ZLob.DNSCharger Probleme nach Entfernung mit SmitFraudFix

#1 Hallo zusammen, habe mal wieder ein Problem:
Spybot hat mir gestern folgendes gemeldet:
--- Search result list ---
Zlob.DNSChanger: TCP/IP Settings #1 (Undefined) (Registrierungsdatenbank-Änderung, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{07A850F7-5446-49AB-B5CE-C038998E74C0}\DhcpNameServer=208.67.220.220,208.67.222.222


--- Spybot - Search & Destroy version: 1.4 (build: 20050523) ---

2005-05-31 blindman.exe (1.0.0.1)
2005-05-31 SpybotSD.exe (1.4.0.3)
2005-05-31 TeaTimer.exe (1.4.0.2)
2006-08-07 unins000.exe (51.41.0.0)
2005-05-31 Update.exe (1.4.0.0)
2007-05-23 advcheck.dll (1.5.3.0)
2005-05-31 aports.dll (2.1.0.0)
2005-05-31 borlndmm.dll (7.0.4.453)
2005-05-31 delphimm.dll (7.0.4.453)
2005-05-31 SDHelper.dll (1.4.0.0)
2007-07-31 Tools.dll (2.1.2.0)
2005-05-31 UnzDll.dll (1.73.1.1)
2005-05-31 ZipDll.dll (1.73.2.0)
2007-08-15 Includes\Cookies.sbi (*)
2007-07-25 Includes\Dialer.sbi (*)
2007-08-15 Includes\DialerC.sbi (*)
2007-07-11 Includes\Hijackers.sbi (*)
2007-08-15 Includes\HijackersC.sbi (*)
2007-07-25 Includes\Keyloggers.sbi (*)
2007-08-15 Includes\KeyloggersC.sbi (*)
2004-11-29 Includes\LSP.sbi (*)
2007-08-01 Includes\Malware.sbi (*)
2007-08-15 Includes\MalwareC.sbi (*)
2007-08-08 Includes\PUPS.sbi (*)
2007-08-15 Includes\PUPSC.sbi (*)
2007-08-15 Includes\Revision.sbi (*)
2007-05-30 Includes\Security.sbi (*)
2007-08-15 Includes\SecurityC.sbi (*)
2007-08-01 Includes\Spybots.sbi (*)
2007-08-15 Includes\SpybotsC.sbi (*)
2005-02-17 Includes\Tracks.uti
2007-08-01 Includes\Trojans.sbi (*)
2007-08-15 Includes\TrojansC.sbi (*)
2007-06-06 Plugins\TCPIPAddress.dll

ich habe dann SmitfraudFix laufen lassen, anschliessend AntiVir, dabei meldet er mir 2 unerwünschte Programme SPR/Tool.Reboot.C und SPR/Tool.Hardoff.A - bringt aber nicht auffälliges im Report
AntiVir PersonalEdition Classic
Erstellungsdatum der Reportdatei: Donnerstag, 16. August 2007 13:27

Es wird nach 1024652 Virenstämmen gesucht.

Lizenznehmer: Avira AntiVir PersonalEdition Classic
Seriennummer: 0000149996-ADJIE-0001
Plattform: Windows XP
Windowsversion: (Service Pack 2) [5.1.2600]
Benutzername: XXX
Computername: XXX

