NewDotNet Resistente Registry Files

#1 Hallo PC Samariter,

Habe NewDotNet halb erfolgreich entfernt (mit Hilfe Unistall von NewDotNet). Spybot findet aber immer noch 3 Registry Dateien, die nicht entfernt werden können:


--- Report generated: 2006-08-06 12:27 ---

NewDotNet: User settings (Registry key, nothing done)
HKEY_USERS\S-1-5-18\Software\new.net

NewDotNet: User settings (Registry key, nothing done)
HKEY_USERS\S-1-5-19\Software\new.net

NewDotNet: User settings (Registry key, nothing done)
HKEY_USERS\.DEFAULT\Software\new.net


--- Spybot - Search && Destroy version: 1.3 ---
2006-07-14 Includes\Cookies.sbi
2006-07-14 Includes\Dialer.sbi
2006-07-14 Includes\Hijackers.sbi
2006-07-14 Includes\Keyloggers.sbi
2004-11-29 Includes\LSP.sbi
2006-07-14 Includes\Malware.sbi
2006-07-14 Includes\PUPS.sbi
2006-07-14 Includes\Revision.sbi
2006-07-14 Includes\Security.sbi
2006-07-14 Includes\Spybots.sbi
2005-02-17 Includes\Tracks.uti
2006-07-14 Includes\Trojans.sbi

Auch Symantec hift nicht (hat dafür andere Probleme gefunden - Log im Anhang).

Die Internetverbindung funktioniert immer noch. Mir ist aber nicht geheuer bis alle NewDotNet files verschwunden sind.

Ich habe mit diesem Problem sehr viel Zeit verloren. Ich bedanke mich für die Hilfe und gratuliere zu Eurem super Forum!

Beste Grüsse

usp


CleanUp habe ich gem. Anweisung durchgeführt
Hier auch der Log von HJ:

