Scanner meldet W32/Sdbot.worm!ftp. Was nun?

#1 So, gerade vom VirusBurster befreit meldet der Scanner W32/Sdbot.worm!ftp.
Gemäß Eurer Anleitung hier nun folgende Logs:

Logfile of HijackThis v1.99.1
Scan saved at 00:16:05, on 25.11.2006
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\System32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Network Associates\Common Framework\FrameworkService.exe
C:\Programme\Network Associates\VirusScan\Mcshield.exe
C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOINTGR.EXE
C:\WINDOWS\System32\DSentry.exe
C:\WINDOWS\system32\dla\tfswctrl.exe
C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
C:\Programme\Network Associates\VirusScan\SHSTAT.EXE
C:\Programme\Network Associates\Common Framework\UpdaterUI.exe
C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\DayDisplay\DayDisplay.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Microsoft Office\Office\FINDFAST.EXE
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\ATI Technologies\ATI.ACE\cli.exe
C:\Programme\Microsoft Office\Office\WINWORD.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Alice\Signup\AliceCnn.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32Info.exe
C:\Dokumente und Einstellungen\Carsten\Eigene Dateien\Meine empfangenen Dateien\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.protecus.de/
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.arcor.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Arcor AG & Co. KG
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [SO5 Integrator Pass Two] C:\WINDOWS\SOINTGR.EXE
O4 - HKLM\..\Run: [DVDSentry] C:\WINDOWS\System32\DSentry.exe
O4 - HKLM\..\Run: [dla] C:\WINDOWS\system32\dla\tfswctrl.exe
O4 - HKLM\..\Run: [ATIPTA] C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
O4 - HKLM\..\Run: [ShStatEXE] "C:\Programme\Network Associates\VirusScan\SHSTAT.EXE" /STANDALONE
O4 - HKLM\..\Run: [McAfeeUpdaterUI] "C:\Programme\Network Associates\Common Framework\UpdaterUI.exe" /StartedFromRunKey
O4 - HKLM\..\Run: [Network Associates Error Reporting Service] "C:\Programme\Gemeinsame Dateien\Network Associates\TalkBack\TBMon.exe"
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [ATICCC] "C:\Programme\ATI Technologies\ATI.ACE\cli.exe" runtime -Delay
O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - Global Startup: Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Office\FINDFAST.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\inetrepl.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O9 - Extra 'Tools' menuitem: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\MSMSGS.EXE
O17 - HKLM\System\CCS\Services\Tcpip\..\{229A15C5-EA68-4130-A81A-DCF2071B98AD}: NameServer = 213.191.74.19 213.191.92.87
O17 - HKLM\System\CS1\Services\Tcpip\..\{229A15C5-EA68-4130-A81A-DCF2071B98AD}: NameServer = 213.191.74.19 213.191.92.87
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\System32\Ati2evxx.exe
O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\SYSTEM32\ati2sgag.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: McAfee Framework-Dienst (McAfeeFramework) - Network Associates, Inc. - C:\Programme\Network Associates\Common Framework\FrameworkService.exe
O23 - Service: Network Associates McShield (McShield) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\Mcshield.exe
O23 - Service: Network Associates Task Manager (McTaskManager) - Network Associates, Inc. - C:\Programme\Network Associates\VirusScan\VsTskMgr.exe
O23 - Service: Intel NCS NetService (NetSvc) - Intel(R) Corporation - C:\Programme\Intel\NCS\Sync\NetSvc.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\System32\HPZipm12.exe

===============================

Carsten - 06-11-24 23:54:37,23 Service Pack 1
ComboFix 06.10.19 - Running from: "C:\Dokumente und Einstellungen\Carsten\Eigene Dateien\Meine empfangenen Dateien"

((((((((((((((((((((((((((((((( Files Created from 2006-10-24 to 2006-11-24 ))))))))))))))))))))))))))))))))))


