Trojaner läst sich nicht löschen – Seite 2

ja das f5 und f8 gleichzeitig hat auch nicht funktioniert.
Also sol ich das Combofix machen oder nicht?  ???

mfg : Dama

Ja benutz Combofix.

So habe jetztes diese Combofix dingens gemacht ^^
ich Poste das mal :

ComboFix 09-02-04.04 - Tobias Micolay 2009-02-05 14:18:14.4 - NTFSx86
Microsoft Windows XP Professional  5.1.2600.3.1252.1.1031.18.2046.1558 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Tobias Micolay\Eigene Dateien\Downloads\ComboFix.exe
AV: Avira AntiVir PersonalEdition *On-access scanning disabled* (Updated)
AV: BitDefender 8 AntiVirus + AntiSpam *On-access scanning enabled* (Updated)
AV: Spyware Doctor with AntiVirus *On-access scanning disabled* (Updated)
 * Neuer Wiederherstellungspunkt wurde erstellt
 * Resident AV is active

.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\programme\Mozilla Firefox\plugins\npclntax_ZangoSA.dll

.
(((((((((((((((((((((((   Dateien erstellt von 2009-01-05 bis 2009-02-05  ))))))))))))))))))))))))))))))
.

2009-02-05 14:15 . 2009-02-05 14:16   <DIR>   d--------   C:\32788R22FWJFW.5.tmp
2009-02-05 13:00 . 2009-02-05 13:01   <DIR>   d--------   C:\32788R22FWJFW.4.tmp
2009-02-04 18:43 . 2009-02-04 18:43   <DIR>   d--------   C:\32788R22FWJFW.3.tmp
2009-02-04 18:13 . 2009-02-04 18:13   <DIR>   d--------   C:\32788R22FWJFW.2.tmp
2009-02-04 16:53 . 2009-02-04 16:55   <DIR>   d--------   C:\32788R22FWJFW.1.tmp
2009-02-04 16:47 . 2009-02-04 16:53   <DIR>   d--------   C:\32788R22FWJFW.0.tmp
2009-02-04 14:35 . 2009-02-04 14:35   <DIR>   d--------   c:\programme\Malwarebytes' Anti-Malware
2009-02-04 14:35 . 2009-02-04 14:35   <DIR>   d--------   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\Malwarebytes
2009-02-04 14:35 . 2009-02-04 14:35   <DIR>   d--------   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-02-04 14:35 . 2009-01-14 16:11   38,496   --a------   c:\windows\system32\drivers\mbamswissarmy.sys
2009-02-04 14:35 . 2009-01-14 16:11   15,504   --a------   c:\windows\system32\drivers\mbam.sys
2009-01-31 12:40 . 2005-05-10 18:54   258,352   --a------   c:\windows\system32\unicows.dll
2009-01-31 12:34 . 2009-01-31 12:40   <DIR>   d--------   c:\programme\lalaal
2009-01-30 17:37 . 2009-01-30 20:35   <DIR>   d--------   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\GetRightToGo
2009-01-23 02:18 . 2009-01-23 02:18   42,320   --a------   c:\windows\system32\xfcodec.dll

