WinAntiVirus Pro 2006

#1 Hallo allerseits,
mein Problem ist folgendes. Vor einigen Tagen habe ich mir ein Tool runtergeladen, dass wohl verseucht war. Das Tool hatte ich zwar mit Avast gescannt, doch der hat nichts gefunden. Deshalb hatte ich es auch entzippt.
Letztendlich war das wohl der Fehler. Denn danach meldete Avast folgende
Trojaner und Viren;
JS: Class Loader 7
Win 32: Tiny-IF
Win 32: Virtomande.BB
Win 32: Agent - Ist(Trj)

Einige konnte ich wohl - nehme ich an, durch Avast, Stinger, Trend Micro, CleanUp, RegSupreme und Spybot löschen.

Am Anfang war das Problem heftig, Pop-Up und WinAntivirus meldeten sich ständig. Gott sei Dank, hab ich kein Pop -up sowie Win.... angeklickt.

Doch jetzt nachdem einige Viren/Trojaner gelöscht sind, melden sie hin wieder mal. Der IE 6 ist wohl mit Trojanern behaftet.
Bloß jetzt bin ich mit meinem Latein am Ende und bräuchte Eure Hilfe.

Als Vorarbeit arbeite ich folgende Sacheen ab:

1) ATF Cleaner benutzt.

2) Combo Fix2007-07-07 18:21:00 - ComboFix 07-07-07.3 - Service Pack 2


(((((((((((((((((((((((((((((((((((((((((((( V Log )))))))))))))))))))))))))))))))))))))))))))))))))))))))


C:\WINDOWS\system32\qytainhn.exe
C:\WINDOWS\system32\nqtss.bak1
C:\WINDOWS\system32\nqtss.ini
C:\WINDOWS\system32\nqtss.bak1
C:\WINDOWS\system32\nqtss.ini
C:\WINDOWS\system32\pmnnmki.dll
C:\WINDOWS\system32\sstqn.dll


* * * POST RUN FILES/FOLDERS * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * * *



((((((((((((((((((((((((((((((((((((((( Other Deletions )))))))))))))))))))))))))))))))))))))))))))))))))


C:\DOKUME~1\ANDREA~1\Desktop\internet.lnk
C:\WINDOWS\regedit.com
C:\WINDOWS\system32\taskmgr.com


((((((((((((((((((((((((( Files Created from 2007-06-07 to 2007-07-07 )))))))))))))))))))))))))))))))


2007-07-07 18:20 51,200 --a------ C:\WINDOWS\nircmd.exe
2007-07-06 20:06 5 --ahs---- C:\WINDOWS\system32\ccdafcfdcca_g.dll
2007-07-06 20:06 <DIR> d-------- C:\Programme\RegSupreme
2007-07-06 19:07 <DIR> d-------- C:\WINDOWS\system32\NtmsData
2007-07-06 07:23 110,304 --a------ C:\WINDOWS\system32\drivers\ACEDRV09.sys
2007-07-05 19:30 <DIR> d-------- C:\DOKUME~1\ALLUSE~1\ANWEND~1\MAGIX
2007-07-04 09:19 <DIR> d-------- C:\WINDOWS\system32\MAGIX
2007-06-26 17:11 <DIR> d-------- C:\Programme\DVDFab HD Decrypter 3
2007-06-26 11:39 34,308 --a------ C:\WINDOWS\system32\Chip.dll
2007-06-21 20:36 <DIR> d-------- C:\Programme\inKline Global
2007-06-07 19:48 86,016 --------- C:\WINDOWS\system32\ElbyCDIO.dll


