Trojaner-Board - hijacker log bitte kontrollieren

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - hijacker log bitte kontrollieren (https://www.trojaner-board.de/51118-hijacker-log-bitte-kontrollieren.html)

Brittaaaa

27.03.2008 17:48

hijacker log bitte kontrollieren

huhu,
alleranschein hab ich die viren immer noch nicht weg. wenn ich den pc neu starte kommt folgende fehlermeldung:
fehler beim laden von c window system 32 /vdbhdllwb.dll
wird diese datei benötigt?? oder was ist das für eine.
wohnt jemand zufällig im raum 49808 lingen und könnte mir helfen?
meine emailaddy lautet: PetraDea@gmx.de

gruß

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 17:42:28, on 27.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Softwin\BitDefender10\bdmcon.exe
C:\Programme\Softwin\BitDefender10\bdagent.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\explorer.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\Programme\YourSiteBar\ysb.dll (file missing)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [runner1] C:\WINDOWS\mrofinu880.exe 61A847B5BBF7281A3A9B284503996897C881250221C8670836AC4FA7C8833201749139
O4 - HKLM\..\Run: [BDMCon] "C:\Programme\Softwin\BitDefender10\bdmcon.exe" /reg
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [f8ffb474] rundll32.exe "C:\WINDOWS\system32\vdbhdlwb.dll",b
O4 - HKLM\..\Run: [BMfbcc87e8] Rundll32.exe "C:\WINDOWS\system32\oniftqmr.dll",s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [ReJf5vH] C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
O4 - HKCU\..\Run: [Performance Center] C:\Programme\Ascentive\Performance Center\APCMain.exe -m
O4 - HKCU\..\Run: [Windows update loader] C:\Windows\xpupdate.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: DasTelefonbuch Browserlösung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
O4 - Global Startup: FRITZ!fon.lnk = C:\Programme\FRITZ!\FriFon32.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: OfficeManager Terminerinnerung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1202565131583
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1202565263136
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Programme\Softwin\BitDefender10\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

--
End of file - 7854 bytes

Sunny

27.03.2008 17:58

Hallo Brittaaaa

Da dies nun der 5te Beitrag von dir ist, und man dir bislang noch nicht helfen konnte, bleibe von nun an in diesem einen Beitrag, sonst wird es zu unübersichtlich und keiner kann dir helfen! ;)

Dein System ist schon ziemlich stark infiziert, ob das mit der Bereinigung nun noch klappt wage ich vorerst nicht zu bezweifeln.

OTMoveIt by OldTimer

Folgendes Tool herunterladen -> OTMoveIt2.exe
--> Starte nun die OTMoveIt.exe

--> Im Fenster links (Paste Standard List of Files/Folders to be Move) folgendes reinkopieren:

Zitat:

C:\WINDOWS\mrofinu880.exe
C:\WINDOWS\system32\vdbhdlwb.dll
C:\WINDOWS\system32\oniftqmr.dll
C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe
C:\Windows\xpupdate.exe

--> Danach den Roten MoveIt!-Button klicken
--> Das Programm wird dir anschliessend einen Bericht anzeigen, kopiere diesen ab und füge ihn in deinen Beitrag ein!

CCleaner

Temporäre Dateien mit CCleaner bereinigen
Download CCleaner und installiere ihn, (klicke die Toolbar weg!).

Danach CCleaner starten und => unter options settings => german einstellen.

Gehe auf den Button links oben "Cleaner", setze Häkchen unter Reiter "Windows"
(alle außer "Eingabefeld Verlauf" und bei "Erweitert" nur ein Häkchen bei "Alte Prefetchdaten" und "Benutzerdefinierte Dateien und Ordner").

Wechsel zum Reiter "Anwendungen", dort alle Häkchen setzen außer bei Firefox/Mozilla (falls vorhanden) "Gespeicherte Formulardaten".

Starte nun den CCleaner, indem Du unten auf den Button "Analysieren" klickst. Wenn die Analyse fertig ist, klicke auf den Button "Starte CCleaner".

ComboFix

-Lade dir das Tool hier herunter -> KLICK

Sieh dir folgende Seite genau an, und wende das Combofix so an wie es dort eingestellt ist:

Anleitung Combofix

Brittaaaa

27.03.2008 18:07

huhu ich sollte unten angeführtes in mein beitrag einfügen das mach ich hiermit:

File/Folder C:\WINDOWS\mrofinu880.exe not found.
File/Folder C:\WINDOWS\system32\vdbhdlwb.dll not found.
DllUnregisterServer procedure not found in C:\WINDOWS\system32\oniftqmr.dll
C:\WINDOWS\system32\oniftqmr.dll NOT unregistered.
C:\WINDOWS\system32\oniftqmr.dll moved successfully.
File/Folder C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe not found.
File/Folder C:\Windows\xpupdate.exe not found.

OTMoveIt2 by OldTimer - Version 1.0.21 log created on 03272008_180523

Sunny

27.03.2008 18:12

Das sieht schon mal gar nicht gut aus, aber fahre erstmal mit dem CCleaner und Combofix fort. .. ;)

Brittaaaa

27.03.2008 18:25

logdatei combo fix:

omboFix 08-03-26.1 - PETRA3000 2008-03-27 18:14:59.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.465 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\PETRA3000\Lokale Einstellungen\Temporary Internet Files\Content.IE5\EHU0T0BE\ComboFix[1].exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\BMfbcc87e8.xml
C:\WINDOWS\cookies.ini
C:\WINDOWS\pskt.ini
C:\WINDOWS\system32\bdeeg.ini2
C:\WINDOWS\system32\cccdd.ini2
C:\WINDOWS\system32\esojyxpj.dll
C:\WINDOWS\system32\foyaseki.dll
C:\WINDOWS\system32\fsvcflep.dll
C:\WINDOWS\system32\keorgnie.dll
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\ojkatvij.dll
C:\WINDOWS\system32\oxebbvur.dll
C:\WINDOWS\system32\rhgahqvn.dll
C:\WINDOWS\system32\ruvbbexo.ini
C:\WINDOWS\system32\ttstv.ini
C:\WINDOWS\system32\ttstv.ini2
C:\WINDOWS\system32\vtstt.dll

.
((((((((((((((((((((((( Dateien erstellt von 2008-02-27 bis 2008-03-27 ))))))))))))))))))))))))))))))
.

2008-03-27 18:05 . 2008-03-27 18:05 <DIR> d-------- C:\_OTMoveIt
2008-03-27 17:42 . 2008-03-27 17:42 <DIR> d-------- C:\Programme\Trend Micro
2008-03-27 17:05 . 2008-03-27 17:05 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Eigene Dateien
2008-03-27 16:33 . 2008-03-27 16:33 <DIR> d-------- C:\Programme\MSXML 6.0
2008-03-27 14:55 . 2008-03-27 14:55 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-27 14:55 . 2008-03-27 14:55 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-26 23:21 . 2008-03-27 15:52 1,479,572 ---hs---- C:\WINDOWS\system32\bwldhbdv.ini
2008-03-25 23:00 . 2008-03-25 23:00 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Bitdefender
2008-03-25 22:28 . 2008-03-27 18:17 81,984 --a------ C:\WINDOWS\system32\bdod.bin
2008-03-25 22:23 . 2008-03-25 22:23 <DIR> d-------- C:\Programme\Softwin
2008-03-25 22:23 . 2008-03-25 22:24 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender
2008-03-25 22:22 . 2008-03-25 22:23 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Softwin
2008-03-25 22:08 . 2008-03-25 22:08 <DIR> d-------- C:\Program Files
2008-03-24 23:19 . 2008-03-25 23:09 1,578,389 ---hs---- C:\WINDOWS\system32\mpmgidhj.ini
2008-03-24 23:14 . 2008-03-24 23:14 <DIR> d-------- C:\Programme\YourSiteBar
2008-03-24 22:02 . 2008-03-24 23:15 <DIR> d-------- C:\Programme\SPYWAREfighter
2008-03-24 21:03 . 2008-03-24 21:03 <DIR> d-------- C:\Programme\Enigma Software Group
2008-03-23 21:51 . 2008-03-27 18:10 <DIR> d-------- C:\Programme\CCleaner
2008-03-23 21:06 . 2008-03-24 23:14 <DIR> d-------- C:\Programme\DFš-Optimierer
2008-03-23 21:06 . 2008-03-23 21:06 1,128 -r------- C:\WINDOWS\DFš-Optimierer_Uninstall.in
2008-03-23 21:04 . 2008-03-24 23:14 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien internet
2008-03-23 00:44 . 2008-03-23 02:30 <DIR> d-------- C:\Programme\Zylom Games
2008-03-23 00:44 . 2008-03-23 01:28 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Zylom
2008-03-23 00:44 . 2008-03-23 00:44 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Zylom
2008-03-22 22:44 . 2008-03-24 23:17 1,577,845 ---hs---- C:\WINDOWS\system32\ebynbbyj.ini
2008-03-21 22:43 . 2008-03-21 22:45 1,543,529 ---hs---- C:\WINDOWS\system32\eryhekox.ini
2008-03-20 22:42 . 2008-03-21 22:43 1,543,451 ---hs---- C:\WINDOWS\system32\ondppofd.ini
2008-03-20 05:51 . 2008-03-27 17:07 <DIR> d-------- C:\VundoFix Backups
2008-03-19 22:25 . 2008-03-12 14:13 208,896 --a------ C:\WINDOWS\system32\ConTest.dll
2008-03-19 22:25 . 2007-10-17 10:19 20,480 --a------ C:\WINDOWS\system32\SysRestore.dll
2008-03-18 22:40 . 2008-03-19 16:51 1,526,045 ---hs---- C:\WINDOWS\system32\mgaagbmk.ini
2008-03-18 10:34 . 2008-03-18 10:34 <DIR> d-------- C:\Programme\LimeWire Turbo Accelerator
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Programme\Teamspeak2_RC2
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\teamspeak2
2008-03-06 23:45 . 2008-03-06 23:45 34,064 --a------ C:\WINDOWS\system32\lhacm.acm

