Entfernung Trojaner TR/Crypt.xpack.gen

#1 Hallo,
mein Antivir hat in den letzten Wochen 1 bis 2 mal täglich zwei exe-Dateien gefunden und sie als Trojaner TR/Crypt.xpack.gen klassifiziert. Bei einem Komplettscan wurde nichts gefunden, die Dateien tauchten trotz löschen/Zugriff verweigern immer wieder unter dem gleichen Namen auf. Ich hab jetzt comboFix.exe ausgeführt. Vielleicht will sich mal jemand das Log ansehen und mir sagen, ob mein Problem damit behoben ist;das wäre nett...



ComboFix 08-12-11.05 - User 2008-12-12 13:00:51.1 - NTFSx86
Microsoft Windows XP Professional 5.1.2600.3.1252.1.1031.18.690 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\User\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\system32\drivers\npf.sys
c:\windows\system32\Packet.dll
c:\windows\system32\WanPacket.dll
c:\windows\system32\wpcap.dll

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_NPF
-------\Service_NPF


((((((((((((((((((((((( Dateien erstellt von 2008-11-12 bis 2008-12-12 ))))))))))))))))))))))))))))))
.

2008-12-12 12:43 . 2008-12-12 12:43 <DIR> d-------- c:\programme\CCleaner
2008-12-09 10:10 . 2008-12-09 10:10 <DIR> d-------- c:\programme\Gemeinsame Dateien\Wise Installation Wizard
2008-12-08 15:22 . 2008-12-08 16:02 <DIR> d-------- c:\programme\SUPERAntiSpyware
2008-12-08 15:22 . 2008-12-08 15:22 <DIR> d-------- c:\dokumente und einstellungen\User\Anwendungsdaten\SUPERAntiSpyware.com
2008-12-08 15:22 . 2008-12-08 15:22 <DIR> d-------- c:\dokumente und einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2008-11-16 18:44 . 2008-04-01 19:59 <DIR> d-------- c:\dokumente und einstellungen\Gast\WINDOWS
2008-11-16 18:44 . 2003-02-25 00:35 <DIR> d--h----- c:\dokumente und einstellungen\Gast\Vorlagen
2008-11-16 18:44 . 2003-02-25 00:35 <DIR> dr------- c:\dokumente und einstellungen\Gast\Startmenü
2008-11-16 18:44 . 2003-02-25 00:35 <DIR> d--h----- c:\dokumente und einstellungen\Gast\Netzwerkumgebung
2008-11-16 18:44 . 2003-02-25 00:35 <DIR> d--h----- c:\dokumente und einstellungen\Gast\Lokale Einstellungen
2008-11-16 18:44 . 2008-11-16 18:44 <DIR> dr------- c:\dokumente und einstellungen\Gast\Favoriten
2008-11-16 18:44 . 2008-11-16 18:44 <DIR> dr------- c:\dokumente und einstellungen\Gast\Eigene Dateien
2008-11-16 18:44 . 2003-02-25 00:35 <DIR> d--h----- c:\dokumente und einstellungen\Gast\Druckumgebung
2008-11-16 18:44 . 2008-04-01 20:03 <DIR> d-------- c:\dokumente und einstellungen\Gast\Anwendungsdaten\Symantec
2008-11-16 18:44 . 2008-04-01 20:02 <DIR> d-------- c:\dokumente und einstellungen\Gast\Anwendungsdaten\Sonic
2008-11-16 18:44 . 2008-11-16 18:44 <DIR> dr-h----- c:\dokumente und einstellungen\Gast\Anwendungsdaten
2008-11-16 18:44 . 2008-11-16 22:51 <DIR> d-------- c:\dokumente und einstellungen\Gast
2008-11-12 08:48 . 2008-09-04 18:15 1,106,944 --------- c:\windows\system32\dllcache\msxml3.dll
2008-11-12 08:48 . 2008-10-24 12:21 455,296 --------- c:\windows\system32\dllcache\mrxsmb.sys

