Prozess auf meinem Rechner verschickt eine Vielzahl an eMails

Hallo,

die Information sind recht dünn um dir eine Hilfe zu geben.
Es gibt zwar viele Malware-Arten die sich der WINLOGON.EXE bedienen,
aber mir ist keine bekannt die über den Pfad C:\WINDOWS\SYSTEM32\WINLOGON.EXE Mails verschicken will. (Was nicht heißen soll, das es keine Malware gibt die das kann) 
Allgemein sollte mal folgendes gecheckt werden.

Ist der Norton Viren Scanner auf dem aktuellen Stand, die Virensignatur?
Bitte mal manuell updaten über den Link
http://www.symantec.com/avcenter/download/pages/DE-N95.html
und anschließend die Datei ausführen, PC im abgesicherten Modus booten und einen vollständigen Scan durchführen.

Als nächstes sollte mal ein Online Scan mit einen anderen Virenscanner erfolgen:

Panda
http://www.pandasoftware.com/activescan/de/activescan_principal.htm
oder
Trend
http://de.trendmicro-europe.com/consumer/housecall/housecall_launch.php

Auch eine Auswertung über HijackThis könnte das Problem einkreisen,
gehe auf
http://www.hijackthis.de/     
und folge den Anweisungen und poste die Logfile hier.

Ich habe einen manuellen Update über den angegebenen Symantec-Link durchgeführt und den Rechner gescannt. Anti Virus hat keine Bedrohungen gefunden.

Der Online-Scan mit Trendmicro hat einige Sicherheitsrisiken gefunden, die auch gelöscht wurden. Lediglich ein Trojaner namens TROJ_RASER.F ist hartnäckig und konnte nicht vom Programm gelöscht werden. Eine manuelle Entfernung war mir nicht möglich, da ich keine Angabe über die betroffenen Dateien erhalten habe.

Das Phänomen, dass eine Vielzahl von eMail an mir unbekannte Adressen versandt werden, ist immer noch vorhanden.

Hier das Logfile vom HijackThis:

Logfile of HijackThis v1.99.1
Scan saved at 20:38:48, on 01.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
C:\Programme\gezippteProgramme\ewido anti-malware\ewidoctrl.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\DT\DT 11Mbps Wireless Cardbus Card\Installer\WINXP\DTCARDMonitor.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Dokumente und Einstellungen\Administrieren\Desktop\hijackthis\HijackThis.exe
C:\Programme\Messenger\msmsgs.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
F2 - REG:system.ini: Shell=
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\Ad Block (Bitte beachten: Unsere Regeln zu Werbeblockern!)ing\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\Ad Block (Bitte beachten: Unsere Regeln zu Werbeblockern!)ing\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [drsmartloadb] c:\\drsmartloadb.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\RunServices: [DJSNetCN] C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: DT 11Mbps WLAN PC Card Station.lnk = C:\Programme\DT\DT 11Mbps Wireless Cardbus Card\Installer\WINXP\DTCARDMonitor.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O13 - WWW Prefix:
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {928626A3-6B98-11CF-90B4-00AA00A4011F} (SurroundVideoCtrl Object) - http://www.stubaital.at/vermieter/hotel/rosengarten/plugin/mssurvid.cab
O16 - DPF: {B020B534-4AA2-4B99-BD6D-5F6EE286DF5C} (Symantec Download Bridge) - http://www2.service.t-online.de/dyn/c/23/34/15/2334156.html
O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\fpj8031ue.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\ccPwdSvc.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Norton Internet Security\comHost.exe
O23 - Service: Symantec Licensing Detect Internet Connection (DJSNETCN) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\gezippteProgramme\ewido anti-malware\ewidoctrl.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Na,
da ist ja der Übeltäter der die Systemlast verursacht:
O4 - HKLM\..\Run: [drsmartloadb] c:\\drsmartloadb.exe
Die Datei gehört zur Spyware-Familie SpywareStrike.

