Falsche Google Weiterleitung – Seite 2

die windows-explorer-suche liefert mir zu hjgruibdmdbwul.dll kein ergebnis. jemand ne ahnung wie ich an diese dumme datei rankomme um sie endgültig zu löschen?

da wäre knoppix oder autoruns sehr fein.Mit autoruns kann  man auch gleich nachsehen,was noch so unfeines aufgerufen wird und dies unterbinden.

Combofix downloaden -> wie auf der Seite Anwenden und den Report anschließend hier posten.
http://virus-protect.org/artikel/tools/combofix.html


Danach neuen Malwarebytes Scan.

Wenn Du glück hast wird CF den Service finden, wenn Du Pech hast wird CF nichtmal starten.

Eine Systemscannung mit diversen Rootkit Scannern vor der Reinigung wäre anzuraten

Erst mal sehen obs mit Combofix klappt danach Gmer und Rootkit revealer mal suchen lassen.

Juhuuu, Glück oder was auch immer. Es ist weg und kommt hoffentlich so schnell auch nicht wieder.

Meine Helden des Tages:
1. ersguterjunge
2. ComboFix

DANKE an alle und guts Nächtle!!!

Moment, sei dir noch nicht so sicher.

Combofix Logfile bitte erst posten.

Danach Malwarebytes installieren und einen Scan machen, Funde löschen lassen und Report posten!

Hallo Zusammen,

dieses Thema scheint ja schon mehr oder weniger gelöst zu sein, jedoch hab ich nahezu das selbe Problem und hoffe einfach mal von euch Hilfe zu bekommen.

Eine kurze Vorabbeschreibung:
Wir hatten immer Avira Antivir installiert, weil wir bis vor kurzem Internet über einen Stick hatten und sich das Sicherheitsprogramm von diesem Stick irgendwie mit F-Secure in die Quere kam und mit Avira halt nicht. Vor ein paar Wochen war dann der Regenschirm geschlossen und nichts ging mehr bei dem Programm. Der Laptop hatte irgendwie ein Eigenleben bekommen. Dieses Malware Defense Programm von Microsoft war die ganze Zeit am Start und liess sich nur schwer ruhigstellen, also so dass es nicht mehr arbeitete. Irgendwelche komischen Icons waren auf dem Desktop usw.
Hab dann versucht eine neue Version von Antivir runterzuladen und zu installieren. Die Installation lief immer durch, jedoch konnte ich das Programm nicht starten über das Icon. Ich konnte zwar sagen, wenn ich auf C geklickt habe, durchsuchen, dann hat Antivir gearbeitet, aber es war auch kein Regenschirm aktiv und nichts.
Hab dann versucht F-Secure zu installieren, das ging dann gar nicht. Das hat immer über einen GB Speicherplatz bei der Installation verbraucht und dann gings nicht weiter.  Hab dann Spybot versucht zu installieren, lief auch durch, aber wie bei Antivir war das Icon auf dem Desktop und das Programm startet nicht.
Seit ein paar Tagen habe ich das Problem mit dem Internetexplorer bzw. Mozilla wie hier im Beitrag beschrieben. Hab dann mal über Panda-Software ein Onlinescan durchlaufen lassen, weil ich der Meinung war, dass Antivir ja nicht funktioniert obwohl die Prozesse des Programms aktiv zu sein scheinen, mit dem Ergebnis hier aus dem Beitrag. Also Trojaner TDSS.DF in globalroot/systemroot/system32/h8srtbdvblxexyl.dll .

Wollte dann mal vorgehen wie hier im Beitrag beschrieben, also Malwarebytes installieren etc. Habe jetzt wieder genau das gleiche Problem, Programm ist installiert, öffnet sich jedoch nicht wenn ich auf das Icon klicke.

Ich bin so bisschen mit meinem Latein am Ende. Gibt es ein Virus welcher es verhindert, dass solche Anti-Programme ausführbar sind?
Übrigens Adaware hatte funktioniert, der hat aber ausser ein paar Cookies nichts gemeldet.

