Trojaner-Board

Trojaner-Board (https://www.trojaner-board.de/)
-   Plagegeister aller Art und deren Bekämpfung (https://www.trojaner-board.de/plagegeister-aller-art-deren-bekaempfung/)
-   -   Viele "Viren" gefunden: TR/Crypt.XPACK.Gen, TR/Drop.Softomat.AN und EXP/CVE-2010-2568.A (https://www.trojaner-board.de/92781-viele-viren-gefunden-tr-crypt-xpack-gen-tr-drop-softomat-exp-cve-2010-2568-a.html)

Schleuder 12.11.2010 17:34
Viele "Viren" gefunden: TR/Crypt.XPACK.Gen, TR/Drop.Softomat.AN und EXP/CVE-2010-2568.A
 
Hallo Leute!

Ich bin mir nicht ganz sicher ob das im Titel alle sind (grade gefunden: HTML/Rce.Gen) . Es ging ganz schnell, gestern einen falschen Stream-link geklickt und sofort war ich verseucht.

Ich habe hier im Forum zu verschiedenen Trojaner Threats gelesen und daher Logfiles erstellt.
Malwarebytes hatte ich seit dem Fund öfters laufen um zu gucken ob etwas erfolg hat. die anderen Logs habe ich je einmal gemacht.

Ich hoffe ich habe nicht zuviel verkehrt gemacht und ich hoffe auch es nimmt sich einer meines Problems an. Ich gebe gerne alle Auskünfte, die ich als PC-Unwissender geben kann.

Vielen Dank für lesen,
lieben Gruß Schleuder



EDIT: CCCleaner habe ich auch einmal laufen lassen, nach der Anleitung hier... Also auch einmal "gefixt"

cosinus 12.11.2010 19:08
Hallo und :hallo:

Bitte ZoneAlarm deinstallieren, das kann uns bei der bereinigung stören und außerdem ist es auch für den normalen Betrieb eher kontraproduktiv.

Beende nach der Deinstalltion von ZoneAlarm alle Programme, starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!)


Code:
:OTL
O4 - Startup: C:\Dokumente und Einstellungen\Moritz\Startmenü\Programme\Autostart\sishzm32.exe ()
O32 - Unable to obtain root file information for disk H:\
O32 - AutoRun File - [2007.08.24 13:26:32 | 000,000,000 | ---D | M] - M:\Autorun -- [ NTFS ]
O33 - MountPoints2\{4f6f85a3-0cfb-11df-892a-001a928133ff}\Shell - "" = AutoRun
O33 - MountPoints2\{4f6f85a3-0cfb-11df-892a-001a928133ff}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{4f6f85a3-0cfb-11df-892a-001a928133ff}\Shell\AutoRun\command - "" = G:\Install.exe -- File not found
O33 - MountPoints2\{ddc83c0d-ea89-11de-a858-001a928133ff}\Shell\AutoRun\command - "" = E:\Toshiba\more4you.exe -- File not found
[2010.11.12 17:18:30 | 000,000,558 | ---- | M] () -- C:\WINDOWS\DFC.INI
[2010.11.12 17:16:06 | 000,000,016 | ---- | M] () -- C:\WINDOWS\System32\dmlconf.dat
[2010.11.12 16:15:45 | 000,054,016 | ---- | M] () -- C:\WINDOWS\System32\drivers\ydtbydgb.sys
@Alternate Data Stream - 109 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:364682BC
:Commands
[purity]
[resethosts]
[emptytemp]
Klick dann oben links auf den Button Fix!
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet.

Schleuder 12.11.2010 20:23
Hallo cosinus!

Erstmal tausend dank für die ersten Anweisungen! Freut mich riesig, dass es so schnell ging! Ich werde die empfohlenen Schritte sofort unternehmen, allerdings muss ich jetzt bis sonntag auf reisen und werde mich sonntag wieder hier melden!

DANKE!

Schleuder 14.11.2010 20:11
Hallo!

Alles nach vorgabe erfüllt!

Logfile im Anhang!

:dankeschoen:

Hijackthis logfile aktuell:

HiJackthis Logfile:
Code:
Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20:20:29, on 14.11.2010
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17055)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\Programme\Avira\AntiVir Desktop\avguard.exe
C:\Programme\Avira\AntiVir Desktop\avshadow.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir Desktop\sched.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Seagate\Basics\Service\SyncServicesBasics.exe
C:\Programme\1&1\IGDCTRL.EXE
C:\Programme\Java\jre6\bin\jqs.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\Programme\XSManager\WTGService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\service4g.exe
C:\Programme\Java\jre6\bin\jusched.exe
C:\WINDOWS\starter4g.exe
C:\Programme\Analog Devices\Core\smax4pnp.exe
C:\Programme\Analog Devices\SoundMAX\Smax4.exe
C:\WINDOWS\system32\qtplugin.exe
C:\WINDOWS\TBPanel.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\Seagate\Basics\Basics Status\MaxMenuMgrBasics.exe
C:\Programme\Avira\AntiVir Desktop\avgnt.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\System32\wbem\wmiapsrv.exe
C:\WINDOWS\System32\alg.exe
c:\programme\avira\antivir desktop\avcenter.exe
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\Programme\Trend Micro\HiJackThis\HiJackThis.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://start.icq.com/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = hxxp://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://go.microsoft.com/fwlink/?LinkId=69157
R3 - URLSearchHook: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programme\pdfforge Toolbar\SearchSettings.dll
R3 - URLSearchHook: (no name) -  - (no file)
F2 - REG:system.ini: UserInit=c:\windows\system32\userinit.exe,,c:\programme\microsoft\watermark.exe
O1 - Hosts: ÿþ127.0.0.1 localhost
O1 - Hosts: ::1 localhost
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: Spybot-S&D IE Protection - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: (no name) - {E312764E-7706-43F1-8DAB-FCDD2B1E416D} - C:\Programme\pdfforge Toolbar\SearchSettings.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre6\bin\jusched.exe"
O4 - HKLM\..\Run: [starter4g] C:\WINDOWS\starter4g.exe
O4 - HKLM\..\Run: [SoundMAXPnP] C:\Programme\Analog Devices\Core\smax4pnp.exe
O4 - HKLM\..\Run: [SoundMAX] "C:\Programme\Analog Devices\SoundMAX\Smax4.exe" /tray
O4 - HKLM\..\Run: [SearchSettings] C:\Programme\pdfforge Toolbar\SearchSettings.exe
O4 - HKLM\..\Run: [RegistryMonitor1] C:\WINDOWS\system32\qtplugin.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKLM\..\Run: [nwiz] nwiz.exe /installquiet
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NapsterShell] C:\Programme\Napster\napster.exe /systray
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [Gainward] C:\WINDOWS\TBPanel.exe /A
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [basicsmssmenu] "C:\Programme\Seagate\Basics\Basics Status\MaxMenuMgrBasics.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Deer Hunter 2005 Registration.lnk = M:\Games\Atari\Deer Hunter 2005\ATR1.EXE
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O8 - Extra context menu item: Add to Google Photos Screensa&ver - res://C:\WINDOWS\system32\GPhotos.scr/200
O9 - Extra button: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (file missing)
O9 - Extra 'Tools' menuitem: ICQ7.2 - {72EFBFE4-C74F-4187-AEFD-73EA3BE968D6} - C:\Programme\ICQ7.2\ICQ.exe (file missing)
O9 - Extra button: (no name) - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O9 - Extra 'Tools' menuitem: Spybot - Search & Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll
O23 - Service: Avira AntiVir Planer (AntiVirSchedulerService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\sched.exe
O23 - Service: Avira AntiVir Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir Desktop\avguard.exe
O23 - Service: Basics Service - Seagate Technology LLC - C:\Programme\Seagate\Basics\Service\SyncServicesBasics.exe
O23 - Service: Boonty Games - Unknown owner - C:\Programme\Gemeinsame Dateien\BOONTY Shared\Service\Boonty.exe (file missing)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: AVM IGD CTRL Service (IGDCTRL) - AVM Berlin - C:\Programme\1&1\IGDCTRL.EXE
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: nProtect GameGuard Service (npggsvc) - Unknown owner - C:\WINDOWS\system32\GameMon.des.exe (file missing)
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: Virtual CDAudio Service - Unknown owner - C:\Dokumente und Einstellungen\Moritz\Desktop\RapidSolution\Tunebite\vcdw\VCDAudioService.exe (file missing)
O23 - Service: WTGService - Unknown owner - C:\Programme\XSManager\WTGService.exe
O23 - Service: XS Stick Service - 4G Systems GmbH & Co. KG - C:\WINDOWS\service4g.exe

--
End of file - 8362 bytes
--- --- ---

cosinus 14.11.2010 20:54
Zitat:
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.17055)
Wieso eigentlich nur SP2/IE7? Das SP3 und der IE8 sind schon über zwei jahre verfügbar! Denk dran, dass ein nicht aktuelles Windows ein hervorragender Nährboden für jede Art von Schädlingen ist!
Wenn wir durch sind mit der Bereinigung musst du umgehend die Kiste updaten, ich poste dann noch Instruktionen dazu.

