Firefox: RKIT/Hack.B.1 ?!

#1 Hallo liebe Experten,

könnt ihr mal nachsehen, ob auf meinem System (Win XP SP2) alles in Ordnung ausschaut?
Ich hab' nämlich gerade während des Löschens mit CCleaner mehrfach von Avira Antivir folgende Meldlung erhalten:

"In der Datei 'C:\Dokumente und Einstellungen\Ilka\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\tnjd9ord.default\Cache\_CACHE_MAP_'
wurde ein Virus oder unerwünschtes Programm 'RKIT/Hack.B.1' [trojan] gefunden.
Ausgeführte Aktion: Zugriff verweigern"

Logfile of HijackThis v1.99.1
Scan saved at 13:03:33, on 25.04.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16640)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\Programme\D-Link\AirPlus G\AirGCFG.exe
C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
C:\Programme\Java\jre1.6.0_05\bin\jusched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Adobe\Acrobat 7.0\Reader\AcroRd32.exe
C:\Programme\a-squared Free\a2service.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Dokumente und Einstellungen\Ilka\Desktop\This.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://adfarm.mediaplex.com/ad/ck/2399-9636-5686-3847
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [D-Link AirPlus G] C:\Programme\D-Link\AirPlus G\AirGCFG.exe
O4 - HKLM\..\Run: [ANIWZCS2Service] C:\Programme\ANI\ANIWZCS2 Service\WZCSLDR2.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_05\bin\jusched.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_05\bin\ssv.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - %windir%\Network Diagnostic\xpnetdiag.exe (file missing)
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {0e921e80-267a-42aa-aee4-60b9a1222a44} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (HKCU)
O11 - Options group: [INTERNATIONAL] International*
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: a-squared Free Service (a2free) - Emsi Software GmbH - C:\Programme\a-squared Free\a2service.exe
O23 - Service: ANIWZCSd Service (ANIWZCSdService) - Alpha Networks Inc. - C:\Programme\ANI\ANIWZCS2 Service\ANIWZCSdS.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: Avira AntiVir Personal – Free Antivirus Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe

Und hier "datfind":

Verzeichnis von C:\WINDOWS\system32

25.04.2008 12:12 2.206 wpa.dbl
25.04.2008 12:11 5 ANIWZCSUSERNAME{CFC71352-0168-42FF-9302-F286DF0AB15B}
25.04.2008 12:11 81.496 nvapps.xml
25.04.2008 12:11 7 ANIWZCSUSERNAME
13.04.2008 12:54 6.641 jupdate-1.6.0_05-b13.log
09.04.2008 12:55 260.640 FNTCACHE.DAT
06.04.2008 07:56 19.836.024 MRT.exe
30.03.2008 10:00 48.156 perfc007.dat
30.03.2008 10:00 311.604 perfh009.dat
30.03.2008 10:00 316.594 perfh007.dat
30.03.2008 10:00 39.992 perfc009.dat
30.03.2008 10:00 723.744 PerfStringBackup.INI
24.03.2008 16:09 3.766 KGyGaAvL.sys
24.03.2008 16:08 56 37FB8278BD.sys
24.03.2008 15:55 1.580 tsdigsgn.dat
20.03.2008 10:03 1.845.376 win32k.sys
01.03.2008 18:24 3.591.680 mshtml.dll
01.03.2008 14:54 233.472 webcheck.dll
01.03.2008 14:54 826.368 wininet.dll
01.03.2008 14:54 1.159.680 urlmon.dll
01.03.2008 14:54 105.984 url.dll
01.03.2008 14:54 44.544 pngfilt.dll
01.03.2008 14:54 102.912 occache.dll
01.03.2008 14:54 193.024 msrating.dll
01.03.2008 14:54 671.232 mstime.dll
01.03.2008 14:54 478.208 mshtmled.dll
01.03.2008 14:53 52.224 msfeedsbs.dll
01.03.2008 14:53 459.264 msfeeds.dll
01.03.2008 14:53 27.648 jsproxy.dll
01.03.2008 14:53 1.831.424 inetcpl.cpl
01.03.2008 14:53 44.544 iernonce.dll
01.03.2008 14:53 267.776 iertutil.dll
01.03.2008 14:53 6.066.176 ieframe.dll
01.03.2008 14:53 384.512 iedkcs32.dll
01.03.2008 14:53 230.400 ieaksie.dll
01.03.2008 14:53 63.488 icardie.dll
01.03.2008 14:53 153.088 ieakeng.dll
01.03.2008 14:53 133.120 extmgr.dll
01.03.2008 14:53 214.528 dxtrans.dll
01.03.2008 14:53 383.488 ieapfltr.dll
01.03.2008 14:53 347.136 dxtmsft.dll
01.03.2008 14:53 124.928 advpack.dll
29.02.2008 10:54 70.656 ie4uinit.exe
22.02.2008 12:00 13.824 ieudinit.exe
22.02.2008 02:33 139.264 javaws.exe
22.02.2008 02:33 69.632 javacpl.cpl
22.02.2008 01:23 135.168 javaw.exe
22.02.2008 01:23 135.168 java.exe
20.02.2008 08:50 282.624 gdi32.dll
20.02.2008 07:33 148.992 dnsapi.dll
20.02.2008 07:33 45.568 dnsrslvr.dll
15.02.2008 07:44 161.792 ieakui.dll
31.01.2008 10:42 26.624 ssmenu.dll
31.01.2008 10:42 2.020.864 VCL50.bpl
31.01.2008 10:42 66.048 VCLSMP50.bpl
31.01.2008 10:42 248.832 VCLX50.bpl
29.01.2008 19:24 3.284 ANIWZCS{CFC71352-0168-42FF-9302-F286DF0AB15B}
29.01.2008 17:15 3.284 ANIWZCS{4672438B-2747-4326-A672-33F4BA7B0C25}
28.01.2008 14:48 589 zhp1000.log
15.12.2007 15:51 138.738 TZLog.log
04.12.2007 20:40 550.912 oleaut32.dll


