Verdacht auf Virus/Trojaner: Programme im Hintergrund!

#1 Ich habe die Vermutung, dass ich mir irgendetwas eingefangen habe.

Und zwar sind immer wieder Programme im Hintergrund, die ich nicht sehe aber sehr viel CPU beanspruchen.
Außerdem wird immer wieder etwas ins Internet gesendet und Dinge kommen von dort an.

1. HijackThis

Zitat

Logfile of HijackThis v1.99.1
Scan saved at 12:54:49, on 14.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://www.microsoft.com/isapi/redir.dll?prd=ie&ar=iesearch
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.microsoft.com/isapi/redir.dll?prd={SUB_PRD}&clcid={SUB_CLSID}&pver={SUB_PVER}&ar=home
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.microsoft.com/isapi/redir.dll?prd=ie&pver=6&ar=msnhome
O2 - BHO: bxNewFolder - {51C8BCA8-2524-4523-BF09-738C4EEBFC58} - C:\Programme\bxNewFolder\bxNewFolder.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: FDMIECookiesBHO Class - {CC59E0F9-7E43-44FA-9FAA-8377850BF205} - C:\Programme\Free Download Manager\iefdmcks.dll
O3 - Toolbar: (no name) - {930E4DE1-973D-42D6-BF6E-6788E06BD003} - (no file)
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [type32] "C:\Programme\Microsoft IntelliType Pro\type32.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\point32.exe"
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O8 - Extra context menu item: Download all with Free Download Manager - file://C:\Programme\Free Download Manager\dlall.htm
O8 - Extra context menu item: Download selected with Free Download Manager - file://C:\Programme\Free Download Manager\dlselected.htm
O8 - Extra context menu item: Download with Free Download Manager - file://C:\Programme\Free Download Manager\dllink.htm
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security.symantec.com/sscv6/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {644E432F-49D3-41A1-8DD5-E099162EEEC5} (Symantec RuFSI Utility Class) - http://security.symantec.com/sscv6/SharedContent/common/bin/cabsa.cab
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1139046417109
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - Unknown owner - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe (file missing)
O23 - Service: Imapi Helper - Alex Feinman - C:\Programme\Alex Feinman\ISO Recorder\ImapiHelper.exe
O23 - Service: Kerio Personal Firewall 4 (KPF4) - Kerio Technologies - C:\Programme\Kerio\Personal Firewall 4\kpf4ss.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2004\WinStylerThemeSvc.exe

2. CleanUp
So eigentstellt wie in FAQ...

3. combobox

Zitat

Tobias - 06-09-14 12:58:35,32 Service Pack 2
ComboFix 06.09.14 - Running from: C:\Software\Cleanen

((((((((((((((((((((((((((((((( Files Created from 2006-08-14 to 2006-09-14 ))))))))))))))))))))))))))))))))))


2006-09-11 22:32 115,020 C:\WINDOWSGXTranscoder v2 Uninstaller.exe
2006-09-03 20:57 2,829 --a------ C:\WINDOWS\War3Unin.pif
2006-09-03 20:57 139,264 --a------ C:\WINDOWS\War3Unin.exe
2006-08-25 11:06 49,152 --a------ C:\WINDOWS\system32\ChCfg.exe
2006-08-25 11:05 143,360 --a------ C:\WINDOWS\system32\RtlCPAPI.dll
2006-08-25 11:05 10,528,256 --a------ C:\WINDOWS\system32\RTLCPL.exe
2006-08-14 23:39 4,682 --a------ C:\WINDOWS\system32\npptNT2.sys


