Probleme mit Spyware Quake

#1 Hi @ all,
nun ist es also soweit! So wie es auschaut hab ich mir heute meinen ersten Virus eingefangen! Auf einmal blinkt unter rechts in der Taskleiste ein kleiner roter Kreis mit Ausrufezeichen und ein gelbes Dreieck was ständig auf Malware hinweisst. Desweiteren haben sich einige Dateien wie "Security Toubleshooting" selbst installiert, und meine Firewall zeigt mir an das ständig irgendwelche Programme online gehen wollen.
Hab im Forum einen Thread gefunden der eine sehr sehr umfangreiche Problemlösung bietet, und in dem steht das ich mal lieber sämtliche Logfiles posten soll.
Hab bereits Clean Up durchgeführt.

Hier ist das Combofix Logfile:

ComboFix 06.11.27W - Running from: "C:\Programme\Mozilla Firefox"

(((((((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\ishost.exe
C:\WINDOWS\system32\ismini.exe
C:\WINDOWS\system32\isnotify.exe
C:\WINDOWS\system32\issearch.exe
C:\Programme\Gemeinsame Dateien\Yazzle1162OinAdmin.exe
C:\Programme\Gemeinsame Dateien\Yazzle1162OinUninstaller.exe
C:\WINDOWS\system32\ixt0.dll
C:\Programme\Safety Bar
C:\WINDOWS\system32\components

~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ Purity ~ ~ ~ ~ ~ ~ ~ ~~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~ ~

Folders Quarantined:

C:\QooBox\Purity\Dokumente und Einstellungen\Sir-Smokealot\Eigene Dateien\DOBE~1
C:\QooBox\Purity\Dokumente und Einstellungen\Sir-Smokealot\Eigene Dateien\DOBE~1\w?wexec.exe


((((((((((((((((((((((((((((((( Files Created from 2006-11-07 to 2006-12-07 ))))))))))))))))))))))))))))))))))


2006-12-07 03:30 <DIR> d-------- C:\Programme\CleanUp!
2006-12-07 01:26 276,532 ---hs---- C:\WINDOWS\system32\awtur.dll
2006-12-07 01:26 18,432 --a------ C:\WINDOWS\system32\mlraakb.dll
2006-12-07 01:21 56,832 --a------ C:\WINDOWS\system32\bdmbu.dll
2006-12-07 01:21 2 --a------ C:\WINDOWS\system32\wcpit.exe
2006-12-07 01:21 <DIR> d-------- C:\WINDOWS\àdobe
2006-12-07 01:20 72,704 --a------ C:\WINDOWS\system32\drvlum.dll
2006-12-07 01:20 40,973 ---hs---- C:\WINDOWS\system32\jkklmnl.dll
2006-12-07 01:20 19,456 --a------ C:\WINDOWS\system32\winvax32.dll
2006-12-07 01:00 57,344 --------- C:\WINDOWS\system32\MultiSZ.dll
2006-12-07 01:00 532,480 --------- C:\WINDOWS\system32\imagx5.dll
2006-12-07 01:00 507,904 --------- C:\WINDOWS\system32\imagr5.dll
2006-12-07 01:00 35,328 --------- C:\WINDOWS\system32\picn20.dll
2006-12-07 01:00 275,312 --------- C:\WINDOWS\system32\ImagXpr5.dll
2006-12-07 01:00 155,648 --------- C:\WINDOWS\system32\NeroCheck.exe
2006-12-07 01:00 106,496 --------- C:\WINDOWS\system32\TwnLib20.dll
2006-11-15 22:45 182,880 --a------ C:\WINDOWS\system32\iuengine.dll
2006-11-09 14:21 <DIR> d-------- C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\Mozilla
2006-11-09 14:20 <DIR> d-------- C:\Programme\Mozilla Firefox


