Antivirus XP 2008 entfernen für Dummies

#1 Hallo,

wie ihr seht, bin ich neu im Forum und habe mich heute angemeldet, weil ich zu den Dummen gehöre, die von Antivirus XP 2008 gequält werden.

Ist jetzt das zweite Mal in 2 Monaten, dass ich ein solches Programm drauf habe, beim ersten Mal hat ein "Fachmann" mein Betriebssystem neu installiert und mir Kaspersky empfohlen.

Ich dachte eigentlich, dass mir sowas nun nicht passieren kann, aber falsch gedacht...

Jedenfalls habe ich keine Ahnung von PCs und konnte den PC auch nicht reparieren lassen, weil ich diese Woche immer bis 8 Uhr abends gearbeitet habe.
Habe im Netz gelesen, dass man sich AntiVir, SpyBot etc installieren soll, aber die Installation wird immer abgebrochen. Mein Explorer spielt auch verrückt, ebenso wie der task manager.
Oben erwähnter Fachmann hat mir geraten ein neues Benutzerkonto anzulegen und SpyBot darüber laufen zu lassen, aber das scheint auch nicht zu gehen.

Ist hier jemand bereit einem komplett Unwissenden durch diese Sache zu helfen? Ich habe noch nie ein log gepostet oder ähnliches...

Manche Foren-Teilnehmer geben den Rat, das Betriebssystem neu drauf zu spielen - ist dann nicht meine Kaspersky Lizenz futsch?
Ansonsten könnte ich das machen - habe keine wichtigen Daten auf meinem PC...


Ihr glaubt gar nicht, wie dankbar ich für eine Antwort bin!
Und sorry für alle, die von dem unendlichen post genervt sind

#2 Hallo Kilburn
Was Deine Kaspersky- Lizenz angeht, so glaube ich, dass dieses Programm mit einer .reg-Datei freigeschaltet ist, die Du zur Original-Software bei der Erst-Installation bzw. nach Ablauf wieder neu erwerben kannst.In der Regel müßte sich diese Datei sichern lassen, und nach einem Neuaufsetzen des Systems wieder aufspielen lassen. Mache Dich aber diesbezüglich nochmal genau kundig, im Detail habe ich da auch noch keine Erfahrungen.
Solltest Du Dich fütr eine "Reparatur" entscheiden, so benutze erst CCleaner und lösche die Temp-Dateien.
Anschließend lade Dir Hijackthis (erstmal die Executable),
Clicke "Do A Systemscan and save a Logfile"
Den Inhalt der gespeicherten .log-Datei poste dann bitte hier ins Forum.
Du bekommst dann gesagt was danach zu tun ist.
Link Hijackthis:
http://www.trendsecure.com/portal/en-US/threat_analytics/HiJackThis.zip

#3 Hi Kilburn,

es ist so, wie Provisitor sagt. Mit dem Erwerb einer Kaspersky-Version hast Du eine Mail mit dem Aktivierungscode und dem Lizenzschlüssel, sowie einer weiteren, wo Dir Kundennummer und Passwort mitgeteilt wird, erhalten

Solltest Du den Aktivierungscode jedoch nicht mehr finden, dann kannst Du Dich im Kaspersky PersonalCabinet mit Kundennummer und Passwort anmelden. Dort kannst Du Deine Daten dann nachlesen und sie Dir aufnotieren.
https://support.kaspersky.com/de/PersonalCabinet

Solltest Du Dich für die Reinigung entscheiden, dann gehe bitte nach der Beschreibung in folgendem Link vor:
http://board.protecus.de/t23188.htm

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#4 Hallo Provisitor, Hallo Heron,

das ging ja schnell mit euren Antworten!
Wenn mich einer an der Hand nimmt, probiere ich es mal mit der Reparatur!

Bezüglich Kaspersky habe ich den key, den activation code und meine settings gespeichert bzw. exportiert.

Habe den CCleaner angewendet.
HijackThis scannt soweit, aber wenn ich versuche das log zu speichern verabschiedet sich notepad.exe.
Jetzt konnte ich es speichern, ich poste anschließend!

Generell dauert es ewig bis irgendetwas ausgeführt wird...diese pop-ups können einen in den wahnsinn treiben!

Tausend Dank für die Hilfe!