Ich hätte ja den Laptop schon längst formatiert und so, jedoch funzt das CD Laufwerk nur sporadisch bis garnicht, deswegen scheidet die Möglichkeit für den Moment mal aus.
Der Laptop soll auch dieses Jahr noch ersetzt werden, jedoch sieht der Haushaltsplan das erst für Mitte des Jahres vor... ;-) Wäre schön, wenn er noch mal vernünftig laufen würde bis dahin.

Ich hoffe, ihr habt einen Rat für mich.
PC ist übrigens ein 5 jahre alter Fujitsu Siemens mit XP Professional SP3.

Danke für eure Mühe.

Gruß,

Dine

Hallo Adaware bringt bei TDSS nix

Lade bitte die Datei TDSSKiller.Zip  auf deinen Desktop und entpacke sie.

Schließe alle Programme !

Starte nun die TDSSKiller.exe und folge den Anweisungen.

Drücke y um den pc neu zu starten, falls dazu aufgefordert wird.

Poste den Inhalt der Datei hier !

C:\TDSSKiller.2.2.2_17.01.2010_19.10.15_log.txt

(Bei dir werden da ein paar andere Zahlen stehen, dies ist abhängig von Version,Datum und Uhrzeit.)


 

Danke für die schnelle Antwort.

Hier der Inhalt der Datei:

17:50:55:562 2256   TDSS rootkit removing tool 2.2.2 Jan 13 2010 08:42:25
17:50:55:562 2256   ================================================================================
17:50:55:562 2256   SystemInfo:

