Warning: Spyware detected

#1 Hallöchen,

ich war am Laptop meiner Freundin in einem Forum unterwegs und prompt hab ich ihn kaputt gemacht *g

Blauer Bildschirm, in der Mitte ein gelbes Fenster:
Warning
Spyware detected on your computer!

Hier mal der HijackThis log:

Zitat

Logfile of HijackThis v1.99.1
Scan saved at 16:21:02, on 18.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\WINDOWS\FixCamera.exe
C:\Programme\Windows Live\Messenger\msnmsgr.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Dokumente und Einstellungen\Krümel\Desktop\HijackThis.exe

R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [FixCamera] C:\WINDOWS\FixCamera.exe
O4 - HKLM\..\Run: [tsnpstd3] C:\WINDOWS\tsnpstd3.exe
O4 - HKLM\..\Run: [lphcp0jj0e72e] C:\WINDOWS\system32\lphcp0jj0e72e.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Orb] "C:\Programme\Winamp Remote\bin\OrbTray.exe" /background
O4 - HKCU\..\Run: [AdobeUpdater] C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Programme\RALINK\Common\RaUI.exe
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O17 - HKLM\System\CS1\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O17 - HKLM\System\CS2\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O18 - Protocol: livecall - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - C:\PROGRA~1\WINDOW~4\MESSEN~1\MSGRAP~1.DLL
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

Danke für die Hilfe im Vorraus!

Hier noch der datfind.bat:

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1C13-249D

Verzeichnis von c:\

18.08.2008 16:27 0 dirdat.txt
18.08.2008 15:09 251.187.200 hiberfil.sys
18.08.2008 15:09 377.487.360 pagefile.sys
22.04.2008 18:50 102.512 playground.log
50 Datei(en) 629.086.943 Bytes
0 Verzeichnis(se), 23.016.169.472 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1C13-249D

Verzeichnis von C:\WINDOWS\system32

18.08.2008 15:45 90.838 phcp0jj0e72e.bmp
18.08.2008 15:44 126.976 lphcp0jj0e72e.exe
18.08.2008 15:43 30.208 a.exe
16.08.2008 19:02 2.206 wpa.dbl
07.07.2008 10:42 5.018 KGyGaAvL.sys
07.07.2008 10:41 88 0142D0C254.sys
11.06.2008 02:04 1.044.480 libdivx.dll
11.06.2008 02:04 200.704 ssldivx.dll
15.05.2008 14:07 205.712 FNTCACHE.DAT
15.05.2008 12:13 68.344 perfc009.dat
15.05.2008 12:13 433.832 perfh009.dat
15.05.2008 12:13 450.414 perfh007.dat
15.05.2008 12:13 81.376 perfc007.dat
15.05.2008 12:13 4.556 PerfStringBackup.INI

1964 Datei(en) 356.370.132 Bytes
0 Verzeichnis(se), 23.016.042.496 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1C13-249D

Verzeichnis von C:\WINDOWS

18.08.2008 16:14 2.008.899 WindowsUpdate.log
18.08.2008 15:10 159 wiadebug.log
18.08.2008 15:10 50 wiaservc.log
18.08.2008 15:10 0 0.log
18.08.2008 15:09 2.048 bootstat.dat
18.08.2008 11:27 32.638 SchedLgU.Txt
18.08.2008 08:35 6.768 mgxoschk.ini
18.08.2008 07:41 14.268 KB952954.log
18.08.2008 07:41 14.083 KB950974.log
18.08.2008 07:41 231.801 KB951698.log
18.08.2008 07:41 267.907 KB925720.log
18.08.2008 07:41 15.127 KB951072-v2.log
18.08.2008 07:40 14.928 KB953838.log
18.08.2008 07:40 105.023 KB951748.log
18.08.2008 07:39 300.145 KB950749.log
18.08.2008 07:39 14.546 KB944338-v2.log
17.08.2008 19:11 766.991 setupapi.log
16.08.2008 19:05 238.706 setupact.log
15.08.2008 11:08 792 win.ini
08.08.2008 13:04 222.967 KB950759.log
03.08.2008 21:30 1.679 mozver.dat