(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-07-07 16:22:46 288 ----a-w C:\WINDOWS\system32\DVCStateBkp-{00000005-00000000-00000008-00001102-00000004-10021102}.dat
2007-07-07 16:22:46 288 ----a-w C:\WINDOWS\system32\DVCState-{00000005-00000000-00000008-00001102-00000004-10021102}.dat
2007-07-06 06:21:50 -------- d-----w C:\DOKUME~1\ANDREA~1\ANWEND~1\Azureus
2007-07-02 16:47:48 -------- d-----w C:\DOKUME~1\ANDREA~1\ANWEND~1\dvdcss
2007-06-26 11:10:27 -------- d-----w C:\Programme\SlySoft
2007-06-21 18:36:19 -------- d--h--w C:\Programme\InstallShield Installation Information
2007-05-30 16:09:39 96,968 ----a-w C:\WINDOWS\system32\drivers\AnyDVD.sys
2007-04-30 15:46:10 745,600 ----a-w C:\WINDOWS\system32\aswBoot.exe
2007-04-30 15:35:28 95,872 ----a-w C:\WINDOWS\system32\AVASTSS.scr
2007-04-19 16:44:05 49,364 ----a-w C:\WINDOWS\system32\perfc007.dat
2007-04-19 16:44:05 320,434 ----a-w C:\WINDOWS\system32\perfh007.dat
2007-04-18 16:13:24 2,854,400 ----a-w C:\WINDOWS\system32\msi.dll


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}]
2001-03-02 13:02 37808 --a------ C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{53707962-6F74-2D53-2644-206D7942484F}]
2005-05-31 02:04 853672 --a------ C:\Programme\Spybot - Search & Destroy\SDHelper.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{72853161-30C5-4D22-B7F9-0BBC1D38A37E}]
2006-10-27 01:48 2210608 --a------ C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AA58ED58-01DD-4d91-8333-CF10577473F7}]
2007-01-20 00:55 2427968 -ra------ c:\programme\google\googletoolbar3.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{AF69DE43-7D58-4638-B6FA-CE66B5AD205D}]
2007-07-01 17:21 325048 --a------ C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{BB21D5B0-6205-6A08-22AC-0DD168C45A09}]

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{C333CF63-767F-4831-94AC-E683D962C63C}]
2005-11-30 04:35 65536 --a------ C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll

[HKEY_LOCAL_MACHINE\~\Browser Helper Objects\{E99421FB-68DD-40F0-B4AC-B7027CAE2F1A}]
2004-02-10 14:08 339968 --a------ C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTStartup"="C:\Programme\Creative\Splash Screen\CTEaxSpl.exe" [2002-09-13 02:04]
"avast!"="C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe" [2007-04-30 17:42]
"itype"="C:\Programme\Microsoft IntelliType Pro\itype.exe" [2006-07-08 01:14]
"IntelliPoint"="C:\Programme\Microsoft IntelliPoint\ipoint.exe" [2006-07-08 01:15]

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"H/PC Connection Agent"="C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE" [2004-02-03 23:16]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\runonce]
"CTStartup"="C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /play

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\explorer]
@=

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks]
"{03A80B1D-5C6A-42c2-9DFB-81B6005D8023}"="C:\Programme\Trend Micro\Tmas\sshook.dll" [2006-03-11 16:32]
"{B5A7F190-DDA6-4420-B3BA-52453494E6CD}"="C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL" [2006-10-27 01:48]

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=C:\WINDOWS\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^SATARAID5.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\SATARAID5.lnk
backup=C:\WINDOWS\pss\SATARAID5.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Trend Micro Anti-Spyware.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Trend Micro Anti-Spyware.lnk
backup=C:\WINDOWS\pss\Trend Micro Anti-Spyware.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupfolder\C:^Dokumente und Einstellungen^Andreas Reinecke^Startmenü^Programme^Autostart^PowerReg Scheduler.exe]
path=C:\Dokumente und Einstellungen\Andreas Reinecke\Startmenü\Programme\Autostart\PowerReg Scheduler.exe
backup=C:\WINDOWS\pss\PowerReg Scheduler.exeStartup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AnyDVD]
C:\Programme\SlySoft\AnyDVD\AnyDVD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\AsioReg]
REGSVR32.EXE /S CTASIO.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BDMCon]
"C:\Programme\Softwin\BitDefender8\bdmcon.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BDNewsAgent]
"C:\Programme\Softwin\BitDefender8\bdnagent.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Creative MediaSource Go]
C:\Programme\Creative\MediaSource\GO\CTCMSGo.exe /SCB

