Win32/trojanDownloader.Swizzor – Seite 2

Ich habe den scan gemacht...im normalen Modus!

Lt diesem Programm wurden 8 infizierte Objekte gefunden.

Malwarebytes' Anti-Malware 1.36
Datenbank Version: 2019
Windows 5.1.2600 Service Pack 2

21.04.2009 19:49:45
mbam-log-2009-04-21 (19-49-45).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 102972
Laufzeit: 5 minute(s), 33 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 5
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 1
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\urlsearchhook.toolbarurlsearchhook.1 (Trojan.BHO) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\tbsb04045.tbsb04045toolbar (Adware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{055fd26d-3a88-4e15-963d-dc8493744b1d} (Adware.BHO) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Folder\Hidden\SHOWALL\CheckedValue (Hijack.System.Hidden) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\Dokumente und Einstellungen\Jennewein\Lokale Einstellungen\Temp\oprA7.tmp (Heuristics.Malware) -> Quarantined and deleted successfully.
C:\Programme\ICQToolbar\toolbaru.dll (Adware.BHO) -> Quarantined and deleted successfully.
 

Okay nun Combofix anwenden!

http://virus-protect.org/artikel/tools/combofix.html

Logfile wieder posten.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\Admin\Anwendungsdaten\Microsoft\SystemCertificates\Request
c:\dokumente und einstellungen\Administrator\Anwendungsdaten\Microsoft\SystemCertificates\Request
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat
c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat
c:\dokumente und einstellungen\Jennewein\Anwendungsdaten\Microsoft\SystemCertificates\Request
c:\dokumente und einstellungen\sjennewein\Anwendungsdaten\Microsoft\SystemCertificates\Request
c:\programme\IEToolbar
c:\programme\IEToolbar\Amazon Toolbar\amazon.bmp
c:\programme\IEToolbar\Amazon Toolbar\amazon.crc
c:\programme\IEToolbar\Amazon Toolbar\amazon.dll
c:\programme\IEToolbar\Amazon Toolbar\basis.xml
c:\programme\IEToolbar\Amazon Toolbar\icons.bmp
c:\programme\IEToolbar\Amazon Toolbar\info.txt
c:\programme\IEToolbar\Amazon Toolbar\tbhelper.dll
c:\programme\IEToolbar\Amazon Toolbar\uninstall.exe
c:\programme\IEToolbar\Amazon Toolbar\update.exe
c:\programme\IEToolbar\Amazon Toolbar\version.txt
c:\windows\system32\drivers\npf.sys
c:\windows\system32\Packet.dll
c:\windows\system32\pthreadVC.dll
c:\windows\system32\WanPacket.dll
c:\windows\system32\wpcap.dll

----- BITS: Eventuell infizierte Webseiten -----

hxxp://ccp.vo.llnwd.net
.
(((((((((((((((((((((((((((((((((((((((   Treiber/Dienste   )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF
-------\Service_NPF


(((((((((((((((((((((((   Dateien erstellt von 2009-03-21 bis 2009-04-21  ))))))))))))))))))))))))))))))
.

2009-04-21 21:00 . 2009-04-21 21:04   --------   d-----w   C:\32788R22FWJFW
2009-04-21 14:55 . 2009-04-21 14:55   --------   d-----w   c:\dokumente und einstellungen\sjennewein\Anwendungsdaten\Malwarebytes
2009-04-21 14:55 . 2009-04-06 13:32   15504   ----a-w   c:\windows\system32\drivers\mbam.sys
2009-04-21 14:55 . 2009-04-06 13:32   38496   ----a-w   c:\windows\system32\drivers\mbamswissarmy.sys
2009-04-21 14:55 . 2009-04-21 14:55   --------   d-----w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2009-04-21 14:55 . 2009-04-21 15:00   --------   d-----w   c:\programme\Malwarebytes' Anti-Malware
2009-04-20 19:29 . 2009-04-20 19:29   --------   d-----w   c:\programme\Trend Micro
2009-04-14 07:56 . 2009-04-14 07:56   --------   d-----w   c:\windows\system32\KB905474
2009-04-14 07:56 . 2009-03-10 20:26   1436544   ----a-w   c:\windows\system32\KB905474\wganotifypackageinner.exe
2009-04-14 07:56 . 2009-03-10 20:18   455048   ----a-w   c:\windows\system32\KB905474\wgasetup.exe
2009-04-14 07:56 . 2009-02-09 16:51   15772   ----a-w   c:\windows\system32\KB905474\wga_eula.txt
2009-04-02 12:24 . 2009-04-02 12:24   --------   d--h--w   c:\dokumente und einstellungen\sjennewein\Lokale Einstellungen\Anwendungsdaten\acer eNM
2009-03-23 10:43 . 2009-03-23 10:43   --------   d-----w   c:\dokumente und einstellungen\sjennewein\Anwendungsdaten\teamspeak2
2009-03-23 10:42 . 2009-03-23 10:42   34064   ----a-w   c:\windows\system32\lhacm.acm