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-27 00:25 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google Updater
2008-03-24 22:14 --------- d-----w C:\Programme\DFÜ-Optimierer
2008-03-21 20:40 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-21 19:01 --------- d-----w C:\Programme\ICQToolbar
2008-03-20 05:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-03-19 21:25 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ Toolbar
2008-03-19 19:39 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-17 22:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ
2008-02-17 17:47 --------- d-----w C:\Programme\Gemeinsame Dateien\TVG
2008-02-17 17:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\TVG
2008-02-17 17:44 --------- d-----w C:\Programme\TVG
2008-02-11 21:07 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-11 21:00 --------- d-----w C:\Programme\Google
2008-02-11 14:22 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\FRITZ!
2008-02-10 11:05 --------- d-----w C:\Programme\Gemeinsame Dateien\PocketSoft
2008-02-10 10:53 97,792 ----a-w C:\WINDOWS\system32\drivers\ACEDRV05.sys
2008-02-10 10:28 78,848 ----a-w C:\WINDOWS\system32\drivers\SSHDRV85.sys
2008-02-10 00:04 --------- d-----w C:\Programme\Ascaron Entertainment
2008-02-09 23:03 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ATI
2008-02-09 23:01 --------- d-----w C:\Programme\Gemeinsame Dateien\InstallShield
2008-02-09 23:01 --------- d-----w C:\Programme\ATI Technologies
2008-02-09 17:21 --------- d-----w C:\Programme\ICQ6
2008-02-09 17:16 --------- d-----w C:\Programme\Microsoft Works
2008-02-09 17:12 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\InstallShield
2008-02-09 17:11 --------- d-----w C:\Programme\MSBuild
2008-02-09 17:07 --------- d-----w C:\Programme\Reference Assemblies
2008-02-09 17:06 --------- d-----w C:\Programme\Windows Media Connect 2
2008-02-09 15:46 --------- d-----w C:\Programme\Gemeinsame Dateien\Ahead
2008-02-09 15:46 --------- d-----w C:\Programme\Ahead
2008-02-09 15:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\U3
2008-02-09 15:20 --------- d-----w C:\Programme\EPSON
2008-02-09 14:56 --------- d-----w C:\Programme\FRITZ!
2008-02-09 14:55 --------- d-----w C:\Programme\Gemeinsame Dateien\AVM
2008-02-09 14:55 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ISDNWatch
2008-02-09 14:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\vlc
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek Sound Manager
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek AC97
2008-02-09 14:45 --------- d-----w C:\Programme\AvRack
2008-02-09 14:32 --------- d-----w C:\Programme\AVM_update
2008-02-09 12:31 --------- d-----w C:\Programme\Sygate
2008-02-09 12:29 --------- d-----w C:\Programme\XviD
2008-02-09 12:29 --------- d-----w C:\Programme\VideoLAN
2008-02-09 12:29 --------- d-----w C:\Programme\Spybot - Search & Destroy
2008-02-09 12:29 --------- d-----w C:\Programme\AC3Filter
2008-02-09 12:27 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink
2008-02-09 12:26 --------- d-----w C:\Programme\CyberLink
2008-02-09 12:24 --------- d-----w C:\Programme\Avira
2008-02-09 12:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-02-09 12:05 --------- d-----w C:\Programme\microsoft frontpage
2008-02-09 12:03 --------- d-----w C:\Programme\Online-Dienste
2008-02-09 12:03 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{599a4c37-49ea-4192-8a74-87e0a93f9ba3}]
C:\WINDOWS\system32\xdhjchqy.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]
"{86227D9C-0EFE-4F8A-AA55-30386A3F5686}"= "C:\Programme\YourSiteBar\ysb.dll" [ ]

[HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj.1]
[HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj]

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{86227D9C-0EFE-4F8A-AA55-30386A3F5686}"= C:\Programme\YourSiteBar\ysb.dll [ ]

[HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj.1]
[HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2003-04-14 20:05 1498032]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2007-12-19 15:48 172280]
"ReJf5vH"="C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe" [ ]
"Performance Center"="C:\Programme\Ascentive\Performance Center\APCMain.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-09 13:56 249896]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 21:01 71216]
"LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2007-03-14 21:01 54832]
"SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-19 12:34 2372760]
"SoundMan"="SOUNDMAN.EXE" [2006-08-03 05:12 577536 C:\WINDOWS\soundman.exe]
"NVRaidService"="C:\WINDOWS\system32\nvraidservice.exe" [2004-06-11 04:15 83968]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 15:40 155648]
"ATIPTA"="C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-11-24 21:10 344064]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 03:06 40048]
"BDMCon"="C:\Programme\Softwin\BitDefender10\bdmcon.exe" [2007-04-02 15:48 290816]
"BDAgent"="C:\Programme\Softwin\BitDefender10\bdagent.exe" [2007-03-26 14:49 69632]
"f8ffb474"="C:\WINDOWS\system32\vdbhdlwb.dll" [ ]
"BMfbcc87e8"="C:\WINDOWS\system32\oniftqmr.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\windows]
"AppInit_DLLs"=sockspy.dll

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\Sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\GameServer.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred\\Sacred.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\gameserver.exe"=
"D:\\Shareaza\\Shareaza.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\WINDOWS\\system32\\rundll32.exe"=

R1 SSHDRV85;SSHDRV85;C:\WINDOWS\system32\drivers\SSHDRV85.sys [2008-02-10 11:28]
R2 {95808DC4-FA4A-4C74-92FE-5B863F82066B};{95808DC4-FA4A-4C74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2007-09-19 21:37]
R3 AVMCOWAN;AVM ISDN CoNDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmcowan.sys [2005-06-08 02:00]
R3 AVMDSLPPPOE;AVM DSL PPPoE CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmdsloe.sys [2005-06-08 02:00]
R3 AVMNDSL;AVM DSL NDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmndsl.sys [2005-06-08 02:00]
R3 FDSLBASE;AVM FRITZ!Card DSL (WinXP/2000);C:\WINDOWS\system32\DRIVERS\fdslbase.sys [2005-06-08 02:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-27 18:19:11
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{95808DC4-FA4A-4C74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\Internet Explorer\iexplore.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-03-27 18:22:11 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-27 17:22:03
11 Verzeichnis(se), 262,150,316,032 Bytes frei
15 Verzeichnis(se), 262,106,554,368 Bytes frei

Brittaaaa

27.03.2008 18:33

huhu sodele hab alles so gmeacht wie du gesagt hast, hier noch mal die neue logdatei von hijack, achja wenn ich den pc neu starte kommt immer noch die fehlermeldung:
fehler beim laden von c window system 32 /vdbhdllwb.dll

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:29:43, on 27.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Softwin\BitDefender10\bdmcon.exe
C:\Programme\Softwin\BitDefender10\bdagent.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Softwin\BitDefender10\vsserv.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQ6\ICQ.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: {3ab9f39a-0e78-47a8-2914-ae9473c4a995} - {599a4c37-49ea-4192-8a74-87e0a93f9ba3} - C:\WINDOWS\system32\xdhjchqy.dll (file missing)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\Programme\YourSiteBar\ysb.dll (file missing)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [BDMCon] "C:\Programme\Softwin\BitDefender10\bdmcon.exe" /reg
O4 - HKLM\..\Run: [BDAgent] "C:\Programme\Softwin\BitDefender10\bdagent.exe"
O4 - HKLM\..\Run: [f8ffb474] rundll32.exe "C:\WINDOWS\system32\vdbhdlwb.dll",b
O4 - HKLM\..\Run: [BMfbcc87e8] Rundll32.exe "C:\WINDOWS\system32\oniftqmr.dll",s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [ReJf5vH] C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
O4 - HKCU\..\Run: [Performance Center] C:\Programme\Ascentive\Performance Center\APCMain.exe -m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: DasTelefonbuch Browserlösung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
O4 - Global Startup: FRITZ!fon.lnk = C:\Programme\FRITZ!\FriFon32.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: OfficeManager Terminerinnerung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1202565131583
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1202565263136
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: BitDefender Desktop Update Service (LIVESRV) - SOFTWIN S.R.L. - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Update Service\livesrv.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe
O23 - Service: BitDefender Virus Shield (VSSERV) - SOFTWIN S.R.L. - C:\Programme\Softwin\BitDefender10\vsserv.exe
O23 - Service: BitDefender Communicator (XCOMM) - SOFTWIN S.R.L - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe

--
End of file - 8296 bytes

Sunny

27.03.2008 18:36

Wieso hast du eigentlich zwei Antiviren-Programme gleichzeitig am laufen?
Deinstalliere eins von beiden!

OTMoveIt by OldTimer

Folgendes Tool herunterladen -> OTMoveIt2.exe
--> Starte nun die OTMoveIt.exe

--> Im Fenster links (Paste Standard List of Files/Folders to be Move) folgendes reinkopieren:

Zitat:

C:\Programme\YourSiteBar

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
C:\Windows\xpupdate.exe
C:\WINDOWS\system32\vdbhdlwb.dll
C:\WINDOWS\system32\oniftqmr.dll

--> Danach den Roten MoveIt!-Button klicken
--> Das Programm wird dir anschliessend einen Bericht anzeigen, kopiere diesen ab und füge ihn in deinen Beitrag ein!

Cureit Dr.Web

Downloade Dr.Web CureIt!
Speichere es auf deinem Desktop.
Entpacke es in einen eigenen Ordner.
Lies nun zuerst die deutsche Anleitung und drucke sie dir aus.

Lass alle Malware in den Quarantaene Ordner verschieben.
Ignoriere eventuelle Warnungen seitens deines AV Programms, du kannst auch offline gehen und -> dann dein AV Programm während des Scannens mit Dr.Web CureIt! abstellen.
Vergiss bitte nicht, dein AV Programm nach dem Scan wieder anzustellen.

Speichere das Logfile - siehe Anleitung - und poste es.

Brittaaaa

27.03.2008 18:41

huhu welche antivirenprogramme meinst du? ich nutz eigentlich nur antivir oder meinst du ich soll bitdefender deinsstallieren?????

C:\Programme\YourSiteBar moved successfully.
File/Folder not found.
File/Folder C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe not found.
File/Folder C:\Windows\xpupdate.exe not found.
File/Folder C:\WINDOWS\system32\vdbhdlwb.dll not found.
File/Folder C:\WINDOWS\system32\oniftqmr.dll not found.

OTMoveIt2 by OldTimer - Version 1.0.21 log created on 03272008_183900

Sunny

27.03.2008 18:42

Zitat:

Zitat von Brittaaaa (Beitrag 331084)

huhu welche antivirenprogramme meinst du? ich nutz eigentlich nur antivir oder meinst du ich soll bitdefender deinsstallieren?????

Dann deinstalliere den bitdefender wenn du ihn eh nicht nutzt bzw. aktiviert hast. ;)
Ansonsten kannst du nun mit CureIt weitermachen.. ;)

Brittaaaa

27.03.2008 19:03

huhu dr. web ist bei mir eine textdatei und vobdatei, die bedienungsanleitung hab ich ausgedruckt aber ich kann, wie in der anleitung beschrieben ist soll man zuerst auf einen dicken grünen runden punkt klicken wowas ist bei mir nicht!!! kannst du mir dr. web per email oder icq senden??

