Virus bekämpft: Trotzdem Viruswarnung – Seite 2

@Sharky
Wie schon gesagt fixe diesen Eintrag noch:
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

Nach dem Reboot prüfe ob diese Datei noch vorhanden ist:
C:\WINDOWS\system32\mq4sdecd.dll

Wenn ja, lösche sie mit der Killbox.
Unter http://www.bsi.de/av/texte/wiederher.htm gibt es eine Anleitung zur Abschaltung der Systemwiederherstellung.
Den Downloadlink und eine Anleitung zum Combofix findet man hier:
http://virus-protect.org/artikel/tools/combofix.html

Nach meiner Meinung ist ein erneuter Check mit dem Smitfraud Tool nicht nötig, das es hier nicht hilft.

Zu guter letzt wäre eine Kontrolle mit dem kostenlosen Onlinescanner  von F-Secure noch sinnvoll.
http://support.f-secure.de/ger/home/ols.shtml
(Einige wenige Teile der Software sind in Englisch)
Wähle die Option “Vollständiger Systemscan“ und lasse Malware beseitigen.
Wird dabei noch Malware gefunden wird, dann poste wieder den entsprechenden Teil des Scanbericht hier. 


 

Hallo,
 
Deswegen fixen...

"Systemwiedrherstellung abschalten"< läßt sich super danach googeln...

Bei der Gelegenheit google auch gleich noch nach dem Tool "Combofix" ,installiere es ,laß es laufen und poste die Ergebnisse komplett.

 
...und gemacht ? wo sind die Ergebnisse ?

Du mußt nicht tun was man dir aufträgt.Es ist deine Kiste...
Du mußt dann aber auch nicht dich wundern,wenn keiner mehr seine Nerven an dir lassen will...
Sir Reklov

Du hast gesagt, ich soll erst die Systemwiederherstellung ausschalten. Darum habe ich noch nichts gemacht.

Hier nun die Ergebnisse:

HiJackThis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 22:52:55, on 11.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\AntiVir PersonalEdition Classic\sched.exe
D:\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
C:\WINDOWS\system32\cisvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Ideazon\Zboard Software\Driver\ZboardTray.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Ideazon\Zboard Software\Driver\Zboard.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
D:\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\vsnp2std.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Adobe\Acrobat 7.0\Acrobat\acrobat_sl.exe
C:\Programme\Logitech\SetPoint\KEM.exe
D:\Programme\Hamachi\hamachi.exe
D:\Programme\Xfire\xfire.exe
C:\Programme\Logitech\SetPoint\KHALMNPR.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Skype\Plugin Manager\SkypePM.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Dokumente und Einstellungen\Hannes\Desktop\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.zboard.com/DE/tips/ie
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll
O4 - HKLM\..\Run: [Logitech Hardware Abstraction Layer] KHALMNPR.EXE
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Verknüpfung mit der High Definition Audio-Eigenschaftenseite] HDAudPropShortcut.exe
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Acrobat Assistant 7.0] "C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe"
O4 - HKLM\..\Run: [avgnt] "D:\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [snp2std] C:\WINDOWS\vsnp2std.exe
O4 - HKCU\..\Run: [Skype] "C:\Programme\Skype\Phone\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKLM\..\Policies\Explorer\Run: [ZboardTray] "C:\Programme\Ideazon\Zboard Software\Driver\ZboardTray.exe" /autolaunch
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - S-1-5-18 Startup: hamachi.lnk = D:\Programme\Hamachi\hamachi.exe (User 'SYSTEM')
O4 - S-1-5-18 Startup: Xfire.lnk = D:\Programme\Xfire\xfire.exe (User 'SYSTEM')
O4 - .DEFAULT Startup: hamachi.lnk = D:\Programme\Hamachi\hamachi.exe (User 'Default user')
O4 - .DEFAULT Startup: Xfire.lnk = D:\Programme\Xfire\xfire.exe (User 'Default user')
O4 - Startup: hamachi.lnk = D:\Programme\Hamachi\hamachi.exe
O4 - Startup: Xfire.lnk = D:\Programme\Xfire\xfire.exe
O4 - Global Startup: Adobe Acrobat Speed Launcher.lnk = ?
O4 - Global Startup: Logitech SetPoint.lnk = C:\Programme\Logitech\SetPoint\KEM.exe
O8 - Extra context menu item: Ausgewählte Verknüpfungen in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Ausgewählte Verknüpfungen in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Auswahl in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Auswahl in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: In Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: In vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: Verknüpfungsziel in Adobe PDF konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Verknüpfungsziel in vorhandene PDF-Datei konvertieren - res://C:\Programme\Adobe\Acrobat 7.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: (no name) - {B205A35E-1FC4-4CE3-818B-899DBBB3388C} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Encarta Search Bar\ENCSBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - D:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - D:\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - D:\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: BlueSoleil Hid Service - Unknown owner - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: LVSrvLauncher - Logitech Inc. - C:\Programme\Gemeinsame Dateien\LogiShrd\SrvLnch\SrvLnch.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PnkBstrA - Unknown owner - C:\WINDOWS\system32\PnkBstrA.exe
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

