Trojaner-Board - Internet Explorer leitet auf mir unbekannte Seiten um

Trojaner-Board (https://www.trojaner-board.de/)

- Log-Analyse und Auswertung (https://www.trojaner-board.de/log-analyse-auswertung/)

- - Internet Explorer leitet auf mir unbekannte Seiten um (https://www.trojaner-board.de/95907-internet-explorer-leitet-mir-unbekannte-seiten-um.html)

Internet Explorer leitet auf mir unbekannte Seiten um

Hallo!

Vor kurzem befand ich mich mit dem Internet Explorer im Netz.
Da dessen Sicherheitseinstellungen nur mittelhoch waren, habe ich mir dabei einen Virus oder Wurm eingefangen.
Der erste Hinweis darauf war, daß sich das Sicherheitscenter von Windows meldete und im Hintergrund irgendein merkwürdiges Programm mit dem Hinweis startete, daß mein Virenscanner oder meine Virendatenbank nicht mehr auf dem neuesten Stand sei.
Wie es dann weiter ging, weiß ich nicht mehr ganz genau.
Der Task-Manager zeigte während des Surfens an, daß drei Programme laufen, die ich nicht kenne (0.40246883347902984.EXE, 0.578311082070922.EXE, 0.7389864695832714.EXE). Außerdem verlangsamte sich mein Computer dabei sehr stark, und ich wurde ständig auf mir unbekannte Seiten gelenkt.
Ach ja, und bevor ich es vergesse, ganz zu Anfang konnte ich auch keine "Exe-Dateien" mehr starten.

Nun meine Fragen: Um welche "infektion" handelt es sich denn nun, und wie bekomme sie wieder weg?

Ein OTL-Logfile habe ich hochgealden (ohne "Extras").

Was ist mit Malwarebytes? Ausgeführt oder ging das nicht?

Hallo!
Das Programm Malwarebytes hat etwas gefunden, und zwar die Sache mit dem Sicherheitscenter (in der Registry) und irgendwelche Trojaner oder Viren im Ordner "System Volume Information". Dies wurde schon entfernt bzw. repariert!
Allerdings öffnet sich der Internet Explorer immer noch beim Surfen ungewollt ein zweites Mal und zeigt mir irgendeine komische Seite.
Und das Tool "Trojan Remover" hat auch etwas gefunden, nämlich das hier:

C:\WINDOWS\system32\svchost.exe
HKLM\SYSTEM\CurrentControlSet\Services\eblqhxgq
ImagePath

C:\WINDOWS\system32\svchost.exe
HKLM\SYSTEM\CurrentControlSet\Services\pvcyjdfw
ImagePath

Kannst Du/ Könnt Ihr hiermit noch etwas anfangen?

Warum beschreibst du Funde, wenn du das Log posten kannst? Das ist viel effektiver.
Poste alle Logs von Malwarebytes, wenn mehrere vorhanden sind.

Hallo!
Nun habe ich versucht, alle erforderlichen Logs zusammenzutragen.
Allerdings ist es mir nicht gelungen, GMER bis zum Ende laufen zu lassen, denn es stoppte aus unerfindlichen Gründen irgendwann (Absturz?).
Vielleicht reichen die Informationen aber, um jetzt Hilfe zu bekommen.

Vielen Dank vorab

Zitat:

Art des Suchlaufs: Quick-Scan

Bitte routinemäßig einen Vollscan mit malwarebytes machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

Hallo!
Ich habe nun noch einmal eine Aktualisierung der Virendatenbank von Malwarebytes vorgenommen. Einen vollständigen Suchlauf habe ich auch ausgeführt, jedoch mit keinem Ergebnis. Allerding funktioniert jetzt das Programm GMER, so daß ich hierzu das aktuelle Logfile hochladen kann.

Vielleicht sind folgende Hinweise noch von Interesse:
Als die Sache mit der "Infektion" anfing, meldete sich das "Windows Security Center 2011", welches einen automatischen und natürlich falschen Scan durchführte.
Aktiviere ich den "Schutz" von Malwarebytes, meldet sich das Programm beim Surfen ständig damit, daß irgendwelche Seiten geblockt werden.
Habe ich einen neuen, noch unbekannten Virus?