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTDVDDet]
C:\Programme\Creative\SBAudigy2\DVDAudio\CTDVDDet.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTFMON.EXE]
C:\WINDOWS\system32\ctfmon.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTHelper]
CTHELPER.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CTSysVol]
C:\Programme\Creative\SBAudigy2\Surround Mixer\CTSysVol.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\DAEMON Tools]
"C:\Programme\DAEMON Tools\daemon.exe" -lang 1033

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\EA Core]
C:\Programme\Electronic Arts\EA Downloader\Core.exe -silent

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\eMuleAutoStart]
F:\Programme\Saug Programme\Neuer EMULe\eMule\emule.exe -AutoStart

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\GrooveMonitor]
"C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\H/PC Connection Agent]
"C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ICQ Lite]
F:\Programme\ICQLite\ICQLite.exe -minimize

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\InCD]
C:\Programme\Ahead\InCD\InCD.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
"C:\Programme\Messenger\msmsgs.exe" /background

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NBJ]
"C:\Programme\Ahead\Nero BackItUp\NBJ.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NetPumper]
"F:\Programme\Anti Leech\NetPumper\NetPumperIEProxy.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\RemoteControl]
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SBDrvDet]
C:\Programme\Creative\SB Drive Det\SBDrvDet.exe /r

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\scrmpeg]
C:\DOKUME~1\ANDREA~1\ANWEND~1\HOLEGR~1\Part Ball Idle.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SIXTH FAST ONCE LONG]
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\keep 64 sixth fast\heck idol.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
SOUNDMAN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SpybotSD TeaTimer]
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Start WingMan Profiler]
"C:\Programme\Logitech\Profiler\lwemon.exe" /noui

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\STYLEXP]
C:\Programme\TGTSoft\StyleXP\StyleXP.exe -Hide

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
C:\Programme\Java\j2re1.4.2_04\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\swg]
C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TerraTec Remote Control]
"C:\Programme\Gemeinsame Dateien\TerraTec\Remote\TTTVRC.exe"

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ToADiMon.exe]
C:\T-ONLINE\BSW4\ToADiMon.exe -TOnlineAutodialStart

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\UpdReg]
C:\WINDOWS\UpdReg.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
C:\Programme\Winamp\winampa.exe
HKEY_LOCAL_MACHINE\Software\Microsoft\Windows NT\CurrentVersion\Svchost - netsvcs
UxTuneUp


[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{35cc04fc-9993-11da-a4f3-806d6172696f}]
AutoRun\command- C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL index.html

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{6a2f833a-9bd6-11da-a21b-0015f2391e57}]
AutoRun\command- F:\preinst.exe


Contents of the 'Scheduled Tasks' folder
2007-06-29 15:49:00 C:\WINDOWS\tasks\1-Klick-Wartung.job
2007-07-07 09:00:00 C:\WINDOWS\tasks\ACA06E9191D3E131.job
2007-07-05 14:00:00 C:\WINDOWS\tasks\{6F594E68-4737-4927-827C-125480729199}_ANDY-963DD0D2CB_Andreas Reinecke.job
2007-07-05 07:00:00 C:\WINDOWS\tasks\{A3303DA1-10F6-4C46-84BA-279EF4765501}_ANDY-963DD0D2CB_Andreas Reinecke.job
2007-06-29 14:00:00 C:\WINDOWS\tasks\{CB8C399F-2091-40F1-AA97-97628CDC2488}_ANDY-963DD0D2CB_Andreas Reinecke.job

**************************************************************************

catchme 0.3.915 W2K/XP/Vista - rootkit detector by Gmer, http://www.gmer.net
Rootkit scan 2007-07-07 18:23:56
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

HKLM\Software\Microsoft\Windows\CurrentVersion\Run
CTStartup = "C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /run?????Z?6~d???*?6~????????m???????h?@?x?????7~D??????sx??s????????y??w????@@@????|D@@?????>??w?????92?H??????|???|???????|L(?s?92??????/?s????????D???????????????????(????????????+?s@@@?D???`|?w??????@
HKCU\Software\Microsoft\Windows\CurrentVersion\RunOnce
CTStartup = "C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /play????Z?6~d???*?6~????????m???????h?@?x?????7~D??????sx??s????????y??w????@@@????|D@@?????>??w?????92?H??????|???|???????|L(?s?92??????/?s????????D???????????????????(????????????+?s@@@?D???`|?w??????@

