TR/Vundo.Gen entfernen

#1 Hallo,
ich habe mir vor ein paar Tagen den Trojaner Vundo.Gen eingefangen. Ich bin da leider selber Schuld dran, da ich eine Datei auf dem PC ausgeführt habe, die dann Trojaner installiert hat. Dachte es wäre etwas anderes und war wohl sehr naiv. Ich habe hier im Forum schon nach einem Thread gesucht und auch etwas gefunden, aber das konnte mir leider nicht weiter helfen, da ich mich mit sowas nicht genau auskenne. Jetzt hoffe ich, dass mir jemand hier im Forum persönlich helfen kann und mir genau sagen kann, was ich zu machen habe. Das wäre wirklich sehr nett.

Aber erstmal zu den Symptomen. Seit ich die besagte Datei ausgeführt habe schlägt mein Antivir alle paar Stunden an und informiert mich über neue Befunde von TR/Vundo.Gen. Die Dateien heißen immer anders und befinden sich im Ordner system32.

Den Beitrag "Neue Beiträge Erstellen" habe ich gelesen und alles ausgeführt. Ich kopiere jetzt einfach mal die geforderten Log-Files hier rein. Eventuell habe ich dadurch ja auch schon vieles/alles gelöscht? Ich hätte halt schon gern irgendwie die Bestätigung, dass mein PC "sauber" ist.

Log-File von Malewarbytes:

Malwarebytes' Anti-Malware 1.28
Datenbank Version: 1225
Windows 5.1.2600 Service Pack 2

02.10.2008 00:27:30
mbam-log-2008-10-02 (00-27-30).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 165205
Laufzeit: 1 hour(s), 57 minute(s), 56 second(s)

Infizierte Speicherprozesse: 1
Infizierte Speichermodule: 3
Infizierte Registrierungsschlüssel: 11
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 3
Infizierte Dateien: 12

Infizierte Speicherprozesse:
C:\Programme\webHancer\Programs\whagent.exe (Adware.Webhancer) -> Unloaded process successfully.

Infizierte Speichermodule:
C:\Programme\webHancer\Programs\webhdll.dll (Adware.Webhancer) -> Delete on reboot.
C:\WINDOWS\system32\ddcCSLcc.dll (Trojan.Vundo) -> Delete on reboot.
C:\Programme\webHancer\Programs\whiehlpr.dll (Adware.Webhancer) -> Delete on reboot.

Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{e1bc0aab-2c35-40df-8f1d-4fd437df432e} (Trojan.BHO.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{e1bc0aab-2c35-40df-8f1d-4fd437df432e} (Trojan.BHO.H) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\TypeLib\{c8cb3870-cdfe-11d3-976a-00e02913a9e0} (Adware.Webhancer) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\Interface\{c89435b0-cdfe-11d3-976a-00e02913a9e0} (Adware.Webhancer) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\CLSID\{c900b400-cdfe-11d3-976a-00e02913a9e0} (Adware.Webhancer) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{c900b400-cdfe-11d3-976a-00e02913a9e0} (Adware.Webhancer) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\whiehelperobj.whiehelperobj.1 (Adware.WebHancer) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\whiehelperobj.whiehelperobj (Adware.WebHancer) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\webHancer Agent (Adware.WebHancer) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\webHancer (Adware.WebHancer) -> Quarantined and deleted successfully.
HKEY_CLASSES_ROOT\WUSN.1 (Adware.WhenUSave) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\ShellExecuteHooks\{e1bc0aab-2c35-40df-8f1d-4fd437df432e} (Trojan.Vundo) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\webhancer agent (Adware.Webhancer) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
C:\Programme\webHancer (Adware.Webhancer) -> Delete on reboot.
C:\Programme\webHancer\Programs (Adware.Webhancer) -> Delete on reboot.
C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\Microsoft\dtsc (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\WINDOWS\system32\ddcCSLcc.dll (Trojan.BHO.H) -> Delete on reboot.
C:\Programme\webHancer\Programs\webhdll.dll (Adware.Webhancer) -> Delete on reboot.
C:\Programme\webHancer\Programs\whiehlpr.dll (Adware.Webhancer) -> Delete on reboot.
C:\Programme\webHancer\Programs\whagent.exe (Adware.Webhancer) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Dennis Kuester\Lokale Einstellungen\Temp\newsys.exe (Rogue.Spymonitor) -> Quarantined and deleted successfully.
C:\Programme\webHancer\Programs\whinstaller.exe (Adware.Webhancer) -> Quarantined and deleted successfully.
C:\System Volume Information\_restore{AB665E89-38E3-4EE5-A0BA-D829FC37B26B}\RP559\A0189920.sys (Trojan.Agent) -> Quarantined and deleted successfully.
C:\VundoFix Backups\ddcCSLcc.dll.bad (Trojan.Vundo) -> Quarantined and deleted successfully.
C:\Programme\webHancer\Programs\license.txt (Adware.Webhancer) -> Quarantined and deleted successfully.
C:\Programme\webHancer\Programs\readme.txt (Adware.Webhancer) -> Quarantined and deleted successfully.
C:\Programme\webHancer\Programs\sporder.dll (Adware.Webhancer) -> Quarantined and deleted successfully.
C:\Programme\webHancer\Programs\whagent.ini (Adware.Webhancer) -> Quarantined and deleted successfully.





