Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Suchmaschinen leiten auf windowsclick... (https://www.trojaner-board.de/70996-suchmaschinen-leiten-windowsclick.html)

JayJayS 14.03.2009 01:57
Suchmaschinen leiten auf windowsclick...
 
Hallo

Gestern Mittag surfte ich im Internet als mich auf einmal Spybot S&D anschrie, das ein registry-Eintrag in der Winlogon geändert werden soll. Ich verweigerte immer und immer wieder. Das abschalten des Browsers, der Internetverbindung und auch des Rechners brachte nix. Nach dem Neustart wurden Suchergebnissseiten über die Toolbar von google und yahoo nur als weiße Seite dargestellt. Der Quelltext zeigte ein absolut positioniertes div von 3000px größe mit weißem Hintergrund. Bei der Direktsuche auf den Suchmaschinenseiten funktioniert es aber. Jedoch werden alle Suchergebnislinks über windowscklick geleitet und zeigt kommerzielle Seiten an, die nichts mit dem eigentlichen Suchergebnis zu tun haben.
Die aktuelle AntiVir-Version brachte folgendes Ergebnis:

Zitat:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Samstag, 14. März 2009 00:05

Es wird nach 1297221 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 3) [5.1.2600]
Boot Modus: Normal gebootet
Benutzername: SYSTEM
Computername: USER

Versionsinformationen:
BUILD.DAT : 8.2.0.337 16934 Bytes 18.11.2008 13:01:00
AVSCAN.EXE : 8.1.4.10 315649 Bytes 27.11.2008 21:02:28
AVSCAN.DLL : 8.1.4.0 48897 Bytes 18.07.2008 10:06:15
LUKE.DLL : 8.1.4.5 164097 Bytes 18.07.2008 10:06:15
LUKERES.DLL : 8.1.4.0 12545 Bytes 18.07.2008 10:06:15
ANTIVIR0.VDF : 7.1.0.0 15603712 Bytes 27.10.2008 23:47:42
ANTIVIR1.VDF : 7.1.2.12 3336192 Bytes 11.02.2009 16:20:52
ANTIVIR2.VDF : 7.1.2.152 749568 Bytes 11.03.2009 16:30:08
ANTIVIR3.VDF : 7.1.2.171 61952 Bytes 13.03.2009 17:32:31
Engineversion : 8.2.0.114
AEVDF.DLL : 8.1.1.0 106868 Bytes 01.02.2009 16:20:27
AESCRIPT.DLL : 8.1.1.63 364923 Bytes 13.03.2009 17:32:33
AESCN.DLL : 8.1.1.8 127346 Bytes 07.03.2009 14:28:55
AERDL.DLL : 8.1.1.3 438645 Bytes 05.11.2008 17:23:54
AEPACK.DLL : 8.1.3.10 397686 Bytes 07.03.2009 14:28:54
AEOFFICE.DLL : 8.1.0.36 196987 Bytes 01.03.2009 21:55:12
AEHEUR.DLL : 8.1.0.104 1634679 Bytes 07.03.2009 14:28:53
AEHELP.DLL : 8.1.2.2 119158 Bytes 01.03.2009 21:55:08
AEGEN.DLL : 8.1.1.28 336244 Bytes 13.03.2009 17:32:32
AEEMU.DLL : 8.1.0.9 393588 Bytes 15.10.2008 20:11:46
AECORE.DLL : 8.1.6.6 176501 Bytes 20.02.2009 01:15:44
AEBB.DLL : 8.1.0.3 53618 Bytes 15.10.2008 20:11:44
AVWINLL.DLL : 1.0.0.12 15105 Bytes 18.07.2008 10:06:15
AVPREF.DLL : 8.0.2.0 38657 Bytes 18.07.2008 10:06:15
AVREP.DLL : 8.0.0.2 98344 Bytes 31.07.2008 14:00:15
AVREG.DLL : 8.0.0.1 33537 Bytes 18.07.2008 10:06:15
AVARKT.DLL : 1.0.0.23 307457 Bytes 15.04.2008 02:13:25
AVEVTLOG.DLL : 8.0.0.16 119041 Bytes 18.07.2008 10:06:15
SQLITE3.DLL : 3.3.17.1 339968 Bytes 15.04.2008 02:13:26
SMTPLIB.DLL : 1.2.0.23 28929 Bytes 18.07.2008 10:06:15
NETNT.DLL : 8.0.0.1 7937 Bytes 15.04.2008 02:13:26
RCIMAGE.DLL : 8.0.0.51 2371841 Bytes 18.07.2008 10:06:13
RCTEXT.DLL : 8.0.52.0 86273 Bytes 18.07.2008 10:06:13

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Vollständige Systemprüfung
Konfigurationsdatei..............: c:\programme\antivir personaledition classic\sysscan.avp
Protokollierung..................: niedrig
Primäre Aktion...................: interaktiv
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: ein
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: C:,
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: ein
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: 20
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel

Beginn des Suchlaufs: Samstag, 14. März 2009 00:05

Der Suchlauf nach versteckten Objekten wird begonnen.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\TEMP\AVSCAN-20090314-000502-CEB1AC52\AVSCAN-0000000B.dll
[0] Archivtyp: HIDDEN
[INFO] Die Datei ist nicht sichtbar.
--> FIL\\\?\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\TEMP\AVSCAN-20090314-000502-CEB1AC52\AVSCAN-0000000B.dll
[FUND] Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\TEMP\AVSCAN-20090314-000502-CEB1AC52\AVSCAN-00000010.sys
[0] Archivtyp: HIDDEN
[INFO] Die Datei ist nicht sichtbar.
--> FIL\\\?\C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\TEMP\AVSCAN-20090314-000502-CEB1AC52\AVSCAN-00000010.sys
[FUND] Ist das Trojanische Pferd TR/Rootkit.Gen
Die Reparaturanweisungen wurden in die Datei 'C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic\PROFILES\AVSCAN-20090314-000917-E8B8D0DA.avp' geschrieben.
c:\windows\system32\uacneiknnkb.dll
[FUND]
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1de7fc.qua' verschoben!
c:\windows\system32\drivers\uacgmhjovph.sys
[FUND]
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a1de7fd.qua' verschoben!
c:\windows\temp\uacb174.tmp
[INFO] Die Datei ist nicht sichtbar.
c:\windows\temp\uacce4d.tmp
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacbnbhjqoi.log
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacdlstridw.dll
[INFO] Die Datei ist nicht sichtbar.
[FUND] Ist das Trojanische Pferd TR/PCK.Tdss.F.136
[INFO] Es konnte kein SpecVir-Eintrag gefunden werden!
c:\windows\system32\uacdphargvm.log
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacegeifhxy.dll
[INFO] Die Datei ist nicht sichtbar.
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/TDss.eyj.66
[INFO] Es konnte kein SpecVir-Eintrag gefunden werden!
c:\windows\system32\uachlmegkqc.db
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacinit.dll
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacmehptlax.dll
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uactmp.db
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacvhsbyagl.dll
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacydsdcmrm.dat
[INFO] Die Datei ist nicht sichtbar.
c:\windows\system32\uacypgrfjml.dll
[INFO] Die Datei ist nicht sichtbar.
[FUND] Enthält Erkennungsmuster des Rootkits RKIT/TDss.eyj.65
[INFO] Es konnte kein SpecVir-Eintrag gefunden werden!
c:\dokumente und einstellungen\administrator\lokale einstellungen\temp\uac41d4.tmp
[INFO] Die Datei ist nicht sichtbar.
c:\dokumente und einstellungen\administrator\lokale einstellungen\temporary internet files\content.ie5\plwr34ss\uaca570zppcanixckscail4p4scaos8x7qca1dm3vwcabzp2jrca76abrrca1ezc3jcaem2mj1ca67amqhcabng90gcazq27bwca8gl6clcar28inecaottc5xc acbovarca2c3fi6.jpg
[INFO] Die Datei ist nicht sichtbar.
c:\dokumente und einstellungen\all users\anwendungsdaten\sectaskman\uacmehptlax.dll.q_1bb50_q.ini
[INFO] Die Datei ist nicht sichtbar.


Ende des Suchlaufs: Samstag, 14. März 2009 00:09
Benötigte Zeit: 04:20 Minute(n)

Der Suchlauf wurde vollständig durchgeführt.

0 Verzeichnisse wurden überprüft
18 Dateien wurden geprüft
5 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
2 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
13 Dateien ohne Befall
0 Archive wurden durchsucht
0 Warnungen
2 Hinweise
175008 Objekte wurden beim Rootkitscan durchsucht
28 Versteckte Objekte wurden gefunden
Security Taskmanager zeigt eine eine 100% gefährliche Datei an:

Zitat:
\\?\globalroot\systemroot\system32\UACmehptlax.dll
MD5: Der Prozess kann nicht auf die Datei zugreifen, da ein anderer Prozess einen Teil der Datei gesperrt hat

|2080|\\?\globalroot\systemroot\sys
Diese kann ich zwar entfernen. Nach jedem Neustart von Security Task Manager ist sie wieder da...