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2009-04-21 21:04 . 2009-04-21 20:56   352   ----a-w   C:\Bug.txt
2009-04-20 18:33 . 2008-11-12 11:54   --------   d-----w   c:\dokumente und einstellungen\sjennewein\Anwendungsdaten\EVEMon
2009-04-08 11:42 . 2008-07-03 09:19   --------   d-----w   c:\programme\ICQ6
2009-03-28 08:05 . 2008-12-19 07:17   --------   d-----w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\PhraseExpress
2009-03-28 08:05 . 2008-12-19 07:17   --------   d-----w   c:\programme\PhraseExpress
2009-03-21 14:20 . 2007-04-16 15:53   1059840   ----a-w   c:\windows\system32\dllcache\kernel32.dll
2009-03-06 13:59 . 2004-08-04 03:00   286720   ----a-w   c:\windows\system32\pdh.dll
2009-03-06 13:59 . 2004-08-04 03:00   286720   ----a-w   c:\windows\system32\dllcache\pdh.dll
2009-03-03 00:03 . 2007-04-18 12:31   826368   ----a-w   c:\windows\system32\wininet.dll
2009-03-03 00:03 . 2007-04-18 12:31   826368   ------w   c:\windows\system32\dllcache\wininet.dll
2009-02-28 04:54 . 2004-08-04 03:00   636072   ------w   c:\windows\system32\dllcache\iexplore.exe
2009-02-20 10:20 . 2007-12-10 16:18   13824   ------w   c:\windows\system32\dllcache\ieudinit.exe
2009-02-20 10:20 . 2004-08-04 03:00   70656   ------w   c:\windows\system32\dllcache\ie4uinit.exe
2009-02-20 05:14 . 2004-08-04 03:00   161792   ------w   c:\windows\system32\dllcache\ieakui.dll
2009-02-19 05:44 . 2008-11-12 10:10   90368   ----a-w   c:\dokumente und einstellungen\sjennewein\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2009-02-10 16:31 . 2004-08-04 03:00   453120   ----a-w   c:\windows\system32\dllcache\wmiprvsd.dll
2009-02-09 14:14 . 2007-03-08 15:32   1846400   ----a-w   c:\windows\system32\win32k.sys
2009-02-09 14:14 . 2007-03-08 15:32   1846400   ----a-w   c:\windows\system32\dllcache\win32k.sys
2009-02-09 11:39 . 2007-02-28 16:06   2023424   ----a-w   c:\windows\system32\ntkrnlpa.exe
2009-02-09 11:39 . 2007-02-28 16:06   2023424   ------w   c:\windows\system32\dllcache\ntkrpamp.exe
2009-02-09 11:39 . 2007-02-28 06:06   2065280   ------w   c:\windows\system32\dllcache\ntkrnlpa.exe
2009-02-09 11:39 . 2007-02-28 16:06   2188416   ------w   c:\windows\system32\dllcache\ntoskrnl.exe
2009-02-09 11:39 . 2007-02-28 16:06   2145280   ----a-w   c:\windows\system32\ntoskrnl.exe
2009-02-09 11:39 . 2007-02-28 16:06   2145280   ------w   c:\windows\system32\dllcache\ntkrnlmp.exe
2009-02-09 10:00 . 2004-08-04 04:00   736256   ----a-w   c:\windows\system32\dllcache\lsasrv.dll
2009-02-09 10:00 . 2004-08-04 03:00   736256   ----a-w   c:\windows\system32\lsasrv.dll
2009-02-09 10:00 . 2004-08-04 04:00   740864   ----a-w   c:\windows\system32\dllcache\ntdll.dll
2009-02-09 10:00 . 2004-08-04 04:00   678912   ----a-w   c:\windows\system32\dllcache\advapi32.dll
2009-02-09 10:00 . 2004-08-04 04:00   401408   ----a-w   c:\windows\system32\dllcache\rpcss.dll
2009-02-09 10:00 . 2004-08-04 03:00   740864   ----a-w   c:\windows\system32\ntdll.dll