Jetzt das Log-File von Combo-Fix:



ComboFix 08-10-01.06 - Dennis Kuester 2008-10-02 18:37:11.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.2.1252.1.1031.18.728 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Dennis Kuester\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

[color=red]Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !![/color]
.
ADS - system32: deleted 10951 bytes in 1 streams.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\inst.exe
C:\WINDOWS\system32\inst.dat
C:\WINDOWS\system32\pk.bin

.
((((((((((((((((((((((( Dateien erstellt von 2008-09-02 bis 2008-10-02 ))))))))))))))))))))))))))))))
.

2008-10-01 22:27 . 2008-10-01 22:27 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-10-01 22:27 . 2008-10-01 22:27 <DIR> d-------- C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\Malwarebytes
2008-10-01 22:27 . 2008-10-01 22:27 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-10-01 22:27 . 2008-09-10 00:04 38,528 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-10-01 22:27 . 2008-09-10 00:03 17,200 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-10-01 22:18 . 2008-10-01 22:18 <DIR> d-------- C:\Programme\CCleaner
2008-10-01 17:26 . 2008-10-02 00:27 <DIR> d-------- C:\VundoFix Backups
2008-09-19 00:44 . 2008-09-19 01:00 <DIR> d-------- C:\ANNO1602
2008-09-19 00:36 . 1998-02-16 03:18 481,792 --------- C:\WINDOWS\system32\1602Unst.exe
2008-09-02 00:06 . 2008-09-02 00:06 17 --a------ C:\WINDOWS\gd.ini