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-12-07 03:52 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-12-07 01:52 -------- d-------- C:\Programme\AVPersonal
2006-12-07 01:10 -------- d-------- C:\Programme\Ahead
2006-12-01 04:30 -------- d-------- C:\Programme\NoAds
2006-11-28 12:26 -------- d-------- C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\Azureus
2006-11-26 18:35 -------- d-------- C:\Programme\eMule
2006-11-25 04:28 -------- d-------- C:\Programme\PokerStars
2006-11-02 14:41 -------- d-------- C:\Programme\Neuer Ordner (2)
2006-11-02 13:50 -------- d-------- C:\Programme\Miranda IM
2006-10-27 20:43 -------- d-------- C:\Programme\Google
2006-10-27 18:55 -------- d-------- C:\Programme\WinRAR
2006-10-27 15:06 -------- d-------- C:\Programme\Azureus
2006-10-23 22:47 -------- d-------- C:\Programme\Jap
2006-10-23 15:29 -------- d-------- C:\Programme\Java
2006-10-20 17:18 96 --a------ C:\WINDOWS\JSTART.BAT
2006-10-17 22:36 -------- d-------- C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\teamspeak2
2006-10-17 22:35 -------- d-------- C:\Programme\Teamspeak2_RC2
2006-10-17 22:09 -------- d-------- C:\Programme\netbeans-5.0
2006-10-17 21:58 -------- d-------- C:\Programme\Gemeinsame Dateien\InstallShield
2006-10-15 22:56 -------- d-------- C:\Programme\PacificPoker


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\run]
"st-tlk0272"="c:\\programme\\Webdialer\\tlk0272[1].exe -m"
"st-tlk0263"="c:\\programme\\Webdialer\\tlk0263[1].exe -m"
"NoAds"="\"C:\\Programme\\NoAds\\NoAds.exe\""
"swg"="C:\\Programme\\Google\\GoogleToolbarNotifier\\1.0.720.3640\\GoogleToolbarNotifier.exe"
"Cstm"="\"C:\\WINDOWS\\DOBE~1\\regedit.exe\" -vt yazb"
"Wkcpien"="C:\\Dokumente und Einstellungen\\Sir-Smokealot\\Eigene Dateien\\?dobe\\w?wexec.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run]
"NVIDIA nForce APU1 Utilities"="NVATray.exe"
"wcmdmgr"="C:\\WINDOWS\\wt\\wcmdmgrl.exe -launch"
"NvCplDaemon"="RUNDLL32.EXE NvQTwk,NvCplDaemon initialize"
"T-DSL SpeedMgr"="\"C:\\PROGRA~1\\T-DSLS~1\\SpeedMgr.exe\""
"QuickTime Task"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"RAM_DEFRAG"=""
"TPP Auto Loader"="C:\\WINDOWS\\tppaldr.exe"
"PivotSoftware"="\"C:\\Programme\\WinPortrait\\wpctrl.exe\""
"AVGCtrl"="C:\\Programme\\AVPersonal\\AVGNT.EXE /min"
"EPSON Stylus C64 Series"="C:\\WINDOWS\\System32\\spool\\DRIVERS\\W32X86\\3\\E_S10IC2.EXE /P23 \"EPSON Stylus C64 Series\" /O5 \"LPT1:\" /M \"Stylus C64\""
"WinampAgent"="C:\\Programme\\WinampPro\\winampa.exe"
"TkBellExe"="\"C:\\Programme\\Gemeinsame Dateien\\Real\\Update_OB\\realsched.exe\" -osboot"
"SunJavaUpdateSched"="\"C:\\Programme\\Java\\jre1.5.0_09\\bin\\jusched.exe\""
"Zone Labs Client"="\"C:\\Zone Labs\\ZoneAlarm\\zlclient.exe\""
"NeroCheck"="C:\\WINDOWS\\system32\\NeroCheck.exe"
"CTDrive"="rundll32.exe C:\\WINDOWS\\System32\\drvlum.dll,startup"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MAPI]
"NoChange"="1"
"Installed"="1"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000001

[HKEY_CURRENT_USER\software\microsoft\internet explorer\desktop\components\0]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,00,04,00,00,00,\
00,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=hex:04,00,00,40
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.default\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\run]
"CTFMON.EXE"="C:\\WINDOWS\\System32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler]
"{438755C2-A8BA-11D1-B96B-00A0C90312E1}"="Browseui preloader"
"{8C7461EF-2B13-11d2-BE35-3078302C2030}"="Component Categories cache daemon"
"{9cc1c589-4b22-4dae-8e12-4c3b5fa12b3f}"="gloomily"