Logfile of HijackThis v1.99.1
Scan saved at 12:37:58, on 06.08.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Symantec AntiVirus\DefWatch.exe
C:\Programme\DigitalPersona\Bin\DpHost.exe
C:\WINDOWS\system32\inetsrv\inetinfo.exe
C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7DEBUG\MDM.EXE
C:\Programme\Microsoft SQL Server\MSSQL$CAMBRIDGESOFT\Binn\sqlservr.exe
C:\Programme\Microsoft SQL Server\MSSQL$MICROSOFTBCM\Binn\sqlservr.exe
C:\Programme\Symantec AntiVirus\SavRoam.exe
C:\Programme\Swisscom Mobile\Sesam\BIN\SecMIPService.exe
C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Server Extensions\50\bin\OWSTIMER.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\Symantec AntiVirus\Rtvscan.exe
C:\Programme\Swisscom Mobile\Unlimited Data Manager\DashBoardS.exe
C:\Programme\DigitalPersona\Bin\DPFUSMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\AGRSMMSG.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\DigitalPersona\Bin\DPAgnt.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe
C:\PROGRA~1\SYMANT~2\VPTray.exe
C:\Programme\Swisscom Mobile\Unlimited Data Manager\GuiDashboard.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe
C:\Programme\Ahead\InCD\InCD.exe
C:\Programme\lg_fwupdate\fwupdate.exe
C:\Programme\iPod\bin\iPodService.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Corex\CardScan\System\CSyncCfg.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe
C:\Programme\C-CHANNEL\MyPen Pro\MyPenPro.exe
C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
C:\Programme\Sony Ericsson\Mobile\audevicemgr.exe
c:\PROGRA~1\INTUWA~1\Shared\MROUTE~1\MROUTE~2.EXE
C:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
C:\PROGRA~1\SONYER~1\Mobile\CONNEC~1\CONNMN~1.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\PROGRA~1\MICROS~2\OFFICE11\OUTLOOK.EXE
C:\Programme\Sony Ericsson\Mobile\SyncIndicator.exe
C:\Programme\Microsoft Office\OFFICE11\WINWORD.EXE
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Temp\Temporäres Verzeichnis 1 für hijackthis.zip\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.hp.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://r.office.microsoft.com/r/hlidOfficeHomeFromClient?CTT=6&Origin=EC010227221031
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Microsoft Internet Explorer bereitgestellt von Biosynth AG
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,C:\WINDOWS\TSI32\tsircusr.exe
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {724d43a9-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &RoboForm - {724d43a0-0d85-11d4-9908-00400523e39a} - C:\Programme\Siber Systems\AI RoboForm\roboform.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O4 - HKLM\..\Run: [AGRSMMSG] AGRSMMSG.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [Cpqset] C:\Programme\HPQ\Default Settings\cpqset.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [DPAgnt] C:\Programme\DigitalPersona\Bin\DPAgnt.exe
O4 - HKLM\..\Run: [Synchronization Manager] %SystemRoot%\system32\mobsync.exe /logon
O4 - HKLM\..\Run: [HP Software Update] C:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~2\VPTray.exe
O4 - HKLM\..\Run: [UDM] C:\Programme\Swisscom Mobile\Unlimited Data Manager\GuiDashboard.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [RemoteControl] "C:\Programme\CyberLink DVD Solution\PowerDVD\PDVDServ.exe"
O4 - HKLM\..\Run: [InCD] C:\Programme\Ahead\InCD\InCD.exe
O4 - HKLM\..\Run: [LGODDFU] C:\Programme\lg_fwupdate\fwupdate.exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [CardScan AutoSync] "C:\Programme\Corex\CardScan\System\CSyncCfg.exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [RoboForm] "C:\Programme\Siber Systems\AI RoboForm\RoboTaskBarIcon.exe"
O4 - Global Startup: Adobe Reader Speed Launch.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: MyPen Pro.lnk = ?
O4 - Global Startup: Service Manager.lnk = C:\Programme\Microsoft SQL Server\80\Tools\Binn\sqlmangr.exe
O4 - Global Startup: Telefonverbindungsmonitor.lnk = ?
O8 - Extra context menu item: &eBay Search - res://C:\Programme\eBay\eBay Toolbar2\eBayTb.dll/RCSearch.html
O8 - Extra context menu item: &Google-Suche - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: &Ins Deutsche übersetzen - res://c:\programme\google\GoogleToolbar2.dll/cmwordtrans.html
O8 - Extra context menu item: Im Cache gespeicherte Seite - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O8 - Extra context menu item: RF - Formular ausfüllen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O8 - Extra context menu item: RF - Formular speichern - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O8 - Extra context menu item: RF - Menü anpassen - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComCustomizeIEMenu.html
O8 - Extra context menu item: RF - RoboForm-Leiste ein/aus - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O8 - Extra context menu item: Verweisseiten - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Ähnliche Seiten - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2\bin\npjpi142.dll
O9 - Extra button: Ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra 'Tools' menuitem: RF - Formular ausfüllen - {320AF880-6646-11D3-ABEE-C5DBF3571F46} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComFillForms.html
O9 - Extra button: Speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra 'Tools' menuitem: RF - Formular speichern - {320AF880-6646-11D3-ABEE-C5DBF3571F49} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComSavePass.html
O9 - Extra button: RoboForm - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra 'Tools' menuitem: RF - RoboForm-Leiste ein/aus - {724d43aa-0d85-11d4-9908-00400523e39a} - file://C:\Programme\Siber Systems\AI RoboForm\RoboFormComShowToolbar.html
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.hp.com
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v5consumer/V5Controls/en/x86/client/wuweb_site.cab?1096284256873
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = biosynth.ch
O17 - HKLM\Software\..\Telephony: DomainName = biosynth.ch
O17 - HKLM\System\CCS\Services\Tcpip\..\{1771C2A9-C3B6-46F8-B3CA-7178532785E9}: NameServer = 192.168.100.51 192.168.100.51
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = biosynth.ch
O20 - Winlogon Notify: DPWLN - C:\WINDOWS\system32\DPWLEvHd.dll
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccEvtMgr.exe
O23 - Service: Symantec Password Validation (ccPwdSvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccPwdSvc.exe
O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSetMgr.exe
O23 - Service: Symantec AntiVirus Definition Watcher (DefWatch) - Symantec Corporation - C:\Programme\Symantec AntiVirus\DefWatch.exe
O23 - Service: Windows XP FUS Manager (DPFUSMgr) - DigitalPersona, Inc. - C:\Programme\DigitalPersona\Bin\DPFUSMgr.exe
O23 - Service: Biometric Authentication Service (DpHost) - DigitalPersona, Inc. - C:\Programme\DigitalPersona\Bin\DpHost.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - Nero AG - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe
O23 - Service: SAVRoam (SavRoam) - symantec - C:\Programme\Symantec AntiVirus\SavRoam.exe
O23 - Service: Sesam Control Service (SesamService) - Swisscom Mobile - C:\Programme\Swisscom Mobile\Sesam\BIN\SecMIPService.exe
O23 - Service: Symantec Network Drivers Service (SNDSrvc) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSrvc.exe
O23 - Service: SoundMAX Agent Service (SoundMAX Agent Service (default)) - Analog Devices, Inc. - C:\Programme\Analog Devices\SoundMAX\SMAgent.exe
O23 - Service: Symantec AntiVirus - Symantec Corporation - C:\Programme\Symantec AntiVirus\Rtvscan.exe
O23 - Service: UDM Service - Swisscom Mobile - C:\Programme\Swisscom Mobile\Unlimited Data Manager\DashBoardS.exe


Combofix:


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 3D9D-9904

Verzeichnis von C:\WINDOWS\system32

29.07.2006 16:15 1'158 wpa.dbl
14.07.2006 07:00 477'258 perfh009.dat
14.07.2006 07:00 89'840 perfc009.dat
14.07.2006 07:00 504'590 perfh007.dat
14.07.2006 07:00 105'158 perfc007.dat
14.07.2006 07:00 1'189'386 PerfStringBackup.INI
04.05.2006 17:35 65'536 QuickTimeVR.qtx
04.05.2006 17:35 49'152 QuickTime.qts
22.03.2006 08:12 264'616 FNTCACHE.DAT
11.01.2006 10:15 1'409 tmp97ADF.FOT
11.01.2006 10:15 1'409 tmpE38DF.FOT
11.01.2006 10:15 1'409 tmpB35DF.FOT
11.01.2006 10:15 1'409 tmp652DF.FOT
11.01.2006 10:15 1'409 tmp35FCF.FOT
11.01.2006 10:15 1'409 tmp8C5CF.FOT
11.01.2006 10:15 1'409 tmpB44CF.FOT

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 3D9D-9904

Verzeichnis von C:\TEMP

06.08.2006 15:58 16'384 ~DF455B.tmp
06.08.2006 15:58 16'384 ~DF1666.tmp
2 Datei(en) 32'768 Bytes
0 Verzeichnis(se), 26'238'898'176 Bytes frei


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 3D9D-9904

Verzeichnis von C:\WINDOWS

06.08.2006 16:03 222'355 setupact.log
06.08.2006 15:57 255 lgfwup.ini
06.08.2006 13:37 408'719 WindowsUpdate.log
06.08.2006 13:31 159 wiadebug.log
06.08.2006 13:31 49 wiaservc.log
06.08.2006 13:30 0 0.log
06.08.2006 13:30 2'048 bootstat.dat
06.08.2006 13:29 32'592 SchedLgU.Txt
06.08.2006 13:29 12 bthservsdp.dat
30.07.2006 13:05 1'318'097 setupapi.log
22.07.2006 18:08 8'372 ModemLog_Agere Systems AC'97 Modem.txt
22.07.2006 09:29 26'797 wmsetup.log
18.07.2006 18:30 5'583 mozver.dat
14.07.2006 08:48 13'244 ModemLog_Fusion UMTS GPRS WLAN - 3G Modem #2.txt
08.07.2006 18:29 173 GEARInstall.log
24.05.2006 06:21 14'590 ModemLog_GT Combo EDGE Wireless Modem.txt
05.04.2006 11:08 85'536 DPINST.LOG
27.03.2006 21:30 9'786 ModemLog_Fusion UMTS GPRS WLAN - 3G Modem.txt
21.03.2006 09:25 711 ODBC.INI
15.02.2006 04:37 183'296 NDNuninstall7_22.exe
12.02.2006 19:45 656'520 iis6.log
12.02.2006 19:45 64'208 comsetup.log
12.02.2006 19:45 45'452 ntdtcsetup.log
12.02.2006 19:45 89'739 tsoc.log
12.02.2006 19:45 4'949 imsins.log
12.02.2006 19:45 6'489 tabletoc.log
12.02.2006 19:45 8'800 ocmsn.log
12.02.2006 19:45 131'651 ocgen.log
12.02.2006 19:45 10'317 medctroc.Log
12.02.2006 19:45 9'071 msgsocm.log
12.02.2006 19:45 133'972 FaxSetup.log
12.02.2006 19:45 26'012 netfxocm.log
12.02.2006 19:45 82'868 msmqinst.log
09.02.2006 16:46 10'236 ModemLog_ZyXEL omni.net D (DSS1), PnP #2.txt
09.02.2006 16:04 13 OemOut.ini
09.02.2006 16:03 182 ANGSetup.log
26.01.2006 13:33 107'132 UninstallFirefox.exe
19.01.2006 04:50 183'296 NDNuninstall7_14.exe
11.01.2006 10:35 77'143 hpgins06.dat
11.01.2006 10:31 603 win.ini
04.01.2006 21:10 2'141 imsins.BAK
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 3D9D-9904

Verzeichnis von C:\

06.08.2006 16:13 0 sys.txt
06.08.2006 16:12 7'893 system.txt
06.08.2006 16:11 317 systemtemp.txt
06.08.2006 16:10 108'182 system32.txt
06.08.2006 16:03 6'686 ComboFix.txt
06.08.2006 13:30 502'714'368 hiberfil.sys
06.08.2006 13:30 753'967'104 pagefile.sys
27.09.2004 13:28 0 MSDOS.SYS
27.09.2004 13:28 0 IO.SYS
27.09.2004 10:21 211 boot.ini
27.09.2004 10:14 47'564 NTDETECT.COM
27.09.2004 10:14 251'184 NTLDR
02.04.2003 04:00 4'952 bootfont.bin
13 Datei(en) 1'257'108'461 Bytes
0 Verzeichnis(se), 26'238'877'696 Bytes frei

#2 Deinstalliere bitte dein Spybot 1.3, hole dir die 1.4 von www.spybot.info update sie und scanne erneut.
__________
MfG Ralf
SEO-Spam Hunter

#3 Und bitte Java Sun updaten http://virus-protect.org/artikel/tools/javasun.html
__________
MfG Argus

#4 Danke für die Hinweise! Spybot 1.4 hat die Registry Files entfernt. MfG usp