17:50:55:562 2256   OS Version: 5.1.2600 ServicePack: 3.0
17:50:55:562 2256   Product type: Workstation
17:50:55:562 2256   ComputerName: AMILO
17:50:55:562 2256   UserName: Arno
17:50:55:562 2256   Windows directory: C:\WINDOWS
17:50:55:562 2256   Processor architecture: Intel x86
17:50:55:562 2256   Number of processors: 1
17:50:55:562 2256   Page size: 0x1000
17:50:55:562 2256   Boot type: Normal boot
17:50:55:562 2256   ================================================================================
17:50:55:562 2256   UnloadDriverW: NtUnloadDriver error 2
17:50:55:562 2256   ForceUnloadDriverW: UnloadDriverW(klmd21) error 2
17:50:55:578 2256   MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\drivers\klmd.sys) returned status 00000000
17:50:55:625 2256   UtilityInit: KLMD drop and load success
17:50:55:625 2256   KLMD_OpenDevice: Trying to open KLMD Device(KLMD201000)
17:50:55:625 2256   UtilityInit: KLMD open success
17:50:55:625 2256   UtilityInit: Initialize success
17:50:55:625 2256   
17:50:55:625 2256   Scanning   Services ...
17:50:55:625 2256   CreateRegParser: Registry parser init started
17:50:55:625 2256   DisableWow64Redirection: GetProcAddress(Wow64DisableWow64FsRedirection) error 127
17:50:55:625 2256   CreateRegParser: DisableWow64Redirection error
17:50:55:625 2256   wfopen_ex: Trying to open file C:\WINDOWS\system32\config\system
17:50:55:625 2256   MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\config\system) returned status C0000043
17:50:55:625 2256   wfopen_ex: MyNtCreateFileW error 32 (C0000043)
17:50:55:625 2256   wfopen_ex: Trying to KLMD file open
17:50:55:625 2256   KLMD_CreateFileW: Trying to open file C:\WINDOWS\system32\config\system
17:50:55:625 2256   wfopen_ex: File opened ok (Flags 2)
17:50:55:625 2256   CreateRegParser: HIVE_ADAPTER(C:\WINDOWS\system32\config\system) init success: E34CB8
17:50:55:625 2256   wfopen_ex: Trying to open file C:\WINDOWS\system32\config\software
17:50:55:625 2256   MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\config\software) returned status C0000043
17:50:55:625 2256   wfopen_ex: MyNtCreateFileW error 32 (C0000043)
17:50:55:625 2256   wfopen_ex: Trying to KLMD file open
17:50:55:625 2256   KLMD_CreateFileW: Trying to open file C:\WINDOWS\system32\config\software
17:50:55:625 2256   wfopen_ex: File opened ok (Flags 2)
17:50:55:625 2256   CreateRegParser: HIVE_ADAPTER(C:\WINDOWS\system32\config\software) init success: E34D60
17:50:55:625 2256   EnableWow64Redirection: GetProcAddress(Wow64RevertWow64FsRedirection) error 127
17:50:55:625 2256   CreateRegParser: EnableWow64Redirection error
17:50:55:625 2256   CreateRegParser: RegParser init completed
17:50:55:765 2256   GetAdvancedServicesInfo: Raw services enum returned 351 services
17:50:55:765 2256   ScanTDL2Services: Exact detect H8SRTd.sys (h: 1)
17:50:55:765 2256   RegNode HKLM\SYSTEM\ControlSet001\services\H8SRTd.sys infected by TDSS rootkit ... 17:50:55:765 2256   will be deleted on reboot
17:50:55:781 2256   DeleteTDL2Service: SafeBoot Minimal doesn't infected
17:50:55:828 2256   DeleteTDL2Service: SafeBoot Network doesn't infected
17:50:55:828 2256   RegNode HKLM\SYSTEM\ControlSet002\services\H8SRTd.sys infected by TDSS rootkit ... 17:50:55:828 2256   will be deleted on reboot
17:50:55:828 2256   DeleteTDL2Service: RawRegOpenKeyW(ControlSet002\control\safeboot) error 5
17:50:55:843 2256   RegNode HKLM\SYSTEM\ControlSet003\services\H8SRTd.sys infected by TDSS rootkit ... 17:50:55:843 2256   will be deleted on reboot
17:50:55:843 2256   DeleteTDL2Service: SafeBoot Minimal doesn't infected
17:50:55:843 2256   DeleteTDL2Service: SafeBoot Network doesn't infected
17:50:55:843 2256   File C:\WINDOWS\system32\drivers\H8SRTftewinmyqb.sys infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: H8SRTd. Type: 1
17:50:55:859 2256   DeleteTDL2Service: Module clone ImagePath, skipping
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: H8SRTc. Type: 1
17:50:55:859 2256   File C:\WINDOWS\system32\H8SRTpfuxnsvdll.dll infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: H8SRTsrcr. Type: 1
17:50:55:859 2256   File C:\WINDOWS\system32\H8SRTblwkbwnxir.dat infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: h8srtserf. Type: 1
17:50:55:859 2256   File C:\WINDOWS\system32\H8SRTsukwmyjwmo.dll infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: h8srtbbr. Type: 1
17:50:55:859 2256   File C:\WINDOWS\system32\H8SRTjosibydadi.dll infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   DeleteTDL2Service: Module enum: Name: h8srtmsg. Type: 1
17:50:55:859 2256   File C:\WINDOWS\system32\H8SRTbdvblxexyl.dll infected by TDSS rootkit ... 17:50:55:859 2256   will be deleted on reboot