2009-02-09 10:00 . 2004-08-04 03:00   678912   ----a-w   c:\windows\system32\advapi32.dll
2009-02-09 10:00 . 2004-08-04 03:00   473088   ----a-w   c:\windows\system32\dllcache\fastprox.dll
2009-02-09 10:00 . 2004-08-04 03:00   401408   ----a-w   c:\windows\system32\rpcss.dll
2009-02-09 09:48 . 2004-08-04 04:00   111104   ----a-w   c:\windows\system32\dllcache\services.exe
2009-02-09 09:48 . 2004-08-04 03:00   111104   ----a-w   c:\windows\system32\services.exe
2009-02-06 09:54 . 2004-08-04 03:00   35328   ----a-w   c:\windows\system32\sc.exe
2009-02-06 09:54 . 2004-08-04 03:00   35328   ----a-w   c:\windows\system32\dllcache\sc.exe
2009-02-06 09:41 . 2004-08-04 03:00   227840   ----a-w   c:\windows\system32\dllcache\wmiprvse.exe
2009-02-04 16:49 . 2007-08-10 11:33   484174   ----a-w   c:\windows\system32\perfh007.dat
2009-02-04 16:49 . 2007-08-10 11:33   102718   ----a-w   c:\windows\system32\perfc007.dat
2009-02-03 20:08 . 2004-08-04 04:00   55808   ----a-w   c:\windows\system32\dllcache\secur32.dll
2009-02-03 20:08 . 2004-08-04 03:00   55808   ----a-w   c:\windows\system32\secur32.dll
2008-11-12 10:10 . 2007-08-10 10:56   8224   ----a-w   c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2008-11-12 10:10 . 2008-11-12 10:10   143   ----a-w   c:\dokumente und einstellungen\sjennewein\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
2008-05-14 05:12 . 2007-12-18 15:46   89976   ----a-w   c:\dokumente und einstellungen\Jennewein\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2008-01-16 10:39 . 2008-01-16 10:38   89976   ----a-w   c:\dokumente und einstellungen\installvir\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2008-01-16 10:38 . 2008-01-16 10:38   143   ----a-w   c:\dokumente und einstellungen\installvir\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
2007-12-23 16:30 . 2007-12-10 15:15   89976   ----a-w   c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2007-12-22 18:07 . 2007-12-22 18:07   1621   ----a-w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\xml13.tmp
2007-12-22 18:07 . 2007-12-22 18:07   13292   ----a-w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\xml12.tmp
2007-12-22 18:07 . 2007-12-22 18:07   18142   ----a-w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\xml11.tmp
2007-12-22 08:04 . 2007-12-22 08:04   32   ----a-w   c:\dokumente und einstellungen\All Users\Anwendungsdaten\ezsid.dat
2007-12-18 15:46 . 2007-12-18 15:46   142   ----a-w   c:\dokumente und einstellungen\Jennewein\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
2007-12-10 15:22 . 2007-12-10 15:15   138   ----a-w   c:\dokumente und einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
2007-08-10 10:43 . 2007-08-10 10:43   146   ----a-w   c:\dokumente und einstellungen\Administrator\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2004-08-04 15360]
"SpybotSD TeaTimer"="c:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2008-09-16 1833296]
"EVEMon"="d:\sj privat\EVE\Evemon\EVEMon.exe" [2009-03-31 955904]
 