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-09-14 12:50 -------- d-------- C:\Programme\Mozilla Firefox
2006-09-14 12:50 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Xfire
2006-09-14 12:38 -------- d-------- C:\Programme\CleanUp!
2006-09-14 12:07 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Free Download Manager
2006-09-14 11:24 -------- d-------- C:\Programme\Mozilla Thunderbird
2006-09-14 10:00 -------- d-------- C:\Programme\ewido anti-malware
2006-09-13 23:29 -------- d---s---- C:\Programme\Xfire
2006-09-13 20:45 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-09-13 20:27 28672 --a------ C:\WINDOWS\system32\drivers\CO_Mon.sys
2006-09-13 20:22 76560 --a------ C:\WINDOWS\system32\drivers\tmcomm.sys
2006-09-13 11:41 33952 --a------ C:\WINDOWS\system32\drivers\oreans32.sys
2006-09-12 09:35 952 --ahs---- C:\WINDOWS\system32\KGyGaAvL.sys
2006-09-11 23:03 -------- d-------- C:\Programme\Alex Feinman
2006-09-11 22:45 -------- d-------- C:\Programme\Paint.NET
2006-09-11 22:32 115020 --a------ C:\WINDOWS\GXTranscoder v2 Uninstaller.exe
2006-09-11 22:32 -------- d-------- C:\Programme\GXTranscoder v2
2006-09-11 20:35 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Skype
2006-09-08 09:35 -------- d-------- C:\Programme\KalOnlineEng
2006-09-08 09:35 -------- d-------- C:\Programme\Internet Explorer
2006-09-08 09:35 -------- d-------- C:\Programme\Idoswin Pro
2006-09-08 09:32 1767 --a------ C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\AdobeDLM.log
2006-09-07 23:19 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\teamspeak2
2006-09-07 22:58 -------- d--h----- C:\Programme\InstallShield Installation Information
2006-09-07 22:54 -------- d-------- C:\Programme\Adobe
2006-09-07 22:54 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Leadertech
2006-09-07 17:45 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Adobe
2006-09-07 17:35 -------- d-------- C:\Programme\Gemeinsame Dateien\Adobe
2006-09-04 22:22 98304 --a------ C:\WINDOWS\system32\CmdLineExt.dll
2006-09-04 19:38 -------- d---s---- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Microsoft
2006-09-04 16:05 -------- d-------- C:\Programme\Free Download Manager
2006-09-04 15:54 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Hamachi
2006-09-04 10:08 -------- d-------- C:\Programme\Skype
2006-08-29 09:58 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Thunderbird
2006-08-28 21:27 -------- d-------- C:\Programme\Azureus
2006-08-28 18:08 -------- d-------- C:\Programme\ahead
2006-08-28 11:58 737280 --a------ C:\WINDOWS\iun6002.exe
2006-08-28 11:58 -------- d-------- C:\Programme\FireTune
2006-08-28 11:51 -------- d-------- C:\Programme\VideoLAN
2006-08-28 11:51 -------- d-------- C:\Programme\Trillian
2006-08-28 11:51 -------- d-------- C:\Programme\NCH Swift Sound
2006-08-28 11:50 -------- d-------- C:\Programme\mozilla.org
2006-08-28 11:49 -------- d-------- C:\Programme\MAIET
2006-08-25 22:20 -------- d-------- C:\Programme\Tweak-XP Pro 4
2006-08-25 11:56 -------- d-------- C:\Programme\Microsoft IntelliType Pro
2006-08-25 11:05 -------- d-------- C:\Programme\Realtek AC97
2006-08-24 19:27 -------- d-------- C:\Programme\Microsoft IntelliPoint
2006-08-22 12:44 -------- d-------- C:\Programme\FRITZ!DSL
2006-08-19 00:18 10578 --a------ C:\WINDOWS\system32\drivers\hamachi.sys
2006-08-19 00:18 -------- d-------- C:\Programme\Hamachi
2006-08-17 14:14 -------- d-------- C:\Programme\RegCleaner
2006-08-16 19:15 -------- d-------- C:\Programme\GameSpy Arcade
2006-08-12 15:22 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\FRITZ!
2006-08-12 10:31 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\Mozilla
2006-08-05 14:20 -------- d-------- C:\Programme\ICQLite
2006-08-05 11:50 -------- d-------- C:\Programme\Teamspeak2_RC2_server
2006-08-05 10:41 11973 --a------ C:\WINDOWS\system32\drivers\secdrv.sys
2006-08-03 18:30 -------- d-------- C:\Programme\Winamp
2006-08-03 15:32 -------- d-------- C:\Programme\SmartFTP Client 2.0 Setup Files
2006-08-03 15:32 -------- d-------- C:\Programme\SmartFTP Client 2.0
2006-08-02 22:21 -------- d-------- C:\Programme\Windows Media Player
2006-07-31 13:31 -------- d-------- C:\Programme\OpenVideoConverter
2006-07-31 11:19 315392 --a------ C:\WINDOWS\alcupd.exe
2006-07-26 15:07 -------- d-------- C:\Programme\Fraps
2006-07-21 16:10 4011264 -ra------ C:\WINDOWS\system32\drivers\alcxwdm.sys
2006-07-20 06:59 -------- d-------- C:\Programme\LucasArts
2006-07-15 18:16 -------- d-------- C:\Programme\Trojancheck 6
2006-07-15 18:16 -------- d-------- C:\Programme\Nvu
2006-07-15 18:16 -------- d-------- C:\Dokumente und Einstellungen\Tobias.TOBI\Anwendungsdaten\X-Chat 2
2006-07-15 18:07 -------- d-------- C:\Programme\GIMP-2.0
2006-07-14 21:34 -------- d-------- C:\Programme\Teamspeak2_RC2
2006-06-27 22:05 57384 --a------ C:\WINDOWS\system32\avsda.dll
2006-06-21 05:42 577536 --a------ C:\WINDOWS\soundman.exe
2006-06-18 15:54 36864 --a------ C:\WINDOWS\system32\frapsvid.dll