17:50:55:859 2256   ScanTDL2Services: DeleteEvilService(H8SRTd.sys) success
17:50:55:859 2256   fclose_ex: Trying to close file C:\WINDOWS\system32\config\system
17:50:55:859 2256   fclose_ex: Trying to close file C:\WINDOWS\system32\config\software
17:50:55:859 2256   
17:50:55:859 2256   Scanning   Kernel memory ...
17:50:55:859 2256   KLMD_GetSystemObjectAddressByNameW: Trying to get system object address by name \Driver\Disk
17:50:55:859 2256   DetectCureTDL3: \Driver\Disk PDRIVER_OBJECT: 84F4A800
17:50:55:859 2256   DetectCureTDL3: KLMD_GetDeviceObjectList returned 3 DevObjects
17:50:55:859 2256   
17:50:55:859 2256   DetectCureTDL3: DEVICE_OBJECT: 84F0E8A0
17:50:55:859 2256   KLMD_GetLowerDeviceObject: Trying to get lower device object for 84F0E8A0
17:50:55:859 2256   KLMD_ReadMem: Trying to ReadMemory 0x84F0E8A0[0x38]
17:50:55:859 2256   DetectCureTDL3: DRIVER_OBJECT: 84F4A800
17:50:55:859 2256   KLMD_ReadMem: Trying to ReadMemory 0x84F4A800[0xA8]
17:50:55:859 2256   KLMD_ReadMem: Trying to ReadMemory 0xE1708F80[0x18]
17:50:55:859 2256   DetectCureTDL3: DRIVER_OBJECT name: \Driver\Disk, Driver Name: Disk
17:50:55:859 2256   DetectCureTDL3: IrpHandler (0) addr: F7745BB0
17:50:55:859 2256   DetectCureTDL3: IrpHandler (1) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (2) addr: F7745BB0
17:50:55:859 2256   DetectCureTDL3: IrpHandler (3) addr: F773FD1F
17:50:55:859 2256   DetectCureTDL3: IrpHandler (4) addr: F773FD1F
17:50:55:859 2256   DetectCureTDL3: IrpHandler (5) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (6) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (7) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler ( addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (9) addr: F77402E2
17:50:55:859 2256   DetectCureTDL3: IrpHandler (10) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (11) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (12) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (13) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (14) addr: F77403BB
17:50:55:859 2256   DetectCureTDL3: IrpHandler (15) addr: F7743F28
17:50:55:859 2256   DetectCureTDL3: IrpHandler (16) addr: F77402E2
17:50:55:859 2256   DetectCureTDL3: IrpHandler (17) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (18) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (19) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (20) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (21) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (22) addr: F7741C82
17:50:55:859 2256   DetectCureTDL3: IrpHandler (23) addr: F774699E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (24) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (25) addr: 804FA87E
17:50:55:859 2256   DetectCureTDL3: IrpHandler (26) addr: 804FA87E
17:50:55:859 2256   TDL3_FileDetect: Processing driver: Disk
17:50:55:859 2256   TDL3_FileDetect: Processing driver file: C:\WINDOWS\system32\DRIVERS\disk.sys
17:50:55:859 2256   KLMD_CreateFileW: Trying to open file C:\WINDOWS\system32\DRIVERS\disk.sys
17:50:55:906 2256   TDL3_FileDetect: C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: Clean
17:50:55:906 2256   
17:50:55:906 2256   DetectCureTDL3: DEVICE_OBJECT: 84F0EC68
17:50:55:906 2256   KLMD_GetLowerDeviceObject: Trying to get lower device object for 84F0EC68
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0x84F0EC68[0x38]
17:50:55:906 2256   DetectCureTDL3: DRIVER_OBJECT: 84F4A800
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0x84F4A800[0xA8]
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0xE1708F80[0x18]
17:50:55:906 2256   DetectCureTDL3: DRIVER_OBJECT name: \Driver\Disk, Driver Name: Disk
17:50:55:906 2256   DetectCureTDL3: IrpHandler (0) addr: F7745BB0
17:50:55:906 2256   DetectCureTDL3: IrpHandler (1) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (2) addr: F7745BB0
17:50:55:906 2256   DetectCureTDL3: IrpHandler (3) addr: F773FD1F
17:50:55:906 2256   DetectCureTDL3: IrpHandler (4) addr: F773FD1F
17:50:55:906 2256   DetectCureTDL3: IrpHandler (5) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (6) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (7) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler ( addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (9) addr: F77402E2
17:50:55:906 2256   DetectCureTDL3: IrpHandler (10) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (11) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (12) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (13) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (14) addr: F77403BB
17:50:55:906 2256   DetectCureTDL3: IrpHandler (15) addr: F7743F28
17:50:55:906 2256   DetectCureTDL3: IrpHandler (16) addr: F77402E2