2006-11-22 18:38 0 --ahs---- C:\WINDOWS\SYSTEM32\.exe
2006-11-21 09:56 1,866 --a------ C:\WINDOWS\SYSTEM32\tmp.reg
2006-11-21 09:55 53,248 --a------ C:\WINDOWS\SYSTEM32\Process.exe
2006-11-21 09:55 40,960 --a------ C:\WINDOWS\SYSTEM32\swsc.exe
2006-11-21 09:55 288,417 --a------ C:\WINDOWS\SYSTEM32\SrchSTS.exe
2006-11-21 09:55 135,168 --a------ C:\WINDOWS\SYSTEM32\swreg.exe
2006-11-21 09:39 8,192 --a------ C:\WINDOWS\suecmdial.dll
2006-11-21 09:35 42,982 --a------ C:\WINDOWS\SYSTEM32\PDDSLADP.DLL
2006-11-21 09:35 15,571 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\PDDSLADP.SYS
2006-11-21 09:35 15,187 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\PDDSLHND.SYS
2006-10-26 21:37 271,360 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\atksgt.sys
2006-10-26 21:37 18,048 --a------ C:\WINDOWS\SYSTEM32\DRIVERS\lirsgt.sys
2006-10-26 21:36 2,297,552 --a------ C:\WINDOWS\SYSTEM32\d3dx9_26.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-11-24 23:52 -------- d-------- C:\Programme\Mozilla Firefox
2006-11-24 23:49 -------- d-------- C:\Programme\CleanUp!
2006-11-24 23:30 -------- d-------- C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\Skype
2006-11-22 18:38 0 --ahs---- C:\WINDOWS\SYSTEM32\.exe
2006-11-21 09:34 -------- d-------- C:\Programme\Gemeinsame Dateien\Alice
2006-11-21 09:34 -------- d-------- C:\Programme\Alice
2006-10-31 15:26 -------- d-------- C:\Programme\Quicken2005
2006-10-27 18:28 -------- d-------- C:\Programme\Anno 1701
2006-10-26 21:31 -------- d--h----- C:\Programme\InstallShield Installation Information
2006-10-22 17:02 -------- d-------- C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\Adobe
2006-10-11 07:28 -------- d-------- C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\AdobeUM
2006-10-10 18:43 -------- d-------- C:\Programme\ElsterFormular2005


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"DayDisplay"="C:\\Programme\\DayDisplay\\DayDisplay.exe"
"Sonic RecordNow!"=""
"CTFMON.EXE"="C:\\WINDOWS\\System32\\ctfmon.exe"
"H/PC Connection Agent"="\"C:\\Programme\\Microsoft ActiveSync\\WCESCOMM.EXE\""
"MSMSGS"="\"C:\\Programme\\Messenger\\msmsgs.exe\" /background"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"SO5 Integrator Pass Two"="C:\\WINDOWS\\SOINTGR.EXE"
"DVDSentry"="C:\\WINDOWS\\System32\\DSentry.exe"
"dla"="C:\\WINDOWS\\system32\\dla\\tfswctrl.exe"
"ATIPTA"="C:\\Programme\\ATI Technologies\\ATI Control Panel\\atiptaxx.exe"
"ShStatEXE"="\"C:\\Programme\\Network Associates\\VirusScan\\SHSTAT.EXE\" /STANDALONE"
"McAfeeUpdaterUI"="\"C:\\Programme\\Network Associates\\Common Framework\\UpdaterUI.exe\" /StartedFromRunKey"
"Network Associates Error Reporting Service"="\"C:\\Programme\\Gemeinsame Dateien\\Network Associates\\TalkBack\\TBMon.exe\""
"SunJavaUpdateSched"="C:\\Programme\\Java\\jre1.5.0_06\\bin\\jusched.exe"
"Arcor Online"=""
"ATICCC"="\"C:\\Programme\\ATI Technologies\\ATI.ACE\\cli.exe\" runtime -Delay"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000004

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001
"DisableTaskMgr"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
"NoCDBurning"=dword:00000000