MfG

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix

Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.

http://saved.im/mtm0nzyzmzd5/cofi.jpg

Dann folgende Anleitung durchlesen und abarbeiten -> CCleaner Systembereinigung

Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.

Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.

Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.

Wichtiger Hinweis:

Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Hallo!
Vielen Dank für die Hilfe bislang.
Den CCleaner habe ich verwendet, allerdings auch schon einige Male vorher. Nun geht es darum, das neue Logfile auszuwerten, denn ich kann damit nur insofern etwas anfangen, daß es mir zeigt, welche Überbleibsel der von MIR in der Vergangenheit installierten Software und Hardware irgendwo noch vorhanden sind. Wie kriege ich die eigentlich weg?
Der Virenscanner "AVG" ist übrigens vor dem Suchlauf deinstalliert worden. Warum der noch namentlich auftaucht, weiß ich nicht.
Auch habe ich den Eraser einmal laufen lassen, bevor ich mich an Euch gewendet habe. Behindert das eventuell die Analyse?

Mfg

Combofix Logfile:

Code:

ComboFix 11-03-01.03 - user 04.03.2011  11:18:08.1.1 - x86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.511.293 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\user\Desktop\cofi.exe

AV: AVG 7.5.560 *Enabled/Updated* {41564737-3200-1071-989B-0000E87B4FB1}

.
  ADS - system32: deleted 12 bytes in 1 streams. 
  ADS - WINDOWS: deleted 48 bytes in 1 streams. 
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

c:\dokumente und einstellungen\user\Anwendungsdaten\ezpinst.log

c:\windows\desktop
 

c:\windows\system32\Version.dll . . . ist infiziert!!
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_NPF

-------\Service_NPF
 
 

(((((((((((((((((((((((   Dateien erstellt von 2011-02-04 bis 2011-03-04  ))))))))))))))))))))))))))))))

.
 

2011-03-03 13:34 . 2011-03-03 13:34        --------        d-----w-        c:\windows\system32\wbem\Repository

2011-03-03 12:34 . 2011-03-03 15:12        --------        d-----w-        c:\programme\Eusing Free Registry Cleaner

2011-02-22 20:43 . 2011-02-22 20:43        --------        d-----w-        c:\programme\SuperScan

2011-02-22 18:50 . 2010-12-20 17:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-02-22 18:49 . 2011-02-22 18:50        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-02-22 18:49 . 2010-12-20 17:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-02-22 17:37 . 2011-02-22 17:37        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Anwendungsdaten\AVG7

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\user\Anwendungsdaten\Malwarebytes

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-02-19 15:21 . 2006-05-25 14:52        162304        ----a-w-        c:\windows\system32\ztvunrar36.dll

2011-02-19 15:21 . 2005-08-26 00:50        77312        ----a-w-        c:\windows\system32\ztvunace26.dll

2011-02-19 15:21 . 2006-06-19 12:01        69632        ----a-w-        c:\windows\system32\ztvcabinet.dll

2011-02-19 15:21 . 2003-02-02 19:06        153088        ----a-w-        c:\windows\system32\UNRAR3.dll

2011-02-19 15:21 . 2002-03-06 00:00        75264        ----a-w-        c:\windows\system32\unacev2.dll
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-01-24 23:35 . 2011-01-24 23:35        2560        ----a-w-        c:\windows\_MSRSTRT.EXE

2010-12-04 12:52 . 2010-08-08 20:46        47360        ----a-w-        c:\windows\system32\drivers\pcouffin.sys

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NBJ"="c:\programme\Ahead\Nero BackItUp\NBJ.exe" [2005-07-14 1961984]

"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TrackPointSrv"="c:\programme\Lenovo\TrackPoint\tp4serv.exe" [2007-11-08 92960]

"TP4EX"="tp4ex.exe" [2005-10-17 65536]

"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2006-01-31 409600]

"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2006-01-31 98304]

"TPHOTKEY"="c:\progra~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [2006-02-01 94208]