Sunny

27.03.2008 19:10

Zitat:

Zitat von Brittaaaa (Beitrag 331097)

soll man zuerst auf einen dicken grünen runden punkt klicken wowas ist bei mir nicht!!!

Dieser grüne Punkt ist nur für die Spracheinstellung des Programmes da.. ;)

Du hast das Programm aber schon runtergeladen oder nicht?
Denn schicken kann ich es dir nicht, hier nochmal der Direktlink:

ftp://ftp.drweb.com/pub/drweb/cureit/drweb-cureit.exe

Brittaaaa

27.03.2008 19:15

nun geht es danke aber ich mach das morgen mit dr. web ganz in ruhe denn ich muß in 10 minuten zum nachtdienst, dir aber megaaadankööö ich poste morgen weiter

Brittaaaa

28.03.2008 07:39

huhu hier die log von dr. web

rhgahqvn.dll.vir C:\QooBox\Quarantine\C\WINDOWS\system32 Trojan.Virtumod.318 Gelöscht.
A0024400.dll C:\System Volume Information\_restore{E8107A3F-8E01-402A-AB50-4B8B46606562}\RP63 Trojan.Virtumod.289 Gelöscht.

Brittaaaa

28.03.2008 07:46

huhu nun nach restart schick ich noch mal die log von hi jack

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 07:45:11, on 28.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: {3ab9f39a-0e78-47a8-2914-ae9473c4a995} - {599a4c37-49ea-4192-8a74-87e0a93f9ba3} - C:\WINDOWS\system32\xdhjchqy.dll (file missing)
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\Programme\YourSiteBar\ysb.dll (file missing)
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [f8ffb474] rundll32.exe "C:\WINDOWS\system32\vdbhdlwb.dll",b
O4 - HKLM\..\Run: [BMfbcc87e8] Rundll32.exe "C:\WINDOWS\system32\oniftqmr.dll",s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [ReJf5vH] C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
O4 - HKCU\..\Run: [Performance Center] C:\Programme\Ascentive\Performance Center\APCMain.exe -m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: DasTelefonbuch Browserlösung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
O4 - Global Startup: FRITZ!fon.lnk = C:\Programme\FRITZ!\FriFon32.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: OfficeManager Terminerinnerung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1202565131583
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1202565263136
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

--
End of file - 7250 bytes

Brittaaaa

28.03.2008 17:57

Zitat:

Zitat von Brittaaaa (Beitrag 331180)

huhu bitte mein neustes log noch mal kontrollieren danke

Sunny

28.03.2008 18:59

Hallo. :)

Fixen/Löschen mit Hijackthis

Hijackthis starten -> Do a system scan only -> einen Haken setzen in folgende weiße Kästchen:

Zitat:

O2 - BHO: {3ab9f39a-0e78-47a8-2914-ae9473c4a995} - {599a4c37-49ea-4192-8a74-87e0a93f9ba3} - C:\WINDOWS\system32\xdhjchqy.dll (file missing)

O3 - Toolbar: YourSiteBar - {86227D9C-0EFE-4f8a-AA55-30386A3F5686} - C:\Programme\YourSiteBar\ysb.dll (file missing)

Wenn alle Einträge angehakt sind, klick auf den Button -> "Fix checked"
Der Rechner startet nun neu...

Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

http://swandog46.geekstogo.com/res/images/avenger.jpg

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here")

Zitat:

Files to delete:

C:\WINDOWS\system32\vdbhdlwb.dll
C:\WINDOWS\system32\oniftqmr.dll
C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe

3.) Schliesse nun alle Programme (vorher notfalls abspeichern!) und Browser-Fenster, nach dem ausführen des Avengers wird das System neu gestartet.

4.) Um den Avenger zu starten klicke auf -> Execute
Dann bestätigen mit "Yes" das der Rechner neu startet!

5.) Nachdem das System neu gestartet ist, findest du hier einen Report vom Avenger -> C:\avenger.txt
Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Brittaaaa

29.03.2008 07:45

huhu, hiermit schick ich die logdatei, hoffe irgendwann wird mein pc sauber.

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: file "C:\WINDOWS\system32\vdbhdlwb.dll" not found!
Deletion of file "C:\WINDOWS\system32\vdbhdlwb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: file "C:\WINDOWS\system32\oniftqmr.dll" not found!
Deletion of file "C:\WINDOWS\system32\oniftqmr.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: could not open file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe"
Deletion of file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Completed script processing.

*******************

Finished! Terminate.

nochdigger

29.03.2008 08:56

Hallo

Zitat:

bad path / the parent directory does not exist

versuch es nochmal mit diesem Pfad (Leerzeichen entfernt)

Code:

Files to delete:
 

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe

MFG

Brittaaaa

29.03.2008 15:45

Zitat:

Zitat von nochdigger (Beitrag 331403)

Hallo

versuch es nochmal mit diesem Pfad (Leerzeichen entfernt)

Code:

Files to delete:
 

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe

MFG

huhu,
was soll ich mit welchem programm versuchen. netterweise genauer beschreiben
danke

Sunny

29.03.2008 15:51

Zitat:

Zitat von Brittaaaa (Beitrag 331451)

huhu,
was soll ich mit welchem programm versuchen. netterweise genauer beschreiben
danke

Anleitung Avenger (by swandog46)

1.) Lade dir das Tool Avenger und speichere es auf dem Desktop:

http://swandog46.geekstogo.com/res/images/avenger.jpg

2.) Das Programm so einstellen wie es auf dem Bild zu sehen ist.

Kopiere nun folgenden Text in das weiße Feld: (bei -> "input script here")

Zitat:

Files to replace with dummy:

C:\WINDOWS\system32\vdbhdlwb.dll
C:\WINDOWS\system32\oniftqmr.dll
C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\windows\rfqncthv.exe

Brittaaaa

29.03.2008 16:18

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: file "C:\WINDOWS\system32\vdbhdlwb.dll" not found!
Deletion of file "C:\WINDOWS\system32\vdbhdlwb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: file "C:\WINDOWS\system32\oniftqmr.dll" not found!
Deletion of file "C:\WINDOWS\system32\oniftqmr.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: could not open file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe"
Deletion of file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ Windows\rfqncthv.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Completed script processing.

*******************

Finished! Terminate.

//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

Platform: Windows XP (build 2600, Service Pack 2)
Sat Mar 29 16:11:57 2008

16:11:57: Error: Invalid script. A valid script must begin with a command directive.
Aborting execution!

//////////////////////////////////////////

//////////////////////////////////////////
Avenger Pre-Processor log
//////////////////////////////////////////

Platform: Windows XP (build 2600, Service Pack 2)
Sat Mar 29 16:12:06 2008

16:12:06: Error: Invalid script. A valid script must begin with a command directive.
Aborting execution!

//////////////////////////////////////////

Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform: Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.
No rootkits found!

Error: file "C:\WINDOWS\system32\vdbhdlwb.dll" not found!
Replacement with dummy of file "C:\WINDOWS\system32\vdbhdlwb.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: file "C:\WINDOWS\system32\oniftqmr.dll" not found!
Replacement with dummy of file "C:\WINDOWS\system32\oniftqmr.dll" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

Error: could not open file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ windows\rfqncthv.exe"
Replacement with dummy of file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\ windows\rfqncthv.exe" failed!
Status: 0xc000003a (STATUS_OBJECT_PATH_NOT_FOUND)
--> bad path / the parent directory does not exist

Completed script processing.

*******************

Finished! Terminate.

Sunny

29.03.2008 16:22

Ok, zwei von beiden Dateien scheinen nicht mehr zu existieren, die andere jedoch schon.
Versuch bitte nochmal sie zu löschen:

kopiere diesen Text in den Avenger, so wie ebend auch schon:

Code:



Files to replace with dummy:
 

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\windows\rfqncthv.exe

Brittaaaa

29.03.2008 16:29

Brittaaaa

29.03.2008 16:31

huhu zwischendurch noch mal eben schnell logfile vom hijacker

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:29:54, on 29.03.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16608)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Sygate\SPF\smc.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\nvraidservice.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\ICQ6\ICQ.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: XTTBPos00 - {055FD26D-3A88-4e15-963D-DC8493744B1D} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.1.1119.1736\swg.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - C:\PROGRA~1\ICQTOO~1\toolbaru.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [LanguageShortcut] C:\Programme\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [SmcService] C:\PROGRA~1\Sygate\SPF\smc.exe -startgui
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NVRaidService] C:\WINDOWS\system32\nvraidservice.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [f8ffb474] rundll32.exe "C:\WINDOWS\system32\vdbhdlwb.dll",b
O4 - HKLM\..\Run: [BMfbcc87e8] Rundll32.exe "C:\WINDOWS\system32\oniftqmr.dll",s
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent
O4 - HKCU\..\Run: [ReJf5vH] C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
O4 - HKCU\..\Run: [Performance Center] C:\Programme\Ascentive\Performance Center\APCMain.exe -m
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: ATI CATALYST System Tray.lnk = C:\Programme\ATI Technologies\ATI.ACE\CLI.exe
O4 - Global Startup: DasTelefonbuch Browserlösung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
O4 - Global Startup: FRITZ!fon.lnk = C:\Programme\FRITZ!\FriFon32.exe
O4 - Global Startup: Google Updater.lnk = C:\Programme\Google\Google Updater\GoogleUpdater.exe
O4 - Global Startup: ISDNWatch.lnk = C:\Programme\FRITZ!\IWatch.exe
O4 - Global Startup: OfficeManager Terminerinnerung.lnk = C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1202565131583
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1202565263136
O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - http://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\CyberLink\Shared files\RichVideo.exe
O23 - Service: Sygate Personal Firewall Pro (SmcService) - Sygate Technologies, Inc. - C:\Programme\Sygate\SPF\smc.exe

--
End of file - 7021 bytes

Sunny

29.03.2008 16:32

@britta..

Achte bitte darauf wenn du den Text kopiert hast in den Avenger, das es hier...

Zitat:

...ten\Microsoft\_windows\rfqncthv.exe

das was rot ist, kein Leerzeichen gibt, es muss so aussehen:

Zitat:

...ten\Microsoft\windows\rfqncthv.exe

Versuche es bitte nochmal mit dem Text aus meinem vorletzten Beitrag!

Brittaaaa

29.03.2008 16:42

Zitat:

Zitat von [GC]Sunny (Beitrag 331474)

@britta..

