virus alert in der taskleiste

#1 hi,

hab mir irgendeinen virus oder ähnliches eingefangen. hab dann gleich mal danach gegoogelt und folgendes getan:

claenup ausgeführt wie hier im forum beschrieben
combofix ausgeführt

folgendes logfile:

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\mm\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\5MJETTHZ\www.broadcaster.com
C:\Dokumente und Einstellungen\mm\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\5MJETTHZ\www.broadcaster.com\played_list.sol
C:\Dokumente und Einstellungen\mm\Anwendungsdaten\macromedia\Flash Player\#SharedObjects\5MJETTHZ\www.broadcaster.com\video_queue.sol
C:\Dokumente und Einstellungen\mm\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com
C:\Dokumente und Einstellungen\mm\Anwendungsdaten\macromedia\Flash Player\macromedia.com\support\flashplayer\sys\#www.broadcaster.com\settings.sol
C:\Dokumente und Einstellungen\mm\Desktop\Error Cleaner.url
C:\Dokumente und Einstellungen\mm\Desktop\Privacy Protector.url
C:\Dokumente und Einstellungen\mm\Desktop\Spyware&Malware Protection.url
C:\Dokumente und Einstellungen\mm\Favoriten\Error Cleaner.url
C:\Dokumente und Einstellungen\mm\Favoriten\Privacy Protector.url
C:\Dokumente und Einstellungen\mm\Favoriten\Spyware&Malware Protection.url
C:\WINDOWS\bgrqfetx.dll
C:\WINDOWS\edsa.exe
C:\WINDOWS\privacy_danger
C:\WINDOWS\privacy_danger\images\capt.gif
C:\WINDOWS\privacy_danger\images\danger.jpg
C:\WINDOWS\privacy_danger\images\down.gif
C:\WINDOWS\privacy_danger\images\spacer.gif
C:\WINDOWS\system32\rlls.dll
C:\WINDOWS\tfnslopk.dll
C:\WINDOWS\wnlmdakqeor.dll
C:\WINDOWS\xokvrpwg.dll

.
((((((((((((((((((((((( Dateien erstellt von 2008-07-07 bis 2008-08-07 ))))))))))))))))))))))))))))))
.

2008-08-07 23:19 . 2008-08-07 23:19 <DIR> d-------- C:\Programme\CleanUp!
2008-08-07 23:03 . 2008-08-07 23:03 <DIR> d-------- C:\Programme\Trend Micro
2008-08-07 22:56 . 2008-08-07 18:54 86,016 --a------ C:\WINDOWS\lnvegaow.exe
2008-07-29 21:06 . 2006-10-05 04:42 2,560 --------- C:\WINDOWS\system32\drivers\cdralw2k.sys
2008-07-29 21:06 . 2006-10-05 04:42 2,432 --------- C:\WINDOWS\system32\drivers\cdr4_xp.sys
2008-07-29 21:05 . 2008-07-29 21:06 <DIR> d-------- C:\Programme\Picasa2
2008-07-28 21:18 . 2008-07-28 21:18 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Skype
2008-07-28 21:18 . 2008-07-28 21:18 56 --ah----- C:\WINDOWS\system32\ezsidmv.dat
2008-07-15 11:35 . 2008-07-15 11:35 <DIR> d-------- C:\WINDOWS\system32\LogFiles
2008-07-14 21:13 . 2008-07-14 21:13 <DIR> d-------- C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-07 21:29 --------- d-----w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\stickies
2008-08-07 21:28 --------- d-----w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\DNA
2008-08-07 21:01 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AVG7
2008-08-07 20:49 --------- d-----w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\Skype
2008-08-07 20:47 --------- d-----w C:\Programme\Native Instruments
2008-08-07 14:08 --------- d-----w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\skypePM
2008-08-04 20:42 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-08-04 15:33 --------- d-----w C:\Programme\LimeWire
2008-07-28 21:11 --------- d--h--w C:\Programme\InstallJammer Registry
2008-07-14 19:13 20,747 ----a-w C:\WINDOWS\system32\drivers\AegisP.sys
2008-07-13 18:11 54,261 ----a-w C:\Programme\messages.log
2008-07-13 18:11 --------- d-----w C:\Programme\Zak2
2008-06-26 16:53 --------- d-----w C:\Programme\Xvid
2008-06-16 20:04 --------- d-----w C:\Programme\Sega
2008-06-16 17:27 --------- d-----w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\SAU KP
2008-06-11 18:15 --------- d-----w C:\Programme\Dream Match Tennis
2008-05-08 10:23 1,419,232 ----a-w C:\WINDOWS\system32\wdfcoinstaller01005.dll
2008-03-30 21:49 32 ----a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2007-02-09 21:41 25,214 ----a-w C:\Programme\B.ico
2007-02-09 21:41 25,214 ----a-w C:\Programme\A.ico
2003-12-03 20:23 47,032 ----a-w C:\Dokumente und Einstellungen\mm\Anwendungsdaten\GDIPFONTCACHEV1.DAT
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BitTorrent DNA"="C:\Programme\DNA\btdna.exe" [2008-05-08 12:05 289088]
"updateMgr"="C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" [2006-03-30 17:45 313472]
"Picasa Media Detector"="C:\Programme\Picasa2\PicasaMediaDetector.exe" [2008-02-26 03:23 443968]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"AVG7_CC"="C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe" [2008-04-16 21:24 579584]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-08-11 21:43 7630848]
"NeroCheck"="C:\WINDOWS\system32\\NeroCheck.exe" [2001-07-09 12:50 155648]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2007-04-27 09:41 282624]
"SoundMan"="SOUNDMAN.EXE" [2003-01-07 12:09 46592 C:\WINDOWS\SOUNDMAN.EXE]
"WtmPan"="WtmPan.Exe" [2002-06-25 13:42 499712 C:\WINDOWS\system32\WtmPan.exe]
"nwiz"="nwiz.exe" [2006-08-11 21:43 1519616 C:\WINDOWS\system32\nwiz.exe]
"NvMediaCenter"="NvMCTray.dll" [2006-08-11 21:43 86016 C:\WINDOWS\system32\nvmctray.dll]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\System32\CTFMON.EXE" [2004-08-04 00:57 15360]
"AVG7_Run"="C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe" [2007-10-22 21:08 219136]