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Gamma Loader.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmenü\\Programme\\Autostart\\Adobe Gamma Loader.lnk"
"backup"="C:\\WINDOWS\\pss\\Adobe Gamma Loader.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\GEMEIN~1\\Adobe\\CALIBR~1\\ADOBEG~1.EXE "
"item"="Adobe Gamma Loader"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmenü\\Programme\\Autostart\\Adobe Reader - Schnellstart.lnk"
"backup"="C:\\WINDOWS\\pss\\Adobe Reader - Schnellstart.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\Adobe\\ACROBA~3.0\\Reader\\READER~1.EXE "
"item"="Adobe Reader - Schnellstart"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^HP Digital Imaging Monitor.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmenü\\Programme\\Autostart\\HP Digital Imaging Monitor.lnk"
"backup"="C:\\WINDOWS\\pss\\HP Digital Imaging Monitor.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\HP\\DIGITA~1\\bin\\hpqtra08.exe "
"item"="HP Digital Imaging Monitor"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Office-Start.lnk]
"path"="C:\\Dokumente und Einstellungen\\All Users\\Startmenü\\Programme\\Autostart\\Office-Start.lnk"
"backup"="C:\\WINDOWS\\pss\\Office-Start.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\MICROS~3\\Office\\OSA.EXE -b"
"item"="Office-Start"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Quicken 2005 Zahlungserinnerung.lnk]
"backup"="C:\\WINDOWS\\pss\\Quicken 2005 Zahlungserinnerung.lnkCommon Startup"
"location"="Common Startup"
"command"="C:\\PROGRA~1\\QUICKE~1\\billmind.exe "
"item"="Quicken 2005 Zahlungserinnerung"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\H/PC Connection Agent]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="WCESCOMM"
"hkey"="HKCU"
"command"="\"C:\\Programme\\Microsoft ActiveSync\\WCESCOMM.EXE\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Component Manager]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="hpcmpmgr"
"hkey"="HKLM"
"command"="\"C:\\Programme\\HP\\hpcoretech\\hpcmpmgr.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\HP Software Update]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="HPWuSchd2"
"hkey"="HKLM"
"command"="C:\\Programme\\HP\\HP Software Update\\HPWuSchd2.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="iTunesHelper"
"hkey"="HKLM"
"command"="\"C:\\Programme\\iTunes\\iTunesHelper.exe\""
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="msmsgs"
"hkey"="HKCU"
"command"="\"C:\\Programme\\Messenger\\msmsgs.exe\" /background"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="qttask"
"hkey"="HKLM"
"command"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="Skype"
"hkey"="HKCU"
"command"="\"C:\\Programme\\Skype\\Phone\\Skype.exe\" /nosplash /minimized"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\StorageGuard]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="sgtray"
"hkey"="HKLM"
"command"="\"C:\\Programme\\Gemeinsame Dateien\\Sonic\\Update Manager\\sgtray.exe\" /r"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="realsched"
"hkey"="HKLM"
"command"="\"C:\\Programme\\Gemeinsame Dateien\\Real\\Update_OB\\realsched.exe\" -osboot"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\updateMgr]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="AdobeUpdateManager"
"hkey"="HKCU"
"command"="\"C:\\Programme\\Adobe\\Acrobat 7.0\\Reader\\AdobeUpdateManager.exe\" AcRdB7_0_7 -reboot 1"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
"key"="SOFTWARE\\Microsoft\\Windows\\CurrentVersion\\Run"
"item"="winampa"
"hkey"="HKLM"
"command"="C:\\Programme\\Winamp\\winampa.exe"
"inimapping"="0"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\ISP-Anmeldungserinnerung 1.job
C:\WINDOWS\tasks\Symantec NetDetect.job

Completion time: 06-11-24 23:55:09.54
C:\ComboFix.txt ... 06-11-24 23:55
C:\ComboFix2.txt ... 06-11-05 19:58
==========================================

datfindbat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 287E-63A7

Verzeichnis von c:\

25.11.2006 00:08 0 dirdat.txt
24.11.2006 23:55 11.446 ComboFix.txt
24.11.2006 23:38 107.164 dirdat-Nov06.txt
24.11.2006 23:15 5.389 ffastun.ffa
24.11.2006 23:15 163.840 ffastun.ffo
24.11.2006 23:15 3.514.368 ffastun.ffl
24.11.2006 23:15 14.336.000 ffastun0.ffx
24.11.2006 19:11 535.891.968 hiberfil.sys
24.11.2006 19:11 805.306.368 pagefile.sys
22.11.2006 18:37 194 BOOT.INI
21.11.2006 09:59 1.196 rapport.txt
21.11.2006 09:49 7.058 avenger.txt
05.11.2006 19:58 12.655 ComboFix2.txt
31.10.2006 15:26 191 mwmlog.txt
10.02.2006 19:19 3.505 smitfiles.txt
10.02.2006 17:26 8.289 spyaxe.reg
29.01.2006 20:40 5 AVPCallback.log
29.01.2006 20:17 1.327 sys.txt
29.01.2006 20:16 5.910 system.txt
29.01.2006 20:14 445 systemtemp.txt
29.01.2006 20:13 99.524 system32.txt

32 Datei(en) 1.361.416.348 Bytes
0 Verzeichnis(se), 96.754.245.632 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 287E-63A7

Verzeichnis von C:\WINDOWS\system32

24.11.2006 23:51 23.774 FFASTLOG.TXT
22.11.2006 18:38 0 .exe
21.11.2006 09:56 0 tmp.txt
21.11.2006 09:56 1.866 tmp.reg
18.11.2006 20:44 1.170 WPA.DBL
30.10.2006 10:57 381.692 PERFH009.DAT
30.10.2006 10:57 53.436 PERFC009.DAT
30.10.2006 10:57 392.512 PERFH007.DAT
30.10.2006 10:57 64.452 PERFC007.DAT
30.10.2006 10:57 902.476 PerfStringBackup.INI
29.08.2006 18:43 135.168 swreg.exe
07.06.2006 22:09 260.096 ati2dvag.dll
07.06.2006 22:07 307.200 atiiiexx.dll
07.06.2006 22:04 114.688 atipdlxx.dll
07.06.2006 22:04 77.824 Oemdspif.dll
07.06.2006 22:04 26.112 Ati2mdxx.exe
07.06.2006 22:04 41.984 ati2edxx.dll
07.06.2006 22:04 61.440 ati2evxx.dll
07.06.2006 22:03 409.600 ati2evxx.exe
07.06.2006 22:02 53.248 ATIDDC.DLL
07.06.2006 21:56 2.754.784 ati3duag.dll
07.06.2006 21:51 1.751.488 ativvaxx.dll
07.06.2006 21:46 6.684.672 atioglx1.dll
07.06.2006 21:43 5.050.368 atioglxx.dll
07.06.2006 21:40 204.800 atikvmag.dll
07.06.2006 21:39 17.408 atitvo32.dll
07.06.2006 21:38 290.816 ATIDEMGR.dll
07.06.2006 21:35 286.720 ati2cqag.dll
07.06.2006 15:27 520.192 ati2sgag.exe
01.06.2006 18:28 129.112 atiicdxx.dat
01.06.2006 02:34 6.126 atifglpf.xml