17:50:55:906 2256   DetectCureTDL3: IrpHandler (17) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (18) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (19) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (20) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (21) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (22) addr: F7741C82
17:50:55:906 2256   DetectCureTDL3: IrpHandler (23) addr: F774699E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (24) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (25) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (26) addr: 804FA87E
17:50:55:906 2256   TDL3_FileDetect: Processing driver: Disk
17:50:55:906 2256   TDL3_FileDetect: Processing driver file: C:\WINDOWS\system32\DRIVERS\disk.sys
17:50:55:906 2256   KLMD_CreateFileW: Trying to open file C:\WINDOWS\system32\DRIVERS\disk.sys
17:50:55:906 2256   TDL3_FileDetect: C:\WINDOWS\system32\DRIVERS\disk.sys - Verdict: Clean
17:50:55:906 2256   
17:50:55:906 2256   DetectCureTDL3: DEVICE_OBJECT: 84F91AB8
17:50:55:906 2256   KLMD_GetLowerDeviceObject: Trying to get lower device object for 84F91AB8
17:50:55:906 2256   DetectCureTDL3: DEVICE_OBJECT: 84F91030
17:50:55:906 2256   KLMD_GetLowerDeviceObject: Trying to get lower device object for 84F91030
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0x84F91030[0x38]
17:50:55:906 2256   DetectCureTDL3: DRIVER_OBJECT: 84FDE4F0
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0x84FDE4F0[0xA8]
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0xE1709430[0x20]
17:50:55:906 2256   DetectCureTDL3: DRIVER_OBJECT name: \Driver\viamraid, Driver Name: viamraid
17:50:55:906 2256   DetectCureTDL3: IrpHandler (0) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (1) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (2) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (3) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (4) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (5) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (6) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (7) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler ( addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (9) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (10) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (11) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (12) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (13) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (14) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (15) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (16) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (17) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (18) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (19) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (20) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (21) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (22) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (23) addr: F75DB44C
17:50:55:906 2256   DetectCureTDL3: IrpHandler (24) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (25) addr: 804FA87E
17:50:55:906 2256   DetectCureTDL3: IrpHandler (26) addr: 804FA87E
17:50:55:906 2256   KLMD_ReadMem: Trying to ReadMemory 0xF75DE40E[0x400]
17:50:55:906 2256   TDL3_StartIoHookDetect: CheckParameters: 1, F75E217C, 0
17:50:55:906 2256   TDL3_FileDetect: Processing driver: viamraid
17:50:55:906 2256   TDL3_FileDetect: Processing driver file: C:\WINDOWS\system32\DRIVERS\viamraid.sys
17:50:55:906 2256   KLMD_CreateFileW: Trying to open file C:\WINDOWS\system32\DRIVERS\viamraid.sys
17:50:55:921 2256   TDL3_FileDetect: C:\WINDOWS\system32\DRIVERS\viamraid.sys - Verdict: Clean
17:50:55:921 2256   UtilityBootReinit: Reboot required for cure complete..
17:50:55:921 2256   MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\drivers\klmdb.sys) returned status 00000000
17:50:55:921 2256   UtilityBootReinit: KLMD drop success
17:50:55:921 2256   KLMD_ApplyPendList: Pending buffer(55E8_38F4, 1184) dropped successfully
17:50:55:921 2256   UtilityBootReinit: Cure on reboot scheduled successfully
17:50:55:921 2256   
17:50:55:921 2256   Completed
17:50:55:921 2256   
17:50:55:921 2256   Results:
17:50:55:921 2256   Memory objects infected / cured / cured on reboot:   0 / 0 / 0
17:50:55:921 2256   Registry objects infected / cured / cured on reboot:   3 / 0 / 3
17:50:55:921 2256   File objects infected / cured / cured on reboot:   6 / 0 / 6
17:50:55:921 2256   
17:50:55:937 2256   MyNtCreateFileW: NtCreateFile(\??\C:\WINDOWS\system32\drivers\klmd.sys) returned status 00000000
17:50:55:937 2256   UtilityDeinit: KLMD(ARK) unloaded successfully