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

Completion time: 2007-07-07 18:25:34 - machine was rebooted
C:\ComboFix-quarantined-files.txt ... 2007-07-07 18:25

--- E O F ---




3. Hjack 1.99



Logfile of HijackThis v1.99.1
Scan saved at 18:31:01, on 07.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
C:\Programme\Alwil Software\Avast4\ashServ.exe
C:\WINDOWS\system32\Ati2evxx.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\FRITZ!DSL\IGDCTRL.EXE
C:\WINDOWS\system32\CTsvcCDA.exe
C:\Programme\Ahead\InCD\InCDsrv.exe
F:\Programme\Alcohhol120\Alcohol 120\StarWind\StarWindService.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
C:\WINDOWS\system32\MsPMSPSv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Alwil Software\Avast4\ashMaiSv.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Alwil Software\Avast4\ashWebSv.exe
C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
C:\Programme\Microsoft IntelliType Pro\itype.exe
C:\Programme\Microsoft IntelliPoint\ipoint.exe
C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\WINDOWS\system32\ntvdm.exe
C:\T-ONLINE\BSW4\ToDuCAlC.EXE
C:\PROGRA~1\INTERN~1\IEXPLORE.EXE
F:\PROGRAMME FÜR VIREN\Hijack\HijackThis.exe

R3 - URLSearchHook: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Programme\ICQToolbar\toolbaru.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar3.dll
O2 - BHO: Google Toolbar Notifier BHO - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\2.0.301.7164\swg.dll
O2 - BHO: (no name) - {BB21D5B0-6205-6A08-22AC-0DD168C45A09} - (no file)
O2 - BHO: CoTGT_BHO Class - {C333CF63-767F-4831-94AC-E683D962C63C} - C:\Programme\TGTSoft\StyleXP\TGT_BHO.dll
O2 - BHO: EpsonToolBandKicker Class - {E99421FB-68DD-40F0-B4AC-B7027CAE2F1A} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: ICQ Toolbar - {855F3B16-6D32-4fe6-8A56-BBB695989046} - F:\Programme\ICQToolbar\toolbaru.dll
O3 - Toolbar: EPSON Web-To-Page - {EE5D279F-081B-4404-994D-C6B60AAEBA6D} - C:\Programme\EPSON\EPSON Web-To-Page\EPSON Web-To-Page.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar3.dll
O4 - HKLM\..\Run: [CTStartup] "C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /run
O4 - HKLM\..\Run: [avast!] C:\PROGRA~1\ALWILS~1\Avast4\ashDisp.exe
O4 - HKLM\..\Run: [itype] "C:\Programme\Microsoft IntelliType Pro\itype.exe"
O4 - HKLM\..\Run: [IntelliPoint] "C:\Programme\Microsoft IntelliPoint\ipoint.exe"
O4 - HKCU\..\Run: [H/PC Connection Agent] "C:\Programme\Microsoft ActiveSync\WCESCOMM.EXE"
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\RunOnce: [CTStartup] "C:\Programme\Creative\Splash Screen\CTEaxSpl.EXE" /play
O8 - Extra context menu item: &ICQ Toolbar Search - res://F:\Programme\ICQToolbar\toolbaru.dll/SEARCH.HTML
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~3\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\j2re1.4.2_04\bin\npjpi142_04.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Mobilen Favoriten erstellen - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - C:\Programme\Microsoft ActiveSync\INetRepl.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - F:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {0EB0E74A-2A76-4AB3-A7FB-9BD8C29F7F75} (CKAVWebScan Object) - http://www.kaspersky.com/kos/german/kavwebscan_unicode.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{00146923-44B4-41A7-851D-B09858047130}: NameServer = 217.237.149.142 217.237.150.205
O17 - HKLM\System\CS1\Services\Tcpip\..\{00146923-44B4-41A7-851D-B09858047130}: NameServer = 217.237.149.142 217.237.150.205
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~3\Office12\GR99D3~1.DLL
O18 - Protocol: ms-help - {314111C7-A502-11D2-BBCA-00C04F8EC294} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Help\hxds.dll
O18 - Filter hijack: text/xml - {807563E5-5146-11D5-A672-00B0D022E945} - C:\PROGRA~1\GEMEIN~1\MICROS~1\OFFICE12\MSOXMLMF.DLL
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: avast! iAVS4 Control Service (aswUpdSv) - ALWIL Software - C:\Programme\Alwil Software\Avast4\aswUpdSv.exe
O23 - Service: Ati HotKey Poller - ATI Technologies Inc. - C:\WINDOWS\system32\Ati2evxx.exe
O23 - Service: avast! Antivirus - ALWIL Software - C:\Programme\Alwil Software\Avast4\ashServ.exe
O23 - Service: avast! Mail Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashMaiSv.exe" /service (file missing)
O23 - Service: avast! Web Scanner - Unknown owner - C:\Programme\Alwil Software\Avast4\ashWebSv.exe" /service (file missing)
O23 - Service: AVM IGD CTRL Service - AVM Berlin - C:\Programme\FRITZ!DSL\IGDCTRL.EXE
O23 - Service: BitDefender Scan Server (bdss) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe" /service (file missing)
O23 - Service: Creative Service for CDROM Access - Creative Technology Ltd - C:\WINDOWS\system32\CTsvcCDA.exe
O23 - Service: AVM FRITZ!web Routing Service (de_serv) - AVM Berlin - C:\Programme\Gemeinsame Dateien\AVM\de_serv.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: InCD Helper (InCDsrv) - AHEAD Software - C:\Programme\Ahead\InCD\InCDsrv.exe
O23 - Service: StarWind iSCSI Service (StarWindService) - Rocket Division Software - F:\Programme\Alcohhol120\Alcohol 120\StarWind\StarWindService.exe
O23 - Service: StyleXPService - Unknown owner - C:\Programme\TGTSoft\StyleXP\StyleXPService.exe
O23 - Service: Ulead Burning Helper (UleadBurningHelper) - Ulead Systems, Inc. - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
O23 - Service: BitDefender Communicator (XCOMM) - Unknown owner - C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe" /service (file missing)