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer\run]
"ishost.exe"="ishost.exe"
"issearch.exe"="issearch.exe"
"kernel32.dll"="C:\\WINDOWS\\System32\\isnotify.exe"

[HKEY_USERS\.default\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\s-1-5-18\software\microsoft\windows\currentversion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\shellserviceobjectdelayload]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"
"gloomily"="{9cc1c589-4b22-4dae-8e12-4c3b5fa12b3f}"

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\awtur
HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\winvax32

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders]
"SecurityProviders"="msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll"


Contents of the 'Scheduled Tasks' folder
C:\WINDOWS\tasks\Symantec NetDetect.job

Completion time: 06-12-07 3:53:02.44
C:\ComboFix.txt ... 06-12-07 03:53

Als nächstes mal das HijackThis Log:


Logfile of HijackThis v1.99.1
Scan saved at 04:46:05, on 07.12.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\System32\NVATray.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\tppaldr.exe
C:\Programme\WinPortrait\wpctrl.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programme\WinampPro\winampa.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\NoAds\NoAds.exe
C:\WINDOWS\DOBE~1\regedit.exe
C:\WINDOWS\wt\wcmdmgr.exe
C:\Programme\WinPortrait\floater.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\explorer.exe
C:\Programme\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/
R3 - URLSearchHook: (no name) - {4FCCCCAC-2918-04C2-4875-78923D2089C5} - C:\WINDOWS\System32\bdmbu.dll
R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)
O2 - BHO: biObj Class - {000006B1-19B5-414A-849F-2A3C64AE6939} - C:\WINDOWS\bi.dll (file missing)
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)
O2 - BHO: (no name) - {4FCCCCAC-2918-04C2-4875-78923D2089C5} - C:\WINDOWS\System32\bdmbu.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: (no name) - {F3F4BF3D-C906-4003-8589-DEEB1D8C020A} - C:\WINDOWS\System32\awtur.dll (file missing)
O2 - BHO: (no name) - {f4d74aaa-a178-4463-846b-b4bc87a024e0} - C:\WINDOWS\System32\ixt0.dll (file missing)
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: Safety Bar - {18668683-731c-48fa-b1b9-ad013748fb00} - C:\Programme\Safety Bar\SafetyBar.dll (file missing)
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TPP Auto Loader] C:\WINDOWS\tppaldr.exe
O4 - HKLM\..\Run: [PivotSoftware] "C:\Programme\WinPortrait\wpctrl.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C64 Series" /O5 "LPT1:" /M "Stylus C64"
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\WinampPro\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\System32\drvlum.dll,startup
O4 - HKCU\..\Run: [st-tlk0272] c:\programme\Webdialer\tlk0272[1].exe -m
O4 - HKCU\..\Run: [st-tlk0263] c:\programme\Webdialer\tlk0263[1].exe -m
O4 - HKCU\..\Run: [NoAds] "C:\Programme\NoAds\NoAds.exe"
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
O4 - HKCU\..\Run: [Cstm] "C:\WINDOWS\DOBE~1\regedit.exe" -vt yazb
O4 - HKCU\..\Run: [Wkcpien] C:\Dokumente und Einstellungen\Sir-Smokealot\Eigene Dateien\?dobe\w?wexec.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O21 - SSODL: gloomily - {9cc1c589-4b22-4dae-8e12-4c3b5fa12b3f} - C:\WINDOWS\System32\mlraakb.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe


Bitte um Hilfe wo das Problem liegen könnte und was als nächstes zu tun ist.

Schon mal Danke im Vorraus,

Mfg Trust


PS: Roguescanfix hab ich auch ausgeführt.
Hat folgendes angezeigt:


BFU v1.00.9
Windows XP (WinNT 5.01.2600 )
Script started at 05:01:52, on 07.12.2006