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 11:09: VIRUS ALERT!, on 09.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\OSD.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Canon\OpwareSE2.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
C:\Programme\rhcaduj0e553\rhcaduj0e553.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Antivirus 2008 PRO\antivirus-2008pro.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\system32\pphceduj0e553.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\system32\drwtsn32.exe
C:\WINDOWS\explorer.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: CodecPlugin Class - {098716A9-0310-4CBE-BD64-B790A9761158} - C:\WINDOWS\system32\RichVideoCodec.dll
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll
O2 - BHO: QXK Olive - {B763BE68-B1D1-41F4-9087-8BF71BB93155} - C:\WINDOWS\nfavxwdbdfm.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O3 - Toolbar: fdkowvbp - {FB3486FF-2A37-4536-B847-D999BA4E7776} - C:\WINDOWS\fdkowvbp.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [OSD] C:\Programme\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [OpwareSE2] "C:\Programme\Canon\OpwareSE2.exe"
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [lphceduj0e553] C:\WINDOWS\system32\lphceduj0e553.exe
O4 - HKLM\..\Run: [SMrhcaduj0e553] C:\Programme\rhcaduj0e553\rhcaduj0e553.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKCU\..\Run: [antivirus-2008pro.exe] C:\Programme\Antivirus 2008 PRO\antivirus-2008pro.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O6 - HKCU\Software\Policies\Microsoft\Internet Explorer\Restrictions present
O7 - HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\System, DisableRegedit=1
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {001EE746-A1F9-460E-80AD-269E088D6A01} (Infotl Control) - http://site.ebrary.com.proxy1-bib.sdu.dk:2048/lib/sdub/support/plugins/ebraryRdr.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\KASPER~1\KASPER~1\mzvkbd.dll
O21 - SSODL: wnslvxtf - {DE60D640-5E9A-42BE-BCD9-433897B9C328} - C:\WINDOWS\wnslvxtf.dll
O21 - SSODL: eqvwamkl - {634FF4A9-E918-4C2E-9A14-B5FBD801FB2C} - C:\WINDOWS\eqvwamkl.dll
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

--
End of file - 7242 bytes

#5 Das hat schon mal gut geklappt!

Arbeite bitte noch die anderen Punkte aus meinem Link ab (Malwarebytes und Combofix) und poste dann die entsprechenden Logs. Einer der Malware-Experten hier im Forum wird Dir dann sicher weiterhelfen.

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#6 Hi Heron oder wer auch immer bereit ist, mir zu helfen,

hier das log von malwarebytes:
Anm: Bei "Einige Dateien konnten nicht gelöscht werden, bitte starten Sie ihren PC neu, um das zu tun", habe ich ok angeklickt.





Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1012
Windows 5.1.2600 Service Pack 2

13:08:16 09.08.2008
mbam-log-8-9-2008 (13-08-16).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|G:\|)
Durchsuchte Objekte: 56076
Laufzeit: 42 minute(s), 6 second(s)

Infizierte Speicherprozesse: 3
Infizierte Speichermodule: 5
Infizierte Registrierungsschlüssel: 31
Infizierte Registrierungswerte: 10
Infizierte Dateiobjekte der Registrierung: 18
Infizierte Verzeichnisse: 16
Infizierte Dateien: 34

Infizierte Speicherprozesse:
C:\Programme\Antivirus 2008 PRO\antivirus-2008pro.exe (Rogue.Antivirus2008) -> Unloaded process successfully.
C:\Programme\rhcaduj0e553\rhcaduj0e553.exe (Rogue.Multiple) -> Unloaded process successfully.
C:\WINDOWS\system32\pphceduj0e553.exe (Trojan.FakeAlert) -> Unloaded process successfully.

