Rootkit TDSS entfernen
 

Hallo miteinander,

erst einmal vielen Dank an alle die dieses Board zu dem machen was es ist. Eine hervorragende Quelle um den alltäglichen Plagegeistern in der Computer-Welt beizukommen !!!
Ich habe hier schon öfters durch andere Threads Hilfe bekommen.
Heute wende ich mich aber direkt hierhin, da ich jetzt nicht mehr so richtig weiterkomme.

Folgendes ist bisher passiert:

Durch meinen Antiviren-Scanner wurde ich darauf aufmerksam, daß mein Rechner unbeabsichtigt E-Mails versendet. Es gab jedesmal eine Meldung, dass mein ISP die gesendeten E-Mails abgelehnt hat (gottseidank).

Ich hab mit Spybot gescannt und mehrere Einträge gefunden und diese auch entfernt.
Allerdings waren die danach immer noch da.
Ich hatte einen Prozess der in C:\Windows\Temp\ lief und sich als Adobe irgendwas Updater tarnte.
Die Datei konnte ich im abgesicherten Modus entfernen, allerdings war ich nun misstrauisch und hab mit Sophos Rootkit Remover ebenfalls gescannt und siehe da es waren mehrere versteckte Files im System32\drivers\ Ordner die offensichtlich zufällig benannt wurden. Aber in jedem Fall als *.sys *.dat *.dll sich offenbarten. Beispiel: gasfkyjovdlcol.dat

Ich hab dann ebenfalls mit gmer gescannt und einige weitere Einträge gefunden. Unter anderem auch versteckte Einträge in der Registry, die ich nicht entfernen konnte. Meine Vermutung ist jetzt, dass durch die Registry-Einträge weitere versteckte Dateien auf meinem Rechner immer wieder den Schadcode laden, um sich einer Säuberung zu entziehen.

Wäre sehr dankbar für Tipps zum weiteren Vorgehen.
RootRepeal läuft grade, nimmt sich aber ziemlich viel Zeit auf meinem Hauptrechner.

Ach ja, zumindest versendet der Rechner nun keine Spam-Mails mehr, daß habe ich denke ich mit dem löschen der Datei im temp Verzeichnis. Aber wie man sieht, sind noch ziemlich viele Einträge vom Typ gasfkymfdynxmk vorhanden. Die Dinger sind auf jeden Fall nicht gut !!!

Hier erstmal das Logfile von Gmer:

Vielen Dank im Voraus

Hallo,

das ist ja wahrlich ein sehr unschöner Befall (gewesen).

Lasse mal bitte Malwarebytes laut Anleitung laufen. Falls es nicht geht benenne es bitte auf iexplore.exe um.


Danach hätte ich gerne ein frisches Gmer-Log von Dir.

Hallo Angel21,

vielen Dank für Deine Unterstützung. Nachdem Durchlauf von Malwarebytes hatte ich noch 5 Einträge, die auf ähnliche Dateien verwiesen haben.
Die habe ich jetzt entfernt und das Logfile für Gmer ist auf dem Weg.
Sieht zumindest schon mal ein wenig besser aus.

Hier das Logfile von Malwarebytes:

vielen Dank

Bitte nochmal ein erneutes Log mit Gmer anfertigen :)

Hier das GMEG logfile:

Grüße

1.) Rootkitscan mit RootRepeal

• Gehe hierhin, scrolle runter und downloade RootRepeal.zip.
• Entpacke die Datei auf Deinen Desktop.
• Doppelklicke die RootRepeal.exe, um den Scanner zu starten.
• Klicke auf den Reiter Report und dann auf den Button Scan.
• Mache einen Haken bei den folgenden Elementen und klicke Ok.
  .
  Drivers
  Files
  Processes
  SSDT
  Stealth Objects
  Hidden Services
  .
• Im Anschluss wirst Du gefragt, welche Laufwerke gescannt werden sollen.
• Wähle C:\ und klicke wieder Ok.
• Der Suchlauf beginnt automatisch, es wird eine Weile dauern, bitte Geduld.
• Wenn der Suchlauf beendet ist, klicke auf Save Report.
• Speichere das Logfile als RootRepeal.txt auf dem Desktop.
• Kopiere den Inhalt hier in den Thread.