Option pause between commands: 100 ms
Failed: FileDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\Microsoft\Internet Explorer\QuickLaunch\SpyFalcon*.* (operation failed)
Failed: FileDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\Microsoft\Internet Explorer\QuickLaunch\SpywareQuake*.* (operation failed)
Failed: FileDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Anwendungsdaten\Microsoft\Internet Explorer\QuickLaunch\Spyware Sherif*.* (operation failed)
Failed: FolderDelete C:\Programme\eMedia Codec (folder not found)
Failed: FolderDelete C:\Programme\Media-Codec (folder not found)
Failed: FolderDelete C:\Programme\spyfalcon (folder not found)
Failed: FolderDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Startmenü\Programme\SpyFalcon (folder not found)
Failed: FolderDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Startmenü\Programme\SpywareQuake (folder not found)
Failed: FolderDelete C:\Programme\SpywareQuake (folder not found)
Failed: FolderDelete C:\WINDOWS\System32\1024 (folder not found)
Failed: FolderDelete C:\Programme\Trust Cleaner (folder not found)
Failed: FolderDelete C:\Programme\TrustIn Contextual (folder not found)
Failed: FolderDelete C:\Programme\TrustIn Bar (folder not found)
Failed: FolderDelete C:\Programme\TrustIn Popups (folder not found)
Failed: FolderDelete C:\Programme\TrustIn Search (folder not found)
Failed: FolderDelete C:\Programme\SpywareQuake.com (folder not found)
Failed: FolderDelete C:\Programme\SpywareStrike (folder not found)
Failed: FolderDelete C:\Programme\SpyQuake2.com (folder not found)
Failed: FolderDelete C:\Dokumente und Einstellungen\Sir-Smokealot\Startmenü\Programme\SpyQuake2.com (folder not found)
Failed: FolderDelete C:\Programme\IntCodec (folder not found)
Failed: FolderDelete C:\Programme\virusburst (folder not found)
Failed: FolderDelete C:\Programme\virus-burst (folder not found)
Failed: FolderDelete C:\Programme\strCodec (folder not found)
Failed: FolderDelete C:\Programme\vb (folder not found)
Failed: FolderDelete C:\Programme\virusburster (folder not found)
Failed: FolderDelete C:\Programme\virusbursters (folder not found)
Script completed.

#2 Trust

Kopiere diese 6 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Danke erstmal,
hier die Dateien aus System32 der letzten 3 Monate:

Datentr„ger in Laufwerk C: ist HIRN
Volumeseriennummer: FC0D-B979

Verzeichnis von C:\WINDOWS\system32

07.12.2006 11:18 48.882 vsconfig.xml
07.12.2006 11:17 456 miniPortInfo.dat
07.12.2006 03:34 0 mcrh.tmp
07.12.2006 01:32 9.158 TitanPokerIconDropTRA108.ico
07.12.2006 01:26 4.286 ot.ico
07.12.2006 01:26 4.286 ts.ico
07.12.2006 01:21 2 wcpit.exe
07.12.2006 01:20 72.704 drvlum.dll
07.12.2006 01:20 40.973 jkklmnl.dll
07.12.2006 00:59 106.496 TwnLib20.dll
07.12.2006 00:59 35.328 picn20.dll
07.12.2006 00:59 275.312 ImagXpr5.dll
07.12.2006 00:59 532.480 imagx5.dll
07.12.2006 00:59 507.904 imagr5.dll
07.12.2006 00:59 155.648 NeroCheck.exe
07.12.2006 00:59 57.344 MultiSZ.dll
06.12.2006 18:36 2.184 wpa.dbl
06.12.2006 15:07 56.832 bdmbu.dll
01.11.2006 02:12 311.604 perfh009.dat
01.11.2006 02:12 39.992 perfc009.dat
01.11.2006 02:12 316.594 perfh007.dat
01.11.2006 02:12 48.156 perfc007.dat
01.11.2006 02:12 723.744 PerfStringBackup.INI
23.10.2006 22:34 4.212 zllictbl.dat
17.10.2006 22:35 34.064 lhacm.acm
17.10.2006 22:12 8.775 jupdate-1.5.0_09-b01.log
07.09.2006 14:51 127.078 javaws.exe
07.09.2006 14:51 49.265 jpicpl32.cpl
07.09.2006 13:14 53.346 javaw.exe
07.09.2006 13:14 49.248 java.exe


Nun der Temp Ordner:

Verzeichnis von C:\DOKUME~1\SIR-SM~1\LOKALE~1\Temp

07.12.2006 11:30 344 jusched.log
07.12.2006 11:25 16.384 Perflib_Perfdata_230.dat
07.12.2006 11:25 16.384 Perflib_Perfdata_100.dat
3 Datei(en) 33.112 Bytes
0 Verzeichnis(se), 1.461.379.072 Bytes frei