4.dat-find (Hermit tue ich mich schwer, hoffentlich mache ich das richtig)



Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Volumeseriennummer: 5CC9-4767

Verzeichnis von C:\WINDOWS\system32

07.07.2007 19:36 13.646 wpa.dbl
07.07.2007 18:46 31.676 BMXStateBkp-{00000005-00000000-00000008-00001102-00000004-10021102}.rfx
07.07.2007 18:46 31.676 BMXState-{00000005-00000000-00000008-00001102-00000004-10021102}.rfx
07.07.2007 18:46 31.848 BMXCtrlState-{00000005-00000000-00000008-00001102-00000004-10021102}.rfx
07.07.2007 18:46 31.848 BMXBkpCtrlState-{00000005-00000000-00000008-00001102-00000004-10021102}.rfx
07.07.2007 18:46 1.080 settings.sfm
07.07.2007 18:46 1.080 settingsbkup.sfm
07.07.2007 18:46 288 DVCStateBkp-{00000005-00000000-00000008-00001102-00000004-10021102}.dat
07.07.2007 18:46 288 DVCState-{00000005-00000000-00000008-00001102-00000004-10021102}.dat
06.07.2007 20:06 5 ccdafcfdcca_g.dll
06.07.2007 20:06 5 abaefbb3_g.ocx
26.06.2007 17:24 34.308 Chip.dll
07.06.2007 19:48 86.016 ElbyCDIO.dll
02.06.2007 01:18 30.044 iklog.log
31.05.2007 19:00 291.680 FNTCACHE.DAT
04.05.2007 18:29 3.002 CONFIG.NT
30.04.2007 17:46 745.600 aswBoot.exe
30.04.2007 17:35 95.872 AVASTSS.scr
27.04.2007 22:45 14.970.328 MRT.exe
19.04.2007 21:20 16.832 amcompat.tlb
19.04.2007 21:20 23.392 nscompat.tlb
19.04.2007 18:44 314.644 perfh009.dat
19.04.2007 18:44 40.972 perfc009.dat
19.04.2007 18:44 49.364 perfc007.dat
19.04.2007 18:44 320.434 perfh007.dat
19.04.2007 18:44 732.344 PerfStringBackup.INI
18.04.2007 18:13 2.854.400 msi.dll
02.04.2007 14:21 428.032 swreg.exe



