Verdacht auf Trojaner

#1 Hi Leute,
mir ist aufgefallen, dass mein PC irgendwier viel mehr ausgelastet ist als sonst (was ja nicht unbedingt die Folge eines Trojaners sein muss). Also habe ich mit diversen Scanner gesucht und einen Eintrag gefunden, den ich entfernt habe.

Hijackthis zeigt allerdings 2 unbekannte Prozesse an, hier folgt das log:

Logfile of HijackThis v1.99.1
Scan saved at 01:05:07, on 13.07.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Security\AntiVir PersonalEdition Classic\avguard.exe
C:\Security\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Security\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Security\ZoneAlarm\zlclient.exe
C:\WINDOWS\RTHDCPL.EXE
C:\WINDOWS\system32\ctfmon.exe
C:\Security\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\ICQLite\ICQLite.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Security\Spyware Doctor\swdsvc.exe
C:\Security\Spyware Doctor\SDTrayApp.exe
C:\Security\Spyware Doctor\svcntaux.exe
C:\WINDOWS\System32\svchost.exe
C:\Security\Spybot - Search & Destroy\SpybotSD.exe
C:\Security\TrueCrypt\TrueCrypt.exe
C:\Dokumente und Einstellungen\T\Desktop\agobtgui.com
C:\Security\Spyware Doctor\swdoctor.exe
C:\Dokumente und Einstellungen\T\Desktop\Programme\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Security\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {66F7D062-B64B-4972-B913-1B58EB17D698} - C:\WINDOWS\system32\kbdgae32.dll
O4 - HKLM\..\Run: [avgnt] "C:\Security\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Security\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [SkyTel] SkyTel.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SDTray] "C:\Security\Spyware Doctor\SDTrayApp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Security\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [Vidalia] "C:\Security\Vidalia\vidalia.exe"
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Privoxy.lnk = C:\Security\Privoxy\privoxy.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O11 - Options group: [INTERNATIONAL] International*
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/w
uweb_site.cab?1184254886484
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Security\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Security\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Spyware Doctor Auxiliary Service (sdAuxService) - PC Tools - C:\Security\Spyware Doctor\svcntaux.exe
O23 - Service: Spyware Doctor Service (sdCoreService) - PC Tools - C:\Security\Spyware Doctor\swdsvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

Diese hier werden bei der Logfile Auswertung als unbekannt eingestuft:
O2 - BHO: (no name) - {66F7D062-B64B-4972-B913-1B58EB17D698} - C:\WINDOWS\system32\kbdgae32.dll

O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE

Kann mir jemand sagen was das ist?

Diese File hab ich selbst downgeloaded:
C:\Dokumente und Einstellungen\T\Desktop\agobtgui.com

Hoffe auf schnelle Antwort, danke!

/e: Habe meinen PC heute neu formatiert! Mit gezogenem Netzkabel, dann ZA, spybot und antivir installiert. War allerdings auf einer Seite um nen Sound treiber zu loaden und das ohne SP2 (habe alte windows cd)

Alcmtr.exe ist ungefährlich, stammt von Realtek Soundtreiber. Was die kbdgae32.dll ist weiß ich leider immer noch nicht!

Hier ein Screen der Datei vom Process Explorer
http://img529.imageshack.us/my.php?image=scandz4.jpg

Virus Total findet so einiges.. vllt weiß ja jemand was ich jetzt machen soll!

AhnLab-V3 2007.7.13.0 2007.07.12 no virus found
AntiVir 7.4.0.39 2007.07.12 ADSPY/Stud.A.43
Authentium 4.93.8 2007.07.12 no virus found
Avast 4.7.997.0 2007.07.12 Win32:Trojano-3384
AVG 7.5.0.476 2007.07.12 Adware Generic2.AMI
BitDefender 7.2 2007.07.13 Adware.Stud.Y
CAT-QuickHeal 9.00 2007.07.12 no virus found
ClamAV devel-20070416 2007.07.13 Trojan.BHO-83
DrWeb 4.33 2007.07.12 no virus found
eSafe 7.0.15.0 2007.07.10 no virus found
eTrust-Vet 30.8.3782 2007.07.12 no virus found
Ewido 4.0 2007.07.12 Adware.Stud
FileAdvisor 1 2007.07.13 no virus found
Fortinet 2.91.0.0 2007.07.12 no virus found
F-Prot 4.3.2.48 2007.07.11 W32/Adware.KBB
Ikarus T3.1.1.8 2007.07.12 not-a-virus:AdWare.Win32.Stud.d
Kaspersky 4.0.2.24 2007.07.13 not-a-virus:AdWare.Win32.Stud.a
McAfee 5073 2007.07.12 no virus found
Microsoft 1.2704 2007.07.12 no virus found
NOD32v2 2396 2007.07.12 a variant of Win32/Adware.BHO.AA
Norman 5.80.02 2007.07.12 W32/Stud.AE
Panda 9.0.0.4 2007.07.12 no virus found
Sophos 4.19.0 2007.07.06 no virus found
Sunbelt 2.2.907.0 2007.07.12 no virus found
Symantec 10 2007.07.13 Adware.Webprefix
TheHacker 6.1.6.145 2007.07.12 Adware/Stud.a
VBA32 3.12.0.2 2007.07.13 suspected of Trojan-Downloader.Agent.49
VirusBuster 4.3.23:9 2007.07.12 no virus found
Webwasher-Gateway 6.0.1 2007.07.13 Ad-Spyware.Stud.A.43


mfg

#2 Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei

O2 - BHO: (no name) - {66F7D062-B64B-4972-B913-1B58EB17D698} - C:\WINDOWS\system32\kbdgae32.dll

klicke:Fix checked

Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

Download KillAFile zum Desktop

Packe die Datei aus,und speichere sie in einem Ordner auf deinem Desktop.
Öffne den Ordner KillAFile
mach einen Doppelklick auf die Datei kill.bat.
Wähle die Option 2: "replace a file on reboot".
Wenn du die Meldung bekommst "Insert full path and filename to delete and then press enter"
schreibst/kopierst du rein: C:\WINDOWS\system32\kbdgae32.dll
Wenn die Datei anwesend ist kommt eine Meldung um alle offene Fenster zu schliessen,
und dass der Rechner neu starten wird(reboot)

Poste ein log von Hijack This
__________
MfG Argus

#3 Danke für die Antwort. Habe es mittlerweile schon einfach über Hijackthis gelöscht, ist jetzt auch verschwunden!

mfg