Aber mindestens gibt’s noch eine zweite Malware auf deinen PC,
Trend meldete ja noch einen Trojaner mit dem Namen TROJ_RASER.F
Info dazu unter
http://www.trendmicro.com/vinfo/virusencyclo/default5.asp?VName=TROJ%5FRASER%2EF&VSect=P

Um SpywareStrike löschen, lade dir das folgende Tool (in englischer Sprache) herunter:
Download:
http://www.ik-cs.com/programs/virtools/SmitFraud.exe

- Als erstes bitte die Systemwiederherstellung deaktivieren, gilt nur für Windows XP oder ME.
Anleitung dazu findet man unter

- Danach bitte die Datei SmitFraud.exe starten, dabei werden alle Files in das Verzeichnis C:\Mcafee kopiert.
- GetFiles.bat ausführen, die aktuelle sdat-File von Mcafee wird herunter geladen und entpackt
- PC im abgesichteten Modus starten
- Dann die clean.bat öffnen, dadurch wird der automatische Reinigungsprozess gestartet.
(Relevante Prozesse werden automatisch beendet, die Registy wird bereinigt, McAfee Command Line Scanner wird gestartet und entdeckte Malware gelöscht)
- Zum Abschluss wir ein Scanreport im HTML-Format angezeigt und gespeichert.
- Weitere Informationen können aus der PDF-Datei entnommen werden.

Anmerkung:
Das Removal Utilitie stammt nicht von McAfee, nur der Command Line Scanner ist von dieser Firma.

Wiederhole den Malwarescan im abgesichten Modus mit dem folgenden Tools:
AV Cleaner “Damage Cleanup“ von Trend Micro
(Spezielles kostenloses Entfernungstool für fast alle bekannten Viren - In englischer Sprache)
Die Dateien sysclean.com und lpt$vpn.xxx müssen im selben Ordner abgelegt sein!
Es müssen zwei Downloads ausgeführt werden:
A. Über den Link “Sysclean Package”, ca. 3,4 MB
http://de.trendmicro-europe.com/enterprise/support/tsc.php
B. Über den Link lptxxx,zip, ca. 8 MB Zipdatei
http://de.trendmicro-europe.com/enterprise/support/pattern.php

Starte den PC anschließend wieder normal und führe erneut einen HijackThis aus.
Poste die beiden Scanergebnisse und den Logfile von HijackThis wieder.

Der REST der fehlte ...

- Als erstes bitte die Systemwiederherstellung deaktivieren, gilt nur für Windows XP oder ME.
Anleitung dazu findet man unter
http://www.bsi.de/av/texte/wiederher.htm

Ich habe versucht die Spyware mit dem entsprechenden Tool zu löschen. Die clean.bat habe ich im abgesicherten Modum gestartet. Im Tastmanager lieg der Prozess KIX32.exe. Aber mehr tat sich auf meinem Rechner nicht. Ich habe dies nach ca. 24 Stunden dann abgebrochen!!! Nach den vielen Stunden bin ich leider nicht weiter gekommen.

Der Sysclean (wegen der Größe als Auszug) hat dieses Scanergebnis:



/--------------------------------------------------------------\
|                 Trend Micro Sysclean Package                 |
|              Copyright 2002, Trend Micro, Inc.               |
|                  http://www.trendmicro.com                   |
\--------------------------------------------------------------/


2006-02-03, 22:50:11,   Auto-clean mode specified.
2006-02-03, 22:50:11,   Running scanner "C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\TSC.BIN"...
2006-02-03, 22:51:16,   Scanner "C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\TSC.BIN" has finished running.
2006-02-03, 22:51:16,   TSC Log:

Damage Cleanup Engine (DCE)  3.98(Build 1012)
Windows XP(Build 2600: Service Pack 2)

Start time : Fr Feb 03 2006 22:50:11

Load Damage Cleanup Template (DCT) "C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\tsc.ptn" (version 702) [success]