2.) Systemdetails mit RSIT prüfen

• Lade Random's System Information Tool (RSIT) von random/random herunter,
• speichere es auf Deinem Desktop.
• Starte mit Doppelklick die RSIT.exe.
• Klicke auf Continue, um die Nutzungsbedingungen zu akzeptieren.
• Der Scan startet automatisch, RSIT checkt nun einige wichtige System-Bereiche und produziert Logfiles als Analyse-Grundlage.
• Wenn der Scan beendet ist, werden zwei Logfiles erstellt und in Deinem Editor geöffnet.
• Bitte poste den Inhalt von C:\rsit\log.txt und C:\rsit\info.txt (<= minimiert) hier in den Thread.

Poste erstmal alle Logs.

Alles klar, vielen Dank. Dazu werde ich wohl erst morgen kommen.
RootRepeal hat sich vorhin so lange ausgemährt, das ich es erstmal abgeschossen hab. Werde ich über Nacht durchlaufen lassen.

vielen Dank

Okeh, wenn es zu immensen problemen kommen wird, bitte sag bescheid. :)

Und neeee nicht abhetzen bitte ;)

moin,

also RootRepeal ist immer noch am Scannen und ich bin mir nicht sicher ob da überhaupt noch was vorwärts geht. Das Programm scant immer noch files und hat einen Size mismatch gefunden der Desktop.ini für den default user :confused:
Wäre das erste mal das sich in der desktop.ini was versteckt.

Ich hab gelesen, daß Rootkits auch Scanner blocken können.. sieht hier fast so aus als wenn das der Fall wäre. RootRepeal hängt jetzt schon seit mindestens 2 Stunden im dllcache-Ordner und ab und zu gibts auch hörbare Festplattenaktivität.

Unter anderem habe ich auch bei der Recherche einen Scanner gefunden der zur Bootzeit scannen kann (u*nhackme.com). Ist das Programm empfehlenswert?

Die Rsit-Scans habe ich schon durchlaufen lassen bevor ich RootRepeal gestartet habe. Hier die Logs:

log.txt

Grüße

Die Logs passen nicht alle in einen Post!!! Hier der zweite Teil von log.txt

Und info.txt noch dazu:

Leider eine Krankheit des Programms, es hat auf verschiedenen Systemen immer i-welche Fehler :(

Breche mal den Scan ab, machen wir als erstes mal eine effiziente Suche mit Superantispyware.

Folge der Anleitung des Programmes Superantispyware einfach, wie es in dem Link steht.

Danach möchte ich trotz allem nochmal ein Rootkit Scan mit dir durchgehen, da doppelt besser ist als eine Meinung ;)

Rootkitsuche mit SysProt

• Lade dir SysProt auf den Desktop und starte das Tool
• Gehe dort auf den Reiter "Log"
• Setze nun einen Haken bei:
  • Kernel Modules
  • Kernel Hooks
  • Hidden Files
  • Und unten bei "Hidden Objects Only"
• Drücke nun auf "Create Log"
• Es erscheint nach einem kurzen Scan die ein Dialogfenster. Wähle dort "Scan All Drives"
• Wenn der Scan abgeschlossen ist, beende SysProt.
• Poste den gesamten Inhalt der "SysProtLog.txt", die auf dem Desktop zu finden ist.

Gut, vielen Dank erstmal, werde ich machen. Ich bin mir auch nicht sicher ob es nun RootRepealer ist der ein Problem hat, oder ob der Rootkit erfolgreich das Scannen verhindert.
Hast Du schon mal von dem Programm gehört was ich genannt habe (un*hackme.com)?

Viele Grüße

Nicht wirklich, aber ich nehme ungerne Programme, die mir unbekannt sind und/oder nicht verwendet werden. :)

So, hier ist das Logfile von SUPERAntiSpyware.
Allerdings Laufen jetzt mehrere Prozesse nach der Installation von SUPERAntiSpyware die ich so vorher nicht identifizieren konnte und irgendwas kramt auch die ganze Zeit auf meiner Festplatte rum. Ich hab SUPERAntiSpyware im Verdacht im Hintergrund zu scannen.