Achte bitte darauf wenn du den Text kopiert hast in den Avenger, das es hier...

das was rot ist, kein Leerzeichen gibt, es muss so aussehen:

Versuche es bitte nochmal mit dem Text aus meinem vorletzten Beitrag!

Brittaaaa

29.03.2008 16:44

Error: file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\windows\rfqncthv.exe" not found!
Replacement with dummy of file "C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\windows\rfqncthv.exe" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
--> the object does not exist

huhu in der originalen logdatei ist dort kein leerzeichen!!!!! wenn ich die log poste ja sonst nicht

Sunny

29.03.2008 16:53

Das habe ich mir schon gedacht dieses Leerzeichen automatisch erstellt wurde.

Irgendwie müssen wir diese Dateien löschen da sie schädlich sind:

Anleitung Killbox:

Lade dir folgendes Tool herunter -> KILLBOX

Starte dann das Programm mit einem Doppelklick

klick auf die Option -> "delete on reboot"

kopiere diesen Text unter -> "Full Path of File to delete"

Zitat:

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\windows\rfqncthv.exe

Nun auf das rote "x" klicken und das System neustarten lassen

http://scr.softonic.com/s2/46000/46370/0_killbox.gif

---------------------------------

ComboFix

Sieh dir folgende Seite genau an, und wende das Combofix so an wie es dort eingestellt ist:

Anleitung Combofix

Brittaaaa

29.03.2008 17:25

ComboFix 08-03-27.5 - PETRA3000 2008-03-29 17:11:22.2 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.626 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\PETRA3000\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\WINDOWS\system32\_000003_.tmp.dll
C:\WINDOWS\system32\_000005_.tmp.dll
C:\WINDOWS\system32\_000006_.tmp.dll
C:\WINDOWS\system32\_000007_.tmp.dll
C:\WINDOWS\system32\_000008_.tmp.dll
C:\WINDOWS\system32\_000009_.tmp.dll
C:\WINDOWS\system32\_000010_.tmp.dll
C:\WINDOWS\system32\_000011_.tmp.dll
C:\WINDOWS\system32\_000012_.tmp.dll

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_npf

((((((((((((((((((((((( Dateien erstellt von 2008-02-28 bis 2008-03-29 ))))))))))))))))))))))))))))))
.

2008-03-27 19:18 . 2008-03-27 19:18 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\DoctorWeb
2008-03-27 18:48 . 2008-03-27 18:48 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien drw
2008-03-27 18:45 . 2008-03-27 18:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Desktop otwobel
2008-03-27 18:05 . 2008-03-27 18:05 <DIR> d-------- C:\_OTMoveIt
2008-03-27 17:42 . 2008-03-27 17:42 <DIR> d-------- C:\Programme\Trend Micro
2008-03-27 17:05 . 2008-03-27 17:05 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Eigene Dateien
2008-03-27 16:33 . 2008-03-27 16:33 <DIR> d-------- C:\Programme\MSXML 6.0
2008-03-27 14:55 . 2008-03-27 14:55 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-27 14:55 . 2008-03-27 14:55 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-26 23:21 . 2008-03-27 15:52 1,479,572 ---hs---- C:\WINDOWS\system32\bwldhbdv.ini
2008-03-25 22:28 . 2008-03-27 19:05 81,984 --a------ C:\WINDOWS\system32\bdod.bin
2008-03-25 22:23 . 2008-03-27 19:05 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender
2008-03-25 22:22 . 2008-03-27 19:05 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Softwin
2008-03-25 22:08 . 2008-03-25 22:08 <DIR> d-------- C:\Program Files
2008-03-24 23:19 . 2008-03-25 23:09 1,578,389 ---hs---- C:\WINDOWS\system32\mpmgidhj.ini
2008-03-24 22:02 . 2008-03-24 23:15 <DIR> d-------- C:\Programme\SPYWAREfighter
2008-03-24 21:03 . 2008-03-24 21:03 <DIR> d-------- C:\Programme\Enigma Software Group
2008-03-23 21:51 . 2008-03-27 18:10 <DIR> d-------- C:\Programme\CCleaner
2008-03-23 21:06 . 2008-03-24 23:14 <DIR> d-------- C:\Programme\DFš-Optimierer
2008-03-23 21:06 . 2008-03-23 21:06 1,128 -r------- C:\WINDOWS\DFš-Optimierer_Uninstall.in
2008-03-23 21:04 . 2008-03-24 23:14 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien internet
2008-03-23 00:44 . 2008-03-23 02:30 <DIR> d-------- C:\Programme\Zylom Games
2008-03-23 00:44 . 2008-03-23 01:28 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Zylom
2008-03-23 00:44 . 2008-03-23 00:44 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Zylom
2008-03-22 22:44 . 2008-03-24 23:17 1,577,845 ---hs---- C:\WINDOWS\system32\ebynbbyj.ini
2008-03-21 22:43 . 2008-03-21 22:45 1,543,529 ---hs---- C:\WINDOWS\system32\eryhekox.ini
2008-03-20 22:42 . 2008-03-21 22:43 1,543,451 ---hs---- C:\WINDOWS\system32\ondppofd.ini
2008-03-20 05:51 . 2008-03-27 17:07 <DIR> d-------- C:\VundoFix Backups
2008-03-19 22:25 . 2008-03-12 14:13 208,896 --a------ C:\WINDOWS\system32\ConTest.dll
2008-03-19 22:25 . 2007-10-17 10:19 20,480 --a------ C:\WINDOWS\system32\SysRestore.dll
2008-03-18 22:40 . 2008-03-19 16:51 1,526,045 ---hs---- C:\WINDOWS\system32\mgaagbmk.ini
2008-03-18 10:34 . 2008-03-18 10:34 <DIR> d-------- C:\Programme\LimeWire Turbo Accelerator
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Programme\Teamspeak2_RC2
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\teamspeak2
2008-03-06 23:45 . 2008-03-06 23:45 34,064 --a------ C:\WINDOWS\system32\lhacm.acm

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-29 02:25 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google Updater
2008-03-24 22:14 --------- d-----w C:\Programme\DFÜ-Optimierer
2008-03-21 20:40 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-21 19:01 --------- d-----w C:\Programme\ICQToolbar
2008-03-20 05:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-03-19 21:25 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ Toolbar
2008-03-19 19:39 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-17 22:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ
2008-02-17 17:47 --------- d-----w C:\Programme\Gemeinsame Dateien\TVG
2008-02-17 17:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\TVG
2008-02-17 17:44 --------- d-----w C:\Programme\TVG
2008-02-11 21:07 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-11 21:00 --------- d-----w C:\Programme\Google
2008-02-11 14:22 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\FRITZ!
2008-02-10 11:05 --------- d-----w C:\Programme\Gemeinsame Dateien\PocketSoft
2008-02-10 10:53 97,792 ----a-w C:\WINDOWS\system32\drivers\ACEDRV05.sys
2008-02-10 10:28 78,848 ----a-w C:\WINDOWS\system32\drivers\SSHDRV85.sys
2008-02-10 00:04 --------- d-----w C:\Programme\Ascaron Entertainment
2008-02-09 23:03 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ATI
2008-02-09 23:01 --------- d-----w C:\Programme\Gemeinsame Dateien\InstallShield
2008-02-09 23:01 --------- d-----w C:\Programme\ATI Technologies
2008-02-09 17:21 --------- d-----w C:\Programme\ICQ6
2008-02-09 17:16 --------- d-----w C:\Programme\Microsoft Works
2008-02-09 17:12 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\InstallShield
2008-02-09 17:11 --------- d-----w C:\Programme\MSBuild
2008-02-09 17:07 --------- d-----w C:\Programme\Reference Assemblies
2008-02-09 17:06 --------- d-----w C:\Programme\Windows Media Connect 2
2008-02-09 15:46 --------- d-----w C:\Programme\Gemeinsame Dateien\Ahead
2008-02-09 15:46 --------- d-----w C:\Programme\Ahead
2008-02-09 15:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\U3
2008-02-09 15:20 --------- d-----w C:\Programme\EPSON
2008-02-09 14:56 --------- d-----w C:\Programme\FRITZ!
2008-02-09 14:55 --------- d-----w C:\Programme\Gemeinsame Dateien\AVM
2008-02-09 14:55 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ISDNWatch
2008-02-09 14:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\vlc
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek Sound Manager
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek AC97
2008-02-09 14:45 --------- d-----w C:\Programme\AvRack
2008-02-09 14:32 --------- d-----w C:\Programme\AVM_update
2008-02-09 12:31 --------- d-----w C:\Programme\Sygate
2008-02-09 12:29 --------- d-----w C:\Programme\XviD
2008-02-09 12:29 --------- d-----w C:\Programme\VideoLAN
2008-02-09 12:29 --------- d-----w C:\Programme\Spybot - Search & Destroy
2008-02-09 12:29 --------- d-----w C:\Programme\AC3Filter
2008-02-09 12:27 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink
2008-02-09 12:26 --------- d-----w C:\Programme\CyberLink
2008-02-09 12:24 --------- d-----w C:\Programme\Avira
2008-02-09 12:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-02-09 12:05 --------- d-----w C:\Programme\microsoft frontpage
2008-02-09 12:03 --------- d-----w C:\Programme\Online-Dienste
2008-02-09 12:03 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{86227D9C-0EFE-4F8A-AA55-30386A3F5686}"= C:\Programme\YourSiteBar\ysb.dll [ ]

[HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj.1]
[HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2003-04-14 20:05 1498032]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2007-12-19 15:48 172280]
"ReJf5vH"="C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe" [ ]
"Performance Center"="C:\Programme\Ascentive\Performance Center\APCMain.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-09 13:56 249896]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 21:01 71216]
"LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2007-03-14 21:01 54832]
"SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-19 12:34 2372760]
"SoundMan"="SOUNDMAN.EXE" [2006-08-03 05:12 577536 C:\WINDOWS\soundman.exe]
"NVRaidService"="C:\WINDOWS\system32\nvraidservice.exe" [2004-06-11 04:15 83968]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 15:40 155648]
"ATIPTA"="C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-11-24 21:10 344064]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 03:06 40048]
"f8ffb474"="C:\WINDOWS\system32\vdbhdlwb.dll" [ ]
"BMfbcc87e8"="C:\WINDOWS\system32\oniftqmr.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\Sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\GameServer.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred\\Sacred.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\gameserver.exe"=
"D:\\Shareaza\\Shareaza.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\WINDOWS\\system32\\rundll32.exe"=

R1 SSHDRV85;SSHDRV85;C:\WINDOWS\system32\drivers\SSHDRV85.sys [2008-02-10 11:28]
R2 {95808DC4-FA4A-4C74-92FE-5B863F82066B};{95808DC4-FA4A-4C74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2007-09-19 21:37]
R3 AVMCOWAN;AVM ISDN CoNDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmcowan.sys [2005-06-08 02:00]
R3 AVMDSLPPPOE;AVM DSL PPPoE CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmdsloe.sys [2005-06-08 02:00]
R3 AVMNDSL;AVM DSL NDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmndsl.sys [2005-06-08 02:00]
R3 FDSLBASE;AVM FRITZ!Card DSL (WinXP/2000);C:\WINDOWS\system32\DRIVERS\fdslbase.sys [2005-06-08 02:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-29 17:14:54
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{95808DC4-FA4A-4C74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-03-29 17:17:31 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-29 16:17:28
ComboFix2.txt 2008-03-27 17:22:12
14 Verzeichnis(se), 264,357,216,256 Bytes frei
17 Verzeichnis(se), 264,341,594,112 Bytes frei

Sunny

29.03.2008 17:38

Öffne den Editor ( Start -> Zubehör -> Editor ) kopiere nun folgenden Text in das weiße Feld:

ACHTE WIEDER AUF DAS LEERZEICHEN!