Verzeichnis von C:\WINDOWS

07.12.2006 18:39 8.704 Thumbs.db
07.12.2006 11:35 1.409 QTFont.for
07.12.2006 11:35 54.156 QTFont.qfn
07.12.2006 11:18 0 0.log
07.12.2006 11:18 2.118 ModemLog_Kommunikationskabel zwischen zwei Computern.txt
07.12.2006 11:17 2.048 bootstat.dat
07.12.2006 11:16 32.520 SchedLgU.Txt
07.12.2006 03:19 438.965 setupapi.log
07.12.2006 00:59 52.517 UNNERO.cfg
06.12.2006 20:12 147 winamp.ini
05.12.2006 05:03 216 wiadebug.log
01.12.2006 17:34 50 wiaservc.log
01.12.2006 05:06 1.132 win.ini
28.11.2006 07:44 352.321.536 MEMORY.DMP
15.11.2006 22:46 44.782 Windows Update.log
13.11.2006 15:03 1.152 mozver.dat
09.11.2006 14:21 0 nsreg.dat
20.10.2006 17:19 1.693 Java.lnk
20.10.2006 17:18 96 JSTART.BAT
15.10.2006 16:32 422.422 ntbtlog.txt
25.08.2006 17:20 325 nsw.log
17.08.2006 18:49 54.289 setupact.log


Verzeichnis von C:\WINDOWS\Temp

07.12.2006 11:18 256 ZLT0492d.TMP
07.12.2006 11:18 256 ZLT04916.TMP
2 Datei(en) 512 Bytes
0 Verzeichnis(se), 1.456.939.008 Bytes frei


erzeichnis von C:\WINDOWS\Downloaded Program Files

07.06.2006 10:09 1.249 erma.inf
30.06.2003 21:41 1.689 WMV9VCM.inf
07.05.2003 22:14 227 ISTactivex.inf
28.12.2002 15:27 65 desktop.ini
06.12.2002 17:28 8.724.560 QuickTimeInstallCache.qdat
5 Datei(en) 8.727.790 Bytes
0 Verzeichnis(se), 1.456.939.008 Bytes frei


sys.txt:


Verzeichnis von C:\

07.12.2006 18:54 0 sys.txt
07.12.2006 18:53 498 down.txt
07.12.2006 18:53 318 tmp.txt
07.12.2006 18:49 6.990 system.txt
07.12.2006 18:48 410 systemtemp.txt
07.12.2006 18:45 95.180 system32.txt
07.12.2006 11:17 352.321.536 pagefile.sys
07.12.2006 04:30 638 VundoFix.txt
07.12.2006 03:53 9.160 ComboFix.txt
13.11.2006 20:36 84 RobotError.log
06.10.2006 15:58 10.240 StdPlanWS0607_alg.xls

#4 Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein

Zitat

Registry values to delete:
HKLM\software\microsoft\windows\currentversion\run|CTDrive
HKLM\SOFTWARE\Microsoft\Internet Explorer\Toolbar|{18668683-731c-48fa-b1b9-ad013748fb00}
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run|isamonitor.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run|pmsngr.exe
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run|kernel32.dll
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\run|ishost.exe
HKLM\software\microsoft\windows\currentversion\shellserviceobjectdelayload|gloomily
HKLM\software\microsoft\windows\currentversion\explorer\sharedtaskscheduler|{9cc1c589-4b22-4dae-8e12-4c3b5fa12b3f}

registry keys to delete:
HKLM\SOFTWARE\Classes\CLSID\{9cc1c589-4b22-4dae-8e12-4c3b5fa12b3f}

Files to delete:
C:\WINDOWS\system32\mcrh.tmp
C:\WINDOWS\system32\TitanPokerIconDropTRA108.ico
C:\WINDOWS\system32\ot.ico
C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\wcpit.exe
C:\WINDOWS\system32\drvlum.dll
C:\WINDOWS\system32\jkklmnl.dll
C:\WINDOWS\system32\bdmbu.dll

Folders to delete:
C:\WINDOWS\àdobe
c:\programme\Webdialer

Klicke die grüne Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

»»
lösche das Backup vom Avenger unter C:\Avenger\backup.zip + leere den Papierkorb