Der Prozess der bei mir jetzt läuft hat diese Bezeichnung:
6206ec4e-e48d-4e6e-a5ee-ba89eca7ded4.exe

Und das SysProt logfile:

Grüße

Gehe auf dein Arbeitsplatz im PC -> Oben auf "Extras" -> Ordneroptionen-> "Ansicht" -> "Geschützte Systemdatein ausblenden (empfohlen)" = Haken weg -> "Alle Datein und Ordner anzeigen" Haken rein.

Lade nun folgende untenstehende Datein, die in den Code tags stehen bei VirusTotal - Free Online Virus and Malware Scan hoch, poste das Ergebnis mit Md5 und Sha. Falls nicht alles passen, sollte, dann teile die Ergebnise auf mehrere Beiträge auf.


Azureus -> Ich würde dir empfehlen es zu deinstallieren, das Programm ist zwar an sich nicht schädlich, aber dadurch kann man sich verseuchte Datein herunterladen.

Hallo Angel,

also erstmal zum ersten Eintrag mit der Endung *.TMP, das ist ein Ordner der die Datei WiseCustomCalla.dll beinhaltet.
Diese habe ich jetzt gesendet und scannen lassen, Ergebnis:

Und inetsrv ist ebenfalls ein Ordner, meines Erachtens ist das der IIS-Ordner.
Ich hab hier nen Webserver zu laufen wegen der Autodesk Datenmanagament Lösung, die braucht den IIS zum Arbeiten genauso den SQL-Server.

Ich lad jetzt nicht alle Dateien aus dem inetsrv Ordner hoch, das wär ein bisschen viel :)

Bitte MIT den Funden der 40 AVP Scanner, erst senden, wenn der Ladebalken oben zu Ende ist, sonst hats kein Wert ;)

Hab die Scan-Ergebnisse jetzt mit beigefügt, hatte ich vorher nicht so richtig realisiert das er mit den Scan-Engines das File durchsucht :uglyhammer:
Ich hab die Ergebnisse nachträglich unten reineditiert, sieht aber so aus als wenn das File ok ist.
Warum erscheint der Thread eigentlich von unten nach oben sortiert? Kann man das irgendwo umbiegen, dass von oben nach unten sortiert wird?

Die Treiberdateien sind nicht mehr vorhanden und auch ähnlich bekloppt benannte Dateien lassen sich nicht auffinden in \%windowsroot%\system32\drivers

:daumenhoc

P.S.: och nö, Azureus ist echt komfortabel für torrents, hatte allerdings schon überlegt ob ich nicht mal nach nem schlankeren Client Ausschau halte.
Und wo wir schon mal dabei sind, der Webserver kann jetzt eigentlich wieder runter, da ich das Autodesk Datenmanagement sowieso nur zu Testzwecken drauf habe. Werde den IIS dann nach der Aktion runterknüppeln.

diese bitte auch.

Ist nicht im Verzeichnis zu finden und auch kein Ordner da.

:kaffee:

Kaspersky - Onlinescanner

Dieser Scanner entfernt die Funde nicht, gibt aber einen guten Überblick über die vorhandene Malware.

---> hier herunterladen => Kaspersky Online Scanner
=> Hinweise zu älteren Versionen beachten!
=> Voraussetzung: Internet Explorer 6.0 oder höher
=> die nötigen ActiveX-Steuerelemente installieren => Update der Signaturen => Weiter
=> Scan-Einstellungen => Standard wählen => OK => Link "Arbeitsplatz" anklicken
=> Scan beginnt automatisch => Untersuchung wurde abgeschlossen => Protokoll speichern als
=> Dateityp auf .txt umstellen => auf dem Desktop als Kaspersky.txt speichern => Log hier posten
=> Deinstallation => Systemsteuerung => Software => Kaspersky Online Scanner entfernen

Überprüfe den Rechner mit PrevXCSI. Poste ein Screenshot falls etwas gefunden werden sollte oder poste Namen und Pfade.

Panda Active Scan

Folgende Seite führt dich durch die Installation: PandaActiveScan2.0 Installation

Drücke auf Jetzt Scannen!

Eine Registrierung ist nicht erforderlich!

Nachdem der Scan abgeschlossen ist drücke auf das Text-Icon Export und speichere das log auf dem Desktop.
Öffne die Datei ActiveScan.txt die sich nun auf deinem Desktop befindet und poste uns den Inhalt.