Weiß jemand Rat?
Habe hier schon ein paar ähnliche Themen gefunden, jedoch waren dort keine Lösungen oder spezielle Lösungen für den jeweiligen Betroffenen über The Avenger oder ComboFix.

MfG
JayJayS

JayJayS 15.03.2009 15:10
Kann mir mal bitte jemand erklären, warum Themen mit dem selben Problem hier rege beantwortet werden und dieses hier offensichtlich unbeachtet bleibt...?

john.doe 15.03.2009 15:18
Hallo und :hallo:

Es sieht übelst nach Bot aus. Arbeite bitte unsere Liste ab, dann wird sich jemand deines Problems annehmen:
http://www.trojaner-board.de/69886-a...-beachten.html

ciao, andreas

JayJayS 15.03.2009 15:26
HiJackThis-Report:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 15:20:13, on 15.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\WINDOWS\sm56hlpr.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\NETGEAR\WG311v3\wlancfg5.exe
C:\Programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Avira GmbH\Avira RootKit Detection\avirarkd.exe
C:\DOKUME~1\ADMINI~1\LOKALE~1\Temp\ndxwpuqw.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\647F24WI\HiJackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.schnueffel.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe,C:\WINDOWS\system32\twex.exe,
O1 - Hosts: 195.245.119.131 browser-security.microsoft.com
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StatusClient] C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [PAC207_Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [CamserviceDeluxe2] C:\Programme\Hercules\Deluxe Optical Glass\Camservice.exe /startup
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [TomcatStartup] C:\Programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [AnyDVD] "C:\Programme\SlySoft\AnyDVD\AnyDVD.exe"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: NETGEAR WG311v3 Smart Wizard.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://w*w.lokalisten.de/iup/ImageUploader4.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 8481 bytes

john.doe 15.03.2009 15:41
Da haben wir ihn doch schon:

Stell sicher, daß Dir auch alle Dateien angezeigt werden, danach folgende Dateien bei Virustotal.com auswerten lassen und alle Ergebnisse posten, und zwar so, daß man die der einzelnen Virenscanner sehen kann. Bitte mit Dateigrößen und Prüfsummen:
Code:
C:\WINDOWS\system32\twex.exe
Sollte die Meldung kommen, dass die Datei schon analysiert wurde, dann klicke trotzdem auf Analysieren. Markiere den Text hier in der Box, kopiere ihn und füge ihn bei Virustotal ein. Sollte die Datei sich nicht hochladen lassen (sie wird sich wehren), dann versuche die Datei zu kopieren und lade die Kopie hoch.

ciao, andreas

JayJayS 15.03.2009 16:00
Ich habe keine Chance Virustotal.com aufzurufen...

john.doe 15.03.2009 16:05
Ja, das habe ich schon befürchtet, aber es wird noch schlimmer kommen. Es gibt zwei Möglichkeiten:

1.) http://www.trojaner-board.de/51262-a...sicherung.html

2.) Bereinigung, aber Vorsicht. Erstens ist es nicht so sicher wie 1.) und es wird erheblich (4-10mal) so lange dauern wie 1.)

Deine Entscheidung.

ciao, andreas

JayJayS 15.03.2009 16:28
Ich bin für bereinigen...
Malewarebytes konnte nun endlich installiert werden, läßt sich aber nicht aufrufen.
CC-Cleaner ist ausgeführt. Aktuelle HiJackThis:

Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:28:21, on 15.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\sm56hlpr.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
C:\Programme\NETGEAR\WG311v3\wlancfg5.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Administrator\Lokale Einstellungen\Temporary Internet Files\Content.IE5\DH9IH4CS\HiJackThis[1].exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,SearchAssistant = http://search.bearshare.com/sidebar.html?src=ssb
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.schnueffel.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\Userinit.exe,C:\WINDOWS\system32\twex.exe,
O1 - Hosts: 195.245.119.131 browser-security.microsoft.com
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.0.926.3450\swg.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StatusClient] C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [PAC207_Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [CamserviceDeluxe2] C:\Programme\Hercules\Deluxe Optical Glass\Camservice.exe /startup
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [TomcatStartup] C:\Programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\RunOnce: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe /install /silent
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: NETGEAR WG311v3 Smart Wizard.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www.lokalisten.de/iup/ImageUploader4.cab
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 8083 bytes

JayJayS 15.03.2009 16:57
So, nachdem mir nun alle Dateien angezeigt werden, befand sich eine a.exe auf meinem Desktop. Jedoch wird diese von Antivir nicht bemängelt, obwohl sie von denen als Malware eingestuft ist....

john.doe 15.03.2009 18:08
Zitat:
Ich bin für bereinigen...
*Ärmel hochkrempel*

GMER - Rootkit Detection
  • Lade Tralala von File-Upload.net - Tralala.exe
  • Klick auf Download (rechts in der Mitte) und speichere es auf den Desktop
  • Doppelklick auf Tralala.exe
  • Der Reiter Rootkit oben ist schon angewählt
http://saved.im/mzaxndu2m2ni_vs/gmerzj1oo1.jpg
  • Drücke Scan, Der Vorgang kann je nach System 3 - 10min dauern
  • nach Beendigung des Scan, drücke "Copy"
  • nun kannst Du das Ergebnis hier einfügen. Sollte das Log zu lang sein, dann lade es bei einem Filehoster wie z.B. Materialordner hoch und poste den Link.
  • Sollte Gmer sagen "Gmer hasen´t found any System Modifikation", so hat Gmer keine Einträge gefunden.

ciao, andreas

JayJayS 15.03.2009 18:47
Hab ich gemacht...

http://www.schnueffel.net/gmer-report.txt

Mfg
JayJays

john.doe 15.03.2009 18:56
Seit wann hast du Probleme?

1.) Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:
  • Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"
Code:
Drivers to delete:
UACd.sys

Registry keys to delete:
HKLM\SYSTEM\ControlSet003\Services\UACd.sys

Files to delete:
C:\WINDOWS\system32\drivers\UACgmhjovph.sys
C:\WINDOWS\system32\UACneiknnkb.dll
C:\WINDOWS\system32\UACydsdcmrm.dat
C:\WINDOWS\system32\UACegeifhxy.dll
C:\WINDOWS\system32\UACypgrfjml.dll
C:\WINDOWS\system32\UACvhsbyagl.dll
C:\WINDOWS\system32\UAChlmegkqc.db
C:\WINDOWS\system32\UACdlstridw.dll
C:\WINDOWS\system32\UACmehptlax.dll
C:\WINDOWS\system32\UACdphargvm.log
C:\WINDOWS\system32\UACtxybmgve.log
C:\WINDOWS\system32\UACbnbhjqoi.log
http://saved.im/mzi3ndg3nta0/aven.jpg
  • Schliesse nun alle Programme und Browser-Fenster
  • Um den Avenger zu starten klicke auf -> Execute
  • Dann bestätigen mit "Yes" das der Rechner neu startet
  • Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt
  • Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

2.) Poste ein neues Gmer-Log.

ciao, andreas

JayJayS 15.03.2009 19:21
Das Problem besteht offensichtlich seit Freitag Mittag.

Code:
Logfile of The Avenger Version 2.0, (c) by Swandog46
http://swandog46.geekstogo.com

Platform:  Windows XP

*******************

Script file opened successfully.
Script file read successfully.

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Rootkit scan active.

Hidden driver "UACd.sys" found!
ImagePath:  \systemroot\system32\drivers\UACgmhjovph.sys
Start Type:  4 (Disabled)

Rootkit scan completed.

Driver "UACd.sys" deleted successfully.
Registry key "HKLM\SYSTEM\ControlSet003\Services\UACd.sys" deleted successfully.
File "C:\WINDOWS\system32\drivers\UACgmhjovph.sys" deleted successfully.
File "C:\WINDOWS\system32\UACneiknnkb.dll" deleted successfully.
File "C:\WINDOWS\system32\UACydsdcmrm.dat" deleted successfully.
File "C:\WINDOWS\system32\UACegeifhxy.dll" deleted successfully.
File "C:\WINDOWS\system32\UACypgrfjml.dll" deleted successfully.
File "C:\WINDOWS\system32\UACvhsbyagl.dll" deleted successfully.
File "C:\WINDOWS\system32\UAChlmegkqc.db" deleted successfully.
File "C:\WINDOWS\system32\UACdlstridw.dll" deleted successfully.
File "C:\WINDOWS\system32\UACmehptlax.dll" deleted successfully.
File "C:\WINDOWS\system32\UACdphargvm.log" deleted successfully.

Error:  file "C:\WINDOWS\system32\UACtxybmgve.log" not found!
Deletion of file "C:\WINDOWS\system32\UACtxybmgve.log" failed!
Status: 0xc0000034 (STATUS_OBJECT_NAME_NOT_FOUND)
  --> the object does not exist

File "C:\WINDOWS\system32\UACbnbhjqoi.log" deleted successfully.

Completed script processing.