Versionsinformationen:
BUILD.DAT : 247 14437 Bytes 10.05.2007 11:52:00
AVSCAN.EXE : 7.0.4.15 282664 Bytes 26.04.2007 14:12:05
AVSCAN.DLL : 7.0.4.0 41000 Bytes 26.04.2007 14:12:05
LUKE.DLL : 7.0.4.11 143400 Bytes 26.04.2007 14:12:06
LUKERES.DLL : 7.0.4.0 10792 Bytes 26.04.2007 14:12:06
ANTIVIR0.VDF : 6.35.0.1 7371264 Bytes 31.05.2006 15:16:16
ANTIVIR1.VDF : 6.39.0.129 7251968 Bytes 10.07.2007 16:04:33
ANTIVIR2.VDF : 6.39.0.226 1223680 Bytes 10.08.2007 19:46:16
ANTIVIR3.VDF : 6.39.1.7 218112 Bytes 15.08.2007 19:46:16
AVEWIN32.DLL : 7.4.1.62 2724352 Bytes 15.08.2007 19:46:16
AVWINLL.DLL : 1.0.0.7 14376 Bytes 26.04.2007 14:12:05
AVPREF.DLL : 7.0.2.1 24616 Bytes 26.04.2007 14:12:05
AVREP.DLL : 7.0.0.1 155688 Bytes 26.04.2007 14:12:07
AVPACK32.DLL : 7.3.0.15 360488 Bytes 06.08.2007 07:13:12
AVREG.DLL : 7.0.1.2 31784 Bytes 26.04.2007 14:12:05
AVEVTLOG.DLL : 7.0.0.18 86056 Bytes 26.04.2007 14:12:05
AVARKT.DLL : 1.0.0.17 278568 Bytes 08.05.2007 15:11:28
NETNT.DLL : 7.0.0.0 7720 Bytes 26.04.2007 14:12:06
RCIMAGE.DLL : 7.0.1.15 2228264 Bytes 26.04.2007 14:12:00
RCTEXT.DLL : 7.0.45.0 86056 Bytes 26.04.2007 14:12:00

Konfiguration für den aktuellen Suchlauf:
Job Name.........................: Lokale Laufwerke
Konfigurationsdatei..............: C:\Programme\AntiVir PersonalEdition Classic\alldrives.avp
Protokollierung..................: niedrig
Primäre Aktion...................: reparieren
Sekundäre Aktion.................: ignorieren
Durchsuche Masterbootsektoren....: aus
Durchsuche Bootsektoren..........: ein
Bootsektoren.....................: F:,
Durchsuche Speicher..............: ein
Durchsuche aktive Programme......: ein
Durchsuche Registrierung.........: ein
Suche nach Rootkits..............: aus
Datei Suchmodus..................: Alle Dateien
Durchsuche Archive...............: ein
Rekursionstiefe einschränken.....: aus
Archiv Smart Extensions..........: ein
Makrovirenheuristik..............: ein
Dateiheuristik...................: mittel
Abweichende Gefahrenkategorien...: +PCK,+SPR,

Beginn des Suchlaufs: Donnerstag, 16. August 2007 13:27

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'mantispm.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqste08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqimzone.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hardcopy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Wifiusb.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpqtra08.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TODslSvc.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'DevDtct2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'Ir.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TeaTimer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'fpassist.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'rundll32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'PPActiveDetection.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'caissdt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'LAUNCH~1.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'EM_EXEC.EXE' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'TODslMgr.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'hpwuSchd2.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'iTouch.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'zlclient.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'wscntfy.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'vsmon.exe' - '0' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'HPZipm12.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'explorer.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '1' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '1' Modul(e) wurden durchsucht
Es wurden '44' Prozesse mit '44' Modulen durchsucht

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'E:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'X:\'
[HINWEIS] Es wurde kein Virus gefunden!
Bootsektor 'A:\'
[HINWEIS] Im Laufwerk 'A:\' ist kein Datenträger eingelegt!
Bootsektor 'H:\'
[HINWEIS] Im Laufwerk 'H:\' ist kein Datenträger eingelegt!

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen.
Die Registry wurde durchsucht ( '37' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\hiberfil.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
C:\pagefile.sys
[WARNUNG] Die Datei konnte nicht geöffnet werden!
Beginne mit der Suche in 'E:\' <Platte2>
Beginne mit der Suche in 'X:\' <Festplatte>
Beginne mit der Suche in 'A:\'
Der zu durchsuchende Pfad A:\ konnte nicht geöffnet werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'H:\'
Der zu durchsuchende Pfad H:\ konnte nicht geöffnet werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'D:\'
Der zu durchsuchende Pfad D:\ konnte nicht geöffnet werden!
Das Gerät ist nicht bereit.