Schleuder 14.11.2010 21:32
Ja mach ich dann sofort, der grund dafür ist übrigens häufiges umziehen, wodurch mein "standrechner" einige Zeit Brach lag!

Dummes Versäumnis von mir!

Wie gehts weiter?


Edit: IE nutze ich garnicht und wusste auch nicht, dass der noch drauf ist... surfe nur mit Firefox

cosinus 14.11.2010 21:34
Den IE kann man nicht deinstallieren, er ist integraler Bestandteil von Windows! Auch bei Nichtbenutzung muss der IE immer aktuell gehalten werden!

Dann bitte jetzt CF ausführen:

ComboFix

Ein Leitfaden und Tutorium zur Nutzung von ComboFix
  • Lade dir ComboFix hier herunter auf deinen Desktop. Benenne es beim Runterladen um in cofi.exe.
http://saved.im/mtm0nzyzmzd5/cofi.jpg
  • Schliesse alle Programme, vor allem dein Antivirenprogramm und andere Hintergrundwächter sowie deinen Internetbrowser.
  • Starte cofi.exe von deinem Desktop aus, bestätige die Warnmeldungen, führe die Updates durch (falls vorgeschlagen), installiere die Wiederherstellungskonsole (falls vorgeschlagen) und lass dein System durchsuchen.
    Vermeide es auch während Combofix läuft die Maus und Tastatur zu benutzen.
  • Im Anschluss öffnet sich automatisch eine combofix.txt, diesen Inhalt bitte kopieren ([Strg]a, [Strg]c) und in deinen Beitrag einfügen ([Strg]v). Die Datei findest du außerdem unter: C:\ComboFix.txt.
Wichtiger Hinweis:
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
Es sollte nie auf eigene Initiative hin ausgeführt werden! Eine falsche Benutzung kann ernsthafte Computerprobleme nach sich ziehen und eine Bereinigung der Infektion noch erschweren.

Schleuder 14.11.2010 22:13
und das kam dabei rum:


Combofix Logfile:
Code:
ComboFix 10-11-13.01 - Moritz 14.11.2010  22:02:08.1.2 - x86
ausgeführt von:: c:\dokumente und einstellungen\Moritz\Desktop\confi.exe.exe
.

((((((((((((((((((((((((((((((((((((  Weitere Löschungen  ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programme\pdfforge Toolbar\SeARchsettings.dll
c:\windows\system32\dmlconf.dat
c:\windows\system32\fldlckun.exe
c:\windows\system32\qtplugin.exe
c:\programme\microsoft\WaterMark.exe . . . . Nicht in der Lage zu löschen

.
(((((((((((((((((((((((((((((((((((((((  Treiber/Dienste  )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_BOONTY_GAMES
-------\Legacy_NPF
-------\Service_Boonty Games


(((((((((((((((((((((((  Dateien erstellt von 2010-10-14 bis 2010-11-14  ))))))))))))))))))))))))))))))
.

2010-11-14 20:59 . 2010-11-14 20:59        61952        ----a-w-        c:\windows\Explorermgr.exe
2010-11-14 20:33 . 2010-10-27 06:13        25048        ------w-        c:\programme\Mozilla Firefox\components\browserdirprovider.dll
2010-11-14 20:33 . 2010-10-27 06:13        140248        ------w-        c:\programme\Mozilla Firefox\components\brwsrcmp.dll
2010-11-14 19:10 . 2010-11-14 19:10        --------        d-----w-        C:\_OTL
2010-11-14 19:06 . 2010-11-14 19:06        --------        d-----w-        c:\windows\Internet Logs
2010-11-12 15:58 . 2010-10-27 06:13        719832        ------w-        c:\programme\Mozilla Firefox\mozcpp19.dll
2010-11-12 15:58 . 2010-10-27 06:13        16856        ------w-        c:\programme\Mozilla Firefox\plugin-container.exe
2010-11-12 15:57 . 2010-11-12 15:57        453079        ----a-r-        c:\dokumente und einstellungen\Moritz\Anwendungsdaten\Microsoft\Installer\{45A66726-69BC-466B-A7A4-12FCBA4883D7}\HiJackThis.exe
2010-11-12 15:57 . 2010-11-12 15:57        --------        d-----w-        c:\programme\Trend Micro
2010-11-11 21:13 . 2010-11-11 21:13        --------        d-----w-        c:\programme\CCleaner
2010-11-11 21:00 . 2010-11-11 21:00        --------        d-----w-        c:\dokumente und einstellungen\Moritz\Anwendungsdaten\Malwarebytes
2010-11-11 21:00 . 2010-04-29 14:39        38224        ----a-w-        c:\windows\system32\drivers\mbamswissarmy.sys
2010-11-11 21:00 . 2010-11-11 21:00        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-11-11 20:59 . 2010-04-29 14:39        20952        ----a-w-        c:\windows\system32\drivers\mbam.sys
2010-11-11 20:59 . 2010-11-11 21:00        --------        d-----w-        c:\programme\Malwarebytes' Anti-Malware
2010-11-11 20:08 . 2010-11-14 21:07        --------        d-----w-        c:\programme\Microsoft
2010-11-07 19:55 . 2010-11-07 20:09        2829        ----a-w-        c:\windows\War3Unin.pif
2010-11-07 19:55 . 2010-11-07 20:09        139264        ----a-w-        c:\windows\War3Unin.exe
2010-11-07 19:53 . 2010-11-09 20:30        --------        d-----w-        c:\programme\Warcraft III
2010-11-05 16:50 . 2010-11-05 17:30        --------        d-----w-        c:\windows\system32\CatRoot_bak
2010-11-05 16:32 . 2008-06-14 17:57        273024        -c----w-        c:\windows\system32\dllcache\bthport.sys
2010-11-05 16:29 . 2010-02-24 12:31        454016        -c----w-        c:\windows\system32\dllcache\mrxsmb.sys
2010-11-05 16:29 . 2009-11-21 16:37        470528        -c----w-        c:\windows\system32\dllcache\aclayers.dll
2010-11-05 16:29 . 2010-06-14 14:30        743936        -c----w-        c:\windows\system32\dllcache\helpsvc.exe
2010-11-05 16:28 . 2009-03-06 14:44        286208        -c----w-        c:\windows\system32\dllcache\pdh.dll
2010-11-05 16:28 . 2009-02-09 10:18        399360        -c----w-        c:\windows\system32\dllcache\rpcss.dll
2010-11-05 16:28 . 2009-02-09 10:18        473088        -c----w-        c:\windows\system32\dllcache\fastprox.dll
2010-11-05 16:28 . 2009-02-06 16:39        227840        -c----w-        c:\windows\system32\dllcache\wmiprvse.exe
2010-11-05 16:28 . 2005-07-26 04:39        60416        -c----w-        c:\windows\system32\dllcache\colbact.dll
2010-11-05 16:28 . 2009-02-09 10:18        677888        -c----w-        c:\windows\system32\dllcache\advapi32.dll
2010-11-05 16:28 . 2009-02-09 10:18        740352        -c----w-        c:\windows\system32\dllcache\ntdll.dll
2010-11-05 16:28 . 2009-02-09 10:18        453120        -c----w-        c:\windows\system32\dllcache\wmiprvsd.dll
2010-11-05 16:28 . 2009-02-09 10:04        111104        -c----w-        c:\windows\system32\dllcache\services.exe
2010-11-05 16:27 . 2009-06-21 22:05        153088        -c--a-w-        c:\windows\system32\dllcache\triedit.dll
2010-11-05 16:27 . 2009-06-21 22:05        153088        ----a-w-        c:\programme\Gemeinsame Dateien\Microsoft Shared\Triedit\triedit.dll
2010-11-05 16:27 . 2009-10-23 14:27        3555328        -c--a-w-        c:\windows\system32\dllcache\moviemk.exe
2010-11-05 16:27 . 2009-10-23 14:27        3555328        ----a-w-        c:\programme\Movie Maker\moviemk.exe
2010-11-05 16:23 . 2008-05-01 14:30        331776        -c--a-w-        c:\windows\system32\dllcache\msadce.dll
2010-11-05 16:23 . 2008-05-01 14:30        331776        ----a-w-        c:\programme\Gemeinsame Dateien\System\msadc\msadce.dll
2010-11-05 16:20 . 2010-02-12 10:03        293376        ------w-        c:\windows\system32\browserchoice.exe
2010-11-05 16:17 . 2009-06-05 07:42        655872        -c----w-        c:\windows\system32\dllcache\mstscax.dll
2010-11-05 16:16 . 2009-07-31 04:58        1172480        -c----w-        c:\windows\system32\dllcache\msxml3.dll
2010-11-05 06:22 . 2009-08-06 18:24        18144        ----a-w-        c:\windows\system32\wuaueng.dll.mui
2010-11-05 06:22 . 2009-08-06 18:24        15584        ----a-w-        c:\windows\system32\wuapi.dll.mui
2010-11-05 06:22 . 2009-08-06 18:24        15584        ----a-w-        c:\windows\system32\wuaucpl.cpl.mui
2010-11-05 06:22 . 2009-08-06 18:24        23264        ----a-w-        c:\windows\system32\wucltui.dll.mui
2010-11-04 19:02 . 2010-11-04 19:02        --------        d-----w-        c:\dokumente und einstellungen\Moritz\Anwendungsdaten\Avira
2010-11-04 18:56 . 2010-11-04 18:56        --------        d-----w-        c:\dokumente und einstellungen\Moritz\Anwendungsdaten\CheckPoint
2010-11-04 18:55 . 2010-11-04 18:55        --------        d-----w-        c:\programme\CheckPoint
2010-11-04 18:55 . 2010-06-28 12:00        46592        ----a-w-        c:\windows\system32\vsutil_loc0407.dll
2010-11-04 18:50 . 2010-11-04 18:50        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2010-11-04 18:50 . 2010-08-02 15:09        126856        ----a-w-        c:\windows\system32\drivers\avipbb.sys
2010-11-04 18:50 . 2010-06-17 14:27        45416        ----a-w-        c:\windows\system32\drivers\avgntdd.sys
2010-11-04 18:50 . 2010-06-17 14:27        22360        ----a-w-        c:\windows\system32\drivers\avgntmgr.sys
2010-11-04 18:36 . 2008-01-17 17:59        713216        -c----w-        c:\windows\system32\dllcache\sxs.dll
2010-11-02 19:23 . 2010-11-02 19:24        --------        d-----w-        c:\dokumente und einstellungen\All Users\Anwendungsdaten\ICQ
2010-11-02 18:50 . 2010-11-02 18:50        --------        d-----w-        c:\dokumente und einstellungen\Moritz\Lokale Einstellungen\Anwendungsdaten\AOL

