahnung noch nicht gemacht auch aufgrund dessen, dass die meldungen bei verschiedenen dateien erscheint

Dies ist schon mein 3. Thema zu der sacht, habe 2 mal eine nachricht wegen verstoß von einer regel bekommen und nun will bzw. kann mir niemand helfen?
hab mich extra aufgrund des fehlers hier angemeldet und bekomme keine hilfe....

naja ich hab nichts mehr zu sagen, andere bekommen 10 minuten nach ihrem post eine antwort und ich bekomme nach 4 tagen nichtmal eine.... starkes stück

danke für diese hilfe, bin etwas enttäuscht :heulen:

immernoch neimend der mir helfen kann?

Gut also mein letzter versuch hier, bin enttäuscht, seht dies
ihm wurde schon nach 9 minuten geholfen ich habe nach 5 tagen nicht nichts an hilfe bekommen, und bei dem link ist nicht einmal so eine fehlerbeschreibung wie bei mir vorhanden, ich verstehe es nicht... weiß nochts mehr dazu zusagen

Hallo

mach bitte alle versteckten Dateien und Ordner sichtbar.
Dann deaktiviere bitte den Teatimer von Spybot S&D wie folgt :
ComboFix

-Lade dir das Tool hier herunter -> KLICK
-Starte nun die combofix.exe, bestätige mit (Y)es, lass die Bereinigung durchlaufen
und kopiere nun den Text ab, und füge ihn in deinen Beitrag im Board ein!

Räumen wir erstmal ein wenig auf;)
Starte Hijackthis mit der Option - do a system scan only - und hake diese Einträge an (wenn noch vorhanden)
klicke anschließend auf - fix checked - und beende Hijackthis.

Anleitung Avenger:

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

http://virus-protect.org/artikel/bilder/avanger.png

2.) Klicke nun auf die Option „Input Script manually“ -> klicke jetzt auf die Lupe und kopiere folgenden Text rein:
3.) Klicke nun auf die „grüne Ampel“, das Script fängt an zu arbeiten.

http://virus-protect.org/artikel/bilder/avenger4.png

4.) Danach das System unverzüglich neu starten lassen
5.) Lass Hijackthis nochmal laufen, benenne aber vorher die Hijackthis.exe um in z.B. ABC.exe poste dann ein neues Logfile.
Poste ausserdem den Inhalt der C:\avenger.txt Datei.

MFG

hier mein combofix log


ComboFix 07-11-19.4C - Administrator 2007-12-09 22:58:25.3 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1574 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Administrator\Desktop\ComboFix.exe
.

((((((((((((((((((((((( Dateien erstellt von 2007-11-09 bis 2007-12-09 ))))))))))))))))))))))))))))))
.

2007-12-03 18:51 <DIR> d-------- C:\Programme\vtplus
2007-12-03 18:51 69,632 --a------ C:\WINDOWS\system32\hcwChan.deu
2007-12-03 18:47 140,440 --a------ C:\WINDOWS\system32\drivers\HCW848NT.sys
2007-12-03 18:47 118,784 --a------ C:\WINDOWS\system32\O100vc.dll
2007-12-03 18:47 40,960 --a------ C:\WINDOWS\system32\o100ext.dll
2007-12-03 18:47 28,672 --a------ C:\WINDOWS\system32\BT848WST.dll
2007-11-27 15:26 <DIR> d-------- C:\VundoFix Backups
2007-11-23 15:22 37,376 --a------ C:\WINDOWS\system32\nnnolii.dll
2007-11-23 15:16 37,376 --a------ C:\WINDOWS\system32\nnnopqn.dll
2007-11-23 15:15 37,376 --a------ C:\WINDOWS\system32\hggdcdb.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2007-11-27 14:10 --------- d-----w C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
2007-11-23 15:07 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\teamspeak2
2007-11-23 14:21 37,376 ----a-w C:\WINDOWS\system32\wvustuv.dll
2007-11-23 14:21 37,376 ----a-w C:\WINDOWS\system32\fccdbbb.dll
2007-11-07 17:48 --------- d-----w C:\Programme\ICQToolbar
2007-11-07 17:45 --------- d-----w C:\Programme\SlySoft
2007-11-07 17:23 --------- d--h--r C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\SecuROM
2007-11-02 12:15 278,728 ----a-w C:\WINDOWS\system32\drivers\atksgt.sys
2007-11-02 12:15 25,416 ----a-w C:\WINDOWS\system32\drivers\lirsgt.sys
2007-10-30 11:47 --------- d-----w C:\Programme\Gemeinsame Dateien\xing shared
2007-10-30 11:47 --------- d-----w C:\Programme\Gemeinsame Dateien\Real
2007-10-29 21:39 --------- d-----w C:\Programme\Gemeinsame Dateien\Tobit
2007-10-29 21:39 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Tobit
2007-10-28 08:17 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ICQ Toolbar
2007-10-28 07:18 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\ICQ
2007-10-28 07:15 --------- d--h--w C:\Programme\InstallShield Installation Information
2007-10-28 07:12 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\InstallShield
2007-10-26 12:30 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FlashFXP
2007-10-25 10:11 1,549,576 ----a-w C:\WINDOWS\CISUnins.exe
2007-10-25 10:11 1,549,576 ----a-w C:\WINDOWS\CICUnins.exe
2007-10-23 11:30 11,973 ----a-w C:\WINDOWS\system32\drivers\secdrv.sys
2007-10-19 23:17 --------- d-----w C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\Xfire
2007-10-11 12:33 33,792 ----a-w C:\WINDOWS\system32\drivers\maplom.sys
.