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Runonce]
"ICQ Lite"="C:\\Programme\\ICQLite\\ICQLite.exe -trayboot"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"nwiz"="nwiz.exe /install"
"type32"="\"C:\\Programme\\Microsoft IntelliType Pro\\type32.exe\""
"IntelliPoint"="\"C:\\Programme\\Microsoft IntelliPoint\\point32.exe\""
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvMcTray.dll,NvTaskbarInit"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"
"SoundMan"="SOUNDMAN.EXE"
"NeroCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,cc,00,00,00,00,00,00,00,34,03,00,00,e2,02,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
"WPDShServiceObj"="{AAA288BA-9A4C-45B0-95D7-94D524869DB5}"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\Startupreg\NvCplDaemon]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="NvCpl"
"hkey"="HKLM"
"command"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Shared Tools\MSCONFIG\services]
"Abel"=dword:00000002
"rpcapd"=dword:00000003

So jetzt ist gerade mein Desktop verschwunden aber ich komm noch in den Explorer und kann Datfindbat ausführen:

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: EC3B-320D

Verzeichnis von C:\WINDOWS\system32

14.09.2006 12:41 2.422 wpa.dbl
13.09.2006 16:57 51.733 plugin1.dat
12.09.2006 09:35 952 KGyGaAvL.sys
08.09.2006 09:31 130.888 FNTCACHE.DAT
04.09.2006 22:22 98.304 CmdLineExt.dll
17.08.2006 13:57 43.573 nvapps.xml
02.08.2006 22:23 401.064 perfh009.dat
02.08.2006 22:23 62.344 perfc009.dat
02.08.2006 22:23 415.470 perfh007.dat
02.08.2006 22:23 74.996 perfc007.dat
02.08.2006 22:23 966.250 PerfStringBackup.INI
02.08.2006 22:22 16.832 amcompat.tlb
02.08.2006 22:22 23.392 nscompat.tlb
02.08.2006 13:16 0 h323log.txt
01.08.2006 15:02 49.152 ChCfg.exe

Habe ich abgekürzt, weil der Rest ist dann im Monat Julie und da lief ja noch alles super.

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: EC3B-320D

Verzeichnis von C:\DOKUME~1\TOBIAS~1.TOB\LOKALE~1\Temp

14.09.2006 12:50 1.568 wmplog00.sqm
14.09.2006 12:40 16.384 ~DFB4E2.tmp
14.09.2006 12:40 16.384 ~DFB448.tmp
14.09.2006 12:40 16.384 ~DFB421.tmp
14.09.2006 12:40 16.384 ~DFB3F6.tmp
5 Datei(en) 67.104 Bytes
0 Verzeichnis(se), 10.895.060.992 Bytes frei

Ein bisschen klein^^

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: EC3B-320D

Verzeichnis von C:\WINDOWS

14.09.2006 12:41 0 0.log
14.09.2006 12:41 1.816.278 WindowsUpdate.log
14.09.2006 12:41 2.048 bootstat.dat
14.09.2006 12:40 32.554 SchedLgU.Txt
14.09.2006 12:31 358.030 setupapi.log
14.09.2006 11:20 99.939 wmsetup.log
14.09.2006 00:58 50 wiaservc.log
14.09.2006 00:58 216 wiadebug.log
11.09.2006 22:32 115.020 GXTranscoder v2 Uninstaller.exe
08.09.2006 10:22 15.655 mozver.dat
08.09.2006 10:21 375 wininit.ini
06.09.2006 17:20 79.412 tsoc.log
06.09.2006 17:20 67.946 comsetup.log
06.09.2006 17:20 32.573 iis6.log
06.09.2006 17:20 11.369 ocmsn.log
06.09.2006 17:20 41.346 ntdtcsetup.log
06.09.2006 17:20 1.355 imsins.log
06.09.2006 17:20 20.432 KB920214.log
06.09.2006 17:20 98.615 ocgen.log
06.09.2006 17:20 10.078 msgsocm.log
06.09.2006 17:20 204.634 FaxSetup.log
06.09.2006 17:20 1.355 imsins.BAK
06.09.2006 17:20 20.734 KB922616.log
06.09.2006 17:20 19.035 updspapi.log
06.09.2006 17:20 20.392 KB921398.log
06.09.2006 17:19 19.820 KB920683.log
06.09.2006 17:19 18.357 KB920670.log
06.09.2006 17:19 18.517 KB917422.log
06.09.2006 17:19 21.831 KB918899.log
06.09.2006 17:18 12.965 KB921883.log
03.09.2006 21:00 45.108 War3Unin.dat
03.09.2006 21:00 2.829 War3Unin.pif
03.09.2006 21:00 139.264 War3Unin.exe
29.08.2006 09:58 754 win.ini
28.08.2006 11:58 737.280 iun6002.exe
28.08.2006 11:49 1.791 avmadd32.log
22.08.2006 12:37 248 accessdll.log
22.08.2006 12:26 105 avmsysnet.log
12.08.2006 12:54 76.197 _detmp.1
12.08.2006 12:46 320 accessdll1.log
12.08.2006 10:31 335 nsreg.dat
03.08.2006 10:15 3.234 spupdsvc.log
02.08.2006 22:22 13.387 wmp11.log
02.08.2006 22:22 649 wmsetup10.log
02.08.2006 22:19 7.811 Wudf01000Inst.log
02.08.2006 22:18 19.460 WMFDist11.log
02.08.2006 13:24 13.030 KB917159.log
02.08.2006 13:24 13.611 KB914388.log
02.08.2006 13:19 11.641 KB916595.log

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: EC3B-320D

Verzeichnis von C:\

14.09.2006 13:07 0 sys.txt
14.09.2006 13:06 6.900 system.txt
14.09.2006 13:05 496 systemtemp.txt
14.09.2006 13:04 97.398 system32.txt
14.09.2006 12:59 10.241 ComboFix.txt
14.09.2006 12:41 838.860.800 pagefile.sys
11.09.2006 11:38 36 dateiname.txt
28.08.2006 18:23 327.749.632 Track 01.tao
19.01.2006 20:05 212 boot.ini
07.01.2006 14:39 355 boot.bed
30.12.2005 11:40 24 FreeRam.vbs
25.12.2005 08:37 17 Ram.vbs
31.10.2005 12:16 32.768 t25c
30.10.2005 22:00 36.864 t3e4
24.09.2005 19:25 0 MSDOS.SYS
24.09.2005 19:25 0 CONFIG.SYS
24.09.2005 19:25 0 IO.SYS
24.09.2005 19:25 0 AUTOEXEC.BAT
04.08.2004 14:00 401.408 cmd.exe
04.08.2004 14:00 4.952 bootfont.bin
04.08.2004 14:00 47.564 NTDETECT.COM
04.08.2004 14:00 251.184 ntldr
22 Datei(en) 1.167.500.851 Bytes
0 Verzeichnis(se), 10.895.060.992 Bytes frei

So das Problem ist erst seid den letzten Tagen.

Schon mal danke für die Mühe im Vorraus.
__________
mfg h3ll

#2 virustotal
Oben auf der Seite --> auf Durchsuchen klicken --> Datei mit korrektem Pfad einkopieren) --> Doppelklick auf die zu prüfende Datei --> klick auf Submit... jetzt abwarten
http://www.virustotal.com/flash/index_en.html

C:\WINDOWS\system32\drivers\CO_Mon.sys
C:\WINDOWS\system32\drivers\tmcomm.sys
C:\WINDOWS\system32\drivers\oreans32.sys
C:\WINDOWS\system32\npptNT2.sys

poste die logs

--------------

ServiceFilter.zip
http://virus-protect.org/artikel/tools/ServiceFilter.zip

- entzippen
- doppelklick auf die datei ServiceFilter.vbs
- versions-nummer bestätigen
- scannen
- öffnen von wordpad oder editor erlauben
- POST_THIS.TXT abkopieren
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Erst mal schonmal danke.

"tmcomm.sys: no virus found" und zwar bei allen scannern
"CO_Mon.sys: no virus found" ""

"oreans32.sys": CAT-QuickHeal: Rootkit.Agent.ad eTrust-InoculateIT: Win32/Rbot.EQS!SYS!Worm
Die anderen haben nichts gefunden.


Die Letzte Datei ist auch nicht infiziert

Zitat

The script did not recognize the services listed below.
This does not mean that they are a problem.

To copy the entire contents of this document for posting:
At the top of this window click "Edit" then "Select All"
Next click "Edit" again then "Copy"
Now right click in the forum post box then click "Paste"

########################################

ServiceFilter 1.1
by rand1038

Microsoft Windows XP Home Edition
Version: 5.1.2600 Service Pack 2
Sep 14, 2006 16:18:47


---> Begin Service Listing <---

Unknown Service # 1
Service Name: Abel
Display Name: Abel
Start Mode: Disabled
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\sonstiges\cain\abel.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Troj/Cain-20 ist ein herunterladbares Programmpaket, das in erster Linie dazu dient, Kennwörter von anderen Rechnern in einem Netzwerk zu stehlen. Der Server heißt Abel.exe und der Client Cain.exe.

http://www.sophos.de/security/analyses/trojcain20.html
Abel.exe erstellt den Registrierungseintrag
HKLM\Software\Microsoft\Windows\CurrentVersion\Run\MSABEL32 = MSABEL32.exe
so dass diese Datei immer beim Systemneustart ausgeführt wird.


Unknown Service # 2
Service Name: AntiVirScheduler
Display Name: AntiVir Scheduler
Start Mode: Auto
Start Name: LocalSystem
Description: Dienst zur Planung und Steuerung von Prüf- und Updateaufgaben der AntiVir PersonalEdition ...
Service Type: Own Process
Path: c:\programme\antivir personaledition classic\sched.exe
State: Running
Process ID: 1688
Started: Wahr
Exit Code: 0
Accept Pause: Wahr
Accept Stop: Wahr

Unknown Service # 3
Service Name: AntiVirService
Display Name: AntiVir PersonalEdition Classic Service
Start Mode: Auto
Start Name: LocalSystem
Description: Echtzeit Virenschutz durch H+BEDV AntiVir ...
Service Type: Own Process
Path: c:\programme\antivir personaledition classic\avguard.exe
State: Running
Process ID: 1700
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #4
Service Name: aspnet_state
Display Name: ASP.NET-Zustandsdienst
Start Mode: Manual
Start Name: NT AUTHORITY\NetworkService
Description: Stellt die Unterstützung für nicht aktive Sitzungszustände von ASP.NET bereit. Wenn der Dienst ...
Service Type: Own Process
Path: c:\windows\microsoft.net\framework\v2.0.50727\aspnet_state.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 5
Service Name: clr_optimization_v2.0.50727_32
Display Name: .NET Runtime Optimization Service v2.0.50727_X86
Start Mode: Manual
Start Name: LocalSystem
Description: Microsoft .NET Framework ...
Service Type: Own Process
Path: c:\windows\microsoft.net\framework\v2.0.50727\mscorsvw.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 6
Service Name: de_serv
Display Name: AVM FRITZ!web Routing Service
Start Mode: Manual
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\programme\gemeinsame dateien\avm\de_serv.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 7
Service Name: Imapi Helper
Display Name: Imapi Helper
Start Mode: Manual
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\alex feinman\iso recorder\imapihelper.exe"
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 8
Service Name: KPF4
Display Name: Kerio Personal Firewall 4
Start Mode: Auto
Start Name: LocalSystem
Description: Kerio Personal ...
Service Type: Own Process
Path: "c:\programme\kerio\personal firewall 4\kpf4ss.exe"
State: Running
Process ID: 1760
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #9
Service Name: rpcapd
Display Name: Remote Packet Capture Protocol v.0 (experimental)
Start Mode: Disabled
Start Name: LocalSystem
Description: Allows to capture traffic on this machine from a remote ...
Service Type: Own Process
Path: "c:\programme\winpcap\rpcapd.exe" -d -f "c:\programme\winpcap\rpcapd.ini"
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 10
Service Name: StarWindService
Display Name: StarWind iSCSI Service
Start Mode: Auto
Start Name: LocalSystem
Description: Enables network access to local devices via iSCSI ...
Service Type: Own Process
Path: c:\programme\alcohol soft\alcohol 120\starwind\starwindservice.exe
State: Running
Process ID: 1852
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #11
Service Name: SwPrv
Display Name: MS Software Shadow Copy Provider
Start Mode: Manual
Start Name: LocalSystem
Description: Verwaltet Software-basierte Schattenkopien des Volumeschattenkopie-Dienstes. Software-basierte ...
Service Type: Own Process
Path: c:\windows\system32\dllhost.exe /processid:{d6025cdf-71b0-4b84-bfeb-128ec1756267}
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 12
Service Name: TUWinStylerThemeSvc
Display Name: TuneUp WinStyler Theme Service
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\tuneup utilities 2004\winstylerthemesvc.exe"
State: Running
Process ID: 1160
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service # 13
Service Name: WMConnectCDS
Display Name: Windows Media Connect-Dienst
Start Mode: Manual
Start Name: NT AUTHORITY\NetworkService
Description: Freigabe von Medien für universelle Plug & ...
Service Type: Own Process
Path: c:\programme\windows media connect 2\wmccds.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 14
Service Name: WMPNetworkSvc
Display Name: Windows Media Player-Netzwerkfreigabedienst
Start Mode: Manual
Start Name: NT AUTHORITY\NetworkService
Description: Gibt Windows Media Player-Bibliotheken mithilfe des universellen Plug & Play für andere Players ...
Service Type: Own Process
Path: c:\programme\windows media player\wmpnetwk.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 15
Service Name: WudfSvc
Display Name: Windows Driver Foundation - User-mode Driver Framework
Start Mode: Manual
Start Name: LocalSystem
Description: Manages user-mode driver host ...
Service Type: Share Process
Path: c:\windows\system32\svchost.exe -k wudfservicegroup
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

---> End Service Listing <---

There are 92 Win32 services on this machine.
15 were unrecognized.

Script Execution Time: 2,15625 seconds.

__________
mfg h3ll

#4 1.
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als listen.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden. --> die listen.bat doppelt klicken--> kopiere den Text, der erscheint

Zitat

cd\
dir "c:\sonstiges\cain" >>files.txt
notepad files.txt

2.
Download Registry Search by Bobbi Flekman
http://virus-protect.org/artikel/tools/regsearch.html
und doppelklicken, um zu starten. in: "Enter search strings" (reinschreiben oder reinkopieren)

Abel
MSABEL32
oreans32.sys

in edit und klicke "Ok".
Notepad wird sich oeffnen -- kopiere den Text ab und poste ihn.

3.
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein

Zitat

Files to delete:
C:\WINDOWS\system32\drivers\oreans32.sys

Folders to delete:
c:\sonstiges\cain

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Zu 1.

Zitat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: EC3B-320D

Verzeichnis von c:\sonstiges

Hab ich was falsch gemacht?

Zu 2.

Zitat

REGEDIT4

; Registry Search 2.0 by Bobbi Flekman © 2005
; Version: 2.0.1.0

; Results at 15.09.2006 00:04:49 for strings:
; 'abel'
; 'msabel32'
; 'oreans32.sys'
; Strings excluded from search:
; (None)
; Search in:
; Registry Keys Registry Values Registry Data
; HKEY_LOCAL_MACHINE HKEY_USERS


