Trojaner-Board - Antimalware Doctor ist weg oder doch nicht?

Trojaner-Board (https://www.trojaner-board.de/)

- Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)

- - Antimalware Doctor ist weg oder doch nicht? (https://www.trojaner-board.de/87005-antimalware-doctor-weg.html)

Antimalware Doctor ist weg oder doch nicht?

Hallo erstmal!!!
Zuerst einmal, falls ich hier falsch bin bitte nocht böse sein. Bin neu hier in diesem Forum und hoffe das ihr mir helfen könnt!
Ich bin echt am verzweifeln...
Ich schilder euch mal mein Problem:

Ich hab mir leider diesen Antimalware Doctor eingefangen. Ich habe nach all den Anleitungen die hier gepostet sind gehandelt, aber er ging einfach nicht weg.
Ich habe mit dem Avira AntiVir, mit dem Malwarebyte Anti-Malware, mit dem Spybot, mit ccleaner, mit rkill und zum Schluss auch mit desinfect von einer bootfähigen Cd alles probiert. Im abgesicherten Modus war nichts zu finden, nur starte ich wieder normal ist das Fenster wieder da gewesen und Antimalware hat wieder 2 verseuchte Registryschlüssel gefunden.
Nachdem ich im ccleaner beim Autostart 2 Einträge gefunden habe die ich nicht kenne habe ich diese manuell im explorer gelöscht und siehe da: es kommt kein Fenster mehr. Ist er jetzt weg???
Seit ich diesen Virus habe funktioniert mein Internet nicht mehr, sprich mein Pc findet den Wlan Stick nicht und die Firewall läßt sich nicht aktivieren, somit nehme ich an das noch irgendein Programm diese ausschaltet.

Ich bin echt an verzweifeln, ich quäl mich schon seit über 2 Tagen damit herum!
Bitte helft mir!!!

Danke im voraus,

daGeri

Hallo und :hallo:

Poste bitte alle schon erstellten Logfiles, besonders die von AntiVir und Malwarebytes unteressieren mich.

Hallo!

Welche malware log datei brauchst du? Ich glaub ich hab so um die 30!
Und welche von avira?

Jeweils die letzten oder eher am Anfang des Problems?

sorry für die Fragen, aber ich kenn mich nicht wirklich beim Pc aus!

Danke
daGeri

Alle Logfiles mit den relevanten Funden. Verpack am besten alle Log bzw. Textdateien in eine ZIP-Datei.

So, ich hoffe diese passen!

Zitat:

Datenbank Version: 4052

Du hast Malwarebytes vorher nicht aktualisiert. Bitte updaten und einen Vollscan machen.

Das Problem ist das ich ja keinen Zugang zum Internet hab (also mit dem Pc).
Ich lade also alles über den Laptop runter.
Also updates kann ich ja so nicht machen, oder?

Du kannst mal Malwarebytes auf dem Rechner installieren, der ins Internet kommt. Da machst Du ein Update mit Malwarebytes. Sollte Version 1.46 und Datenbank Version 4188 sein auf dem Rechner mit Internet.

Dann kopierst Du den Ordner

C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes\Malwarebytes' Anti-Malware

auf einen Stick und übertragst diesen auf den Rechner ohne Internet ins gleiche Verzeichnis (alten Ordner, überschreiben)

Ich bin echt zu dumm dafür!
Ich kopiere den kompletten Ordner von C:Programme... (weil .../Anwendungsdatein... hab ich nicht!) mit der aktuellen Datenbank (4189) auf den Pc. Der schreibt mir aber das das Programm bzw diese datei (mbamext.dll) nicht eingefügt werden kann weil das Programm verwendet wird. Ist aber nix offen, hab sogar alles mit rkill abgeschalten.
Das ist echt frustrierend!!!

Lass Dir bitte alle Dateien anzeigen => http://www.trojaner-board.de/59624-a...-sichtbar.html

Du bist mein Held!!!
Ist schon am Pc und hab schon mal den Quickscann gemacht. Beim löschen der 3 Datein ist der Pc aber abgestürzt.
Der Vollscan läuft gerade!
Danke schon mal.

Hier ist mal der log vom Quickscann:

Malwarebytes' Anti-Malware 1.46
www.malwarebytes.org

Datenbank Version: 4189

Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

11.06.2010 16:01:00
mbam-log-2010-06-11 (16-01-00).txt

Art des Suchlaufs: Quick-Scan
Durchsuchte Objekte: 130617
Laufzeit: 3 Minute(n), 40 Sekunde(n)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\V71IQL7HI7 (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Gerald\Anwendungsdaten\drv73825.exe (Trojan.Agent) -> Quarantined and deleted successfully.
C:\WINDOWS\Wgequa.exe (Trojan.Fraudpack) -> Quarantined and deleted successfully.