Infizierte Speichermodule:
C:\WINDOWS\eqvwamkl.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\Programme\rhcaduj0e553\MFC71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcaduj0e553\msvcp71.dll (Rogue.Multiple) -> Delete on reboot.
C:\Programme\rhcaduj0e553\msvcr71.dll (Rogue.Multiple) -> Delete on reboot.
C:\WINDOWS\wnslvxtf.dll (Trojan.FakeAlert) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_CLASSES_ROOT\CLSID\{634ff4a9-e918-4c2e-9a14-b5fbd801fb2c} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.codecplugin (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{84562fca-ee8b-4585-a1d1-eae97b23370e} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{48e92754-2daf-4de4-8385-34f631580e9b} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{a1c23ba2-8f20-4c01-b663-7ff2b3421194} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{098716a9-0310-4cbe-bd64-b790a9761158} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{098716a9-0310-4cbe-bd64-b790a9761158} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{d37d6c1a-7ba4-47f4-9bf2-75031e257df6} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.codecplugin.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\{f4406238-983a-4845-9053-f1d0007fd135} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.xmldomdocumenteventssink (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\codecbho.xmldomdocumenteventssink.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\rhcaduj0e553 (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\rhcaduj0e553 (Rogue.Multiple) -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\antivirus 2008 pro (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{3f672d71-bc1d-4c9b-98d0-b06928e499a2} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{58f59a2e-e08f-41e3-ac57-d80f0c7fda10} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{fb3486ff-2a37-4536-b847-d999ba4e7776} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\webvideo (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{1486f5bc-05bf-42f2-9f91-ccf8319f6685} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{5ae30d98-c235-4030-8360-b7b652d8d64a} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{699e5d2a-0c7a-49e4-a84a-da454a48fe71} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{b763be68-b1d1-41f4-9087-8bf71bb93155} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{b763be68-b1d1-41f4-9087-8bf71bb93155} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{de60d640-5e9a-42be-bcd9-433897b9c328} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\VSPlugin (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\fdkowvbp.bpeb (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\fdkowvbp.toolbar.1 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\AppID\CodecBHO.DLL (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\RichVideoCodec (Trojan.FakeAlert) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\eqvwamkl (Trojan.FakeAlert) -> Delete on reboot.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\antivirus-2008pro.exe (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\smrhcaduj0e553 (Rogue.Multiple) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\Toolbar\{fb3486ff-2a37-4536-b847-d999ba4e7776} (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\wnslvxtf (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\lphceduj0e553 (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Main\Start Page (Hijack.Homepage) -> Bad: (http://softwarereferral.com/jump.php?wmid=6010&mid=MjI6Ojg5&lid=2) Good: (http://www.google.com/) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\ProductId (Trojan.FakeAlert) -> Bad: (VIRUS ALERT!) Good: (76416-OEM-0049591-21236) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\International\sTimeFormat (Trojan.FakeAlert) -> Bad: (HH:mm: VIRUS ALERT!) Good: (HH:mm:ss) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowControlPanel (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowRun (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowSearch (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowHelp (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyDocs (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced\Start_ShowMyComputer (Hijack.StartMenu) -> Bad: (0) Good: (1) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoStartMenuMorePrograms (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\StartMenuLogOff (Hijack.StartMenu) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoDrives (Hijack.Drives) -> Bad: (12) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoToolbarCustomize (Hijack.Explorer) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\Explorer\NoSetFolders (Hijack.Explorer) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\DisableTaskMgr (Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System\NoDispCPL (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\RichVideoCodec (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO\Infected (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO\Suspicious (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553 (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553 (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\HKCU (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\HKCU\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\HKLM (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\HKLM\RunOnce (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\StartMenuAllUsers (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Autorun\StartMenuCurrentUser (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\BrowserObjects (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\rhcaduj0e553\Quarantine\Packages (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\eqvwamkl.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\system32\RichVideoCodec.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\edot.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Programme\RichVideoCodec\MultiLoader.dll (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO\antivirus-2008pro.exe (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO\vscan.tsi (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\Antivirus 2008 PRO\zlib.dll (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\database.dat (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\license.txt (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\MFC71.dll (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\MFC71ENU.DLL (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\msvcp71.dll (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\msvcr71.dll (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\rhcaduj0e553.exe (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\rhcaduj0e553.exe.local (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Programme\rhcaduj0e553\Uninstall.exe (Rogue.Multiple) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Antivirus XP 2008.lnk (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\Microsoft\Internet Explorer\Quick Launch\Antivirus-2008pro.lnk (Rogue.Antivirus2008) -> Quarantined and deleted successfully.
C:\WINDOWS\fdkowvbp.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\grswptdl.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\nfavxwdbdfm.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\wnslvxtf.dll (Trojan.FakeAlert) -> Delete on reboot.
C:\WINDOWS\system32\blphceduj0e553.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lphceduj0e553.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\phceduj0e553.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\pphceduj0e553.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Anwendungsdaten\TmpRecentIcons\antivirus-2008pro.lnk (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Desktop\antivirus-2008pro.lnk (Rogue.Antivirus) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Desktop\Spyware&Malware Protection.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Desktop\Privacy Protector.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Desktop\Error Cleaner.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Favoriten\Error Cleaner.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Favoriten\Privacy Protector.url (Rogue.Link) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\User\Favoriten\Spyware&Malware Protection.url (Rogue.Link) -> Quarantined and deleted successfully.

#7 ...Hat doch schon ordentlich reingefunkt.
Aber auch wenn vieles wieder besser aussehen mag, Du bist noch nicht ganz fertig!!!
Lade Dir noch Combofix (wenn Du es noch nicht hast) +poste dessen Report.
Danach (auf Moderator) warten ob mit Combofix noch etwas manuell raus muß.