.
((((((((((((((((((((((((((((((((((((  Find3M Bericht  ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-05-01 21:02 . 2009-05-01 21:02        1110360        ----a-w-        c:\programme\mozilla firefox\plugins\libdivx.dll
2009-05-01 21:02 . 2009-05-01 21:02        266687        ----a-w-        c:\programme\mozilla firefox\plugins\ssldivx.dll
.

((((((((((((((((((((((((((((  Autostartpunkte der Registrierung  ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"TkBellExe"="c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" [2009-04-20 198160]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2009-09-29 149280]
"starter4g"="c:\windows\starter4g.exe" [2009-10-29 157456]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2005-05-18 991727]
"SearchSettings"="c:\programme\pdfforge Toolbar\SearchSettings.exe" [2009-07-29 1089417]
"QuickTime Task"="c:\programme\QuickTime\QTTask.exe" [2009-09-04 483854]
"NvMediaCenter"="NvMCTray.dll" [2009-11-20 110184]
"NvCplDaemon"="c:\windows\system32\NvCpl.dll" [2009-11-20 12669544]
"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2004-10-27 61952]
"Gainward"="c:\windows\TBPanel.exe" [2007-03-23 2173744]
"FreePDF Assistant"="c:\programme\FreePDF_XP\fpassist.exe" [2009-09-05 385024]
"basicsmssmenu"="c:\programme\Seagate\Basics\Basics Status\MaxMenuMgrBasics.exe" [2007-10-09 169328]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2010-08-02 281768]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2009-02-27 35696]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\System32\CTFMON.EXE" [2004-08-03 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon]
"Userinit"="c:\windows\system32\userinit.exe,,c:\programme\microsoft\watermark.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"rpcapd"=3 (0x3)
"PnkBstrA"=2 (0x2)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\1&1\\IGDCTRL.EXE"=
"c:\\Programme\\1&1\\FBoxUpd.exe"=
"c:\\Programme\\1&1\\WebwaIgd.exe"=
"m:\\Games\\EA GAMES\\Battlefield 2\\BF2.exe"=
"m:\\Games\\Electronic Arts\\Die Schlacht um Mittelerde II\\game.dat"=
"m:\\Games\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=
"m:\\Games\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=
"c:\\Programme\\THQ\\Company of Heroes\\RelicCOH.exe"=
"c:\\Programme\\THQ\\Company of Heroes\\RelicDownloader\\RelicDownloader.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

R0 rsvcdwdr;rsvcdwdr;c:\windows\system32\drivers\rsvcdwdr.sys [12.07.2009 09:42 27680]
R0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [13.12.2009 18:36 691696]
R1 MemAlloc;MemAlloc;c:\windows\system32\drivers\MemAlloc.sys [17.03.2008 21:03 10016]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [04.11.2010 19:50 135336]
R2 IGDCTRL;AVM IGD CTRL Service;c:\programme\1&1\IGDCTRL.EXE [25.10.2007 17:09 87344]
R2 WTGService;WTGService;c:\programme\XSManager\WTGService.exe [03.02.2010 15:49 304592]
R2 XS Stick Service;XS Stick Service;c:\windows\service4g.exe [03.02.2010 15:49 125200]
R3 AtcL001;NDIS Miniport Driver for Attansic L1 Gigabit Ethernet Adapter;c:\windows\system32\drivers\atl01_xp.sys [09.06.2007 13:39 34944]
S1 LStone;Pinnacle Systems Studio AV/DV Overlay;c:\windows\system32\DRIVERS\lstone2k.sys --> c:\windows\system32\DRIVERS\lstone2k.sys [?]
S2 Virtual CDAudio Service;Virtual CDAudio Service;"c:\dokumente und einstellungen\Moritz\Desktop\RapidSolution\Tunebite\vcdw\VCDAudioService.exe" --> c:\dokumente und einstellungen\Moritz\Desktop\RapidSolution\Tunebite\vcdw\VCDAudioService.exe [?]
S3 AVMUNET;AVM FRITZ!Box;c:\windows\system32\drivers\avmunet.sys [24.09.2007 17:09 16384]
S3 bfastfao;bfastfao;\??\c:\dokume~1\Moritz\LOKALE~1\Temp\bfastfao.sys --> c:\dokume~1\Moritz\LOKALE~1\Temp\bfastfao.sys [?]
S3 cmnsusbser;Mobile Connector USB Device for Legacy Serial Communication LCT2053s;c:\windows\system32\drivers\cmnsusbser.sys [03.02.2010 15:49 103424]
S3 massfilter;ZTE Mass Storage Filter Driver;c:\windows\system32\drivers\massfilter.sys --> c:\windows\system32\drivers\massfilter.sys [?]
S3 npggsvc;nProtect GameGuard Service;c:\windows\system32\GameMon.des -service --> c:\windows\system32\GameMon.des -service [?]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://start.icq.com/
IE: Add to Google Photos Screensa&ver - c:\windows\system32\GPhotos.scr/200
Trusted Zone: 1und1.de\maxdome
FF - ProfilePath - c:\dokumente und einstellungen\Moritz\Anwendungsdaten\Mozilla\Firefox\Profiles\khn973m0.default\
FF - prefs.js: browser.search.selectedEngine - Google
FF - prefs.js: browser.startup.homepage - www.antifa.de
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&tb_ver=1.1.7&q=
FF - plugin: c:\programme\Mozilla Firefox\plugins\NPStreamPlug.dll
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbaam7a8h", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqz9s", true); // Traditional
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--fiqs8s", true); // Simplified
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--j6w193g", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4ar", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgberp4a5d4a87g", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7c0a67fbc", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--mgbqly7cvafr", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kpry57d", true);  // Traditional
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.IDN.whitelist.xn--kprw13d", true);  // Simplified
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("dom.ipc.plugins.enabled", false);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

