Combofix jetzt Sicher ? Vundo war / ist drauf

#1 Hallo

Ich habe mir gerade eben wieder den vundo eingefangen

habe combofix drüber laufen lassen und er hat auch was gelöscht, allerdings kann ich das lo file nicht komplett entschlüsseln und meine frage somit,
ist der rechner sauber oder muss ich mir noch sorgen machen.

Vielen dank schon hier für jede hilfe, euer Forum ist echt klasse.


ComboFix 10-03-14.06 - blub 15.03.2010 13:54:58.3.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1023.733 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\blub\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
FW: ZoneAlarm Firewall *enabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.

c:\windows\AppPatch\Custom\{deb7008b-681e-4a4a-8aae-cc833e8216ce}.sdb
c:\windows\system32\SIntf16.dll
c:\windows\system32\sshnas21.dll
c:\windows\Tasks\{35DC3473-A719-4d14-B7C1-FD326CA84A0C}.job
c:\windows\Tasks\{66BA574B-1E11-49b8-909C-8CC9E0E8E015}.job

.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.

-------\Legacy_SSHNAS
-------\Service_SSHNAS


((((((((((((((((((((((( Dateien erstellt von 2010-02-15 bis 2010-03-15 ))))))))))))))))))))))))))))))
.

2010-03-15 11:22 . 2010-03-15 11:22 157184 ----a-w- c:\windows\Utukea.exe
2010-03-12 12:44 . 2010-03-12 12:44 43520 ----a-w- c:\windows\system32\CmdLineExt03.dll
2010-03-12 12:12 . 2010-03-12 13:29 -------- d-----w- c:\programme\THQ
2010-03-12 11:20 . 2010-03-12 11:20 -------- d-----w- c:\programme\ElcomSoft
2010-03-12 11:20 . 2010-03-12 11:20 -------- d-----w- c:\programme\Advanced Archive Password Recovery
2010-03-11 20:21 . 2010-03-11 20:21 -------- d-----w- c:\programme\Audacity
2010-03-10 17:38 . 2010-03-12 13:29 -------- d-----w- c:\programme\Zylom Games
2010-03-10 10:02 . 2010-03-10 10:02 -------- d-----w- c:\programme\DreamCatcher
2010-03-08 08:29 . 2010-03-12 15:39 1 ----a-w- c:\dokumente und einstellungen\blub\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-03-08 08:29 . 2010-03-08 08:29 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\OpenOffice.org
2010-03-08 08:28 . 2010-03-08 08:28 7424000 ----a-r- c:\dokumente und einstellungen\blub\Anwendungsdaten\Microsoft\Installer\{2217B0B4-35CB-48C6-B640-864DF2F30F99}\soffice.exe
2010-03-08 08:26 . 2010-03-08 08:27 -------- d-----w- c:\programme\OpenOffice.org 3
2010-03-08 08:25 . 2010-03-08 08:25 -------- d-----w- c:\programme\open office
2010-03-04 10:58 . 2010-03-04 11:03 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\NCH Swift Sound
2010-03-04 07:55 . 2010-03-05 06:16 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\GetRightToGo
2010-03-04 07:35 . 2010-03-04 07:35 -------- d-----w- c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\Microsoft Help
2010-03-04 07:34 . 2010-03-08 17:15 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2010-03-03 10:56 . 2010-03-03 10:56 -------- d-----w- c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\O&O
2010-03-03 10:52 . 2010-03-03 10:52 -------- d-----w- c:\programme\OO Software
2010-02-22 15:31 . 2010-02-22 15:31 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\Apple Computer