Hallo, da bin ich wieder. Hab leider kurz arbeiten müssen.
So der vollständige Scan ist durch und hat keine Fehler festgestellt.
Firewall lässt sich aber immer noch nicht aktivieren und beim Internet ist auch immer noch Fehlanzeige.
Was soll ich als nächstes tun?
Ich glaub mal, durch Deine Hilfe, sind wir am richtigen Weg!

Ich hab jetzt mal HiJackThis drüberlaufen lassen. Anbei der log.

Danke für Deine Hilfe!

HiJackthis Logfile:

Code:

Logfile of Trend Micro HijackThis v2.0.4

Scan saved at 01:02:54, on 12.06.2010

Platform: Windows XP SP3 (WinNT 5.01.2600)

MSIE: Internet Explorer v8.00 (8.00.6001.18702)

Boot mode: Normal
 

Running processes:

C:\windows\System32\smss.exe

C:\windows\system32\winlogon.exe

C:\windows\system32\services.exe

C:\windows\system32\lsass.exe

C:\windows\system32\nvsvc32.exe

C:\windows\system32\svchost.exe

C:\windows\System32\svchost.exe

C:\windows\system32\svchost.exe

C:\windows\system32\spoolsv.exe

C:\Programme\Avira\AntiVir Desktop\sched.exe

C:\Programme\Avira\AntiVir Desktop\avguard.exe

C:\Programme\Java\jre6\bin\jqs.exe

C:\Programme\CDBurnerXP\NMSAccessU.exe

C:\Programme\Google\Update\GoogleUpdate.exe

C:\WINDOWS\system32\PnkBstrA.exe

C:\windows\System32\svchost.exe

C:\WINDOWS\system32\Pen_Tablet.exe

C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin32\nSvcAppFlt.exe

C:\WINDOWS\system32\WTablet\Pen_TabletUser.exe

C:\WINDOWS\system32\Pen_Tablet.exe

C:\windows\system32\wscntfy.exe

C:\windows\Explorer.EXE

C:\windows\RTHDCPL.EXE

C:\Programme\Microsoft IntelliPoint\ipoint.exe

C:\Programme\Microsoft IntelliType Pro\itype.exe

C:\Programme\AutoInstall\ZD1211B_Auto_Install_CD_Only_Gen_0ACE20FF\AutoEJCD.EXE

C:\Programme\Avira\AntiVir Desktop\avgnt.exe

C:\Programme\Java\jre6\bin\jusched.exe

C:\windows\system32\RUNDLL32.EXE

C:\Programme\iTunes\iTunesHelper.exe

C:\windows\System32\wbextsuk¿.exe

Z:\Downloads\CoreTemp32\Core Temp.exe

C:\windows\system32\ctfmon.exe

C:\Programme\DNA\btdna.exe

C:\Dokumente und Einstellungen\Gerald\wbextsuk¿.exe

C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

C:\Programme\SEC\Natural Color Pro\NCProTray.exe

C:\Programme\iPod\bin\iPodService.exe

C:\windows\System32\svchost.exe

C:\Programme\WLAN_Software\ZD1211B\ZDWLan.EXE

C:\Dokumente und Einstellungen\Gerald\Desktop\HiJackThis204.exe
 

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = "hxxp://www.mirostart.com/?cfg=2-73-0-bPSW

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896

R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157

R0 - HKLM\Software\Microsoft\Internet Explorer\Search,SearchAssistant = 

R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local

O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll

O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)

O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll

O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll

O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.5.4723.1820\swg.dll

O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll

O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

O3 - Toolbar: Google Toolbar - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - C:\Programme\Google\Google Toolbar\GoogleToolbar_32.dll

O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

O4 - HKLM\..\Run: [IntelliPoint] "c:\Programme\Microsoft IntelliPoint\ipoint.exe"

O4 - HKLM\..\Run: [itype] "c:\Programme\Microsoft IntelliType Pro\itype.exe"

O4 - HKLM\..\Run: [ZDWLan_Utility] C:\Programme\WLAN_Software\ZD1211B\ZDWLan.EXE

O4 - HKLM\..\Run: [AutoEJCD_0ACE20FF] C:\Programme\AutoInstall\ZD1211B_Auto_Install_CD_Only_Gen_0ACE20FF\AutoEJCD.EXE /VID=0ACE /PID=20FF