URLSearchHooks-{E312764E-7706-43F1-8DAB-FCDD2B1E416D} - (no file)
BHO-{B922D405-6D13-4A2B-AE89-08A030DA4402} - (no file)
BHO-{E312764E-7706-43F1-8DAB-FCDD2B1E416D} - (no file)
HKLM-Run-nwiz - nwiz.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2010-11-14 22:08
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\npggsvc]
"ImagePath"="c:\windows\system32\GameMon.des -service"
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:c2,7e,aa,75,46,60,70,15,79,03,03,0f,fa,2b,69,08,36,6b,4d,fa,3b,6c,9f,
  06,54,54,93,78,07,05,dd,25,77,d6,9d,7a,c5,f2,9e,16,2d,6f,ba,04,5b,9e,e3,bc,\
"??"=hex:a8,6f,28,82,d4,ee,de,09,84,51,9e,46,93,12,d1,92

[HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:3d,0f,9b,39,70,a0,7a,e9,ce,d3,61,1b,f7,23,7e,54,52,15,2a,13,ff,
  bb,14,82,c8,a0,c7,d4,1d,16,b9,b6,53,32,99,87,34,ad,8f,b4,b5,b5,8a,76,fa,c0,\
"rkeysecu"=hex:15,de,08,69,5b,35,c3,38,28,5a,f0,1d,7b,a0,a7,9a
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(940)
c:\windows\system32\sxs.dll

- - - - - - - > 'explorer.exe'(1712)
c:\windows\system32\msi.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Avira\AntiVir Desktop\avshadow.exe
c:\windows\system32\nvsvc32.exe
c:\programme\Seagate\Basics\Service\SyncServicesBasics.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
c:\windows\system32\wscntfy.exe
c:\windows\System32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-11-14  22:13:29 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2010-11-14 21:13

Vor Suchlauf: 1.573.609.472 Bytes frei
Nach Suchlauf: 1.453.981.696 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect /NoExecute=OptIn

- - End Of File - - 12BF3BA6BE850B1F089ACA41F98A9DD2
--- --- ---

Ich würde an dieser stelle auch gerne nochmal kurz den Zustand beschreiben der aktuell noch vorliegt - der Guard von Antivir meldet ca alle 3min mind 4 Viren:
Dabei handelt es sich immer um:
Copy of Shortcut to (1 bis 4).Ink Fund: EXP/CVE-2010-2568.A

Die habe ich jetzt auch schon 20zig mal in Quarantäne geschoben und dann gelöscht.

Wenn ich darauf nicht mit entfernen reagiere, sondern garnichts mache... afk sozusagen und wiederkomme hat sich die anzahl der viren schnell mehr als verhundertfacht. Hunderte ".exe" mit sinnlosen zeichen sind in der Zeit von Trojanern (meist TR/Crypt.XPACK.Gen) scheinbar erstellt worden.

Ich hoffe diese Infos helfen uns noch weiter!

cosinus 15.11.2010 05:15
Zitat:
Dabei handelt es sich immer um:
Copy of Shortcut to (1 bis 4).Ink Fund: EXP/CVE-2010-2568.A
Die Pfadangaben fehlen...

Schleuder 15.11.2010 14:07
Hallo nochmal!

Also
1. Der Pfad ist interessanterweise ein USB-Stick ( H: ). Den habe ich allerdings erst benutzt gehabt als nach dem Virenbefall mein Firefox ständig nicht mehr funktionierte um mir die FF-Setup.exe rüberzuziehen.
Habe H eben formatiert, aber diese Shortcut dateien werden neben dem ordner recycler immer wieder erstellt.
2. Noch immer muss ich ständig den Firefox neu installieren, weil er nicht funktioniert. Dürfe in Zusammenhang mit der entfernung der Viren mit AV liegen (?!).
3. Habe gestern nacht nochmal nen AV suchlauf komplett laufen lassen. Die Warnungen, die der AVGuard ausgibt wurde hier nicht gefunden.
Log im Anhang.


Code:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Sonntag, 14. November 2010  22:24

Es wird nach 3043866 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 2)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : MQ

Versionsinformationen:
BUILD.DAT      : 10.0.0.592    31823 Bytes    9.8.2010 10:49:00
AVSCAN.EXE    : 10.0.3.1      434344 Bytes    2.8.2010 15:09:33
AVSCAN.DLL    : 10.0.3.0      56168 Bytes    2.8.2010 15:09:45
LUKE.DLL      : 10.0.2.3      104296 Bytes    2.8.2010 15:09:38
LUKERES.DLL    : 10.0.0.0      13672 Bytes  14.1.2010 11:59:47
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  6.11.2009 09:05:36
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 19:27:49
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.1.2010 17:37:42
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.1.2010 16:37:42
VBASE004.VDF  : 7.10.4.203  1579008 Bytes    5.3.2010 11:29:03
VBASE005.VDF  : 7.10.6.82    2494464 Bytes  15.4.2010 15:09:41
VBASE006.VDF  : 7.10.7.218  2294784 Bytes    2.6.2010 15:09:42
VBASE007.VDF  : 7.10.9.165  4840960 Bytes  23.7.2010 15:09:43
VBASE008.VDF  : 7.10.11.133  3454464 Bytes  13.9.2010 20:44:48
VBASE009.VDF  : 7.10.13.80  2265600 Bytes  2.11.2010 20:45:01
VBASE010.VDF  : 7.10.13.81      2048 Bytes  2.11.2010 20:45:01
VBASE011.VDF  : 7.10.13.82      2048 Bytes  2.11.2010 20:45:02
VBASE012.VDF  : 7.10.13.83      2048 Bytes  2.11.2010 20:45:02
VBASE013.VDF  : 7.10.13.116  147968 Bytes  4.11.2010 20:45:02
VBASE014.VDF  : 7.10.13.147  146944 Bytes  7.11.2010 19:18:16
VBASE015.VDF  : 7.10.13.180  123904 Bytes  9.11.2010 19:18:16
VBASE016.VDF  : 7.10.13.211  122368 Bytes  11.11.2010 19:18:16
VBASE017.VDF  : 7.10.13.212    2048 Bytes  11.11.2010 19:18:16
VBASE018.VDF  : 7.10.13.213    2048 Bytes  11.11.2010 19:18:16
VBASE019.VDF  : 7.10.13.214    2048 Bytes  11.11.2010 19:18:16
VBASE020.VDF  : 7.10.13.215    2048 Bytes  11.11.2010 19:18:16
VBASE021.VDF  : 7.10.13.216    2048 Bytes  11.11.2010 19:18:16
VBASE022.VDF  : 7.10.13.217    2048 Bytes  11.11.2010 19:18:16
VBASE023.VDF  : 7.10.13.218    2048 Bytes  11.11.2010 19:18:16
VBASE024.VDF  : 7.10.13.219    2048 Bytes  11.11.2010 19:18:16
VBASE025.VDF  : 7.10.13.220    2048 Bytes  11.11.2010 19:18:16
VBASE026.VDF  : 7.10.13.221    2048 Bytes  11.11.2010 19:18:16
VBASE027.VDF  : 7.10.13.222    2048 Bytes  11.11.2010 19:18:16
VBASE028.VDF  : 7.10.13.223    2048 Bytes  11.11.2010 19:18:16
VBASE029.VDF  : 7.10.13.224    2048 Bytes  11.11.2010 19:18:16
VBASE030.VDF  : 7.10.13.225    2048 Bytes  11.11.2010 19:18:16
VBASE031.VDF  : 7.10.13.237    73728 Bytes  13.11.2010 19:18:16
Engineversion  : 8.2.4.98 
AEVDF.DLL      : 8.1.2.1      106868 Bytes    2.8.2010 15:09:30
AESCRIPT.DLL  : 8.1.3.46    1364347 Bytes  6.11.2010 20:45:19
AESCN.DLL      : 8.1.6.1      127347 Bytes    2.8.2010 15:09:30
AESBX.DLL      : 8.1.3.1      254324 Bytes    2.8.2010 15:09:30
AERDL.DLL      : 8.1.9.2      635252 Bytes  6.11.2010 20:45:16
AEPACK.DLL    : 8.2.3.11      471416 Bytes  6.11.2010 20:45:15
AEOFFICE.DLL  : 8.1.1.8      201081 Bytes    2.8.2010 15:09:29
AEHEUR.DLL    : 8.1.2.41    3043703 Bytes  14.11.2010 19:18:22
AEHELP.DLL    : 8.1.14.0      246134 Bytes  6.11.2010 20:45:08
AEGEN.DLL      : 8.1.3.24      401781 Bytes  6.11.2010 20:45:07
AEEMU.DLL      : 8.1.2.0      393588 Bytes    2.8.2010 15:09:25
AECORE.DLL    : 8.1.17.0      196982 Bytes  6.11.2010 20:45:06
AEBB.DLL      : 8.1.1.0        53618 Bytes    2.8.2010 15:09:25
AVWINLL.DLL    : 10.0.0.0      19304 Bytes    2.8.2010 15:09:33
AVPREF.DLL    : 10.0.0.0      44904 Bytes    2.8.2010 15:09:33
AVREP.DLL      : 10.0.0.8      62209 Bytes  17.6.2010 14:26:53
AVREG.DLL      : 10.0.3.2      53096 Bytes    2.8.2010 15:09:33
AVSCPLR.DLL    : 10.0.3.1      83816 Bytes    2.8.2010 15:09:33
AVARKT.DLL    : 10.0.0.14    227176 Bytes    2.8.2010 15:09:31
AVEVTLOG.DLL  : 10.0.0.8      203112 Bytes    2.8.2010 15:09:32
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  17.6.2010 14:27:02
AVSMTP.DLL    : 10.0.0.17      63848 Bytes    2.8.2010 15:09:33
NETNT.DLL      : 10.0.0.0      11624 Bytes  17.6.2010 14:27:01
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.1.2010 13:10:08
RCTEXT.DLL    : 10.0.58.0      98152 Bytes    2.8.2010 15:09:45