*******************

Finished!  Terminate.
Code:
GMER 1.0.14.14536 - http://www.gmer.net
Rootkit scan 2009-03-15 19:16:52
Windows 5.1.2600 Service Pack 3


---- System - GMER 1.0.14 ----

SSDT  A966675C                                                                                                                                                                                                                                                                          ZwCreateThread
SSDT  A9666748                                                                                                                                                                                                                                                                          ZwOpenProcess
SSDT  A966674D                                                                                                                                                                                                                                                                          ZwOpenThread
SSDT  A9666757                                                                                                                                                                                                                                                                          ZwTerminateProcess
SSDT  A9666752                                                                                                                                                                                                                                                                          ZwWriteVirtualMemory

---- Kernel code sections - GMER 1.0.14 ----

?    bthrjna.sys                                                                                                                                                                                                                                                                        Das System kann die angegebene Datei nicht finden. !

---- Files - GMER 1.0.14 ----

File  C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Internetprojekte\tuningdealer\xtc-ecombase-edition\304SP2.1_Ecombase_release\ecombase-edition-xtcommerce\admin\includes\modules\fckeditor\editor\dialog\fck_spellerpages\spellerpages\server-scripts\spellchecker.cfm  4615 bytes
File  C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Internetprojekte\tuningdealer\xtc-ecombase-edition\304SP2.1_Ecombase_release\ecombase-edition-xtcommerce\admin\includes\modules\fckeditor\editor\dialog\fck_spellerpages\spellerpages\server-scripts\spellchecker.php  5782 bytes
File  C:\Dokumente und Einstellungen\Administrator\Eigene Dateien\Internetprojekte\tuningdealer\xtc-ecombase-edition\304SP2.1_Ecombase_release\ecombase-edition-xtcommerce\admin\includes\modules\fckeditor\editor\dialog\fck_spellerpages\spellerpages\server-scripts\spellchecker.pl  4827 bytes

---- EOF - GMER 1.0.14 ----

john.doe 15.03.2009 19:27
Zitat:
Das Problem besteht offensichtlich seit Freitag Mittag.
Entschuldige bitte meine Unaufmerksamkeit. :)

OK. Erste Schritt ist erfolgreich absolviert. Klicke auf den ersten Link in meiner Signatur und arbeite alle Schritte unter 2 ab. HJT-Log brauchst du nicht.

Falls du noch irgendetwas hast, dass du mit dem Computer verbindest, wie Speicherkarten, USB-Sticks, externe Festplatten, ... dann stecke alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

JayJayS 15.03.2009 21:10
Code:
Malwarebytes' Anti-Malware 1.34
Datenbank Version: 1852
Windows 5.1.2600 Service Pack 3

15.03.2009 21:07:46
mbam-log-2009-03-15 (21-07-46).txt

Scan-Methode: Vollständiger Scan (A:\|C:\|D:\|)
Durchsuchte Objekte: 254535
Laufzeit: 1 hour(s), 23 minute(s), 15 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 1
Infizierte Dateien: 11

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Ext\Stats\{7aa32fc7-133b-4ae7-998e-ced0d9829b12} (Trojan.Dialer) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\UAC (Rootkit.Trace) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_CLASSES_ROOT\regfile\shell\open\command\ (Broken.OpenCommand) -> Bad: ("regedit.exe" "%1") Good: (regedit.exe "%1") -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\SecurityProviders\SecurityProviders (Spyware.Passwords) -> Data: mcenspc.dll -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Userinit (Hijack.UserInit) -> Bad: (C:\WINDOWS\system32\Userinit.exe,C:\WINDOWS\system32\twex.exe,) Good: (userinit.exe) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\WINDOWS\system32\twain32 (Backdoor.Bot) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077272.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077273.sys (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077274.dll (Trojan.TDSS) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077275.dll (Trojan.TDSS) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077277.dll (Trojan.TDSS) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{BA1B597B-446E-4B9F-A737-A406150E2D27}\RP695\A0077278.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\twain32\local.ds (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\twain32\user.ds (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\twain32\user.ds.lll (Backdoor.Bot) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\uacinit.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\mcenspc.dll (Spyware.Passwords) -> Quarantined and deleted successfully.
Combofix trotzdem noch ausführen?

john.doe 15.03.2009 21:14
Ja. :daumenhoc

Die Liste der installierten Programme fehlt noch.

JayJayS 15.03.2009 21:21
Code:
3DMark06
Adobe ExtendScript Toolkit 2
Adobe ExtendScript Toolkit 2
Adobe Flash Player 9 ActiveX
Adobe Flash Player Plugin
Adobe Reader 8.1.3 - Deutsch
Adobe Setup
Adobe Shockwave Player
Adobe® Photoshop® Album Starter Edition 3.2
Apple Software Update
ASIO4ALL
Avira AntiVir Personal - Free Antivirus
Avira RootKit Detection
BearShare
Canon Camera WIA Driver 6.2
CASINO-CLUB Deutsch
CCleaner (remove only)
CloneDVD2
Collab
Corel Applications
FL Studio 7
GEAR 32bit Driver Installer
Google Updater
GSiteCrawler
Hercules Deluxe Optical Glass
High Definition Audio Driver Package - KB888111
HijackThis 2.0.2
Hotfix for Windows Media Format 11 SDK (KB929399)
Hotfix für Windows Internet Explorer 7 (KB947864)
Hotfix für Windows Media Player 11 (KB939683)
Hotfix für Windows XP (KB952287)
hp LaserJet 1010 Series
IBP 10.1.2
IcoFX 1.6.4
IETester v0.2.3 (remove only)
IL Download Manager
Intel(R) Matrix Storage Manager
IrfanView (remove only)
Java(TM) 6 Update 12
Malwarebytes' Anti-Malware
Micrografx Picture Publisher 10 DCE
Microsoft .NET Framework 2.0 Language Pack - DEU
Microsoft .NET Framework 2.0 Service Pack 1
Microsoft Compression Client Pack 1.0 for Windows XP
Microsoft Internationalized Domain Names Mitigation APIs
Microsoft National Language Support Downlevel APIs
Microsoft Office Professional Edition 2003
Microsoft SQL Server 2005
Microsoft SQL Server 2005 Express Edition (JTLWAWI)
Microsoft SQL Server Native Client
Microsoft SQL Server VSS Writer
Microsoft User-Mode Driver Framework Feature Pack 1.0
Microsoft Visual C++ 2005 Redistributable
Miranda IM 0.7.17
Motorola SM56 Speakerphone Modem
Mozilla Firefox (3.0.7)
MSN
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB954430)
MSXML 6.0 Parser (KB933579)
Native Instruments Beatport Sync
Native Instruments Traktor DJ Studio 3
Nero 6 Ultra Edition
NETGEAR WG311v3 PCI Adapter
NVIDIA Drivers
OpenOffice.org 2.4
QuickTime
RadarSyncBar2 Toolbar
RealPlayer
Realtek High Definition Audio Driver
REALTEK PCIE NIC Driver
SAMSUNG CDMA Modem Driver Set
SAMSUNG Mobile Composite Device Software
Samsung Mobile phone USB driver Software
SAMSUNG Mobile USB Modem 1.0 Software
SAMSUNG Mobile USB Modem Software
Samsung PC Studio 3
Security Task Manager 1.7g
Sicherheitsupdate für Windows Internet Explorer 7 (KB938127)
Sicherheitsupdate für Windows Internet Explorer 7 (KB942615)
Sicherheitsupdate für Windows Internet Explorer 7 (KB944533)
Sicherheitsupdate für Windows Internet Explorer 7 (KB950759)
Sicherheitsupdate für Windows Internet Explorer 7 (KB953838)
Sicherheitsupdate für Windows Internet Explorer 7 (KB956390)
Sicherheitsupdate für Windows Internet Explorer 7 (KB958215)
Sicherheitsupdate für Windows Internet Explorer 7 (KB960714)
Sicherheitsupdate für Windows Internet Explorer 7 (KB961260)
Sicherheitsupdate für Windows Media Player (KB952069)
Sicherheitsupdate für Windows Media Player 11 (KB936782)
Sicherheitsupdate für Windows Media Player 11 (KB954154)
Sicherheitsupdate für Windows Media Player 9 (KB917734)
Sicherheitsupdate für Windows XP (KB923789)
Sicherheitsupdate für Windows XP (KB938464)
Sicherheitsupdate für Windows XP (KB941569)
Sicherheitsupdate für Windows XP (KB946648)
Sicherheitsupdate für Windows XP (KB950760)
Sicherheitsupdate für Windows XP (KB950762)
Sicherheitsupdate für Windows XP (KB950974)
Sicherheitsupdate für Windows XP (KB951066)
Sicherheitsupdate für Windows XP (KB951376)
Sicherheitsupdate für Windows XP (KB951376-v2)
Sicherheitsupdate für Windows XP (KB951698)
Sicherheitsupdate für Windows XP (KB951748)
Sicherheitsupdate für Windows XP (KB952954)
Sicherheitsupdate für Windows XP (KB953839)
Sicherheitsupdate für Windows XP (KB954211)
Sicherheitsupdate für Windows XP (KB954459)
Sicherheitsupdate für Windows XP (KB954600)
Sicherheitsupdate für Windows XP (KB955069)
Sicherheitsupdate für Windows XP (KB956391)
Sicherheitsupdate für Windows XP (KB956802)
Sicherheitsupdate für Windows XP (KB956803)
Sicherheitsupdate für Windows XP (KB956841)
Sicherheitsupdate für Windows XP (KB957095)
Sicherheitsupdate für Windows XP (KB957097)
Sicherheitsupdate für Windows XP (KB958644)
Sicherheitsupdate für Windows XP (KB958687)
Sicherheitsupdate für Windows XP (KB958690)
Sicherheitsupdate für Windows XP (KB960225)
Sicherheitsupdate für Windows XP (KB960715)
SmartFTP Client
SmartFTP Client 3.0 Setup Files (remove only)
SmartFTP Client German Language Addon (entfernen)
Spelling Dictionaries Support For Adobe Reader 8
Spybot - Search & Destroy
Techno eJay 5 DEMO
Tools für Microsoft SQL Server 2005 Express Edition
Ulead PhotoImpact 12
Unterstützungsdateien für das Microsoft SQL Server-Setup (Englisch)
Update für Windows XP (KB951072-v2)
Update für Windows XP (KB951978)
Update für Windows XP (KB955839)
Update für Windows XP (KB967715)
VideoLAN VLC media player 0.8.6f
Virtual DJ - Atomix Productions
Wichtiges Update für Windows Media Player 11 (KB959772)
Windows Media Format 11 runtime
Windows Media Format 11 runtime
Windows Media Player 11
Windows Media Player 11
Windows XP Service Pack 3
WinRAR
WS Billcreator

