Trojaner-Board - Virus/Trojaner

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Virus/Trojaner (https://www.trojaner-board.de/67375-virus-trojaner.html)

Hi,

mein System hat sei dem 26.12. einen Trojaner drauf. Es öffnen sich Pop Ups und weitere Viren/Trojaner? werden aus dem Netz runtergeladen. Zusätzlich ist der Rechner elendig langsam.

Meine üblichen Rettungsversuche mit verschiedenen Programmen waren bis jetzt erfolglos. Die Schädlinge sind nach Rechner Neustart wieder drauf :mad:

Mein AVG 8.0 hat den Trojan horse downloader.Gerneric8.HPC im Ordner C:\System Volume Information\_restore{...}\RP360\A0062577.exe gefunden. McAfee findet nichts. Mit Ad-Aware finde ich nur Einträge in der registry.

Danke im Vorraus.

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 12:12:37, on 28.12.2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\Explorer.EXE

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Winamp\winampa.exe

C:\Programme\Java\jre1.6.0_07\bin\jusched.exe

C:\PROGRA~1\AVG\AVG8\avgtray.exe

C:\WINDOWS\system32\RUNDLL32.EXE

C:\WINDOWS\system32\rundll32.exe

C:\WINDOWS\system32\ctfmon.exe

C:\Programme\Messenger\msmsgs.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\DAEMON Tools Pro\DTProAgent.exe

C:\Programme\ICQ6\ICQ.exe

C:\Programme\DAEMON Tools\daemon.exe

C:\WINDOWS\system32\prunnet.exe

C:\Programme\Gemeinsame Dateien\AAV\aavus.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\WINDOWS\system32\wscntfy.exe

C:\Programme\Java\jre1.6.0_07\bin\jucheck.exe

C:\WINDOWS\system32\taskmgr.exe

C:\Programme\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.daemonsearch.com/intl/

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"

O4 - HKLM\..\Run: [78f91704] rundll32.exe "C:\WINDOWS\system32\petxsxku.dll",b

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "C:\Programme\DAEMON Tools Pro\DTProAgent.exe" -autorun

O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent

O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [RGSC] C:\Programme\Rockstar Games\Rockstar Games Social Club\RGSCLauncher.exe /silent

O4 - HKCU\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"

O4 - HKCU\..\Run: [gadcom] "C:\Dokumente und Einstellungen\Herr Mustermann\Anwendungsdaten\gadcom\gadcom.exe" 61A847B5BBF728173599284503996897C881250221C8670836AC4FA7C8833201749139

O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O15 - Trusted Zone: *.antimalwareguard.com

O15 - Trusted Zone: *.gomyhit.com

O15 - Trusted Zone: *.antimalwareguard.com (HKLM)

O15 - Trusted Zone: *.gomyhit.com (HKLM)

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG8\avgpp.dll

O20 - AppInit_DLLs: avgrsstx.dll gwcvzn.dll

O23 - Service: AAV UpdateService - Unknown owner - C:\Programme\Gemeinsame Dateien\AAV\aavus.exe

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
 

--

End of file - 5492 bytes

Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei

O4 - HKLM\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"
O4 - HKLM\..\Run: [78f91704] rundll32.exe "C:\WINDOWS\system32\petxsxku.dll",b
O4 - HKCU\..\Run: [prunnet] "C:\WINDOWS\system32\prunnet.exe"
O4 - HKCU\..\Run: [gadcom] "C:\Dokumente und Einstellungen\Herr Mustermann\Anwendungsdaten\gadcom\gadcom.exe" 61A847B5BBF728173599284503996897C881250221C8670836AC4FA7C8833201749139
O15 - Trusted Zone: *.antimalwareguard.com
O15 - Trusted Zone: *.gomyhit.com
O15 - Trusted Zone: *.antimalwareguard.com (HKLM)
O15 - Trusted Zone: *.gomyhit.com (HKLM)
O20 - AppInit_DLLs: avgrsstx.dll gwcvzn.dll

klicke: Fix checked
Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

Benutze malwarebytes-anti-malware
http://www.trojaner-board.de/51187-anleitung-malwarebytes-anti-malware.html
Note: Wähle bei Reiter:
“Scanner”> "Quickscan durchfuehren".
“Update “> klicke “Suche nache Aktualisierungen“
“Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“
Scan laufen lassen und Infizierungen entfernen
Und poste das Log

Vielen dank für deine Hilfe,

hier das log

Code:

Malwarebytes' Anti-Malware 1.31

Datenbank Version: 1550

Windows 5.1.2600 Service Pack 3
 

28.12.2008 16:04:45

mbam-log-2008-12-28 (16-04-45).txt
 

Scan-Methode: Vollständiger Scan (C:\|)

Durchsuchte Objekte: 198770

Laufzeit: 57 minute(s), 45 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 3

Infizierte Registrierungsschlüssel: 17

Infizierte Registrierungswerte: 2

Infizierte Dateiobjekte der Registrierung: 2

Infizierte Verzeichnisse: 0

Infizierte Dateien: 9
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

C:\WINDOWS\system32\qoMfdeDW.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\urqRHbYs.dll (Trojan.Vundo) -> Delete on reboot.

C:\WINDOWS\system32\gwcvzn.dll (Trojan.Vundo) -> Delete on reboot.
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{2e08289d-8b48-4e15-8597-c1ab9fe43fcb} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{2e08289d-8b48-4e15-8597-c1ab9fe43fcb} (Trojan.Vundo.H) -> Delete on reboot.

HKEY_CLASSES_ROOT\CLSID\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\urqrhbys (Trojan.Vundo) -> Delete on reboot.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{2e08289d-8b48-4e15-8597-c1ab9fe43fcb} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CLASSES_ROOT\CLSID\{81496ff5-2dfb-4b26-8f33-966e0caf7f66} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{81496ff5-2dfb-4b26-8f33-966e0caf7f66} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{81496ff5-2dfb-4b26-8f33-966e0caf7f66} (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Juan (Malware.Trace) -> Quarantined and deletessd succefully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\contim (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_CURRENT_USER\SOFTWARE\Microsoft\instkey (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\MS Track System (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\rdfa (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\FCOVM (Trojan.Vundo) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\RemoveRP (Trojan.Vundo) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{6d794cb4-c7cd-4c6f-bfdc-9b77afbdc02c} (Trojan.Vundo) -> Delete on reboot.

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\78f91704 (Trojan.Agent) -> Quarantined and deleted successfully.
 

Infizierte Dateiobjekte der Registrierung:

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Notification Packages (Trojan.Vundo.H) -> Data: c:\windows\system32\qomfdedw -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\LSA\Authentication Packages (Trojan.Vundo) -> Data: c:\windows\system32\qomfdedw  -> Delete on reboot.
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\qoMfdeDW.dll (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\WDedfMoq.ini (Trojan.Vundo.H) -> Delete on reboot.

C:\WINDOWS\system32\WDedfMoq.ini2 (Trojan.Vundo.H) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\urqRHbYs.dll (Trojan.Vundo) -> Delete on reboot.

C:\WINDOWS\system32\gwcvzn.dll (Trojan.Vundo) -> Delete on reboot.

C:\WINDOWS\system32\tuvwvWMC.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ubhtkkrq.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\prunnet.exe (Trojan.Downloader) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\vntkdjro.dll (Trojan.Agent) -> Delete on reboot.

Habe für die DB nochmal ein Update gemacht und nochmal gescannt. (Nach der Installation hat der das aktuelle Update nicht gezogen, sonder nur das 1550)

Code:

Malwarebytes' Anti-Malware 1.31

Datenbank Version: 1562

Windows 5.1.2600 Service Pack 3
 

28.12.2008 16:15:09

mbam-log-2008-12-28 (16-15-09).txt
 

Scan-Methode: Quick-Scan

Durchsuchte Objekte: 65503

Laufzeit: 3 minute(s), 48 second(s)
 

Infizierte Speicherprozesse: 0

Infizierte Speichermodule: 0

Infizierte Registrierungsschlüssel: 2

Infizierte Registrierungswerte: 0

Infizierte Dateiobjekte der Registrierung: 0

Infizierte Verzeichnisse: 0

Infizierte Dateien: 2
 

Infizierte Speicherprozesse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Speichermodule:

(Keine bösartigen Objekte gefunden)
 

Infizierte Registrierungsschlüssel:

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\prunnet (Malware.Trace) -> Quarantined and deleted successfully.

HKEY_LOCAL_MACHINE\SOFTWARE\xpreapp (Malware.Trace) -> Quarantined and deleted successfully.
 

Infizierte Registrierungswerte:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateiobjekte der Registrierung:

(Keine bösartigen Objekte gefunden)
 

Infizierte Verzeichnisse:

(Keine bösartigen Objekte gefunden)
 

Infizierte Dateien:

C:\WINDOWS\system32\qtuebh.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

C:\WINDOWS\system32\ymkveokj.dll (Trojan.Vundo) -> Quarantined and deleted successfully.

Es gibt immer kummer mit eine der beiden Downloadseiten

Benutze CCleaner
http://www.trojaner-board.de/51464-anleitung-ccleaner.html

ComboFix(by sUBs)
Download ComboFix und speichert es auf den Desktop!

Schliesse alle Programme und Anwendungen mit Hintergrundwächtern inklusive der Firewall + Antivirusprogramme müssen deaktiviert sein

Starte combofix.exe
Note:
Wenn ComboFix schon eher benutzt worden ist, kann es sein das eine Meldung kommt das es ein Update gibt
Lass es zu das ComboFix ge-updatet wird
Klicke OK im "NirCmd" Fenster klicke ja um Combofix zu starten

Folge den Instruktionen in das Fenster

Während Combofix lauft NICHT ins Fenster klicken sonst erfriert dein Rechner

Wenn das Tool fertig ist,oeffnet sich ein logfile (C:\ combofix.txt)
nun das KOMPLETTE Log mit rechtem Mausklick ab kopieren und ins Forum mit rechtem Mausklick "einfügen"
Befolge diese Anleitung und installiere auch den Wiederherstellungskonsole

zusammen mit ein neuen log von HijackThis

Danke sieht schon alles viel besser. pc auch wieder schnell :taenzer:

Combo Fix

Code:

ComboFix 08-12-26.03 - Max Mustermann 2008-12-28 18:44:40.1 - NTFSx86

Microsoft Windows XP Home Edition  5.1.2600.3.1252.1.1031.18.2047.1595 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\MaxMustermann.xxx\Desktop\ComboFix.exe

AV: AVG Anti-Virus Free *On-access scanning disabled* (Outdated)

 * Neuer Wiederherstellungspunkt wurde erstellt

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat

c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat

c:\windows\system32\orjdktnv.ini
 

----- BITS: Eventuell infizierte Webseiten -----
 

hxxp://childhe.com

.

(((((((((((((((((((((((   Dateien erstellt von 2008-11-28 bis 2008-12-28  ))))))))))))))))))))))))))))))

.
 

2008-12-28 17:41 . 2008-12-28 17:41        <DIR>        d--------        c:\programme\CCleaner

2008-12-28 14:49 . 2008-12-28 14:49        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware

2008-12-28 14:49 . 2008-12-28 14:49        <DIR>        d--------        c:\dokumente und einstellungen\MaxMustermann.xxx\Anwendungsdaten\Malwarebytes

2008-12-28 14:49 . 2008-12-28 14:49        <DIR>        d--------        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Malwarebytes

2008-12-28 14:49 . 2008-12-03 19:52        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys

2008-12-28 14:49 . 2008-12-03 19:52        15,504        --a------        c:\windows\system32\drivers\mbam.sys

2008-12-28 13:45 . 2008-12-28 13:45        95        --a------        c:\windows\wininit.ini

2008-12-28 13:22 . 2008-12-28 15:33        <DIR>        d--------        c:\programme\Spybot - Search & Destroy

2008-12-28 13:22 . 2008-12-28 18:04        <DIR>        d--------        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Spybot - Search & Destroy

2008-12-28 12:38 . 2008-12-28 12:38        <DIR>        dr-------        c:\dokumente und einstellungen\Administrator\Eigene Dateien

2008-12-28 12:35 . 2007-10-20 12:11        <DIR>        d--h-----        c:\dokumente und einstellungen\Administrator\Vorlagen

2008-12-28 12:35 . 2007-10-20 13:04        <DIR>        dr-------        c:\dokumente und einstellungen\Administrator\Startmenü

2008-12-28 12:35 . 2007-10-20 13:04        <DIR>        d--h-----        c:\dokumente und einstellungen\Administrator\Netzwerkumgebung

2008-12-28 12:35 . 2008-12-28 18:45        <DIR>        d--h-----        c:\dokumente und einstellungen\Administrator\Lokale Einstellungen

2008-12-28 12:35 . 2007-10-20 13:04        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Favoriten

2008-12-28 12:35 . 2007-10-20 13:04        <DIR>        d--h-----        c:\dokumente und einstellungen\Administrator\Druckumgebung

2008-12-28 12:35 . 2007-10-20 13:04        <DIR>        dr-h-----        c:\dokumente und einstellungen\Administrator\Anwendungsdaten

2008-12-28 12:35 . 2008-12-28 12:38        <DIR>        d--------        c:\dokumente und einstellungen\Administrator

2008-12-24 23:50 . 2008-12-26 15:18        <DIR>        d--------        c:\programme\Windows Media Connect 2

2008-12-24 23:50 . 2008-12-24 23:50        <DIR>        d--------        C:\d43e3dee2ba1d22fcf364e0dff

2008-12-21 18:12 . 2008-12-21 18:12        <DIR>        d--------        c:\programme\ClearProg

2008-12-21 12:56 . 2008-12-02 23:11        205,413        --a------        c:\windows\system32\nvapps.nvb

2008-12-21 12:48 . 2008-12-21 12:48        <DIR>        d--------        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\nView_Profiles

2008-12-21 12:09 . 2008-12-21 12:09        <DIR>        d--------        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\NVIDIA

2008-12-20 13:16 . 2008-12-28 18:19        196,031        --a------        c:\windows\system32\nvapps.xml

2008-12-20 13:15 . 2008-12-21 12:59        <DIR>        d--------        c:\windows\nview

2008-12-19 21:18 . 2008-04-14 07:52        221,184        --a------        c:\windows\system32\wmpns.dll

2008-12-19 21:11 . 2008-12-19 21:11        <DIR>        d--------        c:\windows\system32\de-de

2008-12-19 21:09 . 2006-10-24 20:33        8,282,112        -----c---        c:\windows\system32\dllcache\wmploc.dll

2008-12-19 21:07 . 2008-04-14 00:10        10,240        ---------        c:\windows\system32\drivers\sffp_mmc.sys

2008-12-19 21:06 . 2006-12-29 00:31        19,569        --a------        c:\windows\005040_.tmp

2008-12-19 20:03 . 2008-12-19 20:03        <DIR>        d--------        c:\windows\system32\drivers\umdf

2008-12-19 20:02 . 2008-12-19 20:18        <DIR>        d--------        c:\programme\Microsoft Games for Windows - LIVE

2008-12-19 19:38 . 2008-12-19 19:40        <DIR>        d--------        c:\programme\Rockstar Games

2008-12-18 19:36 . 2008-12-18 19:36        <DIR>        d--------        c:\programme\Opera

2008-12-12 17:32 . 2008-12-12 17:32        <DIR>        d--------        c:\programme\Gemeinsame Dateien\AAV

2008-12-12 17:32 . 2008-12-12 17:35        <DIR>        d--------        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\AAV

2008-12-12 17:32 . 2006-07-03 15:31        74        --a------        c:\windows\tm.ini

2008-12-12 17:31 . 2008-12-12 17:31        <DIR>        d--------        c:\programme\Steuertipps

2008-12-02 23:11 . 2008-12-02 23:11        1,253,376        --a------        c:\windows\system32\NvPVEnc.ax
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2008-12-26 14:40        12,632        ----a-w        c:\windows\system32\lsdelete.exe

2008-12-21 11:57        ---------        d-----w        c:\programme\Gemeinsame Dateien\Wise Installation Wizard

2008-12-21 11:57        ---------        d-----w        c:\programme\AGEIA Technologies

2008-12-21 11:20        ---------        d-----w        c:\programme\EA SPORTS

2008-12-19 18:40        ---------        d--h--w        c:\programme\InstallShield Installation Information

2008-12-02 09:13        453,152        ----a-w        c:\windows\system32\NVUNINST.EXE

2008-11-29 10:31        ---------        d-----w        c:\programme\Diablo II

2008-11-16 21:19        ---------        d-----w        c:\programme\Gemeinsame Dateien\Blizzard Entertainment

2008-11-16 20:58        ---------        d-----w        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Blizzard

2008-11-02 09:22        ---------        d-----w        c:\dokumente und einstellungen\All Users.WINDOWS\Anwendungsdaten\Fallout3

2008-11-02 09:20        ---------        d-----w        c:\programme\MSBuild

2008-11-02 09:17        ---------        d-----w        c:\programme\Reference Assemblies

2008-11-01 17:05        ---------        d-----w        c:\programme\DAEMON Tools

2008-10-28 16:41        14,303,392        ----a-w        c:\windows\system32\xlive.dll

2008-10-28 16:41        13,643,936        ----a-w        c:\windows\system32\xlivefnt.dll

2008-10-13 08:56        70,936        ----a-w        c:\windows\system32\PhysXLoader.dll

2008-10-01 14:45        413,696        ----a-w        c:\windows\system32\wrap_oal.dll

2008-10-01 14:45        110,592        ----a-w        c:\windows\system32\OpenAL32.dll

2008-09-10 16:03        21,208        ----a-w        c:\dokumente und einstellungen\MaxMustermann.xxx\Anwendungsdaten\GDIPFONTCACHEV1.DAT

2008-01-04 22:05        22,328        ----a-w        c:\dokumente und einstellungen\MaxMustermann.xxx\Anwendungsdaten\PnkBstrK.sys

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]

"DAEMON Tools Pro Agent"="c:\programme\DAEMON Tools Pro\DTProAgent.exe" [2008-01-15 277960]

"ICQ"="c:\programme\ICQ6\ICQ.exe" [2008-09-01 173304]

"DAEMON Tools"="c:\programme\DAEMON Tools\daemon.exe" [2007-09-18 171464]

"RGSC"="c:\programme\Rockstar Games\Rockstar Games Social Club\RGSCLauncher.exe" [2008-12-19 306088]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"AVG8_TRAY"="c:\progra~1\AVG\AVG8\avgtray.exe" [2008-11-27 1261336]

"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2008-12-02 13680640]

"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2008-12-02 86016]

"RTHDCPL"="RTHDCPL.EXE" [2006-09-12 c:\windows\RTHDCPL.exe]

"SkyTel"="SkyTel.EXE" [2006-05-16 c:\windows\SkyTel.exe]

"nwiz"="nwiz.exe" [2008-12-02 c:\windows\system32\nwiz.exe]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2008-04-14 15360]
 

c:\dokumente und einstellungen\All Users.WINDOWS\Startmen\Programme\Autostart\

Microsoft Office.lnk - c:\programme\Microsoft Office\Office10\OSA.EXE [2001-02-13 83360]
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]

"EnableFirewall"= 0 (0x0)
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Programme\\ICQ6\\ICQ.exe"=

"c:\\Spiele\\Pro Evolution Soccer 2008\\PES2008.exe"=

"c:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=

"c:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=

"c:\\WINDOWS\\system32\\PnkBstrA.exe"=

"c:\\WINDOWS\\system32\\PnkBstrB.exe"=

"c:\\Programme\\Firaxis Games\\Sid Meier's Civilization 4\\Civilization4.exe"=

"c:\\Dokumente und Einstellungen\\MaxMustermann.xxx\\Eigene Dateien\\ICQ\\xxx\\ReceivedFiles\\xxx Beelzebub88\\AoC-EU-EarlyAccess.exe"=

"c:\\Programme\\AVG\\AVG8\\avgupd.exe"=

"c:\\Programme\\Ascaron Entertainment\\Sacred 2 - Demo\\system\\s2gs.exe"=

"c:\\Programme\\Ascaron Entertainment\\Sacred 2 - Demo\\system\\sacred2.exe"=

"c:\\Programme\\Ascaron Entertainment\\Sacred 2 - Fallen Angel\\system\\s2gs.exe"=

"c:\\Programme\\Ascaron Entertainment\\Sacred 2 - Fallen Angel\\system\\sacred2.exe"=

"c:\\Programme\\Rockstar Games\\Rockstar Games Social Club\\RGSCLauncher.exe"=

"c:\\Programme\\Rockstar Games\\Grand Theft Auto IV\\LaunchGTAIV.exe"=

"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
 

R1 AvgLdx86;AVG AVI Loader Driver x86;c:\windows\system32\Drivers\avgldx86.sys [2008-06-23 97928]

R2 AAV UpdateService;AAV UpdateService;c:\programme\Gemeinsame Dateien\AAV\aavus.exe [2007-10-04 122880]

R2 avg8wd;AVG8 WatchDog;c:\progra~1\AVG\AVG8\avgwdsvc.exe [2008-06-23 231704]
 

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{cc0a59ea-bb0f-11dc-93c1-001bfc190a5f}]

\Shell\AutoRun\command - E:\AutoRunCD.exe
 

*Newly Created Service* - CATCHME

*Newly Created Service* - PROCEXP90

.

Inhalt des "geplante Tasks" Ordners
 

2008-12-28 c:\windows\Tasks\vhdxghpf.job

- c:\windows\system32\rundll32.exe [2008-04-14 07:53]

.

.

------- Zusätzlicher Suchlauf -------

.

uStart Page = hxxp://google.daemonsearch.com/intl/

IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~3\Office10\EXCEL.EXE/3000
 

O16 -: DirectAnimation Java Classes - file://c:\windows\Java\classes\dajava.cab

c:\windows\Downloaded Program Files\DirectAnimation Java Classes.osd
 

O16 -: Microsoft XML Parser for Java - file://c:\windows\Java\classes\xmldso.cab

c:\windows\Downloaded Program Files\Microsoft XML Parser for Java.osd

FF - ProfilePath - c:\dokumente und einstellungen\maxMustermann.xxx\Anwendungsdaten\Mozilla\Firefox\Profiles\088nq6tt.default\

.
 

**************************************************************************
 

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net

Rootkit scan 2008-12-28 18:45:52

Windows 5.1.2600 Service Pack 3 NTFS
 

Scanne versteckte Prozesse...
 

Scanne versteckte Autostarteinträge...
 

Scanne versteckte Dateien...
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

Zeit der Fertigstellung: 2008-12-28 18:46:27

ComboFix-quarantined-files.txt  2008-12-28 17:46:25
 

Vor Suchlauf: 31 Verzeichnis(se), 40.513.253.376 Bytes frei

Nach Suchlauf: 31 Verzeichnis(se), 40,703,094,784 Bytes frei
 

WindowsXP-KB310994-SP2-Home-BootDisk-DEU.exe

[boot loader]

timeout=2

default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS

[operating systems]

c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons

multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Home Edition" /fastdetect /NoExecute=OptIn
 

170

Hijackthis

Code:

Logfile of Trend Micro HijackThis v2.0.2

Scan saved at 18:57:22, on 28.12.2008

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)

Boot mode: Normal
 

Running processes:

C:\WINDOWS\System32\smss.exe

C:\WINDOWS\system32\winlogon.exe

C:\WINDOWS\system32\services.exe

C:\WINDOWS\system32\lsass.exe

C:\WINDOWS\system32\svchost.exe

C:\WINDOWS\System32\svchost.exe

C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

C:\WINDOWS\RTHDCPL.EXE

C:\Programme\Java\jre1.6.0_07\bin\jusched.exe

C:\WINDOWS\system32\ctfmon.exe

C:\WINDOWS\system32\spoolsv.exe

C:\Programme\Gemeinsame Dateien\AAV\aavus.exe

C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

C:\WINDOWS\system32\nvsvc32.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\WINDOWS\system32\wscntfy.exe

C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

C:\PROGRA~1\AVG\AVG8\avgrsx.exe

C:\WINDOWS\explorer.exe

C:\Programme\HijackThis\HijackThis.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://google.daemonsearch.com/intl/

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll

O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE

O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_07\bin\jusched.exe"

O4 - HKLM\..\Run: [AVG8_TRAY] C:\PROGRA~1\AVG\AVG8\avgtray.exe

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [nwiz] nwiz.exe /install

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe

O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background

O4 - HKCU\..\Run: [DAEMON Tools Pro Agent] "C:\Programme\DAEMON Tools Pro\DTProAgent.exe" -autorun

O4 - HKCU\..\Run: [ICQ] "C:\Programme\ICQ6\ICQ.exe" silent

O4 - HKCU\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033

O4 - HKCU\..\Run: [RGSC] C:\Programme\Rockstar Games\Rockstar Games Social Club\RGSCLauncher.exe /silent

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\Office10\EXCEL.EXE/3000

O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_07\bin\ssv.dll

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O18 - Protocol: linkscanner - {F274614C-63F8-47D5-A4D1-FBDDE494F8D1} - C:\Programme\AVG\AVG8\avgpp.dll

O23 - Service: AAV UpdateService - Unknown owner - C:\Programme\Gemeinsame Dateien\AAV\aavus.exe

O23 - Service: Lavasoft Ad-Aware Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware\aawservice.exe

O23 - Service: AVG8 WatchDog (avg8wd) - AVG Technologies CZ, s.r.o. - C:\PROGRA~1\AVG\AVG8\avgwdsvc.exe

O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
 

--

End of file - 5065 bytes

Start > Ausführen> Kopiere rein ComboFix /U OK

Java
Dein Java software ist veraltet,
Download Java Runtime Environment (JRE) 6u11 zum Desktop

Entferne ueber "Start -> Einstellungen -> Systemsteuerung -> Software
Die aeltere Versionen von Java Runtime Environment (JRE of J2SE)
Nachdem alles entfernt wurde --->Rechner neu starten
Schliesse alle Programme auch dein Webbrowser
Installiere jetzt vom Desktop aus ---> jre-6u11-windows-i586-p-s.exe

Update MBAM und fuehre eine "Vollständiger Suchlauf“ durch

Happy Surfing again