O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min

O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"

O4 - HKLM\..\Run: [nwiz] C:\Programme\NVIDIA Corporation\nView\nwiz.exe /install

O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup

O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit

O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime

O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"

O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"

O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"

O4 - HKLM\..\Run: [NeroFilterCheck] C:\windows\system32\NeroCheck.exe

O4 - HKLM\..\Run: [wbextsuk¿] C:\windows\System32\wbextsuk¿.exe

O4 - HKCU\..\Run: [Core Temp] "Z:\Downloads\CoreTemp32\Core Temp.exe"

O4 - HKCU\..\Run: [ctfmon.exe] C:\windows\system32\ctfmon.exe

O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programme\DNA\btdna.exe"

O4 - HKCU\..\Run: [swg] "C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe"

O4 - HKCU\..\Run: [wbextsuk¿] C:\Dokumente und Einstellungen\Gerald\wbextsuk¿.exe

O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

O4 - HKCU\..\RunOnce: [Shockwave Updater] C:\WINDOWS\system32\Adobe\SHOCKW~1\SWHELP~1.EXE -Update -1103472 -"Mozilla/5.0 (Windows; U; Windows NT 5.1; de; rv:1.9.2.3) Gecko/20100401 Firefox/3.6.3 (.NET CLR 3.5.30729)" -"hxxp://playskillgames.bwin.com/t/v/client/info?action=gameClient&tournamentSessionId=38145789&pwd=DAXRCWNKEUTB"

O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')

O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')

O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')

O4 - Startup: Desktop Sidebar.lnk = ?

O4 - Global Startup: NCProTray.lnk = ?

O8 - Extra context menu item: Google Sidewiki... - res://C:\Programme\Google\Google Toolbar\Component\GoogleToolbarDynamic_mui_en_96D6FF0C6D236BF8.dll/cmsidewiki.html

O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000

O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL

O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll

O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe

O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\windows\Network Diagnostic\xpnetdiag.exe

O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe

O16 - DPF: {0CCA191D-13A6-4E29-B746-314DEE697D83} (Facebook Photo Uploader 5 Control) - hxxp://upload.facebook.com/controls/2008.10.10_v5.5.8/FacebookPhotoUploader5.cab

O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262E} (System Requirements Lab) - hxxp://www.nvidia.com/content/DriverDownload/srl/3.0.0.0/srl_bin/sysreqlab3.cab

O16 - DPF: {1E54D648-B804-468d-BC78-4AFFED8E262F} (System Requirements Lab) - hxxp://www.nvidia.com/content/DriverDownload/srl/3.0.0.4/srl_bin/sysreqlab_nvd.cab

O16 - DPF: {4F1E5B1A-2A80-42CA-8532-2D05CB959537} (MSN Photo Upload Tool) - hxxp://gfx2.hotmail.com/mail/w3/resources/MSNPUpld.cab

O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - hxxp://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1231011261185

O16 - DPF: {74DBCB52-F298-4110-951D-AD2FF67BC8AB} (NVIDIA Smart Scan) - hxxp://www.nvidia.com/content/DriverDownload/nforce/NvidiaSmartScan.cab

O16 - DPF: {D1E7CBDA-E60E-4970-A01C-37301EF7BF98} (Futuremark SystemInfo) - hxxp://service.futuremark.com/gom/receiver/tc/FMSI.cab

O20 - Winlogon Notify: geBuUnNG - geBuUnNG.dll (file missing)

O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\windows\System32\browseui.dll

O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\windows\System32\browseui.dll

O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe

O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe

O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe

O23 - Service: Apple Mobile Device - Apple Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe

O23 - Service: Bonjour-Dienst (Bonjour Service) - Apple Inc. - C:\Programme\Bonjour\mDNSResponder.exe

O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe

O23 - Service: ForceWare Intelligent Application Manager (IAM) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin32\nSvcAppFlt.exe

O23 - Service: Google Update Service (gupdate) (gupdate) - Google Inc. - C:\Programme\Google\Update\GoogleUpdate.exe

O23 - Service: Google Software Updater (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe

O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe

O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe

O23 - Service: NMSAccess - Unknown owner - C:\Programme\CDBurnerXP\NMSAccessU.exe