Verzeichnis von C:\DOKUME~1\KRMEL~1\LOKALE~1\Temp

18.08.2008 16:11 212.849 hijackthis.zip
18.08.2008 15:45 1.555.488 .tt24.tmp
18.08.2008 15:45 0 .tt21.tmp
18.08.2008 15:15 121.633 jusched.log
18.08.2008 10:29 153.056 unwise.exe
18.08.2008 08:33 2.359.350 mgxmbkgstd.bmp
15.08.2008 13:53 81 dw.log
07.08.2008 03:16 190 PdnMsiInstall.log
07.08.2008 03:16 5.969 PdnSetupNgenInstall.log
07.08.2008 03:16 123 CFGDE.tmp
07.08.2008 03:10 663 ISPackFiles.ini
07.08.2008 03:09 376.832 db48.rra
07.08.2008 02:17 6.408 java_install_reg.log
04.08.2008 17:16 4.793 1208418_1216804506.jpg
03.08.2008 21:30 32.768 ~DFD00F.tmp
30.07.2008 03:44 145 jar_cache16700.tmp
30.07.2008 03:44 145 jar_cache16699.tmp
30.07.2008 03:42 145 jar_cache16698.tmp
30.07.2008 03:42 145 jar_cache16697.tmp
30.07.2008 03:42 145 jar_cache16696.tmp
30.07.2008 03:41 145 jar_cache16695.tmp
30.07.2008 03:41 145 jar_cache16694.tmp
30.07.2008 03:39 145 jar_cache16693.tmp
30.07.2008 03:39 145 jar_cache16692.tmp
30.07.2008 03:39 145 jar_cache16691.tmp
30.07.2008 03:34 145 jar_cache16690.tmp
30.07.2008 03:34 145 jar_cache16689.tmp
26.07.2008 22:50 93.314 {193F8A7B-1853-48D5-88AC-19446C2C1D13}estk_ribs_bgd.png
26.07.2008 22:49 57.708 {8F4BCEE1-1F4E-445F-B155-7C9A1CDBAF9F}background.png
26.07.2008 22:49 41.582 {8F4BCEE1-1F4E-445F-B155-7C9A1CDBAF9F}PS_AppIcon.ico
24.07.2008 07:37 16.384 ~DF9392.tmp
22.07.2008 10:35 6.297 262398_1215957703.jpg
20.07.2008 18:20 23.427 TFR2BC.tmp
20.07.2008 18:20 67.994 TFR2BA.tmp
20.07.2008 18:20 21.122 TFR2B9.tmp
20.07.2008 18:20 27.777 TFR2B6.tmp
20.07.2008 18:20 67.560 TFR2B5.tmp
20.07.2008 18:20 59.218 TFR2B4.tmp
20.07.2008 18:20 46.660 TFR2B2.tmp
20.07.2008 18:20 46.021 TFR2B1.tmp
14.07.2008 19:02 0 6beAA.tmp
13.07.2008 19:19 1.345 s_ms.gif
11.07.2008 17:34 12.818 control.xml
07.07.2008 10:42 4.442 PCULog3.txt
05.07.2008 15:00 4.362 PCULog2.txt
04.07.2008 10:55 25.919 1252827_94851a.jpg
01.07.2008 20:17 0 h2r1A.tmp
01.07.2008 20:17 366 r2h19.tmp
24.06.2008 17:37 16.782 ICQ84.tmp
16.06.2008 14:20 4.827 PCULog1.txt
16.06.2008 14:19 0 srv2A.tmp
11.06.2008 21:09 1.242 logoEbay_x45.gif
10.06.2008 05:41 646 img.gif
08.06.2008 15:10 0 h2r66.tmp
08.06.2008 15:10 2.100 r2h65.tmp
08.06.2008 02:19 4.286 xprt2af6.ico
05.06.2008 23:50 31.444 PCULog0.txt