Beginne mit der Suche in 'F:\'
Der zu durchsuchende Pfad F:\ konnte nicht geöffnet werden!
Das Gerät ist nicht bereit.



Ende des Suchlaufs: Donnerstag, 16. August 2007 14:18
Benötigte Zeit: 51:36 min

Der Suchlauf wurde vollständig durchgeführt.

7002 Verzeichnisse wurden überprüft
265366 Dateien wurden geprüft
0 Viren bzw. unerwünschte Programme wurden gefunden
0 davon wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
0 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
2 Dateien konnten nicht durchsucht werden
265366 Dateien ohne Befall
3136 Archive wurden durchsucht
2 Warnungen
75 Hinweise
0 Versteckte Objekte wurden gefunden

Dannach habe ich mit HJT gesucht, da fanden sich die Serveradressen wieder:
Logfile of HijackThis v1.99.1
Scan saved at 15:35:24, on 16.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
X:\Programme\Logitech\iTouch\iTouch.exe
X:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\T-ONLINE\DSL-MA~1\TODSLMGR.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
x:\Programme\Logitech\MouseWare\system\em_exec.exe
X:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
X:\Programme\CA\eTrust Internet Security Suite\caissdt.exe
X:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\FreePDF_XP\fpassist.exe
C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
X:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\WinTV\Ir.exe
C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
X:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
X:\Programme\Hardcopy\hardcopy.exe
X:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
X:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
X:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
X:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\WINDOWS\system32\wuauclt.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\DOKUME~1\XXX\LOKALE~1\Temp\Temporäres Verzeichnis 2 für hijackthis.zip\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: WsftpBrowserHelper Class - {601ED020-FB6C-11D3-87D8-0050DA59922B} - x:\Programme\Ipswitch\WS_FTP Pro\wsbho2k0.dll
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [zBrowser Launcher] x:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [HP Software Update] X:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [HPHUPD08] X:\Programme\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [T-Online DSL-Manager] "C:\PROGRA~1\T-ONLINE\DSL-MA~1\TODSLMGR.EXE"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [PCSuiteTrayApplication] X:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [CaISSDT] "x:\Programme\CA\eTrust Internet Security Suite\caissdt.exe"
O4 - HKLM\..\Run: [eTrustPPAP] "X:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [spywarefighterguard] X:\Programme\SPYWAREfighter\spfprc.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "x:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [\\XXX.XXX.2.22\EPSON Stylus CX6600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9EE.EXE /P41 "\\XXX.XXX.2.22\EPSON Stylus CX6600 Series" /M "Stylus CX6600" /EF "HKCU"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] x:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Hardcopy.LNK = X:\Programme\Hardcopy\hardcopy.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = X:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoStart IR.lnk = C:\Programme\WinTV\Ir.exe
O4 - Global Startup: Device Detector 3.lnk = C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = X:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = X:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Sinus 154 stick WLAN Manager.lnk = C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://X:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{07A850F7-5446-49AB-B5CE-C038998E74C0}: NameServer = 208.67.220.220,208.67.222.222
O17 - HKLM\System\CCS\Services\Tcpip\..\{40BAC1FB-211F-4CB4-BA51-D27BB5209DC2}: NameServer = XXX.XXX.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{DCB59333-D2FB-408B-9146-CE519F33218B}: NameServer = XXX.XXX.2.1
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: T-Online DSL-Manager (TODslService) - T-Systems International GmbH - C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

habe dann gefixt und nochmal SmitfraudFix laufen lassen:
SmitFraudFix v2.212

Scan done at 17:01:48,65, 16.08.2007
Run from C:\Dokumente und Einstellungen\Marco\Desktop\sff\SmitfraudFix
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
The filesystem type is NTFS
Fix run in safe mode