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-15 13:04 . 2009-07-02 20:37 17823776 --sha-w- c:\windows\system32\drivers\fidbox.dat
2010-03-15 13:02 . 2009-07-02 20:37 211964 --sha-w- c:\windows\system32\drivers\fidbox.idx
2010-03-15 08:13 . 2009-08-20 12:37 -------- d-----w- c:\programme\Mozilla Thunderbird
2010-03-12 13:29 . 2009-07-07 10:30 -------- d--h--w- c:\programme\InstallShield Installation Information
2010-03-11 23:35 . 2010-03-12 07:36 241664 ----a-w- c:\windows\Internet Logs\xDB43.tmp
2010-03-11 12:05 . 2010-03-11 12:58 906752 ----a-w- c:\windows\Internet Logs\xDB42.tmp
2010-03-10 17:40 . 2009-08-06 15:07 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\Zylom
2010-03-10 08:55 . 2010-03-10 08:55 -------- d-----w- c:\programme\Electronic Arts
2010-03-08 16:26 . 2009-10-30 05:53 6821440 ----a-w- c:\windows\Internet Logs\tvDebug.zip
2010-03-08 11:29 . 2010-03-08 14:37 2909184 ----a-w- c:\windows\Internet Logs\xDB41.tmp
2010-03-04 07:21 . 2001-08-23 12:00 71894 ----a-w- c:\windows\system32\perfc007.dat
2010-03-04 07:21 . 2001-08-23 12:00 408196 ----a-w- c:\windows\system32\perfh007.dat
2010-03-04 06:12 . 2010-03-04 06:38 36864 ----a-w- c:\windows\Internet Logs\xDB40.tmp
2010-03-04 05:55 . 2010-03-04 05:56 908800 ----a-w- c:\windows\Internet Logs\xDB3F.tmp
2010-03-01 15:01 . 2010-03-01 20:05 1404416 ----a-w- c:\windows\Internet Logs\xDB3E.tmp
2010-02-27 22:08 . 2010-02-28 11:13 519680 ----a-w- c:\windows\Internet Logs\xDB3D.tmp
2010-02-27 10:25 . 2009-09-23 10:27 -------- d-----w- c:\programme\D-Tools
2010-02-25 00:02 . 2010-02-25 08:57 692224 ----a-w- c:\windows\Internet Logs\xDB3C.tmp
2010-02-22 23:05 . 2009-05-19 18:51 892928 ----a-w- c:\windows\Internet Logs\xDB38.tmp
2010-02-22 23:05 . 2009-05-19 18:51 2097152 ----a-w- c:\windows\Internet Logs\xDB39.tmp
2010-02-20 13:16 . 2010-02-21 07:53 216064 ----a-w- c:\windows\Internet Logs\xDB37.tmp
2010-02-19 17:23 . 2010-02-19 17:41 44032 ----a-w- c:\windows\Internet Logs\xDB35.tmp
2010-02-19 17:23 . 2010-02-19 17:41 2087936 ----a-w- c:\windows\Internet Logs\xDB36.tmp
2010-02-19 12:49 . 2010-02-19 13:43 43008 ----a-w- c:\windows\Internet Logs\xDB34.tmp
2010-02-18 07:02 . 2010-02-19 12:08 154624 ----a-w- c:\windows\Internet Logs\xDB33.tmp
2010-02-17 16:58 . 2010-02-17 18:27 332288 ----a-w- c:\windows\Internet Logs\xDB32.tmp
2010-02-16 21:05 . 2010-02-17 08:39 1440768 ----a-w- c:\windows\Internet Logs\xDB30.tmp
2010-02-16 21:05 . 2010-02-17 08:39 2081792 ----a-w- c:\windows\Internet Logs\xDB31.tmp
2010-02-15 21:47 . 2010-02-16 09:20 336896 ----a-w- c:\windows\Internet Logs\xDB2F.tmp
2010-02-14 12:36 . 2010-02-15 04:56 130048 ----a-w- c:\windows\Internet Logs\xDB2E.tmp
2010-02-13 12:45 . 2010-02-14 07:53 508416 ----a-w- c:\windows\Internet Logs\xDB2D.tmp
2010-02-11 19:45 . 2010-02-12 06:21 32768 ----a-w- c:\windows\Internet Logs\xDB2C.tmp
2010-02-11 17:11 . 2010-02-11 18:58 483840 ----a-w- c:\windows\Internet Logs\xDB2B.tmp
2010-02-10 13:30 . 2010-02-10 13:32 2678272 ----a-w- c:\windows\Internet Logs\xDB2A.tmp
2010-02-09 16:08 . 2010-02-09 16:08 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\elsterformular
2010-02-09 16:07 . 2009-07-09 05:30 -------- d-----w- c:\programme\ElsterFormular
2010-02-09 16:01 . 2010-02-09 16:01 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\elsterformular
2010-01-20 12:44 . 2010-01-20 14:52 2670080 ----a-w- c:\windows\Internet Logs\xDB29.tmp
2010-01-09 21:07 . 2010-01-09 21:09 1996800 ----a-w- c:\windows\Internet Logs\xDB28.tmp
2010-01-09 21:07 . 2010-01-09 21:09 2566144 ----a-w- c:\windows\Internet Logs\xDB27.tmp
2010-01-09 07:38 . 2009-09-23 10:18 21840 ----atw- c:\windows\system32\SIntfNT.dll
2010-01-09 07:38 . 2009-09-23 10:18 17212 ----atw- c:\windows\system32\SIntf32.dll
2010-01-04 13:10 . 2010-01-04 17:33 783360 ----a-w- c:\windows\Internet Logs\xDB26.tmp
2009-12-30 08:30 . 2009-12-30 08:46 515072 ----a-w- c:\windows\Internet Logs\xDB25.tmp
2009-12-23 12:34 . 2009-12-23 14:47 1511424 ----a-w- c:\windows\Internet Logs\xDB24.tmp
.