C:\Dokumente und Einstellungen\mm\Startmen�\Programme\Autostart\
Stickies.lnk - C:\Programme\Stickies\stickies.exe [2008-01-16 22:39:45 757760]

C:\Dokumente und Einstellungen\All Users\Startmen�\Programme\Autostart\
Adobe Reader - Schnellstart.lnk - C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe [2005-09-23 23:05:26 29696]

C:\Dokumente und Einstellungen\All Users\Startmen�\Programme\Autostart\AutorunsDisabled
adobe reader - schnellstart.lnk.disabled [2005-05-02 22:13:54 1737]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.yv12"= yv12vfw.dll
"VIDC.MJPG"= Pvmjpg21.dll
"VIDC.PIM1"= pclepim1.dll
"VIDC.I420"= i420vfw.dll

[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\run-disabled]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" -atboottime
"WinampAgent"=C:\Programme\Winamp\winampa.exe
"CloneDVDElbyDelay"="C:\Programme\Elaborate Bytes\CloneDVD\ElbyCheck.exe" /L ElbyDelay
"CloneCDTray"="C:\Programme\Elaborate Bytes\CloneCD\CloneCDTray.exe"
"CloneCDElbyCDFL"="C:\Programme\Elaborate Bytes\CloneCD\ElbyCheck.exe" /L ElbyCDFL
"FreePDF Assistant"=C:\Programme\FreePDF_XP\fpassist.exe
"RealTray"=C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
"PinnacleDriverCheck"=C:\WINDOWS\System32\PSDrvCheck.exe
"NvCplDaemon"=RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\ICQ\\Icq.exe"=
"C:\\WINDOWS\\system32\\dpvsetup.exe"=
"C:\\StubInstaller.exe"=
"C:\\Programme\\LimeWire\\LimeWire.exe"=
"C:\\Programme\\NetMeeting\\conf.exe"=
"C:\\Programme\\Messenger\\msmsgs.exe"=
"C:\\Programme\\Grisoft\\AVG Free\\avginet.exe"=
"C:\\Programme\\Grisoft\\AVG Free\\avgamsvr.exe"=
"C:\\Programme\\Grisoft\\AVG Free\\avgcc.exe"=
"C:\\Programme\\Grisoft\\AVG Free\\avgemc.exe"=
"C:\\Programme\\eMule\\emule.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\Graphisoft\\ArchiCAD 10\\ArchiCAD.exe"=
"C:\\Programme\\Firaxis Games\\Sid Meier's Civilization 4\\Civilization4.exe"=
"C:\\Programme\\ICQLite\\ICQLite.exe"=
"C:\\Programme\\Miranda IM\\miranda32.exe"=
"C:\\Programme\\Trillian\\trillian.exe"=
"C:\\Programme\\DNA\\btdna.exe"=
"C:\\Programme\\Media Player Classic\\mplayerc.exe"=
"C:\\Programme\\uTorrent\\uTorrent.exe"=
"C:\\Programme\\Sony Ericsson\\Update Service\\Update Service.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:@xpsp2res.dll,-22009