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, M:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +PCK,+PFS,

Beginn des Suchlaufs: Sonntag, 14. November 2010  22:24

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\datasecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\rkeysecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_LOCAL_MACHINE\System\ControlSet001\Services\NtmsSvc\Config\Standalone\drivelist
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
c:\windows\explorer.exe
c:\WINDOWS\explorer.exe
    [HINWEIS]  Der Prozess ist nicht sichtbar.
c:\windows\starter4g.exe
c:\WINDOWS\starter4g.exe
    [HINWEIS]  Der Prozess ist nicht sichtbar.
c:\windows\system32\ntvdm.exe
c:\WINDOWS\system32\ntvdm.exe
    [HINWEIS]  Der Prozess ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '82' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '50' Modul(e) wurden durchsucht
Durchsuche Prozess 'fpassist.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'TBPanel.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'smax4pnp.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'starter4g.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'service4g.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTGService.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'ULCDRSvr.exe' - '10' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '82' Modul(e) wurden durchsucht
Durchsuche Prozess 'IGDCTRL.EXE' - '43' Modul(e) wurden durchsucht
Durchsuche Prozess 'SyncServicesBasics.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '153' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!
Masterbootsektor HD1
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'M:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1688' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Programme\Microsoft\WaterMark.exe
    [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
C:\Qoobox\Quarantine\C\Programme\Microsoft\watermark.exe.vir
    [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
C:\Qoobox\Quarantine\C\Programme\Microsoft\_WaterMark_.exe.zip
[0] Archivtyp: ZIP
  [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
--> WaterMark.exe.2
  [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN

Beginne mit der Desinfektion:
C:\Qoobox\Quarantine\C\Programme\Microsoft\_WaterMark_.exe.zip
    [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 4ea0d0b7.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Qoobox\Quarantine\C\Programme\Microsoft\watermark.exe.vir
    [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 5622ff2c.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Programme\Microsoft\WaterMark.exe
    [FUND]      Ist das Trojanische Pferd TR/Drop.Softomat.AN
    [HINWEIS]  Die Datei wurde gelöscht.


Ende des Suchlaufs: Montag, 15. November 2010  00:43
Benötigte Zeit:  2:18:20 Stunde(n)

Der Suchlauf wurde abgebrochen!

  9030 Verzeichnisse wurden überprüft
 455996 Dateien wurden geprüft
      3 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      3 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      2 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 455993 Dateien ohne Befall
  3416 Archive wurden durchsucht
      0 Warnungen
      2 Hinweise
 573831 Objekte wurden beim Rootkitscan durchsucht
      6 Versteckte Objekte wurden gefunden
Ich verstehe glaube ich grade warum der suchlauf nicht mit dem guard übereinstimmt: weil der Suchlauf den USB Stick nicht erfasst...

Abschließend wollte ich aber nochmal erwähnen, dass der USB STick ziemlich sicher nicht die Quelle der Viren ist, er ist höchstens durch benutzung zum Wirt geworden.

Danke und Gruß Schleuder


Edit: Hab den Stick nochmal formatiert und dann abgezogen, seit dem ist der Guard interessanterweise Still...

Schleuder 15.11.2010 19:06
Habe grade einen 4stunden Fullscan mit AV laufen lassen.
Dieser findet nichts mehr. Kommt der ganze ärger vom Stick?
Ich bin irgendwie skeptisch und glaub noch nicht daran, dass jetzt wieder alles in Ordnung ist.

Was ist mit Sachen wie onlinebanking, ebay, amazon usw muss ich da jetzt eigentlich meine accounts alle sperren? oder passwörter ändern?

still needing help :wtf:

Code:



Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Montag, 15. November 2010  15:00

Es wird nach 3043866 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 2)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : SYSTEM
Computername  : MQ