O23 - Service: ForceWare IP service (nSvcIp) - Unknown owner - C:\Programme\NVIDIA Corporation\NetworkAccessManager\bin32\nSvcIp.exe

O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\windows\system32\nvsvc32.exe

O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe

O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

O23 - Service: TabletServicePen - Wacom Technology, Corp. - C:\WINDOWS\system32\Pen_Tablet.exe
 

--

End of file - 10880 bytes

--- --- ---

Also der Doctor dürfte weg sein! Egal mit welchen Programm ich suche, es findet nichts mehr.
Das ist soweit mal gut.
Schlecht ist jetzt immer noch das sich die Firewall nach ca. 20 sekunden abschaltet und ich immer noch nicht ins internet kann.
Im Gerätemanger habe ich im Unterordner Netzwerkadapter 10 Einträge und alle sind mit einem gelben Rufzeichen versehen. Egal welchen Eintrag ich anklicke, es steht immer:
Der Gerätetreiber für diese Hardware kann nicht geladen werden. Der Treiber ist möglicherweise beschädigt oder nicht vorhanden. (Code 39)

Ich habe nach Treiber im Netz gesucht und der aktuellste sollte (glaub ich) der sein: 15.46_nforce_winxp32_ion_international_whql.
Also hab ich den mal auf den Pc gespielt. Diesen hatte ich aber schon, trotzdem habe ich ihn mit dem neuen ersetzt.
Immer noch die selbe Fehlermeldung.
Ich bin am verzweifeln!!!

Wir müssen noch mehr kontrollieren. hast Du schon Log mit OTL.exe erstellt?

Hallo! Hab gerade otl log erstellt.

Beende alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)

Code:

:OTL

PRC - C:\WINDOWS\system32\wbextsuk¿.exe ()

PRC - C:\Dokumente und Einstellungen\Gerald\wbextsuk¿.exe ()

O4 - HKLM..\Run: [wbextsuk¿] C:\WINDOWS\system32\wbextsuk¿.exe ()

O20 - Winlogon\Notify\geBuUnNG: DllName - geBuUnNG.dll -  File not found

O33 - MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\Shell - "" = AutoRun

O33 - MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\Shell\AutoRun\command - "" = E:\AutoRun.exe -- File not found

O33 - MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\Shell - "" = AutoRun

O33 - MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\Shell\AutoRun\command - "" = E:\AutoRun.exe -- File not found

O33 - MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\Shell - "" = AutoRun

O33 - MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\Shell\AutoRun\command - "" = D:\tools\shelexec.exe html\index.htm -- File not found

O33 - MountPoints2\{119bcceb-dcf8-11dd-aed5-002197948c7c}\Shell\AutoRun\command - "" = G:\USBNB.exe -- File not found

O33 - MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\Shell - "" = AutoRun

O33 - MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\Shell\AutoRun\command - "" = G:\AutoRun.exe -- File not found

O33 - MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\Shell - "" = AutoRun

O33 - MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\Shell\AutoRun\command - "" = E:\AutoRun.exe -- File not found

O33 - MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\Shell - "" = AutoRun

O33 - MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\Shell\AutoRun\command - "" = E:\AutoRun.exe -- File not found

O33 - MountPoints2\{b80d4e68-3190-11de-af68-002197948c7c}\Shell\AutoRun\command - "" = forever.exe

O33 - MountPoints2\{b80d4e68-3190-11de-af68-002197948c7c}\Shell\open\command - "" = forever.exe

O33 - MountPoints2\E\Shell - "" = AutoRun

O33 - MountPoints2\E\Shell\AutoRun - "" = Auto&Play

O33 - MountPoints2\E\Shell\AutoRun\command - "" = E:\Setup.exe -- File not found

[2010.06.11 01:12:43 | 000,000,000 | ---D | C] -- C:\INFECTED

[2010.06.07 22:30:52 | 000,038,912 | ---- | M] () -- C:\windows\System32\wbextsuk¿.exe

[2010.06.07 22:30:52 | 000,038,912 | ---- | M] () -- C:\Dokumente und Einstellungen\Gerald\wbextsuk¿.exe

:Commands

[purity]

[resethosts]

[emptytemp]

Klick dann auf den Button Run Fixes!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Hab ich gemacht, der Computer wurde heruntergefahren und beim hochfahren fragt mich spybot das ein wichtiger Registrierungsdatenbank-eintrag geändert wurde.
Kategorie: System Startup global entry
Änderung: Value gelöscht
Eintrag: wbextsuk und ein verkehrtes fragezeichen
Alte Daten: C:\windows\System32\wbextsuk verkehrtes fragezeichen .exe

Soll ich erlauben oder verweigern? soll ich spybot deinstallieren?