R1 Cinemsup;Cinemsup;C:\WINDOWS\system32\drivers\Cinemsup.sys [2002-07-19 10:10]
R3 Wtm_01;Service for Waveterminal 192M-1;C:\WINDOWS\system32\drivers\Wtmwdm.sys [2002-06-25 13:42]
R3 Wtm_02;Service for Waveterminal 192M-2;C:\WINDOWS\system32\drivers\Wtmwdm2.sys [2002-06-25 13:42]
R3 Wtm_03;Service for Waveterminal 192M-3;C:\WINDOWS\system32\drivers\Wtmwdm3.sys [2002-06-25 13:42]
R3 Wtm_04;Service for Waveterminal 192M-4;C:\WINDOWS\system32\drivers\Wtmwdm4.sys [2002-06-25 13:42]
R3 Wtm_05;Service for Waveterminal 192M-5;C:\WINDOWS\system32\drivers\Wtmwdm5.sys [2002-06-25 13:42]
R3 Wtm_06;Service for Waveterminal 192M-6;C:\WINDOWS\system32\drivers\Wtmwdm6.sys [2002-06-25 13:42]
R3 Wtm_07;Service for Waveterminal 192M MIDI;C:\WINDOWS\system32\drivers\Wtmwdm7.sys [2002-06-25 13:42]
R3 Wtm_AA;Service for Waveterminal 192M Audio Driver (EWDM);C:\WINDOWS\system32\drivers\Wtm.sys [2002-06-25 13:42]
S0 ntcdrdrv;ntcdrdrv;C:\WINDOWS\system32\DRIVERS\ntcdrdrv.sys []
S2 portD;CMS PortIO Service;C:\WINDOWS\system32\DRIVERS\portd2k.sys []
S3 BENDER;Pinnacle DV/AV Capture;C:\WINDOWS\system32\drivers\bender.sys [2003-09-25 12:19]
S3 ggflt;SEMC USB Flash Driver Filter;C:\WINDOWS\system32\DRIVERS\ggflt.sys [2008-05-08 12:23]
S3 s125bus;Sony Ericsson Device 125 driver (WDM);C:\WINDOWS\system32\DRIVERS\s125bus.sys [2007-04-24 11:33]
S3 s125mdfl;Sony Ericsson Device 125 USB WMC Modem Filter;C:\WINDOWS\system32\DRIVERS\s125mdfl.sys [2007-04-24 11:33]
S3 s125mdm;Sony Ericsson Device 125 USB WMC Modem Driver;C:\WINDOWS\system32\DRIVERS\s125mdm.sys [2007-04-24 11:33]
S3 s125mgmt;Sony Ericsson Device 125 USB WMC Device Management Drivers (WDM);C:\WINDOWS\system32\DRIVERS\s125mgmt.sys [2007-04-24 11:33]
S3 s125obex;Sony Ericsson Device 125 USB WMC OBEX Interface;C:\WINDOWS\system32\DRIVERS\s125obex.sys [2007-04-24 11:33]

*Newly Created Service* - CATCHME
*Newly Created Service* - GTNDIS5
*Newly Created Service* - PROCEXP90
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

Toolbar-{D94F8861-8B9F-417B-960F-62212C452045} - C:\WINDOWS\bgrqfetx.dll
HKCU-Run-Translate.Net - C:\Programme\SAU KP\Translate.Net\Translate.Net.exe
HKLM-Run-NoteBurner - C:\Programme\NoteBurner\VTBurnerGUI.exe
HKU-Default-Run-Spyware Doctor - (no file)