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-09-30 17:55 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\UseNeXT
2008-09-28 17:23 --------- d-----w C:\Programme\teXXas
2008-09-22 12:29 --------- d-----w C:\Programme\ICQ6
2008-09-16 21:38 --------- d-----w C:\Programme\PokerStars
2008-09-11 20:52 --------- d-----w C:\Programme\World of Warcraft
2008-08-30 21:03 --------- d-----w C:\Programme\AVerMedia
2008-08-21 19:01 --------- d-----w C:\Programme\Steam
2008-08-20 22:13 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\Pro Cycling Manager 2008
2008-08-20 20:22 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\Skype
2008-08-20 20:21 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\skypePM
2008-08-18 23:29 --------- d-----w C:\Programme\UseNeXT
2008-08-14 18:53 304,528 ----a-w C:\WINDOWS\system32\appdrvrem01.exe
2008-08-14 18:53 3,468,904 ----a-w C:\WINDOWS\system32\drivers\appdrv01.sys
2008-08-14 16:53 --------- d-----w C:\Programme\Cyanide
2008-08-12 20:40 921,632 ----a-w C:\PA7302.DAT
2008-08-12 20:30 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\ArcSoft
2008-08-12 19:52 32 ----a-w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ezsid.dat
2008-08-12 16:52 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-08-12 16:52 --------- d-----w C:\Programme\Gemeinsame Dateien\ArcSoft
2008-08-12 16:52 --------- d-----w C:\Programme\ArcSoft
2008-08-12 16:47 --------- d-----w C:\Programme\Logitech
2008-08-12 16:47 --------- d-----w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\InstallShield
2008-08-04 18:50 --------- d-----w C:\Programme\Gemeinsame Dateien\Skype
2008-08-04 18:50 --------- d-----w C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Skype
2007-05-04 14:20 47,360 ----a-w C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\pcouffin.sys
2008-02-28 21:15 1,890 --sha-w C:\WINDOWS\system32\KGyGaAvL.sys
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"ctfmon.exe"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 15360]
"AlcoholAutomount"="C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" [2007-08-01 222592]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"PHIME2002ASync"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-03 455168]
"PHIME2002A"="C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE" [2004-08-03 455168]
"MSPY2002"="C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe" [2004-08-03 59392]
"IMJPMIG8.1"="C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" [2004-08-03 208952]
"DAEMON Tools"="C:\Programme\DAEMON Tools\daemon.exe" [2005-11-09 128920]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-26 266497]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2006-11-03 7700480]
"NvMediaCenter"="C:\WINDOWS\system32\NvMcTray.dll" [2006-11-03 86016]
"PAC7302_Monitor"="C:\WINDOWS\PixArt\PAC7302\Monitor.exe" [2006-11-03 319488]
"ArcSoft Connection Service"="C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe" [2007-07-03 64000]
"Ptipbmf"="ptipbmf.dll" [2003-06-20 C:\WINDOWS\system32\ptipbmf.dll]
"nwiz"="nwiz.exe" [2006-11-03 C:\WINDOWS\system32\nwiz.exe]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\drivers32]
"vidc.CDVC"= cdvccodc.dll
"VIDC.XFR1"= xfcodec.dll

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk]
backup=C:\WINDOWS\pss\Adobe Reader - Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^InterVideo WinCinema Manager.lnk]
backup=C:\WINDOWS\pss\InterVideo WinCinema Manager.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office OneNote 2003 Schnellstart.lnk]
backup=C:\WINDOWS\pss\Microsoft Office OneNote 2003 Schnellstart.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^VIA RAID TOOL.lnk]
backup=C:\WINDOWS\pss\VIA RAID TOOL.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Anti-Blaxx Manager]
--a------ 2005-05-18 17:08 208896 C:\Programme\Anti-Blaxx\Anti-Blaxx.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
--a------ 2007-06-27 19:03 152872 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\iTunesHelper]
--a------ 2005-10-18 12:58 278528 C:\Programme\iTunes\iTunesHelper.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2007-03-01 15:57 153136 C:\Programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2006-01-04 18:27 155648 C:\Programme\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
--a------ 2008-08-21 20:59 1271032 c:\Programme\Steam\steam.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2007-09-25 01:11 132496 C:\Programme\Java\jre1.6.0_03\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SoundMan]
--a------ 2004-02-26 10:53 65024 C:\WINDOWS\SOUNDMAN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\services]
"NBService"=3 (0x3)
"iPodService"=3 (0x3)
"IDriverT"=3 (0x3)
"StarWindService"=2 (0x2)
"ose"=3 (0x3)
"NMIndexingService"=3 (0x3)

[HKEY_LOCAL_MACHINE\software\microsoft\security center]
"AntiVirusDisableNotify"=dword:00000001
"UpdatesDisableNotify"=dword:00000001
"AntiVirusOverride"=dword:00000001
"FirewallOverride"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\Programme\\iTunes\\iTunes.exe"=
"C:\\Programme\\KONAMI\\Pro Evolution Soccer 2008\\PES2008.exe"=
"C:\\Programme\\Xfire\\Xfire.exe"=
"C:\\Programme\\EA SPORTS\\FIFA 07\\fifa07.exe"=
"C:\\Programme\\World of Warcraft\\Repair.exe"=
"C:\\Programme\\ICQ6\\ICQ.exe"=
"C:\\Programme\\Cyanide\\GameCenter\\GameCenter.exe"=
"C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\PCM.exe"=
"C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\Autorun\\Exe\\Autorun.exe"=
"C:\\Programme\\Skype\\Phone\\Skype.exe"=
"C:\\Programme\\InterVideo\\DVD7\\WinDVD.exe"=
"C:\\Program Files\\WS_FTP\\WS_FTP95.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"1913:UDP"= 1913:UDP:Windows Media Format SDK (Opera.exe)
"1912:UDP"= 1912:UDP:Windows Media Format SDK (Opera.exe)

R0 viasraid;viasraid;C:\WINDOWS\system32\DRIVERS\viasraid.sys [2003-10-31 77312]
R1 appdrv01;Application Driver (01);C:\WINDOWS\system32\Drivers\appdrv01.sys [2008-08-14 3468904]
R3 ARCSOFTVIRTUALCAPTURE;Magic-i Virtual Driver;C:\WINDOWS\system32\DRIVERS\ArcSoftVirtualCapture.sys [2006-12-07 15104]
R3 PAC7302;PAC7302 VGA USB Camera;C:\WINDOWS\system32\DRIVERS\PAC7302.SYS [2007-06-14 457856]
S2 appdrvrem01;Application Driver Auto Removal Service (01);C:\WINDOWS\System32\appdrvrem01.exe svc [ ]
S3 AVerAF15;AVerMedia BDA Digital Tuner;C:\WINDOWS\system32\Drivers\AVerAF15.sys [2007-07-17 269056]
S3 Defender;Defender;C:\Programme\SinEspias\Defender.sys [ ]
S3 NTProcDrv;Process creation detector for NT.;C:\Dokumente und Einstellungen\Dennis Kuester\Desktop\Bot\NtProcDrv.sys [ ]
S3 zlportio;zlportio;D:\UseNeXT\wizard\UltraStar Deluxe\zlportio.sys [ ]

*Newly Created Service* - PROCEXP90

[HKEY_LOCAL_MACHINE\software\microsoft\active setup\installed components\{B64C31DD-5823-41D9-EFF9-BDE2C921FE85}]
C:\WINDOWS\system32:svchost.exe
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKLM-Run-cchost.exe - (no file)
HKLM-Run-RegistryMechanic - (no file)
HKLM-Run-NWEReboot - (no file)


.
------- Zusätzlicher Suchlauf -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\Dennis Kuester\Anwendungsdaten\Mozilla\Firefox\Profiles\vyfusb70.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=
FireFox -: prefs.js - STARTUP.HOMEPAGE - www.google.de
.

**************************************************************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-02 18:41:36
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
Zeit der Fertigstellung: 2008-10-02 18:44:50
ComboFix-quarantined-files.txt 2008-10-02 16:44:03

Vor Suchlauf: 9.242.038.272 Bytes frei
Nach Suchlauf: 18 Verzeichnis(se), 10,895,200,256 Bytes frei

171




So und nun nochmal Hijackthis:

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:54:05, on 02.10.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0013)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\ArcSoft\Magic-i 3\uMgiSvr.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\PixArt\PAC7302\Monitor.exe
C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
C:\WINDOWS\system32\ctfmon.exe
C:\WINDOWS\explorer.exe
C:\Programme\Opera\Opera.exe
C:\Programme\Trend Micro\HJT\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.de/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O4 - HKLM\..\Run: [Ptipbmf] rundll32.exe ptipbmf.dll,SetWriteCacheMode
O4 - HKLM\..\Run: [PHIME2002ASync] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /SYNC
O4 - HKLM\..\Run: [PHIME2002A] C:\WINDOWS\system32\IME\TINTLGNT\TINTSETP.EXE /IMEName
O4 - HKLM\..\Run: [MSPY2002] C:\WINDOWS\system32\IME\PINTLGNT\ImScInst.exe /SYNC
O4 - HKLM\..\Run: [IMJPMIG8.1] "C:\WINDOWS\IME\imjp8_1\IMJPMIG.EXE" /Spoil /RemAdvDef /Migration32
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [PAC7302_Monitor] C:\WINDOWS\PixArt\PAC7302\Monitor.exe
O4 - HKLM\..\Run: [ArcSoft Connection Service] C:\Programme\Gemeinsame Dateien\ArcSoft\Connection Service\Bin\ACDaemon.exe
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [AlcoholAutomount] "C:\Programme\Alcohol Soft\Alcohol 120\axcmd.exe" /automount
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_03\bin\ssv.dll
O9 - Extra button: PokerStars - {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Programme\PokerStars\PokerStarsUpdate.exe
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ6 - {E59EB121-F339-4851-A3BA-FE49C35617C2} - C:\Programme\ICQ6\ICQ.exe
O9 - Extra button: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra 'Tools' menuitem: PartyPoker.net - {F4430FE8-2638-42e5-B849-800749B94EED} - C:\WINDOWS\system32\shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {6E5E167B-1566-4316-B27F-0DDAB3484CF7} (Image Uploader Control) - http://www1.uploadserver.info/sparfoto/uploader/ImageUploader4.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2E6DA29C-F9E3-42F0-A24B-D60370D4506E}: NameServer = 83.169.186.161,192.168.1.1
O17 - HKLM\System\CCS\Services\Tcpip\..\{A12A0E1B-FFB0-4F7C-BB41-8036600E9533}: NameServer = 84.16.255.242,85.237.87.192
O17 - HKLM\System\CS1\Services\Tcpip\..\{2E6DA29C-F9E3-42F0-A24B-D60370D4506E}: NameServer = 83.169.186.161,192.168.1.1
O17 - HKLM\System\CS2\Services\Tcpip\..\{2E6DA29C-F9E3-42F0-A24B-D60370D4506E}: NameServer = 83.169.186.161,192.168.1.1
O18 - Protocol: skype4com - {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: Application Driver Auto Removal Service (01) (appdrvrem01) - Protection Technology - C:\WINDOWS\System32\appdrvrem01.exe
O23 - Service: MgiSvr - ArcSoft, Inc. - C:\Programme\ArcSoft\Magic-i 3\uMgiSvr.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: StarWind AE Service (StarWindServiceAE) - Rocket Division Software - C:\Programme\Alcohol Soft\Alcohol 120\StarWind\StarWindServiceAE.exe

--
End of file - 6210 bytes




Und hier noch datfind:


.
.
Bitte nur die Eintraege der letzten 3 Monate pro Ordner posten
.
.
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4091-5D27

Verzeichnis von C:\WINDOWS\system32

02.10.2008 18:32 88.566 nvapps.xml
30.09.2008 19:53 34.308 BASSMOD.dll
29.09.2008 20:05 2.206 wpa.dbl
31.08.2008 11:01 291.680 FNTCACHE.DAT
20.08.2008 20:35 403.968 perfh009.dat
20.08.2008 20:35 63.188 perfc009.dat
20.08.2008 20:35 418.970 perfh007.dat
20.08.2008 20:35 76.014 perfc007.dat
20.08.2008 20:35 974.848 PerfStringBackup.INI
14.08.2008 20:53 304.528 appdrvrem01.exe
04.08.2008 20:50 56 ezsidmv.dat
2330 Datei(en) 527.313.078 Bytes
0 Verzeichnis(se), 10.908.360.704 Bytes frei
.
.
.
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4091-5D27

Verzeichnis von C:\DOKUME~1\DENNIS~1\LOKALE~1\Temp

02.10.2008 18:57 114.013 datfind.txt
1 Datei(en) 114.013 Bytes
0 Verzeichnis(se), 10.908.377.088 Bytes frei
.
.
.
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4091-5D27