2079 Datei(en) 398.275.373 Bytes
0 Verzeichnis(se), 96.754.118.656 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 287E-63A7

Verzeichnis von C:\WINDOWS

24.11.2006 19:18 512 randseed.rnd
24.11.2006 19:12 0 0.log
24.11.2006 19:12 159 wiadebug.log
24.11.2006 19:12 50 wiaservc.log
24.11.2006 19:11 32.622 SchedLgU.Txt
24.11.2006 19:11 2.048 BOOTSTAT.DAT
22.11.2006 18:37 619 WIN.INI
22.11.2006 18:37 227 SYSTEM.INI
22.11.2006 04:46 54.156 QTFont.qfn
21.11.2006 09:56 236 setupact.log
21.11.2006 09:35 301 wininit.ini
21.11.2006 09:35 3.096 netcfg.log
21.11.2006 09:35 303 awprotoc.txt
21.11.2006 09:35 171.074 setupapi.log
21.11.2006 09:35 61 awerror.txt
31.10.2006 15:25 2.050 QUICKEN.INI
26.10.2006 21:36 167.379 DirectX.log
24.10.2006 12:56 3.301 tm.ini
10.10.2006 18:22 340 MKDEMSG.LOG
10.10.2006 18:22 23 eps_stab.ini
10.10.2006 12:22 1.409 QTFont.for
18.09.2006 17:59 774 stwin05.ini
18.09.2006 17:59 112 d2hnav.ini
13.09.2006 13:14 3.071 cdplayer.ini
06.09.2006 15:43 11.866 mozver.dat
12.08.2006 22:01 2.454 ModemLog_Kommunikationskabel zwischen zwei Computern.txt
12.08.2006 22:00 2.464 $_hpcst$.hpc
12.08.2006 21:59 2.498 Microsoft.MIF

135 Datei(en) 8.938.243 Bytes
0 Verzeichnis(se), 96.754.139.136 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 287E-63A7

Verzeichnis von C:\DOKUME~1\Carsten\LOKALE~1\Temp

25.11.2006 00:05 204.780 ~WRS0000.tmp
25.11.2006 00:05 512 ~DF6B4D.tmp
25.11.2006 00:01 206 jusched.log
24.11.2006 23:51 16.384 Perflib_Perfdata_f68.dat
24.11.2006 23:51 16.384 Perflib_Perfdata_e6c.dat
24.11.2006 23:51 16.384 Perflib_Perfdata_a6c.dat
6 Datei(en) 254.650 Bytes
0 Verzeichnis(se), 96.754.135.040 Bytes frei


Merkwürdigerweise habe ich keine 6 Logs zusammenbekommen, sondern nur 4.

Ich weiß, das ihr beim datfindbat nur die letzten 3 Moante haben wollt, aber ich habe gerade im ersten Log etwas mehr drin gelassen weil ich dort erschreckenderweise noch den Eintrag "spyaxe.reg" gefunden hab. Ich dachte eigentlich, ich hätte im Frühjahr alles von spyaxe beseitigt.

Übrigens hat er die Meldung zu dem Wurm heute nicht mehr ausgegeben. Überhaupt gab es in den letzten Tagen nach der VirusBurster-Säuberung verschiedenen komische Meldungen des Virusscanners. Vielleicht hat es ja auch damit was zu tun.
Danke im voraus für Eure Zeit und Hilfe.

lg
Vascond

#2 ««
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein

Zitat

Files to delete:
C:\WINDOWS\SYSTEM32\.exe

««
ServiceFilter.zip
http://virus-protect.org/artikel/tools/ServiceFilter.zip

- entzippen
- doppelklick auf die datei ServiceFilter.vbs
- versions-nummer bestätigen
- scannen
- öffnen von wordpad oder editor erlauben
- POST_THIS.TXT abkopieren
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Avenger meldet:
"Error: selected file does not appear to be a valid script"

und im nächsten Fenster
"Press OK log error and continue or cancel to abort"

und im nächsten Fenster dann
"Error code: 0"


ServiceFilter:
(Hm, die Schritte 3,4 und 5 wurden gar nicht benötigt)

The script did not recognize the services listed below.
This does not mean that they are a problem.