#8 Dein
Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1012

Und meins
Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1035

Update Malwarebytes erst und scanne nochmal

Poste danach nochmal ein frisches log von Hijack This
__________
MfG Argus

#9 Kleine, evtl unwichtige oder wichtige Anmerkung von nem "Frischling", mein Malwarebytes hat nicht 1012 sondern 1035 inner datenbank...

"falls des wichtig ist"

greetz
__________
Ich lebe ewig!
(bisher erfolgreich)

#10 Hallo Provisitor,

combofix log:




ComboFix 08-08-08.07 - User 2008-08-09 13:29:17.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.297 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\User\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

[color=red]Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !![/color]
.

(((((((((((((((((((((((((((((((((((( Weitere L”schungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008\Antivirus XP 2008.lnk
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008\How to Register Antivirus XP 2008.lnk
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008\License Agreement.lnk
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008\Register Antivirus XP 2008.lnk
C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Antivirus XP 2008\Uninstall.lnk
C:\Dokumente und Einstellungen\User\Startmenü\Programme\Antivirus 2008 PRO
C:\Dokumente und Einstellungen\User\Startmenü\Programme\Antivirus 2008 PRO\antivirus-2008pro.lnk
C:\WINDOWS\system32\tdssadw.dll
C:\WINDOWS\system32\tdssinit.dll
C:\WINDOWS\system32\tdssl.dll
C:\WINDOWS\system32\tdssmain.dll
C:\WINDOWS\system32\tdssservers.dat

.
((((((((((((((((((((((( Dateien erstellt von 2008-07-09 bis 2008-08-09 ))))))))))))))))))))))))))))))
.

2008-08-09 12:11 . 2008-08-09 12:11 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-08-09 12:11 . 2008-08-09 12:11 <DIR> d-------- C:\Dokumente und Einstellungen\User\Anwendungsdaten\Malwarebytes
2008-08-09 12:11 . 2008-08-09 12:11 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-09 12:11 . 2008-07-30 20:07 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-09 12:11 . 2008-07-30 20:07 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-08-09 10:41 . 2008-08-09 10:41 <DIR> d-------- C:\Programme\Trend Micro
2008-08-09 10:33 . 2008-08-09 10:33 <DIR> d-------- C:\Programme\CCleaner
2008-07-13 15:34 . 2008-07-13 15:34 <DIR> d-------- C:\Dokumente und Einstellungen\User\Anwendungsdaten\vlc
2008-07-13 15:34 . 2008-07-23 21:57 <DIR> d-------- C:\Dokumente und Einstellungen\User\Anwendungsdaten\dvdcss
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankProtocol
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankPacManager
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankMedium
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankHandler
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankFormat
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankDevice
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\FrankContents
2008-07-13 15:32 . 2008-07-13 15:32 <DIR> d-------- C:\temp\Frank
2008-07-13 15:31 . 2008-07-13 15:31 <DIR> d-------- C:\Programme\VideoLAN
2008-07-13 14:53 . 2008-07-13 14:53 25 --a------ C:\WINDOWS\cdplayer.ini
2008-07-13 14:47 . 2008-07-13 15:39 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Real
2008-07-13 14:47 . 2008-07-13 14:47 <DIR> d-------- C:\Program Files
2008-07-13 14:23 . 2008-07-13 14:23 <DIR> d-------- C:\Programme\TuneUp Utilities 2006
2008-07-13 14:23 . 2008-07-13 14:23 <DIR> d-------- C:\Dokumente und Einstellungen\User\Anwendungsdaten\TuneUp Software
2008-07-13 14:22 . 2008-07-13 14:22 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-07-13 14:22 . 2008-07-13 14:22 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TuneUp Software
2008-07-13 13:53 . 2008-07-13 13:53 <DIR> d-------- C:\Dokumente und Einstellungen\User\Anwendungsdaten\Media Player Classic
2008-07-13 13:36 . 2008-07-13 13:36 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Ahead
2008-07-13 13:36 . 2008-07-13 13:36 <DIR> d-------- C:\Programme\Ahead
2008-07-13 13:36 . 2001-07-06 14:41 569,344 --a------ C:\WINDOWS\system32\imagr5.dll
2008-07-13 13:36 . 2001-07-06 12:44 544,768 --a------ C:\WINDOWS\system32\imagx5.dll
2008-07-13 13:36 . 2001-07-06 18:24 283,920 --a------ C:\WINDOWS\system32\ImagXpr5.dll
2008-07-13 13:36 . 2001-07-09 11:50 155,648 --a------ C:\WINDOWS\system32\NeroCheck.exe
2008-07-13 13:36 . 2001-06-26 08:15 38,912 --a------ C:\WINDOWS\system32\picn20.dll
2008-07-11 00:01 . 2008-07-11 00:01 <DIR> d-------- C:\Programme\Microsoft Works Suite 2003
2008-07-11 00:01 . 2008-07-11 00:02 <DIR> d-------- C:\Programme\Microsoft Works