Versionsinformationen:
BUILD.DAT      : 10.0.0.592    31823 Bytes    9.8.2010 10:49:00
AVSCAN.EXE    : 10.0.3.1      434344 Bytes    2.8.2010 15:09:33
AVSCAN.DLL    : 10.0.3.0      56168 Bytes    2.8.2010 15:09:45
LUKE.DLL      : 10.0.2.3      104296 Bytes    2.8.2010 15:09:38
LUKERES.DLL    : 10.0.0.0      13672 Bytes  14.1.2010 11:59:47
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  6.11.2009 09:05:36
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 19:27:49
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.1.2010 17:37:42
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.1.2010 16:37:42
VBASE004.VDF  : 7.10.4.203  1579008 Bytes    5.3.2010 11:29:03
VBASE005.VDF  : 7.10.6.82    2494464 Bytes  15.4.2010 15:09:41
VBASE006.VDF  : 7.10.7.218  2294784 Bytes    2.6.2010 15:09:42
VBASE007.VDF  : 7.10.9.165  4840960 Bytes  23.7.2010 15:09:43
VBASE008.VDF  : 7.10.11.133  3454464 Bytes  13.9.2010 20:44:48
VBASE009.VDF  : 7.10.13.80  2265600 Bytes  2.11.2010 20:45:01
VBASE010.VDF  : 7.10.13.81      2048 Bytes  2.11.2010 20:45:01
VBASE011.VDF  : 7.10.13.82      2048 Bytes  2.11.2010 20:45:02
VBASE012.VDF  : 7.10.13.83      2048 Bytes  2.11.2010 20:45:02
VBASE013.VDF  : 7.10.13.116  147968 Bytes  4.11.2010 20:45:02
VBASE014.VDF  : 7.10.13.147  146944 Bytes  7.11.2010 19:18:16
VBASE015.VDF  : 7.10.13.180  123904 Bytes  9.11.2010 19:18:16
VBASE016.VDF  : 7.10.13.211  122368 Bytes  11.11.2010 19:18:16
VBASE017.VDF  : 7.10.13.212    2048 Bytes  11.11.2010 19:18:16
VBASE018.VDF  : 7.10.13.213    2048 Bytes  11.11.2010 19:18:16
VBASE019.VDF  : 7.10.13.214    2048 Bytes  11.11.2010 19:18:16
VBASE020.VDF  : 7.10.13.215    2048 Bytes  11.11.2010 19:18:16
VBASE021.VDF  : 7.10.13.216    2048 Bytes  11.11.2010 19:18:16
VBASE022.VDF  : 7.10.13.217    2048 Bytes  11.11.2010 19:18:16
VBASE023.VDF  : 7.10.13.218    2048 Bytes  11.11.2010 19:18:16
VBASE024.VDF  : 7.10.13.219    2048 Bytes  11.11.2010 19:18:16
VBASE025.VDF  : 7.10.13.220    2048 Bytes  11.11.2010 19:18:16
VBASE026.VDF  : 7.10.13.221    2048 Bytes  11.11.2010 19:18:16
VBASE027.VDF  : 7.10.13.222    2048 Bytes  11.11.2010 19:18:16
VBASE028.VDF  : 7.10.13.223    2048 Bytes  11.11.2010 19:18:16
VBASE029.VDF  : 7.10.13.224    2048 Bytes  11.11.2010 19:18:16
VBASE030.VDF  : 7.10.13.225    2048 Bytes  11.11.2010 19:18:16
VBASE031.VDF  : 7.10.13.237    73728 Bytes  13.11.2010 19:18:16
Engineversion  : 8.2.4.98 
AEVDF.DLL      : 8.1.2.1      106868 Bytes    2.8.2010 15:09:30
AESCRIPT.DLL  : 8.1.3.46    1364347 Bytes  6.11.2010 20:45:19
AESCN.DLL      : 8.1.6.1      127347 Bytes    2.8.2010 15:09:30
AESBX.DLL      : 8.1.3.1      254324 Bytes    2.8.2010 15:09:30
AERDL.DLL      : 8.1.9.2      635252 Bytes  6.11.2010 20:45:16
AEPACK.DLL    : 8.2.3.11      471416 Bytes  6.11.2010 20:45:15
AEOFFICE.DLL  : 8.1.1.8      201081 Bytes    2.8.2010 15:09:29
AEHEUR.DLL    : 8.1.2.41    3043703 Bytes  14.11.2010 19:18:22
AEHELP.DLL    : 8.1.14.0      246134 Bytes  6.11.2010 20:45:08
AEGEN.DLL      : 8.1.3.24      401781 Bytes  6.11.2010 20:45:07
AEEMU.DLL      : 8.1.2.0      393588 Bytes    2.8.2010 15:09:25
AECORE.DLL    : 8.1.17.0      196982 Bytes  6.11.2010 20:45:06
AEBB.DLL      : 8.1.1.0        53618 Bytes    2.8.2010 15:09:25
AVWINLL.DLL    : 10.0.0.0      19304 Bytes    2.8.2010 15:09:33
AVPREF.DLL    : 10.0.0.0      44904 Bytes    2.8.2010 15:09:33
AVREP.DLL      : 10.0.0.8      62209 Bytes  17.6.2010 14:26:53
AVREG.DLL      : 10.0.3.2      53096 Bytes    2.8.2010 15:09:33
AVSCPLR.DLL    : 10.0.3.1      83816 Bytes    2.8.2010 15:09:33
AVARKT.DLL    : 10.0.0.14    227176 Bytes    2.8.2010 15:09:31
AVEVTLOG.DLL  : 10.0.0.8      203112 Bytes    2.8.2010 15:09:32
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  17.6.2010 14:27:02
AVSMTP.DLL    : 10.0.0.17      63848 Bytes    2.8.2010 15:09:33
NETNT.DLL      : 10.0.0.0      11624 Bytes  17.6.2010 14:27:01
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.1.2010 13:10:08
RCTEXT.DLL    : 10.0.58.0      98152 Bytes    2.8.2010 15:09:45

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, M:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Montag, 15. November 2010  15:00

Der Suchlauf nach versteckten Objekten wird begonnen.
Eine Instanz der ARK Library läuft bereits.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '61' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '59' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '81' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'wuauclt.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'service4g.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'WTGService.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'ULCDRSvr.exe' - '9' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '82' Modul(e) wurden durchsucht
Durchsuche Prozess 'SyncServicesBasics.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'MaxMenuMgrBasics.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'fpassist.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'TBPanel.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'smax4pnp.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'starter4g.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '118' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '153' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '14' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'M:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1690' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
Beginne mit der Suche in 'M:\' <Volume>


Ende des Suchlaufs: Montag, 15. November 2010  19:04
Benötigte Zeit:  4:03:51 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  13956 Verzeichnisse wurden überprüft
 863601 Dateien wurden geprüft
      0 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 863601 Dateien ohne Befall
  4561 Archive wurden durchsucht
      0 Warnungen
      0 Hinweise

Schleuder 15.11.2010 20:10
Update:

AV Guard hat unter C:Programme/Mozilla Firefox/res/hiddenWindow.html

den scriptvirus HTML/Rce.Gen gefunden.

:killpc: der Spaß ist also noch nicht vorbei :stirn:

cosinus 15.11.2010 22:15
Zitat:
C:\WINDOWS\service4g.exe
C:\WINDOWS\starter4g.exe
Bitte diese Dateien bei Virustotal auswerten lassen und von jeder den Ergebnislink posten. Falls Du die Dateien nicht siehst, musst Du sie evtl. vorher sichtbar machen.
Wenn eine Datei schon ausgewerte sein sollte, bitte eine weitere Auswertung starten.

Schleuder 15.11.2010 22:54
hxxp://www.virustotal.com/file-scan/report.html?id=4a4dc3478105df99c4254ba3f15f6bcf293210f7639da8ba25bb6a6dbc46649d-1289857919


und


hxxp://www.virustotal.com/file-scan/report.html?id=f2857d9ece6fecc0d189db6e3bd738ebd96f6549273f9086fb8fa4e6f2b72f5f-1261508158


ist das richtig?


EDIT: Der AVGuard findet immer weiter an verschiedenen Orten verschiedene Trojaner =(
und das system ist inzwischen äußerst langsam und der arbeitsspeicher scheint voll ausgelastet

cosinus 15.11.2010 23:13
Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.


Downloade Dir danach bitte MBRCheck (by a_d_13) und speichere die Datei auf dem Desktop.
  • Doppelklick auf die MBRCheck.exe.
    Vista und Win7 User mit Rechtsklick "als Administrator starten"
  • Das Tool braucht nur eine Sekunde.
  • Danach solltest du eine MBRCheck_<Datum>_<Uhrzeit>.txt auf dem Desktop finden.
Poste mir bitte den Inhalt des .txt Dokumentes

Schleuder 16.11.2010 22:42
GMER läuft (seit 3stunden) - ich mach die Logfiles Fertig.

Ich würde die dann gerne nicht öffentlich posten also als Zip anhängen und dir PW per PN schicken.

Grund: Ich kenne schlichtweg den Inhalt dieser Logs nicht und will nicht mehr Informationen (öffentlich) preis geben, als umbedingt nötig

cosinus 16.11.2010 23:44
Ist ok so. Als zip posten und mir das Passwort per PN ist gängige Praxis :)

Schleuder 17.11.2010 17:40
hier die logs sry für die verzögerung



pw kommt per PM, PN

:dankeschoen:

cosinus 17.11.2010 18:29
Die Logs sind alle unaufällig. Mach bitte zur Kontrolle Vollscans mit Malwarebytes und SASW und poste die Logs.
Denk dran beide Tools zu updaten vor dem Scan!!

Schleuder 17.11.2010 22:05
Hi!

Also Malwarebytes funktioniert seit dem update auf service pack 3 nichtmehr... auch nicht über reinstall.

Den anderen Scanner hab ich laufen lassen, der hat mir aber kein log gespeichert.
Hatte aber 3 Funde und diese entfernt.
Ein zweiter Scan brachte keine ergebnisse.
Später zeigte der AV Guard erneut 23Viren an.

Diese habe ich über den Guard gelöscht.