05.06.2008 23:45 3 Twain001.Mtx
04.06.2008 17:13 0 17243C.tmp
04.06.2008 17:10 0 k9043B.tmp
02.06.2008 21:24 0 h2r117.tmp
02.06.2008 21:24 253 r2h116.tmp
02.06.2008 21:24 243 r2h113.tmp
02.06.2008 21:24 0 h2r114.tmp
02.06.2008 21:23 0 h2r10F.tmp
02.06.2008 21:23 243 r2h10E.tmp
02.06.2008 15:43 0 JET513F.tmp
02.06.2008 15:39 512 ~DF403.tmp
02.06.2008 15:39 180.224 ~DF373.tmp
02.06.2008 15:39 512 ~DFE2D9.tmp
02.06.2008 15:39 180.224 ~DFE2A0.tmp
01.06.2008 14:58 46.745 262398_1212004295.jpg
31.05.2008 16:13 512 ~DF46D7.tmp
31.05.2008 16:13 180.224 ~DF461E.tmp
31.05.2008 16:13 512 ~DF227A.tmp
31.05.2008 16:13 180.224 ~DF2237.tmp
30.05.2008 16:03 0 9et4E.tmp
30.05.2008 16:03 0 aq74D.tmp
30.05.2008 16:03 0 rk24C.tmp
27.05.2008 20:43 0 JET589A.tmp
25.05.2008 20:01 0 Winamp.tmp
25.05.2008 19:31 0 hafF7.tmp
25.05.2008 13:02 123 CFG2C.tmp
25.05.2008 11:47 65.536 v6ogkayh.exe
23.05.2008 18:20 23.427 TFR5D.tmp
23.05.2008 18:20 67.994 TFR5B.tmp
23.05.2008 18:20 27.777 TFR58.tmp
23.05.2008 18:20 67.560 TFR57.tmp
23.05.2008 18:20 59.218 TFR56.tmp
23.05.2008 18:20 46.660 TFR54.tmp
23.05.2008 18:20 46.021 TFR53.tmp
23.05.2008 13:47 512 ~DF9658.tmp
23.05.2008 13:47 180.224 ~DF95AE.tmp
23.05.2008 13:47 512 ~DF734B.tmp
23.05.2008 13:47 180.224 ~DF69A6.tmp
21.05.2008 15:06 32.759 BCGF6.tmp
21.05.2008 15:00 2.906 BCGB3.tmp
21.05.2008 15:00 312 BCGB2.tmp
21.05.2008 15:00 1.169 BCGB1.tmp
21.05.2008 15:00 3.921 BCGB0.tmp
21.05.2008 15:00 1.024 sqlite_vKKbhv2fM6AgvFK
21.05.2008 15:00 3.095 BCGAF.tmp
21.05.2008 15:00 3.682 BCGAE.tmp
21.05.2008 15:00 1.441 BCGAD.tmp
21.05.2008 15:00 2.582 BCGAC.tmp
21.05.2008 15:00 1.709 BCGAB.tmp
21.05.2008 15:00 1.271 BCGAA.tmp
21.05.2008 15:00 1.392 BCGA9.tmp
21.05.2008 15:00 925 BCGA8.tmp
21.05.2008 15:00 694 BCGA7.tmp
18.05.2008 21:42 798.234 IMTB7.xml
18.05.2008 21:42 426 IMTB6.xml
18.05.2008 21:42 2.036 IMTB5.xml
18.05.2008 18:43 512 ~DFD0C5.tmp
18.05.2008 18:43 180.224 ~DFD066.tmp
18.05.2008 18:42 512 ~DF984E.tmp
18.05.2008 18:42 180.224 ~DF9780.tmp
17.05.2008 13:59 54.800 2614_appcompat.txt
16.05.2008 10:04 0 TWAIN.LOG
15.05.2008 15:12 136 adb5E.tmp
15.05.2008 15:06 480.970 dd_dotnetfx35install.txt
15.05.2008 15:06 6.502 uxeventlog.txt
15.05.2008 12:29 123 CFG29A.tmp
15.05.2008 12:23 241.457 dd_depcheck_NETFX_EXP_35.txt