((((((((((((((((((((((((((((( snapshot@2007-11-30_16.47.22,67 )))))))))))))))))))))))))))))))))))))))))
.
+ 2000-06-29 11:33:42 16,384 ----a-w C:\WINDOWS\system32\Bt848_32.dll
+ 2000-06-09 16:11:12 28,672 ----a-w C:\WINDOWS\system32\BTGPIO32.dll
- 2007-03-15 16:16:40 236,928 -c----w C:\WINDOWS\system32\dllcache\WgaLogon.dll
+ 2007-04-10 13:04:14 236,928 -c----w C:\WINDOWS\system32\dllcache\WgaLogon.dll
- 2007-03-15 16:17:30 337,280 -c----w C:\WINDOWS\system32\dllcache\WgaTray.exe
+ 2007-04-10 13:01:46 337,280 -c----w C:\WINDOWS\system32\dllcache\WgaTray.exe
+ 2000-06-09 16:32:30 102,038 ----a-w C:\WINDOWS\system32\HCW848UN.EXE
+ 2001-06-01 17:14:06 113,664 ----a-w C:\WINDOWS\system32\hcwAud32.dll
+ 2001-04-05 23:21:50 135,168 ----a-w C:\WINDOWS\system32\hcwAV.dll
+ 2000-05-23 16:19:38 184,832 ----a-w C:\WINDOWS\system32\hcwChan.dll
+ 2000-06-09 17:09:06 32,768 ----a-w C:\WINDOWS\system32\hcwhook.dll
+ 2000-06-09 16:18:30 45,056 ----a-w C:\WINDOWS\system32\hcwi2c32.dll
+ 2001-05-08 09:47:04 155,648 ----a-w C:\WINDOWS\system32\hcwpnp32.dll
+ 2000-06-09 16:19:04 36,864 ----a-w C:\WINDOWS\system32\hcwps32.dll
+ 2001-07-19 13:44:06 393,216 ----a-r C:\WINDOWS\system32\HCWsnbd9.dll
+ 2001-07-17 12:49:28 48,128 ----a-w C:\WINDOWS\system32\hcwtuner.dll
+ 2001-03-29 22:23:34 89,600 ----a-w C:\WINDOWS\system32\hcwTVDlg.dll
+ 2001-07-24 14:35:04 96,768 ----a-w C:\WINDOWS\system32\hcwTVWnd.dll
+ 2001-02-15 15:25:22 36,864 ----a-w C:\WINDOWS\system32\Hcwutl32.dll
- 2007-03-15 16:19:28 1,476,992 ----a-w C:\WINDOWS\system32\LegitCheckControl.dll
+ 2007-04-10 13:02:50 1,476,992 ----a-w C:\WINDOWS\system32\LegitCheckControl.dll
- 2006-09-25 15:58:48 14,640 ------w C:\WINDOWS\system32\spmsg.dll
+ 2006-12-10 13:10:02 16,176 ------w C:\WINDOWS\system32\spmsg.dll
- 2007-03-15 16:16:40 236,928 ------w C:\WINDOWS\system32\WgaLogon.dll
+ 2007-04-10 13:04:14 236,928 ----a-w C:\WINDOWS\system32\WgaLogon.dll
- 2007-03-15 16:17:30 337,280 ------w C:\WINDOWS\system32\WgaTray.exe
+ 2007-04-10 13:01:46 337,280 ------w C:\WINDOWS\system32\WgaTray.exe
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{3A2224A0-B114-4491-9305-FD0E4B55FA1E}]
2007-11-23 15:15 37376 --a------ C:\WINDOWS\system32\hggdcdb.dll