"Promon.exe"="Promon.exe" [2001-08-09 61440]

"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 39792]

"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2010-12-20 443728]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]

2006-02-01 14:09        28672        ----a-w-        c:\windows\system32\notifyf2.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]

2006-02-01 14:09        24576        ----a-w-        c:\windows\system32\tphklock.dll
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Dokumente und Einstellungen\\user\\desktop\\Programme, etc\\aircon\\bin\\aircon.exe"=
 

R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [22.02.2011 19:50 363344]

R2 tp4serv;tp4serv;c:\programme\Lenovo\TrackPoint\tp4servinst.exe [08.11.2007 10:56 35616]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [22.02.2011 19:49 20952]

R3 Tp4Track;PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [26.04.2007 21:13 22568]

S2 eblqhxgq;Monitor Network;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S2 pvcyjdfw;Security System;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S3 CV2K1;CommView Network Monitor;c:\windows\system32\DRIVERS\cv2k1.sys --> c:\windows\system32\DRIVERS\cv2k1.sys [?]

S3 EWSASERV;EWSA Control Service; [x]

S3 mxInsMon;mxInsMon;\??\c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys --> c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys [?]

S3 SPOTSp50;SPOTSp50 NDIS Protocol Driver;c:\windows\system32\drivers\SPOTSp50.sys [20.04.2007 10:47 17664]

S3 tap0801;TAP-Win32 Adapter V8;c:\windows\system32\drivers\tap0801.sys [01.10.2006 13:37 26624]

S3 TS_AR5416;[CommView] Atheros AR5008 Wireless Network Adapter Service;c:\windows\system32\DRIVERS\ts_athw.sys --> c:\windows\system32\DRIVERS\ts_athw.sys [?]

S3 WZCOOK;WEP/WPA-PMK key recovery service; [x]

S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [19.08.2008 01:50 717296]
 

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs

pvcyjdfw

eblqhxgq

.

.

------- Zusätzlicher Suchlauf -------

.

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

uStart Page = hxxp://www.google.de/

.

- - - - Entfernte verwaiste Registrierungseinträge - - - -
 

WebBrowser-{ECDEE021-0D17-467F-A1FF-C7A115230949} - (no file)

WebBrowser-{266FCDCA-7BB3-4DA7-B3BF-F845DEA2EBD6} - (no file)

WebBrowser-{5B291E6C-9A74-4034-971B-A4B007A0B315} - (no file)

Notify-ACNotify - ACNotify.dll
 
 
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-03-04 11:28

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------
 

[HKEY_USERS\S-1-5-21-1606980848-484763869-1708537768-1003\Software\Microsoft\SystemCertificates\AddressBook*]

@Allowed: (Read) (RestrictedCode)

@Allowed: (Read) (RestrictedCode)

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'winlogon.exe'(720)

c:\programme\ThinkPad\ConnectUtilities\ACNotify.dll

c:\programme\ThinkPad\ConnectUtilities\AcSvcStub.dll

c:\programme\ThinkPad\ConnectUtilities\AcLocSettings.dll

c:\programme\ThinkPad\ConnectUtilities\ACHelper.dll

c:\windows\system32\tphklock.dll
 

- - - - - - - > 'explorer.exe'(3468)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\ibmpmsvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\windows\system32\ni_nic.exe

c:\windows\system32\NMSSvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe

c:\programme\Windows Media Player\WMPNetwk.exe

c:\windows\system32\wscntfy.exe

c:\windows\system32\Promon.exe

c:\programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-03-04  11:34:10 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-03-04 10:34
 

Vor Suchlauf: 9 Verzeichnis(se), 11.247.742.976 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 11.139.108.864 Bytes frei
 

- - End Of File - - 66D2CFFC83D6C0A0616E53063AF813D8

Zitat:

Wie kriege ich die eigentlich weg?

Unter Windows wahrscheinlich nie vernünftig. Nur wenn man vor der Installation on Software ein Snapshot der Registry erstellt, zB mit Regshot, jeweils vor und nach der Installation der Software. Dann kann man hinterher vergleichen was verändert, gelöscht und neu angelegt wurde.