Verzeichnis von C:\DOKUME~1\..\LOKALE~1\Temp

25.04.2008 13:04 99.978 datfind.txt
25.04.2008 12:49 482 restart.a2s
25.04.2008 12:49 854 LastScan.txt
25.04.2008 12:16 5.876 jusched.log
24.03.2008 16:12 243.858 isp2A.tmp
24.03.2008 00:04 16.384 ~DF6416.tmp
21.03.2008 19:40 599 ink_ext_stderr_7R0Q8T
21.03.2008 19:40 599 ink_ext_stderr_H6OC8T
21.03.2008 15:13 14.081 tmp2B.tmp
21.03.2008 15:11 107.512 Set33.tmp
10.05.2007 10:39 360.488 ooqvkghd.exe
02.12.2002 17:33 107.512 set20.tmp
02.12.2002 17:33 107.512 set16.tmp
02.12.2002 17:33 107.512 set1E.tmp
02.12.2002 17:33 107.512 set14.tmp
02.12.2002 16:33 107.512 set2.tmp
28.04.2002 22:48 20.480 Wolkendecke.doc
17 Datei(en) 1.408.751 Bytes
0 Verzeichnis(se), 42.688.708.608 Bytes frei


Verzeichnis von C:\WINDOWS

25.04.2008 12:11 1.952.048 WindowsUpdate.log
25.04.2008 12:11 50 wiaservc.log
25.04.2008 12:11 159 wiadebug.log
25.04.2008 12:11 2.048 bootstat.dat
22.04.2008 20:16 114 tdf.dii
22.04.2008 20:16 3.133 tm.ini
18.04.2008 22:29 69 NeroDigital.ini
24.03.2008 17:41 280 emm386x.dl
31.01.2008 10:42 36 TSNPL.dat
27.01.2008 23:44 907 SIMTUNES.INI
23.12.2007 22:13 16 wininit.ini
23.06.2007 15:47 247 SYSTEM.MXS
23.06.2007 15:47 247 system.ini
13.06.2007 15:10 1.036.288 explorer.exe
12.05.2007 16:39 316.640 WMSysPr9.prx
21.02.2007 14:07 258 RtlRack.ini
20.02.2007 16:13 25 SIERRA.INI
25.01.2007 20:05 853 win.ini
18.01.2007 18:27 5.864 ModemLog_Standard 56000 bps Modem.txt
11.10.2006 17:47 0 Sti_Trace.log
05.10.2006 19:08 4.096 d3dx.dat
30.09.2006 15:11 2.904 mozver.dat
27.09.2006 17:51 32.768 closewnd.exe
26.09.2006 17:44 400 ODBC.INI
26.09.2006 16:14 0 nsreg.dat
26.09.2006 15:19 8.192 REGLOCS.OLD
26.09.2006 15:16 0 control.ini
26.09.2006 15:16 299.552 WMSysPrx.prx
26.09.2006 15:16 4.161 ODBCINST.INI
26.09.2006 15:15 749 WindowsShell.Manifest
26.09.2006 15:14 36 vb.ini
26.09.2006 15:14 37 vbaddin.ini
27.05.2005 01:22 10.752 hh.exe
04.08.2004 00:58 288.768 winhlp32.exe
04.08.2004 00:58 32.866 slrundll.exe
04.08.2004 00:58 153.600 regedit.exe