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» hosts


127.0.0.1 localhost
127.0.0.1 localhost

127.0.0.1 localhost

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files


»»»»»»»»»»»»»»»»»»»»»»»» DNS

HKLM\SYSTEM\CCS\Services\Tcpip\..\{06D1E49D-7745-46C8-8065-12C79A6E0E63}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CCS\Services\Tcpip\..\{07A850F7-5446-49AB-B5CE-C038998E74C0}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CCS\Services\Tcpip\..\{40BAC1FB-211F-4CB4-BA51-D27BB5209DC2}: NameServer=XXX.XXX.2.1
HKLM\SYSTEM\CCS\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: DhcpNameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CCS\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: NameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CCS\Services\Tcpip\..\{DCB59333-D2FB-408B-9146-CE519F33218B}: NameServer=XXX.XXX.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{06D1E49D-7745-46C8-8065-12C79A6E0E63}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS1\Services\Tcpip\..\{07A850F7-5446-49AB-B5CE-C038998E74C0}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS1\Services\Tcpip\..\{40BAC1FB-211F-4CB4-BA51-D27BB5209DC2}: NameServer=XXX.XXX.2.1
HKLM\SYSTEM\CS1\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: DhcpNameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CS1\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: NameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CS1\Services\Tcpip\..\{DCB59333-D2FB-408B-9146-CE519F33218B}: NameServer=XXX.XXX.2.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{06D1E49D-7745-46C8-8065-12C79A6E0E63}: DhcpNameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS2\Services\Tcpip\..\{07A850F7-5446-49AB-B5CE-C038998E74C0}: DhcpNameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CS2\Services\Tcpip\..\{07A850F7-5446-49AB-B5CE-C038998E74C0}: NameServer=208.67.220.220,208.67.222.222
HKLM\SYSTEM\CS2\Services\Tcpip\..\{40BAC1FB-211F-4CB4-BA51-D27BB5209DC2}: NameServer=XXX.XXX.2.1
HKLM\SYSTEM\CS2\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: DhcpNameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CS2\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: NameServer=85.255.115.6,85.255.112.20
HKLM\SYSTEM\CS2\Services\Tcpip\..\{DCB59333-D2FB-408B-9146-CE519F33218B}: NameServer=XXX.XXX.2.1


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Winlogon.System
!!!Attention, following keys are not inevitably infected!!!

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon]
"system"=""


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» SharedTaskScheduler After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

habe dann noch fixwareout laufen lassen:


Fixwareout ver 1.003
Last edited 07/1/2006
Post this report in the forums please

Reg Entries that were deleted
...

Random Runs removed from HKLM
...

PLEASE NOTE, There WILL be LEGIT FILES LISTED. IF YOU ARE UNSURE OF WHAT IT IS LEAVE THEM ALONE.
Example ipsec6.exe is legitimate

»»»»» Search by size and names...
C:\WINDOWS\SYSTEM32\DUMPHIVE.EXE

»»»»» Misc files

»»»»» Checking for older varients covered by the Rem3 tool

»»»»»
Search five digit cs, dm and jb files
This WILL/CAN also list Legit Files, Submit them at Virustotal
Other suspects
Directory of C:\WINDOWS\system32

und bin mir nun nicht ganz sicher, ob es das gewesen ist - wer kann helfen?


vorab Danke

#2 Also die von dir genannte IP ist harmlos. Diese ist die, vor der du dich "fuerchten" musst: 85.255.115.6

Pooste bitte einmal ein Combofix Report. Mal schauen, ob da noch etwas gemeldet wird.
__________
MfG Ralf
SEO-Spam Hunter

#3 Hallo - hier der Combofix-Report:

ComboFix 07-08-14.4 - "Marco" 2007-08-16 18:09:12.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.1566 [GMT 2:00]
* Created a new restore point


((((((((((((((((((((((((( Files Created from 2007-07-16 to 2007-08-16 )))))))))))))))))))))))))))))))


2007-08-16 18:07 51,200 --a--c--- C:\WINDOWS\nircmd.exe
2007-08-16 16:53 53,248 --a--c--- C:\WINDOWS\system32\Process.exe
2007-08-16 16:53 51,200 --a--c--- C:\WINDOWS\system32\dumphive.exe
2007-08-16 16:53 288,417 --a--c--- C:\WINDOWS\system32\SrchSTS.exe
2007-08-15 19:51 3,982 --a--c--- C:\WINDOWS\system32\tmp.reg