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-08-09 11:31 237,600 --sha-w C:\WINDOWS\system32\drivers\fidbox2.dat
2008-08-09 11:31 2,940 --sha-w C:\WINDOWS\system32\drivers\fidbox2.idx
2008-08-09 11:31 11,228 --sha-w C:\WINDOWS\system32\drivers\fidbox.idx
2008-08-09 11:31 1,164,832 --sha-w C:\WINDOWS\system32\drivers\fidbox.dat
2008-08-09 11:25 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab
2008-08-01 17:48 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\Skype
2008-08-01 17:46 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\skypePM
2008-07-24 19:19 96,559 ----a-w C:\WINDOWS\system32\drivers\klin.dat
2008-07-24 19:19 87,855 ----a-w C:\WINDOWS\system32\drivers\klick.dat
2008-07-13 12:24 --------- d-----w C:\Programme\Canon
2008-07-08 11:24 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira
2008-07-08 09:19 --------- d--h--w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CanonBJ
2008-07-08 07:34 --------- d-----w C:\Programme\Google
2008-07-06 18:36 --------- d-----w C:\Programme\Windows Media Connect 2
2008-07-03 18:37 --------- d-----w C:\Programme\Skype
2008-07-03 18:37 --------- d-----w C:\Programme\Gemeinsame Dateien\Skype
2008-07-03 18:37 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2008-06-28 13:20 --------- d-----w C:\Programme\Gemeinsame Dateien\Adobe
2008-06-28 12:44 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SSScanWizard
2008-06-28 12:44 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SSScanAppDataDir
2008-06-28 12:44 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ScanSoft
2008-06-28 12:41 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\Canon
2008-06-28 12:34 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\InterTrust
2008-06-27 11:58 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\ArcSoft
2008-06-27 11:57 --------- d-----w C:\Dokumente und Einstellungen\User\Anwendungsdaten\ScanSoft
2008-06-27 11:56 --------- d-----w C:\Programme\Gemeinsame Dateien\ScanSoft Shared
2008-06-27 11:52 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-06-25 18:20 --------- d-----w C:\Programme\DivX
2008-06-25 05:48 --------- d-----w C:\Programme\Kaspersky Lab
2008-06-25 05:46 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Kaspersky Lab Setup Files
2008-06-24 14:50 --------- d-----w C:\Programme\Gemeinsame Dateien\InstallShield
2008-06-24 14:42 --------- d-----w C:\Programme\Intel
2008-06-24 14:18 --------- d-----w C:\Programme\Synaptics
2008-06-24 14:16 --------- d-----w C:\Programme\Realtek Sound Manager
2008-06-24 14:16 --------- d-----w C:\Programme\AvRack
2008-06-24 14:14 --------- d-----w C:\Programme\Launch Manager
2008-06-24 13:51 --------- d-----w C:\Programme\microsoft frontpage
2008-06-24 13:49 --------- d-----w C:\Programme\Online-Dienste
2008-06-24 13:49 --------- d-----w C:\Programme\Gemeinsame Dateien\Dienste
2008-06-20 10:45 360,320 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 10:44 138,368 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 09:52 225,920 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-06-14 17:57 273,024 ------w C:\WINDOWS\system32\drivers\bthport.sys
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"NVIEW"="nview.dll" [2003-12-12 12:04 856133 C:\WINDOWS\system32\nview.dll]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2003-12-12 12:04 4730880]
"LaunchAp"="C:\Programme\Launch Manager\LaunchAp.exe" [2003-05-12 14:28 32768]
"HotkeyApp"="C:\Programme\Launch Manager\HotkeyApp.exe" [2003-06-30 09:22 40960]
"OSD"="C:\Programme\Launch Manager\OSD.exe" [2003-06-25 10:53 204800]
"Wbutton"="C:\Programme\Launch Manager\Wbutton.exe" [2003-06-18 15:39 61440]
"CtrlVol"="C:\Programme\Launch Manager\CtrlVol.exe" [2003-05-08 10:49 20480]
"SynTPLpr"="C:\Programme\Synaptics\SynTP\SynTPLpr.exe" [2003-04-24 16:51 110592]
"SynTPEnh"="C:\Programme\Synaptics\SynTP\SynTPEnh.exe" [2003-04-24 16:44 610304]
"OpwareSE2"="C:\Programme\Canon\OpwareSE2.exe" [2003-05-08 11:00 49152]
"NeroCheck"="C:\WINDOWS\system32\NeroCheck.exe" [2001-07-09 11:50 155648]
"AVP"="C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe" [2008-04-25 18:21 201992]
"nwiz"="nwiz.exe" [2003-12-12 12:04 323584 C:\WINDOWS\system32\nwiz.exe]
"SoundMan"="SOUNDMAN.EXE" [2004-02-18 12:53 65024 C:\WINDOWS\SOUNDMAN.EXE]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.DIV3"= DivXc32.dll
"vidc.DIV4"= DivXc32f.dll
"msacm.divxa32"= DivXa32.acm