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-03 23:57]
"CPU_Control"="D:\Programme\CPU-Control\CPU_Control.exe" [2007-04-22 21:26]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RTHDCPL"="RTHDCPL.EXE" [2006-07-26 00:03 C:\WINDOWS\RTHDCPL.exe]
"SkyTel"="SkyTel.EXE" [2006-07-26 00:03 C:\WINDOWS\SkyTel.exe]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 09:50]
"InCD"="d:\Programme\Ahead\InCD\InCD.exe" [2005-07-25 11:01]
"TkBellExe"="C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2007-10-30 12:47]
"avgnt"="D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2007-10-11 21:48]
"ClipIncSrvTray"="E:\Tobit ClipInc\Player\ClipIncTray.exe" [2007-10-24 16:05]
"WinCast"="H:\SETUP.exe" []

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-03 23:57]

[hklm\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{3A2224A0-B114-4491-9305-FD0E4B55FA1E}"= C:\WINDOWS\system32\hggdcdb.dll [2007-11-23 15:15 37376]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\hggdcdb]
hggdcdb.dll 2007-11-23 15:15 37376 C:\WINDOWS\system32\hggdcdb.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ClipIncSrvTray]
2007-10-24 16:05 425984 --a------ E:\Tobit ClipInc\Player\ClipIncTray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools-1033]
D:\Programme\D-Tools\daemon.exe -lang 1033

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ]
D:\Programme\ICQ6\ICQ.exe silent

R2 ClipInc002;ClipInc 002;E:\Tobit ClipInc\Server\ClipInc-Server.exe 002
R2 ClipInc003;ClipInc 003;E:\Tobit ClipInc\Server\ClipInc-Server.exe 003
R3 HCW848NT;Hauppauge Win/TV;C:\WINDOWS\system32\DRIVERS\hcw848nt.sys
S2 ClipInc001;ClipInc 001;E:\Tobit ClipInc\Server\ClipInc-Server.exe 001
S3 Maplom;Maplom;C:\WINDOWS\system32\drivers\Maplom.sys

.
**************************************************************************

catchme 0.3.1262 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-12-09 22:59:24
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2007-12-09 22:59:53
C:\ComboFix2.txt ... 2007-12-09 22:46
C:\ComboFix3.txt ... 2007-11-30 16:47
.
--- E O F ---






Hier avenger log

//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

Error: selected file does not appear to be a valid script.
Error code: 0



und zu guter letzt hijackthis nochmal


Logfile of HijackThis v1.99.1
Scan saved at 23:03:37, on 09.12.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16544)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
d:\Programme\Ahead\InCD\InCDsrv.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\RTHDCPL.EXE
D:\Programme\Ahead\InCD\InCD.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
E:\Tobit ClipInc\Player\ClipIncTray.exe
C:\WINDOWS\system32\ctfmon.exe
D:\Programme\CPU-Control\CPU_Control.exe
D:\Programme\WinTV\Ir.exe
D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
E:\Tobit ClipInc\Server\ClipInc-Server.exe
E:\Tobit ClipInc\Server\ClipInc-Server.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
D:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\explorer.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\Rar$EX00.438\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {3A2224A0-B114-4491-9305-FD0E4B55FA1E} - C:\WINDOWS\system32\hggdcdb.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [InCD] d:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [avgnt] "D:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [ClipIncSrvTray] "E:\Tobit ClipInc\Player\ClipIncTray.exe"
O4 - HKLM\..\Run: [WinCast] H:\SETUP.EXE -ldeu
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [CPU_Control] D:\Programme\CPU-Control\CPU_Control.exe
O4 - Startup: AutoStart IR.lnk = D:\Programme\WinTV\Ir.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = D:\Programme\Adobe\Reader 8.0\Reader\reader_sl.exe
O4 - Global Startup: Adobe Reader Synchronizer.lnk = D:\Programme\Adobe\Reader 8.0\Reader\AdobeCollabSync.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - D:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - D:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1178353327687
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{A72BEF9D-C89B-4B86-B6A4-FA720249C637}: NameServer = 217.237.151.205,217.237.150.205
O20 - Winlogon Notify: hggdcdb - C:\WINDOWS\SYSTEM32\hggdcdb.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: ClipInc 001 (ClipInc001) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: ClipInc 002 (ClipInc002) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: ClipInc 003 (ClipInc003) - Unknown owner - E:\Tobit ClipInc\Server\ClipInc-Server.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - d:\Programme\Ahead\InCD\InCDsrv.exe


danke für hilfe :huepp:

Hallo

lass bitte mal diese Dateien
hier Virustotal
hier VirSCAN.org - The Multi-Engine Virus Scanner v1.00 Beta,Support 36 AntiVirus Engine, Last Update(071109)
oder hier Jotti
überprüfen (kann einige Minuten dauern),
poste die Ergebnisse mit der Angabe der größe der hochgeladenen Datei sowie die MD5 und SHA1 Angaben, bitte auch wenn nichts gefunden wurde.

MFG

wow sehr schnelle antwort^^

ok wird getan
ich hoffe dies genügt

hier



Überprüfung von C:\WINDOWS\CISUnins.exe

Datei CISUnins.exe empfangen 2007.12.09 23:26:45 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 1/32 (3.13%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 3.
Geschätzte Startzeit is zwischen 44 und 63 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.12.8.0 2007.12.07 -
AntiVir 7.6.0.40 2007.12.07 -
Authentium 4.93.8 2007.12.08 -
Avast 4.7.1098.0 2007.12.09 -
AVG 7.5.0.503 2007.12.09 -
BitDefender 7.2 2007.12.09 -
CAT-QuickHeal 9.00 2007.12.08 -
ClamAV 0.91.2 2007.12.09 -
DrWeb 4.44.0.09170 2007.12.09 -
eSafe 7.0.15.0 2007.12.09 -
eTrust-Vet 31.3.5361 2007.12.08 -
Ewido 4.0 2007.12.09 -
FileAdvisor 1 2007.12.09 -
Fortinet 3.14.0.0 2007.12.09 -
F-Prot 4.4.2.54 2007.12.08 -
F-Secure 6.70.13030.0 2007.12.09 -
Ikarus T3.1.1.12 2007.12.09 -
Kaspersky 7.0.0.125 2007.12.09 -
McAfee 5181 2007.12.08 -
Microsoft 1.3007 2007.12.09 -
NOD32v2 2712 2007.12.09 -
Norman 5.80.02 2007.12.07 -
Panda 9.0.0.4 2007.12.09 -
Prevx1 V2 2007.12.09 Heuristic: Suspicious File With Outbound Communications
Rising 20.21.42.00 2007.12.07 -
Sophos 4.24.0 2007.12.09 -
Sunbelt 2.2.907.0 2007.12.07 -
Symantec 10 2007.12.09 -
TheHacker 6.2.9.154 2007.12.09 -
VBA32 3.12.2.5 2007.12.07 -
VirusBuster 4.3.26:9 2007.12.09 -
Webwasher-Gateway 6.6.2 2007.12.08 -
weitere Informationen
File size: 1549576 bytes
MD5: 4fa0e60f772b6754f995b9b38cb1f449
SHA1: a058f7db19e69c02cc1f7dcca647fc157d6671a8
PEiD: -
Prevx info: Prevx Information