.
------- Zusätzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\mm\Anwendungsdaten\Mozilla\Firefox\Profiles\msihry9f.default\
FireFox -: prefs.js - STARTUP.HOMEPAGE - hxxp://www.google.at
FF -: plugin - C:\Programme\Adobe\Acrobat 7.0\Reader\browser\nppdf32.dll
FF -: plugin - C:\Programme\DNA\plugins\npbtdna.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJava11.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJava12.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJava13.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJava14.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJava32.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPJPI150_06.dll
FF -: plugin - C:\Programme\Java\jre1.5.0_06\bin\NPOJI610.dll


**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-07 23:36:37
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Einträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

[HKEY_LOCAL_MACHINE\system\ControlSet001\Services\mchInjDrv]
"ImagePath"="\??\C:\WINDOWS\TEMP\mc21.tmp"
.
Zeit der Fertigstellung: 2008-08-07 23:38:12
ComboFix-quarantined-files.txt 2008-08-07 21:38:07

Pre-Run: 17 Verzeichnis(se), 62,252,670,976 Bytes frei
Post-Run: 20 Verzeichnis(se), 62,238,965,760 Bytes frei

194

logfile von hijackthis:

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe
C:\WINDOWS\System32\alg.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WMP54Gv4.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\WtmPan.Exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\DNA\btdna.exe
C:\WINDOWS\notepad.exe
C:\WINDOWS\explorer.exe
C:\Programme\Windows NT\Zubehör\WORDPAD.EXE
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = ://softwarereferral./jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O1 - Hosts: 208.172.158.234 download.windowsupdate.com
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WtmPan] WtmPan.Exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programme\DNA\btdna.exe"
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stickies.lnk = C:\Programme\Stickies\stickies.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutorunsDisabled
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {D9FE9055-484A-495B-850C-B4BE82C25F5A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {D9FE9055-484A-495B-850C-B4BE82C25F5A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (file missing) (HKCU)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Beerantiifh - Unknown owner - (no file)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programme\Spyware Doctor\sdhelp.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: WMP54Gv4SVC - GEMTEKS - C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe

--
End of file - 7693 bytes



was soll ich jetzt noch mit killbox löschen?



lg
david

#2 CombiFix entfernen
Start > Ausführen>Kopiere rein ComboFix /U OK

Schliesse alle Fenster und starte Hijack This
Klicke: Do a Systemscan only
Setze ein Häckchen in das Kästchen vor den genannten Eintrag bei

Zitat

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = ://softwarereferral./jump.php?wmid=6010&mid=MjI6Ojg5&lid=2

O1 - Hosts: 208.172.158.234 download.windowsupdate.com

O23 - Service: Beerantiifh - Unknown owner - (no file)

klicke: Fix checked
Dein Internet Explorer muss geschlossen wenn Du Fix Checked klickst

Benutze CrapCleaner
http://www.ccleaner.de/?protecus.de

Malwarebytes Anti-Malware fuer Windows 2000,XP und Vista
Download MBAM
Doppelklick mbam-setup und waehle Deutsch ,das Program wird jetzt ge-updatet
Waehle bei Reiter “Scanner”> "Schnell Scan durchfuehren" .
Waehle alle Laufwerke>Scan laufen lassen
Wenn am Ende infizierungen gefunden werden,anhaacken und entfernen lassen
Unter Scanberichte stet das log (mbam-log-XX-XX-XXXX.txt)
Poste dessen inhalt hier ins Forum
Note:
Wenn MBAM Schwierigkeiten damit hat Daten zu entfernen wird es gemeldet und klicke OK
Danach wird gefragt den Rechner neu zu starten,lass es zu
Nehme als Update Spiegel >>It-mate.co.uk
Malwarebytes Anti-Malware kann man nachher behalten !

Und ein Log von Hijack This
__________
MfG Argus

#3 hi. danke für die hilfe!!!!

anti-malware hat leider kein logfile erstellt. hab auf allen festplatten danach gesucht und nichts gefunden.

hijackthis logfile:


Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:57, on 08.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Unable to get Internet Explorer version!
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\WtmPan.Exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe
C:\Programme\DNA\btdna.exe
C:\Programme\Picasa2\PicasaMediaDetector.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\system32\rundll32.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Doctor\sdhelp.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\wdfmgr.exe
C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe
C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WMP54Gv4.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Outlook Express\msimn.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Windows NT\Zubehör\WORDPAD.EXE
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\System32\wbem\wmiprvse.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: PCTools Site Guard - {5C8B2A36-3DB1-42A4-A3CB-D426709BBFEB} - C:\PROGRA~1\SPYWAR~1\tools\iesdsg.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O2 - BHO: Google Toolbar Helper - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar1.dll
O2 - BHO: PCTools Browser Monitor - {B56A7D7D-6927-48C8-A975-17DF180C71AC} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar1.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [WtmPan] WtmPan.Exe
O4 - HKLM\..\Run: [AVG7_CC] C:\PROGRA~1\Grisoft\AVGFRE~1\avgcc.exe /STARTUP
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RunDLL32.exe NvMCTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\\NeroCheck.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKCU\..\Run: [BitTorrent DNA] "C:\Programme\DNA\btdna.exe"
O4 - HKCU\..\Run: [updateMgr] "C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe" AcRdB7_0_9 -reboot 1
O4 - HKCU\..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-19\..\Run: [AVG7_Run] C:\PROGRA~1\Grisoft\AVGFRE~1\avgw.exe /RUNONCE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user')
O4 - Startup: Stickies.lnk = C:\Programme\Stickies\stickies.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: AutorunsDisabled
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Spyware Doctor - {2D663D1A-8670-49D9-A1A5-4C56B4E14E84} - C:\PROGRA~1\SPYWAR~1\tools\iesdpb.dll
O9 - Extra button: ICQ Pro - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ - {6224f700-cba3-4071-b251-47cb894244cd} - C:\Programme\ICQ\ICQ.exe
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: Klicke hier um das Projekt xp-AntiSpy zu unterstützen - {D9FE9055-484A-495B-850C-B4BE82C25F5A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (file missing) (HKCU)
O9 - Extra 'Tools' menuitem: Unterstützung für xp-AntiSpy - {D9FE9055-484A-495B-850C-B4BE82C25F5A} - C:\Programme\xp-AntiSpy\sponsoring\sponsor.html (file missing) (HKCU)
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: AVG7 Alert Manager Server (Avg7Alrt) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgamsvr.exe
O23 - Service: AVG7 Update Service (Avg7UpdSvc) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgupsvc.exe
O23 - Service: AVG E-mail Scanner (AVGEMS) - GRISOFT, s.r.o. - C:\PROGRA~1\Grisoft\AVGFRE~1\avgemc.exe
O23 - Service: Beerantiifh - Unknown owner - (no file)
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Macromedia Licensing Service - Unknown owner - C:\Programme\Gemeinsame Dateien\Macromedia Shared\Service\Macromedia Licensing.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: PC Tools Spyware Doctor (SDhelper) - PC Tools Research Pty Ltd - C:\Programme\Spyware Doctor\sdhelp.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: WMP54Gv4SVC - GEMTEKS - C:\Programme\Linksys Wireless-G PCI Wireless Network Monitor\WLService.exe

--
End of file - 7519 bytes

lg
david

#4 Starte Malwarebytes klicke oben auf Scan berichte und da steht das log

Zitat

anti-malware hat leider kein logfile erstellt

__________
MfG Argus

#5 unter scanberichte ist natürlich auch nichts zu finden!
ich könnte noch ienmal einen scan durchführen. da das programm beim vorigen scan aber schon 9 objekte gefunden und dementsprechend vernichtet hat wird ein logfile eines erneuten scans nicht viel bringen.

david

#6 überprüfe mit combofix (oder manuell) , ob das hier gelöscht wurde
C:\WINDOWS\lnvegaow.exe
__________
MfG Sabina

rund um die PC-Sicherheit

#7 Hallo,

auch ich habe virus alert auf einem Laptop.

Habe HiJach this starten wollen. Funktioniert aber nicht! Nachdem der install-pfad ausgewählt wurde, macht das Programm nichts mehr.
Auf meinem standalone-PC geht es problemlos.

Bin für schnelle Hilfe dankbar.

#8 Hallo Supermario
Probiere die Executable-Version (ganz unten) von Hijackthis zu starten und einen Logfile zu posten. Falls sie auch nicht funktioniert , so nenne die (Executable)Hijackthis.exe um zu Hijackthis.com !

http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip

#9 Hallo Provisitor,

das funktioniert auch nicht. Kann es sein, das man dazu admin-rechte braucht? Ich kann mich leider nur als user anmelden.