------- Sigcheck -------

[7] 2008-04-13 . 9F3A2F5AA6875C72BF062C712CFA2674 . 96512 . . [5.1.2600.5512] . . c:\windows\system32\dllcache\atapi.sys
[-] 2008-04-13 21:10 . !HASH: COULD NOT OPEN FILE !!!!! . 96512 . . [------] . . c:\windows\system32\drivers\atapi.sys
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]
"C-Media Mixer"="Mixer.exe" [2002-07-12 1581056]
"DAEMON Tools-1033"="c:\programme\D-Tools\daemon.exe" [2004-03-12 81920]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk *\0OODBS

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Kodak EasyShare Software.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Kodak EasyShare Software.lnk
backup=c:\windows\pss\Kodak EasyShare Software.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^KODAK Software Updater.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\KODAK Software Updater.lnk
backup=c:\windows\pss\KODAK Software Updater.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2009-02-27 15:10 35696 ----a-w- c:\programme\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonMyPrinter]
2007-04-04 01:50 1603152 ----a-w- c:\programme\Canon\MyPrinter\BJMYPRT.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonSolutionMenu]
2007-05-15 01:01 644696 ----a-w- c:\programme\Canon\SolutionMenu\CNSLMAIN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2006-09-01 13:57 282624 ----a-w- c:\programme\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=

R0 d346bus;d346bus;c:\windows\system32\drivers\d346bus.sys [23.09.2009 11:27 156800]
R0 d346prt;d346prt;c:\windows\system32\drivers\d346prt.sys [23.09.2009 11:27 5248]
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [02.07.2009 21:07 108289]
R3 N100;Compaq Ethernet oder Fast Ethernet-NIC-Treiber;c:\windows\system32\drivers\n100325.sys [19.05.2009 19:55 130048]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\MAGIX\Common\Database\bin\fbserver.exe [28.08.2009 12:31 1527900]
S3 gupdate;Google Update Service (gupdate);"c:\programme\Google\Update\GoogleUpdate.exe" /svc --> c:\programme\Google\Update\GoogleUpdate.exe [?]
S3 pnicml;pnicml;\??\c:\dokume~1\blub\LOKALE~1\Temp\pnicml.sys --> c:\dokume~1\blub\LOKALE~1\Temp\pnicml.sys [?]
S3 XDva327;XDva327;\??\c:\windows\system32\XDva327.sys --> c:\windows\system32\XDva327.sys [?]
S3 XDva332;XDva332;\??\c:\windows\system32\XDva332.sys --> c:\windows\system32\XDva332.sys [?]
S3 XDva336;XDva336;\??\c:\windows\system32\XDva336.sys --> c:\windows\system32\XDva336.sys [?]
S3 XDva337;XDva337;\??\c:\windows\system32\XDva337.sys --> c:\windows\system32\XDva337.sys [?]
S4 sptd;sptd;c:\windows\system32\drivers\sptd.sys [03.07.2009 19:46 721904]
.
Inhalt des "geplante Tasks" Ordners
.
.
------- Zusätzlicher Suchlauf -------
.
FF - ProfilePath - c:\dokumente und einstellungen\blub\Anwendungsdaten\Mozilla\Firefox\Profiles\1arhd1b8.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll
FF - plugin: c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.2.183.13\npGoogleOneClick8.dll
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npzylomgamesplayer.dll