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2008-12-12 11:44 --------- d-----w c:\programme\Mozilla Thunderbird
2008-12-08 15:08 --------- d-----w c:\dokumente und einstellungen\User\Anwendungsdaten\Skype
2008-11-23 17:39 --------- d-----w c:\programme\Gemeinsame Dateien\Adobe
2008-11-07 19:08 --------- d-----w c:\dokumente und einstellungen\User\Anwendungsdaten\Winamp
2008-11-07 18:13 --------- d-----w c:\programme\Winamp
2008-10-26 17:37 --------- d-----w c:\programme\Avanquest update
2008-10-26 17:36 --------- d--h--w c:\programme\InstallShield Installation Information
2008-10-26 17:36 --------- d-----w c:\programme\Sony Ericsson
2008-10-24 11:21 455,296 ------w c:\windows\system32\drivers\mrxsmb.sys
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\ctfmon.exe" [2008-04-14 15360]
"ibmmessages"="c:\programme\IBM\Messages By IBM\ibmmessages.exe" [2003-08-18 536576]
"Sony Ericsson PC Suite"="c:\programme\Sony Ericsson\Sony Ericsson PC Suite\SEPCSuite.exe" [2008-07-02 397312]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"BMMLREF"="c:\programme\ThinkPad\Utilities\BMMLREF.EXE" [2003-07-11 20480]
"QCWLICON"="c:\programme\ThinkPad\ConnectUtilities\QCWLICON.EXE" [2004-08-18 81920]
"TPKMAPHELPER"="c:\programme\ThinkPad\Utilities\TpKmapAp.exe" [2003-09-02 897024]
"EZEJMNAP"="c:\progra~1\ThinkPad\UTILIT~1\EzEjMnAp.Exe" [2003-07-18 208896]
"avgnt"="c:\programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-19 266497]
"S3TRAY2"="S3Tray2.exe" [2001-10-12 c:\windows\system32\S3Tray2.exe]
"TpShocks"="TpShocks.exe" [2003-09-04 c:\windows\system32\TpShocks.exe]
"TP4EX"="tp4ex.exe" [2002-09-04 c:\windows\system32\TP4EX.exe]
"AGRSMMSG"="AGRSMMSG.exe" [2003-06-27 c:\windows\AGRSMMSG.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\QConGina]
2004-08-18 12:30 258048 c:\windows\system32\QConGina.dll

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^tax aktuell.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\tax aktuell.lnk
backup=c:\windows\pss\tax aktuell.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
--a------ 2008-10-15 01:04 39792 c:\programme\Adobe\Reader 8.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIPTA]
--a------ 2003-09-12 06:10 335872 c:\programme\ATI Technologies\ATI Control Panel\atiptaxx.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BgMonitor_{79662E04-7C6C-4d9f-84C7-88D8A56B10AA}]
--a------ 2006-12-23 17:05 143360 c:\programme\Gemeinsame Dateien\Ahead\Lib\NMBgMonitor.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\BMMGAG]
--a------ 2003-07-11 10:34 94208 c:\progra~1\ThinkPad\UTILIT~1\PWRMONIT.DLL

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\dla]
--------- 2003-10-22 10:04 114741 c:\windows\system32\dla\tfswctrl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ibmmessages]
--a------ 2003-08-18 19:13 536576 c:\programme\IBM\Messages By IBM\ibmmessages.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\MSMSGS]
--a------ 2008-04-14 03:22 1695232 c:\programme\Messenger\msmsgs.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2006-01-12 14:40 155648 c:\programme\Gemeinsame Dateien\Ahead\Lib\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
--a------ 2007-10-19 19:16 286720 c:\programme\QuickTime\QTTask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Skype]
-ra------ 2007-07-13 17:50 22132008 c:\programme\Skype\Phone\Skype.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SSC_UserPrompt]
--a------ 2004-08-10 03:54 218240 c:\programme\Gemeinsame Dateien\Symantec Shared\Security Center\UsrPrmpt.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SunJavaUpdateSched]
--a------ 2008-06-10 03:27 144784 c:\programme\Java\jre1.6.0_07\bin\jusched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SynTPEnh]
--a------ 2003-08-28 20:10 512000 c:\programme\Synaptics\SynTP\SynTPEnh.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\SynTPLpr]
--a------ 2003-08-28 20:11 110592 c:\programme\Synaptics\SynTP\SynTPLpr.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TkBellExe]
--a------ 2008-05-17 17:18 185896 c:\programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\TPHOTKEY]
--a------ 2004-08-07 04:26 94208 c:\progra~1\ThinkPad\PkgMgr\HOTKEY\TPHKMGR.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\UC_Start]
--a------ 2003-03-18 00:27 32768 c:\ibmtools\Updater\ucstartup.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\UpdateManager]
--a------ 2003-08-19 10:01 110592 c:\programme\Gemeinsame Dateien\Sonic\Update Manager\sgtray.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\WinampAgent]
--a------ 2008-08-04 00:02 36352 c:\programme\Winamp\winampa.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\ATIModeChange]
--a------ 2001-09-05 01:24 28672 c:\windows\system32\Ati2mdxx.exe

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"c:\\IBMTOOLS\\Updater\\ucsmb.exe"=
"c:\\IBMTOOLS\\Updater\\jre\\bin\\java.exe"=
"c:\\IBMTOOLS\\Updater\\jre\\bin\\javaw.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Program Files\\Real\\RealPlayer\\realplay.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Skype\\Phone\\Skype.exe"=