john.doe 15.03.2009 21:34
Bevor du ComboFix startest, deinstalliere:
  • Adobe Flash Player 9 ActiveX
  • Adobe Flash Player Plugin
  • Adobe Reader 8.1.3 - Deutsch
  • Adobe Shockwave Player
  • Apple Software Update
  • BearShare (Virenschleuder)
  • Google Updater (Datenkrake)
  • Spybot - Search & Destroy
  • VideoLAN VLC media player 0.8.6f
Installiere (Toolbars immer abwählen, Haken weg):

JayJayS 15.03.2009 22:02
Zu spät...

Code:
ComboFix 09-03-14.02 - Administrator 2009-03-15 21:55:29.1 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1541 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt
.
ADS - WINDOWS: deleted 24 bytes in 1 streams.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system\oeminfo.ini

.
(((((((((((((((((((((((  Dateien erstellt von 2009-02-15 bis 2009-03-15  ))))))))))))))))))))))))))))))
.

2009-03-15 19:43 . 2009-03-15 19:43        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-03-15 16:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-02-11 10:19        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2009-03-15 16:16 . 2009-02-11 10:19        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2009-03-15 15:43 . 2009-03-15 19:43        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-03-15 15:29 . 2009-03-15 15:29        <DIR>        d--------        c:\programme\CCleaner
2009-03-15 15:14 . 2009-03-15 15:14        <DIR>        d--------        c:\programme\Avira GmbH
2009-03-14 02:18 . 2009-03-14 02:20        <DIR>        d--------        c:\programme\Enigma Software Group
2009-03-14 00:55 . 2009-03-14 00:55        <DIR>        d--------        c:\programme\Sophos
2009-03-13 23:19 . 2009-03-13 23:39        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\.housecall6.6
2009-03-13 23:18 . 2009-03-13 23:18        <DIR>        d--------        c:\programme\Java
2009-03-13 23:18 . 2009-03-13 23:18        73,728        --a------        c:\windows\system32\javacpl.cpl
2009-03-13 13:46 . 2009-03-15 16:32        1,896,749        --a------        c:\windows\system32\uactmp.db
2009-02-25 19:06 . 2009-02-25 19:06        <DIR>        d--------        c:\programme\SlySoft
2009-02-25 19:04 . 2009-02-25 19:04        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Elaborate Bytes

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-03-15 20:17        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OpenOffice.org2
2009-03-15 17:43        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\FileZilla
2009-03-15 17:25        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
2009-03-15 14:35        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-03-15 14:14        ---------        d--h--w        c:\programme\InstallShield Installation Information
2009-03-15 13:44        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-14 12:59        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecTaskMan
2009-03-13 22:46        ---------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-13 22:18        410,984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-13 21:51        ---------        d-----w        c:\programme\Google
2009-03-08 22:33        ---------        d-----w        c:\programme\FileZilla FTP Client
2009-02-25 18:03        ---------        d-----w        c:\programme\Elaborate Bytes
2009-02-15 20:17        ---------        d-----w        c:\programme\No23 Recorder
2009-02-09 14:04        1,846,912        ----a-w        c:\windows\system32\win32k.sys
2009-02-06 16:34        ---------        d-----w        c:\programme\SOFTplus
2008-12-20 22:31        826,368        ----a-w        c:\windows\system32\wininet.dll
2008-04-20 19:07        8        --sh--r        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DC890AAC9F.sys
2008-04-20 19:07        2,828        --sha-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\KGyGaAvL.sys
2008-01-06 23:36        3,584        ----a-w        c:\dokumente und einstellungen\Administrator\netcache.dat
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3XP.sys
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3.sys
2006-03-15 12:19        212,992        ----a-w        c:\windows\inf\WG311v3\CopyWHQLDriver.exe
2008-09-03 13:04        32,768        --sha-w        c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-20 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StatusClient"="c:\programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe" [2002-12-16 36864]
"PAC207_Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"CamserviceDeluxe2"="c:\programme\Hercules\Deluxe Optical Glass\Camservice.exe" [2007-08-10 81920]
"Adobe Photo Downloader"="c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]
"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-04-20 180269]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-03-22 8425472]
"Ulead AutoDetector v2"="c:\programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe" [2004-11-26 90112]
"TomcatStartup"="c:\programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe" [2003-03-31 155648]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2006-09-01 282624]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-03-22 81920]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-02-21 143360]
"avgnt"="c:\programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-18 266497]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-13 148888]
"SMSERIAL"="sm56hlpr.exe" [2004-06-29 c:\windows\sm56hlpr.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 c:\windows\RTHDCPL.exe]
"nwiz"="nwiz.exe" [2007-03-22 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\Administrator\Startmen\Programme\Autostart\
OpenOffice.org 2.4.lnk - c:\programme\OpenOffice.org 2.4\program\quickstart.exe [2008-01-21 393216]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
NETGEAR WG311v3 Smart Wizard.lnk - c:\windows\Installer\{70014586-7BBA-4A92-A610-CDC896C48F8F}\NewShortcut1_1.exe [2007-05-30 1078]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Hewlett-Packard\\Toolbox2.0\\Javasoft\\JRE\\1.3.1\\bin\\javaw.exe"=
"c:\\Programme\\Miranda IM\\miranda32.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\BearShare\\BearShare.exe"=
"c:\\Programme\\BearShare Applications\\BearShare\\BearShare.exe"=
"c:\\Programme\\IBP 10\\IBP.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6346:TCP"= 6346:TCP:*:Disabled:Shareaza TCP
"6346:UDP"= 6346:UDP:*:Disabled:Shareaza UDP

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2007-02-10 29178224]
S3 camfilt2;camfilt2;c:\windows\system32\drivers\camfilt2.sys [2008-08-30 94720]
S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\system32\3.tmp --> c:\windows\system32\3.tmp [?]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{36bf744c-0f4d-11dc-ae29-00184d709034}]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL website\index.html
.
Inhalt des "geplante Tasks" Ordners

2009-03-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2006-08-29 13:21]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.schnueffel.net/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyOverride = <local>
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: dhl.de\www
Trusted Zone: ist.ch\www
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\vbxzi5n2.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.shopbetreiber-blog.de/
FF - plugin: c:\programme\Google\Google Updater\2.4.1368.5602\npCIDetect13.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-15 21:57:53
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\3.tmp"
.
Zeit der Fertigstellung: 2009-03-15 21:59:45
ComboFix-quarantined-files.txt  2009-03-15 20:59:24

Vor Suchlauf: 17 Verzeichnis(se), 273.929.080.832 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 274,148,892,672 Bytes frei

149        --- E O F ---        2009-03-12 02:00:51

john.doe 15.03.2009 22:20
Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

Driver::
MEMSWEEP2

Registry::
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"=-
"swg"=-
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TkBellExe"=-
"QuickTime Task"=-
"Adobe Reader Speed Launcher"=-
"SunJavaUpdateSched"=-
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6346:TCP"=-
"6346:UDP"=-
[-HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{36bf744c-0f4d-11dc-ae29-00184d709034}]
[-HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MEMSWEEP2]

File::
c:\windows\system32\uactmp.db
c:\windows\Tasks\AppleSoftwareUpdate.job
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

JayJayS 15.03.2009 22:33
Code:
ComboFix 09-03-14.02 - Administrator 2009-03-15 22:23:50.2 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1567 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
.