15.05.2008 12:22 110.840 dd_dotnetfx35install_lp.txt
15.05.2008 12:22 3.553 dd_XPS_LP.txt
15.05.2008 12:20 381.418 dd_NET_Framework35_LangPack_MSI061B.txt
15.05.2008 12:19 1.342.454 dd_NET_Framework_30LP_Agile_Setup04F8.txt
15.05.2008 12:17 1.749.192 dd_NET_Framework_20LP_Agile_Setup0387.txt
15.05.2008 12:15 2 dd_dotnetfx35error_lp.txt
15.05.2008 12:14 1.139.314 dd_NET_Framework35_MSI017C.txt
15.05.2008 12:14 30.052 WSF21D.tmp
15.05.2008 12:14 25.277 WSF21C.tmp
15.05.2008 12:13 3.434.040 dd_NET_Framework30_Setup7C21.txt
15.05.2008 12:09 5.130 dd_wcf_retCA489F.txt
15.05.2008 12:05 4.123 dd_XPS.txt
15.05.2008 12:01 8.183.364 dd_NET_Framework20_Setup7058.txt
15.05.2008 11:57 4.708 ASPNETSetup_00000.log
15.05.2008 11:50 5.344 dd_WIC.txt
15.05.2008 11:48 373.868 dd_MSXML6_MSI6DE1.txt
15.05.2008 11:47 135.322 dd_RGB9RAST_x86.msi6DBD.txt
15.05.2008 11:47 13.872 lovee.jpg
15.05.2008 11:46 0 bchFA.tmp
15.05.2008 11:46 0 bchF7.tmp
15.05.2008 11:46 0 bchF4.tmp
15.05.2008 11:46 0 bchF1.tmp
15.05.2008 11:46 0 bchEE.tmp
15.05.2008 11:46 0 bchEB.tmp
15.05.2008 11:45 0 bchE8.tmp
15.05.2008 11:45 0 bchE5.tmp
15.05.2008 11:45 0 bchE2.tmp
15.05.2008 11:44 0 bchDF.tmp
15.05.2008 11:44 0 bchDC.tmp
15.05.2008 11:44 0 bchD8.tmp
15.05.2008 11:44 0 bchD5.tmp
15.05.2008 11:43 0 bchD2.tmp
15.05.2008 11:43 0 bchCF.tmp
15.05.2008 11:43 0 bchCC.tmp
15.05.2008 11:43 0 bchC9.tmp
15.05.2008 11:43 0 bchC6.tmp
15.05.2008 11:42 0 bchC3.tmp
15.05.2008 11:42 0 bchC0.tmp
15.05.2008 11:42 0 bchBD.tmp
15.05.2008 11:42 0 bchBA.tmp
15.05.2008 11:42 0 bchB7.tmp
15.05.2008 11:41 0 bchB4.tmp
15.05.2008 11:41 0 bchB0.tmp
15.05.2008 11:41 0 bchAD.tmp
15.05.2008 11:41 0 bchAA.tmp
15.05.2008 11:39 2 dd_dotnetfx35error.txt
15.05.2008 11:35 1.577.850 Paint.NET.3.31.zip
15.05.2008 10:55 42.014 {61D23D99-3398-414E-974E-EBAE498BB298}bridge.ico
14.05.2008 23:12 9.366 SetupExe(200805142312288BC).log
14.05.2008 23:12 9.614 SetupExe(20080514231135878).log
14.05.2008 23:09 915.707 SetupExe(20080514225422AF0).log
12.05.2008 18:10 512 ~DF4705.tmp
12.05.2008 18:10 163.840 ~DF3EE9.tmp
12.05.2008 18:10 512 ~DF1FBF.tmp
12.05.2008 18:10 163.840 ~DF1A82.tmp
11.05.2008 13:37 0 JET45DD.tmp
08.05.2008 20:39 0 pyd8C.tmp
949 Datei(en) 232.573.637 Bytes
0 Verzeichnis(se), 23.015.976.960 Bytes frei