Na juht, aber was soll ich denn nun noch alles auf den Rechner loslassen?
Da wäre ich ja mit ner Neuinstallation wahrscheinlich schon durch :)

Aber anyways, ich lass die Sachen noch mal durchlaufen und hoffe das sich Kaspersky nicht mit dem Symantec Antivirus beißt und hoffe auf Besserung.

Grüße

Zum einen Punkt ja ;)
Zum anderen Punkt, falls Du weiterhin bereinigen willst, dann müssen wir halt viele Schritte durchgehen, da der Rootkit natürlich Sachen nachgeladen haben kann. Wie andere Malware, da müssen wir natürlich genauer schauen und evtl. auch viele Online Scans etc durchmachen :)

Hab noch was für Dich *gggg*

Anleitung Avenger (by swandog46)

Lade dir das Tool Hopsassa und speichere es auf dem Desktop:

• Doppelklick auf das Avenger-Symbol http://saved.im/mzi3ntr4adf5/trert.jpg

• Kopiere nun folgenden Text in das weiße Feld bei -> "input script here"

http://saved.im/mzi3ndg3nta0/aven.jpg

• Schliesse nun alle Programme und Browser-Fenster

• Um den Avenger zu starten klicke auf -> Execute
• Dann bestätigen mit "Yes" das der Rechner neu startet

• Nachdem das System neu gestartet ist, findest du einen Report vom Avenger unter -> C:\avenger.txt

• Öffne die Datei mit dem Editor und kopiere den gesamten Text in deinen Beitrag hier am Trojaner-Board.

Pheeew,

das hat ne Weile gedauert die Scans durchlaufen zu lassen. Prevx hat mir keinen positiven Fund gemeldet, sodaß ich das Logfile nicht poste da es ziemlich umfangreich ist. Der Panda Scanner hat mir im Wesentlichen nur Tracking-Cookies gemeldet, die er als niedrige Bedrohung eingestuft hat.
Gefunden hab ich die dann allerdings nicht mehr im entsprechenden Verzeichnis.


Kaspersky Log-File:

Und das Avenger-Logfile noch anbei:

Also waren von den kryptischen Treiberdateien doch noch welche in meinem System, obwohl ich den Prozess schon gelösch hatte mit gmer. Die versteckten Registry-Einträge sind auch weg.

Sieht ja nun doch gar nicht schlecht aus. Allerdings werde ich demnächst dann doch neu installieren um auf Nummer sicher zu gehen und Windows 7 steht ja schon vor der Haustür :)

Bitte noch PrevX und Panda Active Scan ausführen.

Habe ich doch beide ausgeführt und die Resultate beschrieben.
Die Logs passen nicht in den Post rein, deswegen als Anhang:

Ich glaub ich hab das Logfile nicht exportiert von Panda-Scan, kanns zumindest nicht finden auf dem Rechner.

die Prevxrar.txt umbenennen in Prevx.rar, hätte ich sonst auch nicht uploaden können, weil selbst die Textdatei zu groß war.

Grüße

Poste bitte ein Screenshot des PREVX Resultates, in dem Log sind lauter verwirrende Buchstaben und nixx gescheites zu erkennen.

Ich bin ab morgen wieder zu erreichen.

Die Prevxrar.txt bitte umbenennen in Prevx.rar und dann öffnen mit WinRAR oder 7zip oder Winzip.

Alle Log-Dateien in einem Zip-Verzeichnis als Anhang.
Bitte Umbenennen in log-dateien.zip

Wooow, das sieht alles sehr gut aus :)
Hast du die Malware von Panda gelöscht?


Scanne nochmal bitte nach mit deinem Norton AVP - Bitte das Logfile hier herein. Oder halt per Anhang ;)

Danke,

die tracking cookies von Panda sind rausgeflogen, ich glaube SuperAntiSpyware hat die rausgefischt.
Ich mach ja selber auch täglich Computer-Support, insofern kenn ich mich ganz gut aus. Zwar hauptsächlich für Autodesk-Produkte, die können aber teilweise genauso schwierig wieder zu reparieren sein :balla:
Deswegen auch das Battalion von Autodesk Installationen und CAD Software auf meinem rechner.

Symantec Antivirus scant grade und ich muß mal schauen ob ich dem ein Scan-Log entlocken kann.

:dankeschoen:

P.S.: Das Logfile von Symantec Antivirus ist leer wenn ich es exportiere, weil das Programm nichts finden konnte.