Deinstallier Spybot, das Tool hat seine besten Jahr hinter sich!!

So Spybot ist weg!
Und hier ist der log

All processes killed
========== OTL ==========
No active process named wbextsuk¿.exe was found!
No active process named wbextsuk¿.exe was found!
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\wbextsuk¿ deleted successfully.
C:\WINDOWS\system32\wbextsuk¿.exe moved successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\geBuUnNG\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c6-ee3f-11dd-aefa-002197948c7c}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0a3169c7-ee3f-11dd-aefa-002197948c7c}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11606aae-894e-11dd-affe-806d6172696f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11606aae-894e-11dd-affe-806d6172696f}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{11606aae-894e-11dd-affe-806d6172696f}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{11606aae-894e-11dd-affe-806d6172696f}\ not found.
File D:\tools\shelexec.exe html\index.htm not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{119bcceb-dcf8-11dd-aed5-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{119bcceb-dcf8-11dd-aed5-002197948c7c}\ not found.
File G:\USBNB.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{1aac1b1e-d9c8-11dd-aecc-df022588aa11}\ not found.
File G:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb4-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb4-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb4-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb4-f606-11dd-af06-002197948c7c}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb5-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb5-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{56f7fdb5-f606-11dd-af06-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{56f7fdb5-f606-11dd-af06-002197948c7c}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b80d4e68-3190-11de-af68-002197948c7c}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{b80d4e68-3190-11de-af68-002197948c7c}\ not found.
File forever.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{b80d4e68-3190-11de-af68-002197948c7c}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{b80d4e68-3190-11de-af68-002197948c7c}\ not found.
File forever.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\E\ not found.
File E:\Setup.exe not found.
C:\INFECTED folder moved successfully.
File C:\windows\System32\wbextsuk¿.exe not found.
C:\Dokumente und Einstellungen\Gerald\wbextsuk¿.exe moved successfully.
========== COMMANDS ==========
C:\windows\System32\drivers\etc\Hosts moved successfully.
HOSTS file reset successfully

[EMPTYTEMP]

User: Administrator
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->FireFox cache emptied: 3379920 bytes

User: All Users

User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes

User: Gerald
->Temp folder emptied: 1618027 bytes
->Temporary Internet Files folder emptied: 39544913 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 36647448 bytes
->Flash cache emptied: 6698 bytes

User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 14471998 bytes

User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33237 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 1139177 bytes
%systemroot%\System32 .tmp files removed: 2933127 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 82400 bytes
RecycleBin emptied: 0 bytes

Total Files Cleaned = 95,00 mb

OTL by OldTimer - Version 3.2.6.0 log created on 06132010_153325

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Verpack den Ordner C:\_OTL bitte mal in eine ZIP-Datei, vorher den Virenscanner deaktivieren, damit auch wirklich Dateien da mit in die ZIP kommen. Danach bei uns hochladen => http://www.trojaner-board.de/54791-a...ner-board.html

Hab ich gemacht!
Hoff das passt so!

Vielen Dank nochmals für Deine Hilfe und Geduld!

Jetzt ist eine 2te Zip datei hochgeladen worden, diesmal mit abgeschaltenen Antivir.
Sorry

Hallo Arne!!!

Was soll ich, deiner Meinung nach jetzt machen?
Formatieren???
Meine Bedenken sind das sich vielleicht ein Virus irgendwo versteckt und ich Zeit investiere das System neu aufzusetzen und dann hol ich ihn mir von irgendeiner versteckten Datei wieder rein. Denk ich da falsch?

Gruß daGeri

Wenn Du ein garantiert sauberes System wieder haben willst, führt nichts an format c: vorbei.

aber wenn sich die Firewall ständig abschaltet und ich neue Treiber für das Internet installiere und ich trotzdem nicht ins Netz komm...versteckt sich da nicht irgendwas irgendwo?
Oder lieg ich da falsch?

Ich hab doch geschrieben(!!) => Wenn Du ein garantiert sauberes System wieder haben willst, führt nichts an format c: vorbei.

Wir können auch noch weiter mit Combofix machen. Entscheide Dich dafür oder für format c:

Hallo!
Jetzt hab ich neu aufgesetzt und hoffe das ich lange verschont bleib.
Vielen Dank für Deine Hilfe und Geduld!

daGeri