Von Registry Cleanern solltest du die Finger lassen, es muss nur ein falscher Schlüssel oder Wert gelöscht werden und dein Windows ist hin!

Combofix - Scripten

1. Starte das Notepad (Start / Ausführen / notepad[Enter])

2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein.

Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!!

Code:

Netsvc::

pvcyjdfw

eblqhxgq

3. Speichere im Notepad als CFScript.txt auf dem Desktop.

4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall.
(Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !)

5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.

http://users.pandora.be/bluepatchy/m...s/CFScript.gif

6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien:
Combofix.txt

Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!

Hallo!

Ich habe das Script nun nach Anleitung verwandt und hoffe, daß dabei alles richtig abgelaufen ist. Das Datum des Systems
mußte ich ändern, da ansonsten ComboFix vermutlich nicht anwandfrei seine Arbeit getan hätte.
Ich denke, daß irgendwelche "Reste" aber noch zurückgeblieben sind, oder?
Ein aktuelles Abbild der laufenden Prozesse liegt als Anhang bei; vielleicht ist es nützlich?
Was kann oder darf ich eigentlich löschen, Wenn ComboFix nicht mehr gebraucht wird?

MfG

Combofix Logfile:

Code:

ComboFix 11-03-01.03 - user 07.03.2011   1:24.2.1 - x86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.511.314 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\user\Desktop\cofi.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\user\Desktop\CFScript.txt

AV: AVG 7.5.560 *Enabled/Updated* {41564737-3200-1071-989B-0000E87B4FB1}

.
 

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.
 

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.
 

-------\Legacy_NPF
 
 

(((((((((((((((((((((((   Dateien erstellt von 2011-02-07 bis 2011-03-07  ))))))))))))))))))))))))))))))

.
 

2011-03-17 00:17 . 2011-03-17 00:17        --------        d-----w-        c:\windows\system32\wbem\Repository

2011-03-03 12:34 . 2011-03-03 15:12        --------        d-----w-        c:\programme\Eusing Free Registry Cleaner

2011-02-22 20:43 . 2011-02-22 20:43        --------        d-----w-        c:\programme\SuperScan

2011-02-22 18:50 . 2010-12-20 17:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-02-22 18:49 . 2011-02-22 18:50        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-02-22 18:49 . 2010-12-20 17:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-02-22 17:37 . 2011-02-22 17:37        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Anwendungsdaten\AVG7

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\user\Anwendungsdaten\Malwarebytes

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-02-19 15:21 . 2006-05-25 14:52        162304        ----a-w-        c:\windows\system32\ztvunrar36.dll

2011-02-19 15:21 . 2005-08-26 00:50        77312        ----a-w-        c:\windows\system32\ztvunace26.dll

2011-02-19 15:21 . 2006-06-19 12:01        69632        ----a-w-        c:\windows\system32\ztvcabinet.dll

2011-02-19 15:21 . 2003-02-02 19:06        153088        ----a-w-        c:\windows\system32\UNRAR3.dll

2011-02-19 15:21 . 2002-03-06 00:00        75264        ----a-w-        c:\windows\system32\unacev2.dll
 

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-01-24 23:35 . 2011-01-24 23:35        2560        ----a-w-        c:\windows\_MSRSTRT.EXE

.
 

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4
 

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NBJ"="c:\programme\Ahead\Nero BackItUp\NBJ.exe" [2005-07-14 1961984]

"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TrackPointSrv"="c:\programme\Lenovo\TrackPoint\tp4serv.exe" [2007-11-08 92960]

"TP4EX"="tp4ex.exe" [2005-10-17 65536]

"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2006-01-31 409600]

"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2006-01-31 98304]

"TPHOTKEY"="c:\progra~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [2006-02-01 94208]

"Promon.exe"="Promon.exe" [2001-08-09 61440]

"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 39792]

"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2010-12-20 443728]
 

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]

2006-02-01 14:09        28672        ----a-w-        c:\windows\system32\notifyf2.dll
 

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]

2006-02-01 14:09        24576        ----a-w-        c:\windows\system32\tphklock.dll
 