Keine Ursache :)


Ich hab mal gegoogelt aber keine Antwort auf Symantec Scanlog gefunden, oder übersehen. Hoffe du findest etwas dazu. Habe nämlich Avira, kenne mich leider nur mehr mit dem Produkt sehr gut aus. Was ich dir auch sehr empfehlen würde :) Aber die Entscheidung bei dir bleibt, ob Avira ja oder Avira nein ;)

Sorry, aber wir benutzen im Büro Symantec Antivirus Corporate und haben auch Heimlizenzen.
Hat sich soweit gut bewährt, ist nicht soviel unnützer Schwums dabei wie bei Norton.
Avira soll recht häufig false positives melden, hab ich zumindest gelesen. Vielleicht probier ich es aber mal aus.

Vielen Dank für die Unterstützung

Ach so, Panda Antivirus hat mir auch ein schlechtes File gemeldet unter C:\WINDOWS\system32\Appsetup.exe.
Das ist aber definitiv kein schlechtes File, da es von dem Audigy 4 Treiber installiert worden ist. Ich hab es mit dem File aus dem treiberarchiv verglichen und die sind aufs bit genau gleich. Ist wohl falscher Alarm.

Grüße

Kann falscher Alarm sein ;)


Wie gesagt scanne einfach mit Symantec durch

Btw. wieso Büro? Bearbeite ich zur Zeit einen Büro- oder einen Homerechner?

Das ist mein Heimrechner, würde nicht die Freizeit von anderen Leuten für das Fixen meines Arbeitsrechners in Anspruch nehmen.
Da müßte ich das selber in den Griff kriegen :)
Der ist hauptsächlich für testzwecke der CAD-Software und Daddeln.

achso, dann is ja gut ;) wie macht symantec sich? *gg*

Also Symantec Antivirus ist recht unproblematisch, eigentlich merkt man kaum das er da ist. Im Grunde so wie es sein sollte und im Büro kriege ich auch nie irgendwelche Warnungen oder Funde.
Ist eigentlich auch logisch wenn kaum Internetaktivität vorliegt.
Zuhause springt er dann doch ab und zu mal an und schnappt ein paar Sachen aus dem temporären Internetordner weg.

Grüße

P.S: Wieso wird mir der Thread in der falschen Reihenfolge angezeigt? Mein erster Post taucht bei mir auf Seite 4 auf und der letzte auf Seite 1. Ich find die Einstellung nicht im Kontrollzentrum :confused:
Passiert nur wenn ich eingeloggt bin.

Ehhhhhh zum zweiteren, das bei mir auch so, also normal ;).....was sagte der Scan? hat Symantec noch etwas gefunden?

Nee, Symantec Antivirus ist sauber durchgelaufen und hat nix bemängelt.
Komischerweise hätte ich schwören können, daß bei den Azureus Daten noch irgendwas nicht koscher war.
Aber hat sich wohl erledigt, wird sicher von irgendeinem der anderen Spyware Wächter erwischt worden sein.

Grüße

Wie geht es dem PC sonst so allgemein?

Läuft besser und schneller als je zuvor nachdem ich den SQL-Server runtergefeurt habe, haha.
:applaus:

Ging mir sowieso schon die ganze Zeit auf den Keks, daß ich einen IIS dafür benötige. Hat ja doch auch schön öfter ein Sicherheitsrisiko dargestellt der Onboard Webserver von Microsoft(IIS).

Nun läuft alles aber wieder recht gut, um sicher zu gehen setze ich demnächst neu auf und upgrade auf Windows 7.

Lass mich nochmal ein letztes HJT log sehen.
Dazu die Liste aller Programme:
1. Öffne Hijackthis
2. Open the Misc Tool section
3. Open Uninstall manager
4. Save List

7-Zip 4.65
AC3Filter (remove only)
Adobe Flash Player 10 ActiveX
Adobe Photoshop CS
Adobe Shockwave Player 11.5
ANSYS Products 11.0
ANSYS Remote Solve Manager (RSM) 11.0
Apple Mobile Device Support
Apple Software Update
AutoCAD Mechanical 2010
AutoCAD Mechanical 2010
Autodesk Design Review 2010
Autodesk DirectConnect 2010
Autodesk Inventor Content Center Libraries 2010 (Desktop Content)
Autodesk Inventor Professional 2010
Autodesk Inventor Professional 2010
Autodesk Inventor Professional 2010 Deutsch (German)
Autodesk Showcase 2010
Autodesk Vault 2010 (Client)
Autodesk Vault 2010 (Client)
Autodesk Vault 2010 (Client) Language Pack - Deutsch
AutoIt v3.2.12.1
Batman: Arkham Asylum
BMO WORLD 4.4.0
Bonjour
CCleaner (remove only)
COSMOSM 2009 (2008/250)
Creative-Audiokonsole
DFX 8 for Winamp
Diskeeper 2008 Pro Premier
Download Manager 2.3.6
DWG TrueView 2010
Easy CD-DA Extractor 11
EPSON-Drucker-Software
EVEMon
HijackThis 2.0.2
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB953595)
Hotfix for Microsoft .NET Framework 3.5 SP1 (KB958484)
Hotfix für Windows Internet Explorer 7 (KB947864)
iTunes
Java(TM) 6 Update 15
Java(TM) 6 Update 6
Java(TM) 6 Update 7
Kaspersky Online Scanner
LiveUpdate 3.1 (Symantec Corporation)
Logitech Gaming Software
Malwarebytes' Anti-Malware
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1 Hotfix (KB928366)
Microsoft .NET Framework 2.0 Service Pack 2
Microsoft .NET Framework 2.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.0 German Language Pack
Microsoft .NET Framework 3.0 German Language Pack
Microsoft .NET Framework 3.0 Service Pack 2
Microsoft .NET Framework 3.0 Service Pack 2 Language Pack - DEU
Microsoft .NET Framework 3.5 Language Pack SP1 - deu
Microsoft .NET Framework 3.5 Language Pack SP1 - DEU
Microsoft .NET Framework 3.5 SP1
Microsoft .NET Framework 3.5 SP1
Microsoft Games for Windows - LIVE
Microsoft Games for Windows - LIVE Redistributable
Microsoft Office 2003 Primary Interop Assemblies
Microsoft Office 2003 Web Components
Microsoft Office Professional Edition 2003
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2005 Redistributable
Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
Microsoft Visual Studio 2005 Tools for Applications - ENU
Microsoft Visual Studio 2005 Tools for Applications - ENU
Microsoft WSE 3.0 Runtime
modo 401 build 31381
modo 401 build 31381
modo 401 Content
modo 401 Content
MSXML 4.0 SP2 (KB936181)
MSXML 4.0 SP2 (KB954430)
MSXML 6.0 Parser (KB933579)
Need for Speed™ SHIFT
Nero 7 Premium
NVIDIA nView Desktop Manager
NVIDIA PhysX
Panda ActiveScan 2.0
PE Builder 3.1.10a
PhotoView 360
PowerDVD Ultra
QuickTime
RealPlayer
RivaTuner v2.22
Sicherheitsupdate für Windows Internet Explorer 7 (KB938127)
Sicherheitsupdate für Windows Internet Explorer 7 (KB944533)
Sicherheitsupdate für Windows Internet Explorer 7 (KB950759)
Sicherheitsupdate für Windows Internet Explorer 7 (KB953838)
Sicherheitsupdate für Windows Internet Explorer 7 (KB956390)
Sicherheitsupdate für Windows Internet Explorer 7 (KB958215)
Sicherheitsupdate für Windows Internet Explorer 7 (KB960714)
Sicherheitsupdate für Windows Internet Explorer 7 (KB961260)
Sicherheitsupdate für Windows Internet Explorer 7 (KB963027)
Sicherheitsupdate für Windows Internet Explorer 8 (KB969897)
Sicherheitsupdate für Windows Internet Explorer 8 (KB971961)
Sicherheitsupdate für Windows Internet Explorer 8 (KB972260)
Sicherheitsupdate für Windows Media Player (KB968816)
Sicherheitsupdate für Windows XP (KB923789)
Sicherheitsupdate für Windows XP (KB956844)
Skype™ 3.8
SolidWorks 2009 SP0
SolidWorks 2009 SP0
SolidWorks eDrawings 2009
SolidWorks Explorer 2009 sp0
SolidWorks Flow Simulation 2009 SP0
SolidWorks Motion 2009 SP0
SolidWorks Simulation 2009 SP0
SolidWorks viewer
Sophos Anti-Rootkit 1.5.0
Spybot - Search & Destroy
Streamripper (Remove only)
SUPERAntiSpyware Free Edition
Symantec AntiVirus
TeamSpeak 2 RC2
Update for Microsoft .NET Framework 3.5 SP1 (KB963707)
Update für Windows Internet Explorer 8 (KB971180)
Ventrilo Client
VLC media player 1.0.1
Vuze
Winamp
Windows Internet Explorer 8
Windows Media Format 11 runtime
Windows Media Player 11
Windows Presentation Foundation
Windows Presentation Foundation Language Pack (DEU)
WinRAR