--
End of file - 8290 bytes


Smitfraud:

SmitFraudFix v2.210

Scan done at 22:55:08,17, 11.08.2007
Run from C:\Dokumente und Einstellungen\Hannes\Desktop\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Process

C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
D:\AntiVir PersonalEdition Classic\sched.exe
D:\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe
C:\WINDOWS\system32\cisvc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PnkBstrA.exe
C:\WINDOWS\System32\snmp.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Ideazon\Zboard Software\Driver\ZboardTray.exe
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Ideazon\Zboard Software\Driver\Zboard.exe
C:\WINDOWS\system32\RunDll32.exe
C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe
D:\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\vsnp2std.exe
C:\Programme\Skype\Phone\Skype.exe
C:\Programme\Logitech\SetPoint\KEM.exe
D:\Programme\Hamachi\hamachi.exe
D:\Programme\Xfire\xfire.exe
C:\Programme\Logitech\SetPoint\KHALMNPR.EXE
C:\Programme\Skype\Plugin Manager\SkypePM.exe
C:\WINDOWS\system32\wscntfy.exe
D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\kernel.exe
D:\Programme\T-Online\T-Online_Software_6\Basis-Software\Basis2\sc_watch.exe
D:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
D:\PROGRA~1\T-Online\T-ONLI~1\Notifier\Notifier.exe
D:\PROGRAMME\MOZILLA FIREFOX\FIREFOX.EXE
C:\WINDOWS\system32\cmd.exe

»»»»»»»»»»»»»»»»»»»»»»»» hosts


»»»»»»»»»»»»»»»»»»»»»»»» C:\


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\Web


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32


»»»»»»»»»»»»»»»»»»»»»»»» C:\WINDOWS\system32\LogFiles


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Hannes


»»»»»»»»»»»»»»»»»»»»»»»» C:\Dokumente und Einstellungen\Hannes\Application Data


»»»»»»»»»»»»»»»»»»»»»»»» Start Menu


»»»»»»»»»»»»»»»»»»»»»»»» C:\DOKUME~1\Hannes\FAVORI~1


»»»»»»»»»»»»»»»»»»»»»»»» Desktop

C:\DOKUME~1\Hannes\Desktop\Error Cleaner.url FOUND !
C:\DOKUME~1\Hannes\Desktop\Privacy Protector.url FOUND !
C:\DOKUME~1\Hannes\Desktop\Spyware?Malware Protection.url FOUND !

»»»»»»»»»»»»»»»»»»»»»»»» C:\Programme


»»»»»»»»»»»»»»»»»»»»»»»» Corrupted keys


»»»»»»»»»»»»»»»»»»»»»»»» Desktop Components
 
[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="file:///C:\\WINDOWS\\privacy_danger\\index.htm"
"SubscribedURL"=""
"FriendlyName"="Privacy Protection"
 

»»»»»»»»»»»»»»»»»»»»»»»» Sharedtaskscheduler
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» AppInit_DLLs
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows]
"AppInit_DLLs"=""


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"System"=""