Was kann man jetzt noch probieren?

cosinus 17.11.2010 22:15
Zitat:
Also Malwarebytes funktioniert seit dem update auf service pack 3 nichtmehr... auch nicht über reinstall.
Fehlermeldung?

Zitat:
Später zeigte der AV Guard erneut 23Viren an.
Und ich soll jetzt meine :glaskugel: rauskramen und oraklen was wo gefunden wurde? :wtf:

Schleuder 18.11.2010 05:48
Das wär natürlich äußerst praktisch.

Nur zur Sicherheit hier das Logfile:

Code:
Avira AntiVir Personal
Erstellungsdatum der Reportdatei: Mittwoch, 17. November 2010  23:13

Es wird nach 3062692 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer  : Avira AntiVir Personal - FREE Antivirus
Seriennummer  : 0000149996-ADJIE-0000001
Plattform      : Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus    : Normal gebootet
Benutzername  : Moritz
Computername  : MQ

Versionsinformationen:
BUILD.DAT      : 10.0.0.592    31823 Bytes  09.08.2010 10:49:00
AVSCAN.EXE    : 10.0.3.1      434344 Bytes  02.08.2010 15:09:33
AVSCAN.DLL    : 10.0.3.0      56168 Bytes  02.08.2010 15:09:45
LUKE.DLL      : 10.0.2.3      104296 Bytes  02.08.2010 15:09:38
LUKERES.DLL    : 10.0.0.0      13672 Bytes  14.01.2010 11:59:47
VBASE000.VDF  : 7.10.0.0    19875328 Bytes  06.11.2009 09:05:36
VBASE001.VDF  : 7.10.1.0    1372672 Bytes  19.11.2009 19:27:49
VBASE002.VDF  : 7.10.3.1    3143680 Bytes  20.01.2010 17:37:42
VBASE003.VDF  : 7.10.3.75    996864 Bytes  26.01.2010 16:37:42
VBASE004.VDF  : 7.10.4.203  1579008 Bytes  05.03.2010 11:29:03
VBASE005.VDF  : 7.10.6.82    2494464 Bytes  15.04.2010 15:09:41
VBASE006.VDF  : 7.10.7.218  2294784 Bytes  02.06.2010 15:09:42
VBASE007.VDF  : 7.10.9.165  4840960 Bytes  23.07.2010 15:09:43
VBASE008.VDF  : 7.10.11.133  3454464 Bytes  13.09.2010 20:44:48
VBASE009.VDF  : 7.10.13.80  2265600 Bytes  02.11.2010 20:45:01
VBASE010.VDF  : 7.10.13.81      2048 Bytes  02.11.2010 20:45:01
VBASE011.VDF  : 7.10.13.82      2048 Bytes  02.11.2010 20:45:02
VBASE012.VDF  : 7.10.13.83      2048 Bytes  02.11.2010 20:45:02
VBASE013.VDF  : 7.10.13.116  147968 Bytes  04.11.2010 20:45:02
VBASE014.VDF  : 7.10.13.147  146944 Bytes  07.11.2010 19:18:16
VBASE015.VDF  : 7.10.13.180  123904 Bytes  09.11.2010 19:18:16
VBASE016.VDF  : 7.10.13.211  122368 Bytes  11.11.2010 19:18:16
VBASE017.VDF  : 7.10.13.243  147456 Bytes  15.11.2010 22:10:59
VBASE018.VDF  : 7.10.14.15    142848 Bytes  17.11.2010 21:12:04
VBASE019.VDF  : 7.10.14.16      2048 Bytes  17.11.2010 21:12:04
VBASE020.VDF  : 7.10.14.17      2048 Bytes  17.11.2010 21:12:04
VBASE021.VDF  : 7.10.14.18      2048 Bytes  17.11.2010 21:12:04
VBASE022.VDF  : 7.10.14.19      2048 Bytes  17.11.2010 21:12:04
VBASE023.VDF  : 7.10.14.20      2048 Bytes  17.11.2010 21:12:05
VBASE024.VDF  : 7.10.14.21      2048 Bytes  17.11.2010 21:12:05
VBASE025.VDF  : 7.10.14.22      2048 Bytes  17.11.2010 21:12:05
VBASE026.VDF  : 7.10.14.23      2048 Bytes  17.11.2010 21:12:05
VBASE027.VDF  : 7.10.14.24      2048 Bytes  17.11.2010 21:12:05
VBASE028.VDF  : 7.10.14.25      2048 Bytes  17.11.2010 21:12:05
VBASE029.VDF  : 7.10.14.26      2048 Bytes  17.11.2010 21:12:05
VBASE030.VDF  : 7.10.14.27      2048 Bytes  17.11.2010 21:12:05
VBASE031.VDF  : 7.10.14.33    53760 Bytes  17.11.2010 21:12:06
Engineversion  : 8.2.4.98 
AEVDF.DLL      : 8.1.2.1      106868 Bytes  02.08.2010 15:09:30
AESCRIPT.DLL  : 8.1.3.46    1364347 Bytes  06.11.2010 20:45:19
AESCN.DLL      : 8.1.6.1      127347 Bytes  02.08.2010 15:09:30
AESBX.DLL      : 8.1.3.1      254324 Bytes  02.08.2010 15:09:30
AERDL.DLL      : 8.1.9.2      635252 Bytes  06.11.2010 20:45:16
AEPACK.DLL    : 8.2.3.11      471416 Bytes  06.11.2010 20:45:15
AEOFFICE.DLL  : 8.1.1.8      201081 Bytes  02.08.2010 15:09:29
AEHEUR.DLL    : 8.1.2.41    3043703 Bytes  14.11.2010 19:18:22
AEHELP.DLL    : 8.1.14.0      246134 Bytes  06.11.2010 20:45:08
AEGEN.DLL      : 8.1.3.24      401781 Bytes  06.11.2010 20:45:07
AEEMU.DLL      : 8.1.2.0      393588 Bytes  02.08.2010 15:09:25
AECORE.DLL    : 8.1.17.0      196982 Bytes  06.11.2010 20:45:06
AEBB.DLL      : 8.1.1.0        53618 Bytes  02.08.2010 15:09:25
AVWINLL.DLL    : 10.0.0.0      19304 Bytes  02.08.2010 15:09:33
AVPREF.DLL    : 10.0.0.0      44904 Bytes  02.08.2010 15:09:33
AVREP.DLL      : 10.0.0.8      62209 Bytes  17.06.2010 14:26:53
AVREG.DLL      : 10.0.3.2      53096 Bytes  02.08.2010 15:09:33
AVSCPLR.DLL    : 10.0.3.1      83816 Bytes  02.08.2010 15:09:33
AVARKT.DLL    : 10.0.0.14    227176 Bytes  02.08.2010 15:09:31
AVEVTLOG.DLL  : 10.0.0.8      203112 Bytes  02.08.2010 15:09:32
SQLITE3.DLL    : 3.6.19.0      355688 Bytes  17.06.2010 14:27:02
AVSMTP.DLL    : 10.0.0.17      63848 Bytes  02.08.2010 15:09:33
NETNT.DLL      : 10.0.0.0      11624 Bytes  17.06.2010 14:27:01
RCIMAGE.DLL    : 10.0.0.26    2550120 Bytes  28.01.2010 13:10:08
RCTEXT.DLL    : 10.0.58.0      98152 Bytes  02.08.2010 15:09:45

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: C:\Programme\Avira\AntiVir Desktop\sysscan.avp
Protokollierung.......................: niedrig
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, M:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: mittel
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,

Beginn des Suchlaufs: Mittwoch, 17. November 2010  23:13

Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\datasecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\rkeysecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '41' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'SUPERAntiSpyware.exe' - '69' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '23' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '92' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!
Bootsektor 'M:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '1683' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\addr_file.html
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[9].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[9].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\notifier_avira_com[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\sas_processlistrelated[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\sas_processlist[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Programme\Avira\AntiVir Desktop\about.htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Programme\Mozilla Firefox\res\hiddenWindow.html
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
C:\Qoobox\Quarantine\C\WINDOWS\system32\qtplugin.exe.vir
    [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Spammy.DL
Beginne mit der Suche in 'M:\' <Volume>

Beginne mit der Desinfektion:
C:\Qoobox\Quarantine\C\WINDOWS\system32\qtplugin.exe.vir
    [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Spammy.DL
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 4ee90fdc.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Programme\Mozilla Firefox\res\hiddenWindow.html
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 56622060.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Programme\Avira\AntiVir Desktop\about.htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 04267a82.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 62043557.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 27801869.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 589b2a08.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 14230642.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 683b4612.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 4561695f.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 5c0952c5.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 30557ef5.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\sas_processlist[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 41fd4774.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\sas_processlistrelated[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 4fe777b3.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\ZIKGZ7ON\notifier_avira_com[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 0ac10eff.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[9].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 03d40a4e.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 5b951327.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 77616aeb.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 499f0a31.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 2a912142.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 0c59615f.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 3ecd1afa.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 34883184.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 0bdb55c1.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[9].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 75f759e6.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[8].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 208f5d2d.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[7].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 2d192c05.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[6].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 3144380c.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[5].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 009775c2.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[4].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 6cc161f4.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[3].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 255b44f3.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 7ece4c22.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\SMP54VE5\submitdiagnosticfile[1].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 187c40cb.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\addr_file.html
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 4ffc3272.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.