Complete time : Fr Feb 03 2006 22:51:16
Execute pattern count(4707), Virus found count(0), Virus clean count(0), Clean failed count(0)

2006-02-03, 22:56:37,   An error occurred while scanning file "C:\Dokumente und Einstellungen\Administrieren\NTUSER.DAT": Zugriff verweigert
2006-02-03, 22:56:37,   An error occurred while scanning file "C:\Dokumente und Einstellungen\Administrieren\ntuser.dat.LOG": Zugriff verweigert
2006-02-03, 22:57:44,   An error occurred while scanning file "C:\Dokumente und Einstellungen\Administrieren\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat": Zugriff verweigert
2006-02-03, 22:57:44,   An error occurred while scanning file "C:\Dokumente und Einstellungen\Administrieren\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG": Zugriff verweigert
2006-02-03, 23:00:18,   Could not set file for reading on "C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Dr Watson\user.dmp": Zugriff verweigert
2006-02-03, 23:03:38,   An error occurred while scanning file "C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT": Zugriff verweigert
....

....
2006-02-03, 23:43:20,   An error occurred while scanning file "C:\WINDOWS\system32\config\SAM.LOG": Zugriff verweigert
2006-02-03, 23:43:20,   An error occurred while scanning file "C:\WINDOWS\system32\config\SECURITY": Zugriff verweigert
2006-02-03, 23:43:20,   An error occurred while scanning file "C:\WINDOWS\system32\config\SECURITY.LOG": Zugriff verweigert
2006-02-03, 23:43:20,   An error occurred while scanning file "C:\WINDOWS\system32\config\software": Zugriff verweigert
2006-02-03, 23:43:20,   An error occurred while scanning file "C:\WINDOWS\system32\config\software.LOG": Zugriff verweigert
2006-02-03, 23:43:21,   An error occurred while scanning file "C:\WINDOWS\system32\config\system": Zugriff verweigert
2006-02-03, 23:43:21,   An error occurred while scanning file "C:\WINDOWS\system32\config\system.LOG": Zugriff verweigert
2006-02-03, 23:45:14,   Running scanner "C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\VSCANTM.BIN"...
2006-02-04, 00:21:17,   Files Detected:
Copyright (c) 1990 - 2004 Trend Micro Inc.
Report Date : 2/3/2006 23:45:15
VSAPI Engine Version : 7.510-1002
VSCANTM Version : 1.1-1001
Virus Pattern Version : 191 (121585 Patterns) (2006/02/02) (319100)
Command Line: C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\VSCANTM.BIN /NBPM /S /CLEANALL /LAPPEND /LD /LC /LCF /NM /NB /C /ACTIVEACTION=5 C:\*.* /P=C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191

C:\WINDOWS\system32\msupdate32.dll [TROJ_RASER.F]
48857 files have been read.
48857 files have been checked.
39412 files have been scanned.
79937 files have been scanned. (including files in archived)
1 files containing viruses.
Found 1 viruses totally.
Maybe 0 viruses totally.
Stop At : 2/4/2006 00:21:16
---------*---------*---------*---------*---------*---------*---------*---------*
2006-02-04, 00:21:17,   Files Clean:
Copyright (c) 1990 - 2004 Trend Micro Inc.
Report Date : 2/3/2006 23:45:15
VSAPI Engine Version : 7.510-1002
VSCANTM Version : 1.1-1001
Virus Pattern Version : 191 (121585 Patterns) (2006/02/02) (319100)
Command Line: C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\VSCANTM.BIN /NBPM /S /CLEANALL /LAPPEND /LD /LC /LCF /NM /NB /C /ACTIVEACTION=5 C:\*.* /P=C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191

48857 files have been read.
48857 files have been checked.
39412 files have been scanned.
79937 files have been scanned. (including files in archived)
1 files containing viruses.
Found 1 viruses totally.
Maybe 0 viruses totally.
Stop At : 2/4/2006 00:21:16   35 minutes 55 seconds (2155.83 seconds) has elapsed.