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"preload"="c:\windows\RUNXMLPL.exe" [2007-04-20 20480]
"IAAnotif"="c:\programme\Intel\Intel Matrix Storage Manager\Iaanotif.exe" [2007-03-21 174872]
"SynTPEnh"="c:\programme\Synaptics\SynTP\SynTPEnh.exe" [2005-12-16 761945]
"AzMixerSel"="c:\programme\Realtek\InstallShield\AzMixerSel.exe" [2005-06-11 53248]
"IMJPMIG8.1"="c:\windows\IME\imjp8_1\IMJPMIG.EXE" [2004-08-04 208952]
"MSPY2002"="c:\windows\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-04 59392]
"PHIME2002ASync"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-04 455168]
"PHIME2002A"="c:\windows\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-04 455168]
"RemoteControl"="c:\program files\CyberLink\PowerDVD\PDVDServ.exe" [2007-01-08 68640]
"LanguageShortcut"="c:\program files\CyberLink\PowerDVD\Language\Language.exe" [2007-01-08 52256]
"StartCCC"="c:\programme\ATI Technologies\ATI.ACE\Core-Static\CLIStart.exe" [2006-11-10 90112]
"Acer ePresentation HPD"="c:\acer\Empowering Technology\ePresentation\ePresentation.exe" [2007-03-02 208896]
"ePower_DMC"="c:\acer\Empowering Technology\ePower\ePower_DMC.exe" [2007-07-04 475136]
"Boot"="c:\acer\Empowering Technology\ePower\Boot.exe" [2006-03-15 579584]
"eDataSecurity Loader"="c:\acer\Empowering Technology\eDataSecurity\eDSloader.exe" [2007-05-28 342528]
"eRecoveryService"="c:\acer\Empowering Technology\eRecovery\eRAgent.exe" [2007-07-11 421888]
"LManager"="c:\progra~1\LAUNCH~1\LManager.exe" [2007-06-14 850704]
"PLFSet"="c:\windows\PLFSet.dll" [2007-04-24 45056]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"PaperPort PTD"="c:\programme\ScanSoft\PaperPort\pptd40nt.exe" [2005-03-17 57393]
"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2005-03-17 40960]
"BrMfcWnd"="c:\programme\Brother\Brmfcmon\BrMfcWnd.exe" [2006-06-28 622592]
"SetDefPrt"="c:\programme\Brother\Brmfl06b\BrStDvPt.exe" [2005-01-26 49152]
"ControlCenter3"="c:\programme\Brother\ControlCenter3\brctrcen.exe" [2006-06-29 77824]
"OrderReminder"="c:\programme\Hewlett-Packard\OrderReminder\OrderReminder.exe" [2006-01-30 98304]
"nod32kui"="c:\programme\Eset\nod32kui.exe" [2008-01-16 949376]
"SunJavaUpdateSched"="c:\programme\Java\jre6\bin\jusched.exe" [2008-12-04 136600]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-10-15 39792]
"RTHDCPL"="RTHDCPL.EXE" - c:\windows\RTHDCPL.exe [2007-05-28 16132608]
"BluetoothAuthenticationAgent"="bthprops.cpl" - c:\windows\system32\bthprops.cpl [2004-08-04 110592]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2004-08-04 15360]

