einige Malware gelöscht, jetzt Rundll ismsti.dll
 

Hallo Forum,

mein Rechner wurde letzten Donnerstag von einem Virus/Trojaner befallen. Nun habe ich - auch Dank dieses Forums - nun fast alles wieder geheilt, zumindest finden die Virenprogramme nichts mehr.

Aber ich haben nun die Fehlermeldung beim Start von Windows XP:
RUNDLL
Fehler beim Laden von C:\WINDOWS\ismsti.dll
Das angegegebene Modul wurde nicht gefunden.

In einem anderen Post konnte ich lesen, dass vielleicht doch noch nicht alles geheilt ist, aber ich kam nicht weiter.

Anbei das Logfile - nach all meinen Heilungsversuchen. Bei Interesse hätte ich noch das Antivir Log Datei von Tag meines Befalls.

--------------------------
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:57:56, on 16.09.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17080)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
C:\WINDOWS\system32\bgsvcgen.exe
C:\Programme\Bonjour\mDNSResponder.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Microsoft LifeCam\MSCamS32.exe
C:\WINDOWS\system32\o2flash.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\TomTom HOME 2\TomTomHOMEService.exe
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\ATI Technologies\ATI.ACE\CLI.EXE
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\vVX1000.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\DivX\DivX Update\DivXUpdate.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft ActiveSync\wcescomm.exe
C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\Panasonic\PHOTOfunSTUDIO\PhAutoRun.exe
C:\Programme\WISO\Sparbuch 2010\meinsparbuchheute.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\CCleaner\ccleaner.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Downloads\HiJackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fuelpilot-bosch
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 7\SnagItBHO.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 7\SnagItIEAddin.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [Muscbrigade] c:\Musicbrigade\Musicbrigade.exe check
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [LifeCam] "C:\Programme\Microsoft LifeCam\LifeExp.exe"
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Programme\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AOLMIcon] C:\ISP\AOL\AOLMIcon.exe
O4 - HKCU\..\Run: [T-Online Hinweis] c:\t-online_hinweis\t-online_fs2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe"
O4 - HKCU\..\Run: [Jtanakidalosac] rundll32.exe "C:\WINDOWS\ismsti.dll",Startup
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: PHOTOfunSTUDIO HD Edition.lnk = C:\Programme\Panasonic\PHOTOfunSTUDIO\PhAutoRun.exe
O4 - Global Startup: WISO Mein Sparbuch heute.lnk = C:\Programme\WISO\Sparbuch 2010\meinsparbuchheute.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1169068222781
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - The Firebird Project - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - C:\WINDOWS\system32\o2flash.exe
O23 - Service: TomTomHOMEService - TomTom - C:\Programme\TomTom HOME 2\TomTomHOMEService.exe

--
End of file - 9561 bytes

--------------------------

Danke

Poste bitte alle Logfiles mit den relevanten Funden.

Hi, da ich zu Beginn noch recht unbefangen war, hatte ich "nur" Antivir.
Hier das Logfile von Antivir:

--------------------------------------------

Code:

---

Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Donnerstag, 9. September 2010  22:01

Es wird nach 2796454 Virenstämmen gesucht.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : SPATZELRECHNER