»»»»»»»»»»»»»»»»»»»»»»»» Rustock



»»»»»»»»»»»»»»»»»»»»»»»» DNS

Description: WAN (PPP/SLIP) Interface
DNS Server Search Order: 217.237.151.51
DNS Server Search Order: 217.237.149.205

HKLM\SYSTEM\CCS\Services\Tcpip\..\{FE53670D-C8F5-4A9B-87D4-1092542A44E5}: NameServer=217.237.151.51 217.237.149.205
HKLM\SYSTEM\CS1\Services\Tcpip\..\{FE53670D-C8F5-4A9B-87D4-1092542A44E5}: NameServer=217.237.150.205 217.237.150.188
HKLM\SYSTEM\CS2\Services\Tcpip\..\{FE53670D-C8F5-4A9B-87D4-1092542A44E5}: NameServer=217.237.151.51 217.237.149.205


»»»»»»»»»»»»»»»»»»»»»»»» Scanning for wininet.dll infection


»»»»»»»»»»»»»»»»»»»»»»»» End


 

ComboFix:

ComboFix 07-08-09.3 - "Hannes" 2007-08-11 23:03:04.1 - NTFSx86
Microsoft Windows XP Home Edition  5.1.2600.2.1252.1.1031.18.1527 [GMT 2:00]


(((((((((((((((((((((((((((((((((((((((   Other Deletions   )))))))))))))))))))))))))))))))))))))))))))))))))


C:\.protected
C:\DOKUME~1\Hannes\Desktop.\Spyware&Malware Protection.url
C:\DOKUME~1\Hannes\Desktop\Error Cleaner.url
C:\DOKUME~1\Hannes\Desktop\Privacy Protector.url
C:\DOKUME~1\Hannes\FAVORI~1.\Error Cleaner.url
C:\DOKUME~1\Hannes\FAVORI~1.\Privacy Protector.url
C:\DOKUME~1\Hannes\FAVORI~1.\Spyware&Malware Protection.url
C:\Programme\newdotnet
C:\Programme\newdotnet\readme.html
C:\Programme\VideoAccessCodec
C:\Programme\VideoAccessCodec\install.ico
C:\Programme\VideoAccessCodec\Uninstall.exe
C:\Programme\VideoAccessCodec\VideoAccessCodec.ocx
C:\WINDOWS\dat.txt
C:\WINDOWS\system32\drivers\etc\.protected


(((((((((((((((((((((((((   Files Created from 2007-07-11 to 2007-08-11  )))))))))))))))))))))))))))))))


2007-08-11 23:02   51,200   --a------   C:\WINDOWS\nircmd.exe
2007-08-11 20:39   <DIR>   d--------   C:\!KillBox
2007-08-11 16:44   <DIR>   d--------   C:\DOKUME~1\Hannes\DoctorWeb
2007-08-11 16:09   664   --a------   C:\WINDOWS\system32\d3d9caps.dat
2007-08-11 16:03   2,446   --a------   C:\WINDOWS\system32\tmp.reg
2007-08-08 17:20   <DIR>   d--------   C:\DOKUME~1\NETWOR~1\ANWEND~1\Xfire
2007-08-07 12:29   <DIR>   d--------   C:\DOKUME~1\LOCALS~1\ANWEND~1\Xfire
2007-08-03 22:24   <DIR>   d--------   C:\Programme\GameStar
2007-08-03 22:24   <DIR>   d--------   C:\Programme\Borland
2007-08-03 22:23   304,128   --a------   C:\WINDOWS\unin0407.exe
2007-08-03 16:26   <DIR>   d--------   C:\DOKUME~1\Volker\ANWEND~1\Help
2007-07-26 10:54   967   --a------   C:\WINDOWS\ScUnin.pif
2007-07-26 10:54   69,632   --a------   C:\WINDOWS\ScUnin.exe
2007-07-26 10:54   30,489   --a------   C:\WINDOWS\scunin.dat
2007-07-19 16:49   53,888,016   --a------   C:\WINDOWS\system32\Mein SS.scr
2007-07-19 16:49   <DIR>   d--------   C:\Programme\Bla
2007-07-17 20:53   74,752   --a------   C:\WINDOWS\ST6UNST.EXE
2007-07-17 20:53   167,936   ---------   C:\WINDOWS\Setup1.exe
2007-07-12 18:23   <DIR>   d--------   C:\DOKUME~1\Volker\ANWEND~1\Xfire
2007-07-12 18:22   <DIR>   d--------   C:\DOKUME~1\Volker\ANWEND~1\teamspeak2