To copy the entire contents of this document for posting:
At the top of this window click "Edit" then "Select All"
Next click "Edit" again then "Copy"
Now right click in the forum post box then click "Paste"

########################################

ServiceFilter 1.1
by rand1038

Microsoft Windows XP Home Edition
Version: 5.1.2600 Service Pack 1
Nov 25, 2006 19:51:21


---> Begin Service Listing <---

Unknown Service # 1
Service Name: IDriverT
Display Name: InstallDriver Table Manager
Start Mode: Manual
Start Name: LocalSystem
Description: Provides support for the Running Object Table for InstallShield ...
Service Type: Own Process
Path: c:\programme\gemeinsame dateien\installshield\driver\11\intel 32\idrivert.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #2
Service Name: iPodService
Display Name: iPodService
Start Mode: Manual
Start Name: LocalSystem
Description: iPod hardware management ...
Service Type: Own Process
Path: c:\programme\ipod\bin\ipodservice.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service # 3
Service Name: McAfeeFramework
Display Name: McAfee Framework-Dienst
Start Mode: Auto
Start Name: LocalSystem
Description: Freigegebenes Komponenten-Framework für ...
Service Type: Own Process
Path: c:\programme\network associates\common framework\frameworkservice.exe /servicestart
State: Running
Process ID: 184
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #4
Service Name: McShield
Display Name: Network Associates McShield
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\network associates\virusscan\mcshield.exe"
State: Running
Process ID: 368
Started: Wahr
Exit Code: 0
Accept Pause: Wahr
Accept Stop: Wahr

Unknown Service # 5
Service Name: McTaskManager
Display Name: Network Associates Task Manager
Start Mode: Auto
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: "c:\programme\network associates\virusscan\vstskmgr.exe"
State: Running
Process ID: 448
Started: Wahr
Exit Code: 0
Accept Pause: Falsch
Accept Stop: Wahr

Unknown Service #6
Service Name: NetSvc
Display Name: Intel NCS NetService
Start Mode: Manual
Start Name: LocalSystem
Description: ...
Service Type: Own Process
Path: c:\programme\intel\ncs\sync\netsvc.exe
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

Unknown Service #7
Service Name: SwPrv
Display Name: MS Software Shadow Copy Provider
Start Mode: Manual
Start Name: LocalSystem
Description: Verwaltet Software-basierte Schattenkopien des Volumeschattenkopie-Dienstes. Software-basierte ...
Service Type: Own Process
Path: c:\windows\system32\dllhost.exe /processid:{8f19650a-bc62-4eb8-b5a1-eb4480cef0f9}
State: Stopped
Process ID: 0
Started: Falsch
Exit Code: 1077
Accept Pause: Falsch
Accept Stop: Falsch

---> End Service Listing <---

There are 86 Win32 services on this machine.
7 were unrecognized.

Script Execution Time: 2,234375 seconds.

#4 Vascond

««
loesche manuell:
C:\WINDOWS\SYSTEM32\.exe

»»
scanne mit sophos und poste den scanreport
http://virus-protect.org/multiavtool.html

»»
mache die Windowsupdates - SP2 - sonst kann sich jeder in dein System einhacken, der was davon versteht
__________
MfG Sabina

rund um die PC-Sicherheit

#5

Zitat

Sabina postete
Vascond

««
loesche manuell:
C:\WINDOWS\SYSTEM32\.exe

Hast du da ne Idee, wo ich das finden könnte? Auf DEM Pfad isses nämlich nirgendwo zu entdecken.

Zitat

»»
mache die Windowsupdates - SP2 - sonst kann sich jeder in dein System einhacken, der was davon versteht

Das habe ich schon mehrmals probiert ist aber immer an irgendwelchen "Sie müssen vorher noch dies und jenes runterladen" gescheitert. Und bei einigen Leuten meiner Umgebung war die Systemstabilität danach im Eimer. Seitdem sitze ich immer zwischen zwei Stühlen. Bessere Sicherheit oder "running System"

#6 da hast du recht, es ist ein Problem, aber wenn ich den Wurm auf deinem Rechner sehe (wonach man eigentlich schleunigst formatieren sollte....) - wuerde ich mich an deiner Stelle doch fuer die Sicherheit entscheiden.

du kannst auch etwas anderes machen: ein sauberes Image erstellen (bitte nicht mir dem jetzigen System) - und jedesmal, wenn es probleme gibt, spielst du das Image zurueck.