Verzeichnis von C:\DOKUME~1\ANDREA~1\LOKALE~1\Temp

08.07.2007 01:44 105.102 datfind.txt
08.07.2007 01:43 448 WcesView.log
07.07.2007 19:36 224 WCESCOMM.LOG
07.07.2007 18:26 13.502 log.txt
4 Datei(en) 119.276 Bytes
0 Verzeichnis(se), 56.569.589.760 Bytes frei

Verzeichnis von C:\WINDOWS

08.07.2007 00:48 967 win.ini
07.07.2007 19:36 0 0.log
07.07.2007 19:36 1.265.159 WindowsUpdate.log
07.07.2007 19:36 159 wiadebug.log
07.07.2007 19:35 50 wiaservc.log
07.07.2007 19:35 2.048 bootstat.dat
07.07.2007 18:46 32.054 SchedLgU.Txt
07.07.2007 10:51 752.280 setupapi.log
06.07.2007 20:03 119.746 ntbtlog.txt
06.07.2007 18:46 227 system.ini
06.07.2007 07:49 6.642 mgxoschk.ini
04.07.2007 19:21 104.960 catchme.exe
26.06.2007 16:56 249 DVDFabGold.INI
17.06.2007 00:11 51.200 nircmd.exe
15.06.2007 23:43 4.481.358 {00000005-00000000-00000008-00001102-00000004-10021102}.CDF
02.06.2007 21:18 50.468 spupdsvc.log
02.06.2007 20:51 268.604 tsoc.log
02.06.2007 20:51 11.170 KB927891.log
02.06.2007 20:51 38.491 ocmsn.log
02.06.2007 20:51 1.355 imsins.log
02.06.2007 20:51 144.195 ntdtcsetup.log
02.06.2007 20:51 108.040 iis6.log
02.06.2007 20:51 238.726 comsetup.log
02.06.2007 20:51 343.801 ocgen.log
02.06.2007 20:51 34.981 msgsocm.log
02.06.2007 20:51 684.745 FaxSetup.log
02.06.2007 20:51 45.247 updspapi.log
02.06.2007 20:51 1.355 imsins.BAK
02.06.2007 20:51 13.706 KB931768.log
02.06.2007 20:51 11.290 KB929399.log
02.06.2007 20:51 11.910 KB930916.log
02.06.2007 01:19 1.057 SpywareDoctor5Uninstall.log
31.05.2007 19:05 13.910 WgaNotify.log
31.05.2007 07:46 15.704 KB931784.log
31.05.2007 07:46 13.725 KB931261.log
31.05.2007 07:46 14.284 KB925902.log
31.05.2007 07:45 12.753 KB930178.log
31.05.2007 07:45 12.490 KB932168.log
29.05.2007 23:51 62 SpywareDoctor5Install.log
28.05.2007 20:32 130.821 wmsetup.log
19.04.2007 18:47 514 wmsetup10.log
19.04.2007 18:43 7.097 KB926239.log
19.04.2007 18:43 5.337 MSCompPackV1.log
19.04.2007 18:43 19.041 wmp11.log
19.04.2007 18:42 28.340 WMFDist11.log
19.04.2007 18:42 316.640 WMSysPr9.prx
19.04.2007 18:41 12.073 Wud

Verzeichnis von C:\WINDOWS\temp

08.07.2007 00:48 16.384 Perflib_Perfdata_7d8.dat
07.07.2007 19:36 409 WGANotify.settings
07.07.2007 19:35 16.384 Perflib_Perfdata_6a4.dat
07.07.2007 19:35 255 WGAErrLog.txt
4 Datei(en) 33.432 Bytes
0 Verzeichnis(se), 56.569.573.376 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist Lokaler Datentr„ger
Volumeseriennummer: 5CC9-4767


Dann will ich mal hoffen, dass mein Comuter nicht zu verseucht ist.