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"20:TCP"= 20:TCP:o2 DSL FTP 20
"21:TCP"= 21:TCP:o2 DSL FTP 21
"23:TCP"= 23:TCP:o2 DSL Telnet 23
"80:TCP"= 80:TCP:o2 DSL HTTP 80
"161:UDP"= 161:UDP:o2 DSL SNMP 161
"443:TCP"= 443:TCP:o2 DSL HTTPS 443

R0 Shockprf;Shockprf;c:\windows\system32\drivers\Shockprf.sys [2008-04-01 52136]
R1 ANC;ANC;c:\windows\system32\drivers\ANC.SYS [2008-04-01 11520]
R1 IBMTPCHK;IBMTPCHK;c:\windows\system32\drivers\IBMBLDID.SYS [2008-04-01 2432]
R1 TPPWR;TPPWR;c:\windows\system32\drivers\Tppwr.sys [2008-04-01 15360]
R2 accsvc;AccSys WiFi Component;c:\programme\Gemeinsame Dateien\AccSys\accsvc.exe [2008-07-10 147456]
R2 ShockMgr;ShockMgr;c:\windows\system32\drivers\ShockMgr.sys [2008-04-01 4225]
S3 ggflt;SEMC USB Flash Driver Filter;c:\windows\system32\DRIVERS\ggflt.sys [2008-08-30 13352]
S3 LucentSoftModem;Lucent Technologies Soft Modem;c:\windows\system32\DRIVERS\LTSM.sys [2003-02-25 802683]
S3 QCNDISIF;QCNDISIF;c:\windows\system32\drivers\qcndisif.SYS [2008-04-01 12288]
S3 s0017bus;Sony Ericsson Device 0017 driver (WDM);c:\windows\system32\DRIVERS\s0017bus.sys [2008-10-26 90536]
S3 s0017mdfl;Sony Ericsson Device 0017 USB WMC Modem Filter;c:\windows\system32\DRIVERS\s0017mdfl.sys [2008-10-26 15016]
S3 s0017mdm;Sony Ericsson Device 0017 USB WMC Modem Driver;c:\windows\system32\DRIVERS\s0017mdm.sys [2008-10-26 122152]
S3 s0017mgmt;Sony Ericsson Device 0017 USB WMC Device Management Drivers (WDM);c:\windows\system32\DRIVERS\s0017mgmt.sys [2008-10-26 115496]
S3 s0017nd5;Sony Ericsson Device 0017 USB Ethernet Emulation SEMC0017 (NDIS);c:\windows\system32\DRIVERS\s0017nd5.sys [2008-10-26 25768]
S3 s0017obex;Sony Ericsson Device 0017 USB WMC OBEX Interface;c:\windows\system32\DRIVERS\s0017obex.sys [2008-10-26 111912]
S3 s0017unic;Sony Ericsson Device 0017 USB Ethernet Emulation SEMC0017 (WDM);c:\windows\system32\DRIVERS\s0017unic.sys [2008-10-26 117672]
S3 s125bus;Sony Ericsson Device 125 driver (WDM);c:\windows\system32\DRIVERS\s125bus.sys [2008-04-11 83336]
S3 s125mdfl;Sony Ericsson Device 125 USB WMC Modem Filter;c:\windows\system32\DRIVERS\s125mdfl.sys [2008-04-11 15112]
S3 s125mdm;Sony Ericsson Device 125 USB WMC Modem Driver;c:\windows\system32\DRIVERS\s125mdm.sys [2008-04-11 108680]
S3 s125mgmt;Sony Ericsson Device 125 USB WMC Device Management Drivers (WDM);c:\windows\system32\DRIVERS\s125mgmt.sys [2008-04-11 100488]
S3 s125obex;Sony Ericsson Device 125 USB WMC OBEX Interface;c:\windows\system32\DRIVERS\s125obex.sys [2008-04-11 98696]
S3 s3017bus;Sony Ericsson Device 3017 driver (WDM);c:\windows\system32\DRIVERS\s3017bus.sys [2008-07-09 83880]
S3 s3017mdfl;Sony Ericsson Device 3017 USB WMC Modem Filter;c:\windows\system32\DRIVERS\s3017mdfl.sys [2008-07-09 15016]
S3 s3017mdm;Sony Ericsson Device 3017 USB WMC Modem Driver;c:\windows\system32\DRIVERS\s3017mdm.sys [2008-07-09 110632]
S3 s3017mgmt;Sony Ericsson Device 3017 USB WMC Device Management Drivers (WDM);c:\windows\system32\DRIVERS\s3017mgmt.sys [2008-07-09 104616]
S3 s3017nd5;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (NDIS);c:\windows\system32\DRIVERS\s3017nd5.sys [2008-07-09 25512]
S3 s3017obex;Sony Ericsson Device 3017 USB WMC OBEX Interface;c:\windows\system32\DRIVERS\s3017obex.sys [2008-07-09 100648]
S3 s3017unic;Sony Ericsson Device 3017 USB Ethernet Emulation SEMC3017 (WDM);c:\windows\system32\DRIVERS\s3017unic.sys [2008-07-09 110120]