(((((((((((((((((((((((  Dateien erstellt von 2009-02-15 bis 2009-03-15  ))))))))))))))))))))))))))))))
.

2009-03-15 19:43 . 2009-03-15 19:43        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-03-15 16:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-02-11 10:19        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2009-03-15 16:16 . 2009-02-11 10:19        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2009-03-15 15:43 . 2009-03-15 19:43        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-03-15 15:29 . 2009-03-15 15:29        <DIR>        d--------        c:\programme\CCleaner
2009-03-15 15:14 . 2009-03-15 15:14        <DIR>        d--------        c:\programme\Avira GmbH
2009-03-14 02:18 . 2009-03-14 02:20        <DIR>        d--------        c:\programme\Enigma Software Group
2009-03-14 00:55 . 2009-03-14 00:55        <DIR>        d--------        c:\programme\Sophos
2009-03-13 23:19 . 2009-03-13 23:39        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\.housecall6.6
2009-03-13 23:18 . 2009-03-13 23:18        <DIR>        d--------        c:\programme\Java
2009-03-13 23:18 . 2009-03-13 23:18        73,728        --a------        c:\windows\system32\javacpl.cpl
2009-03-13 13:46 . 2009-03-15 16:32        1,896,749        --a------        c:\windows\system32\uactmp.db
2009-02-25 19:06 . 2009-02-25 19:06        <DIR>        d--------        c:\programme\SlySoft
2009-02-25 19:04 . 2009-02-25 19:04        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Elaborate Bytes

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-03-15 20:17        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OpenOffice.org2
2009-03-15 17:43        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\FileZilla
2009-03-15 17:25        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
2009-03-15 14:35        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-03-15 14:14        ---------        d--h--w        c:\programme\InstallShield Installation Information
2009-03-15 13:44        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-14 12:59        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecTaskMan
2009-03-13 22:46        ---------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-13 22:18        410,984        ----a-w        c:\windows\system32\deploytk.dll
2009-03-13 21:51        ---------        d-----w        c:\programme\Google
2009-03-08 22:33        ---------        d-----w        c:\programme\FileZilla FTP Client
2009-02-25 18:03        ---------        d-----w        c:\programme\Elaborate Bytes
2009-02-15 20:17        ---------        d-----w        c:\programme\No23 Recorder
2009-02-09 14:04        1,846,912        ----a-w        c:\windows\system32\win32k.sys
2009-02-06 16:34        ---------        d-----w        c:\programme\SOFTplus
2008-12-20 22:31        826,368        ----a-w        c:\windows\system32\wininet.dll
2008-04-20 19:07        8        --sh--r        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DC890AAC9F.sys
2008-04-20 19:07        2,828        --sha-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\KGyGaAvL.sys
2008-01-06 23:36        3,584        ----a-w        c:\dokumente und einstellungen\Administrator\netcache.dat
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3XP.sys
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3.sys
2006-03-15 12:19        212,992        ----a-w        c:\windows\inf\WG311v3\CopyWHQLDriver.exe
2008-09-03 13:04        32,768        --sha-w        c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"swg"="c:\programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe" [2007-06-20 68856]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StatusClient"="c:\programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe" [2002-12-16 36864]
"PAC207_Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"CamserviceDeluxe2"="c:\programme\Hercules\Deluxe Optical Glass\Camservice.exe" [2007-08-10 81920]
"Adobe Photo Downloader"="c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]
"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2008-04-20 180269]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-03-22 8425472]
"Ulead AutoDetector v2"="c:\programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe" [2004-11-26 90112]
"TomcatStartup"="c:\programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe" [2003-03-31 155648]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2006-09-01 282624]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-03-22 81920]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-02-21 143360]
"avgnt"="c:\programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-18 266497]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-03-13 148888]
"SMSERIAL"="sm56hlpr.exe" [2004-06-29 c:\windows\sm56hlpr.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 c:\windows\RTHDCPL.exe]
"nwiz"="nwiz.exe" [2007-03-22 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\Administrator\Startmen\Programme\Autostart\
OpenOffice.org 2.4.lnk - c:\programme\OpenOffice.org 2.4\program\quickstart.exe [2008-01-21 393216]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
NETGEAR WG311v3 Smart Wizard.lnk - c:\windows\Installer\{70014586-7BBA-4A92-A610-CDC896C48F8F}\NewShortcut1_1.exe [2007-05-30 1078]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Hewlett-Packard\\Toolbox2.0\\Javasoft\\JRE\\1.3.1\\bin\\javaw.exe"=
"c:\\Programme\\Miranda IM\\miranda32.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\BearShare\\BearShare.exe"=
"c:\\Programme\\BearShare Applications\\BearShare\\BearShare.exe"=
"c:\\Programme\\IBP 10\\IBP.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"6346:TCP"= 6346:TCP:*:Disabled:Shareaza TCP
"6346:UDP"= 6346:UDP:*:Disabled:Shareaza UDP

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2007-02-10 29178224]
S3 camfilt2;camfilt2;c:\windows\system32\drivers\camfilt2.sys [2008-08-30 94720]
S3 MEMSWEEP2;MEMSWEEP2;\??\c:\windows\system32\3.tmp --> c:\windows\system32\3.tmp [?]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{36bf744c-0f4d-11dc-ae29-00184d709034}]
\Shell\AutoRun\command - c:\windows\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL website\index.html
.
Inhalt des "geplante Tasks" Ordners

2009-03-13 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2006-08-29 13:21]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.schnueffel.net/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyOverride = <local>
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: dhl.de\www
Trusted Zone: ist.ch\www
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\vbxzi5n2.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.shopbetreiber-blog.de/
FF - plugin: c:\programme\Google\Google Updater\2.4.1368.5602\npCIDetect13.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-15 22:24:29
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\MEMSWEEP2]
"ImagePath"="\??\c:\windows\system32\3.tmp"
.
Zeit der Fertigstellung: 2009-03-15 22:25:40
ComboFix-quarantined-files.txt  2009-03-15 21:25:38
ComboFix2.txt  2009-03-15 20:59:46

Vor Suchlauf: 17 Verzeichnis(se), 274.154.459.136 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 274,144,436,224 Bytes frei

144        --- E O F ---        2009-03-12 02:00:51
Mir fällt da noch die

Zitat:
c:\windows\system32\uactmp.db
auf.

Was bewirkt die?
Könnte vom Namen ja was mit dem Teil zu tun haben...

john.doe 15.03.2009 22:35
Da ist was schiefgelaufen. Du musst das Script mit der rechten Maustaste auf das Symbol ziehen. Lies nocheinmal genau die Anleitung.

ciao, andreas

JayJayS 15.03.2009 23:01
Code:
ComboFix 09-03-14.02 - Administrator 2009-03-15 22:51:46.3 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1581 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Administrator\Desktop\cfscript.txt
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
c:\windows\system32\uactmp.db
c:\windows\Tasks\AppleSoftwareUpdate.job
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\uactmp.db
c:\windows\Tasks\AppleSoftwareUpdate.job

.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_MEMSWEEP2


(((((((((((((((((((((((  Dateien erstellt von 2009-02-15 bis 2009-03-15  ))))))))))))))))))))))))))))))
.

2009-03-15 19:43 . 2009-03-15 19:43        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-03-15 16:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-02-11 10:19        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2009-03-15 16:16 . 2009-02-11 10:19        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2009-03-15 15:43 . 2009-03-15 19:43        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-03-15 15:29 . 2009-03-15 15:29        <DIR>        d--------        c:\programme\CCleaner
2009-03-15 15:14 . 2009-03-15 15:14        <DIR>        d--------        c:\programme\Avira GmbH
2009-03-14 02:18 . 2009-03-14 02:20        <DIR>        d--------        c:\programme\Enigma Software Group
2009-03-14 00:55 . 2009-03-14 00:55        <DIR>        d--------        c:\programme\Sophos
2009-03-13 23:19 . 2009-03-13 23:39        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\.housecall6.6
2009-03-13 23:18 . 2009-03-13 23:18        <DIR>        d--------        c:\programme\Java
2009-03-13 23:18 . 2009-03-13 23:18        73,728        --a------        c:\windows\system32\javacpl.cpl
2009-02-25 19:06 . 2009-02-25 19:06        <DIR>        d--------        c:\programme\SlySoft
2009-02-25 19:04 . 2009-02-25 19:04        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Elaborate Bytes

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-03-15 21:56        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OpenOffice.org2
2009-03-15 17:43        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\FileZilla
2009-03-15 17:25        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
2009-03-15 14:35        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-03-15 14:14        ---------        d--h--w        c:\programme\InstallShield Installation Information
2009-03-15 13:44        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Google Updater
2009-03-14 12:59        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecTaskMan
2009-03-13 22:46        ---------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-13 21:51        ---------        d-----w        c:\programme\Google
2009-03-08 22:33        ---------        d-----w        c:\programme\FileZilla FTP Client
2009-02-25 18:03        ---------        d-----w        c:\programme\Elaborate Bytes
2009-02-15 20:17        ---------        d-----w        c:\programme\No23 Recorder
2009-02-06 16:34        ---------        d-----w        c:\programme\SOFTplus
2008-04-20 19:07        8        --sh--r        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DC890AAC9F.sys
2008-04-20 19:07        2,828        --sha-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\KGyGaAvL.sys
2008-01-06 23:36        3,584        ----a-w        c:\dokumente und einstellungen\Administrator\netcache.dat
2008-09-03 13:04        32,768        --sha-w        c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat
.