04.08.2004 00:58 70.144 notepad.exe
04.08.2004 00:57 50.688 twain_32.dll
17.07.2004 11:40 19.528 002140_.tmp
29.03.2004 17:23 90.112 unvise32.exe
02.06.2003 09:43 24.576 CmiUSBUninstall.exe
15.08.2002 12:46 46.592 SOUNDMAN.EXE
27.05.2002 14:37 271 apptune.ini
27.05.2002 14:37 90.112 apptune.exe
29.04.2002 15:59 69 wma25.ini
17.03.2002 02:00 7.420 UA000059.DLL
18.08.2001 14:00 25.600 twunk_32.exe
18.08.2001 14:00 49.680 twunk_16.exe
18.08.2001 14:00 15.872 TASKMAN.EXE
18.08.2001 14:00 13.898 SET7.tmp
18.08.2001 14:00 1.085.913 SET3.tmp
18.08.2001 14:00 18.944 vmmreg32.dll
18.08.2001 14:00 1.405 msdfmap.ini
18.08.2001 14:00 34.818 wmprfDEU.prx
18.08.2001 14:00 707 _default.pif
18.08.2001 14:00 80 explorer.scf
18.08.2001 14:00 2 desktop.ini
18.08.2001 14:00 257.568 winhelp.exe
18.08.2001 14:00 82.944 clock.avi
18.08.2001 14:00 94.800 twain.dll
18.08.2001 14:00 48.680 winnt.bmp
18.08.2001 14:00 48.680 winnt256.bmp
06.07.2001 00:19 164 avrack.ini
17.11.1998 13:44 328.704 IsUn0407.exe
29.10.1998 17:45 306.688 IsUninst.exe
18.01.1997 13:40 299.520 uninst.exe
09.12.1996 21:33 304.128 unin0407.exe
67 Datei(en) 7.576.470 Bytes
0 Verzeichnis(se), 42.688.704.512 Bytes frei

Verzeichnis von C:\WINDOWS\temp

25.04.2008 12:12 409 WGANotify.settings
25.04.2008 12:11 255 WGAErrLog.txt
2 Datei(en) 664 Bytes
0 Verzeichnis(se), 42.688.704.512 Bytes frei


Verzeichnis von C:\WINDOWS\Downloaded Program Files

26.09.2006 15:15 65 desktop.ini
10.06.2005 18:44 417.792 isusweb.dll
25.07.2002 18:13 24.576 dwusplay.dll
25.07.2002 18:13 196.608 dwusplay.exe
4 Datei(en) 639.041 Bytes
0 Verzeichnis(se), 42.688.704.512 Bytes frei


Vielen Dank für eure Bemühungen!!!
MfG - cede

#2 Hallo Cede,
wenn du den Cleaner anwendest und auch das Firefox-Cache mit leeren lässt, sollte das Problem behoben sein.
Dennoch mache noch einen Onlinescan mit bitdefender
http://virus-protect.org/onlinescan.html
__________
MfG Sabina

rund um die PC-Sicherheit

#3 Vielen Dank, Sabine!
Es scheint alles O.K. zu sein.