Und was denkst du, hats geholfen?

Neustart gemacht ?

Guck ob Malwarebytes jetzt läuft.

So, Malwarebytes läuft dann jetzt. Bei der Installation der Updates trat zwar ein Fehler auf (702(0,453)) die Installation ist danach aber weitergelaufen.
Ich mach mal nen Scan und poste dann...

So, hier jetzt das Logfile.

Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3510
Windows 5.1.2600 Service Pack 3
Internet Explorer 8.0.6001.18702

24.01.2010 23:47:02
mbam-log-2010-01-24 (23-47-02).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 213395
Laufzeit: 44 minute(s), 49 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 2
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 1
Infizierte Dateien: 10

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\H8SRT (Rootkit.TDSS) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Dokumente und Einstellungen\Arno\Startmenü\Programme\malware Defense (Rogue.MalwareDefense) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\Temp\H8SRTd2cd.tmp (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\H8SRTf89e.tmp (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Arno\Startmenü\Programme\malware Defense\Malware Defense Support.lnk (Rogue.MalwareDefense) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Arno\Startmenü\Programme\malware Defense\Malware Defense.lnk (Rogue.MalwareDefense) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Arno\Startmenü\Programme\malware Defense\Uninstall Malware Defense.lnk (Rogue.MalwareDefense) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\krl32mainweq.dll (Trojan.DNSChanger) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Arno\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Malware Defense.lnk (Rogue.MalwareDefense) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\h8srtkrl32mainweq.dll (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\WINDOWS\Temp\H8SRT8dee.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Arno\Lokale Einstellungen\Temp\H8SRT778b.tmp (Rootkit.TDSS) -> Quarantined and deleted successfully.
 

Okay mache weiter mit Combofix.

Anleitung

Logfile hier posten.

So hier das Log von Combofix...


ComboFix 10-01-24.05 - Arno 25.01.2010  17:37:51.1.1 - x86
Microsoft Windows XP Professional  5.1.2600.3.1252.49.1031.18.446.258 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\Arno\Desktop\ComboFix.exe
.

((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\dokumente und einstellungen\All Users\Anwendungsdaten\h8srtmainqt.dll
c:\windows\system32\srcr.dat

.
(((((((((((((((((((((((   Dateien erstellt von 2009-12-25 bis 2010-01-25  ))))))))))))))))))))))))))))))
.

2010-01-24 21:43 . 2010-01-24 21:43   5115824   ----a-w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes\Malwarebytes' Anti-Malware\mbam-setup.exe
2010-01-24 21:42 . 2010-01-24 21:42   --------   d-----w-   c:\dokumente und einstellungen\Arno\Anwendungsdaten\Malwarebytes
2010-01-24 12:24 . 2010-01-07 15:07   38224   ----a-w-   c:\windows\system32\drivers\mbamswissarmy.sys
2010-01-24 12:24 . 2010-01-24 12:24   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2010-01-24 12:24 . 2010-01-07 15:07   19160   ----a-w-   c:\windows\system32\drivers\mbam.sys
2010-01-22 17:07 . 2010-01-24 08:25   1013   ----a-w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\h8srtkrl32mainweq.dll
2010-01-22 16:13 . 2009-06-30 08:37   28552   ----a-w-   c:\windows\system32\drivers\pavboot.sys
2010-01-12 19:40 . 2009-11-21 15:54   471552   -c----w-   c:\windows\system32\dllcache\aclayers.dll
2010-01-02 15:38 . 2010-01-02 15:48   --------   d-----w-   c:\windows\system32\wbem\Repository.002
2010-01-02 15:37 . 2010-01-02 15:37   --------   d-----w-   c:\windows\system32\de
2010-01-02 15:37 . 2010-01-02 15:37   --------   d-----w-   c:\windows\system32\bits
2010-01-02 09:51 . 2008-04-14 02:22   4274816   ------w-   c:\windows\system32\nv4_disp.dll
2010-01-02 09:48 . 2008-04-14 02:22   516768   ------w-   c:\windows\system32\ativvaxx.dll
2010-01-01 20:03 . 2010-01-22 17:11   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Lavasoft
2009-12-29 10:50 . 2009-12-29 10:50   --------   d-sh--w-   c:\dokumente und einstellungen\Administrator\IETldCache

.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-01-25 15:57 . 2009-05-20 21:14   --------   d-----w-   c:\programme\Preisliste09
2010-01-24 16:54 . 2009-01-07 14:41   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy
2010-01-24 16:48 . 2004-08-04 12:00   480526   ----a-w-   c:\windows\system32\perfh007.dat
2010-01-24 16:48 . 2004-08-04 12:00   94552   ----a-w-   c:\windows\system32\perfc007.dat
2010-01-22 16:12 . 2008-06-20 19:02   --------   d-----w-   c:\programme\Panda Security
2010-01-07 11:00 . 2006-06-14 12:22   70248   ----a-w-   c:\dokumente und einstellungen\Arno\Lokale Einstellungen\Anwendungsdaten\GDIPFONTCACHEV1.DAT
2010-01-03 10:02 . 2009-04-15 21:06   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\fssg
2010-01-02 21:25 . 2009-04-15 21:06   --------   d-----w-   c:\dokumente und einstellungen\All Users\Anwendungsdaten\f-secure
2010-01-02 15:28 . 2010-01-02 15:28   0   ----atw-   c:\windows\006054_.tmp
2009-12-25 21:16 . 2009-10-08 21:45   627192   ----a-w-   c:\dokumente und einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\FontCache3.0.0.0.dat
2009-12-21 19:05 . 2004-08-04 12:00   916480   ----a-w-   c:\windows\system32\wininet.dll
2009-11-30 13:19 . 2009-11-30 13:19   --------   d-----w-   c:\programme\Broadcom
2009-11-30 09:46 . 2006-06-14 12:02   --------   d-----w-   c:\programme\Online-Dienste
2009-11-25 10:19 . 2009-05-04 21:59   56816   ----a-w-   c:\windows\system32\drivers\avgntflt.sys
2009-11-21 15:54 . 2004-08-04 12:00   471552   ----a-w-   c:\windows\AppPatch\aclayers.dll
.

((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SpybotSD TeaTimer"="d:\programme\Spybot - Search & Destroy\TeaTimer.exe" [2009-03-05 2260480]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"DataCardMonitor"="c:\programme\Huawei Modems\DataCardMonitor.exe" [2008-02-21 249856]
"VTTrayp"="VTtrayp.exe" [2005-11-01 163840]
"VTTimer"="VTTimer.exe" [2005-03-08 53248]
"SSBkgdUpdate"="c:\programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" [2003-10-14 155648]
"SoundMan"="SOUNDMAN.EXE" [2005-05-17 77824]
"SMSERIAL"="sm56hlpr.exe" [2005-04-07 544768]
"SetDefPrt"="c:\programme\Brother\Brmfl05a\BrStDvPt.exe" [2005-01-26 49152]
"PaperPort PTD"="c:\programme\ScanSoft\PaperPort\pptd40nt.exe" [2005-03-17 57393]
"NeroFilterCheck"="c:\windows\system32\NeroCheck.exe" [2001-07-09 155648]
"IndexSearch"="c:\programme\ScanSoft\PaperPort\IndexSearch.exe" [2005-03-17 40960]
"ControlCenter2.0"="c:\programme\Brother\ControlCenter2\brctrcen.exe" [2005-05-17 933888]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Adobe Reader - Schnellstart.lnk - c:\programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2008-4-23 29696]
Microsoft Office.lnk - c:\programme\Microsoft Office\Office\OSA9.EXE [1999-2-17 65588]
PC Suite fr den Nokia 9210i Communicator.lnk - c:\programme\Nokia\PC Suite fr den Nokia 9210i Communicator\ConnectState.exe [2006-8-31 229376]