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -

MSConfigStartUp-Ad-Watch - c:\programme\Lavasoft\Ad-Aware\AAWTray.exe
MSConfigStartUp-DAEMON Tools Lite - c:\programme\DAEMON Tools Lite\daemon.exe



**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-15 14:05
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************

Stealth MBR rootkit/Mebroot/Sinowal detector 0.3.7 by Gmer, http://www.gmer.net

device: opened successfully
user: MBR read successfully
called modules: ntoskrnl.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll >>UNKNOWN [0x86510708]<<
kernel: MBR read successfully
detected MBR rootkit hooks:
\Driver\Disk -> CLASSPNP.SYS @ 0xf7873f28
\Driver\ACPI -> ACPI.sys @ 0xf77becb8
\Driver\atapi -> 0x86510708
IoDeviceObjectType -> DeleteProcedure -> ntoskrnl.exe @ 0x805a0598
ParseProcedure -> ntoskrnl.exe @ 0x8056c1d6
\Device\Harddisk0\DR0 -> DeleteProcedure -> ntoskrnl.exe @ 0x805a0598
ParseProcedure -> ntoskrnl.exe @ 0x8056c1d6
Warning: possible MBR rootkit infection !
user & kernel MBR OK

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]
"OODEFRAG12.00.00.01PROFESSIONAL"="0437E59BADB3AA411289A4C8458424036000D8C4EDF
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\windows\Mixer.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2010-03-15 14:09:12 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2010-03-15 13:09

Vor Suchlauf: 10 Verzeichnis(se), 43.472.400.384 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 43.466.366.976 Bytes frei

- - End Of File - - AC270360028878E1E758A67EB58A6830

#2 deinstaliere falls vorhanden.
Daemon Tools und Daemon Tools Lite
Alcohol 120% und 52%
AstroBurn
download:
http://www.duplexsecure.com/download/SPTDinst-v162-x86.exe
klicke uninstall.
nach dem deinstalieren, neu start und combofix noch mal ausführen, log posten.

#3 So hab alles gemacht, habe alle Daemon und Alcohol einträge aus der Regestry entfernt und hoffe jetzt ist es ok weil zur zeit keins dieser programme installiert ist, allerdings habe ich einmal eins nciht richtig deinstalliert.

hier nachdem ich alles gemacht habe die neue combofix txt



ComboFix 10-03-14.06 - blub 15.03.2010 17:53:17.4.1 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1023.717 [GMT 1:00]
ausgeführt von:: c:\dokumente und einstellungen\blub\Desktop\ComboFix.exe
AV: AntiVir Desktop *On-access scanning disabled* (Updated) {AD166499-45F9-482A-A743-FDD3350758C7}
FW: ZoneAlarm Firewall *enabled* {829BDA32-94B3-44F4-8446-F8FCFF809F8B}

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((( Dateien erstellt von 2010-02-15 bis 2010-03-15 ))))))))))))))))))))))))))))))
.

2010-03-15 13:23 . 2010-03-15 13:23 -------- d-----w- c:\programme\Lame for Audacity
2010-03-15 11:22 . 2010-03-15 11:22 157184 ----a-w- c:\windows\Utukea.exe
2010-03-12 12:44 . 2010-03-12 12:44 43520 ----a-w- c:\windows\system32\CmdLineExt03.dll
2010-03-12 12:12 . 2010-03-12 13:29 -------- d-----w- c:\programme\THQ
2010-03-12 11:20 . 2010-03-12 11:20 -------- d-----w- c:\programme\ElcomSoft
2010-03-11 20:21 . 2010-03-11 20:21 -------- d-----w- c:\programme\Audacity
2010-03-10 17:38 . 2010-03-12 13:29 -------- d-----w- c:\programme\Zylom Games
2010-03-10 10:02 . 2010-03-10 10:02 -------- d-----w- c:\programme\DreamCatcher
2010-03-08 08:29 . 2010-03-12 15:39 1 ----a-w- c:\dokumente und einstellungen\blub\Anwendungsdaten\OpenOffice.org\3\user\uno_packages\cache\stamp.sys
2010-03-08 08:29 . 2010-03-08 08:29 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\OpenOffice.org
2010-03-08 08:28 . 2010-03-08 08:28 7424000 ----a-r- c:\dokumente und einstellungen\blub\Anwendungsdaten\Microsoft\Installer\{2217B0B4-35CB-48C6-B640-864DF2F30F99}\soffice.exe
2010-03-08 08:26 . 2010-03-08 08:27 -------- d-----w- c:\programme\OpenOffice.org 3
2010-03-08 08:25 . 2010-03-08 08:25 -------- d-----w- c:\programme\open office
2010-03-04 10:58 . 2010-03-04 11:03 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\NCH Swift Sound
2010-03-04 07:55 . 2010-03-05 06:16 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\GetRightToGo
2010-03-04 07:35 . 2010-03-04 07:35 -------- d-----w- c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\Microsoft Help
2010-03-04 07:34 . 2010-03-08 17:15 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Microsoft Help
2010-03-03 10:56 . 2010-03-03 10:56 -------- d-----w- c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\O&O
2010-03-03 10:52 . 2010-03-03 10:52 -------- d-----w- c:\programme\OO Software
2010-02-22 15:31 . 2010-02-22 15:31 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\Apple Computer