Versionsinformationen:
BUILD.DAT      : 9.0.0.422    21701 Bytes  09.03.2010 10:23:00
AVSCAN.EXE    : 9.0.3.10    466689 Bytes  20.11.2009 13:13:20
AVSCAN.DLL    : 9.0.3.0      49409 Bytes  13.02.2009 11:04:10
LUKE.DLL      : 9.0.3.2      209665 Bytes  20.02.2009 10:35:44
LUKERES.DLL    : 9.0.2.0      13569 Bytes  26.01.2009 09:41:59
VBASE000.VDF  : 7.10.0.0  19875328 Bytes  06.11.2009 13:13:20
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 13:13:20
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.01.2010 22:26:58
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.01.2010 20:06:20
VBASE004.VDF  : 7.10.4.203  1579008 Bytes  05.03.2010 07:32:25
VBASE005.VDF  : 7.10.6.82  2494464 Bytes  15.04.2010 18:50:57
VBASE006.VDF  : 7.10.7.218  2294784 Bytes  02.06.2010 15:01:14
VBASE007.VDF  : 7.10.9.165  4840960 Bytes  23.07.2010 18:38:48
VBASE008.VDF  : 7.10.9.166      2048 Bytes  23.07.2010 18:38:48
VBASE009.VDF  : 7.10.9.167      2048 Bytes  23.07.2010 18:38:48
VBASE010.VDF  : 7.10.9.168      2048 Bytes  23.07.2010 18:38:48
VBASE011.VDF  : 7.10.9.169      2048 Bytes  23.07.2010 18:38:48
VBASE012.VDF  : 7.10.9.170      2048 Bytes  23.07.2010 18:38:48
VBASE013.VDF  : 7.10.9.198    157696 Bytes  26.07.2010 18:38:49
VBASE014.VDF  : 7.10.9.255    997888 Bytes  29.07.2010 18:38:55
VBASE015.VDF  : 7.10.10.28    139264 Bytes  02.08.2010 19:01:54
VBASE016.VDF  : 7.10.10.52    127488 Bytes  03.08.2010 17:55:19
VBASE017.VDF  : 7.10.10.84    137728 Bytes  06.08.2010 19:59:08
VBASE018.VDF  : 7.10.10.107    176640 Bytes  09.08.2010 16:18:28
VBASE019.VDF  : 7.10.10.130    132608 Bytes  10.08.2010 16:18:28
VBASE020.VDF  : 7.10.10.158    131072 Bytes  12.08.2010 18:12:10
VBASE021.VDF  : 7.10.10.190    136704 Bytes  16.08.2010 17:35:04
VBASE022.VDF  : 7.10.10.217    118272 Bytes  19.08.2010 18:09:52
VBASE023.VDF  : 7.10.10.246    130048 Bytes  23.08.2010 19:38:15
VBASE024.VDF  : 7.10.11.11    144896 Bytes  25.08.2010 19:38:15
VBASE025.VDF  : 7.10.11.33    135168 Bytes  27.08.2010 06:31:31
VBASE026.VDF  : 7.10.11.52    148992 Bytes  31.08.2010 17:19:15
VBASE027.VDF  : 7.10.11.75    124928 Bytes  03.09.2010 17:55:56
VBASE028.VDF  : 7.10.11.92    137728 Bytes  06.09.2010 15:39:13
VBASE029.VDF  : 7.10.11.107    166400 Bytes  08.09.2010 15:39:11
VBASE030.VDF  : 7.10.11.108      2048 Bytes  08.09.2010 15:39:11
VBASE031.VDF  : 7.10.11.119    54784 Bytes  09.09.2010 16:02:15
Engineversion  : 8.2.4.50
AEVDF.DLL      : 8.1.2.1      106868 Bytes  31.07.2010 18:39:07
AESCRIPT.DLL  : 8.1.3.44    1364346 Bytes  26.08.2010 19:38:23
AESCN.DLL      : 8.1.6.1      127347 Bytes  13.05.2010 04:46:18
AESBX.DLL      : 8.1.3.1      254324 Bytes  23.04.2010 21:17:57
AERDL.DLL      : 8.1.8.2      614772 Bytes  21.07.2010 19:41:46
AEPACK.DLL    : 8.2.3.5      471412 Bytes  06.08.2010 19:59:19
AEOFFICE.DLL  : 8.1.1.8      201081 Bytes  21.07.2010 19:41:21
AEHEUR.DLL    : 8.1.2.21    2883958 Bytes  03.09.2010 17:56:04
AEHELP.DLL    : 8.1.13.3    242038 Bytes  26.08.2010 19:38:16
AEGEN.DLL      : 8.1.3.20    397684 Bytes  26.08.2010 19:38:15
AEEMU.DLL      : 8.1.2.0      393588 Bytes  23.04.2010 21:17:43
AECORE.DLL    : 8.1.16.2    192887 Bytes  21.07.2010 19:40:21
AEBB.DLL      : 8.1.1.0      53618 Bytes  23.04.2010 21:17:41
AVWINLL.DLL    : 9.0.0.3      18177 Bytes  12.12.2008 07:47:56
AVPREF.DLL    : 9.0.3.0      44289 Bytes  08.10.2009 09:57:48
AVREP.DLL      : 8.0.0.7      159784 Bytes  17.02.2010 19:44:24
AVREG.DLL      : 9.0.0.0      36609 Bytes  07.11.2008 14:25:04
AVARKT.DLL    : 9.0.0.3      292609 Bytes  24.03.2009 14:05:37
AVEVTLOG.DLL  : 9.0.0.7      167169 Bytes  30.01.2009 09:37:04
SQLITE3.DLL    : 3.6.1.0      326401 Bytes  28.01.2009 14:03:49
SMTPLIB.DLL    : 9.2.0.25      28417 Bytes  02.02.2009 07:21:28
NETNT.DLL      : 9.0.0.0      11521 Bytes  07.11.2008 14:41:21
RCIMAGE.DLL    : 9.0.0.25    2438913 Bytes  15.05.2009 14:35:17
RCTEXT.DLL    : 9.0.73.0      87297 Bytes  20.11.2009 13:13:19