Zitat

Acronis True Image
http://www.acronis.de/homecomputing/products/trueimage/ 1) Die bewährte Backup-Technologie Disk-Imaging, mit der Sie exakte Abbilder(Images) für ein vollständiges System-Backup erstellen, inklusive aller Daten, des Betriebssystems, persönlicher Einstellungen und der Programme. Nutzen Sie diese Backups zur Wiederherstellung des Computers in einem bestimmten Zustand ohne jede Installation.

__________
MfG Sabina

rund um die PC-Sicherheit

#7 Öhm, ok. Aber was soll ich nun weiterhin machen?? Das Image soll ich erst erstellen, wenn der Rechner sauber ist. Aber was mache ich nun zum säubern??

Soll ich trotzdem sophos ausführen, auch wenn ich C:\WINDOWS\SYSTEM32\.exe nicht gelöscht hab?

#8 1.
du kannst versuchen, die exe manuell oder mit der killbox zu loeschen - dein jetziges System bleibt dann so bestehen. - kompromitiert, aber funktionstuechtig.
http://virus-protect.org/killbox.html

2.
wenn du dich wirklich fuer ein Image entscheiden solltest - wuerde ich das System voeher neu aufsetzen, um sicher zu sein, dass alles wirklich sauber ist
__________
MfG Sabina

rund um die PC-Sicherheit

#9 O.k. Habe gestern den Windows Updater glühen lassen und XP auf den Stand der Dinge gebracht. Nur beim SP2-Download gabs ein Problem. Hoffe, ich kann mir das morgen erklären lassen. Das aber nur am Rande.

Habe heute die Killbox benutzt, um "C:\WINDOWS\SYSTEM32\.exe" zu löschen. Ob es funktioniert hat weiß ich nicht.

Sophos hat anschließend folgendes Ergebnis geliefert:

Sophos Anti-Virus
Version 4.12.0 [Win32/Intel]
Virus data version 4.12, December 2006
Includes detection for 201963 viruses, trojans and worms
Copyright (c) 1989-2006 Sophos Plc, www.sophos.com

System time 20:15:52, System date 29 November 2006
Command line qualifiers are: -f -di -all -remove -mime -mbr -noc -archive -opt=ISCabinet --stop-scan

IDE directory is: c:\AV-CLS\Sophos

Using IDE file medbot-b.ide
Using IDE file adloa-kb.ide
Using IDE file agen-dsf.ide
Using IDE file zlobat.ide
Using IDE file zlob-wt.ide
Using IDE file zlob-wq.ide
Using IDE file zlob-wp.ide
Using IDE file wow-aj.ide
Using IDE file looke-az.ide
Using IDE file vixup-bz.ide
Using IDE file bronto-m.ide
Using IDE file looke-ay.ide
Using IDE file clagg-ak.ide
Using IDE file clagg-al.ide
Using IDE file clagg-am.ide
Using IDE file clagg-an.ide
Using IDE file codeba-u.ide
Using IDE file strat-cd.ide
Using IDE file dloa-akq.ide
Using IDE file dloa-apl.ide
Using IDE file dloa-aqn.ide
Using IDE file dload-yt.ide
Using IDE file dloadaqk.ide
Using IDE file dnsbus-n.ide
Using IDE file mytob-if.ide
Using IDE file dref-q.ide
Using IDE file strat-bq.ide
Using IDE file strat-al.ide
Using IDE file strat-ak.ide
Using IDE file strat-aj.ide
Using IDE file ds061127.ide
Using IDE file ds061128.ide
Using IDE file nebule-n.ide
Using IDE file feebszip.ide
Using IDE file star-bda.ide
Using IDE file rjump-h.ide
Using IDE file sdbo-cuj.ide
Using IDE file limpne-a.ide
Using IDE file line-aeg.ide
Using IDE file spake-a.ide
Using IDE file line-aeo.ide
Using IDE file look-ax.ide
Using IDE file look-ba.ide
Using IDE file looke-a.ide
Using IDE file looke-aq.ide
Using IDE file pardon-b.ide
Using IDE file rbot-fwy.ide
Using IDE file strd-gen.ide
Using IDE file vb-crj.ide
Using IDE file strat-bv.ide
Using IDE file qqro-aba.ide
Using IDE file rbot-fwm.ide
Using IDE file line-aeh.ide
Using IDE file ldpin-op.ide
Using IDE file levona-b.ide
Using IDE file legmi-yy.ide
Using IDE file pardon-a.ide
Using IDE file looke-av.ide
Using IDE file delspy-e.ide
Using IDE file psyme-dd.ide
Using IDE file qqpa-akl.ide
Using IDE file proxy-eu.ide
Using IDE file rbot-fuo.ide
Using IDE file rbot-fus.ide
Using IDE file rbot-fvz.ide
Using IDE file rbot-fwl.ide
Using IDE file looke-ar.ide
Using IDE file pitcom-c.ide
Using IDE file ds061116.ide
Using IDE file rungbu-c.ide
Using IDE file dwnl-fvg.ide
Using IDE file silly-e.ide
Using IDE file sniffe-m.ide
Using IDE file ntroo-av.ide
Using IDE file ds061115.ide
Using IDE file stex-a.ide
Using IDE file ds061113.ide
Using IDE file dropp-ma.ide
Using IDE file dref-o.ide
Using IDE file strat-bo.ide
Using IDE file nebul-m.ide
Using IDE file bckd-pnp.ide
Using IDE file clagg-aj.ide
Using IDE file batkil-a.ide
Using IDE file tibs-pf.ide
Using IDE file tileb-fy.ide
Using IDE file tileb-hn.ide
Using IDE file tileb-hx.ide
Using IDE file vanity-a.ide
Using IDE file banl-aqv.ide
Using IDE file bancb-oj.ide
Using IDE file winspy-l.ide
Using IDE file banc-api.ide
Using IDE file zlob-nw.ide
Using IDE file backdr-c.ide
Using IDE file agnt-dgy.ide
Using IDE file mona-b.ide