««
scanne mit smitfraudfix - Option 1 und 2 ( lasse auch die Registry mitreinigen)
http://virus-protect.org/artikel/tools/smitfrautfix.html

««
öffne das HijackThis -- Button "scan" -- vor diese Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

Zitat

R3 - URLSearchHook: (no name) - {4FCCCCAC-2918-04C2-4875-78923D2089C5} - C:\WINDOWS\System32\bdmbu.dll

R3 - URLSearchHook: (no name) - _{CFBFAE00-17A6-11D0-99CB-00C04FD64497} - (no file)

O2 - BHO: biObj Class - {000006B1-19B5-414A-849F-2A3C64AE6939} - C:\WINDOWS\bi.dll (file missing)

O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - (no file)

O2 - BHO: (no name) - {4FCCCCAC-2918-04C2-4875-78923D2089C5} - C:\WINDOWS\System32\bdmbu.dll

O2 - BHO: (no name) - {F3F4BF3D-C906-4003-8589-DEEB1D8C020A} - C:\WINDOWS\System32\awtur.dll (file missing)

O2 - BHO: (no name) - {f4d74aaa-a178-4463-846b-b4bc87a024e0} - C:\WINDOWS\System32\ixt0.dll (file missing)

O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\System32\drvlum.dll,startup

O4 - HKCU\..\Run: [st-tlk0272] c:\programme\Webdialer\tlk0272[1].exe -m
O4 - HKCU\..\Run: [st-tlk0263] c:\programme\Webdialer\tlk0263[1].exe -m

O4 - HKCU\..\Run: [NoAds] "C:\Programme\NoAds\NoAds.exe"

O4 - HKCU\..\Run: [Cstm] "C:\WINDOWS\DOBE~1\regedit.exe" -vt yazb

O4 - HKCU\..\Run: [Wkcpien] C:\Dokumente und Einstellungen\Sir-Smokealot\Eigene Dateien\?dobe\w?wexec.exe

»»
scanne und poste den scanreport
http://virus-protect.org/ewido.html
__________
MfG Sabina

rund um die PC-Sicherheit

#5 Ok, alles erledigt.
Bei Hijack war
O4 - HKLM\..\Run: [CTDrive] rundll32.exe C:\WINDOWS\System32\drvlum.dll,startup
nicht vorhanden.


Logfile of HijackThis v1.99.1
Scan saved at 21:10:07, on 07.12.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\NVATray.exe
C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe
C:\Programme\QuickTime\qttask.exe
C:\WINDOWS\tppaldr.exe
C:\Programme\WinPortrait\wpctrl.exe
C:\Programme\AVPersonal\AVGNT.EXE
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE
C:\Programme\WinampPro\winampa.exe
C:\WINDOWS\wt\wcmdmgr.exe
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Java\jre1.5.0_09\bin\jusched.exe
C:\Zone Labs\ZoneAlarm\zlclient.exe
C:\Programme\AVPersonal\AVGUARD.EXE
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\notepad.exe
C:\Programme\WinPortrait\floater.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\WINDOWS\notepad.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\notepad.exe
C:\Programme\HijackThis\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page_bak = http://www.google.de/
O2 - BHO: Yahoo! Toolbar Helper - {02478D38-C3F9-4EFB-9B51-7695ECA05670} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: Yahoo! Toolbar - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Companion\Installs\cpn\yt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O4 - HKLM\..\Run: [NVIDIA nForce APU1 Utilities] NVATray.exe
O4 - HKLM\..\Run: [wcmdmgr] C:\WINDOWS\wt\wcmdmgrl.exe -launch
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [T-DSL SpeedMgr] "C:\PROGRA~1\T-DSLS~1\SpeedMgr.exe"
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [TPP Auto Loader] C:\WINDOWS\tppaldr.exe
O4 - HKLM\..\Run: [PivotSoftware] "C:\Programme\WinPortrait\wpctrl.exe"
O4 - HKLM\..\Run: [AVGCtrl] C:\Programme\AVPersonal\AVGNT.EXE /min
O4 - HKLM\..\Run: [EPSON Stylus C64 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_S10IC2.EXE /P23 "EPSON Stylus C64 Series" /O5 "LPT1:" /M "Stylus C64"
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\WinampPro\winampa.exe
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.5.0_09\bin\jusched.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [a-squared] "C:\Programme\a-squared Anti-Malware\a2guard.exe"
O4 - HKCU\..\Run: [st-tlk0272] c:\programme\Webdialer\tlk0272[1].exe -m
O4 - HKCU\..\Run: [st-tlk0263] c:\programme\Webdialer\tlk0263[1].exe -m
O4 - HKCU\..\Run: [swg] C:\Programme\Google\GoogleToolbarNotifier\1.0.720.3640\GoogleToolbarNotifier.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_09\bin\ssv.dll
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