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel

Beginn des Suchlaufs: Donnerstag, 9. September 2010  22:01

Der Suchlauf nach versteckten Objekten wird begonnen.
Es wurden '64551' Objekte überprüft, '0' versteckte Objekte wurden gefunden.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'guardgui.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'WsftpCOMHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'cmd.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jucheck.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iPodService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rapimgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'meinsparbuchheute.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PhAutoRun.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AcroTray.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMERunner.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wcescomm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DivXUpdate.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTunesHelper.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AdobeARM.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vVX1000.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PDVDServ.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sm56hlpr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'CLI.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TomTomHOMEService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'o2flash.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'MSCamS32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mDNSResponder.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'bgsvcgen.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'AppleMobileDeviceService.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ati2evxx.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '60' Prozesse mit '60' Modulen durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '81' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\' <470649>
C:\hiberfil.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\pagefile.sys
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
    [HINWEIS]  Bei dieser Datei handelt es sich um eine Windows Systemdatei.
    [HINWEIS]  Es ist in Ordnung, dass diese Datei für die Suche nicht geöffnet werden kann.
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\16\637a2890-264c09a8
  [0] Archivtyp: ZIP
    --> dev/s/Bavarian.class
      [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.em.1
    --> dev/s/Saxonia.class
      [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.em.2
    --> dev/s/Silezia.class
      [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Agent.em.3
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\62\5982fcbe-2c966b60
  [0] Archivtyp: ZIP
    --> AppletX.class
      [FUND]      Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.Agen.NA.1
C:\Dokumente und Einstellungen\Admin\Startmenü\Programme\Autostart\monmvr32.exe
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
C:\Programme\Mozilla Firefox\firefox.exe
    [WARNUNG]  Die Datei konnte nicht geöffnet werden!
C:\System Volume Information\_restore{2F8D9BC5-995E-4BE9-9807-53509A06085D}\RP293\A0050207.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\atmarpc.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\changer.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\fdc.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\flpydisk.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\irenum.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\kbdhid.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\sfloppy.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\streamip.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\LastGood\system32\drivers\usbstor.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD6E.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD73.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD78.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD7C.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD81.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD85.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD99.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLD9D.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
C:\WINDOWS\system32\drivers\OLDA1.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu

Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\16\637a2890-264c09a8
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cc0506b.qua' verschoben!
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Sun\Java\Deployment\cache\6.0\62\5982fcbe-2c966b60
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cc15071.qua' verschoben!
C:\System Volume Information\_restore{2F8D9BC5-995E-4BE9-9807-53509A06085D}\RP293\A0050207.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cb95068.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\atmarpc.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cf650ac.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\changer.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cea50a0.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\fdc.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cec509c.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\flpydisk.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cf950a4.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\irenum.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cee50aa.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\kbdhid.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ced509a.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\sfloppy.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cf5509e.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\streamip.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4cfb50ad.qua' verschoben!
C:\WINDOWS\LastGood\system32\drivers\usbstor.sys
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ceb50ac.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD6E.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4ccd5085.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD73.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f36b7a6.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD78.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f31be6e.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD7C.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f3a9886.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD81.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4f30a636.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD85.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48cd5e66.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD99.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48416316.qua' verschoben!
C:\WINDOWS\system32\drivers\OLD9D.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '48406bde.qua' verschoben!
C:\WINDOWS\system32\drivers\OLDA1.tmp
    [FUND]      Enthält Erkennungsmuster des Rootkits RKIT/Agent.biiu
    [HINWEIS]  Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '484313a6.qua' verschoben!