Verzeichnis von C:\WINDOWS

02.10.2008 18:41 227 system.ini
02.10.2008 18:32 0 0.log
02.10.2008 18:32 159 wiadebug.log
02.10.2008 18:31 1.052.779 WindowsUpdate.log
02.10.2008 18:31 50 wiaservc.log
02.10.2008 18:31 2.048 bootstat.dat
02.10.2008 00:32 32.622 SchedLgU.Txt
08.09.2008 22:08 54.156 QTFont.qfn
02.09.2008 00:06 17 gd.ini
30.08.2008 23:28 64 AVerText.ini
29.08.2008 00:58 69 NeroDigital.ini
14.08.2008 15:20 1.384 cdplayer.ini
12.08.2008 22:30 1.409 QTFont.for
12.08.2008 22:28 1.026 win.ini
12.08.2008 18:57 0 SwSys1.bmp
12.08.2008 18:57 0 SwSys2.bmp
105 Datei(en) 13.998.946 Bytes
0 Verzeichnis(se), 10.908.360.704 Bytes frei
.
.
.
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4091-5D27

Verzeichnis von C:\WINDOWS\temp

.
.
.
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 4091-5D27

Verzeichnis von C:\WINDOWS\Downloaded Program Files

5 Datei(en) 2.294.693 Bytes
0 Verzeichnis(se), 10.908.368.896 Bytes frei
.
.
.




So ich hoffe hier kann mir jemand helfen. Danke schon mal im Voraus für eure Mühe.

Gruß

Adler10

#2 CombiFix entfernen
Start > Ausführen>Kopiere rein ComboFix /U OK

SDFix
Download SDFix zum Desktop

Starte dein Recher in
abgesicherten Modus

SDFix.zip entpacken
unter C:\ findet man nun den SDFix-Ordner

Doppelklick RunThis.bat
Schreibe: Y folge allen Anweisungen
Dann wird der Rechner neustarten
SDFix entfernt jetzt die gefundene Objekte
Kopiere den Inhalt des Berichts SophosReport.txt der jetzt auf dein Desktop steht in diesen Thread
Note:Wenn die Immunisierfunktion von Spybot s&d benutzt wird,nachher wieder installieren,weil SDFix sie entfernt
__________
MfG Argus

#3 Danke für die schnelle Antwort. Damit hätte ich gar nicht gerechnet.

Habe alle Schritte ausgeführt. Hier der Bericht:


SDFix: Version 1.230
Run by Dennis Kuester on 02.10.2008 at 20:31

Microsoft Windows XP [Version 5.1.2600]
Running From: C:\SDFix

Checking Services :


Restoring Default Security Values
Restoring Default Hosts File

Rebooting


Checking Files :

Trojan Files Found:

C:\WINDOWS\system32\bpk.dat - Deleted





Removing Temp Files

ADS Check :



Final Check :

catchme 0.3.1361.2 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-10-02 20:40:08
Windows 5.1.2600 Service Pack 2 NTFS

scanning hidden processes ...

scanning hidden services & system hive ...

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg]
"s1"=dword:7391f984
"s2"=dword:4ce8b3b3
"h0"=dword:00000002

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"h0"=dword:00000001
"ujdew"=hex:1c,17,6d,0d,1d,6d,57,19,b8,ec,8f,96,57,df,78,9f,ce,d5,8e,56,ec,..
"p0"="C:\Programme\Alcohol Soft\Alcohol 120\"

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:4a,b1,de,5d,86,95,bb,f3,55,42,db,47,45,38,55,9d,81,43,32,e7,b6,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,73,dd,c0,80,88,a8,fe,be,7f,ad,1b,0e,c5,09,61,7d,35,..
"khjeh"=hex:40,60,df,2d,21,26,ab,c4,c3,eb,7d,8a,2a,75,64,5c,c3,bf,8c,51,ad,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:44,9e,ab,13,d1,ef,96,ad,5d,14,af,29,a6,32,e2,29,e9,c6,0a,f9,dd,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:d9,bd,ea,66,c3,c8,9d,53,29,dc,f2,e5,e1,f4,1b,ae,78,63,cb,53,60,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42]
"khjeh"=hex:b3,0f,e2,9c,3c,4a,02,c9,3c,e0,5e,f4,84,d0,cd,87,f1,a1,41,c9,6a,..