#6 poste und noch mal die 6 logs von datfindbat - und ich wuerde auch gern den scanreport vom ewido/AVG Anti-Spyware hier sehen
__________
MfG Sabina

rund um die PC-Sicherheit

#7 Also so wie's ausschaut ist das Problem behoben! Keine blinkenden Warnungen mehr, und die selbsinstallierten Programme sind auch verschwunden! (-:
Vielen Dank erstmal an Sabina für die schnelle Hilfe!
Ist es trotzdem noch nötig die 6 logs von datfindbat zu posten?

Mfg
Trust

#8 fixe mit dem HijackThis:

Zitat

O4 - HKCU\..\Run: [st-tlk0272] c:\programme\Webdialer\tlk0272[1].exe -m
O4 - HKCU\..\Run: [st-tlk0263] c:\programme\Webdialer\tlk0263[1].exe -m

dann musst du selbst wissen, ob ich noch mal nachschauen muss oder nicht...
uebrigens - mache die Windowsupdates - ein zweites mal reinige ich keinen voellig ungepatchten Rechner
__________
MfG Sabina

rund um die PC-Sicherheit

#9 Ok, ist vielleicht doch besser...

Verzeichnis von C:\WINDOWS\system32

07.12.2006 23:53 48.882 vsconfig.xml
07.12.2006 23:52 456 miniPortInfo.dat
07.12.2006 21:02 0 tmp.txt
07.12.2006 21:02 3.178 tmp.reg
07.12.2006 00:59 106.496 TwnLib20.dll
07.12.2006 00:59 35.328 picn20.dll
07.12.2006 00:59 275.312 ImagXpr5.dll
07.12.2006 00:59 532.480 imagx5.dll
07.12.2006 00:59 507.904 imagr5.dll
07.12.2006 00:59 155.648 NeroCheck.exe
07.12.2006 00:59 57.344 MultiSZ.dll
06.12.2006 18:36 2.184 wpa.dbl
01.12.2006 05:20 79.360 swxcacls.exe
28.11.2006 12:23 224.768 b4fm.dll
01.11.2006 02:12 39.992 perfc009.dat
01.11.2006 02:12 311.604 perfh009.dat
01.11.2006 02:12 48.156 perfc007.dat
01.11.2006 02:12 316.594 perfh007.dat
01.11.2006 02:12 723.744 PerfStringBackup.INI
23.10.2006 22:34 4.212 zllictbl.dat
17.10.2006 22:35 34.064 lhacm.acm
17.10.2006 22:12 8.775 jupdate-1.5.0_09-b01.log
07.09.2006 14:51 127.078 javaws.exe
07.09.2006 14:51 49.265 jpicpl32.cpl
07.09.2006 13:14 53.346 javaw.exe
07.09.2006 13:14 49.248 java.exe


Verzeichnis von C:\DOKUME~1\SIR-SM~1\LOKALE~1\Temp

07.12.2006 23:58 342 jusched.log
07.12.2006 23:53 16.384 Perflib_Perfdata_750.dat
2 Datei(en) 16.726 Bytes
0 Verzeichnis(se), 5.627.064.320 Bytes frei