Code:

KILLALL::
 

FILE::

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
 

FOLDER::

C:\Programme\YourSiteBar

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Brittaaaa

29.03.2008 17:54

ComboFix 08-03-27.5 - PETRA3000 2008-03-29 17:47:33.3 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.719 [GMT 1:00]
ausgeführt von:: C:\Dokumente und Einstellungen\PETRA3000\Desktop\ComboFix.exe
Command switches used :: C:\Dokumente und Einstellungen\PETRA3000\Desktop\cfscript.txt
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

FILE ::
C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_npf

((((((((((((((((((((((( Dateien erstellt von 2008-02-28 bis 2008-03-29 ))))))))))))))))))))))))))))))
.

2008-03-27 19:18 . 2008-03-27 19:18 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\DoctorWeb
2008-03-27 18:48 . 2008-03-27 18:48 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien drw
2008-03-27 18:45 . 2008-03-27 18:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Desktop otwobel
2008-03-27 18:05 . 2008-03-27 18:05 <DIR> d-------- C:\_OTMoveIt
2008-03-27 17:42 . 2008-03-27 17:42 <DIR> d-------- C:\Programme\Trend Micro
2008-03-27 17:05 . 2008-03-27 17:05 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Eigene Dateien
2008-03-27 16:33 . 2008-03-27 16:33 <DIR> d-------- C:\Programme\MSXML 6.0
2008-03-27 14:55 . 2008-03-27 14:55 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-27 14:55 . 2008-03-27 14:55 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-26 23:21 . 2008-03-27 15:52 1,479,572 ---hs---- C:\WINDOWS\system32\bwldhbdv.ini
2008-03-25 22:28 . 2008-03-27 19:05 81,984 --a------ C:\WINDOWS\system32\bdod.bin
2008-03-25 22:23 . 2008-03-27 19:05 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender
2008-03-25 22:22 . 2008-03-27 19:05 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Softwin
2008-03-25 22:08 . 2008-03-25 22:08 <DIR> d-------- C:\Program Files
2008-03-24 23:19 . 2008-03-25 23:09 1,578,389 ---hs---- C:\WINDOWS\system32\mpmgidhj.ini
2008-03-24 22:02 . 2008-03-24 23:15 <DIR> d-------- C:\Programme\SPYWAREfighter
2008-03-24 21:03 . 2008-03-24 21:03 <DIR> d-------- C:\Programme\Enigma Software Group
2008-03-23 21:51 . 2008-03-27 18:10 <DIR> d-------- C:\Programme\CCleaner
2008-03-23 21:06 . 2008-03-24 23:14 <DIR> d-------- C:\Programme\DFš-Optimierer
2008-03-23 21:06 . 2008-03-23 21:06 1,128 -r------- C:\WINDOWS\DFš-Optimierer_Uninstall.in
2008-03-23 21:04 . 2008-03-24 23:14 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien internet
2008-03-23 00:44 . 2008-03-23 02:30 <DIR> d-------- C:\Programme\Zylom Games
2008-03-23 00:44 . 2008-03-23 01:28 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Zylom
2008-03-23 00:44 . 2008-03-23 00:44 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Zylom
2008-03-22 22:44 . 2008-03-24 23:17 1,577,845 ---hs---- C:\WINDOWS\system32\ebynbbyj.ini
2008-03-21 22:43 . 2008-03-21 22:45 1,543,529 ---hs---- C:\WINDOWS\system32\eryhekox.ini
2008-03-20 22:42 . 2008-03-21 22:43 1,543,451 ---hs---- C:\WINDOWS\system32\ondppofd.ini
2008-03-20 05:51 . 2008-03-27 17:07 <DIR> d-------- C:\VundoFix Backups
2008-03-19 22:25 . 2008-03-12 14:13 208,896 --a------ C:\WINDOWS\system32\ConTest.dll
2008-03-19 22:25 . 2007-10-17 10:19 20,480 --a------ C:\WINDOWS\system32\SysRestore.dll
2008-03-18 22:40 . 2008-03-19 16:51 1,526,045 ---hs---- C:\WINDOWS\system32\mgaagbmk.ini
2008-03-18 10:34 . 2008-03-18 10:34 <DIR> d-------- C:\Programme\LimeWire Turbo Accelerator
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Programme\Teamspeak2_RC2
2008-03-06 23:45 . 2008-03-06 23:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\teamspeak2
2008-03-06 23:45 . 2008-03-06 23:45 34,064 --a------ C:\WINDOWS\system32\lhacm.acm

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-29 02:25 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google Updater
2008-03-24 22:14 --------- d-----w C:\Programme\DFÜ-Optimierer
2008-03-21 20:40 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-21 19:01 --------- d-----w C:\Programme\ICQToolbar
2008-03-20 05:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-03-19 21:25 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ Toolbar
2008-03-19 19:39 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-03-17 22:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ
2008-02-17 17:47 --------- d-----w C:\Programme\Gemeinsame Dateien\TVG
2008-02-17 17:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\TVG
2008-02-17 17:44 --------- d-----w C:\Programme\TVG
2008-02-11 21:07 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-02-11 21:00 --------- d-----w C:\Programme\Google
2008-02-11 14:22 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\FRITZ!
2008-02-10 11:05 --------- d-----w C:\Programme\Gemeinsame Dateien\PocketSoft
2008-02-10 10:53 97,792 ----a-w C:\WINDOWS\system32\drivers\ACEDRV05.sys
2008-02-10 10:28 78,848 ----a-w C:\WINDOWS\system32\drivers\SSHDRV85.sys
2008-02-10 00:04 --------- d-----w C:\Programme\Ascaron Entertainment
2008-02-09 23:03 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ATI
2008-02-09 23:01 --------- d-----w C:\Programme\Gemeinsame Dateien\InstallShield
2008-02-09 23:01 --------- d-----w C:\Programme\ATI Technologies
2008-02-09 17:21 --------- d-----w C:\Programme\ICQ6
2008-02-09 17:16 --------- d-----w C:\Programme\Microsoft Works
2008-02-09 17:12 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\InstallShield
2008-02-09 17:11 --------- d-----w C:\Programme\MSBuild
2008-02-09 17:07 --------- d-----w C:\Programme\Reference Assemblies
2008-02-09 17:06 --------- d-----w C:\Programme\Windows Media Connect 2
2008-02-09 15:46 --------- d-----w C:\Programme\Gemeinsame Dateien\Ahead
2008-02-09 15:46 --------- d-----w C:\Programme\Ahead
2008-02-09 15:26 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\U3
2008-02-09 15:20 --------- d-----w C:\Programme\EPSON
2008-02-09 14:56 --------- d-----w C:\Programme\FRITZ!
2008-02-09 14:55 --------- d-----w C:\Programme\Gemeinsame Dateien\AVM
2008-02-09 14:55 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ISDNWatch
2008-02-09 14:47 --------- d-----w C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\vlc
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek Sound Manager
2008-02-09 14:45 --------- d-----w C:\Programme\Realtek AC97
2008-02-09 14:45 --------- d-----w C:\Programme\AvRack
2008-02-09 14:32 --------- d-----w C:\Programme\AVM_update
2008-02-09 12:31 --------- d-----w C:\Programme\Sygate
2008-02-09 12:29 --------- d-----w C:\Programme\XviD
2008-02-09 12:29 --------- d-----w C:\Programme\VideoLAN
2008-02-09 12:29 --------- d-----w C:\Programme\Spybot - Search & Destroy
2008-02-09 12:29 --------- d-----w C:\Programme\AC3Filter
2008-02-09 12:27 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink
2008-02-09 12:26 --------- d-----w C:\Programme\CyberLink
2008-02-09 12:24 --------- d-----w C:\Programme\Avira
2008-02-09 12:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-02-09 12:05 --------- d-----w C:\Programme\microsoft frontpage
2008-02-09 12:03 --------- d-----w C:\Programme\Online-Dienste
2008-02-09 12:03 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser]
"{86227D9C-0EFE-4F8A-AA55-30386A3F5686}"= C:\Programme\YourSiteBar\ysb.dll [ ]

[HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj.1]
[HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]
[HKEY_CLASSES_ROOT\Ysb.YsbObj]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2003-04-14 20:05 1498032]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 13:00 15360]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2007-12-19 15:48 172280]
"ReJf5vH"="C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe" [ ]
"Performance Center"="C:\Programme\Ascentive\Performance Center\APCMain.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-09 13:56 249896]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 21:01 71216]
"LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2007-03-14 21:01 54832]
"SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-19 12:34 2372760]
"SoundMan"="SOUNDMAN.EXE" [2006-08-03 05:12 577536 C:\WINDOWS\soundman.exe]
"NVRaidService"="C:\WINDOWS\system32\nvraidservice.exe" [2004-06-11 04:15 83968]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 15:40 155648]
"ATIPTA"="C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-11-24 21:10 344064]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 03:06 40048]
"f8ffb474"="C:\WINDOWS\system32\vdbhdlwb.dll" [ ]
"BMfbcc87e8"="C:\WINDOWS\system32\oniftqmr.dll" [ ]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 13:00 15360]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 00:27 32768]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\Sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\GameServer.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred\\Sacred.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\gameserver.exe"=
"D:\\Shareaza\\Shareaza.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\WINDOWS\\system32\\rundll32.exe"=

R1 SSHDRV85;SSHDRV85;C:\WINDOWS\system32\drivers\SSHDRV85.sys [2008-02-10 11:28]
R2 {95808DC4-FA4A-4C74-92FE-5B863F82066B};{95808DC4-FA4A-4C74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2007-09-19 21:37]
R3 AVMCOWAN;AVM ISDN CoNDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmcowan.sys [2005-06-08 02:00]
R3 AVMDSLPPPOE;AVM DSL PPPoE CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmdsloe.sys [2005-06-08 02:00]
R3 AVMNDSL;AVM DSL NDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmndsl.sys [2005-06-08 02:00]
R3 FDSLBASE;AVM FRITZ!Card DSL (WinXP/2000);C:\WINDOWS\system32\DRIVERS\fdslbase.sys [2005-06-08 02:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-29 17:49:49
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{95808DC4-FA4A-4C74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-03-29 17:52:56 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-29 16:52:53
ComboFix2.txt 2008-03-29 16:17:32
ComboFix3.txt 2008-03-27 17:22:12
13 Verzeichnis(se), 264,333,238,272 Bytes frei
17 Verzeichnis(se), 264,324,091,904 Bytes frei

Brittaaaa

29.03.2008 17:58

huhu nun bin ich wirklich gespannt was du schreibst. wenn der rechner neu startet kommt jedenfalls immer noch die fehlermeldung run dll....

Sunny

29.03.2008 20:16

Dann kümmern wir uns mal um die Fehlermeldungen und um den Rest...

Dateien Online überprüfen lassen:

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

(lass auch die versteckten Dateien anzeigen!)

Zitat:

C:\WINDOWS\system32\ConTest.dll
C:\WINDOWS\system32\SysRestore.dll

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

--------------------------------------------
dann:

Öffne den Editor ( Start -> Zubehör -> Editor ) kopiere nun folgenden Text in das weiße Feld:

Code:



KILLALL::
 

Registry::

[-HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{599a4c37-49ea-4192-8a74-87e0a93f9ba3}]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar]

"{86227D9C-0EFE-4F8A-AA55-30386A3F5686}"=-

[-HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]

[-HKEY_CLASSES_ROOT\Ysb.YsbObj.1]

[-HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]

[-HKEY_CLASSES_ROOT\Ysb.YsbObj]

[-HKEY_CLASSES_ROOT\clsid\{86227d9c-0efe-4f8a-aa55-30386a3f5686}]

[-HKEY_CLASSES_ROOT\Ysb.YsbObj.1]

[-HKEY_CLASSES_ROOT\TypeLib\{86227D9C-0EFE-4f8a-AA55-30386A3F5686}]

[-HKEY_CLASSES_ROOT\Ysb.YsbObj]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"ReJf5vH"=-

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"f8ffb474"=-

"BMfbcc87e8"=-
 

File::

C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe

C:\WINDOWS\system32\vdbhdlwb.dll

C:\WINDOWS\system32\oniftqmr.dll

C:\WINDOWS\system32\xdhjchqy.dll

C:\WINDOWS\system32\bwldhbdv.ini

C:\WINDOWS\system32\mpmgidhj.ini

C:\WINDOWS\system32\ebynbbyj.ini

C:\WINDOWS\system32\eryhekox.ini

C:\WINDOWS\system32\ondppofd.ini

C:\WINDOWS\system32\mgaagbmk.ini
 

Folder::

C:\VundoFix Backups

C:\Programme\YourSiteBar

Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt

Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten

Zusätzlich nun nochmal mit a Squared 2 prüfen:

Hier gehts zum Download und zur Anleitung

Brittaaaa

30.03.2008 06:53

huhu,

mal ganz langsam zum mitschreiben hihi. also ich hab diese seite offen, Virtustotal )mit den vollständigen suchen von ordnern hab ich verstanden.
was bringt mir das wenn ich die gesuchten ordnern vor mir hab, wie bekomm ich die dateien in virtustal?? wenn ich in virtustal durchsuche hab ich nicht die ordner vor mir die ich mit start - suchen .... gesucht hab. soll ich wirklich die ganzen tausende von dateien dort durchsuchen lassen?
so ganz versteh ich nicht was ich machen soll,......

[QUOTE='[GC]Sunny;331560'][CENTER]Dann kümmern wir uns mal um die Fehlermeldungen und um den Rest...

Dateien Online überprüfen lassen:

Suche die Seite Virtustotal auf, klicke auf den Button „Durchsuchen“ und suche folgende Datei/Dateien:

(lass auch die versteckten Dateien anzeigen!)

Lade nun nacheinander jede/alle Datei/Dateien hoch, und warte bis der Scan vorbei ist. (kann bis zu 2 Minuten dauern.)

Poste im Anschluss das Ergebnis der Auswertung, alles abkopieren und in einen Beitrag einfügen.

(Wichtig: Auch die Größenangabe sowie den HASH mit kopieren!)

--------------------------------------------
dann:

Öffne den Editor ( Start -> Zubehör -> Editor ) kopiere nun folgenden Text in das weiße Feld:

[

Brittaaaa

30.03.2008 07:28

Datei SysRestore.dll_ empfangen 2008.03.30 08:19:36 (CET)
Status: Laden ... Wartend Warten Überprüfung Beendet Nicht gefunden Gestoppt

Ergebnis: 0/32 (0%)
Laden der Serverinformationen...
Ihre Datei wartet momentan auf Position: 9.
Geschätzte Startzeit is zwischen 66 und 95 Sekunden.
Dieses Fenster bis zum Abschluss des Scans nicht schließen.
Der Scanner, welcher momentan Ihre Datei bearbeitet ist momentan gestoppt. Wir warten einige Sekunden um Ihr Ergebnis zu erstellen.
Falls Sie längern als fünf Minuten warten, versenden Sie bitte die Datei erneut.
Ihre Datei wird momentan von VirusTotal überprüft,
Ergebnisse werden sofort nach der Generierung angezeigt.
Filter Drucken der Ergebnisse
Datei existiert nicht oder dessen Lebensdauer wurde überschritten
Dienst momentan gestoppt. Ihre Datei befindet sich in der Warteschlange (position: ). Diese wird abgearbeitet, wenn der Dienst wieder startet.

SIe können auf einen automatischen reload der homepage warten, oder ihre email in das untere formular eintragen. Klicken Sie auf "Anfragen", damit das System sie benachrichtigt wenn die Überprüfung abgeschlossen ist.
Email:

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.3.29.0 2008.03.29 -
AntiVir 7.6.0.78 2008.03.28 -
Authentium 4.93.8 2008.03.30 -
Avast 4.7.1098.0 2008.03.29 -
AVG 7.5.0.516 2008.03.29 -
BitDefender 7.2 2008.03.30 -
CAT-QuickHeal 9.50 2008.03.28 -
ClamAV 0.92.1 2008.03.30 -
DrWeb 4.44.0.09170 2008.03.29 -
eSafe 7.0.15.0 2008.03.18 -
eTrust-Vet 31.3.5653 2008.03.29 -
Ewido 4.0 2008.03.29 -
F-Prot 4.4.2.54 2008.03.30 -
F-Secure 6.70.13260.0 2008.03.29 -
FileAdvisor 1 2008.03.30 -
Fortinet 3.14.0.0 2008.03.30 -
Ikarus T3.1.1.20 2008.03.30 -
Kaspersky 7.0.0.125 2008.03.30 -
McAfee 5262 2008.03.28 -
Microsoft 1.3301 2008.03.28 -
NOD32v2 2984 2008.03.29 -
Norman 5.80.02 2008.03.28 -
Panda 9.0.0.4 2008.03.29 -
Prevx1 V2 2008.03.30 -
Rising 20.37.52.00 2008.03.30 -
Sophos 4.28.0 2008.03.30 -
Sunbelt 3.0.978.0 2008.03.18 -
Symantec 10 2008.03.30 -
TheHacker 6.2.92.258 2008.03.29 -
VBA32 3.12.6.3 2008.03.25 -
VirusBuster 4.3.26:9 2008.03.29 -
Webwasher-Gateway 6.6.2 2008.03.29 -
weitere Informationen
File size: 20480 bytes
MD5: 2c10b592da12118cfd3b9de0aed4540e
SHA1: a716b2e8432b74a381a243fe5c583130a477511d
PEiD: -

Brittaaaa

30.03.2008 07:43

ComboFix 08-03-27.5 - PETRA3000 2008-03-30 8:34:01.4 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.718 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\PETRA3000\Desktop\ComboFix.exe
Command switches used :: C:\Dokumente und Einstellungen\PETRA3000\Desktop\cfscript.txt
* Neuer Wiederherstellungspunkt wurde erstellt

WARNING -THIS MACHINE DOES NOT HAVE THE RECOVERY CONSOLE INSTALLED !!

FILE ::
C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Microsoft\Windows\rfqncthv.exe
C:\WINDOWS\system32\bwldhbdv.ini
C:\WINDOWS\system32\ebynbbyj.ini
C:\WINDOWS\system32\eryhekox.ini
C:\WINDOWS\system32\mgaagbmk.ini
C:\WINDOWS\system32\mpmgidhj.ini
C:\WINDOWS\system32\ondppofd.ini
C:\WINDOWS\system32\oniftqmr.dll
C:\WINDOWS\system32\vdbhdlwb.dll
C:\WINDOWS\system32\xdhjchqy.dll
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\VundoFix Backups
C:\VundoFix Backups\gisuxlhy.ini.bad
C:\WINDOWS\system32\bwldhbdv.ini
C:\WINDOWS\system32\ebynbbyj.ini
C:\WINDOWS\system32\eryhekox.ini
C:\WINDOWS\system32\mgaagbmk.ini
C:\WINDOWS\system32\mpmgidhj.ini
C:\WINDOWS\system32\ondppofd.ini

.
((((((((((((((((((((((((((((((((((((((( Drivers/Services )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Service_npf

((((((((((((((((((((((( Dateien erstellt von 2008-02-28 bis 2008-03-30 ))))))))))))))))))))))))))))))
.

2008-03-27 20:18 . 2008-03-27 20:18 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\DoctorWeb
2008-03-27 19:48 . 2008-03-27 19:48 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien drw
2008-03-27 19:45 . 2008-03-27 19:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Desktop otwobel
2008-03-27 19:05 . 2008-03-27 19:05 <DIR> d-------- C:\_OTMoveIt
2008-03-27 18:42 . 2008-03-27 18:42 <DIR> d-------- C:\Programme\Trend Micro
2008-03-27 18:05 . 2008-03-27 18:05 <DIR> d-------- C:\Dokumente und Einstellungen\LocalService\Eigene Dateien
2008-03-27 17:33 . 2008-03-27 17:33 <DIR> d-------- C:\Programme\MSXML 6.0
2008-03-27 15:55 . 2008-03-27 15:55 2,550 --a------ C:\WINDOWS\system32\Uninstall.ico
2008-03-27 15:55 . 2008-03-27 15:55 1,406 --a------ C:\WINDOWS\system32\Help.ico
2008-03-25 23:28 . 2008-03-27 20:05 81,984 --a------ C:\WINDOWS\system32\bdod.bin
2008-03-25 23:23 . 2008-03-27 20:05 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BitDefender
2008-03-25 23:22 . 2008-03-27 20:05 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Softwin
2008-03-25 23:08 . 2008-03-25 23:08 <DIR> d-------- C:\Program Files
2008-03-24 23:02 . 2008-03-25 00:15 <DIR> d-------- C:\Programme\SPYWAREfighter
2008-03-24 22:03 . 2008-03-24 22:03 <DIR> d-------- C:\Programme\Enigma Software Group
2008-03-23 22:51 . 2008-03-27 19:10 <DIR> d-------- C:\Programme\CCleaner
2008-03-23 22:06 . 2008-03-25 00:14 <DIR> d-------- C:\Programme\DFš-Optimierer
2008-03-23 22:06 . 2008-03-23 22:06 1,128 -r------- C:\WINDOWS\DFš-Optimierer_Uninstall.in
2008-03-23 22:04 . 2008-03-25 00:14 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Eigene Dateien internet
2008-03-23 01:44 . 2008-03-23 03:30 <DIR> d-------- C:\Programme\Zylom Games
2008-03-23 01:44 . 2008-03-23 02:28 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\Zylom
2008-03-23 01:44 . 2008-03-23 01:44 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Zylom
2008-03-19 23:25 . 2008-03-12 15:13 208,896 --a------ C:\WINDOWS\system32\ConTest.dll
2008-03-19 23:25 . 2007-10-17 11:19 20,480 --a------ C:\WINDOWS\system32\SysRestore.dll
2008-03-18 11:34 . 2008-03-18 11:34 <DIR> d-------- C:\Programme\LimeWire Turbo Accelerator
2008-03-07 00:45 . 2008-03-07 00:45 <DIR> d-------- C:\Programme\Teamspeak2_RC2
2008-03-07 00:45 . 2008-03-07 00:45 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\teamspeak2
2008-03-07 00:45 . 2008-03-07 00:45 34,064 --a------ C:\WINDOWS\system32\lhacm.acm
2008-02-17 19:47 . 2008-02-17 19:47 <DIR> d-------- C:\Programme\Gemeinsame Dateien\TVG
2008-02-17 19:47 . 2008-02-17 19:47 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\TVG
2008-02-17 19:44 . 2008-02-17 19:44 <DIR> d-------- C:\Programme\TVG
2008-02-11 23:07 . 2008-02-11 23:07 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Adobe
2008-02-11 23:00 . 2008-02-11 23:00 <DIR> d-------- C:\Programme\Google
2008-02-11 23:00 . 2008-03-30 05:25 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Google Updater
2008-02-10 13:05 . 2008-02-10 13:05 <DIR> d-------- C:\Programme\Gemeinsame Dateien\PocketSoft
2008-02-10 12:53 . 2008-02-10 12:53 97,792 --a------ C:\WINDOWS\system32\drivers\ACEDRV05.sys
2008-02-10 12:29 . 2008-03-26 22:21 116 --a------ C:\WINDOWS\NeroDigital.ini
2008-02-10 12:28 . 2008-02-10 12:28 78,848 --a------ C:\WINDOWS\system32\drivers\SSHDRV85.sys
2008-02-10 01:52 . 2008-02-10 02:04 <DIR> d-------- C:\Programme\Ascaron Entertainment
2008-02-10 01:03 . 2008-02-10 01:03 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ATI
2008-02-10 01:00 . 2008-02-10 01:00 <DIR> d-------- C:\WINDOWS\system32\URTTEMP
2008-02-10 00:09 . 2008-02-10 00:14 <DIR> d--h----- C:\WINDOWS\msdownld.tmp
2008-02-10 00:07 . 2008-03-19 23:25 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ Toolbar
2008-02-09 19:14 . 2008-03-21 21:01 <DIR> d-------- C:\Programme\ICQToolbar
2008-02-09 19:13 . 2008-02-09 19:21 <DIR> d-------- C:\Programme\ICQ6
2008-02-09 19:13 . 2008-03-18 00:26 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\ICQ
2008-02-09 19:12 . 2008-02-09 19:12 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\InstallShield
2008-02-09 19:11 . 2008-02-09 19:11 <DIR> d-------- C:\Programme\MSBuild
2008-02-09 19:07 . 2008-03-27 17:37 <DIR> d-------- C:\WINDOWS\system32\XPSViewer
2008-02-09 19:07 . 2008-02-09 19:07 <DIR> d-------- C:\Programme\Reference Assemblies
2008-02-09 19:07 . 2006-06-29 14:07 14,048 --------- C:\WINDOWS\system32\spmsg2.dll
2008-02-09 19:06 . 2008-02-09 19:06 <DIR> d-------- C:\Programme\Windows Media Connect 2
2008-02-09 19:06 . 2006-10-04 16:06 1,197,294 --a--c--- C:\WINDOWS\system32\dllcache\SET465.tmp
2008-02-09 19:05 . 2008-02-09 19:05 <DIR> d-------- C:\WINDOWS\system32\LogFiles
2008-02-09 19:05 . 2008-02-09 19:06 <DIR> d-------- C:\WINDOWS\system32\drivers\UMDF
2008-02-09 19:05 . 2008-02-09 19:26 <DIR> d-------- C:\WINDOWS\system32\de-de
2008-02-09 18:19 . 2007-04-18 18:13 2,854,400 --a------ C:\WINDOWS\system32\SET561.tmp
2008-02-09 17:46 . 2008-02-09 17:46 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Ahead
2008-02-09 17:46 . 2008-02-09 17:46 <DIR> d-------- C:\Programme\Ahead
2008-02-09 17:46 . 2004-07-26 17:16 1,568,768 --------- C:\WINDOWS\system32\ImagX7.dll
2008-02-09 17:46 . 2004-07-26 17:16 476,320 --------- C:\WINDOWS\system32\ImagXpr7.dll
2008-02-09 17:46 . 2004-07-26 17:16 471,040 --------- C:\WINDOWS\system32\ImagXRA7.dll
2008-02-09 17:46 . 2004-07-09 09:43 364,544 --------- C:\WINDOWS\system32\TwnLib4.dll
2008-02-09 17:46 . 2004-07-26 17:16 262,144 --------- C:\WINDOWS\system32\ImagXR7.dll
2008-02-09 17:46 . 2006-01-12 16:40 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe
2008-02-09 17:46 . 2005-09-01 12:03 127,488 --------- C:\WINDOWS\system32\drivers\imagesrv.sys
2008-02-09 17:46 . 2000-06-26 11:45 106,496 --a------ C:\WINDOWS\system32\TwnLib20.dll
2008-02-09 17:46 . 2005-09-01 12:03 5,888 --------- C:\WINDOWS\system32\drivers\imagedrv.sys
2008-02-09 17:40 . 2008-02-09 17:40 <DIR> d-------- C:\WINDOWS\OPTIONS
2008-02-09 17:40 . 2003-12-31 05:58 69,504 --a------ C:\WINDOWS\system32\drivers\Rtlnic51.sys
2008-02-09 17:37 . 2004-06-24 12:57 172,032 -ra------ C:\WINDOWS\system32\nvusmb.exe
2008-02-09 17:37 . 2004-06-24 19:57 172,032 --a------ C:\WINDOWS\system32\NVUNINST.EXE
2008-02-09 17:37 . 2004-06-24 12:57 172,032 -ra------ C:\WINDOWS\system32\nvumctl.exe
2008-02-09 17:37 . 2004-04-27 09:22 172,032 --a------ C:\WINDOWS\system32\nvugart.exe
2008-02-09 17:37 . 2004-03-25 09:29 32,256 -ra------ C:\WINDOWS\system32\NVCOG.DLL
2008-02-09 17:37 . 2003-10-29 07:02 21,120 -ra------ C:\WINDOWS\system32\drivers\nv_agp.SYS
2008-02-09 17:37 . 2004-04-27 09:22 2,124 --a------ C:\WINDOWS\system32\nvgart.nvu
2008-02-09 17:37 . 2004-06-17 20:30 1,217 -ra------ C:\WINDOWS\system32\nvmctl.nvu
2008-02-09 17:37 . 2004-06-17 20:30 789 -ra------ C:\WINDOWS\system32\nvsmb.nvu
2008-02-09 17:26 . 2008-02-09 17:26 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\U3
2008-02-09 17:25 . 2005-10-21 00:25 1,094,144 --a------ C:\WINDOWS\system32\SET1DF.tmp
2008-02-09 17:21 . 2004-11-25 08:07 79,679 --a------ C:\WINDOWS\system32\E_FLMAAE.DLL
2008-02-09 17:21 . 2003-05-21 05:27 64,000 --a------ C:\WINDOWS\system32\E_FBCBAAE.DLL
2008-02-09 17:21 . 2004-09-10 23:12 49,152 --a------ C:\WINDOWS\system32\E_DCINST.DLL
2008-02-09 17:21 . 2000-06-07 04:01 34,304 --a------ C:\WINDOWS\system32\E_FBCHAAE.DLL
2008-02-09 17:20 . 2008-02-09 17:20 <DIR> d-------- C:\Programme\EPSON
2008-02-09 16:56 . 2007-09-07 10:59 50,480 --a------ C:\WINDOWS\system32\AvmColorFaxRender.dll
2008-02-09 16:56 . 2007-09-07 10:59 46,384 --a------ C:\WINDOWS\system32\AvmFaxRender.dll
2008-02-09 16:56 . 2007-09-07 10:59 24,880 --a------ C:\WINDOWS\system32\FritzVistaMon.dll
2008-02-09 16:56 . 2007-09-07 10:59 24,880 --a------ C:\WINDOWS\system32\FritzVistaColorMon.dll
2008-02-09 16:55 . 2008-02-09 16:55 <DIR> d-------- C:\Programme\Gemeinsame Dateien\AVM
2008-02-09 16:55 . 2008-02-09 16:56 <DIR> d-------- C:\Programme\FRITZ!
2008-02-09 16:55 . 2008-02-11 16:22 <DIR> d-------- C:\Dokumente und Einstellungen\PETRA3000\Anwendungsdaten\FRITZ!
2008-02-09 16:55 . 2008-02-09 16:55 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ISDNWatch
2008-02-09 16:55 . 2007-09-07 11:04 451,888 --a------ C:\WINDOWS\system32\HHActiveX.dll
2008-02-09 16:55 . 1998-11-17 13:44 328,704 --a------ C:\WINDOWS\IsUn0407.exe
2008-02-09 16:55 . 2007-09-07 11:04 70,960 --a------ C:\WINDOWS\system32\MFC71DEU.DLL
2008-02-09 16:55 . 2007-09-07 10:59 54,576 --a------ C:\WINDOWS\system32\FritzPort.dll
2008-02-09 16:55 . 2007-09-07 10:59 54,576 --a------ C:\WINDOWS\system32\FritzColorPort.dll
2008-02-09 16:55 . 2007-09-07 10:59 42,288 --a------ C:\WINDOWS\system32\Fridru32.dll

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-03-24 22:14 --------- d-----w C:\Programme\DFÜ-Optimierer
2008-03-21 20:40 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-03-20 05:00 --------- d-----w C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-03-19 19:39 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2008-02-09 17:16 --------- d-----w C:\Programme\Microsoft Works
2008-02-09 12:31 --------- d-----w C:\Programme\Sygate
2008-02-09 12:29 --------- d-----w C:\Programme\XviD
2008-02-09 12:29 --------- d-----w C:\Programme\VideoLAN
2008-02-09 12:29 --------- d-----w C:\Programme\Spybot - Search & Destroy
2008-02-09 12:29 --------- d-----w C:\Programme\AC3Filter
2008-02-09 12:27 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CyberLink
2008-02-09 12:26 --------- d-----w C:\Programme\CyberLink
2008-02-09 12:24 --------- d-----w C:\Programme\Avira
2008-02-09 12:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-02-09 12:05 --------- d-----w C:\Programme\microsoft frontpage
2008-02-09 12:03 --------- d-----w C:\Programme\Online-Dienste
2008-02-09 12:03 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
2007-12-21 03:09 368,640 ----a-w C:\WINDOWS\system32\ATIDEMGX.dll
2007-12-21 02:53 9,826,304 ----a-w C:\WINDOWS\system32\atioglx2.dll
2007-12-21 02:24 46,080 ----a-w C:\WINDOWS\system32\amdpcom32.dll
2007-12-21 02:20 385,024 ----a-w C:\WINDOWS\system32\atikvmag.dll
2007-12-21 02:15 159,744 ----a-w C:\WINDOWS\system32\atiok3x2.dll
2007-12-07 02:04 824,832 ----a-w C:\WINDOWS\system32\wininet.dll
2007-12-04 18:40 550,912 ----a-w C:\WINDOWS\system32\oleaut32.dll
.

((((((((((((((((((((((((((((( snapshot@2008-03-27_18.21.41.51 )))))))))))))))))))))))))))))))))))))))))
.
- 2000-08-31 07:00:00 163,328 ----a-w C:\WINDOWS\erdnt\Hiv-backup\ERDNT.EXE
+ 2000-08-31 06:00:00 163,328 ----a-w C:\WINDOWS\erdnt\Hiv-backup\ERDNT.EXE
- 2000-08-31 07:00:00 163,328 ----a-w C:\WINDOWS\erdnt\subs\ERDNT.EXE
+ 2000-08-31 06:00:00 163,328 ----a-w C:\WINDOWS\erdnt\subs\ERDNT.EXE
- 2000-08-31 07:00:00 28,160 ----a-w C:\WINDOWS\Nircmd.exe
+ 2000-08-31 06:00:00 28,160 ----a-w C:\WINDOWS\Nircmd.exe
- 2008-03-27 15:36:22 88,942 ----a-w C:\WINDOWS\system32\perfc007.dat
+ 2008-03-30 06:12:25 88,942 ----a-w C:\WINDOWS\system32\perfc007.dat
- 2008-03-27 15:36:22 74,498 ----a-w C:\WINDOWS\system32\perfc009.dat
+ 2008-03-30 06:12:25 74,498 ----a-w C:\WINDOWS\system32\perfc009.dat
- 2008-03-27 15:36:22 466,976 ----a-w C:\WINDOWS\system32\perfh007.dat
+ 2008-03-30 06:12:25 466,976 ----a-w C:\WINDOWS\system32\perfh007.dat
- 2008-03-27 15:36:22 447,334 ----a-w C:\WINDOWS\system32\perfh009.dat
+ 2008-03-30 06:12:25 447,334 ----a-w C:\WINDOWS\system32\perfh009.dat
- 2000-08-31 07:00:00 161,792 ----a-w C:\WINDOWS\system32\swreg.exe
+ 2000-08-31 06:00:00 161,792 ----a-w C:\WINDOWS\system32\swreg.exe
.
(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2003-04-14 21:05 1498032]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"ICQ"="C:\Programme\ICQ6\ICQ.exe" [2007-12-19 16:48 172280]
"Performance Center"="C:\Programme\Ascentive\Performance Center\APCMain.exe" [ ]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-02-09 14:56 249896]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\PDVDServ.exe" [2007-03-14 22:01 71216]
"LanguageShortcut"="C:\Programme\CyberLink\PowerDVD\Language\Language.exe" [2007-03-14 22:01 54832]
"SmcService"="C:\PROGRA~1\Sygate\SPF\smc.exe" [2004-02-19 13:34 2372760]
"SoundMan"="SOUNDMAN.EXE" [2006-08-03 06:12 577536 C:\WINDOWS\soundman.exe]
"NVRaidService"="C:\WINDOWS\system32\nvraidservice.exe" [2004-06-11 05:15 83968]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2006-01-12 16:40 155648]
"ATIPTA"="C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe" [2004-11-24 22:10 344064]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 01:27 32768]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-05-11 04:06 40048]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]
"ATICCC"="C:\Programme\ATI Technologies\ATI.ACE\cli.exe" [2004-11-25 01:27 32768]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\Sacred.exe"=
"C:\\DAten Februar 2008\\Sacred neu\\Sacred\\GameServer.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred\\Sacred.exe"=
"C:\\Programme\\Ascaron Entertainment\\Sacred Underworld\\gameserver.exe"=
"D:\\Shareaza\\Shareaza.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\WINDOWS\\system32\\rundll32.exe"=

R1 SSHDRV85;SSHDRV85;C:\WINDOWS\system32\drivers\SSHDRV85.sys [2008-02-10 12:28]
R2 {95808DC4-FA4A-4C74-92FE-5B863F82066B};{95808DC4-FA4A-4C74-92FE-5B863F82066B};C:\Programme\CyberLink\PowerDVD\000.fcl [2007-09-19 22:37]
R3 AVMCOWAN;AVM ISDN CoNDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmcowan.sys [2005-06-08 03:00]
R3 AVMDSLPPPOE;AVM DSL PPPoE CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmdsloe.sys [2005-06-08 03:00]
R3 AVMNDSL;AVM DSL NDIS WAN CAPI Treiber;C:\WINDOWS\system32\DRIVERS\avmndsl.sys [2005-06-08 03:00]
R3 FDSLBASE;AVM FRITZ!Card DSL (WinXP/2000);C:\WINDOWS\system32\DRIVERS\fdslbase.sys [2005-06-08 03:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\G]
\Shell\AutoRun\command - G:\LaunchU3.exe -a

.
**************************************************************************

catchme 0.3.1344 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-03-30 08:37:03
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\{95808DC4-FA4A-4C74-92FE-5B863F82066B}]
"ImagePath"="\??\C:\Programme\CyberLink\PowerDVD\000.fcl"
.
------------------------ Other Running Processes ------------------------
.
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Sygate\SPF\smc.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\CyberLink\Shared files\RichVideo.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\http_tfd.exe
C:\Programme\FRITZ!\FriFon32.exe
C:\Programme\Google\Google Updater\GoogleUpdater.exe
C:\Programme\FRITZ!\IWatch.exe
C:\Programme\TVG\DasTelefonbuch Deutschland\win32\officemanager\OMAlarm.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-03-30 8:39:35 - machine was rebooted
ComboFix-quarantined-files.txt 2008-03-30 06:39:32
ComboFix2.txt 2008-03-29 16:52:56
ComboFix3.txt 2008-03-29 16:17:32
ComboFix4.txt 2008-03-27 17:22:12
13 Verzeichnis(se), 264,313,323,520 Bytes frei
16 Verzeichnis(se), 264,293,339,136 Bytes frei

Sunny

30.03.2008 11:59

Öffne den der Registrierung

Klicke -> Start -> Ausführen, schreibe REGEDIT -> [enter]

Navigiere zu folgendem Schlüssel:

Zitat:

[HKEY_LOCAL_MACHINE\software\microsoft\security center]

und ändere auf der rechten Seite folgende Werte:

Zitat:

"AntiVirusDisableNotify"=dword:00000001 - in 0 ändern
"UpdatesDisableNotify"=dword:00000001 - in 0 ändern

Schliesse den Registry Editor und starte den Rechner neu!

Brittaaaa

30.03.2008 14:25

huhu,

wenn ich auf local maschine gehe steht rechts:
Standard Reg SZ Wert nicht gesetzt!!!!

Zitat:

Zitat von [GC]Sunny (Beitrag 331632)

Öffne den der Registrierung

Klicke -> Start -> Ausführen, schreibe REGEDIT -> [enter]

Navigiere zu folgendem Schlüssel:

und ändere auf der rechten Seite folgende Werte:

Schliesse den Registry Editor und starte den Rechner neu!

Brittaaaa

30.03.2008 14:35

huhu sunny,

ich weiß nicht ob der pc nun sauber ist, es kommt nach neustart keine fehlermeldung mehr. kann ich mich freuen?? auch die internetseiten bauen nu schnell auf.

Dankööö

Sunny

30.03.2008 16:15

Zitat:

Zitat von Brittaaaa (Beitrag 331675)

es kommt nach neustart keine fehlermeldung mehr. kann ich mich freuen?? auch die internetseiten bauen nu schnell auf.

Ich denke du kannst dich freuen, meiner Ansicht nach sollte alles entfernt sein, und wenn es keine Probleme mehr gibt, sollte es das gewesen sein...

Du bist "entlassen" .. :)

Gruß
Sunny

Alle Zeitangaben in WEZ +1. Es ist jetzt 10:36 Uhr.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131