---------*---------*---------*---------*---------*---------*---------*---------*
2006-02-04, 00:21:17,   Clean Fail:
Copyright (c) 1990 - 2004 Trend Micro Inc.
Report Date : 2/3/2006 23:45:15
VSAPI Engine Version : 7.510-1002
VSCANTM Version : 1.1-1001
Virus Pattern Version : 191 (121585 Patterns) (2006/02/02) (319100)
Command Line: C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\VSCANTM.BIN /NBPM /S /CLEANALL /LAPPEND /LD /LC /LCF /NM /NB /C /ACTIVEACTION=5 C:\*.* /P=C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191

48857 files have been read.
48857 files have been checked.
39412 files have been scanned.
79937 files have been scanned. (including files in archived)
1 files containing viruses.
Found 1 viruses totally.
Maybe 0 viruses totally.
Stop At : 2/4/2006 00:21:16   35 minutes 55 seconds (2155.83 seconds) has elapsed.

---------*---------*---------*---------*---------*---------*---------*---------*
2006-02-04, 00:21:17,   Scanner "C:\Dokumente und Einstellungen\Administrieren\Desktop\lpt191\VSCANTM.BIN" has finished running.

.... hier noch der HijackThis

Logfile of HijackThis v1.99.1
Scan saved at 19:25:42, on 05.02.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
C:\Programme\gezippteProgramme\ewido anti-malware\ewidoctrl.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Program Files\Launch Manager\LaunchAp.exe
C:\Program Files\Launch Manager\HotkeyApp.exe
C:\Program Files\Launch Manager\CtrlVol.exe
C:\Program Files\Launch Manager\Wbutton.exe
C:\WINDOWS\System32\igfxtray.exe
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\DT\DT 11Mbps Wireless Cardbus Card\Installer\WINXP\DTCARDMonitor.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Messenger\msmsgs.exe
C:\Dokumente und Einstellungen\Administrieren\Desktop\hijackthis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Search,(Default) = about:blank
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = about:blank
F2 - REG:system.ini: Shell=
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\Ad Block (Bitte beachten: Unsere Regeln zu Werbeblockern!)ing\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O3 - Toolbar: Norton Internet Security - {0B53EAC3-8D69-4b9e-9B19-A37C9A5676A7} - C:\Programme\Gemeinsame Dateien\Symantec Shared\Ad Block (Bitte beachten: Unsere Regeln zu Werbeblockern!)ing\NISShExt.dll
O3 - Toolbar: Norton AntiVirus - {C4069E3A-68F1-403E-B40E-20066696354B} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [LaunchAp] C:\Program Files\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Program Files\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [CtrlVol] C:\Program Files\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Program Files\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\System32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\System32\hkcmd.exe
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_02\bin\jusched.exe
O4 - HKLM\..\Run: [drsmartloadb] c:\\drsmartloadb.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\RunServices: [DJSNetCN] C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: DT 11Mbps WLAN PC Card Station.lnk = C:\Programme\DT\DT 11Mbps Wireless Cardbus Card\Installer\WINXP\DTCARDMonitor.exe
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_02\bin\npjpi150_02.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O13 - WWW Prefix:
O13 - Home Prefix:
O13 - Mosaic Prefix:
O13 - FTP Prefix:
O13 - Gopher Prefix:
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {928626A3-6B98-11CF-90B4-00AA00A4011F} (SurroundVideoCtrl Object) - http://www.stubaital.at/vermieter/hotel/rosengarten/plugin/mssurvid.cab
O16 - DPF: {B020B534-4AA2-4B99-BD6D-5F6EE286DF5C} (Symantec Download Bridge) - http://www2.service.t-online.de/dyn/c/23/34/15/2334156.html
O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\fpj8031ue.dll (file missing)
O20 - Winlogon Notify: igfxcui - C:\WINDOWS\SYSTEM32\igfxsrvc.dll
O20 - Winlogon Notify: msupdate - C:\WINDOWS\SYSTEM32\msupdate32.dll
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Internet Security Password Validation (ccISPwdSvc) - Symantec Corporation - C:\Programme\Norton Internet Security\ccPwdSvc.exe
O23 - Service: Symantec Network Proxy (ccProxy) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccProxy.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Norton Internet Security\comHost.exe
O23 - Service: Symantec Licensing Detect Internet Connection (DJSNETCN) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\DJSNETCN.exe
O23 - Service: ewido security suite control - ewido networks - C:\Programme\gezippteProgramme\ewido anti-malware\ewidoctrl.exe
O23 - Service: Norton AntiVirus Auto-Protect-Dienst (navapsvc) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\navapsvc.exe
O23 - Service: Norton Protection Center Service (NSCService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\Security Console\NSCSRVCE.EXE
O23 - Service: Symantec AVScan (SAVScan) - Symantec Corporation - C:\Programme\Norton Internet Security\Norton AntiVirus\SAVScan.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: Symantec SPBBCSvc (SPBBCSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SPBBC\SPBBCSvc.exe
O23 - Service: Symantec Core LC - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe

Lade Dir mal Spybot und ad-aware runter--->updaten und im abgesicherten Modus ausführen!!!
Die O2-BHO´s kannste beispielsweise alle löschen!!!

Schade,
dass der Skript auf deinen PC nicht läuft. Bis jetzt sind wir leider noch keinen entscheidenden Schritt weiter gekommen.

Erst mal ein Kommentar zu den Hinweis von YAZAKI, die beiden Einträge
O2 - BHO: Norton Internet Security - {9ECB9560-04F9-4bbc-943D-298DDF1699E1} - C:\Programme\Gemeinsame Dateien\Symantec Shared\Ad Block (Bitte beachten: Unsere Regeln zu Werbeblockern!)ing\NISShExt.dll
O2 - BHO: NAV Helper - {A8F38D8D-E480-4D52-B7A2-731BB6995FDD} - C:\Programme\Norton Internet Security\Norton AntiVirus\NavShExt.dll
würde ich nicht löschen, da sie Bestandteile der Norton Internet Security Software sind und nicht für dein Problem verantwortlich sind.
Dieser Eintrag sollte besser gelöscht werden:
  O4 - HKLM\..\Run: [drsmartloadb] c:\\drsmartloadb.exe
Und diese können ebenfalls gelöscht werden:
  O13 - WWW Prefix:
  O13 - Home Prefix:
  O13 - Mosaic Prefix:
  O13 - FTP Prefix:
  O13 - Gopher Prefix:
  O20 - Winlogon Notify: App Management - C:\WINDOWS\system32\fpj8031ue.dll (file missing)
 

Lade dir bitte mal
Unlook
http://ccollomb.free.fr/unlocker/unlocker1.7.9.exe
und
Spybot-S&D
http://www.chip.de/downloads/c1_downloads_hs_getfile_v1_16089730.html?t=1139169943&v=3600&s=fc8ea798ad2efbd00b437e23419e5556
Installiere beide Programme und führe ein Update bei Ewido und Spybot durch.

Nun deaktiviere wieder die Systemwiederherstellung und boote den PC im abgesicherten Modus. Als nächstes sollte mit Hilfe von Unlook der Prozess zu diese Dateien beendet werden. Dazu gehe einfach mit der rechten Maustaste auf die entsprechende Datei und wähle Unlook aus. Der Rest dürfte selbsterklärend sein.

C:\WINDOWS\system32\msupdate32.dll
und
C:\\drsmartloadb.exe

Führe jetzt noch einen Scan mit Sypbot, Ewido und Trend durch.
Die Drei sollten jetzt den PC erfolgreich von der Malware befreien.

Vielen, vielen Dank. Jetzt ist es endlich vollbracht. Mit Hilfe von Unlook und Löschen von msupdate32.dll ist der Trojaner verschwunden. Nun werden auch keine eMails verschickt, die ich nicht veranlasst habe.

Viele Grüße
Twinny