Unbekannte Temp-Dateien und Registry-Einträge S-1-5-21-11

#1 **UPDATE** betrifft Thread: Unbekannte Malware.. Bitte Euch um Hilfe

Konnte nicht mehr zuwarten und habe das System erneut neu aufgesetzt,
Obwohl ich noch immer ein Risiko bezüglich Malware befürchte..
Boot mit XP-CD war nicht möglich, habe deshalb lowlevel-format durchgeführt mit adaptec-scsi-tool (aus SCSI-Bios).
Trotzdem bleibt die XP-CD nach dem Booten bei der Hardwareerkennung stehen
Neuer Versuch, reset Router, Update Motherboard-Bios (etwa zum vierten Mal, saubere Floppy)
Noch immer bleibt die XP-CD bei der Hardwareerkennung stehen..
Also versuch ich's mit der Hardware:
Reset Bios (löschen mit Jumper), Motherboard-Batterie ersetzen,
SCSI-Adapter, PCI-Soundkarte, AGP-Grafikarte und DIMM raus und mit Staubsauger die Slots und Motherbord reinigen/entstauben
SCSI-Adapter, PCI-Soundkarte und DIMM in andere Slots wieder einsetzen
Bios neu einstellen und Booten von der XP-CD klappt diesmal
Bis jetzt läuft das System einwandfrei, alle MS-Updates installiert und alle Tools/Software funktionieren ebenfalls (KAV6, SpywareTerminator, AuslogicDiskdefrag, C-Cleaner, Firefox, Adobe PDF, Flash usw.).

Das Einzige worüber ich mir noch Sorgen mache ist folgendes:

-Unbekannte Temp-Dateien ~DFDDAD.tmp, DF6788.tmp (immer 16 oder 160KB gross, immer zwischen 2-4 Dateien, \windows\temp und \Dok-Einstell\..\Lokale..\temp

-Meldungen von der Firewall über Registry-Zugriff:
z.B.
Ein Versuch zum Erstellen eines Werts in einen Systemregistrierungsschlüssel, der zur Gruppe System Startup gehört, wurde abgefangen. Diese Schlüssel kontrollieren den Bestand der Module, die beim Start von Microsoft Windows geladen werden.
Prozess (PID:3632) C:\WINDOWS\system32\ctfmon.exe
HKEY_USERS\S-1-5-21-11... u.ä.
z.B.
Ein Versuch zum Löschen eines Werts in einen Systemregistrierungsschlüssel, der zur Gruppe Internet Explorer Settings gehört, wurde abgefangen. Diese Schlüssel kontrollieren die Sicherheitseinstellungen des Browsers Microsoft Internet Explorer.

Detailinformationen über das Ereignis:
Schlüssel: HKEY_USERS\S-1-5-21-117609710-606747145-682003330-1003\Software\Microsoft\Internet Explorer\SearchUrl
Wert: provider
Datentyp: Unicode-Zeile, die mit einer Null endet


Meldungen kommen z.B. bei Start des Windows-Explorers, Start der Suchfunktion oder auch bei Wordpad.

Weiss jemand Bescheid woher diese Temp-Dateien kommen und auch etwas über diese Registry-Einträge bezüglich S-1-5-21-...??

Danke und Gruss,
piwi