und überprüfung von C:\WINDOWS\system32\drivers\maplom.sys

Datei maplom.sys empfangen 2007.12.09 23:28:41 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt
Ergebnis: 1/31 (3.23%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 2.
Geschätzte Startzeit is zwischen 41 und 59 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Filter
Drucken der Ergebnisse Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2007.12.8.0 2007.12.07 -
AntiVir 7.6.0.40 2007.12.07 -
Authentium 4.93.8 2007.12.08 -
Avast 4.7.1098.0 2007.12.09 -
AVG 7.5.0.503 2007.12.09 -
BitDefender 7.2 2007.12.09 -
CAT-QuickHeal 9.00 2007.12.08 -
ClamAV 0.91.2 2007.12.09 -
DrWeb 4.44.0.09170 2007.12.09 -
eSafe 7.0.15.0 2007.12.09 -
eTrust-Vet 31.3.5361 2007.12.08 -
Ewido 4.0 2007.12.09 -
FileAdvisor 1 2007.12.09 -
Fortinet 3.14.0.0 2007.12.09 -
F-Prot 4.4.2.54 2007.12.08 -
Ikarus T3.1.1.12 2007.12.09 -
Kaspersky 7.0.0.125 2007.12.09 -
McAfee 5181 2007.12.08 -
Microsoft 1.3007 2007.12.09 -
NOD32v2 2712 2007.12.09 -
Norman 5.80.02 2007.12.07 -
Panda 9.0.0.4 2007.12.09 -
Prevx1 V2 2007.12.09 Heuristic: Suspicious Self Modifying File
Rising 20.21.42.00 2007.12.07 -
Sophos 4.24.0 2007.12.09 -
Sunbelt 2.2.907.0 2007.12.07 -
Symantec 10 2007.12.09 -
TheHacker 6.2.9.154 2007.12.09 -
VBA32 3.12.2.5 2007.12.07 -
VirusBuster 4.3.26:9 2007.12.09 -
Webwasher-Gateway 6.6.2 2007.12.08 -
weitere Informationen
File size: 33792 bytes
MD5: d9f5ce33ed6d2b0fba1e1756c7dcecd5
SHA1: 9a4fa238c21e5ecf656be2a06e3fc94f831f31cf
PEiD: -
Prevx info: MAPLOM.SYS, Prevx

ist noch nicht verschwunden, Nachrichten von antivir von dem trojaner kommen immernoch

Hallo

Is klar;), starte bitte HijackThis --> wähle "Open the Misc Tools section" --> "Misc Tools" anwählen --> Delete a file on reboot --> wähle die zu löschende Datei -->
die Frage zum Neustart mit "Nein" beantworten --> die Frage des Neustarts erst mit "Ja" beantworten wenn alle Dateien ausgewählt wurden.
Wähle folgende Datei(en) :
C:\WINDOWS\system32\hggdcdb.dll
beende Hijackthis und starte den Rechner neu.

MFG

okay es wurde alles erledigt, was passiert denn jetzt weiter?
war es das schon?

also quarantäne hat sich von antivir leicht verändert (der meldungstext)

dort steht:

Ist das Trojanische Pferd TR/Agent.323168
Ist das Trojanische Pferd TR/Vundo.Gen
Enthält verdächtigen Code HEUR/Malware
Enthält verdächtigen Code GEN/PwdZIP

alles öfter als einmal

das mit "Enthält verdächtigen Code" ist neu war vorher nicht da



ich habe von einem anderen forum erfahren, ich solle mein system formatieren, anders würde ich es nicht hinbekommen
soll ich euch den link zukommen lassen, damit ihr euch deren meinung anschaut?

es kommen immernoch nachrichten von antivir.

über diese heur/malware

Hallo

Die genauen Meldungen brauchen wir Pfad/Dateiname.

Ok wenn die Datei gelöscht werden konnte liegt sie jetzt im Ordner...? äh du hast Hijackthis aus dem Entpackprogramm heraus laufen lassen und nun ist eine Auswertung der Datei eigentlich unmöglich.
Lege bitte einen Ordner an C:\Hijackthis und entpacke das Programm dort hinein, anschließend benenne die Hijackthis.exe um in z.B. ABC.exe und erstelle ein neues Hijackthis Log.

Lass eScan dein System überprüfen und poste das Ergebnis mittels der Find.bat (rechtsklick -> ziel speichern unter).

MFG

oha soll ich die jetzigen quarantäne pfade schreiben........ eig. wären dass noch viel mehr verschiedene aber ok


bisher
HEUR/Malware

C:\WINDOWS\system32\mllml.dll
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\XYB...\css4[1]
C:\WINDOWS\system32\jkklj.dll
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\IW...\css4[2]


TR/Vundo.Gen

C:\WINDOWS\system32\vtsqn.dll
C:\WINDOWS\system32\jkhfd.dll
C:\WINDOWS\system32\jkhhe.dll
C:\WINDOWS\system32\mllmm.dll
C:\WINDOWS\system32\mllml.dll
C:\WINDOWS\system32\gebcc.dll
C:\WINDOWS\system32\jkklm.dll
C:\WINDOWS\system32\ddcca.dll
C:\WINDOWS\system32\ssqrp.dll
C:\System Volume Information\_restore}{69E1A27B-D044-4D2BBC54-B241231A0C36}\RP128\A0025720.dll

Enthält verdächtigen Code GEN/PwdZIP

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\Yazzle.zip

Aber die Nachrichten die kommen, enthalten immer andere Dateien, also ob sich der Trojaner ausbreiten würde auf weitere dateien