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-02-05 13:05   ---------   d-----w   c:\programme\Warcraft III
2009-02-04 20:59   14   ----a-w   c:\dokumente und einstellungen\Tobias Micolay\getfile.dat
2009-02-04 15:59   ---------   d---a-w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\TEMP
2009-02-04 15:59   ---------   d-----w   c:\programme\Spyware Doctor
2009-01-30 19:34   ---------   d-----w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\teamspeak2
2009-01-29 13:27   4,606   ----a-w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\wklnhst.dat
2009-01-26 23:00   ---------   d-----w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\Xfire
2009-01-24 12:44   ---------   d-----w   c:\programme\Xfire
2008-12-28 15:55   107,888   ----a-w   c:\windows\system32\CmdLineExt.dll
2008-12-27 17:55   ---------   d-----w   c:\programme\Avira
2008-12-27 17:55   ---------   d-----w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Avira
2008-12-25 18:47   ---------   d-----w   c:\programme\EGOSOFT
2008-12-24 14:57   138,184   ----a-w   c:\windows\system32\drivers\PnkBstrK.sys
2008-12-24 14:56   183,112   ----a-w   c:\windows\system32\PnkBstrB.exe
2008-12-22 15:21   ---------   d-----w   c:\programme\Steam
2008-12-21 19:49   ---------   d--h--w   c:\programme\InstallShield Installation Information
2008-12-21 19:49   ---------   d-----w   c:\programme\VID_0E8F&PID_0012
2008-12-21 19:49   ---------   d-----w   c:\programme\Gemeinsame Dateien\InstallShield
2008-12-19 19:05   ---------   d-----w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Yahoo! Companion
2008-12-17 10:32   66,872   ----a-w   c:\windows\system32\PnkBstrA.exe
2008-12-17 08:00   ---------   d-----w   c:\programme\Yahoo!
2008-12-16 20:51   ---------   d-----w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\Leadertech
2008-12-16 20:33   ---------   d-----w   c:\programme\EA Games
2008-12-15 14:27   ---------   d-----w   c:\programme\Gemeinsame Dateien\Adobe AIR
2008-12-15 14:27   ---------   d-----w   c:\programme\Gemeinsame Dateien\Adobe
2008-12-14 22:19   ---------   dc-h--w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\{6ABA9AFC-BC32-41F6-AE1E-C0C9C137DB7B}
2008-12-14 18:15   59,016   ----a-w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2008-12-14 17:46   ---------   dc-h--w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\{0151C9FC-719D-4459-B1E2-4685CC6E62A8}
2008-12-14 17:45   669,184   ----a-w   c:\windows\system32\pbsvc.exe
2008-12-14 17:45   22,328   ----a-w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\PnkBstrK.sys
2008-12-14 17:24   1,884   ----a-w   c:\windows\system32\ealregsnapshot1.reg
2008-12-14 11:18   ---------   d-----w   c:\programme\Electronic Arts
2008-12-13 20:58   ---------   dc-h--w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\{0691F710-1ECA-4B5A-9727-25554F1BFDC6}
2008-12-12 21:09   ---------   d-----w   c:\programme\THQ
2008-12-11 10:57   333,952   ----a-w   c:\windows\system32\drivers\srv.sys
2008-12-08 16:24   ---------   d--h--r   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\SecuROM
2008-12-07 16:52   ---------   d-----w   c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\ATI
2008-11-10 04:43   410,984   ----a-w   c:\windows\system32\deploytk.dll
2008-09-20 10:47   32,768   --sha-w   c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008092020080921\index.dat
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ehTray"="c:\windows\ehome\ehtray.exe" [2005-08-05 64512]
"BDMCon"="c:\programme\Softwin\BitDefender8\bdmcon.exe" [2005-11-07 417792]
"BDOESRV"="c:\programme\Softwin\BitDefender8\bdoesrv.exe" [2005-03-11 90112]
"BDNewsAgent"="c:\programme\Softwin\BitDefender8\bdnagent.exe" [2005-05-09 8192]
"HDAudDeck"="c:\programme\VIAudioi\HDADeck\HDeck.exe" [2006-08-02 684032]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-11-10 136600]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2008-06-12 34672]
"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-06-12 266497]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Microsoft Office.lnk - c:\programme\Microsoft Office\Office10\OSA.EXE [2001-02-13 83360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.XFR1"= xfcodec.dll

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Component Manager]
--a------ 2003-12-22 08:38 241664 c:\programme\HP\hpcoretech\hpcmpmgr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]
--a------ 2004-05-07 04:38 49152 c:\programme\Hewlett-Packard\HP Software Update\hpwuSchd2.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HPDJ Taskbar Utility]
--a------ 2004-05-07 04:38 172032 c:\windows\system32\spool\drivers\w32x86\3\hpztsb10.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
--a------ 2008-12-12 22:17 1410296 c:\programme\Steam\Steam.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\Messenger\\msmsgs.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Xfire\\xfire.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Warcraft III\\war3.exe"=
"c:\\Programme\\Warcraft III\\Warcraft III.exe"=
"c:\\WINDOWS\\system32\\dpvsetup.exe"=
"c:\\Programme\\Java\\jre6\\bin\\java.exe"=
"c:\\WINDOWS\\system32\\PnkBstrA.exe"=
"c:\\WINDOWS\\system32\\PnkBstrB.exe"=
"c:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\Crysis.exe"=
"c:\\Programme\\Electronic Arts\\Crytek\\Crysis\\Bin32\\CrysisDedicatedServer.exe"=
"c:\\Programme\\Steam\\SteamApps\\damaster27\\counter-strike source\\hl2.exe"=
"c:\\Programme\\Electronic Arts\\Crytek\\Crysis Wars\\Bin32\\Crysis.exe"=

R0 xfilt;VIA SATA IDE Hot-plug Driver;c:\windows\system32\drivers\xfilt.sys [2008-09-21 11264]
R1 pctfw2;pctfw2;c:\windows\system32\drivers\pctfw2.sys [2008-11-05 160792]
S3 NPF;NetGroup Packet Filter Driver;c:\windows\system32\drivers\npf.sys [2007-11-06 34064]
S3 sdAuxService;PC Tools Auxiliary Service;c:\programme\Spyware Doctor\pctsAuxs.exe [2008-11-05 356920]
.
Inhalt des "geplante Tasks" Ordners

2008-12-14 c:\windows\Tasks\Crysis Wars(R) Updates.job
- c:\windows\Installer\Crysis Wars(R) Updates for All Users.lnk [2008-12-14 18:45]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-Comrade - c:\programme\GameSpy\Comrade\Comrade.exe


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://search.ie7pro.com/
LSP: c:\programme\Gemeinsame Dateien\PC Tools\LSP\PCTLsp.dll
FF - ProfilePath - c:\dokumente und einstellungen\Tobias Micolay\Anwendungsdaten\Mozilla\Firefox\Profiles\nisocl8g.default\
FF - prefs.js: browser.search.defaulturl - hxxp://de.search.yahoo.com/search?ei=UTF-8&fr=ytff-divx&p=
FF - prefs.js: browser.search.selectedEngine - Yahoo
FF - prefs.js: browser.startup.homepage - hxxp://de.yahoo.com/
FF - prefs.js: keyword.URL - hxxp://de.search.yahoo.com/search?ei=UTF-8&fr=ytff-divx&p=
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-02-05 14:21:59
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  HDAudDeck = c:\programme\VIAudioi\HDADeck\HDeck.exe 1????????????????????????????????????????

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_USERS\S-1-5-21-2052111302-602162358-839522115-1003\Software\Microsoft\SystemCertificates\AddressBook*]
@Allowed: (Read) (RestrictedCode)
@Allowed: (Read) (RestrictedCode)

[HKEY_USERS\S-1-5-21-2052111302-602162358-839522115-1003\Software\SecuROM\!CAUTION! NEVER A OR CHANGE ANY KEY*]
"??"=hex:c6,6a,74,fd,f3,f6,62,fc,81,5d,ec,71,fc,49,03,fa,3f,69,a1,56,f1,1e,0a,
   9d,8a,3c,cd,de,a0,f0,de,a6,de,3e,9e,2f,da,bf,7e,9c,05,ae,bf,56,02,13,ee,c1,\
"??"=hex:a1,5e,47,db,25,65,bb,27,8b,92,55,34,10,3f,d9,49