((((((((((((((((((((((((((((((((((((((((   Find3M Report   ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-08-11 22:55   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Skype
2007-08-11 22:53   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Hamachi
2007-08-11 22:04   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Media Center Programs
2007-08-11 21:49   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\InstallShield Installation Information
2007-08-11 19:01   ---------   d--------   C:\Programme\themexp
2007-08-11 16:09   1100   --a------   C:\WINDOWS\system32\d3d8caps.dat
2007-08-11 16:08   ---------   d--------   C:\Programme\Gemeinsame Dateien\Blizzard Entertainment
2007-08-11 14:59   ---------   d--h-----   C:\Programme\InstallShield Installation Information
2007-08-11 01:01   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Xfire
2007-08-07 17:43   22328   --a------   C:\WINDOWS\system32\drivers\PnkBstrK.sys
2007-08-07 17:43   103736   --a------   C:\WINDOWS\system32\PnkBstrB.exe
2007-08-04 22:53   7660   --a------   C:\DOKUME~1\Hannes\ANWEND~1\wklnhst.dat
2007-07-28 13:44   107888   --a------   C:\WINDOWS\system32\CmdLineExt.dll
2007-07-12 01:04   70778   --a------   C:\WINDOWS\system32\perfc007.dat
2007-07-12 01:04   405448   --a------   C:\WINDOWS\system32\perfh007.dat
2007-07-09 14:12   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\BitTorrent
2007-07-06 23:09   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Command & Conquer 3 Tiberium Wars
2007-07-04 01:03   43520   --a------   C:\WINDOWS\system32\CmdLineExt03.dll
2007-07-02 11:07   990   --a------   C:\WINDOWS\eReg.dat
2007-06-30 19:52   63040   --a------   C:\WINDOWS\system32\PnkBstrA.exe
2007-06-25 22:14   163644   --a------   C:\WINDOWS\system32\drivers\secdrv.sys
2007-06-14 13:24   ---------   d--------   C:\DOKUME~1\Hannes\ANWEND~1\Apple Computer
2007-06-05 17:55   6   --a------   C:\WINDOWS\EExpou.dat
2007-06-05 17:55   4   --a------   C:\WINDOWS\AErroru3.dat
2007-06-05 17:55   30720   --a------   C:\WINDOWS\EWhiteu12.dat
2007-06-05 17:55   30720   --a------   C:\WINDOWS\EDarku12.dat
2007-06-05 17:55   3   --a------   C:\WINDOWS\EOffsetu.dat
2007-06-05 17:55   3   --a------   C:\WINDOWS\EGain6.dat
2007-05-25 15:22   83552   --a------   C:\WINDOWS\system32\LMIRfsClientNP.dll
2007-05-25 15:22   63040   --a------   C:\WINDOWS\system32\LMIinit.dll
2007-05-25 15:22   26176   --a------   C:\WINDOWS\system32\LMIport.dll
2007-05-25 15:22   24000   --a------   C:\WINDOWS\system32\LMImirr.dll
2007-05-25 15:22   10304   --a------   C:\WINDOWS\system32\LMImirr2.dll
2007-05-16 17:12   85504   --a--c---   C:\WINDOWS\system32\dllcache\wabimp.dll
2007-05-16 17:12   510976   --a--c---   C:\WINDOWS\system32\dllcache\wab32.dll
2007-05-16 17:11   86528   --a--c---   C:\WINDOWS\system32\dllcache\directdb.dll
2007-05-16 17:11   683520   --a--c---   C:\WINDOWS\system32\dllcache\inetcomm.dll
2007-05-16 17:11   683520   --a------   C:\WINDOWS\system32\inetcomm.dll
2007-05-16 17:11   1314816   --a--c---   C:\WINDOWS\system32\dllcache\msoe.dll
2007-03-20 17:10:59   1,160   --sha-w   C:\WINDOWS\system32\KGyGaAvL.sys