[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf43]
"khjeh"=hex:72,2c,b1,6e,78,c9,04,2d,9b,a6,db,00,b0,e0,33,28,f7,41,d7,7e,99,..
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Vax347s\Config\jdgg40]
"ujdew"=hex:20,02,00,00,7a,08,2a,b5,9a,24,7c,58,7e,e0,ab,ec,a4,04,2a,7d,92,..
"ljej40"=hex:94,85,56,b8,d1,bd,bd,98,71,48,3d,09,06,63,fb,a9,76,ba,f0,02,f5,..
"ljej41"=hex:5a,85,56,b8,a9,bd,bd,98,70,48,3c,09,07,63,fb,a9,76,ba,f0,02,95,..
"ljej42"=hex:5a,85,56,b8,a9,bd,bd,98,70,48,3c,09,07,63,fb,a9,76,ba,f0,02,95,..
"ljej43"=hex:5a,85,56,b8,a9,bd,bd,98,70,48,3c,09,07,63,fb,a9,76,ba,f0,02,95,..
"ljej44"=hex:5a,85,56,b8,a9,bd,bd,98,70,48,3c,09,07,63,fb,a9,76,ba,f0,02,95,..
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\0D79C293C1ED61418462E24595C90D04]
"h0"=dword:00000001
"ujdew"=hex:1c,17,6d,0d,1d,6d,57,19,b8,ec,8f,96,57,df,78,9f,ce,d5,8e,56,ec,..
"p0"="C:\Programme\Alcohol Soft\Alcohol 120\"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4]
"p0"="C:\Programme\DAEMON Tools\"
"h0"=dword:00000000
"khjeh"=hex:4a,b1,de,5d,86,95,bb,f3,55,42,db,47,45,38,55,9d,81,43,32,e7,b6,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001]
"a0"=hex:20,01,00,00,73,dd,c0,80,88,a8,fe,be,7f,ad,1b,0e,c5,09,61,7d,35,..
"khjeh"=hex:40,60,df,2d,21,26,ab,c4,c3,eb,7d,8a,2a,75,64,5c,c3,bf,8c,51,ad,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf40]
"khjeh"=hex:44,9e,ab,13,d1,ef,96,ad,5d,14,af,29,a6,32,e2,29,e9,c6,0a,f9,dd,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf41]
"khjeh"=hex:d9,bd,ea,66,c3,c8,9d,53,29,dc,f2,e5,e1,f4,1b,ae,78,63,cb,53,60,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf42]
"khjeh"=hex:b3,0f,e2,9c,3c,4a,02,c9,3c,e0,5e,f4,84,d0,cd,87,f1,a1,41,c9,6a,..

[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Services\sptd\Cfg\19659239224E364682FA4BAF72C53EA4\00000001\0Jf43]
"khjeh"=hex:72,2c,b1,6e,78,c9,04,2d,9b,a6,db,00,b0,e0,33,28,f7,41,d7,7e,99,..

scanning hidden registry entries ...

scanning hidden files ...

scan completed successfully
hidden processes: 0
hidden services: 0
hidden files: 0


Remaining Services :




Authorized Application Key Export:

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\standardprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"
"C:\\Programme\\iTunes\\iTunes.exe"="C:\\Programme\\iTunes\\iTunes.exe:*:Enabled:iTunes"
"C:\\Programme\\KONAMI\\Pro Evolution Soccer 2008\\PES2008.exe"="C:\\Programme\\KONAMI\\Pro Evolution Soccer 2008\\PES2008.exe:*:Enabledro Evolution Soccer 2008"
"C:\\Programme\\Xfire\\Xfire.exe"="C:\\Programme\\Xfire\\Xfire.exe:*:Enabled:Xfire"
"C:\\Programme\\EA SPORTS\\FIFA 07\\fifa07.exe"="C:\\Programme\\EA SPORTS\\FIFA 07\\fifa07.exe:*:Enabled:fifa07"
"C:\\Programme\\World of Warcraft\\Repair.exe"="C:\\Programme\\World of Warcraft\\Repair.exe:*:Enabled:Blizzard Repair Utility"
"C:\\Programme\\ICQ6\\ICQ.exe"="C:\\Programme\\ICQ6\\ICQ.exe:*:Enabled:ICQ6"
"C:\\Programme\\Cyanide\\GameCenter\\GameCenter.exe"="C:\\Programme\\Cyanide\\GameCenter\\GameCenter.exe:*:Enabled:GameCenter"
"C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\PCM.exe"="C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\PCM.exe:*:Enabled:Tour de France - Saison 2008"
"C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\Autorun\\Exe\\Autorun.exe"="C:\\Programme\\Cyanide\\Tour de France - Saison 2008\\Autorun\\Exe\\Autorun.exe:*:Enabled:Tour de France - Saison 2008 - AutoRun"
"C:\\Programme\\Skype\\Phone\\Skype.exe"="C:\\Programme\\Skype\\Phone\\Skype.exe:*:Enabled:Skype"
"C:\\Programme\\InterVideo\\DVD7\\WinDVD.exe"="C:\\Programme\\InterVideo\\DVD7\\WinDVD.exe:*:Enabled:WinDVD"
"C:\\Program Files\\WS_FTP\\WS_FTP95.exe"="C:\\Program Files\\WS_FTP\\WS_FTP95.exe:*:Enabled:WS_FTP 95"

[HKEY_LOCAL_MACHINE\system\currentcontrolset\services\sharedaccess\parameters\firewallpolicy\domainprofile\authorizedapplications\list]
"%windir%\\system32\\sessmgr.exe"="%windir%\\system32\\sessmgr.exe:*:enabled:@xpsp2res.dll,-22019"

Remaining Files :


File Backups: - C:\SDFix\backups\backups.zip

Files with Hidden Attributes :

Thu 28 Feb 2008 1,890 A.SH. --- "C:\WINDOWS\system32\KGyGaAvL.sys"
Thu 18 May 2006 4,348 ..SH. --- "C:\Dokumente und Einstellungen\All Users\DRM\DRMv1.bak"
Thu 18 May 2006 4,348 ...H. --- "C:\Dokumente und Einstellungen\Dennis Kuester\Eigene Dateien\Eigene Musik\Lizenzsicherung\drmv1key.bak"
Fri 29 Aug 2008 20 A..H. --- "C:\Dokumente und Einstellungen\Dennis Kuester\Eigene Dateien\Eigene Musik\Lizenzsicherung\drmv1lic.bak"
Tue 27 May 2008 400 A.SH. --- "C:\Dokumente und Einstellungen\Dennis Kuester\Eigene Dateien\Eigene Musik\Lizenzsicherung\drmv2key.bak"

Finished!



Ich hoffe das war jetzt der richtige Bericht. Auf dem Desktop war nämlich leider kein Report, aber im SD-Fix Ordner.

Gruß

Adler10

#4 Download OTCleanIt. by OldTimer zum Desktop
Schliesse alle Fenster
Doppelklick: OTCleanIt.
Klicke: CleanUp

Wenn gefragt wird “Do you want to reboot now?”klicke “Yes”
Dein Rechner wird neu gestartet

Damit werden Reste von benutzten Programme wieder entfernt

Benutze CCleaner nochmal

Java
Dein Java software ist veraltet,
Download Java Runtime Environment (JRE) 6u7 zum Desktop

Entferne ueber "Start -> Einstellungen -> Systemsteuerung -> Software
Die aeltere Versionen von Java Runtime Environment (JRE of J2SE)
Nachdem alles entfernt wurde --->Rechner neu starten
Schliesse alle Programme auch dein Webbrowser
Installiere jetzt vom Desktop aus ---> jre-6u7-windows-i586-p.exe

Happy Surfing
ps
Halte Malwarebytes Anti-Malware up-to-date und vorallem dein Rechner
__________
MfG Argus

#5 Vielen Dank. Habe alles ausgeführt und gehe jetzt mal davon aus, dass mein PC wieder "sauber" ist richtig? Malwarebytes Anti-Malware hat wohl alles gelöscht.

Nochmals vielen Dank für deine Hilfe.

Gruß

Adler10