(((((((((((((((((((((((((((((  SnapShot@2009-03-15_21.58.17,15  )))))))))))))))))))))))))))))))))))))))))
.
+ 2005-10-20 19:02:28        163,328        ----a-w        c:\windows\ERDNT\subs\ERDNT.EXE
+ 2009-03-15 21:55:31        16,384        ----atw        c:\windows\temp\Perflib_Perfdata_678.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StatusClient"="c:\programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe" [2002-12-16 36864]
"PAC207_Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"CamserviceDeluxe2"="c:\programme\Hercules\Deluxe Optical Glass\Camservice.exe" [2007-08-10 81920]
"Adobe Photo Downloader"="c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-03-22 8425472]
"Ulead AutoDetector v2"="c:\programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe" [2004-11-26 90112]
"TomcatStartup"="c:\programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe" [2003-03-31 155648]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-03-22 81920]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-02-21 143360]
"avgnt"="c:\programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-18 266497]
"SMSERIAL"="sm56hlpr.exe" [2004-06-29 c:\windows\sm56hlpr.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 c:\windows\RTHDCPL.exe]
"nwiz"="nwiz.exe" [2007-03-22 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\Administrator\Startmen\Programme\Autostart\
OpenOffice.org 2.4.lnk - c:\programme\OpenOffice.org 2.4\program\quickstart.exe [2008-01-21 393216]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
NETGEAR WG311v3 Smart Wizard.lnk - c:\windows\Installer\{70014586-7BBA-4A92-A610-CDC896C48F8F}\NewShortcut1_1.exe [2007-05-30 1078]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Hewlett-Packard\\Toolbox2.0\\Javasoft\\JRE\\1.3.1\\bin\\javaw.exe"=
"c:\\Programme\\Miranda IM\\miranda32.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\BearShare\\BearShare.exe"=
"c:\\Programme\\BearShare Applications\\BearShare\\BearShare.exe"=
"c:\\Programme\\IBP 10\\IBP.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2007-02-10 29178224]
S3 camfilt2;camfilt2;c:\windows\system32\drivers\camfilt2.sys [2008-08-30 94720]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.schnueffel.net/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyOverride = <local>
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: dhl.de\www
Trusted Zone: ist.ch\www
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\vbxzi5n2.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.shopbetreiber-blog.de/
FF - plugin: c:\programme\Google\Google Updater\2.4.1368.5602\npCIDetect13.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-15 22:56:00
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\AntiVir PersonalEdition Classic\avguard.exe
c:\programme\AntiVir PersonalEdition Classic\sched.exe
c:\programme\Google\Common\Google Updater\GoogleUpdaterService.exe
c:\programme\Intel\Intel Matrix Storage Manager\IAANTmon.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\windows\system32\nvsvc32.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
c:\windows\system32\rundll32.exe
c:\programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
c:\programme\NETGEAR\WG311v3\wlancfg5.exe
c:\programme\OpenOffice.org 2.4\program\soffice.exe
c:\programme\OpenOffice.org 2.4\program\soffice.bin
c:\windows\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-03-15 22:59:21 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-03-15 21:59:18
ComboFix2.txt  2009-03-15 21:25:41
ComboFix3.txt  2009-03-15 20:59:46

Vor Suchlauf: 17 Verzeichnis(se), 274.121.736.192 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 274,019,999,744 Bytes frei

158        --- E O F ---        2009-03-12 02:00:51

john.doe 15.03.2009 23:08
So ist besser, führe in der Zwischenzeit die Deinstallationen und Installationen durch. Anschliessend lässt duch nochmal ein Script laufen. Hab da was übersehen. :(

Scripten mit Combofix
  • Öffne den Editor (Start => Zubehör => Editor ) kopiere nun folgenden Text in das weiße Feld:
Code:
KILLALL::

File::
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat
Speichere diese Datei nun auf dem Desktop unter -> cfscript.txt
  • Nun die Datei cfscript.txt mit der rechten Maustaste auf das Sysmbol von Combofix ziehen!
http://users.pandora.be/bluepatchy/m...s/CFScript.gif
  • Danach das Combofix nochmal ausführen, das System neu starten und das Log von Combofix posten


Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann.

ciao, andreas

JayJayS 15.03.2009 23:52
Hab ich gemacht...
Adobe Flash Player 9 ActiveX läßt sich nicht deinstallieren. Über Systemsteuerung>Software kann ich zwar "Ändern" anclicken, aber nix passiert...
Was ist an Spybot S&D auszusetzen?


Code:
ComboFix 09-03-14.02 - Administrator 2009-03-15 23:41:27.4 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2047.1560 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Administrator\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\Administrator\Desktop\cfscript.txt
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt

FILE ::
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008090320080904\index.dat

.
(((((((((((((((((((((((  Dateien erstellt von 2009-02-15 bis 2009-03-15  ))))))))))))))))))))))))))))))
.

2009-03-15 23:39 . 2009-03-15 23:39        <DIR>        d--------        c:\programme\The KMPlayer
2009-03-15 23:25 . 2009-03-15 23:25        <DIR>        d--------        c:\programme\Foxit Software
2009-03-15 23:25 . 2009-03-15 23:25        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Foxit
2009-03-15 19:43 . 2009-03-15 19:43        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-03-15 16:16        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-03-15 16:16 . 2009-02-11 10:19        38,496        --a------        c:\windows\system32\drivers\mbamswissarmy.sys
2009-03-15 16:16 . 2009-02-11 10:19        15,504        --a------        c:\windows\system32\drivers\mbam.sys
2009-03-15 15:43 . 2009-03-15 19:43        <DIR>        d--------        c:\programme\Malwarebytes' Anti-Malware
2009-03-15 15:29 . 2009-03-15 15:29        <DIR>        d--------        c:\programme\CCleaner
2009-03-15 15:14 . 2009-03-15 15:14        <DIR>        d--------        c:\programme\Avira GmbH
2009-03-14 02:18 . 2009-03-14 02:20        <DIR>        d--------        c:\programme\Enigma Software Group
2009-03-14 00:55 . 2009-03-14 00:55        <DIR>        d--------        c:\programme\Sophos
2009-03-13 23:19 . 2009-03-13 23:39        <DIR>        d--------        c:\dokumente und einstellungen\Administrator\.housecall6.6
2009-03-13 23:18 . 2009-03-13 23:18        <DIR>        d--------        c:\programme\Java
2009-03-13 23:18 . 2009-03-13 23:18        73,728        --a------        c:\windows\system32\javacpl.cpl
2009-02-25 19:06 . 2009-02-25 19:06        <DIR>        d--------        c:\programme\SlySoft
2009-02-25 19:04 . 2009-02-25 19:04        <DIR>        d--------        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Elaborate Bytes

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-03-15 22:44        ---------        d-----w        c:\programme\Spybot - Search & Destroy
2009-03-15 22:44        ---------        d-----w        c:\programme\Google
2009-03-15 22:20        ---------        d-----w        c:\programme\BearShare
2009-03-15 22:19        ---------        d-----w        c:\programme\VideoLAN
2009-03-15 22:18        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2009-03-15 22:12        ---------        d-----w        c:\programme\Gemeinsame Dateien\Adobe
2009-03-15 22:02        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\OpenOffice.org2
2009-03-15 17:43        ---------        d-----w        c:\dokumente und einstellungen\Administrator\Anwendungsdaten\FileZilla
2009-03-15 17:25        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\AntiVir PersonalEdition Classic
2009-03-15 14:14        ---------        d--h--w        c:\programme\InstallShield Installation Information
2009-03-14 12:59        ---------        d-----w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\SecTaskMan
2009-03-08 22:33        ---------        d-----w        c:\programme\FileZilla FTP Client
2009-02-25 18:03        ---------        d-----w        c:\programme\Elaborate Bytes
2009-02-15 20:17        ---------        d-----w        c:\programme\No23 Recorder
2009-02-06 16:34        ---------        d-----w        c:\programme\SOFTplus
2008-04-20 19:07        8        --sh--r        c:\dokumente und einstellungen\All Users\Anwendungsdaten\DC890AAC9F.sys
2008-04-20 19:07        2,828        --sha-w        c:\dokumente und einstellungen\All Users\Anwendungsdaten\KGyGaAvL.sys
2008-01-06 23:36        3,584        ----a-w        c:\dokumente und einstellungen\Administrator\netcache.dat
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3XP.sys
2006-03-15 12:19        280,576        ----a-w        c:\windows\inf\WG311v3\WG311v3.sys
2006-03-15 12:19        212,992        ----a-w        c:\windows\inf\WG311v3\CopyWHQLDriver.exe
.