(((((((((((((((((((((((((((((((((((((   Reg Loading Points   ))))))))))))))))))))))))))))))))))))))))))))))))))
 
 
*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Logitech Hardware Abstraction Layer"="KHALMNPR.EXE" [2004-06-08 13:31 C:\WINDOWS\KHALMNPR.Exe]
"nwiz"="nwiz.exe" [2007-02-02 04:25 C:\WINDOWS\system32\nwiz.exe]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_02\bin\jusched.exe" [2007-07-12 04:00]
"AGRSMMSG"="AGRSMMSG.exe" [2004-06-29 10:06 C:\WINDOWS\AGRSMMSG.exe]
"Verknüpfung mit der High Definition Audio-Eigenschaftenseite"="HDAudPropShortcut.exe" [2004-03-17 17:10 C:\WINDOWS\system32\Hdaudpropshortcut.exe]
"Cmaudio"="cmicnfg.cpl" []
"Acrobat Assistant 7.0"="C:\Programme\Adobe\Acrobat 7.0\Distillr\Acrotray.exe" [2006-01-12 21:52]
"avgnt"="D:\AntiVir PersonalEdition Classic\avgnt.exe" [2007-04-29 10:22]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2007-02-02 04:25]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2007-02-02 04:25]
"snp2std"="C:\WINDOWS\vsnp2std.exe" [2005-11-16 16:14]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Skype"="C:\Programme\Skype\Phone\Skype.exe" [2007-02-09 17:00]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00]

C:\Dokumente und Einstellungen\Hannes\Startmen\Programme\Autostart\
hamachi.lnk - D:\Programme\Hamachi\hamachi.exe [2007-02-15 19:40:56]
Xfire.lnk - D:\Programme\Xfire\xfire.exe [2007-08-03 00:44:38]

C:\Dokumente und Einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Acrobat Speed Launcher.lnk - C:\WINDOWS\Installer\{AC76BA86-1033-F400-7760-000000000002}\SC_Acrobat.exe [2007-03-09 16:56:29]
Logitech SetPoint.lnk - C:\Programme\Logitech\SetPoint\KEM.exe [2007-02-07 18:32:48]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\Run]
"ZboardTray"="C:\Programme\Ideazon\Zboard Software\Driver\ZboardTray.exe" /autolaunch

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
Source= file:///C:\WINDOWS\privacy_danger\index.htm
FriendlyName= Privacy Protection

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\LMIinit]
LMIinit.dll 2007-05-25 15:22 63040 C:\WINDOWS\system32\LMIinit.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\Zboard]
Winlognotif.dll 2003-09-03 07:14 49152 C:\WINDOWS\system32\Winlognotif.dll

R1 avgio;avgio;\??\D:\AntiVir PersonalEdition Classic\avgio.sys
R1 avipbb;avipbb;C:\WINDOWS\system32\DRIVERS\avipbb.sys
R2 LMIRfsDriver;LogMeIn Remote File System Driver;\??\C:\WINDOWS\system32\drivers\LMIRfsDriver.sys
R2 SNMP;SNMP-Dienst;C:\WINDOWS\System32\snmp.exe
R2 UxTuneUp;TuneUp Designerweiterung;C:\WINDOWS\System32\svchost.exe -k netsvcs
R3 avgntflt;avgntflt;\??\D:\AntiVir PersonalEdition Classic\avgntflt.sys
R3 cmudax;C-Media High Definition Audio Interface;C:\WINDOWS\system32\drivers\cmudax.sys
R3 FETNDISB;VIA Rhine Family Fast Ethernet Adapter Driver Service;C:\WINDOWS\system32\DRIVERS\fetnd5b.sys
R3 LHidKe;Logitech SetPoint HID Mouse Filter Driver;C:\WINDOWS\system32\DRIVERS\LHidKE.Sys
R3 LHidUsbK;Logitech SetPoint USB Receiver device driver;C:\WINDOWS\system32\Drivers\LHidUsbK.Sys
R3 LMImirr;LMImirr;C:\WINDOWS\system32\DRIVERS\LMImirr.sys
R3 LMouKE;Logitech SetPoint Mouse Filter Driver;C:\WINDOWS\system32\DRIVERS\LMouKE.Sys
R3 SaiH0464;SaiH0464;C:\WINDOWS\system32\DRIVERS\SaiH0464.sys
R3 SNP2STD;USB2.0 PC Camera (SNP2STD);C:\WINDOWS\system32\DRIVERS\snp2sxp.sys
S2 LMIInfo;LogMeIn Kernel Information Provider;\??\D:\Programme\LogMeIn\x86\RaInfo.sys
S2 SampleScanner;USB-Flachbettscanner;C:\WINDOWS\system32\DRIVERS\ArtecGT.sys
S3 EagleNT;EagleNT;\??\C:\WINDOWS\system32\drivers\EagleNT.sys
S3 FETNDIS;VIA PCI 10/100-MBit/s-Fast Ethernetadapter-NT-Treiber;C:\WINDOWS\system32\DRIVERS\fetnd5.sys
S3 iMSPCLOj;iMSPCLOj;\??\C:\DOKUME~1\Hannes\LOKALE~1\Temp\iMSPCLOj.sys
S3 LPDSVC;TCP/IP-Druckserver;C:\WINDOWS\system32\tcpsvcs.exe
S3 NTSIM;NTSIM;\??\C:\WINDOWS\system32\ntsim.sys
S3 pepifilter;Volume Adapter;C:\WINDOWS\system32\DRIVERS\lv302af.sys
S3 PID_PEPI;Logitech QuickCam IM(PID_PEPI);C:\WINDOWS\system32\DRIVERS\LV302V32.SYS
S3 SNMPTRAP;SNMP-Trap-Dienst;C:\WINDOWS\System32\snmptrap.exe
S3 ssmdrv;ssmdrv;C:\WINDOWS\system32\DRIVERS\ssmdrv.sys

HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
UxTuneUp


**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-08-11 23:04:22
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************
Completion time: 2007-08-11 23:04:53
C:\ComboFix-quarantined-files.txt ... 2007-08-11 23:04

   --- E O F ---
 

Hallo,

suche mal diesen Pfad ab (suchfunktion nutzen !) oder spüre ihm von Hand nach :

C:\Programme\VideoAccessCodec

Alle Dateien sichtbar< ist eingestellt ?
Typischer Fall von Zlob....
Smitfraud zeigt auch wieder einiges an.Oder ist das daß alte, also erste Log ?
Das ist wichtig,sonst könnte ich versucht sein zu glauben ,das dieser Zlob Infekt sich komplett verstecken kann...
Das wäre dann gar nicht gut....

Du hast Systemwiederherstellung ausgeschaltet ,gebootet ,Logfile erstellt,smitfraud laufen lassen,combofix laufen lassen ?
In dieser Reihenfolge ?
Sir Reklov

@Sir Reklov
Ich denke das "Zlob" auf dem Rechner Geschichte ist!
 

C:\Programme\VideoAccessCodec

Den Ordner hat Combofix bereits gelöscht und der SmitFraudFix Bericht ist der Neue
"Scan done at 22:55:08,17, 11.08.2007!"

Etwas mehr Sorgen macht mit dies noch:
[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
Source= file:///C:\WINDOWS\privacy_danger\index.htm
FriendlyName= Privacy Protection

@Sharky
Hast du versucht den Eintrag aus dem Log HijackThis zufixen?
O24 - Desktop Component 0: Privacy Protection - file:///C:\WINDOWS\privacy_danger\index.htm

Bitte führe noch den Onlinescan mit F-Secure aus und berichte über das Ergebnis.
 

Habe das jetzt gefixt und nun habe ich meinen alten Desktophintergrund wieder.

Von diesem Privacy-Ding ist auch nichts mehr übrig.


C:\Programme\VideoAccessCodec

Diesen VideoAccessCodec-Ordner habe ich nicht. Hab auch versteckte Ordner und Dateien sichtbar gemacht.

Nun scanne ich noch mit F-Secure.