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2010-03-15 16:59 . 2009-07-02 20:37 17952800 --sha-w- c:\windows\system32\drivers\fidbox.dat
2010-03-15 16:46 . 2009-07-02 20:37 212948 --sha-w- c:\windows\system32\drivers\fidbox.idx
2010-03-15 16:26 . 2009-07-03 18:46 691696 ----a-w- c:\windows\system32\drivers\sptd.sys
2010-03-15 15:55 . 2009-08-20 12:37 -------- d-----w- c:\programme\Mozilla Thunderbird
2010-03-12 13:29 . 2009-07-07 10:30 -------- d--h--w- c:\programme\InstallShield Installation Information
2010-03-11 23:35 . 2010-03-12 07:36 241664 ----a-w- c:\windows\Internet Logs\xDB43.tmp
2010-03-11 12:05 . 2010-03-11 12:58 906752 ----a-w- c:\windows\Internet Logs\xDB42.tmp
2010-03-10 17:40 . 2009-08-06 15:07 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\Zylom
2010-03-10 08:55 . 2010-03-10 08:55 -------- d-----w- c:\programme\Electronic Arts
2010-03-08 16:26 . 2009-10-30 05:53 6821440 ----a-w- c:\windows\Internet Logs\tvDebug.zip
2010-03-08 11:29 . 2010-03-08 14:37 2909184 ----a-w- c:\windows\Internet Logs\xDB41.tmp
2010-03-04 07:21 . 2001-08-23 12:00 71894 ----a-w- c:\windows\system32\perfc007.dat
2010-03-04 07:21 . 2001-08-23 12:00 408196 ----a-w- c:\windows\system32\perfh007.dat
2010-03-04 06:12 . 2010-03-04 06:38 36864 ----a-w- c:\windows\Internet Logs\xDB40.tmp
2010-03-04 05:55 . 2010-03-04 05:56 908800 ----a-w- c:\windows\Internet Logs\xDB3F.tmp
2010-03-01 15:01 . 2010-03-01 20:05 1404416 ----a-w- c:\windows\Internet Logs\xDB3E.tmp
2010-02-27 22:08 . 2010-02-28 11:13 519680 ----a-w- c:\windows\Internet Logs\xDB3D.tmp
2010-02-25 00:02 . 2010-02-25 08:57 692224 ----a-w- c:\windows\Internet Logs\xDB3C.tmp
2010-02-22 23:05 . 2009-05-19 18:51 892928 ----a-w- c:\windows\Internet Logs\xDB38.tmp
2010-02-22 23:05 . 2009-05-19 18:51 2097152 ----a-w- c:\windows\Internet Logs\xDB39.tmp
2010-02-20 13:16 . 2010-02-21 07:53 216064 ----a-w- c:\windows\Internet Logs\xDB37.tmp
2010-02-19 17:23 . 2010-02-19 17:41 44032 ----a-w- c:\windows\Internet Logs\xDB35.tmp
2010-02-19 17:23 . 2010-02-19 17:41 2087936 ----a-w- c:\windows\Internet Logs\xDB36.tmp
2010-02-19 12:49 . 2010-02-19 13:43 43008 ----a-w- c:\windows\Internet Logs\xDB34.tmp
2010-02-18 07:02 . 2010-02-19 12:08 154624 ----a-w- c:\windows\Internet Logs\xDB33.tmp
2010-02-17 16:58 . 2010-02-17 18:27 332288 ----a-w- c:\windows\Internet Logs\xDB32.tmp
2010-02-16 21:05 . 2010-02-17 08:39 1440768 ----a-w- c:\windows\Internet Logs\xDB30.tmp
2010-02-16 21:05 . 2010-02-17 08:39 2081792 ----a-w- c:\windows\Internet Logs\xDB31.tmp
2010-02-15 21:47 . 2010-02-16 09:20 336896 ----a-w- c:\windows\Internet Logs\xDB2F.tmp
2010-02-14 12:36 . 2010-02-15 04:56 130048 ----a-w- c:\windows\Internet Logs\xDB2E.tmp
2010-02-13 12:45 . 2010-02-14 07:53 508416 ----a-w- c:\windows\Internet Logs\xDB2D.tmp
2010-02-11 19:45 . 2010-02-12 06:21 32768 ----a-w- c:\windows\Internet Logs\xDB2C.tmp
2010-02-11 17:11 . 2010-02-11 18:58 483840 ----a-w- c:\windows\Internet Logs\xDB2B.tmp
2010-02-10 13:30 . 2010-02-10 13:32 2678272 ----a-w- c:\windows\Internet Logs\xDB2A.tmp
2010-02-09 16:08 . 2010-02-09 16:08 -------- d-----w- c:\dokumente und einstellungen\blub\Anwendungsdaten\elsterformular
2010-02-09 16:07 . 2009-07-09 05:30 -------- d-----w- c:\programme\ElsterFormular
2010-02-09 16:01 . 2010-02-09 16:01 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\elsterformular
2010-01-20 12:44 . 2010-01-20 14:52 2670080 ----a-w- c:\windows\Internet Logs\xDB29.tmp
2010-01-09 21:07 . 2010-01-09 21:09 1996800 ----a-w- c:\windows\Internet Logs\xDB28.tmp
2010-01-09 21:07 . 2010-01-09 21:09 2566144 ----a-w- c:\windows\Internet Logs\xDB27.tmp
2010-01-09 07:38 . 2009-09-23 10:18 21840 ----atw- c:\windows\system32\SIntfNT.dll
2010-01-09 07:38 . 2009-09-23 10:18 17212 ----atw- c:\windows\system32\SIntf32.dll
2010-01-04 13:10 . 2010-01-04 17:33 783360 ----a-w- c:\windows\Internet Logs\xDB26.tmp
2009-12-30 08:30 . 2009-12-30 08:46 515072 ----a-w- c:\windows\Internet Logs\xDB25.tmp
2009-12-23 12:34 . 2009-12-23 14:47 1511424 ----a-w- c:\windows\Internet Logs\xDB24.tmp
.