Verzeichnis von C:\WINDOWS

07.12.2006 23:53 2.118 ModemLog_Kommunikationskabel zwischen zwei Computern.txt
07.12.2006 23:53 0 0.log
07.12.2006 23:53 54.156 QTFont.qfn
07.12.2006 23:53 2.048 bootstat.dat
07.12.2006 23:52 32.520 SchedLgU.Txt
07.12.2006 23:09 229.052 Burn4Free_Toolbar_Uninstaller_7792.exe
07.12.2006 21:02 54.349 setupact.log
07.12.2006 20:53 1.409 QTFont.for
07.12.2006 18:39 8.704 Thumbs.db
07.12.2006 03:19 438.965 setupapi.log
07.12.2006 00:59 52.517 UNNERO.cfg
06.12.2006 20:12 147 winamp.ini
05.12.2006 05:03 216 wiadebug.log
01.12.2006 17:34 50 wiaservc.log
01.12.2006 05:06 1.132 win.ini
28.11.2006 07:44 352.321.536 MEMORY.DMP
15.11.2006 22:46 44.782 Windows Update.log
13.11.2006 15:03 1.152 mozver.dat
09.11.2006 14:21 0 nsreg.dat
20.10.2006 17:19 1.693 Java.lnk
20.10.2006 17:18 96 JSTART.BAT
15.10.2006 16:32 422.422 ntbtlog.txt
25.08.2006 17:20 325 nsw.log


Verzeichnis von C:\WINDOWS\Temp

07.12.2006 23:53 256 ZLT00b70.TMP
07.12.2006 23:53 256 ZLT00b60.TMP
07.12.2006 20:53 256 ZLT00154.TMP
07.12.2006 11:18 256 ZLT0492d.TMP
07.12.2006 11:18 256 ZLT04916.TMP
5 Datei(en) 1.280 Bytes
0 Verzeichnis(se), 5.627.052.032 Bytes frei

Verzeichnis von C:\WINDOWS\Downloaded Program Files

07.06.2006 10:09 1.249 erma.inf
30.06.2003 21:41 1.689 WMV9VCM.inf
07.05.2003 22:14 227 ISTactivex.inf
28.12.2002 15:27 65 desktop.ini
06.12.2002 17:28 8.724.560 QuickTimeInstallCache.qdat
5 Datei(en) 8.727.790 Bytes
0 Verzeichnis(se), 5.627.052.032 Bytes frei

Verzeichnis von C:\

08.12.2006 00:10 0 sys.txt
08.12.2006 00:10 498 down.txt
08.12.2006 00:10 468 tmp.txt
08.12.2006 00:09 7.066 system.txt
08.12.2006 00:08 348 systemtemp.txt
08.12.2006 00:08 95.216 system32.txt
07.12.2006 23:53 352.321.536 pagefile.sys
07.12.2006 21:03 1.249 rapport.txt
07.12.2006 20:53 6.702 avenger.txt
07.12.2006 04:30 638 VundoFix.txt
07.12.2006 03:53 9.160 ComboFix.txt
13.11.2006 20:36 84 RobotError.log
06.10.2006 15:58 10.240 StdPlanWS0607_alg.xls



Ach ja, die Windows Updates funktionieren bei mir leider nicht. Hab den Rechner vor einiger Zeit von nem Kumpel übernommen und hab den Verdacht das da was mit der Seriennummer nicht passt )-:
Da ich aber seit 2 Monaten Wirtschftsinformatik studiere und wir von der Uni aus sämtliche Programme umsonst bekommen könnte ich da für Abhilfe sorgen. Nur dann müsst ich halt deswegen alles neu installieren. Gibts da nicht irgend einen gleichwertigen Schutz?

#10 Avenger

Zitat

Files to delete:
C:\WINDOWS\system32\b4fm.dll
C:\WINDOWS\Burn4Free_Toolbar_Uninstaller_7792.exe
C:\WINDOWS\Downloaded Program Files\ISTactivex.inf

Folders to delete:
c:\programme\Webdialer
c:\programme\Burn4Free

dann sollte wieder alles mehr oder wenigeri.o. sein - denke an die Windowsupdates und fixe die obrigen zwei Eintraege mit hijacktHis

http://www.sophos.de/security/analyses/burn4free.html
__________
MfG Sabina

rund um die PC-Sicherheit

#11 Mhh, das Burn 4 free möchte ich aber ungern löschen. Hab ich gerade erst runtergeladen da mein veraltertes Nero meinen neuen Brenner nicht unterstützt, und mit Burn4Free hat's wunderbar geklappt.
Wegen Windowsupdates siehe edit oben...