(((((((((((((((((((((((((((((  SnapShot@2009-03-15_21.58.17,15  )))))))))))))))))))))))))))))))))))))))))
.
+ 2005-10-20 19:02:28        163,328        ----a-w        c:\windows\ERDNT\subs\ERDNT.EXE
+ 2009-02-03 02:07:18        240,544        ----a-r        c:\windows\system32\Macromed\Flash\FlashUtil10b.exe
+ 2009-03-15 22:23:57        89,102        ----a-w        c:\windows\system32\Macromed\Flash\uninstall_activeX.exe
+ 2009-03-15 22:44:13        16,384        ----atw        c:\windows\temp\Perflib_Perfdata_1d4.dat
.
((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"MSMSGS"="c:\programme\Messenger\msmsgs.exe" [2008-04-14 1695232]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"StatusClient"="c:\programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe" [2002-12-16 36864]
"PAC207_Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"Monitor"="c:\windows\PixArt\PAC207\Monitor.exe" [2006-11-03 319488]
"CamserviceDeluxe2"="c:\programme\Hercules\Deluxe Optical Glass\Camservice.exe" [2007-08-10 81920]
"Adobe Photo Downloader"="c:\programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe" [2007-03-16 63712]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2007-03-22 8425472]
"Ulead AutoDetector v2"="c:\programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe" [2004-11-26 90112]
"TomcatStartup"="c:\programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe" [2003-03-31 155648]
"NvMediaCenter"="c:\windows\system32\NvMcTray.dll" [2007-03-22 81920]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2006-02-21 143360]
"avgnt"="c:\programme\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-18 266497]
"SMSERIAL"="sm56hlpr.exe" [2004-06-29 c:\windows\sm56hlpr.exe]
"RTHDCPL"="RTHDCPL.EXE" [2006-06-28 c:\windows\RTHDCPL.exe]
"nwiz"="nwiz.exe" [2007-03-22 c:\windows\system32\nwiz.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\Administrator\Startmen\Programme\Autostart\
OpenOffice.org 2.4.lnk - c:\programme\OpenOffice.org 2.4\program\quickstart.exe [2008-01-21 393216]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
NETGEAR WG311v3 Smart Wizard.lnk - c:\windows\Installer\{70014586-7BBA-4A92-A610-CDC896C48F8F}\NewShortcut1_1.exe [2007-05-30 1078]

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Hewlett-Packard\\Toolbox2.0\\Javasoft\\JRE\\1.3.1\\bin\\javaw.exe"=
"c:\\Programme\\Miranda IM\\miranda32.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\BearShare Applications\\BearShare\\BearShare.exe"=
"c:\\Programme\\IBP 10\\IBP.exe"=
"c:\\Programme\\SmartFTP Client\\SmartFTP.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 MSSQL$JTLWAWI;SQL Server (JTLWAWI);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2007-02-10 29178224]
S3 camfilt2;camfilt2;c:\windows\system32\drivers\camfilt2.sys [2008-08-30 94720]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.schnueffel.net/
uSearchMigratedDefaultURL = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
uInternet Settings,ProxyOverride = <local>
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
IE: E&xport to Microsoft Excel - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
Trusted Zone: dhl.de\www
Trusted Zone: ist.ch\www
FF - ProfilePath - c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Mozilla\Firefox\Profiles\vbxzi5n2.default\
FF - prefs.js: browser.search.defaulturl - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FF - prefs.js: browser.startup.homepage - hxxp://www.shopbetreiber-blog.de/
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-03-15 23:44:34
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\AntiVir PersonalEdition Classic\avguard.exe
c:\programme\AntiVir PersonalEdition Classic\sched.exe
c:\programme\Intel\Intel Matrix Storage Manager\IAANTmon.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\windows\system32\nvsvc32.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlbrowser.exe
c:\programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
c:\windows\system32\rundll32.exe
c:\programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
c:\programme\NETGEAR\WG311v3\wlancfg5.exe
c:\windows\system32\rundll32.exe
c:\programme\OpenOffice.org 2.4\program\soffice.exe
c:\programme\OpenOffice.org 2.4\program\soffice.bin
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-03-15 23:48:19 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-03-15 22:48:16
ComboFix2.txt  2009-03-15 21:59:22
ComboFix3.txt  2009-03-15 21:25:41
ComboFix4.txt  2009-03-15 20:59:46

Vor Suchlauf: 17 Verzeichnis(se), 273.967.116.288 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 273,984,536,576 Bytes frei

160        --- E O F ---        2009-03-12 02:00:51

john.doe 16.03.2009 17:08
Zitat:
Was ist an Spybot S&D auszusetzen?
http://www.trojaner-board.de/408463-post8.html (Erster Satz.)
Zitat:
Adobe Flash Player 9 ActiveX läßt sich nicht deinstallieren.
Egal, dann bügele das Neue einfach drüber.

1.) Start => Ausführen => combofix /u => OK

2.) Laufenlassen und Log posten:
http://www.trojaner-board.de/51871-a...tispyware.html
http://www.trojaner-board.de/59299-a...eb-cureit.html

3.) Panda Active Scan
Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.
4.) Überprüfe den Rechner mit dem AVP-Tool sowie mit PrevXCSI.

ciao, andreas

JayJayS 17.03.2009 03:54
Code:
SUPERAntiSpyware Scan Log
http://www.superantispyware.com

Generated 03/17/2009 at 02:28 AM

Application Version : 4.25.1014

Core Rules Database Version : 3798
Trace Rules Database Version: 1753

Scan type      : Complete Scan
Total Scan Time : 01:12:10

Memory items scanned      : 499
Memory threats detected  : 0
Registry items scanned    : 6342
Registry threats detected : 0
File items scanned        : 160501
File threats detected    : 31

Adware.Tracking Cookie
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@ad.onad[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@www.active-tracking[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@adtech[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@media6degrees[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@euros4click[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@www.etracker[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@komtrack[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@webmasterplan[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@2o7[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@adfarm1.adition[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@bs.serving-sys[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@adsrv.admediate[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@rotator.adjuggler[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@indextools[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@serving-sys[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@traffictrack[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@zanox-affiliate[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@www.zanox-affiliate[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@ads.heias[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@ad.trackbar[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@ad.yieldmanager[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@adopt.euroclick[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@clicks.pangora[2].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@ad.adnet[1].txt
        C:\Dokumente und Einstellungen\Administrator\Cookies\administrator@tto2.traffictrack[1].txt

BearShare File Sharing Client
        C:\PROGRAMME\BEARSHARE APPLICATIONS\BEARSHARE\BEARSHARE.EXE
        C:\DOKUMENTE UND EINSTELLUNGEN\ADMINISTRATOR\ANWENDUNGSDATEN\MICROSOFT\INTERNET EXPLORER\QUICK LAUNCH\BEARSHARE.LNK
        C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\DESKTOP\BEARSHARE.LNK
        C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\STARTMENü\PROGRAMME\BEARSHARE\BEARSHARE.LNK

Trojan.Downloader-BHO/Gen
        C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\ANWENDUNGSDATEN\SECTASKMAN\SYSINV32.DLL.Q_80428D7_Q

Adware.Casino Games (Golden Palace Casino)
        C:\PROGRAMME\CASINO-CLUB DEUTSCH\CASINO.EXE

JayJayS 17.03.2009 14:08
DrWeb hat gar nix gefunden...

john.doe 17.03.2009 16:31
Das liest sich, als ob du traurig darüber bist. :)

ciao, andreas

JayJayS 17.03.2009 18:48
Nein gar nicht. Bin nur überrascht, wieviel hier gefunden wird...
Dachte mit Spybot und Antivir gut gerüstet zu sein...
Was siehts denn da bei den Leuten aus, die nur die Windows-Firewall installiert haben...?