(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"ZoneAlarm Client"="c:\programme\Zone Labs\ZoneAlarm\zlclient.exe" [2008-07-09 919016]
"C-Media Mixer"="Mixer.exe" [2002-07-12 1581056]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]

[HKEY_LOCAL_MACHINE\system\currentcontrolset\control\session manager]
BootExecute REG_MULTI_SZ autocheck autochk *\0OODBS

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Kodak EasyShare Software.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Kodak EasyShare Software.lnk
backup=c:\windows\pss\Kodak EasyShare Software.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^KODAK Software Updater.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\KODAK Software Updater.lnk
backup=c:\windows\pss\KODAK Software Updater.lnkCommon Startup

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Microsoft Office.lnk]
path=c:\dokumente und einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft Office.lnk
backup=c:\windows\pss\Microsoft Office.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Adobe Reader Speed Launcher]
2009-02-27 15:10 35696 ----a-w- c:\programme\Adobe\Reader 9.0\Reader\reader_sl.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonMyPrinter]
2007-04-04 01:50 1603152 ----a-w- c:\programme\Canon\MyPrinter\BJMYPRT.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\CanonSolutionMenu]
2007-05-15 01:01 644696 ----a-w- c:\programme\Canon\SolutionMenu\CNSLMAIN.EXE

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\QuickTime Task]
2006-09-01 13:57 282624 ----a-w- c:\programme\QuickTime\qttask.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"%windir%\\system32\\sessmgr.exe"=
"c:\\Programme\\ICQ6.5\\ICQ.exe"=
"c:\\Programme\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=