Grüße

Deinstalliere/Lösche:

Java(TM) 6 Update 15
Java(TM) 6 Update 6
Java(TM) 6 Update 7
und alle Programme, die wir während der Bereinigung installiert haben.

Hole dir: Java Update

ok, werde ich machen...
Wir sind dann jetzt durch würde ich sagen..

Vielen lieben Dank nochmal :daumenhoc

Warte!!! Ich will noch ein Hijackthis Log sehen, Öffne Hijackthis -> do a system scan and save logfile -> reinkopieren bitte ;)

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 20:05:41, on 29.09.2009
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v8.00 (8.00.6001.18702)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
C:\Programme\Bonjour\mDNSResponder.exe
D:\Symantec AntiVirus\DefWatch.exe
C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe
D:\ANSYS Inc\v110\RSM\bin\JobManagerService.exe
D:\SolidWorks Corp\SolidWorks Flow Simulation\binCFW\StandAloneSlv.exe
C:\Programme\Cyberlink\Shared files\RichVideo.exe
D:\ANSYS Inc\v110\RSM\bin\ScriptHostService.exe
D:\Symantec AntiVirus\Rtvscan.exe
C:\WINDOWS\Explorer.EXE
D:\SYMANT~1\VPTray.exe
D:\RivaTuner v2.22\RivaTuner.exe
C:\Programme\Microsoft IntelliPoint\ipoint.exe
D:\iTunes\iTunesHelper.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Gemeinsame Dateien\SolidWorks Installations-Manager\Scheduler\sldIMScheduler.exe
C:\WINDOWS\system32\CTHELPER.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe
D:\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\iPod\bin\iPodService.exe
D:\Skype\Phone\Skype.exe
D:\Skype\Plugin Manager\skypePM.exe
C:\WINDOWS\system32\dllhost.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\msiexec.exe
D:\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\mmc.exe
E:\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: RealPlayer Download and Record Plugin for Internet Explorer - {3049C3E9-B461-4BC5-8870-4C09146192CA} - D:\Real\RealPlayer\rpbrowserrecordplugin.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - D:\SPYBOT~1\SDHelper.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll (file missing)
O2 - BHO: SmartSelect - {F4971EE7-DAA0-4053-9964-665D8EE6A077} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll
O4 - HKLM\..\Run: [vptray] D:\SYMANT~1\VPTray.exe
O4 - HKLM\..\Run: [RivaTunerStartupDaemon] "D:\RivaTuner v2.22\RivaTuner.exe" /S
O4 - HKLM\..\Run: [RivaTuner] "D:\RivaTuner v2.22\RivaTuner.exe" /T
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe"
O4 - HKLM\..\Run: [iTunesHelper] "D:\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [LanguageShortcut] D:\CyberLink\PowerDVD\Language\Language.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [NeroFilterCheck] C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe
O4 - HKLM\..\Run: [SolidWorks_CheckForUpdates] "C:\Programme\Gemeinsame Dateien\SolidWorks Installations-Manager\Scheduler\sldIMScheduler.exe" /scheduler
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Malwarebytes Anti-Malware (reboot)] "D:\Malwarebytes' Anti-Malware\mbam.exe" /runcleanupscript
O4 - HKLM\..\Run: [Adobe Acrobat Speed Launcher] "D:\Adobe\Acrobat 9.0\Acrobat\Acrobat_sl.exe"
O4 - HKLM\..\Run: [Acrobat Assistant 8.0] "D:\Adobe\Acrobat 9.0\Acrobat\Acrotray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [igndlm.exe] D:\Download Manager\DLM.exe /windowsstart /startifwork
O4 - HKCU\..\Run: [BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}] "C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe"
O4 - HKCU\..\Run: [SUPERAntiSpyware] D:\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-21-1229272821-1035525444-839522115-1003\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe (User 'Ganimed')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: SolidWorks Taskplaner Engine.lnk = D:\SolidWorks Corp\SolidWorks\swScheduler\swBOEngine.exe