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\KasperskyAntiVirus]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Dokumente und Einstellungen\\All Users\\Anwendungsdaten\\Kaspersky Lab Setup Files\\Kaspersky Anti-Virus 2009\\German\\setup.exe"=
"G:\\SkypePortable\\Phone\\Skype.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=

R0 klbg;Kaspersky Lab Boot Guard Driver;C:\WINDOWS\system32\drivers\klbg.sys [2008-01-29 18:29]
R1 Hotkey;Hotkey;C:\WINDOWS\system32\drivers\Hotkey.sys [2003-04-28 11:27]
R1 Wbutton;Wbutton;C:\WINDOWS\system32\drivers\Wbutton.sys [2002-10-23 11:25]
R3 klim5;Kaspersky Anti-Virus NDIS Filter;C:\WINDOWS\system32\DRIVERS\klim5.sys [2008-03-25 20:07]
R3 PRISM_A00;PRISM 802.11g Driver;C:\WINDOWS\system32\DRIVERS\PRISMA00.sys [2004-02-20 12:05]
.
Inhalt des "geplante Tasks" Ordners

2008-07-25 C:\WINDOWS\Tasks\1-Klick-Wartung.job
- C:\Programme\TuneUp Utilities 2006\SystemOptimizer.exe [2005-08-24 02:29]
.
.
------- Zus„tzlicher Scan -------
.
R0 -: HKCU-Main,Start Page = hxxp://www.google.com/
O8 -: Easy-WebPrint - Drucken - C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 -: Easy-WebPrint - Schnelldruck - C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 -: Easy-WebPrint - Vorschau - C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 -: Easy-WebPrint - Zu Druckliste hinzufügen - C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 -: Nach Microsoft &Excel exportieren - C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000


**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-09 13:32:49
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\wscntfy.exe
C:\WINDOWS\system32\rundll32.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-08-09 13:34:38 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-08-09 11:34:34

Pre-Run: 9 Verzeichnis(se), 25,757,024,256 Bytes frei
Post-Run: 12 Verzeichnis(se), 25,708,167,168 Bytes frei

184 --- E O F --- 2008-07-14 21:07:29








Hallo Arnold, hallo magicc,

ihr habt völlig recht mit dem fehlenden update von malwarebytes.

Habe es relativ früh ausgeführt und da spielte mein Internet verrückt...also hat malwarebytes kein update holen können und somit mit den "veralteten" datenbanken gescannt.

Ich versuche es aber jetzt mal mit dem Update und poste das neue log gleich im anschluss!

Vielen Dank!




Aktuelle log von Malwarebytes




Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1035
Windows 5.1.2600 Service Pack 2

14:08:57 09.08.2008
mbam-log-8-9-2008 (14-08-57).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|E:\|F:\|)
Durchsuchte Objekte: 53795
Laufzeit: 11 minute(s), 28 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 0
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 7

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\QooBox\Quarantine\C\WINDOWS\system32\tdssadw.dll.vir (Trojan.Agent) -> Quarantined and deleted successfully.
C:\QooBox\Quarantine\C\WINDOWS\system32\tdssl.dll.vir (Trojan.Agent) -> Quarantined and deleted successfully.
C:\QooBox\Quarantine\C\WINDOWS\system32\tdssmain.dll.vir (Trojan.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F27DAC17-DBAF-49A7-8A2D-F4FAA21A5E01}\RP0\A0000037.sys (Trojan.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F27DAC17-DBAF-49A7-8A2D-F4FAA21A5E01}\RP1\A0000041.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F27DAC17-DBAF-49A7-8A2D-F4FAA21A5E01}\RP1\A0000043.dll (Trojan.Agent) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{F27DAC17-DBAF-49A7-8A2D-F4FAA21A5E01}\RP1\A0000044.dll (Trojan.Agent) -> Quarantined and deleted successfully.