[HKEY_USERS\S-1-5-21-2052111302-602162358-839522115-1003\Software\SecuROM\License information*]
"datasecu"=hex:a7,8b,71,23,19,6c,22,e0,af,1b,7d,04,13,38,a3,0b,0e,df,34,17,d7,
   2c,36,ae,8d,1c,ef,56,ba,b1,93,ca,30,a2,35,ea,99,5c,c4,d3,1f,ad,f1,6d,74,94,\
"rkeysecu"=hex:8b,f9,01,61,85,41,c6,78,53,de,1a,37,1d,a7,88,d5
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(728)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'lsass.exe'(784)
c:\programme\Gemeinsame Dateien\PC Tools\LSP\PCTLsp.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\windows\system32\ati2evxx.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
c:\windows\ehome\ehrecvr.exe
c:\windows\ehome\ehSched.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\windows\system32\PnkBstrA.exe
c:\programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
c:\windows\ehome\mcrdsvc.exe
c:\programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
c:\programme\Softwin\BitDefender8\vsserv.exe
c:\windows\system32\dllhost.exe
c:\windows\ehome\ehmsas.exe
c:\windows\system32\wbem\wmiapsrv.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-02-05 14:24:19 - PC wurde neu gestartet [Tobias Micolay]
ComboFix-quarantined-files.txt  2009-02-05 13:24:11

Vor Suchlauf: 18 Verzeichnis(se), 254,496,100,352 Bytes frei
Nach Suchlauf: 18 Verzeichnis(se), 254,435,536,896 Bytes frei

197   --- E O F ---   2009-01-15 15:03:20

2 Virenscanner sind  Installiert.

Avira antivire und Bitdefender.

Eins deinstallieren!!

Lade dir a-squared Free, installieren, update, PC scannen-->Detail Scan --> SCAN
Funde löschen lassen, Report posten.

http://www.emsisoft.de/de/software/free/

2 Virenscanner sind  Installiert.

Avira antivire und Bitdefender.

http://www.emsisoft.de/de/software/free/

Ja, A-squared free hat keinen Wächter  . Von daher völlig unproblematisch.

Fand die Aussage so lustig.

Kleine Bitte ...
Damit andere wissen , warum ... gib immer nen Tipp dabei, weshalb Du da ein bestimmtes empfiehlst ...
 

hallo,

2 scanner bedeutet nicht 2 antiviren progis die permannent im hintergrund laufen @HCK 

mfg Zidane 

Was ich aber gepostet hab war ein Antiviren Programm. Konnte HCK ja nicht wissen, dass die free Version ohne Wächter ist.

@HCK ja werd ich machen!

  Reicht jetzt !!! 

Ich kann das nicht Installieren. Da kommt immer :
Fehler beim umbenennen einer Datei im Zielordner.
Code 32.

Auserdem habe ich auf meiner festplatte folgendes gefunden : 32788R22FWJFW.4.tmp das geht von 0.tmp bis 5. tmp
wen ich das öffne (ist ein ordner) schlägt der Virenscanner aus und sagt Trojaner...
In meinen Firefox sitzt auch noch einer im Ordner Profiles
sagte mein scanner.
mfg : Dama 

Das mit den Dateien was du sagst haben wa schnell beseitigt:

Folgenden Text im Editor kopieren und die Datei speichern, der Name muss dann "cfscript" sein!!

KILLALL:

Registry::
[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"xfcodec"=-

File::
C:\32788R22FWJFW.5.tmp
C:\32788R22FWJFW.4.tmp
C:\32788R22FWJFW.3.tmp
C:\32788R22FWJFW.2.tmp
C:\32788R22FWJFW.1.tmp
C:\32788R22FWJFW.0.tmp
c:\windows\system32\xfcodec.dll
c:\windows\system32\deploytk.dll
c:\windows\system32\config\systemprofile\Lokale Einstellungen\Verlauf\History.IE5\MSHist012008092020080921\index.dat

Folder::
c:\programme\lalaal

jetzte noch mal für obernullcheker pls  ???

xD

keine ahnung was du grade von mir willst =o ^^

Mfg ; Dama 

Du lädst jetzt die Datei runter. (Link steht bei)

Die Datei speicherst du dahin, wo du auch Combofix gespeichert hast. Dann klickst du mit der rechten maus auf das Textdokument mit dem Namen "cfscript" und ziehst dies dann auf Combofix. (Rechte maustaste gedrückt halten beim ziehen ne  )