#10 Versuchen wir es mit Malwarebytes zum Ersten, in der Hoffnung, dass irgendwann das Hijackthis wieder funktioniert.Wenn es nicht geht, dann versuche zuerst Malwarebytes im abgesicherten Modus zu starten.Danach probieren ob es auch im normalen Modus geht. Alles Gefundene auch löschen lassen, das Programm macht das nicht von selbst!!!

Malwarebytes:
http://virus-protect.org/artikel/tools/malwarebytes.html

#11 Hallo Provisitor und alle anderen,

bin die letzten Tage nicht dazu gekommen. Jetzt aber!

Ich habe malwarebytes im abgesicherten Modus über die Eingabeaufforderung gestartet. Folgender Fehler erscheint: "Exception EAccessViolation in module mbam-setup.exe at FF2592B4. Access violation at address FF65A42C. Read of address FF65A42C."

Im Normalen Modus erscheint der gleiche Fehler.

Hijack this kann ich immer noch nicht starten.

Was nun?

Nachtrag: Ich habe mir mal die Registry angeschaut. Da ist unter "HKEY_LOCAL_MACHINE\SOFTWARE\rhcjv0j0e3j7" Darunter sind so um die 25 Einträge. Unter anderem wird auf eine Website verwiesen: av-xp-2008/buy/67b....
Hat das etwas damit zu tun?

#12 Hallo supermario

lösche das aus der registry
HKEY_LOCAL_MACHINE\SOFTWARE\rhcjv0j0e3j7

wende systemscan an
http://virus-protect.org/artikel/tools/systemscan.html
hake nur an:
Showing files newer than 60 days
UNINSTALL LIST
HIJACKTHIS LOG
SUSPICIOUS FILES
__________
MfG Sabina

rund um die PC-Sicherheit

#13 Hallo sabina,

das hat leider auch nichts gebracht. Ich konnte zwar den Registry-Eintrag löschen aber die Programme hijack this, malwarebytes und systemscan lassen sich weder im abgesicherten noch im normalen modus starten. Auf meinem cleanen Rechner laufen die wunderbar.

MfG supermario

#14 Versuche mal
SDFix
Download SDFix zum Desktop

Starte dein Recher in
abgesicherten Modus

SDFix.zip entpacken
unter C:\ findet man nun den SDFix-Ordner

Doppelklick RunThis.bat
Schreibe: Y folge allen Anweisungen
Dann wird der Rechner neustarten
SDFix entfernt jetzt die gefundene Objekte
Kopiere den Inhalt des Berichts SophosReport.txt ” der jetzt auf dein Desktop steht in diesen Thread
__________
MfG Argus

#15 Hallo in die Runde,

die Programme funktionieren alle nicht. Ist mir ein Rätsel. (smitfraudfix, combofix, hijack this, malwarebytes, sdfix, systemscan - habe ich alle probiert).
Das Einzige war Cleanup! Das ging. Habe dadurch alle tmp-Dateien, Cookies, Verlauf,.. gelöscht.

Ich habe mir dan die Arbeit gemacht und die registry durchgesucht, was m.M.n. auffällig ist; weiterhin in der msconfig die Anwendungen die bei Starten geladen werden. Das Problem hat am 03.08.08 begonnen. Dadurch konnte ich einige Dateien und Ordner ausfindig machen.

Folgendes Ergebnis:
1. buritos.exe (C:\windows und ..\system32)
2. rhcjv0j0e3j7.exe (C:\windows und ..\system32 und in den Anwendungsdaten vom Admin)
3. lphcnv0j0e3j7.exe

Habe soweit alles deinstallieren/löschen können.

Folgende Probleme bestehen noch:
1. Beim Start im Normalmodus wird mir nur ein Benutzerkonto angezeigt. Den Admin kann man nich´t auswählen und darüber starten.
2. In der Taskleiste weiterhin die Info "VIRUS ALERT!" eben der Uhr.
3. Im Startmenu keine Anzeige von Systemsteuerung, Alle Programme, Ausführen,... (wenn man die Sachen einblenden lässt, duaert es nicht lange sind sie weider weg!)

Dafür sind doch mit Sicherheit noch Registry-Einträge verantwortlich, oder?
Wie kann ich das Problem lösen?

Soll ich die Registry exportieren und hier posten? Ist das hilfreich?

Bin um weiter Hilfe dankbar.

MfG supermario