Und jetzt noch hijackthis:




Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 14:16:38, on 09.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wscntfy.exe
C:\Programme\Launch Manager\LaunchAp.exe
C:\Programme\Launch Manager\HotkeyApp.exe
C:\Programme\Launch Manager\OSD.exe
C:\Programme\Launch Manager\Wbutton.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\Canon\OpwareSE2.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\system32\rundll32.exe
C:\WINDOWS\explorer.exe
C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: Skype add-on (mastermind) - {22BF413B-C6D2-4d91-82A9-A0F997BA588C} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O2 - BHO: IEVkbdBHO - {59273AB4-E7D3-40F9-A1A8-6FA9CCA1862C} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\ievkbd.dll
O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - C:\Programme\Canon\Easy-WebPrint\Toolband.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [LaunchAp] C:\Programme\Launch Manager\LaunchAp.exe
O4 - HKLM\..\Run: [HotkeyApp] C:\Programme\Launch Manager\HotkeyApp.exe
O4 - HKLM\..\Run: [OSD] C:\Programme\Launch Manager\OSD.exe
O4 - HKLM\..\Run: [Wbutton] "C:\Programme\Launch Manager\Wbutton.exe"
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [CtrlVol] C:\Programme\Launch Manager\CtrlVol.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [OpwareSE2] "C:\Programme\Canon\OpwareSE2.exe"
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [AVP] "C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [NVIEW] rundll32.exe nview.dll,nViewLoadHook
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O8 - Extra context menu item: Easy-WebPrint - Drucken - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html
O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html
O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html
O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://C:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\Office10\EXCEL.EXE/3000
O9 - Extra button: Statistik für den Schutz des Web-Datenverkehrs - {1F460357-8A94-4D71-9CA3-AA4ACF32ED8E} - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\SCIEPlgn.dll
O9 - Extra button: Skype - {77BF5300-1474-4EC7-9980-D32B190E9B07} - C:\Programme\Skype\Toolbars\Internet Explorer\SkypeIEPlugin.dll
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {001EE746-A1F9-460E-80AD-269E088D6A01} (Infotl Control) - http://site.ebrary.com.proxy1-bib.sdu.dk:2048/lib/sdub/support/plugins/ebraryRdr.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/shockwave/cabs/flash/swflash.cab
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: Kaspersky Anti-Virus (AVP) - Kaspersky Lab - C:\Programme\Kaspersky Lab\Kaspersky Anti-Virus 2009\avp.exe
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: TuneUp WinStyler Theme Service (TUWinStylerThemeSvc) - TuneUp Software GmbH - C:\Programme\TuneUp Utilities 2006\WinStylerThemeSvc.exe

--
End of file - 5842 bytes

#11 CombiFix entfernen
Start > Ausführen>Kopiere rein ComboFix /U OK

Malwarebytes darsft du behalten und auch Hijack This nicht entfernen

Systemwiederherstellung
Info:
http://virus-protect.org/systemwiederherstellung.html
Arbeitsplatz --> Rechtsklick, dann auf Eigenschaften --> Reiter Systemwiederherstellung -->
Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren. - dann wieder aktivieren
__________
MfG Argus

#12 Hi Arnold,

Combofix hab ich entfernt - zumindest ist das symbol auf dem desktop weg

Systemwiederherstellung hab ich deaktiviert, dann wieder aktiviert

Soll ich CCleaner auch drauf lassen?




Heron hatte weiter oben empfohlen, laut link (http://board.protecus.de/t23188.htm)

dieses log zu posten (letzte 3 Monate), weiß nich, ob du/ihr was darauf entnehmen könnt:




.
.
Bitte nur die Eintraege der letzten 3 Monate pro Ordner posten
.
.
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 8442-3AD6