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"
 

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Dokumente und Einstellungen\\user\\desktop\\Programme, etc\\aircon\\bin\\aircon.exe"=
 

R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [22.02.2011 19:50 363344]

R2 tp4serv;tp4serv;c:\programme\Lenovo\TrackPoint\tp4servinst.exe [08.11.2007 10:56 35616]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [22.02.2011 19:49 20952]

R3 Tp4Track;PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [26.04.2007 21:13 22568]

S2 eblqhxgq;Monitor Network;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S2 pvcyjdfw;Security System;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S3 CV2K1;CommView Network Monitor;c:\windows\system32\DRIVERS\cv2k1.sys --> c:\windows\system32\DRIVERS\cv2k1.sys [?]

S3 EWSASERV;EWSA Control Service; [x]

S3 mxInsMon;mxInsMon;\??\c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys --> c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys [?]

S3 SPOTSp50;SPOTSp50 NDIS Protocol Driver;c:\windows\system32\drivers\SPOTSp50.sys [20.04.2007 10:47 17664]

S3 tap0801;TAP-Win32 Adapter V8;c:\windows\system32\drivers\tap0801.sys [01.10.2006 13:37 26624]

S3 TS_AR5416;[CommView] Atheros AR5008 Wireless Network Adapter Service;c:\windows\system32\DRIVERS\ts_athw.sys --> c:\windows\system32\DRIVERS\ts_athw.sys [?]

S3 WZCOOK;WEP/WPA-PMK key recovery service; [x]

S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [19.08.2008 01:50 717296]

.

.

------- Zusätzlicher Suchlauf -------

.

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

uStart Page = hxxp://www.google.de/

.
 

**************************************************************************
 

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-03-07 01:34

Windows 5.1.2600 Service Pack 2 NTFS
 

Scanne versteckte Prozesse... 
 

Scanne versteckte Autostarteinträge... 
 

Scanne versteckte Dateien... 
 

Scan erfolgreich abgeschlossen

versteckte Dateien: 0
 

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------
 

[HKEY_USERS\S-1-5-21-1606980848-484763869-1708537768-1003\Software\Microsoft\SystemCertificates\AddressBook*]

@Allowed: (Read) (RestrictedCode)

@Allowed: (Read) (RestrictedCode)

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
 

- - - - - - - > 'winlogon.exe'(744)

c:\windows\system32\tphklock.dll
 

- - - - - - - > 'explorer.exe'(2224)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\ibmpmsvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\windows\system32\ni_nic.exe

c:\windows\system32\NMSSvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe

c:\windows\system32\wscntfy.exe

c:\programme\Windows Media Player\WMPNetwk.exe

c:\windows\system32\Promon.exe

c:\programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-03-07  01:40:49 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-03-07 00:40

ComboFix2.txt  2011-03-17 00:06
 

Vor Suchlauf: 10 Verzeichnis(se), 12.074.348.544 Bytes frei

Nach Suchlauf: 11 Verzeichnis(se), 12.064.124.928 Bytes frei
 

- - End Of File - - 516C26211832392E69A665E435A5712B

--- --- ---

Wieso musstest du das Datum ändern? Wenn deine cofi.exe zu alt ist, hättest du eine neue runteladen müssen...

Wieso denn das?
Es wurden doch Änderungen vorgenommen!
Soll ich jetzt noch einmal von vorne anfangen?
Wie geht denn das überhaupt?

Mach es bitte mit einer neue cofi.exe nochmal.

Hallo!

Okay, der erste "Schock" ist überwunden, und ich habe nun noch einmal ComboFix (diesmal in der Version vom 18. 3. 2011) mit dem von Dir veröffentlichten Skript verwendet.
Zuvor habe ich natürlich meinen Computer zu einem Zeitpunkt wiederhergestellt, als noch keine Änderungen durch dieses Programm vorgenommen worden sind.

Das Resultat liegt bei.