(((((((((((((((((((((((((((((((((((((((( Find3M Report ))))))))))))))))))))))))))))))))))))))))))))))))))))

2007-07-13 12:29 --------- d----c--- C:\DOKUME~1\Marco\ANWEND~1\DataLayer
2007-07-10 08:00 --------- d----c--- C:\Programme\Nokia
2007-07-10 08:00 --------- d----c--- C:\Programme\Gemeinsame Dateien\Nokia
2007-07-03 11:26 --------- d----c--- C:\DOKUME~1\Marco\ANWEND~1\Nokia Multimedia Player
2007-05-16 17:12 85504 --a--c--- C:\WINDOWS\system32\dllcache\wabimp.dll
2007-05-16 17:12 510976 --a--c--- C:\WINDOWS\system32\dllcache\wab32.dll
2007-05-16 17:11 86528 --a--c--- C:\WINDOWS\system32\dllcache\directdb.dll
2007-05-16 17:11 683520 --a--c--- C:\WINDOWS\system32\inetcomm.dll
2007-05-16 17:11 683520 --a--c--- C:\WINDOWS\system32\dllcache\inetcomm.dll
2007-05-16 17:11 1314816 --a--c--- C:\WINDOWS\system32\dllcache\msoe.dll
2005-05-12 00:36 12288 --a--c--- C:\WINDOWS\Fonts.\RandFont.dll
2003-02-28 13:32 11776 --a--c--- C:\WINDOWS\inf\dt154stickoem_wxp.exe
2002-11-14 23:32 55808 --a--c--- C:\WINDOWS\inf\devcon154stick.exe


((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))))


*Note* empty entries & legit default entries are not shown

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Zone Labs Client"="C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2006-07-09 13:42]
"zBrowser Launcher"="x:\Programme\Logitech\iTouch\iTouch.exe" [2004-03-18 10:33]
"HP Software Update"="X:\Programme\HP\HP Software Update\HPWuSchd2.exe" [2005-05-12 00:12]
"HPHUPD08"="X:\Programme\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe" [2005-06-01 18:35]
"Logitech Utility"="Logi_MwX.Exe" [2003-12-17 10:50 C:\WINDOWS\LOGI_MWX.EXE]
"NeroFilterCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 12:50]
"T-Online DSL-Manager"="C:\PROGRA~1\T-ONLINE\DSL-MA~1\TODSLMGR.EXE" [2005-11-01 11:31]
"avgnt"="C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" [2007-04-26 16:12]
"PCSuiteTrayApplication"="X:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.exe" [2006-04-26 08:29]
"CaISSDT"="x:\Programme\CA\eTrust Internet Security Suite\caissdt.exe" [2006-04-21 14:42]
"eTrustPPAP"="X:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe" [2006-08-04 17:26]
"spywarefighterguard"="X:\Programme\SPYWAREfighter\spfprc.exe" []
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-06-01 17:22]
"NvMediaCenter"="NvMCTray.dll" [2006-06-01 17:22 C:\WINDOWS\system32\nvmctray.dll]
"FreePDF Assistant"="C:\Programme\FreePDF_XP\fpassist.exe" [2005-05-27 12:24]
"ZoneAlarm Client"="x:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-03-09 00:02]
"UserFaultCheck"="C:\WINDOWS\system32\dumprep 0 -u" []

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"\\XXX.XXX.2.22\EPSON Stylus CX6600 Series"="C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9EE.exe" [2004-03-01 05:00]
"SpybotSD TeaTimer"="x:\Programme\Spybot - Search & Destroy\TeaTimer.exe" [2005-05-31 01:04]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00]

C:\Dokumente und Einstellungen\Marco\Startmen�\Programme\Autostart\
Hardcopy.LNK - X:\Programme\Hardcopy\hardcopy.exe [2007-02-24 05:23:26]