#2 Hallo Webdoo

>>
Erstelle ein neues HJT Logfile aber mit der aktuellen Version. Findest du hier:
http://virus-protect.org/hjtkurz.html

>>
Scanne mit Malwarebytes, lass das gefundene löschen und poste das Log:
http://virus-protect.org/artikel/tools/malwarebytes.html

>>
Wende Combofix an und poste das Log:
http://www.virus-protect.org/artikel/tools/combofix.html


Gruss Swiss

#3 So weiter gehts

HJT:

Zitat

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 16:41:12, on 18.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Windows Live\Messenger\usnsvc.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe
C:\WINDOWS\FixCamera.exe
C:\WINDOWS\tsnpstd3.exe
C:\WINDOWS\system32\wuauclt.exe
C:\WINDOWS\system32\lphcp0jj0e72e.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Winamp Remote\bin\OrbTray.exe
C:\Programme\RALINK\Common\RaUI.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.BIN
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Krümel\Desktop\HijackThis.exe

R3 - URLSearchHook: Winamp Search Class - {57BCA5FA-5DBB-45a2-B558-1755C3F6253B} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Winamp Toolbar Loader - {25CEE8EC-5730-41bc-8B58-22DDC8AB8C20} - C:\Programme\Winamp Toolbar\winamptb.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O3 - Toolbar: Winamp Toolbar - {EBF2BA02-9094-4c5a-858B-BB198F3D8DE2} - C:\Programme\Winamp Toolbar\winamptb.dll
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [FixCamera] C:\WINDOWS\FixCamera.exe
O4 - HKLM\..\Run: [tsnpstd3] C:\WINDOWS\tsnpstd3.exe
O4 - HKLM\..\Run: [lphcp0jj0e72e] C:\WINDOWS\system32\lphcp0jj0e72e.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Orb] "C:\Programme\Winamp Remote\bin\OrbTray.exe" /background
O4 - HKCU\..\Run: [AdobeUpdater] C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OpenOffice.org 2.4.lnk = C:\Programme\OpenOffice.org 2.4\program\quickstart.exe
O4 - Global Startup: Ralink Wireless Utility.lnk = C:\Programme\RALINK\Common\RaUI.exe
O8 - Extra context menu item: &Winamp Search - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Winamp Toolbar\ieToolbar\resources\en-US\local\search.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O10 - Unknown file in Winsock LSP: c:\windows\system32\nwprovau.dll
O17 - HKLM\System\CCS\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O17 - HKLM\System\CS1\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O17 - HKLM\System\CS2\Services\Tcpip\..\{1C036F11-1F40-4986-BF56-0994FA5D2BF5}: NameServer = 217.237.148.70,217.237.149.192
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Firebird Server - MAGIX Instance (FirebirdServerMAGIXInstance) - MAGIX® - C:\Programme\MAGIX\Common\Database\bin\fbserver.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: ProtexisLicensing - Unknown owner - C:\WINDOWS\system32\PSIService.exe

--
End of file - 5830 bytes

Malware:

Zitat

Malwarebytes' Anti-Malware 1.25
Datenbank Version: 1065
Windows 5.1.2600 Service Pack 2

18:55:15 18.08.2008
mbam-log-08-18-2008 (18-55-15).txt

Scan-Methode: Vollständiger Scan (C:\|)
Durchsuchte Objekte: 116950
Laufzeit: 2 hour(s), 9 minute(s), 30 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 5
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 0
Infizierte Dateien: 2

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lphcp0jj0e72e (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\system32\lphcp0jj0e72e.exe (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\system32\phcp0jj0e72e.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Combofix:

Zitat

ComboFix 08-08-17.03 - Krümel 2008-08-18 18:58:59.1 - NTFSx86
ausgeführt von:: C:\Dokumente und Einstellungen\Krümel\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

[color=red]Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !![/color]
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\Krümel\UserData
C:\Dokumente und Einstellungen\Krümel\UserData\index.dat
C:\WINDOWS\system32\a.exe
C:\WINDOWS\system32\lphcp0jj0e72e.exe

.
((((((((((((((((((((((( Dateien erstellt von 2008-07-18 bis 2008-08-18 ))))))))))))))))))))))))))))))
.