Ende des Suchlaufs: Donnerstag, 18. November 2010  05:25
Benötigte Zeit:  3:19:27 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  15001 Verzeichnisse wurden überprüft
 926078 Dateien wurden geprüft
    33 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
    33 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
    33 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 926045 Dateien ohne Befall
  4992 Archive wurden durchsucht
      0 Warnungen
    33 Hinweise
 573216 Objekte wurden beim Rootkitscan durchsucht
      2 Versteckte Objekte wurden gefunden

cosinus 18.11.2010 10:50
Code:
Der Suchlauf nach versteckten Objekten wird begonnen.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\datasecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
HKEY_USERS\S-1-5-21-1123561945-1284227242-839522115-1003\Software\SecuROM\License information\rkeysecu
    [HINWEIS]  Der Registrierungseintrag ist nicht sichtbar.
Ist ok, Securom ist ein Kopierschutz, den bestimmte Spiele installieren und benötigen.

Code:
Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira\AntiVir Desktop\addr_file.html
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
Ähm ok :wtf:
Das AntiVir was bemängelt, was offensichtlich sein eigener Bestandteil ist find ich merkwürdig.

Code:
C:\Dokumente und Einstellungen\Moritz\Lokale Einstellungen\Temporary Internet Files\Content.IE5\U65DHRXK\submitdiagnosticfile[2].htm
    [FUND]      Enthält Erkennungsmuster des HTML-Scriptvirus HTML/Rce.Gen
    [HINWEIS]  Eine Sicherungskopie wurde unter dem Namen 34883184.qua erstellt ( QUARANTÄNE )
    [HINWEIS]  Die Datei wurde gelöscht.
Sind nur Einträge im Browsercache, leer den mal mit CCleaner.

Code:
C:\Qoobox\Quarantine\C\WINDOWS\system32\qtplugin.exe.vir
    [FUND]      Enthält ein Erkennungsmuster des (gefährlichen) Backdoorprogrammes BDS/Spammy.DL
Beginne mit der Suche in 'M:\' <Volume>
Kannst du ignorieren. Es ist zwar definitiv ein Schädling, der war aber aktiv, CF hat den unschädlich gemacht und in seinen Quarantäneordner geschoben (daher das C:\Qoobox)

Was ist nun mit Malwarebytes? Wie genau funktioniert das nicht mehr?

Schleuder 18.11.2010 20:59
So da bin ich wieder.

1. Das beruhigt mich sehr was du schreibst.

2. CCleaner hab ich laufen lassen

3. Malwarebytes:

Fehlermeldung 1: MBAM_ERROR_EXPANDING_VARIABLES (0, 9)

Fehlermeldung 2: MBAM_ERROR_MISSING_FILE (3, 0, mbamswissarmy.sys)
Der Pfad konnte nicht gefunden werden

4. Ständig wiederkehrend:

C:\Programme\Mozilla Firefox\res\hiddenWindow.html

Scriptvirus: HTML/Rce.Gen

-> Ist dies der Grund, warum ich nach JEDEM Neustart Mozilla Firefox reinstallieren muss? Wenn Nein, weißt du vllt den Grund?

5. Wollte ich nochmal fragen ob du den Eindruck hast dass mein System sehr schwer befallen war und ob ich bestimmte Accounts sperren soll, wie ebay, amazon, online-banking usw. ?

6. Ich kann Dir garnicht genug danke für deine Zeit, Hilfe und Geduld und werde von meinen wenigen Kröten auch sicher was spenden!

:dankeschoen:


Edit: Soll ich nochmal Hijackthis log machen?

cosinus 18.11.2010 21:08
Zitat:
c:\windows\system32\drivers\mbamswissarmy.sys
Da sollte die Datei eigentlich sein. Ist sie das nicht mehr? :wtf:

Zitat:
C:\Programme\Mozilla Firefox\res\hiddenWindow.html
Die Datei ist an für sich beim Firefox legitim, d.h. aber nicht, dass sie manipuliert wurde. Fehlalarm nicht ausgeschlossen...

Schleuder 18.11.2010 21:22
Doch die datei liegt an dem von dir genannten ort.


Wie kann ich verifizieren obs ein fehlalarm ist?


Kannst du die anderen Fragen oben im schnellverfahren beantworten? Das wäre toll

cosinus 18.11.2010 21:46
Die Fragen kann ich noch nicht alle beantworten, da ich noch nicht weiß, was die Ursache für den Fund im Firefox-Ordner ist und warum MBAM nicht starten will :crazy:

Erstell dir mal testweise ein neues Benutzerkonto mit Adminrechten über die Systemsteuerung. Log dich aus und mit dem neuen ein, probier da malwarebytes aus. Was passiert?

Zitat:
Wie kann ich verifizieren obs ein fehlalarm ist?
Deaktivier den Virenscanner. Öffne die Datei C:\Programme\Mozilla Firefox\res\hiddenWindow.html mit dem Editor (notepad.exe) und poste den Inhalt in Codetags oder zip die Datei in ein Archiv und häng sie hier deinem Beitrag an.

Schleuder 20.11.2010 20:11
Bitteschön:

cosinus 21.11.2010 11:14
Konntest du denn im anderen Benutzerkonto Malwarebytes nun ausführen?

Die hiddenWindow.html wird bei dir auf jeden Fall manipuliert. Deinstallier Firefox mal bitte komplett, lösch das Installationsverzeichnis (c:\Programme\Mozilla Firefox) und installier den Firefox neu. Den aber nicht sofort starten, sondern über den Safe-Mode - beobachte ob die eine Datei immer noch manipuliert wird.

Schleuder 22.11.2010 11:50
Hallo Cosinus!

Nachdem ich gestern nochmal einen AV komplett scann gemacht habe und anschließend (vermeintliche) Viren gelöscht habe kam der klassische Blaue Bildschirm mit unverständlichem text.

Seit dem fährt der Rechner nichtmehr hoch.
Wie kann ich das System und alle Programme neu aufsetzen meine Fotos, videos und vor allem Dokumente aber retten?

cosinus 22.11.2010 11:53
System kaputt :D

Daten sichern => Mach das über ne Live-CD wie Knoppix oder Parted Magic. Du brauchst natürlich auch ein Sicherungsmedium, am besten dürfte ne externe Platte sein.

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 90 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist

http://www.raiden.net/images/article...tedmagic40.jpg

4. Du müsstest ein Symbol "Mount Devices" finden, das doppelklicken
5. Mounte die Partitionen wo Windows installiert ist, meistens isses /dev/sda1 und natürlich noch etwaige andere Partitionen, wo noch Daten liegen und die gesichert werden müssen - natürlich auch die der externen Platte (du bekommmst nur Lese- und Schreibzugriffe auf die Dateisysteme, wenn diese gemountet sind)
6. Kopiere die Daten der internen Platte auf die externe Platte
7. Wenn fertig, starte den Rechner neu, schalte die ext. Platte ab und boote von der Windows-DVD zur Neuinstallation (Anleitung beachten)


Alle Zeitangaben in WEZ +1. Es ist jetzt 05:53 Uhr.

Copyright ©2000-2025, Trojaner-Board


Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130 131