Full Scanning

Could not open C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Network Associates\BOPDATA\_Date-20061129_Time-195438718_EnterceptExceptions.dat
Could not open C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Network Associates\BOPDATA\_Date-20061129_Time-195438718_EnterceptRules.dat
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip\RELATED.HTM
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\AlexaRelated.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs1.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs1.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\CommonDialogs1.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit1.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit10.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit10.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit10.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit11.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit11.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit11.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit12.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit12.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit12.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit13.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit13.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit13.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit14.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit14.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit14.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit15.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit15.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit15.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit16.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit16.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit16.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit17.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit17.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit17.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit18.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit18.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit18.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit19.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit2.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit20.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit20.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit20.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit21.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit21.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit21.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit22.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit22.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit22.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit23.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit23.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit23.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit24.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit24.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit24.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit25.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit25.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit25.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit26.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit26.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit26.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit27.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit27.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit27.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit28.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit28.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit28.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit29.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit29.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit29.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit3.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit30.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit30.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit30.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit31.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit31.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit31.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit32.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit32.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit32.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit33.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit33.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit33.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit34.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit34.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit34.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit35.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit35.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit35.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit36.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit36.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit36.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit37.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit37.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit37.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit38.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit38.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit38.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit39.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit39.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit39.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit4.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit5.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit5.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit5.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit6.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit6.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit6.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit7.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit7.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit7.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit8.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit8.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit8.zip\comment
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit9.zip\sbRecovery.reg
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit9.zip\sbRecovery.ini
Password protected file C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Spybot - Search & Destroy\Recovery\DSOExploit9.zip\comment
Password protected file C:\Dokumente und Einstellungen\Carsten\Anwendungsdaten\Adobe\Acrobat\7.0\Messages\DEU\read0600win_DEUyhoo0010.pdf
Could not check C:\Dokumente und Einstellungen\Carsten\Eigene Dateien\Meine empfangenen Dateien\dotnetfx.exe\FILE:0000\SfxArchiveData\msi.dll (corrupt)
Could not check C:\Dokumente und Einstellungen\Carsten\Eigene Dateien\Meine empfangenen Dateien\icq4_german_setup.exe\SfxArchiveData\Sarc0000 (corrupt)
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Temp\Perflib_Perfdata_620.dat
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Temp\Perflib_Perfdata_7d0.dat
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Temp\Perflib_Perfdata_810.dat
Could not open C:\Dokumente und Einstellungen\Carsten\Lokale Einstellungen\Temp\Perflib_Perfdata_d24.dat
Could not open C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Could not open C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG
Could not open C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat
Could not open C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG
Could not open C:\hiberfil.sys
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\DEU\RdrMsgDEU.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\DEU\read0600win_DEUyhoo0010.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\ENU\RdrMsgENU.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\ENU\read0600win_ENUyhoo0010.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\Messages\RdrMsgSplash.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Reader\WebSearch\WebSearchENU.pdf
Password protected file C:\Programme\Adobe\Acrobat 7.0\Setup Files\RdrBig\GER\Data1.cab\WebSearchENU.pdf
Password protected file C:\Programme\Akademische Arbeitsgemeinschaft\Steuertipps\2006\Steuerprogramm\Extras\vorsorgerechner2005.xls
Aborted checking C:\Programme\GameCopy\1503_CD1.xmf - appears to be a 'zip bomb'
Aborted checking C:\Programme\GameCopy\MAFIA.xmf - appears to be a 'zip bomb'
Aborted checking C:\Programme\GameCopy\SHOK_DE.xmf - appears to be a 'zip bomb'
Could not check C:\Programme\InstallShield Installation Information\{03EB79B7-2152-4C98-AEA0-254F881A3275}\data1.hdr (corrupt)
Could not check C:\Programme\InstallShield Installation Information\{1C27C64B-D5CF-4881-A310-0BD2A0D21927}\data1.hdr (corrupt)
Password protected file C:\WINDOWS\Adobe Reader 6.0.1\DEUBIG\Data1.cab\RdrMsgENU.pdf
Could not open C:\WINDOWS\SYSTEM32\CONFIG\SYSTEM.LOG