2008-08-18 16:42 . 2008-08-18 16:42 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-08-18 16:42 . 2008-08-18 16:42 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-18 16:42 . 2008-08-17 15:01 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-18 16:42 . 2008-08-17 15:01 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-08-18 16:09 . 2008-08-18 16:10 <DIR> d-------- C:\Programme\CleanUp!
2008-08-18 08:34 . 2008-08-18 10:30 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MAGIX
2008-08-18 08:33 . 2008-08-18 08:36 <DIR> d-------- C:\Programme\MAGIX
2008-08-18 08:33 . 2007-04-27 10:43 120,200 --a------ C:\WINDOWS\system32\DLLDEV32i.dll
2008-08-18 08:32 . 2008-08-18 10:30 <DIR> d-------- C:\WINDOWS\system32\MAGIX
2008-08-18 08:32 . 2008-04-15 16:14 700,416 --a------ C:\WINDOWS\system32\mgxoschk.dll
2008-08-18 08:32 . 2008-08-18 08:35 6,768 --a------ C:\WINDOWS\mgxoschk.ini
2008-08-15 11:05 . 2008-08-15 11:05 <DIR> d-------- C:\Programme\Gemeinsame Dateien\snpstd3
2008-08-15 11:05 . 2007-05-24 17:59 10,343,680 --a------ C:\WINDOWS\system32\drivers\snpstd3.sys
2008-08-15 11:05 . 2007-05-10 13:18 835,584 --a------ C:\WINDOWS\vsnpstd3.exe
2008-08-15 11:05 . 2007-04-21 09:32 270,336 --a------ C:\WINDOWS\tsnpstd3.exe
2008-08-15 11:05 . 2007-04-10 10:47 172,032 --a------ C:\WINDOWS\system32\rsnpstd3.dll
2008-08-15 11:05 . 2007-05-31 09:00 57,344 --a------ C:\WINDOWS\system32\vsnpstd3.dll
2008-08-15 11:05 . 2005-11-23 13:55 53,248 --a------ C:\WINDOWS\system32\csnpstd3.dll
2008-08-15 11:05 . 2005-11-23 13:55 53,248 --a------ C:\WINDOWS\csnpstd3.dll
2008-08-15 11:05 . 2007-02-10 15:40 20,480 --a------ C:\WINDOWS\FixCamera.exe
2008-08-15 11:05 . 2004-02-27 17:36 15,498 --a------ C:\WINDOWS\snpstd3.ini
2008-08-15 11:05 . 2004-02-27 17:36 13,023 --a------ C:\WINDOWS\snpstd3.src
2008-08-15 10:55 . 2004-08-04 00:57 21,504 --a------ C:\WINDOWS\system32\hidserv.dll
2008-08-15 10:55 . 2004-08-04 00:57 21,504 --a--c--- C:\WINDOWS\system32\dllcache\hidserv.dll
2008-08-15 10:55 . 2004-08-04 00:46 14,848 --a------ C:\WINDOWS\system32\drivers\kbdhid.sys
2008-08-15 10:55 . 2004-08-04 00:46 14,848 --a--c--- C:\WINDOWS\system32\dllcache\kbdhid.sys
2008-08-07 21:25 . 2004-08-03 23:07 59,264 --a------ C:\WINDOWS\system32\drivers\USBAUDIO.sys
2008-08-07 21:25 . 2004-08-03 23:07 59,264 --a--c--- C:\WINDOWS\system32\dllcache\usbaudio.sys
2008-08-07 02:56 . 1998-12-08 20:53 212,480 --------- C:\WINDOWS\pcdlib32.dll
2008-08-06 23:46 . 2004-08-03 23:10 78,464 --a------ C:\WINDOWS\system32\drivers\usbvideo.sys
2008-08-06 23:46 . 2004-08-03 23:10 78,464 --a--c--- C:\WINDOWS\system32\dllcache\usbvideo.sys
2008-08-06 23:46 . 2004-08-04 00:58 20,992 --a------ C:\WINDOWS\system32\dshowext.ax
2008-08-06 23:46 . 2004-08-04 00:58 20,992 --a--c--- C:\WINDOWS\system32\dllcache\dshowext.ax

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-18 08:26 --------- d-----w C:\Programme\FotoWorks
2008-08-15 13:00 --------- d-----w C:\Programme\Norton Security Scan
2008-08-15 09:05 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-08-07 01:16 --------- d-----w C:\Programme\Paint.NET
2008-08-07 00:49 --------- d-----w C:\Programme\mresreg
2008-08-03 19:30 --------- d-----w C:\Programme\DivX
2008-07-07 08:42 5,018 --sha-w C:\WINDOWS\system32\KGyGaAvL.sys
2008-07-05 09:09 --------- d-----w C:\Programme\Gemeinsame Dateien\Symantec Shared
2008-06-11 00:04 200,704 ----a-w C:\WINDOWS\system32\ssldivx.dll
2008-06-11 00:04 1,044,480 ----a-w C:\WINDOWS\system32\libdivx.dll
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\URLSearchHooks]
"{57BCA5FA-5DBB-45a2-B558-1755C3F6253B}"= "C:\Programme\Winamp Toolbar\winamptb.dll" [2008-03-20 00:36 1267040]