Ende des Suchlaufs: Donnerstag, 9. September 2010  23:23
Benötigte Zeit:  1:21:24 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  16550 Verzeichnisse wurden überprüft
 583426 Dateien wurden geprüft
    23 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
    21 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      4 Dateien konnten nicht durchsucht werden
 583399 Dateien ohne Befall
  14904 Archive wurden durchsucht
      4 Warnungen
    23 Hinweise
  64551 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

---

--------------------------------------------

Etwas später gelang es mir, das meiste wieder zu reinigen. Anschließend blieb dann nur noch der folgende Virus übrig. Auszug aus dem Lofile.:

--------------------------------------------
--------------------------------------------

Diese konnte ich nur mit Hilfe von "The Avenger" löschen.

Als letztes blieb nur noch der beschriebene RUNDLL Fehler, den ich mittlerweile aber auch mit Hilfe von Trend Mirco HijackThis habe löschen können:

"O4 - HKCU\..\Run: [Jtanakidalosac] rundll32.exe "C:\WINDOWS\ismsti.dll",Startup"

Aber leider war das Befreien meines Rechners so aufwendig, dass ich keine Gewissheit habe, ob es mir wirklich endgültig gelang. Deshalb poste ich noch mal da aktuelle Hijack Logfile. Vielleicht kann mir jmd mit mehr Kompetenz sagen, ob mein Rechner doch noch infiziert ist.

Danke

-------------------------------------------
HiJackthis Logfile:

Code:

---

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:43:03, on 18.09.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17080)
Boot mode: Normal

Running processes:
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\vVX1000.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\DivX\DivX Update\DivXUpdate.exe
C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft ActiveSync\wcescomm.exe
C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe
C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
C:\Programme\WISO\Sparbuch 2010\meinsparbuchheute.exe
C:\PROGRA~1\MI3AA1~1\rapimgr.exe
C:\Programme\Microsoft Office\OFFICE11\OUTLOOK.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\NOTEPAD.EXE
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Downloads\HiJackThis.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = fuelpilot-bosch
O2 - BHO: HelperObject Class - {00C6482D-C502-44C8-8409-FCE54AD9C208} - C:\Programme\TechSmith\SnagIt 7\SnagItBHO.dll
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: SnagIt - {8FF5E183-ABDE-46EB-B09E-D2AAB95CABE3} - C:\Programme\TechSmith\SnagIt 7\SnagItIEAddin.dll
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\CLIStart.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [Muscbrigade] c:\Musicbrigade\Musicbrigade.exe check
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [VX1000] C:\WINDOWS\vVX1000.exe
O4 - HKLM\..\Run: [LifeCam] "C:\Programme\Microsoft LifeCam\LifeExp.exe"
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Programme\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AOLMIcon] C:\ISP\AOL\AOLMIcon.exe
O4 - HKCU\..\Run: [T-Online Hinweis] c:\t-online_hinweis\t-online_fs2.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\wcescomm.exe"
O4 - HKCU\..\Run: [TomTomHOME.exe] "C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe"
O4 - HKCU\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Acrobat Assistant.lnk = C:\Programme\Adobe\Acrobat 5.0\Distillr\AcroTray.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: PHOTOfunSTUDIO HD Edition.lnk = C:\Programme\Panasonic\PHOTOfunSTUDIO\PhAutoRun.exe
O4 - Global Startup: WISO Mein Sparbuch heute.lnk = C:\Programme\WISO\Sparbuch 2010\meinsparbuchheute.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~3\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\PROGRA~1\MI3AA1~1\INetRepl.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1169068222781
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: B's Recorder GOLD Library General Service (bgsvcgen) - B.H.A Corporation - C:\WINDOWS\system32\bgsvcgen.exe
O23 - Service: Dienst "Bonjour" (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - The Firebird Project - C:\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: O2Micro Flash Memory (O2Flash) - Unknown owner - C:\WINDOWS\system32\o2flash.exe
O23 - Service: TomTomHOMEService - TomTom - C:\Programme\TomTom HOME 2\TomTomHOMEService.exe

--
End of file - 8477 bytes

---

--- --- ---

-------------------------------------------

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Danach OTL:

Systemscan mit OTL

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

• Doppelklick auf die OTL.exe
• Vista User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
• Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output
• Unter Extra Registry, wähle bitte Use SafeList
• Klicke nun auf Run Scan links oben
• Wenn der Scan beendet wurde werden 2 Logfiles erstellt
• Poste die Logfiles hier in den Thread.

Hallo,

ich habe nun beide Scans durchgeführt. Durch Malware habe ich nun doch noch drei betroffene Dateien gefunden.