MfG
pKm

Combofix Logfile:

Code:

ComboFix 11-03-18.03 - user 19.03.2011  15:06:10.2.1 - x86

Microsoft Windows XP Professional  5.1.2600.2.1252.49.1031.18.511.301 [GMT 1:00]

ausgeführt von:: c:\dokumente und einstellungen\user\Desktop\cofi.exe

Benutzte Befehlsschalter :: c:\dokumente und einstellungen\user\Desktop\CFScript.txt

AV: AVG 7.5.560 *Enabled/Updated* {41564737-3200-1071-989B-0000E87B4FB1}

.

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))

.

.

.

(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))

.

.

-------\Legacy_NPF

.

.

(((((((((((((((((((((((   Dateien erstellt von 2011-02-19 bis 2011-03-19  ))))))))))))))))))))))))))))))

.

.

2011-03-19 13:54 . 2011-03-19 13:54        --------        d-----w-        c:\windows\system32\wbem\Repository

2011-03-07 12:20 . 2011-03-07 12:20        --------        d-----w-        c:\programme\IrfanView

2011-03-03 12:34 . 2011-03-03 15:12        --------        d-----w-        c:\programme\Eusing Free Registry Cleaner

2011-02-22 20:43 . 2011-02-22 20:43        --------        d-----w-        c:\programme\SuperScan

2011-02-22 18:50 . 2010-12-20 17:09        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys

2011-02-22 18:49 . 2011-02-22 18:50        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware

2011-02-22 18:49 . 2010-12-20 17:08        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys

2011-02-22 17:37 . 2011-02-22 17:37        --------        d-----w-        c:\dokumente und einstellungen\LocalService\Anwendungsdaten\AVG7

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\user\Anwendungsdaten\Malwarebytes

2011-02-21 17:05 . 2011-02-21 17:05        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes

2011-02-19 15:21 . 2006-05-25 14:52        162304        ----a-w-        c:\windows\system32\ztvunrar36.dll

2011-02-19 15:21 . 2005-08-26 00:50        77312        ----a-w-        c:\windows\system32\ztvunace26.dll

2011-02-19 15:21 . 2006-06-19 12:01        69632        ----a-w-        c:\windows\system32\ztvcabinet.dll

2011-02-19 15:21 . 2003-02-02 19:06        153088        ----a-w-        c:\windows\system32\UNRAR3.dll

2011-02-19 15:21 . 2002-03-06 00:00        75264        ----a-w-        c:\windows\system32\unacev2.dll

.

.

((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))

.

2011-01-24 23:35 . 2011-01-24 23:35        2560        ----a-w-        c:\windows\_MSRSTRT.EXE

.

.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))

.

.

*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 

REGEDIT4

.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"NBJ"="c:\programme\Ahead\Nero BackItUp\NBJ.exe" [2005-07-14 1961984]

"WMPNSCFG"="c:\programme\Windows Media Player\WMPNSCFG.exe" [2006-11-03 204288]

.

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]

"TrackPointSrv"="c:\programme\Lenovo\TrackPoint\tp4serv.exe" [2007-11-08 92960]

"TP4EX"="tp4ex.exe" [2005-10-17 65536]

"ACTray"="c:\programme\ThinkPad\ConnectUtilities\ACTray.exe" [2006-01-31 409600]

"ACWLIcon"="c:\programme\ThinkPad\ConnectUtilities\ACWLIcon.exe" [2006-01-31 98304]

"TPHOTKEY"="c:\progra~1\Lenovo\PkgMgr\HOTKEY\TPHKMGR.exe" [2006-02-01 94208]

"Promon.exe"="Promon.exe" [2001-08-09 61440]

"SunJavaUpdateSched"="c:\programme\Java\jre1.6.0_07\bin\jusched.exe" [2008-06-10 144784]

"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]

"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2007-10-10 39792]

"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2010-12-20 443728]

.

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]

"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tpfnf2]

2006-02-01 14:09        28672        ----a-w-        c:\windows\system32\notifyf2.dll

.

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\tphotkey]

2006-02-01 14:09        24576        ----a-w-        c:\windows\system32\tphklock.dll

.

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SafeBoot\Minimal\Wdf01000.sys]

@="Driver"

.