[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ABEL]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ABEL\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ABEL\0000]
"Service"="Abel"
"DeviceDesc"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel]
; Contents of value:
; c:\sonstiges\cain\abel.exe
"ImagePath"=hex(2):43,3a,5c,53,6f,6e,73,74,69,67,65,73,5c,43,61,69,6e,5c,41,62,\
65,6c,2e,65,78,65,00
"DisplayName"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel\Enum]
"0"="Root\\LEGACY_ABEL\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oreans32]
; Contents of value:
; \??\c:\windows\system32\drivers\oreans32.sys
"ImagePath"=hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,\
6d,33,32,5c,64,72,69,76,65,72,73,5c,6f,72,65,61,6e,73,33,32,2e,73,79,73,00

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Control\MediaCategories\{DFF220EE-F70F-11D0-B917-00A0C9223196}]
"Name"="Kabel-Audio"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_ABEL]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_ABEL\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_ABEL\0000]
"Service"="Abel"
"DeviceDesc"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Abel]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Abel]
; Contents of value:
; c:\sonstiges\cain\abel.exe
"ImagePath"=hex(2):43,3a,5c,53,6f,6e,73,74,69,67,65,73,5c,43,61,69,6e,5c,41,62,\
65,6c,2e,65,78,65,00
"DisplayName"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Abel\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\oreans32]
; Contents of value:
; \??\c:\windows\system32\drivers\oreans32.sys
"ImagePath"=hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,\
6d,33,32,5c,64,72,69,76,65,72,73,5c,6f,72,65,61,6e,73,33,32,2e,73,79,73,00

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\MediaCategories\{DFF220EE-F70F-11D0-B917-00A0C9223196}]
"Name"="Kabel-Audio"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL\0000]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL\0000]
"Service"="Abel"
"DeviceDesc"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel]
; Contents of value:
; c:\sonstiges\cain\abel.exe
"ImagePath"=hex(2):43,3a,5c,53,6f,6e,73,74,69,67,65,73,5c,43,61,69,6e,5c,41,62,\
65,6c,2e,65,78,65,00
"DisplayName"="Abel"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel\Security]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel\Enum]

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel\Enum]
"0"="Root\\LEGACY_ABEL\\0000"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\oreans32]
; Contents of value:
; \??\c:\windows\system32\drivers\oreans32.sys
"ImagePath"=hex(2):5c,3f,3f,5c,43,3a,5c,57,49,4e,44,4f,57,53,5c,73,79,73,74,65,\
6d,33,32,5c,64,72,69,76,65,72,73,5c,6f,72,65,61,6e,73,33,32,2e,73,79,73,00

Zu 3.

Zitat

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\ewimstwr

*******************

Script file located at: \??\C:\WINDOWS\qglhgwel.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\WINDOWS\system32\drivers\oreans32.sys deleted successfully.


Folder c:\sonstiges\cain not found!
Deletion of folder c:\sonstiges\cain failed!

Could not process line:
c:\sonstiges\cain
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

__________
mfg h3ll

#6 Avenger

Zitat

registry keys to delete:
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ABEL
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_ABEL
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Abel
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oreans32
HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\oreans32
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\oreans32

scanne mit kaspersky und poste den report
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#7

Zitat

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\taqbfakq

*******************

Script file located at: \??\C:\Program Files\vhfcjfdh.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\Root\LEGACY_ABEL deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\Abel deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\Root\LEGACY_ABEL deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\Abel deleted successfully.


Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL failed!

Could not process line:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\Root\LEGACY_ABEL
Status: 0xc0000034



Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel failed!

Could not process line:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Abel
Status: 0xc0000034

Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Services\oreans32 deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\oreans32 deleted successfully.


Registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\oreans32 not found!
Deletion of registry key HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\oreans32 failed!

Could not process line:
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\oreans32
Status: 0xc0000034


Completed script processing.

*******************

Finished! Terminate.

An kaspersky bin ich dran. (muss ich den Vollscan machen?? --> dauert zieemlich lange)
__________
mfg h3ll

#8 ja, mache den vollscan
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Na ja ich glaube es hat sich erledigt....

Da meine Festplatte viel zu voll war und ich das in den kommenden Monaten sowie so machen wollte habe ich nun meine Festplatte formatiert, da glaub auch etwas im System beschädigt war (des öfteren Fehlermeldungen).


Trotzdem tausend Dank für deine Hilfe und wenn mal wieder was ist (was ich natürlich unter keinen Umständen hoffe) werde ich wieder nachfragen^^.
__________
mfg h3ll