Kann jemand helfen, wie ich nun die letzten drei auch noch eliminieren kann?
Danke

Malware
Nun der Log von OLT (Extras):
OTL Logfile:
OTL Logfile:
--- --- ---

[/code]
Nun der Log von OLT (OLT)
OTL Logfile:
OTL Logfile:
--- --- ---

[/code]

Warum entfernst Du die nicht mit malwarebytes :confused:

Hi,
sorry für die dumme Frage, ich habe die drei über malwarebytes gelöscht.

Was ich eigentlich meinte, kann mir jemand sagen und helfen, warum ich mit anderen Programmen dauernd neue Viren/Trojaner finde. Da muss es doch in meinem System noch irgendwas geben, was sich hartnäckig gegen Virenprogramme wehrt.

Und so meinte ich eigentlich, ob jemand da noch einen Hinweis aus meinen Logfiles findet oder ob jemand sagen kann, die sehen jetzt eigentlich ganz gut - vermutlich virenfrei

Sorry und Danke
Jetzt

Nun bleib doch mal geduldig und geschmeidig!! :wtf:
Keiner hat gesagt, dass eine Bereinigung in 3 Minuten erledigt sei! Außerdem musst Du schon posten, was zwischenzeitlich gefunden wird!

Hi, sorry, ich wollte nicht ungeduldig erscheinen, ich hatte mich nur über meine missverständlichen Äußerungen geärgert, denn nun (siehe Forenregeln) hatten wir eine "unsinnige Korrespondenz.

Also ich lasse jetzt noch mal malwarebytes laufen. Mit den anderen Programme (Antivir und hijackthis) nicht mehr gefunden.

Soll ich auch OTL nochmal laufen lassen?

Danke

nun habe ich mit Malwarebytes noch einen Suchlauf gestartet. Gefunden hat er nichts, hier mal das Logfile.

Darf ich mich jetzt glücklich schätzen und befreit fühlen?

Danke

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hallo Arne,

hier das Logfile.
Aber leider scheint OTL nicht alles gefunden zu haben.
Sieht mein Rechner nun besser aus?

Woher weißt Du/man, dass man ein paar bestimmte Zeilen aus dem Logfile auf diesen oder jenen Virus hinweisen? Ist das nur Erfahrung oder gibt es da Indizien?

Danke

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

• Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

• Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

• Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

• Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
  Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

• Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo,

hat alles soweit funktioniert. Allerdings habe ich Antivir wieder gestartet, bevor ich Firefox wieder geöffnet habe, ich hoffe, dass war okay.


Combofix Logfile:
--- --- ---

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo Arne,

habe alles durchgeführt.
Drei Fragen, bevor Du mir vegebens hilfst:
Ich darf den befallenen Rechner verwenden und auch ins Internet, auf diese Forum gehen oder muss ich das mit einem zweiten Rechner tun oder frisst sich dadurch der Virus immer weiter?
Ich gehe in der Regel vom Netz, wenn Du mir sagst, ich muss Antivir und die Firewall deaktivieren, wenn ich OTL oder ähnliches laufen lasse - oder benötigt z.B. OTL das Internet?
Wenn OTL meinen Rechner neustartet, sagt OTL "keine weiteren Programme starten" - was ist denn mit den Programmen aus dem Autostart, sollte ich die zuvor alles deaktiveren?

Danke

Combofix Logfile:
--- --- ---

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus

Anschließend den bootkit_remover herunterladen. Entpacke das Tool in einen eigenen Ordner auf dem Desktop und führe in diesem Ordner die Datei remove.exe aus.

Wenn Du Windows Vista oder Windows 7 verwendest, musst Du die remover.exe über ein Rechtsklick => als Administrator ausführen

Ein schwarzes Fenster wird sich öffnen und automatisch nach bösartigen Veränderungen im MBR suchen.
Poste dann bitte, ob es Veränderungen gibt und wenn ja in welchem device. Am besten alles posten was die remover.exe ausgibt.

Hi, also das Logfille von GMER:

GMER Logfile:
--- --- ---

OSAM Logfile:
--- --- ---

Hier nun noch alles was der Remover rausgelassen hat:

Downloade Dir bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.

• Doppelklick auf die MBRCheck.exe.
  Vista und Win7 User mit Rechtsklick "als Administrator starten"
• Das Tool braucht nur eine Sekunde.
• Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.

Poste mir bitte den Inhalt des .txt Dokumentes

Hier das File.