Ciao
Sinja

#2 Da sind nach der Reinigung durch combofix einige kleinere Dinge uebriggeblieben. Loesche bitte folgendes:

C:\WINDOWS\tasks\ACA06E9191D3E131.job

Den Rest der Malware, die durch Netpumper installiert wurde, hast du anscheinend schon mit MSCONFIG deaktiviert. DU musst aber die dazugehoerigen Ordner/Dateien noch loschen:

C:\DOKUME~1\ANDREA~1\ANWEND~1\HOLEGR~1\Part Ball Idle.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\keep 64 sixth fast


Diese Dateien aus dem System32 Ordner kannst du auch loeschen:
ccdafcfdcca_g.dll
abaefbb3_g.ocx

Um diese sichtbar zu machen, musst du folgendes einstellen: http://freenet-homepage.de/rene-gad/invisible.html

Ich denke zwar, das ich weiss, welches "Tool" das war, waere es nett, wenn du mir die URL davon via PM schicken koenntest.

Nachtrag: Einen Kontrollscan mit Drweb cureit und Ewido Micro koenntest du auch noch machen:
http://freedrweb.com/?lng=de
http://downloads.ewido.net/ewido_micro.exe
__________
MfG Ralf
SEO-Spam Hunter

#3 Hallo raman,
zunächst vielen Dank für die Hilfe;-)

C:\WINDOWS\tasks\ACA06E9191D3E131.job konnte ich löschen.

Den Rest der Malware...

C:\DOKUME~1\ANDREA~1\ANWEND~1\HOLEGR~1\Part Ball Idle.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\keep 64 sixth fast

konnte ich leider nicht finden. Bin den vorgegeben Pfad bis ...Anwendungen gekommen. Bei den vielen Ordner konnte ...Part Ball Idle.exe + keep 64 sixth fast nicht finden. Spätestens jetzt merke ich, dass an meine Grenzen stoße.
Habe leider nicht so viel Ahnung vom Computerfachwissen her. Ob der Rest der Malware noch da ist, weiß ich nicht da ich mit Drweb cureit und Ewido Micro den Kontrollscan durchgeführt habe.


Dateien aus System 32:
Löschen konnte ich davon die Datei abaefbb3_g.ocx.
Die Datei ccdafcfdcca_g.dll war nicht aufzufinden.


Möchte noch anmerken das Evido gute Dienste geleistet hat.
Trend Micro hatte beim Online scannen noch folgende Datei aufgespürt;
Win system32: pmnnmki.dllvir, konnte die aber nicht löschen.
Manuell konnte ich sie auch nicht löschen. Daher meine Frage, wie kann man dll Dateien löschen? - Evito hat die Datei auch nochmal gefunden und gelöscht
zzg. Win:system 32 qrtainhn.exe.

Das Tool versuche ich dir gleich noch zu schicken.

Was mir gerade einfällt, muß ich noch was bei der Systemwiederherstellung irgendetwas machen? Und wenn ja, was?

Bislang meldet sich kein pop-up oder WinAntivirus 2006 mehr.
Wie kann ich sicher sein, dass ich kein Trojaner mehr drauf habe. Soll ich noch ein Log File erstellen?

Ciao
Sinja

#4 Was du noch machen kannst, ist ein Systemwiederherstellungspunkt erstellen und dann nach dem neustart mit hilfe der Datentraegerbereinigung die Systemwiederherstellung bereinigen. Siehe Punkt 1 der Anleitung: http://board.protecus.de/t23187.htm
__________
MfG Ralf
SEO-Spam Hunter

#5 Systemwiederherstellungspunkt erstellt und mit Hilfe der Datenträgerbereinigung die Systemwiederherstellung bereinigt.
Dürfte Clean sein, da sich bislang nichts mehr aufgetan hat :-))
Nochmals herzlichen Dank.

Ciao
Sinja