1 master boot record swept.
98118 files swept in 1 hour, 23 minutes and 2 seconds.
160 errors were encountered.
No viruses were discovered.
139 encrypted files were not checked.
Ending Sophos Anti-Virus.

==================================
lg
Vascond

Edit: Das System neu aufzusetzen traue ich mir dann doch nicht zu. Aber ich bin nahe davor, den ganzen PC-Krams in die Tonne zu werfen. Ich hoffe, Du kannst mir noch weiterhin helfen. Danke.

#10 wenn die C:\WINDOWS\SYSTEM32\.exe nicht mehr im Log von Combofix auftaucht - ist sie geloescht

Zitat

Nur beim SP2-Download gabs ein Problem. Hoffe, ich kann mir das morgen erklären lassen

welches prob ???
__________
MfG Sabina

rund um die PC-Sicherheit

#11 Ich hoffe, ich erwecke nicht den Eindruck, ich wäre denkfaul. Habe gerade im Thread gesucht, mit welchem Programm ich die Existenz von dem C:\WINDOWS\SYSTEM32\.exe nachprüfen kann. Ich komme langsam durcheinander mit den ganzen Hilfs-Progis hier. Und da ich nicht verstehe, was ich da mache arbeite ich deine Anweisungen ab

Hier nun das Ergebnis von ComboFix. Ich finde zwar die besagte Datei nicht mehr, aber trotzdem habe ich kein gutes Gefühl bei der Liste:

Ups, zu lang. Habs als .txt-Anhang

lg
Vascond

Edit:

Das SP2-Download-Problem: Während der Insatallation brach nach ca. 50 min die Verbindung ab. Leider fuhr die Installation nach erneutem Aufruf des WindowsUpdater entgegen dem Infotext nicht automatisch fort. Nach stundenlangem Suchen auf den Microsoft-Seiten habe ich weder Erklärungen zum Fehlercode noch einen Download-Link gefunden. Ich kam von einer Info-Seite zur nächsten. Selbst wenn da stand "Jetzt downloaden" war dahinter doch nur eine neue Info-Seite. Und das "SP2 für IT-Profis und Netzwerk-Admins" (oder so ähnlich) ist wohl nicht das passende für mich. Also habe ich über Systemsteuerung >> Software das (meiner Meinung nach nur zum Teil geladenen) SP2 deinstallieren lassen. Nach erneutem reboot des PC schickte ich WindowsUpdate wieder an die Arbeit. Es wurde mir (wie erhofft) wieder SP2 als Download angeraten. Das bestätigte ich. Aber ca. bei der Hälfte der Installation meldete das Download-Progi ein Problem mit der Installation von SP2, deinstallierte nahtlos alles bis dahin geladenen von SP2 völlig automatisch und erklärte mir am Ende dann „Windows XP wurde teilweise aktualisiert und funktioniert eventuell nicht richtig“.
Kannst Du nun verstehen, warum ich frustriert bin? Dazu meine Ahnunglosigkeit. Ich bin nicht so ein PC-Kenner. Ich will ihn nur benutzen, damit arbeiten/spielen.

Da es eine OEM-Version ist muss ich mich (lt. MS-Seiten) damit an DELL richten. Ich hoffe die können mir dazu was sagen.

lg
Vascond

#12 versuche es mal so: mein Computer - rechtsklick- Eigenschaften - dort findest du die automatischen Windowsupdates, setze das Haekchen und warte ab, ob Downloads automatisch erfolgen.
dann berichte
__________
MfG Sabina

rund um die PC-Sicherheit

#13 Lach mich ruhig aus, aber wo finde ich "mein Computer"???

#14 Arbeitsplatz-->Rechtsklick, dann auf Eigenschaften

rechtsklick - Eigenschaften





__________
MfG Sabina

rund um die PC-Sicherheit

#15 aso. heisst hier "Systemsteuerung >> System"
Ich habs mal auf 00:00 eingestellt und berichte dann, was passiert.

lg
Vascond