C:\Dokumente und Einstellungen\All Users\Startmen�\Programme\Autostart\
Adobe Reader - Schnellstart.lnk - X:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2004-12-14 05:44:06]
AutoStart IR.lnk - C:\Programme\WinTV\Ir.exe [2005-11-29 20:28:32]
Device Detector 3.lnk - C:\Programme\Olympus\DeviceDetector\DevDtct2.exe [2007-05-08 17:22:31]
HP Digital Imaging Monitor.lnk - X:\Programme\HP\Digital Imaging\bin\hpqtra08.exe [2005-05-12 00:23:26]
HP Image Zone Schnellstart.lnk - X:\Programme\HP\Digital Imaging\bin\hpqthb08.exe [2005-05-12 01:49:24]
Sinus 154 stick WLAN Manager.lnk - C:\Programme\DT\Sinus 154 stick\Wifiusb.exe [2005-10-24 15:12:06]

R0 avgntmgr;avgntmgr;C:\WINDOWS\system32\drivers\avgntmgr.sys
R0 viasraid;viasraid;C:\WINDOWS\system32\DRIVERS\viasraid.sys
R1 avgntdd;avgntdd;C:\WINDOWS\system32\DRIVERS\avgntdd.sys
R1 avipbb;avipbb;C:\WINDOWS\system32\DRIVERS\avipbb.sys
R3 AVMWAN;AVM NDIS WAN CAPI-Treiber;C:\WINDOWS\system32\DRIVERS\avmwan.sys
R3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI;C:\WINDOWS\system32\DRIVERS\fpcibase.sys
R3 hcw88rc5;Hauppauge WinTV 88x IR Decoder;C:\WINDOWS\system32\Drivers\hcw88rc5.sys
R3 HCW88TUNE;Hauppauge WinTV 88x Tuner;C:\WINDOWS\system32\drivers\hcw88tun.sys
R3 hcw88vid;Hauppauge WinTV 88x Video;C:\WINDOWS\system32\drivers\hcw88vid.sys
R3 HCW88XBAR;Hauppauge WinTV 88x Crossbar;C:\WINDOWS\system32\drivers\HCW88BAR.sys
R3 itchfltr;iTouch Keyboard Filter;C:\WINDOWS\system32\DRIVERS\itchfltr.sys
R3 TODslService;T-Online DSL-Manager;"C:\Programme\T-Online\DSL-Manager\TODslSvc.exe"
S3 GMSIPCI;GMSIPCI;\??\G:\INSTALL\GMSIPCI.SYS
S3 MIINPazX;MIINPazX NDIS Protocol Driver;\??\C:\PROGRA~1\GEMEIN~1\MARMIK~1\MInfraIS\MIINPazX.SYS
S3 MTOnlPktAlyX;MTOnlPktAlyX NDIS Protocol Driver;\??\X:\PROGRA~1\T-Online\T-ONLI~2\BASIS-~1\Basis1\MTOnlPktAlyX.SYS
S3 ssmdrv;ssmdrv;C:\WINDOWS\system32\DRIVERS\ssmdrv.sys
S3 VNUSB;VN Series Device;C:\WINDOWS\system32\DRIVERS\VNUSB.sys


**************************************************************************

catchme 0.3.1061 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2007-08-16 18:09:59
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden autostart entries ...

scanning hidden files ...

scan completed successfully
hidden files: 0

**************************************************************************

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"\\\\XXX.XXX.2.22\\EPSON Stylus CX6600 Series"="C:\\WINDOWS\\System32\\spool\\DRIVERS\\W32X86\\3\\E_FATI9EE.EXE /P41 \"\\\\XXX.XXX.2.22\\EPSON Stylus CX6600 Series\" /M \"Stylus CX6600\" /EF \"HKCU\""

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\
]


Completion time: 2007-08-16 18:10:34

--- E O F ---

habe SpyBot nach Neustart nochmal laufen lassen - jetzt kommt wieder die Meldung, daß Zlob.DNSCharger gefunden wurde...