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Nach Updates suchen.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Nach Updates suchen.lnk
backup=c:\windows\pss\Nach Updates suchen.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^PC Suite für den Nokia 9210i Communicator Aufgabenplaner.lnk]
backup=c:\windows\pss\PC Suite für den Nokia 9210i Communicator Aufgabenplaner.lnkCommon Startup
HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
2008-04-14 02:22   1695232   ----a-w-   c:\programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\TotalCommander\\totalcmd\\TOTALCMD.EXE"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=

R0 pavboot;pavboot;c:\windows\system32\drivers\pavboot.sys [22.01.2010 17:13 28552]
R2 GtFlashSwitch;GtFlashSwitch;c:\programme\Gemeinsame Dateien\GtFlashSwitch\GtFlashSwitch.exe [09.02.2007 14:48 176128]
R3 EKBfltr;ENE Keyboard Controller;c:\windows\system32\drivers\EKBfltr.sys [14.06.2006 13:26 5504]
R3 mdvdrv;Connectivity Driver;c:\windows\system32\drivers\mdvdrv.sys [21.02.2008 23:47 115200]
S3 G3GRUMDM;G3G R USB Modem;c:\windows\system32\drivers\g3grumdm.sys [25.01.2005 15:14 26496]
S3 G3GRUSER;G3G R USB Serial;c:\windows\system32\drivers\g3gruser.sys [25.01.2005 15:14 23296]
S3 IwUSB;IwUSB Driver;c:\windows\system32\drivers\IwUSB.sys [15.06.2006 20:28 20645]
S3 SEWModem;Sony Ericsson Wireless Modem;c:\windows\system32\drivers\GC75.sys [14.09.2004 11:51 109056]
S3 SEWWNIC;Sony Ericsson Wireless WAN Adapter;c:\windows\system32\drivers\GC75Net.sys [14.09.2004 11:51 58880]
.
Inhalt des "geplante Tasks" Ordners
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.gmx.net/
uSearchURL,(Default) = hxxp://go.gmx.net/suchbox/gmxsuche?su=%s
FF - ProfilePath - c:\dokumente und einstellungen\Arno\Anwendungsdaten\Mozilla\Firefox\Profiles\ir9yhr6j.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.focus.de/
FF - HiddenExtension: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension\
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-F-Secure Manager - c:\programme\F-Secure Internet Security\Common\FSM32.EXE
MSConfigStartUp-F-Secure TNB - c:\programme\F-Secure Internet Security\FSGUI\TNBUtil.exe
AddRemove-F-Secure Anti-Virus Client Security Installer - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Automatic Update Agent - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure DAAS - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Diagnostics - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure GateKeeper Interface - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure GUI - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Help - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Localization API - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Management Agent - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Product 444 - c:\programme\F-Secure Internet Security\FSGUI\PostInstall.exe
AddRemove-F-Secure TNB - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe
AddRemove-F-Secure Uninstall - c:\programme\F-Secure Internet Security\Uninstall\fsuninst.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-01-25 17:44
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
  DataCardMonitor = c:\programme\Huawei Modems\DataCardMonitor.exe??????R???????rogramme\Huawei Modems\DataCardMonitor.exe??????K????)??rogramme\Huawei Modems\?mp\T????F???????rogramme\Huawei Modems\DataCardMonitor.exe?.exe?????E??????????????????????????????????????????????

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\konfig]
"ImagePath"="c:\opt\MBCASE\pm\bin\mcp"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\license]
"ImagePath"="c:\opt\MBCASE\pm\bin\mcp"

[HKEY_LOCAL_MACHINE\System\ControlSet001\Services\mcp]
"ImagePath"="c:\opt\MBCASE\pm\bin\mcp"
.
Zeit der Fertigstellung: 2010-01-25  17:46:57
ComboFix-quarantined-files.txt  2010-01-25 16:46

Vor Suchlauf: 806.014.976 Bytes frei
Nach Suchlauf: 2.004.467.712 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect

- - End Of File - - A48185870955B379E75037717B177C76