Trojaner/Wurm gelöscht - taucht aber wieder auf !

#1 Problem:
Ich hatte was drauf mit der dll pspdani.dll (oder so ähnlich)
habe eigentlich die Files in Avanger und auch die Regs gesäubert.
allerdings bekomme ich immer noch von AV ne Meldung mit einem
Trojaner/Wurm.
Vllt kann hier mal wer drüber gucken.

Danke im Vorraus !!!


Logfile of HijackThis v1.99.1
Scan saved at 14:38:30, on 23.10.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\RUNDLL32.EXE
C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Dokumente und Einstellungen\Kaathoven\Desktop\hijackthis_199\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://google.icq.com/search/search_frame.php
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = http://google.icq.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\system32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Photo Downloader] "C:\Programme\Adobe\Photoshop Album Starter Edition\3.0\Apps\apdproxy.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O17 - HKLM\System\CCS\Services\Tcpip\..\{97EF7AE4-DC5E-4CCB-AEB1-A6349A7135F0}: NameServer = 10.41.2.1
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe


ComboFix 06.10.19 - Running from: "C:\Dokumente und Einstellungen\Kaathoven\Desktop"

((((((((((((((((((((((((((((((( Files Created from 2006-09-23 to 2006-10-23 ))))))))))))))))))))))))))))))))))


2006-10-20 12:17 60,416 --a------ C:\WINDOWS\system32\drivers\mmecash^.sys
2006-10-20 12:04 60,416 --a------ C:\WINDOWS\system32\drivers\^wikebme.sys
2006-10-20 10:50 9,600 --a------ C:\WINDOWS\system32\drivers\hidusb.sys
2006-10-20 10:50 12,288 --a------ C:\WINDOWS\system32\drivers\mouhid.sys


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-10-20 16:09 -------- d-------- C:\Programme\CleanUp!
2006-10-20 12:16 -------- d-------- C:\Programme\ClearProg
2006-10-20 12:04 60416 --a------ C:\WINDOWS\system32\drivers\^wikebme.sys
2006-10-20 10:56 -------- d-------- C:\Programme\ICQLite
2006-10-20 10:55 -------- d-------- C:\Programme\MSN
2006-10-20 10:53 -------- d-------- C:\Programme\Yahoo!
2006-10-18 08:00 -------- d-------- C:\Programme\ICQToolbar
2006-10-11 12:50 -------- d-------- C:\Programme\PokerStars.NET
2006-10-10 12:49 -------- d-------- C:\Programme\Sony Ericsson
2006-10-10 12:49 -------- d-------- C:\Programme\Gemeinsame Dateien\Teleca Shared
2006-10-10 12:49 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-10-10 12:48 -------- d-------- C:\Programme\Gemeinsame Dateien\InstallShield
2006-09-17 19:52 -------- d-------- C:\Programme\AntiVir PersonalEdition Classic
2006-09-13 07:02 1084416 --a------ C:\WINDOWS\system32\msxml3.dll
2006-08-25 17:46 617472 --a------ C:\WINDOWS\system32\comctl32.dll
2006-08-21 14:26 16896 --a------ C:\WINDOWS\system32\fltlib.dll
2006-08-21 11:14 23040 --a------ C:\WINDOWS\system32\fltmc.exe
2006-08-16 13:58 100352 --a------ C:\WINDOWS\system32\6to4svc.dll
2006-07-27 15:25 679424 --a------ C:\WINDOWS\system32\inetcomm.dll
2006-07-24 00:14 252 --a------ C:\Dokumente und Einstellungen\Kaathoven\Anwendungsdaten\wklnhst.dat


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"MsnMsgr"="\"C:\\Programme\\MSN Messenger\\MsnMsgr.Exe\" /background"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"SoundMan"="SOUNDMAN.EXE"
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"nwiz"="nwiz.exe /install"
"NvMediaCenter"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvMcTray.dll,NvTaskbarInit"
"HPDJ Taskbar Utility"="C:\\WINDOWS\\system32\\spool\\drivers\\w32x86\\3\\hpztsb05.exe"
"avgnt"="\"C:\\Programme\\AntiVir PersonalEdition Classic\\avgnt.exe\" /min"
"Adobe Photo Downloader"="\"C:\\Programme\\Adobe\\Photoshop Album Starter Edition\\3.0\\Apps\\apdproxy.exe\""
"NeroCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"NoChange"="1"
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002