--- Report generated: 2007-08-16 18:26 ---

Zlob.DNSChanger: TCP/IP Settings #1 (Undefined) (Registrierungsdatenbank-Änderung, nothing done)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Tcpip\Parameters\Interfaces\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}\NameServer=208.67.220.220,208.67.222.222


--- Spybot - Search & Destroy version: 1.4 (build: 20050523) ---

2005-05-31 blindman.exe (1.0.0.1)
2005-05-31 SpybotSD.exe (1.4.0.3)
2005-05-31 TeaTimer.exe (1.4.0.2)
2006-08-07 unins000.exe (51.41.0.0)
2005-05-31 Update.exe (1.4.0.0)
2007-05-23 advcheck.dll (1.5.3.0)
2005-05-31 aports.dll (2.1.0.0)
2005-05-31 borlndmm.dll (7.0.4.453)
2005-05-31 delphimm.dll (7.0.4.453)
2005-05-31 SDHelper.dll (1.4.0.0)
2007-07-31 Tools.dll (2.1.2.0)
2005-05-31 UnzDll.dll (1.73.1.1)
2005-05-31 ZipDll.dll (1.73.2.0)
2007-08-15 Includes\Cookies.sbi (*)
2007-07-25 Includes\Dialer.sbi (*)
2007-08-15 Includes\DialerC.sbi (*)
2007-07-11 Includes\Hijackers.sbi (*)
2007-08-15 Includes\HijackersC.sbi (*)
2007-07-25 Includes\Keyloggers.sbi (*)
2007-08-15 Includes\KeyloggersC.sbi (*)
2004-11-29 Includes\LSP.sbi (*)
2007-08-01 Includes\Malware.sbi (*)
2007-08-15 Includes\MalwareC.sbi (*)
2007-08-08 Includes\PUPS.sbi (*)
2007-08-15 Includes\PUPSC.sbi (*)
2007-08-15 Includes\Revision.sbi (*)
2007-05-30 Includes\Security.sbi (*)
2007-08-15 Includes\SecurityC.sbi (*)
2007-08-01 Includes\Spybots.sbi (*)
2007-08-15 Includes\SpybotsC.sbi (*)
2005-02-17 Includes\Tracks.uti
2007-08-01 Includes\Trojans.sbi (*)
2007-08-15 Includes\TrojansC.sbi (*)
2007-06-06 Plugins\TCPIPAddress.dll

mfg A6freak

#4 Du musst in der Registrieung nach 85.255.115.6,85.255.112.20 suchen und diese IPs entsprechend durch "0"en ersetzen, denn das sind diese Zlob IPs, warum Spybot die vom freien DNS Server als Zlobn meldet, kann ich dir nicht sagen, aber fragen kann ich ja mal!
__________
MfG Ralf
SEO-Spam Hunter

#5 jetzt komm ich nicht mit - in welcher Registrierung?
meinst Du Du Ausführen, cmd, regedit ?

mfg A6freak

#6 @A6freak
Poste nochmal ein log von HijackThis
__________
MfG Argus

#7 jo - kommt:

Logfile of HijackThis v1.99.1
Scan saved at 10:48:58, on 17.08.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16473)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
X:\Programme\Logitech\iTouch\iTouch.exe
X:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\T-ONLINE\DSL-MA~1\TODSLMGR.EXE
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
X:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE
x:\Programme\Logitech\MouseWare\system\em_exec.exe
X:\Programme\CA\eTrust Internet Security Suite\caissdt.exe
X:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe
C:\WINDOWS\system32\RunDLL32.exe
C:\Programme\FreePDF_XP\fpassist.exe
X:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
C:\Programme\WinTV\Ir.exe
C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
X:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
X:\Programme\Hardcopy\hardcopy.exe
X:\Programme\HP\Digital Imaging\bin\hpqimzone.exe
X:\Programme\HP\Digital Imaging\bin\hpqSTE08.exe
C:\Programme\Internet Explorer\iexplore.exe
X:\Programme\Microsoft Office\Office10\OUTLOOK.EXE
X:\PROGRA~1\ZONELA~1\ZONEAL~1\MAILFR~1\mantispm.exe
X:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Programme\Messenger\msmsgs.exe
X:\Download\Tools\Internet-Sicherheit\Hjt\hijackthis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - X:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: WsftpBrowserHelper Class - {601ED020-FB6C-11D3-87D8-0050DA59922B} - x:\Programme\Ipswitch\WS_FTP Pro\wsbho2k0.dll
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [zBrowser Launcher] x:\Programme\Logitech\iTouch\iTouch.exe
O4 - HKLM\..\Run: [HP Software Update] X:\Programme\HP\HP Software Update\HPWuSchd2.exe
O4 - HKLM\..\Run: [HPHUPD08] X:\Programme\HP\Digital Imaging\{33D6CC28-9F75-4d1b-A11D-98895B3A3729}\hphupd08.exe
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [T-Online DSL-Manager] "C:\PROGRA~1\T-ONLINE\DSL-MA~1\TODSLMGR.EXE"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [PCSuiteTrayApplication] X:\PROGRA~1\Nokia\NOKIAP~1\LAUNCH~1.EXE -startup
O4 - HKLM\..\Run: [CaISSDT] "x:\Programme\CA\eTrust Internet Security Suite\caissdt.exe"
O4 - HKLM\..\Run: [eTrustPPAP] "X:\Programme\CA\eTrust Internet Security Suite\eTrust PestPatrol Anti-Spyware\PPActiveDetection.exe"
O4 - HKLM\..\Run: [spywarefighterguard] X:\Programme\SPYWAREfighter\spfprc.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe
O4 - HKLM\..\Run: [ZoneAlarm Client] "x:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [UserFaultCheck] %systemroot%\system32\dumprep 0 -u
O4 - HKCU\..\Run: [\\___.___.2.22\EPSON Stylus CX6600 Series] C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\E_FATI9EE.EXE /P41 "\\___.___.2.22\EPSON Stylus CX6600 Series" /M "Stylus CX6600" /EF "HKCU"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] x:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Startup: Hardcopy.LNK = X:\Programme\Hardcopy\hardcopy.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = X:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutoStart IR.lnk = C:\Programme\WinTV\Ir.exe
O4 - Global Startup: Device Detector 3.lnk = C:\Programme\Olympus\DeviceDetector\DevDtct2.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = X:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = X:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O4 - Global Startup: Sinus 154 stick WLAN Manager.lnk = C:\Programme\DT\Sinus 154 stick\Wifiusb.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://X:\PROGRA~1\MICROS~1\Office10\EXCEL.EXE/3000
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O10 - Unknown file in Winsock LSP: c:\windows\system32\spacklsp.dll
O16 - DPF: {4E330863-6A11-11D0-BFD8-006097237877} (InstallFromTheWeb ActiveX Control) - http://tw.msi.com.tw/autobios/client/iftwclix.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - https://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{40BAC1FB-211F-4CB4-BA51-D27BB5209DC2}: NameServer = ___.___.2.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{A33AA1D9-87F8-45A2-BA54-A9127CCA5B3F}: NameServer = 208.67.220.220,208.67.222.222
O17 - HKLM\System\CCS\Services\Tcpip\..\{DCB59333-D2FB-408B-9146-CE519F33218B}: NameServer = ___.___.2.1
O21 - SSODL: WPDShServiceObj - {AAA288BA-9A4C-45B0-95D7-94D524869DB5} - C:\WINDOWS\system32\WPDShServiceObj.dll
O23 - Service: Adobe LM Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe
O23 - Service: AntiVir Scheduler (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Service (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\Gemeinsame Dateien\PCSuite\Services\ServiceLayer.exe
O23 - Service: T-Online DSL-Manager (TODslService) - T-Systems International GmbH - C:\Programme\T-Online\DSL-Manager\TODslSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe