Windows XP: weiterleiten

 

sehr häufig bei Klick auf den Link auf eine falsche Seite geleitet, einfach so (häufig auf die eBay-Seite)

Häufig? Aber nicht immer? Durchaus nicht ungewöhnlich, dass Ebay unter irgendeinem Suchbegriff im Google-Listing steht... Die Beschreibung des Links/Suchergebnisses muss auch nicht unbedingt mit dem Inhalt oder Titel oder Inhalt der Seite übereinstimmen. Viele Affiliate-Seiten, die Geld damit verdienen, dass sie Dich zu Ebay weiterleiten stehen dort.

. Da kommt dann meist der Begriff, den ich suche, vor, aber es ist nicht die Seite, auf die ich wollte.

Aha. Wenn der Begriff dort steht, kann es ja so falsch schon mal nicht sein. Und auf welche Seite wolltest Du? Dass es ggf. nicht die Seite ist, zu der Du möchtest, sieht man normalerweise am Link des Sucherebnisses. Möglicherweise bist Du auch nicht in der Lage, Suchmaschinenergebnisse richtig zu interpretieren un klickst einfach "blind" auf jedes Ergebnis, das Deinen Suchbegriff im Kontext enthält? 

Nee, ich klicke dann schon gezielt auf eine Seite, die ich suche (z.B. map24 oder so) und werde dann z.B. auf eine eBay-Seite geleitet, auf der map24 als Suchbegriff eingegeben ist..

Nee, ich klicke dann schon gezielt auf eine Seite, die ich suche (z.B. map24 oder so) und werde dann z.B. auf eine eBay-Seite geleitet, auf der map24 als Suchbegriff eingegeben ist..

Tja dann... gehe mal auf www.hijackthis.de, lade Dir die SW herunter, installiere sie, erstelle ein Logfile damit und stelle das Ergebnis hier ein.

nutze am besten die kostenlose logfileauswertung
und hier die anleitung

Logfile of HijackThis v1.99.1
Scan saved at 14:49:15, on 05.05.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Compaq Wireless LAN\Client Manager\CMcom.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\Franzi\LOKALE~1\Temp\Rar$EX00.855\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {5A9DE9A4-BCB5-4A6D-AA3E-3EEAAD1F06CB} - C:\WINDOWS\system32\mspatdha.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: Burn4Free Toolbar Helper - {F8E5CA21-C27B-43e7-B2BE-4CA93C9F9A1F} - C:\Programme\Burn4Free Toolbar\v2.0.0.3\Burn4Free_Toolbar.dll
O3 - Toolbar: Burn4Free Toolbar - {70DE7956-479D-4eb7-8641-2B45774C350E} - C:\Programme\Burn4Free Toolbar\v2.0.0.3\Burn4Free_Toolbar.dll
O3 - Toolbar: GMX Toolbar - {2D1DDD38-CE4D-459b-A01C-F11BC92D5B69} - C:\Programme\GMX\GMX Toolbar\toolbar.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [OdTray.exe] "C:\Programme\Hewlett-Packard\Odyssey Client for HP\OdTray.exe"
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe"  -osboot
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Compaq Client Manager.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/20061205/qtinstall.info.apple.com/qtactivex/qtplugin.cab
O16 - DPF: {162247AF-26A7-44FC-A93A-69506EA244F3} (HWTest.HWTestControl) - http://maxdomeservice.1und1.de/de/systemcheck/HWTest.CAB
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://static.ak.schuelervz.net/photouploader/ImageUploader4.cab?nocache=20071128-1
O16 - DPF: {AE2B937E-EA7D-4A8D-888C-B68D7F72A3C4} (IPSUploader4 Control) - https://photoservice.fujicolor.de/ips-opdata/operator/19780613/activex/IPSUploader4.cab
O16 - DPF: {BA162249-F2C5-4851-8ADC-FC58CB424243} (Image Uploader Control) - http://static.pe.schuelervz.net/photouploader/ImageUploader5.cab?nocache=1207396663
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe


Meint ihr dieses?

C:\WINDOWS\system32\mspatdha.dll

scannen auf virustotal

http://www.virustotal.com/de/

Ergebnis abkopieren und hier posten


und windowsscan posten
http://virus-protect.org/artikel/tools/windowsscan.html

Antivirus Version letzte aktualisierung Ergebnis
AhnLab-V3 2008.5.9.1 2008.05.09 Win-AppCare/Stud.9728
AntiVir 7.8.0.14 2008.05.09 ADSPY/Stud.D
Authentium 4.93.8 2008.05.08 -
Avast 4.8.1169.0 2008.05.07 Win32:Trojano-3384
AVG 7.5.0.516 2008.05.08 Adware Generic.WNV
BitDefender 7.2 2008.05.08 Adware.Stud.I
CAT-QuickHeal 9.50 2008.05.08 AdWare.Stud.d (Not a Virus)
ClamAV 0.92.1 2008.05.09 Adware.BHO-15
DrWeb 4.44.0.09170 2008.05.09 Adware.Stud
eSafe 7.0.15.0 2008.05.09 -
eTrust-Vet 31.4.5772 2008.05.09 -
Ewido 4.0 2008.05.08 Adware.Stud
F-Prot 4.4.2.54 2008.05.08 W32/Adware.IJT
F-Secure 6.70.13260.0 2008.05.09 -
Fortinet 3.14.0.0 2008.05.08 -
Ikarus T3.1.1.26.0 2008.05.09 not-a-virus:AdWare.Win32.Stud.d
Kaspersky 7.0.0.125 2008.05.09 not-a-virus:AdWare.Win32.Stud.d
McAfee 5291 2008.05.08 -
Microsoft 1.3408 2008.05.09 Trojan:Win32/Webprefix
NOD32v2 3087 2008.05.09 Win32/Adware.BHO.AA
Norman 5.80.02 2008.05.08 W32/Stud.Y
Panda 9.0.0.4 2008.05.09 -
Prevx1 V2 2008.05.09 -
Rising 20.43.40.00 2008.05.09 Adware.Win32.Stud.d
Sophos 4.29.0 2008.05.09 MapKon
Sunbelt 3.0.1097.0 2008.05.07 -
Symantec 10 2008.05.09 Adware.Webprefix
TheHacker 6.2.92.305 2008.05.08 Adware/Stud.d
VBA32 3.12.6.5 2008.05.08 AdWare.Win32.Stud.d
VirusBuster 4.3.26:9 2008.05.08 Adware.BHO.EC
Webwasher-Gateway 6.6.2 2008.05.09 Ad-Spyware.Stud.D
weitere Informationen
File size: 35150 bytes
MD5...: 5e775e753ca9a28dc2ebb0b416c8275c
SHA1..: 1db54030093ce70769a0bd63bc7a7002a7dc4c4c
SHA256: 2a6b70075520f2c0a008e8f416ecae37de81ee179351a245eeb6b600959125d9
SHA512: 22eedea220633520e7f5973ecfdb8a4e2cb8f1db85723b0f8e844cb809d0c36e
3cbeaaa64d272fca8c21c19041ceae8a6daf4b02f729bbd8c12eb4e73ea0199c
PEiD..: -
PEInfo: PE Structure information

( base data )
entrypointaddress.: 0x10008a80
timedatestamp.....: 0x45faaabe (Fri Mar 16 14:33:34 2007)
machinetype.......: 0x14c (I386)

( 3 sections )
name viradd virsiz rawdsiz ntrpy md5
UPX0 0x1000 0x6000 0x0 0.00 d41d8cd98f00b204e9800998ecf8427e
UPX1 0x7000 0x2000 0x1e00 7.60 7602b116571ee02784dfe371f9e8bff4
UPX2 0x9000 0x1000 0x400 2.55 0983b93dac030887b8f1b665af2331eb

( 6 imports )
> KERNEL32.DLL: LoadLibraryA, GetProcAddress
> ADVAPI32.dll: RegCloseKey
> ole32.dll: CoCreateGuid
> urlmon.dll: ObtainUserAgentString
> USER32.dll: CharNextA
> WININET.dll: InternetOpenA

( 4 exports )
DllCanUnloadNow, DllGetClassObject, DllRegisterServer, DllUnregisterServer
 
packers (Kaspersky): UPX
packers (F-Prot): UPX
packers (Avast): UPX
packers (Authentium): UPX




und das 2. hier:

Die 30 neuesten Dateien im Ordner Windows:
 
***** ***** ***** ***** ***** 
***** Scanning C:\WINDOWS ***** 
***** ***** ***** ***** ***** 
 
 09.05.2008 WindowsUpdate.log 10 47:1.673.742 
 09.05.2008 wiadebug.log 09 10:159 
 09.05.2008 wiaservc.log 09 10:50 
 09.05.2008 0.log 09 10:0 
 09.05.2008 bootstat.dat 09 10:2.048 
 08.05.2008 SchedLgU.Txt 22 09:32.562 
 28.04.2008 setupact.log 16 38:197.545 
 12.04.2008 iis6.log 11 31:842.008 
 12.04.2008 comsetup.log 11 31:260.449 
 12.04.2008 tsoc.log 11 31:343.130 
 12.04.2008 tabletoc.log 11 31:37.950 
 12.04.2008 imsins.log 11 31:1.374 
 12.04.2008 ocmsn.log 11 31:41.241 
 12.04.2008 ntdtcsetup.log 11 31:155.976 
 12.04.2008 KB948881.log 11 31:14.140 
 12.04.2008 netfxocm.log 11 31:130.584 
 12.04.2008 ocgen.log 11 31:358.820 
 12.04.2008 MedCtrOC.log 11 31:51.637 
 12.04.2008 msgsocm.log 11 31:37.333 
 12.04.2008 FaxSetup.log 11 31:744.350 
 12.04.2008 msmqinst.log 11 31:234.436 
 12.04.2008 imsins.BAK 11 31:1.374 
 12.04.2008 KB941693.log 11 31:19.345 
 12.04.2008 KB947864-IE7.log 11 31:20.038 
 12.04.2008 updspapi.log 11 31:82.890 
 12.04.2008 KB948590.log 11 30:13.391 
 12.04.2008 KB945553.log 11 29:13.428 
 
 
Die 50 neuesten Dateien im Ordner Windows\system32:
 
***** ***** ***** ***** ***** 
***** Scanning C:\WINDOWS\system32 ***** 
***** ***** ***** ***** ***** 
 
 09.05.2008 wpa.dbl 09 10:2.206 
 02.05.2008 perfc009.dat 21 06:168.126 
 02.05.2008 perfh009.dat 21 06:494.266 
 02.05.2008 perfh007.dat 21 06:579.016 
 02.05.2008 perfc007.dat 21 06:195.096 
 02.05.2008 PerfStringBackup.INI 21 06:270.964 
Music 27.04.2008 SpoonUninstall-dBpoweramp 15 03:12.892 
Music 27.04.2008 SpoonUninstall-dBpoweramp 15 02:33.846 
 27.04.2008 SpoonUninstall.exe 15 02:4.230.520 
 18.04.2008 FNTCACHE.DAT 14 32:165.912 
 06.04.2008 MRT.exe 07 56:19.836.024 
 05.04.2008 jupdate-1.6.0_05-b13.log 00 14:6.641 
 20.03.2008 win32k.sys 10 03:1.845.376 
 01.03.2008 mshtml.dll 18 24:3.591.680 
 01.03.2008 webcheck.dll 14 54:233.472 
 01.03.2008 wininet.dll 14 54:826.368 
 01.03.2008 url.dll 14 54:105.984 
 01.03.2008 urlmon.dll 14 54:1.159.680 
 01.03.2008 pngfilt.dll 14 54:44.544 
 01.03.2008 msrating.dll 14 54:193.024 
 01.03.2008 occache.dll 14 54:102.912 
 01.03.2008 mstime.dll 14 54:671.232 
 01.03.2008 mshtmled.dll 14 54:478.208 
 01.03.2008 msfeeds.dll 14 53:459.264 
 01.03.2008 msfeedsbs.dll 14 53:52.224 
 01.03.2008 inetcpl.cpl 14 53:1.831.424 
 01.03.2008 jsproxy.dll 14 53:27.648 
 01.03.2008 iernonce.dll 14 53:44.544 
 01.03.2008 iertutil.dll 14 53:267.776 
 01.03.2008 ieframe.dll 14 53:6.066.176 
 01.03.2008 iedkcs32.dll 14 53:384.512 
 01.03.2008 icardie.dll 14 53:63.488 
 01.03.2008 extmgr.dll 14 53:133.120 
 01.03.2008 dxtrans.dll 14 53:214.528 
 01.03.2008 ieakeng.dll 14 53:153.088 
 01.03.2008 ieaksie.dll 14 53:230.400 
 01.03.2008 ieapfltr.dll 14 53:383.488 
 01.03.2008 advpack.dll 14 53:124.928 
 01.03.2008 dxtmsft.dll 14 53:347.136 
 29.02.2008 ie4uinit.exe 10 54:70.656 
 22.02.2008 ieudinit.exe 12 00:13.824 
 22.02.2008 javaws.exe 02 33:139.264 
 22.02.2008 javacpl.cpl 02 33:69.632 
 22.02.2008 javaw.exe 01 23:135.168 
 22.02.2008 java.exe 01 23:135.168 
 20.02.2008 gdi32.dll 08 50:282.624 
 20.02.2008 dnsrslvr.dll 07 33:45.568 
 
 
***** ***** ***** ***** ***** 
***** Scanning C:\WINDOWS\system32\drivers\etc\hosts ***** 
***** ***** ***** ***** ***** 
 
# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
#      102.54.94.97     rhino.acme.com          # Quellserver
#       38.25.63.10     x.acme.com              # x-Clienthost

127.0.0.1       localhost
 
 

***** ***** ***** ***** ***** 
***** Scanning Processe ***** 
***** ***** ***** ***** ***** 
 

Abbildname                  PID Sitzungsname      Sitz.-Nr. Speichernutzung
========================= ===== ================ ========== ===============
System Idle Process           0 Console                   0            16 K
System                        4 Console                   0           212 K
smss.exe                   1248 Console                   0           376 K
csrss.exe                  1296 Console                   0         3.808 K
winlogon.exe               1320 Console                   0         5.184 K
services.exe               1364 Console                   0         4.184 K
lsass.exe                  1376 Console                   0         2.136 K
ati2evxx.exe               1524 Console                   0         2.228 K
svchost.exe                1536 Console                   0         5.008 K
svchost.exe                1596 Console                   0         4.316 K
svchost.exe                1632 Console                   0        28.676 K
svchost.exe                1696 Console                   0         3.580 K
svchost.exe                1832 Console                   0         6.732 K
explorer.exe                412 Console                   0        24.376 K
spoolsv.exe                 720 Console                   0         4.812 K
avguard.exe                 764 Console                   0         9.592 K
sched.exe                   108 Console                   0           512 K
SMAgent.exe                1712 Console                   0         1.764 K
svchost.exe                1968 Console                   0         4.272 K
wdfmgr.exe                  196 Console                   0         1.732 K
SynTPEnh.exe               1800 Console                   0         3.920 K
atiptaxx.exe                208 Console                   0         4.432 K
QTTask.exe                  360 Console                   0         2.452 K
jusched.exe                1424 Console                   0         2.420 K
realsched.exe               572 Console                   0           192 K
avgnt.exe                   612 Console                   0         1.176 K
ctfmon.exe                  632 Console                   0         3.388 K
Cmcom.exe                   956 Console                   0         4.552 K
alg.exe                    1244 Console                   0         3.584 K
svchost.exe                3356 Console                   0         3.412 K
SynTPLpr.exe                364 Console                   0         2.272 K
winamp.exe                 2824 Console                   0        29.056 K
iexplore.exe               2592 Console                   0        75.460 K
WinRAR.exe                 3644 Console                   0         9.292 K
cmd.exe                     352 Console                   0         1.868 K
tasklist.exe               2388 Console                   0         4.608 K
wmiprvse.exe               2400 Console                   0         5.668 K
 
 

Microsoft Windows XP [Version 5.1.2600]
 
 
http://www.paules-pc-forum.de 
***** Malware Team ***** 
 
 
***** Ende des Scans 09.05.2008 um 11:09:57,76 *** 
 
 

Könnt ihr damit was anfangen?

Hallo

öffne das HijackThis -- Button "scan" -- vor diese Einträge ein Häkchen setzen -- Button "Fix checked"  anklicken – PC nun neustarten

O2 - BHO: (no name) - {5A9DE9A4-BCB5-4A6D-AA3E-3EEAAD1F06CB} - C:\WINDOWS\system32\mspatdha.dll
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/20061205/qtinstall.info.apple.com/qtactivex/ qtplugin.cab

Wende das Kaspersky Removal Tool
http://www.virus-protect.org/artikel/tools/kaspersky.html
im abgesicherten Modus (bei Neustart F8 drücken)
http://www2.tu-berlin.de/www/software/virus/savemode.shtml
an, alle Funde löschen lassen, poste den Report nach einen Neustart

poste auch einen neuen HijackThis log