Im großen und ganzen scheint es aber so, als wär alles, wie beim Alten.

Ich bin euch zu tiefst dankbar. Hätte nie gedacht, dass ich so viele Programme brauche, um so einen Mist zu beseitigen. 

Im großen und ganzen scheint es aber so, als wär alles, wie beim Alten.

Schön, das es deinen Rechner wieder Gut geht.
Viel Spaß beim Surfen noch und einen schönen Sonntag.

Guten Nacht!
 

Schön, das es deinen Rechner wieder Gut geht.
Viel Spaß beim Surfen noch und einen schönen Sonntag.

Guten Nacht!
 

Wünsch ich euch allen auch.

Sagt mal....Ihr habt euch meine Logs angeschaun und könnt so die Ursache des Problems ausmachen? Wie habt ihr euch das Wissen angeeignet?

@Sharky
Das eigentliche Problem liegt zwischen den Ohren der Person die vor dem PC sitzt !
 

Bitte dies nicht falsch verstehen, aber der größte Teil der Malware die auf deinen Rechner gefundenen wurde, hast du dir selbst installiert, indem du bedenkenlos alles installiert hast was dir auf zweifelhaften Webseiten oder im Messenger angeboten wurde.
Eine gesunde Portion Misstrauen wäre für die Zukunft ratsam.

Zweitens, erkennt die freie Version von AntiVir so gut wie keine Adware bzw. Spyware und ist zudem nicht besonders gut Eingestellt.
Meine Empfehlung ist,
lade dir die 90-Tage-Testversion der Premium-Version der "AntiVir PersonalEdition" herunter und registriere dich um den Keyschlüssel zu erhalten:
http://download.chip.eu/de/AntiVir-PersonalEdition-Premium-7.00.04.15_483787.html
Deinstalliere deine freie Version von AntiVir bevor die neue installierst. Stelle das Updatemodul ruhig so ein das es zu jede Stunde nach neuen Updates prüft, sofern du eine Flatrate hast. Denke darüber nach, ob zukünftig 20 Euro im Jahr für ein gutes Antivirusprogramm für Dich und deinen PC eine gute Investition ist.

Weiter achte darauf das du alle Sicherheitspatches zu den installierten Programmen auch eingespielt hast.
Überprüfe dies neben Windows (sollte aktuell sein) auch bei
- MS Office
- Adobe Acrobat
- Skype
- Messenger
- Java Sun (ist aktuell)
usw.

Tipp:
Verwende einen alternativen Browser wie Firefox:
http://www.mozilla-europe.org/de/products/firefox/
 

@ALL
Aktueller Hinweis für alle die dass selbe Problem haben.
Die Malwareinfektion durch die Dateien
duocore.dll
wmpenv.dll
wmpconf.dll

werden nun ab der neuen Version 2.211 des SmitFraudFix Tools erkannt und beseitigt ! 

 
Systemwiederherstellung   AUS
Rechtsklick auf Arbeitsplatz
Eigenschaften , Systemwiederherstellung
Deaktivieren AN-haken : <<< Vorsicht , damit sind ALLE Punkte weg !!

Fertig damit :
Rechtsklick auf Arbeitsplatz
Eigenschaften , Systemwiederherstellung
Deaktivieren AB-haken
Danach ggf einen Punkt mit Bemerkung setzen. 
 

Die ganzen Seiten, die in kettenbriefen erwähnt werden, die ich per messenger bekomme, öffne ich nie!

Ich benutze FieFox.

Hallo,

 

die in kettenbriefen erwähnt werden, die ich per messenger bekomme

Guter Vorsatz halte ihn durch...

 

Ich benutze FieFox

Ohhh...ein neuer Browser ?
Oder was....?

Achte auf regelmäßige Updates deiner Kiste...
Update dich auch selbst immer mal wieder....
Ist sowieso der bessere Schutz.
Die Grundversion sollte bei dir schon installiert sein.
Prüfe einmal hier welche Version bei dir installiert ist..
http://brain.yubb.de/
Sir Reklov
 

Das Programm ist doch ein Scherz. 


Ich halte eigendlich alles auf dem neusten Stand.