R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [02.07.2009 21:07 108289]
R3 N100;Compaq Ethernet oder Fast Ethernet-NIC-Treiber;c:\windows\system32\drivers\n100325.sys [19.05.2009 19:55 130048]
S0 sptd;sptd;c:\windows\system32\drivers\sptd.sys [03.07.2009 19:46 691696]
S3 FirebirdServerMAGIXInstance;Firebird Server - MAGIX Instance;c:\programme\MAGIX\Common\Database\bin\fbserver.exe [28.08.2009 12:31 1527900]
S3 gupdate;Google Update Service (gupdate);"c:\programme\Google\Update\GoogleUpdate.exe" /svc --> c:\programme\Google\Update\GoogleUpdate.exe [?]
S3 pnicml;pnicml;\??\c:\dokume~1\blub\LOKALE~1\Temp\pnicml.sys --> c:\dokume~1\blub\LOKALE~1\Temp\pnicml.sys [?]
S3 XDva327;XDva327;\??\c:\windows\system32\XDva327.sys --> c:\windows\system32\XDva327.sys [?]
S3 XDva332;XDva332;\??\c:\windows\system32\XDva332.sys --> c:\windows\system32\XDva332.sys [?]
S3 XDva336;XDva336;\??\c:\windows\system32\XDva336.sys --> c:\windows\system32\XDva336.sys [?]
S3 XDva337;XDva337;\??\c:\windows\system32\XDva337.sys --> c:\windows\system32\XDva337.sys [?]
.
.
------- Zusätzlicher Suchlauf -------
.
FF - ProfilePath - c:\dokumente und einstellungen\blub\Anwendungsdaten\Mozilla\Firefox\Profiles\1arhd1b8.default\
FF - prefs.js: browser.startup.homepage - www.google.de
FF - plugin: c:\dokumente und einstellungen\All Users\Anwendungsdaten\Zylom\ZylomGamesPlayer\npzylomgamesplayer.dll
FF - plugin: c:\dokumente und einstellungen\blub\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.2.183.13\npGoogleOneClick8.dll
FF - plugin: c:\programme\DivX\DivX Plus Web Player\npdivx32.dll
FF - plugin: c:\programme\Mozilla Firefox\plugins\npzylomgamesplayer.dll

---- FIREFOX Richtlinien ----
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_colors", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.use_native_popup_windows", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.enable_click_image_resizing", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("accessibility.browsewithcaret_shortcut.enabled", true);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.high_water_mark", 32);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("javascript.options.mem.gc_frequency", 1600);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("network.auth.force-generic-ntlm", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("svg.smil.enabled", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("ui.trackpoint_hack.enabled", -1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.debug", false);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.agedWeight", 2);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.bucketSize", 1);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.maxTimeGroupings", 25);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.timeGroupingSize", 604800);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.boundaryWeight", 25);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("browser.formfill.prefixWeight", 5);
c:\programme\Mozilla Firefox\greprefs\all.js - pref("html5.enable", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.download.backgroundInterval", 600);
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("app.update.url.manual", "http://www.firefox.com");
c:\programme\Mozilla Firefox\defaults\pref\firefox-branding.js - pref("browser.search.param.yahoo-fr-ja", "mozff");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.name", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("extensions.{972ce4c6-7e08-4474-a285-3208198ce6fd}.description", "chrome://browser/locale/browser.properties");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add", "addons.mozilla.org");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("xpinstall.whitelist.add.36", "getpersonas.com");
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("lightweightThemes.update.enabled", true);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.allTabs.previews", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.hide_infobar_for_outdated_plugin", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("plugins.update.notifyUser", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("toolbar.customization.usesheet", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.enable", false);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.max", 20);
c:\programme\Mozilla Firefox\defaults\pref\firefox.js - pref("browser.taskbar.previews.cachetime", 20);
.