c:\dokumente und einstellungen\sjennewein\Startmen\Programme\Autostart\
klickTel OEM 2008 - Schnellstarter.lnk - c:\programme\klickTel\klickTel OEM 2008\KSTART32.EXE [2009-1-21 461824]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Acer Empowering Technology.lnk - c:\acer\Empowering Technology\Acer.Empowering.Framework.Launcher.exe [2007-12-10 45056]
BTTray.lnk - c:\programme\WIDCOMM\Bluetooth Software\BTTray.exe [2007-4-1 568176]
EPSON Status Monitor 3 Environment Check(3).lnk - c:\windows\system32\spool\drivers\w32x86\3\E_SRCV03.EXE [2002-6-10 131584]
NetScreen-Remote.lnk - c:\programme\Juniper\NetScreen-Remote\SafeCfg.exe [2008-1-9 65588]
PhraseExpress.lnk - c:\programme\PhraseExpress\phraseexpress.exe [2008-12-19 3783064]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoWelcomeScreen"= 1 (0x1)

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecAntiVirus]
"DisableMonitoring"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\SymantecFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\CyberLink\\PowerDVD\\PowerDVD.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Gemeinsame Dateien\\EPSON\\EBAPI\\eEBSvc.exe"=
"d:\\SJ privat\\EVE\\bin\\ExeFile.exe"=
"d:\\SJ privat\\System-Programme\\sisoft\\SiSoftware Sandra Lite XII.SP1\\Win32\\RpcDataSrv.exe"=
"d:\\SJ privat\\System-Programme\\sisoft\\SiSoftware Sandra Lite XII.SP1\\RpcSandraSrv.exe"=
"c:\\Programme\\ICQ6\\ICQ.exe"=
"c:\\Programme\\Mozilla Firefox\\firefox.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=
"c:\\Programme\\PhraseExpress\\phraseexpress.exe"=
"c:\\Programme\\Juniper\\NetScreen-Remote\\IreIKE.exe"=
"c:\programme\Juniper\NetScreen-Remote\ViewLog.exe"= c:\programme\Juniper\NetScreen-Remote\ViewLog.exe:127.0.0.1/255.255.255.255:Enabled:ViewLog
"c:\programme\Juniper\NetScreen-Remote\CmonApp.exe"= c:\programme\Juniper\NetScreen-Remote\CmonApp.exe:127.0.0.1/255.255.255.255:Enabled:CMonApp
"c:\programme\Juniper\NetScreen-Remote\vpn.exe"= c:\programme\Juniper\NetScreen-Remote\vpn.exe:127.0.0.1/255.255.255.255:Enabled:VPN Connection Manager

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\IcmpSettings]
"AllowInboundEchoRequest"= 1 (0x1)

R2 nsbkp;Server Shell;c:\windows\system32\svchost.exe [2004-08-04 14336]
R3 FWLANUSB;AVM FRITZ!WLAN;c:\windows\system32\DRIVERS\fwlanusb.sys [2006-04-06 264704]
R3 PDNMp50;PDNMp50 NDIS Protocol Driver;c:\windows\system32\drivers\PDNMp50.sys [2006-11-28 28224]
R3 PDNSp50;PDNSp50 NDIS Protocol Driver;c:\windows\system32\drivers\PDNSp50.sys [2006-11-28 27072]
S1 nod32drv;nod32drv;c:\windows\system32\drivers\nod32drv.sys [2008-01-16 15424]
S2 Crypto;Crypto;

S2 EpmPsd;Acer EPM Power Scheme Driver;c:\windows\system32\drivers\epm-psd.sys [2004-07-19 4096]
S2 EpmShd;Acer EPM System Hardware Driver;c:\windows\system32\drivers\epm-shd.sys [2005-04-07 78208]
S2 ICQ Service;ICQ Service;c:\programme\ICQ6Toolbar\ICQ Service.exe [2008-06-10 222456]
S2 IPSECDRV;SafeNet IPSec Plugin;c:\windows\system32\Drivers\IPSECDRV.sys [2004-08-11 119864]
S2 MSSQL$MSSMLBIZ;SQL Server (MSSMLBIZ);c:\programme\Microsoft SQL Server\MSSQL.1\MSSQL\Binn\sqlservr.exe [2006-04-14 28933976]
S3 DniVap;SafeNet WAN Miniport (VA);c:\windows\system32\DRIVERS\vap.sys [2001-12-14 36188]


--- Andere Dienste/Treiber im Speicher ---

*NewlyCreated* - UBHELPER

HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - NetSvcs
nsbkp
.
Inhalt des "geplante Tasks" Ordners

2009-04-21 c:\windows\Tasks\WGASetup.job
- c:\windows\system32\KB905474\wgasetup.exe [2009-04-14 20:18]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

BHO-{C6BFC16B-D6FF-47EB-B5D7-F91FB78F94CE} - c:\programme\IEToolbar\Amazon Toolbar\amazon.dll
Toolbar-{EEB30C11-DF11-46DF-B763-BAF798CA65F3} - c:\programme\IEToolbar\Amazon Toolbar\amazon.dll
WebBrowser-{EEB30C11-DF11-46DF-B763-BAF798CA65F3} - c:\programme\IEToolbar\Amazon Toolbar\amazon.dll
HKLM-Run-eLockMonitor - c:\acer\Empowering Technology\eLock\Monitor\LaunchMonitor.exe


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://suche.klicktel.de
uSearchMigratedDefaultURL = hxxp://search.yahoo.com/search?p={searchTerms}&ei=utf-8&fr=b1ie7
IE: Nach Microsoft &Excel exportieren - c:\progra~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
IE: Senden an &Bluetooth-Gerät... - c:\programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
LSP: c:\windows\system32\imon.dll
FF - ProfilePath - c:\dokumente und einstellungen\sjennewein\Anwendungsdaten\Mozilla\Firefox\Profiles\dvkq55fr.default\
FF - prefs.js: browser.search.selectedEngine - ICQ Search
FF - prefs.js: browser.startup.homepage - www.google.de
FF - prefs.js: keyword.URL - hxxp://search.icq.com/search/afe_results.php?ch_id=afex&q=

---- Firefox Richtlinien ----
FF - user.js: yahoo.homepage.dontask - true.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2009-04-21 23:12
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\nsbkp]
"ServiceDll"="c:\windows\system32\melkxn.dll"
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(1336)
c:\windows\system32\Ati2evxx.dll

- - - - - - - > 'lsass.exe'(1392)
c:\windows\system32\imon.dll
c:\programme\Eset\pr_imon.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ati2evxx.exe
c:\programme\WIDCOMM\Bluetooth Software\bin\btwdins.exe
c:\programme\Intel\Wireless\Bin\S24EvMon.exe
c:\programme\Juniper\NetScreen-Remote\IreIKE.exe
c:\programme\Intel\Wireless\Bin\EvtEng.exe
c:\programme\Intel\Intel Matrix Storage Manager\IAANTmon.exe
c:\programme\Juniper\NetScreen-Remote\IPSecMon.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
c:\programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
c:\programme\ESET\nod32krn.exe
c:\programme\Intel\Wireless\Bin\RegSrvc.exe
c:\programme\CyberLink\Shared Files\RichVideo.exe
c:\windows\system32\wbem\wmiapsrv.exe
c:\acer\Empowering Technology\eLock\Service\eLockServ.exe
c:\windows\system32\ati2evxx.exe
c:\windows\system32\rundll32.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\MOM.exe
c:\windows\system32\wbem\unsecapp.exe
c:\programme\ATI Technologies\ATI.ACE\Core-Static\CCC.exe
c:\programme\Brother\ControlCenter3\BrccMCtl.exe
c:\windows\system32\wscntfy.exe
c:\dokume~1\SJENNE~1\LOKALE~1\Temp\RtkBtMnt.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2009-04-21 23:15 - PC wurde neu gestartet
ComboFix-quarantined-files.txt  2009-04-21 21:15

Vor Suchlauf: 27 Verzeichnis(se), 36.889.600.000 Bytes frei
Nach Suchlauf: 26 Verzeichnis(se), 46.259.183.616 Bytes frei

281   --- E O F ---   2009-04-16 05:02
 

Okay Lade folgende Datei auf http://virustotal.com hoch und poste das Ergebnis.

c:\windows\system32\melkxn.dll

Ladt dir Cureit runter und mache einen komplett Scan, Report hier posten.

http://virus-protect.org/cureit.html

Gruß Deniz

 

Die Datei kann leider nicht gefunden werden. Wird die evtl. anders geschrieben?

Nein die wird nicht anders geschrieben.

Mache mit dem Cureit scan weiter.

so endlich geschafft ;-)

RegUBP2b-sjennewein.reg   C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Snapshots2   Trojan.StartPage.1505   Gelöscht.
ComboFix.exe/data002\32788R22FWJFW\c.bat   C:\Dokumente und Einstellungen\sjennewein\Desktop\ComboFix.exe/data002   Wahrscheinlich BATCH.Virus   
ComboFix.exe/data002\32788R22FWJFW\psexec.cfexe   C:\Dokumente und Einstellungen\sjennewein\Desktop\ComboFix.exe/data002   Program.PsExec.171   
data002   C:\Dokumente und Einstellungen\sjennewein\Desktop   Archiv enthält infizierte Objekte   
ComboFix.exe   C:\Dokumente und Einstellungen\sjennewein\Desktop   Container enthält infizierte Objekte   Verschoben.
pv.exe   C:\Programme\Hewlett-Packard\OrderReminder\uninstall   Program.PrcView.3741   
VBAOL11.CHM\html/olobjAddressEntries.htm   C:\Programme\Microsoft Office\OFFICE11\1031\VBAOL11.CHM   Modifikation von VBS.Generic.205   
VBAOL11.CHM   C:\Programme\Microsoft Office\OFFICE11\1031   Container enthält infizierte Objekte   Verschoben.
A0053579.bat   C:\System Volume Information\_restore{D26AA30C-17AC-45F5-8204-C1751B8DA948}\RP75   Wahrscheinlich BATCH.Virus   
A0053665.bat   C:\System Volume Information\_restore{D26AA30C-17AC-45F5-8204-C1751B8DA948}\RP75   Wahrscheinlich BATCH.Virus   
A0053676.EXE   C:\System Volume Information\_restore{D26AA30C-17AC-45F5-8204-C1751B8DA948}\RP75   Program.PsExec.170   
A0054806.reg   C:\System Volume Information\_restore{D26AA30C-17AC-45F5-8204-C1751B8DA948}\RP75   Trojan.StartPage.1505   Gelöscht.
 

-----------------------------------------------------------------------------
Scanstatistiken
-----------------------------------------------------------------------------
Gescannt: 349861
Infiziert: 2
Modifikationen: 1
Verdächtig: 3
Adware: 0
Dialer: 0
Scherzprogramme: 0
Riskware: 3
Hacktools: 0
Desinfiziert: 0
Gelöscht: 2
Umbenannt: 0
Verschoben: 2
Ignoriert: 0
Geschwindigkeit:: 20 Kb/s
Dauer:: 03:00:36
-----------------------------------------------------------------------------
reicht das..oder möchtest Du wirklich den gesamten Log? Der würde den Rahmen hier mehrfach sprengen....

Grüße
S.

Okay,

Start -> Ausführen -> Combofix /U

Online Scan mit F-secure machen -> Funde löschen und Report posten (Active x muss an sein + Internet Explorer verwenden)

http://support.f-secure.com/ger/home/ols.shtml

so auch geschafft :-)

Scanning Report
Thursday, April 23, 2009 17:42:04 - 18:33:04

Computer name: NB-
Scanning type: Scan system for malware, rootkits
Target: C:\ D:\
Result: 8 malware found
TrackingCookie.2o7 (spyware)

    * System

TrackingCookie.Advertising (spyware)

    * System

TrackingCookie.Atdmt (spyware)

    * System

TrackingCookie.Atwola (spyware)

    * System

TrackingCookie.Doubleclick (spyware)

    * System

TrackingCookie.Tradedoubler (spyware)

    * System

TrackingCookie.Webtrends (spyware)

    * System

TrackingCookie.Zanox (spyware)

    * System

Statistics
Scanned:

    * Files: 45717
    * System: 3924
    * Not scanned: 9

Actions:

    * Disinfected: 0
    * Renamed: 0
    * Deleted: 0
    * None: 8
    * Submitted: 0

Files not scanned:

    * C:\HIBERFIL.SYS
    * C:\PAGEFILE.SYS
    * C:\WINDOWS\SYSTEM32\CONFIG\DEFAULT
    * C:\WINDOWS\SYSTEM32\CONFIG\SAM
    * C:\WINDOWS\SYSTEM32\CONFIG\SECURITY
    * C:\WINDOWS\SYSTEM32\CONFIG\SOFTWARE
    * C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM
    * C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\ANWENDUNGSDATEN\BROTHER\BRLOG\BRCOLLECTDIR\BR_CAT.BAT
    * C:\DOKUMENTE UND EINSTELLUNGEN\ALL USERS\ANWENDUNGSDATEN\BROTHER\BRLOG\BRCOLLECTDIR\BR_COMPRESS_20071228_183945_1_1 

Okay mache nun folgendes:

Start -> Alle Programme -> Zubehör -> Systemprogramme -> Systemwiederherstellung -> Deaktivieren

2 Minuten Später wieder aktivieren.

Danach bitte einen Scan machen mit dem programm, wo Swizzor erkannt wurde.

Es liest sich gut, nach dem Scann...."es wurden keine infizierten Objekte gefunden".

Wenn wir nun die Sache bereinigt haben sollten, dann bin ich Dir tausendfach dankbar für Deine gezielte und prägnante Hilfe! :-)

Ja sind durch =)

LG Deniz

Vielen Dank nochmals :-) Und ein schönes WE.

LG
St.