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O8 - Extra context menu item: An vorhandene PDF-Datei anfügen - res://C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Linkziel an vorhandene PDF-Datei anhängen - res://C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Linkziel in Adobe PDF konvertieren - res://C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\MICROS~1\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\MICROS~1\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - D:\SPYBOT~1\SDHelper.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O15 - Trusted Zone: http://www.*************.de
O16 - DPF: {39B0684F-D7BF-4743-B050-FDC3F48F7E3B} (CDownloadCtrl Object) - http://www.fileplanet.com/fpdlmgr/cabs/FPDC_2.3.9.113.cab
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} (DLM Control) - http://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.5.0.cab
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1221848263437
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{CF76D04B-5A9A-441E-A749-8BCAB47D68AD}: NameServer = **.***.**.** **.***.*.**
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - Winlogon Notify: !SASWinLogon - D:\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: ANSYS FLEXlm license manager - Macrovision Corporation - C:\Programme\Ansys Inc\Shared Files\Licensing\intel\lmgrd.exe
O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe
O23 - Service: Autodesk Licensing Service - Autodesk - C:\Programme\Gemeinsame Dateien\Autodesk Shared\Service\AdskScSrv.exe
O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: SW Distributed TS Coordinator Service (CoordinatorServiceHost) - Dassault Systèmes SolidWorks Corp. - D:\SolidWorks Corp\SolidWorks\swScheduler\DTSCoordinatorService.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - D:\Symantec AntiVirus\DefWatch.exe
O23 - Service: Diskeeper - Diskeeper Corporation - C:\Programme\Diskeeper Corporation\Diskeeper\DkService.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Ansys JobManager Service V11 (JobManagerService110) - Ansys, Inc - D:\ANSYS Inc\v110\RSM\bin\JobManagerService.exe
O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE
O23 - Service: NVIDIA Display Driver Service (nvsvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Remote Solver for Flow Simulation 2009 - Unknown owner - D:\SolidWorks Corp\SolidWorks Flow Simulation\binCFW\StandAloneSlv.exe
O23 - Service: Cyberlink RichVideo Service(CRVS) (RichVideo) - Unknown owner - C:\Programme\Cyberlink\Shared files\RichVideo.exe
O23 - Service: SAVRoam (SavRoam) - symantec - D:\Symantec AntiVirus\SavRoam.exe
O23 - Service: Ansys ScriptHost Service V11 (ScriptHostService110) - Ansys, Inc. - D:\ANSYS Inc\v110\RSM\bin\ScriptHostService.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SolidWorks Licensing Service - SolidWorks - C:\Programme\Gemeinsame Dateien\SolidWorks Shared\Service\SolidWorksLicensing.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - D:\Symantec AntiVirus\Rtvscan.exe

--
End of file - 11998 bytes

Ich sehe der Internet Explorer ist mehreremale offen, hast du ihn mehreremale geöffnet?

Ja, habe xml-dateien offen gehabt. Hast Du ansonsten noch verdächtige Sachen im HJT-Log gefunden?

Öffne Hijackthis -> Do a system Scan Only -> Markiere (Haken setzen) folgende Einträge:

unten auf "Fix Checked" klicken.


Ich sehe, du hast Malwarebytes noch offen, ein Clearscript, hattest du soeben mit Malwarebytes gescannt und hat er was gefunden?

Nee, hatte eigentlich nicht mehr gescannt mit Malwarebytes. Kommisch, scheint noch ein Cleanup-Script am Start zu haben.
Ich habs auch gefixt...
Was zum Deibel ist denn ctfmon? Könnte irgend ne dusslige creative Komponente sein...hmm nee, kommt vom Office Paket und ist auch mit verantwortlich für das Ändern des Gebietsschemas...

Google wollte ich aber schon als Startseite beibehalten.

CTFMON ist ein Dienst von Windows, aber es ist unnötig, nicht schädlich ;)