[HKEY_CURRENT_USER\software\microsoft\windows\currentversion\explorer\mountpoints2\{04f03e40-84ee-11dd-bc3b-000e9b999e9b}]
\Shell\AutoRun\command - E:\LaunchU3.exe -a
.
Inhalt des "geplante Tasks" Ordners

2008-10-28 c:\windows\Tasks\AppleSoftwareUpdate.job
- c:\programme\Apple Software Update\SoftwareUpdate.exe [2008-07-30 11:34]

2008-08-29 c:\windows\Tasks\BMMTask.job
- c:\progra~1\ThinkPad\UTILIT~1\BMMTASK.EXE [2003-07-11 10:34]

2008-04-01 c:\windows\Tasks\Symantec NetDetect.job
- c:\programme\Symantec\LiveUpdate\NDETECT.EXE [2003-09-09 22:36]
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

HKCU-Run-IBM RecordNow! - (no file)


.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.msn.com
uDefault_Search_URL = hxxp://www.google.com/ie
mStart Page = hxxp://www.msn.com
uSearchURL,(Default) = hxxp://www.google.com/search?q=%s
FF - ProfilePath - c:\dokumente und einstellungen\User\Anwendungsdaten\Mozilla\Firefox\Profiles\34fy68p8.Seb\
FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nppl3260.dll
FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprjplug.dll
FF - plugin: c:\program files\Real\RealPlayer\Netscape6\nprpjplug.dll
.

**************************************************************************

catchme 0.3.1367 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-12-12 13:03:29
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------

- - - - - - - > 'winlogon.exe'(572)
c:\windows\system32\Ati2evxx.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\windows\system32\ibmpmsvc.exe
c:\windows\system32\ati2evxx.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
c:\windows\system32\ati2evxx.exe
c:\programme\Avira\AntiVir PersonalEdition Classic\sched.exe
c:\windows\system32\QCONSVC.EXE
c:\windows\system32\TpKmpSvc.exe
c:\programme\Gemeinsame Dateien\Symantec Shared\Security Center\SymWSC.exe
c:\windows\system32\acs.exe
c:\windows\system32\wscntfy.exe
c:\programme\ThinkPad\Utilities\EzEjMnAp.Exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2008-12-12 13:05:26 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-12-12 12:05:16

Vor Suchlauf: 17 Verzeichnis(se), 127.970.275.328 Bytes frei
Nach Suchlauf: 17 Verzeichnis(se), 127,902,949,376 Bytes frei

WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /fastdetect

231 --- E O F --- 2008-11-21 11:22:41

#2 Start > Ausführen> Kopiere rein ComboFix /U OK

Malwarebytes Anti-Malware fuer Windows 2000,XP und Vista
Download MalwareBytes' Anti-Malware

Doppelklick mbam-setup und waehle Deutsch ,das Program wird jetzt ge-updatet

Wähle bei Reiter:
“Scanner”> "Quickscan durchfuehren".
“Update “> klicke “Suche nache Aktualisierungen“
“Einstellungen“ hake an “Beende Inter Explorer während des Löschvorgangs“
Scan laufen lassen

Wenn am Ende infizierungen gefunden werden,anhaken und entfernen lassen
Starte dein Rechner neu
Unter Scanberichte stet das log (mbam-log-XX-XX-XXXX.txt)
Poste dessen inhalt hier ins Forum
Note:
Wenn MBAM Schwierigkeiten damit hat Daten zu entfernen wird es gemeldet und klicke OK
Danach wird gefragt den Rechner neu zu starten,lass es zu
Malwarebytes Anti-Malware kann man nachher behalten !

Später kann man noch ein "Vollständiger Suchlauf“durchführen

Und ein log von Hijack This
__________
MfG Argus

#3 Vielen Dank Arnold!
Habe MBAM laufen lassen, keine Funde; AntiVir hat bis jetzt auch noch keine neuen Warnmeldungen gegeben. Hoffe, das Thema ist damit erledigt und werde wohl demnächst mal ein log von Hijack This machen lassen.
Dank und Gruss.
Sebastian