[HKEY_CLASSES_ROOT\clsid\{57bca5fa-5dbb-45a2-b558-1755c3f6253b}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch.1]
[HKEY_CLASSES_ROOT\TypeLib\{538CD77C-BFDD-49b0-9562-77419CAB89D1}]
[HKEY_CLASSES_ROOT\WINAMPTB.AOLTBSearch]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208]
"Orb"="C:\Programme\Winamp Remote\bin\OrbTray.exe" [2008-04-01 03:54 507904]
"AdobeUpdater"="C:\Programme\Gemeinsame Dateien\Adobe\Updater5\AdobeUpdater.exe" [2007-03-01 11:37 2321600]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-20 13:30 266497]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_05\bin\jusched.exe" [2008-02-22 05:25 144784]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]
"FixCamera"="C:\WINDOWS\FixCamera.exe" [2007-02-10 15:40 20480]
"tsnpstd3"="C:\WINDOWS\tsnpstd3.exe" [2007-04-21 09:32 270336]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"VIDC.SP54"= SP5X_32.DLL
"VIDC.SP55"= SP5X_32.DLL
"VIDC.SP56"= SP5X_32.DLL
"VIDC.SP57"= SP5X_32.DLL
"VIDC.SP58"= SP5X_32.DLL

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\lsa]
Authentication Packages REG_MULTI_SZ msv1_0 nwprovau

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
SecurityProviders msapsspc.dllschannel.dlldigest.dllmsnsspc.dll

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\msnmsgr.exe"=
"C:\\Programme\\Windows Live\\Messenger\\livecall.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\Mozilla Firefox\\firefox.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\Programme\\Winamp Remote\\bin\\Orb.exe"=
"C:\\Programme\\Winamp Remote\\bin\\OrbTray.exe"=
"C:\\Programme\\Winamp Remote\\bin\\OrbStreamerClient.exe"=

R3 CVIA2AUD;Fujitsu VIA2 3D Environmental Audio;C:\WINDOWS\system32\drivers\cvia2aud.sys [2002-04-01 16:28]
R3 CVIA2HALA;CVIA2HALA;C:\WINDOWS\system32\drivers\cvia2hal.sys [2002-04-01 16:31]
S2 Ca533av;JDC 3.0S Webcam;C:\WINDOWS\system32\Drivers\Ca533av.sys [2002-10-21 12:37]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;C:\Programme\MAGIX\Common\Database\bin\fbserver.exe [2005-11-17 15:18]
S3 k310bus;Sony Ericsson K310 Driver driver (WDM);C:\WINDOWS\system32\DRIVERS\k310bus.sys [2006-03-10 15:03]
S3 k310mdfl;Sony Ericsson K310 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\k310mdfl.sys [2006-03-10 15:03]
S3 k310mdm;Sony Ericsson K310 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\k310mdm.sys [2006-03-10 15:03]
S3 k310mgmt;Sony Ericsson K310 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\k310mgmt.sys [2006-03-10 15:03]
S3 k310obex;Sony Ericsson K310 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\k310obex.sys [2006-03-10 15:03]
S3 USBCamera;JDC 3.0S Camera;C:\WINDOWS\system32\Drivers\Bulk533.sys [2003-05-15 00:28]
S3 zlportio;zlportio;C:\Programme\UltraStar Deluxe\zlportio.sys []
.
Inhalt des "geplante Tasks" Ordners

2008-08-15 C:\WINDOWS\Tasks\Norton Security Scan.job
- C:\Programme\Norton Security Scan\Nss.exe [2007-09-19 00:42]
.
.
------- Zus„tzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\Krümel\Anwendungsdaten\Mozilla\Firefox\Profiles\cz3n07bb.default\


**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-18 19:08:43
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\PSIService.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\RALINK\Common\RaUI.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.exe
C:\Programme\OpenOffice.org 2.4\program\soffice.bin
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-08-18 19:27:27 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-08-18 17:27:12

Pre-Run: 5 Verzeichnis(se), 23,477,923,840 Bytes frei
Post-Run: 8 Verzeichnis(se), 23,426,715,648 Bytes frei

152 --- E O F --- 2008-08-18 05:37:06

Desktophintergrund ist schonmal normal

#4 Hallo

die temporären Dateien müssen unbedingt alle rausgelöscht werden
http://www.ccleaner.de/?protecus.de

am besten nach Anwendung von Cleaner noch mal ein log von datfindbat posten
__________
MfG Sabina

rund um die PC-Sicherheit