#2 lagodat

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\

23.10.2006 16:57 0 sys.txt
23.10.2006 16:57 727 down.txt
23.10.2006 16:57 117 tmp.txt
23.10.2006 16:57 7.979 system.txt
23.10.2006 16:57 136 systemtemp.txt
23.10.2006 16:57 92.495 system32.txt
23.10.2006 15:11 6.064 ComboFix.txt
23.10.2006 14:33 704.643.072 pagefile.sys
30.01.2006 13:53 0 AUTOEXEC.BAT
30.01.2006 13:53 0 MSDOS.SYS
30.01.2006 13:53 0 CONFIG.SYS
30.01.2006 13:53 0 IO.SYS
30.01.2006 13:49 211 boot.ini
04.08.2004 14:00 4.952 bootfont.bin
04.08.2004 14:00 47.564 NTDETECT.COM
04.08.2004 14:00 251.184 ntldr
16 Datei(en) 705.054.501 Bytes
0 Verzeichnis(se), 149.492.199.424 Bytes frei


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\WINDOWS\Downloaded Program Files

20.10.2006 12:27 65 desktop.ini
24.08.2006 08:28 141.424 asinst.dll
22.08.2006 09:06 537 asinst.inf
08.08.2006 11:45 576 kavwebscan.inf
16.06.2006 15:31 181.856 fscax.dll
15.06.2006 10:19 483 fscax.inf
03.02.2006 11:20 188.416 fsauc.dll
17.01.2006 17:11 580.663 daas_s.dll
27.08.2005 14:30 5.065 swflash.inf
25.06.2003 19:00 541 ca.pub
10 Datei(en) 1.099.626 Bytes
0 Verzeichnis(se), 149.492.199.424 Bytes frei



Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\WINDOWS\Temp





Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\WINDOWS

23.10.2006 15:16 576.165 setupapi.log
23.10.2006 14:47 1.753.874 WindowsUpdate.log
23.10.2006 14:33 157 wiadebug.log
23.10.2006 14:33 50 wiaservc.log
23.10.2006 14:33 0 0.log
23.10.2006 14:33 2.048 bootstat.dat
21.10.2006 14:42 32.622 SchedLgU.Txt
20.10.2006 12:35 1.002 OEWABLog.txt
20.10.2006 11:56 287.590 ntbtlog.txt
20.10.2006 11:27 174.432 setupact.log
20.10.2006 11:27 0 setuperr.log
18.10.2006 11:34 0 jw9ucgel.scf
18.10.2006 09:15 0 h6j40x.txt
14.10.2006 15:40 0 sc.xml1
13.10.2006 06:18 97.381 ntdtcsetup.log
13.10.2006 06:18 25.509 ocmsn.log
13.10.2006 06:18 178.174 tsoc.log
13.10.2006 06:18 1.393 imsins.log
13.10.2006 06:18 163.386 comsetup.log
13.10.2006 06:18 72.306 iis6.log
13.10.2006 06:18 13.606 KB924191.log
13.10.2006 06:18 224.637 ocgen.log
13.10.2006 06:18 23.119 msgsocm.log
13.10.2006 06:18 456.673 FaxSetup.log
13.10.2006 06:18 27.995 updspapi.log
13.10.2006 06:18 1.393 imsins.BAK
13.10.2006 06:18 13.204 KB922819.log
13.10.2006 06:18 11.420 KB923414.log
13.10.2006 06:17 11.417 KB924496.log
13.10.2006 06:17 8.763 KB923191.log
10.10.2006 13:29 40.857 wmsetup.log
26.09.2006 23:11 10.549 KB925486.log
13.09.2006 09:55 13.065 KB920685.log
13.09.2006 09:54 14.903 KB920872.log
13.09.2006 09:54 13.210 KB919007.log
13.09.2006 09:54 9.284 KB922582.log
09.08.2006 14:43 15.555 KB920214.log
09.08.2006 14:42 15.516 KB922616.log
09.08.2006 14:42 15.920 KB921398.log
09.08.2006 14:42 19.210 KB918899.log
09.08.2006 14:42 11.897 KB920670.log
09.08.2006 14:42 12.062 KB917422.log
09.08.2006 14:42 12.312 KB920683.log
08.08.2006 23:40 11.085 KB921883.log



Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\DOKUME~1\KAATHO~1\LOKALE~1\Temp





Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4C40-F92B

Verzeichnis von C:\WINDOWS\system32

23.10.2006 14:50 1.406 Help.ico
23.10.2006 14:50 30.590 pavas.ico
23.10.2006 14:43 13.646 wpa.dbl
23.10.2006 14:33 39.291 nvapps.xml
20.10.2006 12:27 16.832 amcompat.tlb
20.10.2006 12:27 23.392 nscompat.tlb
10.10.2006 09:36 2.953 CONFIG.NT
04.10.2006 22:03 9.639.336 MRT.exe
13.09.2006 07:02 1.084.416 msxml3.dll
04.09.2006 08:12 1.494.016 shdocvw.dll
25.08.2006 17:46 617.472 comctl32.dll
21.08.2006 14:26 16.896 fltlib.dll
21.08.2006 11:14 23.040 fltmc.exe
16.08.2006 13:58 100.352 6to4svc.dll
28.07.2006 13:28 3.075.072 mshtml.dll
27.07.2006 15:25 679.424 inetcomm.dll
25.07.2006 22:33 615.936 urlmon.dll
21.07.2006 10:29 72.704 hlink.dll
14.07.2006 17:38 332.288 netapi32.dll
14.07.2006 17:25 546.304 hhctrl.ocx
14.07.2006 11:28 311.604 perfh009.dat
14.07.2006 11:28 39.992 perfc009.dat
14.07.2006 11:28 316.594 perfh007.dat
14.07.2006 11:28 48.156 perfc007.dat
14.07.2006 11:28 723.744 PerfStringBackup.INI
13.07.2006 15:34 8.494.592 shell32.dll
05.07.2006 12:55 1.057.792 kernel32.dll
03.07.2006 11:47 4 proc1395793746.bin
26.06.2006 19:40 148.480 dnsapi.dll
26.06.2006 19:40 8.192 rasadhlp.dll
23.06.2006 13:10 664.576 wininet.dll
23.06.2006 13:10 448.512 mshtmled.dll
23.06.2006 13:10 39.424 pngfilt.dll
23.06.2006 13:10 532.480 mstime.dll
23.06.2006 13:10 146.432 msrating.dll
23.06.2006 13:10 474.624 shlwapi.dll
23.06.2006 13:10 16.384 jsproxy.dll
23.06.2006 13:10 251.392 iepeers.dll
23.06.2006 13:10 357.888 dxtmsft.dll
23.06.2006 13:10 1.056.256 danim.dll
23.06.2006 13:10 205.312 dxtrans.dll
23.06.2006 13:10 55.808 extmgr.dll
23.06.2006 13:10 96.768 inseng.dll
23.06.2006 13:10 152.064 cdfview.dll
23.06.2006 13:10 1.022.976 browseui.dll
23.06.2006 10:53 27.136 xpsp3res.dll
22.06.2006 07:06 1.441.792 query.dll
22.06.2006 07:06 69.120 ciodm.dll
19.06.2006 16:20 702.768 WgaLogon.dll
19.06.2006 16:19 571.184 LegitCheckControl.dll
19.06.2006 16:19 304.944 WgaTray.exe
13.06.2006 08:48 57.384 avsda.dll
01.06.2006 20:47 163.840 jgdw400.dll
01.06.2006 20:47 27.648 jgpl400.dll

#4 Avenger
http://virus-protect.org/artikel/tools/avenger.html

Zitat

Files to delete:
C:\WINDOWS\system32\drivers\mmecash^.sys
C:\WINDOWS\system32\drivers\^wikebme.sys
C:\WINDOWS\jw9ucgel.scf
C:\WINDOWS\h6j40x.txt
C:\WINDOWS\sc.xml1

ueberpruefe, ob die windowsupdates funktionieren + berichte
__________
MfG Sabina

rund um die PC-Sicherheit