Verzeichnis von C:\WINDOWS\system32

08.08.2008 22:50 2.422 wpa.dbl
13.07.2008 14:47 348.160 msvcr71.dll
13.07.2008 14:47 499.712 msvcp71.dll
11.07.2008 00:15 192.976 FNTCACHE.DAT
06.07.2008 20:54 16.832 amcompat.tlb
06.07.2008 20:54 23.392 nscompat.tlb
03.07.2008 20:39 56 ezsidmv.dat
25.06.2008 18:15 17.972.344 MRT.exe
24.06.2008 18:08 311.938 perfh009.dat
24.06.2008 18:08 40.326 perfc009.dat
24.06.2008 18:08 317.168 perfh007.dat
24.06.2008 18:08 48.552 perfc007.dat
24.06.2008 18:08 723.744 PerfStringBackup.INI
24.06.2008 17:05 138.648 TZLog.log
24.06.2008 16:45 0 h323log.txt
24.06.2008 16:39 2.422 wpa.bak
24.06.2008 15:54 2.395 $winnt$.inf
24.06.2008 15:51 2.951 CONFIG.NT
24.06.2008 15:50 488 logonui.exe.manifest
24.06.2008 15:50 488 WindowsLogon.manifest
24.06.2008 15:50 749 wuaucpl.cpl.manifest
24.06.2008 15:50 749 cdplayer.exe.manifest
24.06.2008 15:50 749 ncpa.cpl.manifest
24.06.2008 15:50 749 sapi.cpl.manifest
24.06.2008 15:50 749 nwc.cpl.manifest
24.06.2008 15:48 21.740 emptyregdb.dat
20.06.2008 19:39 247.296 mswsock.dll
20.06.2008 19:39 148.992 dnsapi.dll

1941 Datei(en) 419.975.201 Bytes
0 Verzeichnis(se), 25.713.127.424 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 8442-3AD6

Verzeichnis von C:\DOKUME~1\User\LOKALE~1\Temp

09.08.2008 14:25 94.918 datfind.txt
09.08.2008 14:15 114.688 ~DF3151.tmp
2 Datei(en) 209.606 Bytes
0 Verzeichnis(se), 25.713.160.192 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 8442-3AD6

Verzeichnis von C:\WINDOWS

09.08.2008 13:42 1.617.632 WindowsUpdate.log
09.08.2008 13:32 227 system.ini
09.08.2008 13:32 159 wiadebug.log
09.08.2008 13:32 50 wiaservc.log
09.08.2008 13:32 0 0.log
09.08.2008 13:32 2.048 bootstat.dat
09.08.2008 13:31 25.860 SchedLgU.Txt
31.07.2008 22:03 81.262 SGTBox.INI
13.07.2008 14:53 25 cdplayer.ini
06.07.2008 20:36 603 win.ini
06.07.2008 20:35 316.640 WMSysPr9.prx
27.06.2008 13:57 448 MAXLINK.INI
24.06.2008 16:44 0 Sti_Trace.log
24.06.2008 16:22 400 ODBC.INI
24.06.2008 15:54 8.192 REGLOCS.OLD
24.06.2008 15:51 0 control.ini
24.06.2008 15:51 4.161 ODBCINST.INI
24.06.2008 15:50 749 WindowsShell.Manifest
24.06.2008 15:48 37 vbaddin.ini
24.06.2008 15:48 36 vb.ini
13.06.2007 15:21 1.036.288 explorer.exe

66 Datei(en) 6.559.019 Bytes
0 Verzeichnis(se), 25.713.156.096 Bytes frei
.
.
.
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 8442-3AD6

Verzeichnis von C:\WINDOWS\temp

.
.
.
Datentr„ger in Laufwerk C: ist SYSTEM
Volumeseriennummer: 8442-3AD6

Verzeichnis von C:\WINDOWS\Downloaded Program Files

24.06.2008 15:50 65 desktop.ini

5 Datei(en) 2.350.777 Bytes
0 Verzeichnis(se), 25.713.156.096 Bytes frei
.
.
.



Hallo an alle,

bin ich soweit aus der gefahrenzone?
Ich habe das system gerade nach "antivirus xp 2008" durchsucht, da wurde nur noch eine verknüpfung gefunden...


habt ihr noch ne schlaue anleitung für mich, damit ich euch nicht nochmal mit dem 157. "antivirus xp 2008"-Hilfeaufruf nerven muss?


Danke!!!

#13 Das sieht schon recht ordentlich aus. Warte aber mal die Meinung von Arnold ab, der hat erheblich mehr Erfahrung in diesen Dingen als ich.
Kommen noch Pop-ups?
Funktioniert Dein Kaspersky einwandfrei (K-Symbol in der Taskleiste muss rot sein)?

Gruß
Heron
__________
"Die Welt ist groß, weil der Kopf so klein"
Wilhelm Busch

#14 Hi,

Kaspersky funktioniert. Zeigt auch an, dass computer sicher ist.

Pop-Ups habe ich keine mehr!

#15 CCleaner kannst du auch behalten
MBAM wird jeden Tag mehrmals ge-Updated also benutze es

Tip:
Adobe Reader
Wenn Adobe Reader nur dazu benutzt um PDF files zu lesen gibt es eine gute alternative
Foxit Reader : http://www.foxitsoftware.com/pdf/rd_intro.php
Oder Download die letzte version von Adobe Version 8
__________
MfG Argus