Sieht ok aus. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Hi noch läuft mein Malwarebytes Fullscan.
Aber es hat schon zwei infizierte Objekte gefunden und mein Antivir hat angeschlagen und hat in der A0052301.dll eine TR/Crypt.XPACK.Gen3 gefunden (Habe es von Antivir löschen lassen)

Ich poste morgen die beiden Logs, aber irgendwie bin ich etwas niedergeschlagen.

Das hört sich nach Überresten in System Volume Information an. War doch der Ordner oder? :rolleyes:

Wenn ja: Deaktiviere die Systemwiederherstellung, im Verlauf der Infektion wurden auch Malwaredateien in Wiederherstellungspunkten mitgesichert - die sind alle nun unbrauchbar, da ein Zurücksetzen des Systems durch einen Wiederherstellungspunkt wahrscheinlich wieder eine Infektion nach sich ziehen würde.

Ja, war der Ordner.
Habe nun die Systemwiederherstellung deaktiviert.
Lasse Malwarebytes weiter laufen, morgen poste ich die Ergebnisse.

Jetzt doch wieder etwas hoffnungsvoller....

Hier der Log vom Malwarebytes Fullscan - vor dem Löschen der vier gefundenen Ojekte:
Hier der Log nach dem Löschen
Wie gesagt in der A0052301.dll gefundenen TR/Crypt.XPACK.Gen3 habe ich von Antivir löschen lassen und die Systemwiederherstellung deaktiviert.

Ok. Kommt SASW auch noch?

Ja, hier der Log von SUPERAntiSpyware:

Hi Cosinus,

sieht gut aus, oder? Darf ich mich befreit fühlen?

Danke Dir sehr für Deine Hilfe!

Sieht ok aus, da wurden nur Cookies gefunden.
Noch Probleme oder weitere Funde in der Zwischenzeit?

Hi Cosinus,

nein, mein Antivir hat nichts mehr gefunden und auch die anderen Wächter habe nicht angeschlagen.

Dir vielen Dank für Deine Hilfe.

Noch ein paar Fragen zum Schluss:
War mein System schlimm befangen? Was für ein Trojaner war es? Muss ich damit rechnen, dass ungewollt Informationen versendet worden sind? Ich surfe zukünftig wieder mit einem eingeschränkten Benutzerkonto, aber wieso hat mich der Virus befallen? Ich hatte ja einen Virenschutz - ich surfte ganz normal als ich sehr kurz das Java Symbol aufblitzen sah, da befürchtete ich schon einen Virus, zwei, drei Sekunden später schlug man Antivir ca 15 Funde an.

Also vielen Dank, leider habe ich nichts verstanden, wie Du mein System befreit hast, insofern werde ich auch ein etwaiges nächstes Mal auf Hilfe angewiesen sein.
:dankeschoen:

Dann wären wir durch! :abklatsch:

Bitte abschließend die Updates prüfen, unten mein Leitfaden dazu.
Für noch mehr Sicherheit solltest Du nach der beseitigten Infektion auch möglichst alle Passwörter ändern.


Microsoftupdate

Windows XP: Besuch mit dem IE die MS-Updateseite und lass Dir alle wichtigen Updates installieren.

Windows Vista/7: Anleitung Windows-Update



PDF-Reader aktualisieren
Dein Adobe Reader ist nicht aktuell, was ein großes Sicherheitsrisiko darstellt. Du solltest daher besser die alte Version über Systemsteuerung => Software deinstallieren, indem Du dort auf "Adobe Reader x.0" klickst und das Programm entfernst.

Ich empfehle einen alternativen PDF-Reader wie SumatraPDF oder Foxit PDF Reader, beide sind sehr viel schlanker und flotter als der AdobeReader.

Bitte überprüf bei der Gelegenheit auch die Aktualität des Flashplayers, hier der direkte Downloadlink => http://filepony.de/?q=Flash+Player


Java-Update
Veraltete Java-Installationen sind ein Sicherheitsrisiko, daher solltest Du die alten Versionen löschen (falls vorhanden, am besten mit JavaRa) und auf die neuste aktualisieren. Beende dazu alle Programme (v.a. die Browser), klick danach auf Start, Systemsteuerung, Software und deinstalliere darüber alle aufgelisteten Java-Versionen. Lad Dir danach von hier das aktuelle Java SE Runtime Environment (JRE) herunter und installiere es.