Code:
;***********************************************************************************************************************************************************************************
ANALYSIS: 2009-03-17 18:46:34
PROTECTIONS: 1
MALWARE: 3
SUSPECTS: 0
;***********************************************************************************************************************************************************************************
PROTECTIONS
Description                                  Version                      Active    Updated
;===================================================================================================================================================================================
Avira AntiVir PersonalEdition                8.0.1.30                      Yes      No
;===================================================================================================================================================================================
MALWARE
Id        Description                        Type                Active    Severity  Disinfectable  Disinfected Location
;===================================================================================================================================================================================
00027660  adware/savenow                    Adware              No        0        Yes            No          hkey_local_machine\software\classes\runmsc.loader
00027660  adware/savenow                    Adware              No        0        Yes            No          hkey_local_machine\software\classes\runmsc.loader.1
00027660  adware/savenow                    Adware              No        0        Yes            No          HKEY_CLASSES_ROOT\Interface\{c285d18d-43a2-4aef-83fb-bf280e660a97}
00027660  adware/savenow                    Adware              No        0        Yes            No          HKEY_LOCAL_MACHINE\software\classes\CLSID\{9f95f736-0f62-4214-a4b4-caa6738d4c07}
00027660  adware/savenow                    Adware              No        0        Yes            No          hkey_classes_root\clsid\{9f95f736-0f62-4214-a4b4-caa6738d4c07}
00624663  Trj/Banbra.GGM                    Virus/Trojan        No        1        Yes            No          C:\Dokumente und Einstellungen\Administrator\Desktop\Hopsassa.exe
01895149  Malicious Packer                  SecRisk            No        0        Yes            No          C:\Programme\No23 Recorder\No23Recorder.exe
;===================================================================================================================================================================================
SUSPECTS
Sent      Location                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                              K
;===================================================================================================================================================================================
;===================================================================================================================================================================================
VULNERABILITIES
Id        Severity  Description                                                                                                                                                                                                                                                                                                                                                                                                                                                                                                K
;===================================================================================================================================================================================
;===================================================================================================================================================================================

a5cl3p1o5 17.03.2009 18:55
Zitat:
Was siehts denn da bei den Leuten aus, die nur die Windows-Firewall installiert haben...?
äh, habe weder ein Anti-Malware-Programm, noch die Windows-Firewall installiert ...
... und auch keine freilaufende Malware auf dem Computer :confused:

hab Ubuntu und iptables

john.doe 17.03.2009 20:18
Zitat:
Dachte mit Spybot
Auf das Teil reagiere ich mittlerweile allergisch. http://www.trojaner-board.de/408463-post8.html
Zitat:
Was siehts denn da bei den Leuten aus, die nur die Windows-Firewall installiert haben...?
Kann ich nicht sagen, die ist bei mir ausgeschaltet, hab doch eine im Router. Ansonsten läuft bei mir nur Brain.exe.

ciao, andreas

JayJayS 18.03.2009 12:03
So, nach 7 Stunden war das AVP-Tool auch fertig mit scannen...
Das hat die zahlreichen Email-Trojaner gefunden, die AntiVir beim Eingang schon gemeldet hat und eigentlich löschen sollte...
Nachher werd ich noch mal das PrevX nochmal durchlaufen lassen...
WElches der ganzen Programme lohnt sich auf dem Rechner zu behalten und ab und an immer mal zu benutzen?
CCleaner ist klar...

Mfg
JayJayS

JayJayS 18.03.2009 17:34
PrevX meint CLEAN...

Wars das?

john.doe 18.03.2009 19:56
Ein letztes HJT-Log posten.

Alle Programme, die wir eingesetzt haben, deinstallieren/löschen.

ciao, andreas

JayJayS 18.03.2009 23:33
Code:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 23:32:07, on 18.03.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16791)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe
C:\WINDOWS\sm56hlpr.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Hewlett-Packard\Toolbox2.0\Javasoft\JRE\1.3.1\bin\javaw.exe
C:\Programme\NETGEAR\WG311v3\wlancfg5.exe
C:\Programme\Prevx\prevx.exe
C:\Programme\Prevx\prevx.exe
C:\Programme\internet explorer\iexplore.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.schnueffel.net/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [StatusClient] C:\Programme\Hewlett-Packard\Toolbox2.0\Apache Tomcat 4.0\webapps\Toolbox\StatusClient\StatusClient.exe /auto
O4 - HKLM\..\Run: [PAC207_Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [Monitor] C:\WINDOWS\PixArt\PAC207\Monitor.exe
O4 - HKLM\..\Run: [CamserviceDeluxe2] C:\Programme\Hercules\Deluxe Optical Glass\Camservice.exe /startup
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.2\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [Ulead AutoDetector v2] C:\Programme\Gemeinsame Dateien\Ulead Systems\AutoDetector\monitor.exe
O4 - HKLM\..\Run: [TomcatStartup] C:\Programme\Hewlett-Packard\Toolbox2.0\hpbpsttp.exe
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [IAAnotif] C:\Programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: is-VQ54M.lnk = C:\Dokumente und Einstellungen\Administrator\Desktop\Virus Removal Tool\is-VQ54M\startup.exe
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: NETGEAR WG311v3 Smart Wizard.lnk = ?
O8 - Extra context menu item: E&xport to Microsoft Excel - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {2D8ED06D-3C30-438B-96AE-4D110FDC1FB8} (ActiveScan 2.0 Installer Class) - http://acs.pandasoftware.com/activescan/cabs/as2stubie.cab
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www.lokalisten.de/iup/ImageUploader4.cab
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: CSIScanner - Prevx - C:\Programme\Prevx\prevx.exe
O23 - Service: Intel(R) Matrix Storage Event Monitor (IAANTMON) - Intel Corporation - C:\Programme\Intel\Intel Matrix Storage Manager\Iaantmon.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe

--
End of file - 6440 bytes

john.doe 18.03.2009 23:36
:eek:

Was habe ich nochmal geschrieben?
Zitat:
Alle Programme, die wir eingesetzt haben, deinstallieren/löschen.
So, du schreibst jetzt 100mal an die Tafel: Ich soll alle Programme deinstallieren! :aufsmaul:

Gute Nacht,
Andreas

JayJayS 19.03.2009 23:39
Zitat:
Ein letztes HJT-Log posten.

Alle Programme, die wir eingesetzt haben, deinstallieren/löschen.
Bin nur der Reihenfolge nach gegangen...:heulen:
Außerdem, wie soll ich HJT machen wenn es deinstalliert ist? :headbang:

Ich weiß auch nicht was gegen SUPERAntiSpyware und CCleaner auszusetzen ist...? Finde die beiden Programme sehr nützlich...

Der Rest ist schon entsorgt...:rolleyes:

MfG
JayJayS

john.doe 19.03.2009 23:48
HJT, MalwareBytes und CCleaner kannst du natürlich behalten. Du bist der Erste, der das so wörtlich nimmt. SuperAntiSpyware kannst du auch behalten, da jedoch den Wächter abschalten.

ciao, andreas

JayJayS 19.03.2009 23:50
Da ja nun alles wieder sauber zu sein scheint, ist es langsam an der Zeit mal ein DANKESCHÖN hier an Dich Andreas loszuwerden...
Verrate mir nur noch eins...Warum den Wächter abschalten?

MfG
Jens

john.doe 19.03.2009 23:58
Weil der sich zu tief ins Betriebssystem klinkt und dadurch Ärger verursacht.

Gute Nacht, andreas

wgh52 22.08.2009 16:51
Hallo Trojanerjäger,

ich habe exakt das gleiche Problem, es besteht seit heute vormittag, wobei Spybot mich nicht gewarnt hat, ich aber Systeminstabilitäten verzeichne. Und es scheinen Dateien beschädigt zu sein, denn ich werde aufgefordert CHKDSK laufen zu lassen, das funktioniert aber auch nicht so richtig. Mein altes Outlook macht auch Mucken. Erstmal habe ich alle meine Daten in Eigene Dateien auf eine andere (USB-)Platte gerettet, diese dann abgetrennt.

Dann stiess ich auf diesen Thread und las ihn und habe bis hierher alle gezeigten Schritte gemacht und entsprechende GMER.txt und Avenger.txt Dateien aufgehoben, die wohl Zeigen wo wir stehen.

Jetzt bin ich dieser Stelle und traue mich wegen der Warnungen ohne Anleitung nicht weiter zu machen. Also bitte ich um Hilfe!

Wie gehe ich vor? Neuer Thread? Oder machen wir hier weiter?

Vielen Dank für Eure Hilfe!!

Gruss,
Winfried

Zitat:
Zitat von john.doe (Beitrag 421351)
Entschuldige bitte meine Unaufmerksamkeit. :)

OK. Erste Schritt ist erfolgreich absolviert. Klicke auf den ersten Link in meiner Signatur und arbeite alle Schritte unter 2 ab. HJT-Log brauchst du nicht.

Falls du noch irgendetwas hast, dass du mit dem Computer verbindest, wie Speicherkarten, USB-Sticks, externe Festplatten, ... dann stecke alles an.

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir das Tool hier herunter auf den Desktop -> KLICK
Das Programm jedoch noch nicht starten sondern zuerst folgendes tun:
  • Schliesse alle Anwendungen und Programme, vor allem deine Antiviren-Software und andere Hintergrundwächter, sowie deinen Internetbrowser.
    Vermeide es auch explizit während das Combofix läuft die Maus und Tastatur zu benutzen.
  • Starte nun die combofix.exe von deinem Desktop aus, bestätige die Warnmeldungen und lass dein System durchsuchen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte abkopieren und in deinen Beitrag einfügen. Das log findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.
Hinweis: Combofix verhindert die Autostart Funktion aller CD / DVD und USB - Laufwerken um so eine Verbeitung einzudämmen. Wenn es hierdurch zu Problemen kommt, diese im Thread posten.

ciao, andreas

john.doe 22.08.2009 16:54
Zitat:
Wie gehe ich vor? Neuer Thread?
Ja, dieser hier gehört JayJayS. Kauf dir deinen eigenen. :)

ciao, andreas


Alle Zeitangaben in WEZ +1. Es ist jetzt 11:34 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131