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]

"%windir%\\system32\\sessmgr.exe"=

"c:\\Dokumente und Einstellungen\\user\\desktop\\Programme, etc\\aircon\\bin\\aircon.exe"=

.

R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [22.02.2011 19:50 363344]

R2 tp4serv;tp4serv;c:\programme\Lenovo\TrackPoint\tp4servinst.exe [08.11.2007 10:56 35616]

R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [22.02.2011 19:49 20952]

R3 Tp4Track;PS/2 TrackPoint Driver;c:\windows\system32\drivers\tp4track.sys [26.04.2007 21:13 22568]

S2 eblqhxgq;Monitor Network;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S2 pvcyjdfw;Security System;c:\windows\system32\svchost.exe -k netsvcs [04.08.2004 13:00 14336]

S3 CV2K1;CommView Network Monitor;c:\windows\system32\DRIVERS\cv2k1.sys --> c:\windows\system32\DRIVERS\cv2k1.sys [?]

S3 EWSASERV;EWSA Control Service; [x]

S3 mxInsMon;mxInsMon;\??\c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys --> c:\progra~1\Ontrack\SYSTEM~1\mxInsMon.sys [?]

S3 SPOTSp50;SPOTSp50 NDIS Protocol Driver;c:\windows\system32\drivers\SPOTSp50.sys [20.04.2007 10:47 17664]

S3 tap0801;TAP-Win32 Adapter V8;c:\windows\system32\drivers\tap0801.sys [01.10.2006 13:37 26624]

S3 TS_AR5416;[CommView] Atheros AR5008 Wireless Network Adapter Service;c:\windows\system32\DRIVERS\ts_athw.sys --> c:\windows\system32\DRIVERS\ts_athw.sys [?]

S3 WZCOOK;WEP/WPA-PMK key recovery service; [x]

S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [19.08.2008 01:50 717296]

.

.

------- Zusätzlicher Suchlauf -------

.

uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8

uStart Page = hxxp://www.google.de/

.

.

**************************************************************************

.

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net

Rootkit scan 2011-03-19 15:15

Windows 5.1.2600 Service Pack 2 NTFS

.

Scanne versteckte Prozesse... 

.

Scanne versteckte Autostarteinträge... 

.

Scanne versteckte Dateien... 

.

Scan erfolgreich abgeschlossen

versteckte Dateien: 0

.

**************************************************************************

.

--------------------- Gesperrte Registrierungsschluessel ---------------------

.

[HKEY_USERS\S-1-5-21-1606980848-484763869-1708537768-1003\Software\Microsoft\SystemCertificates\AddressBook*]

@Allowed: (Read) (RestrictedCode)

@Allowed: (Read) (RestrictedCode)

.

--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

.

- - - - - - - > 'winlogon.exe'(744)

c:\windows\system32\tphklock.dll

.

- - - - - - - > 'explorer.exe'(3712)

c:\windows\system32\WPDShServiceObj.dll

c:\windows\system32\PortableDeviceTypes.dll

c:\windows\system32\PortableDeviceApi.dll

.

------------------------ Weitere laufende Prozesse ------------------------

.

c:\windows\system32\ibmpmsvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcPrfMgrSvc.exe

c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE

c:\windows\system32\ni_nic.exe

c:\windows\system32\NMSSvc.exe

c:\programme\ThinkPad\ConnectUtilities\AcSvc.exe

c:\programme\Windows Media Player\WMPNetwk.exe

c:\windows\system32\wscntfy.exe

c:\programme\Lenovo\PkgMgr\HOTKEY\TPONSCR.exe

c:\windows\system32\Promon.exe

.

**************************************************************************

.

Zeit der Fertigstellung: 2011-03-19  15:21:53 - PC wurde neu gestartet

ComboFix-quarantined-files.txt  2011-03-19 14:21

ComboFix2.txt  2011-03-17 00:06

.

Vor Suchlauf: 11 Verzeichnis(se), 11.774.496.768 Bytes frei

Nach Suchlauf: 13 Verzeichnis(se), 11.722.993.664 Bytes frei

.

- - End Of File - - BB2985DC5F0EC17C59E4B598198A83BC

--- --- ---