**************************************************************************

catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2010-03-15 17:59
Windows 5.1.2600 Service Pack 3 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostarteinträge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

**************************************************************************
.
--------------------- Gesperrte Registrierungsschluessel ---------------------

[HKEY_LOCAL_MACHINE\software\Microsoft\Windows\CurrentVersion\System*]
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
.
Zeit der Fertigstellung: 2010-03-15 18:01:41
ComboFix-quarantined-files.txt 2010-03-15 17:01
ComboFix2.txt 2010-03-15 13:09

Vor Suchlauf: 10 Verzeichnis(se), 43.616.632.832 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 43.574.636.544 Bytes frei

- - End Of File - - 4423426C0C29164383E4A172C4D6EEFB

#4 ok
1. malwarebytes, dann gmer, beide logs posten
http://board.protecus.de/t23188.htm

#5 so hier die logs

MBAM:
Malwarebytes' Anti-Malware 1.44
Datenbank Version: 3871
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512

15.03.2010 19:23:41
mbam-log-2010-03-15 (19-23-41).txt

Scan-Methode: Quick-Scan
Durchsuchte Objekte: 119203
Laufzeit: 4 minute(s), 54 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 1
Infizierte Registrierungswerte: 0
Infizierte Dateiobjekte der Registrierung: 0
Infizierte Verzeichnisse: 0
Infizierte Dateien: 1

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\Software\WEK9EMDHI9 (Trojan.Agent) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung:
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)

Infizierte Dateien:
C:\WINDOWS\Utukea.exe (Trojan.Fraudpack) -> Quarantined and deleted successfully.


GMER kommt jetzt sofort muss noch fertig werden

#6 HIer der GMER report:

GMER 1.0.15.15281 - http://www.gmer.net
Rootkit scan 2010-03-15 20:19:02
Windows 5.1.2600 Service Pack 3
Running: 5p322nih.exe; Driver: C:\DOKUME~1\blub\LOKALE~1\Temp\uwtdipow.sys


---- System - GMER 1.0.15 ----

SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwConnectPort [0xF5D63040]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateFile [0xF5D5F930]
SSDT F7E7CAB6 ZwCreateKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreatePort [0xF5D63510]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateProcess [0xF5D69870]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateProcessEx [0xF5D69AA0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateSection [0xF5D6CFD0]
SSDT F7E7CAAC ZwCreateThread
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwCreateWaitablePort [0xF5D63600]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDeleteFile [0xF5D5FF20]
SSDT F7E7CABB ZwDeleteKey
SSDT F7E7CAC5 ZwDeleteValueKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwDuplicateObject [0xF5D69580]
SSDT spox.sys ZwEnumerateKey [0xF7734DA4]
SSDT spox.sys ZwEnumerateValueKey [0xF7735132]
SSDT F7E7CACA ZwLoadKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenFile [0xF5D5FD70]
SSDT spox.sys ZwOpenKey [0xF771C0C0]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenProcess [0xF5D69350]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwOpenThread [0xF5D69150]
SSDT spox.sys ZwQueryKey [0xF773520A]
SSDT spox.sys ZwQueryValueKey [0xF773508A]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwRenameKey [0xF5D6C250]
SSDT F7E7CAD4 ZwReplaceKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwRequestWaitReplyPort [0xF5D62C00]
SSDT F7E7CACF ZwRestoreKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwSecureConnectPort [0xF5D63220]
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwSetInformationFile [0xF5D60120]
SSDT F7E7CAC0 ZwSetValueKey
SSDT \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC) ZwTerminateProcess [0xF5D69CD0]

INT 0x37 ? 86413F00
INT 0x37 ? 86413F00
INT 0x3E ? 867DABF8
INT 0x3F ? 867DABF8

---- Kernel code sections - GMER 1.0.15 ----

.text ntoskrnl.exe!_abnormal_termination + 104 804E2760 12 Bytes [10, 35, D6, F5, 70, 98, D6, ...]
? gvhec.sys Das System kann die angegebene Datei nicht finden. !
? spox.sys Das System kann die angegebene Datei nicht finden. !
? srescan.sys Das System kann die angegebene Datei nicht finden. !
.text USBPORT.SYS!DllUnload F72398AC 5 Bytes JMP 864134E0

---- Kernel IAT/EAT - GMER 1.0.15 ----

IAT \WINDOWS\System32\Drivers\SCSIPORT.SYS[ntoskrnl.exe!DbgBreakPoint] 867702D8
IAT pci.sys[ntoskrnl.exe!IoDetachDevice] [F7747DDC] spox.sys
IAT pci.sys[ntoskrnl.exe!IoAttachDeviceToDeviceStack] [F7747E30] spox.sys
IAT atapi.sys[HAL.dll!READ_PORT_UCHAR] [F771D042] spox.sys
IAT atapi.sys[HAL.dll!READ_PORT_BUFFER_USHORT] [F771D13E] spox.sys
IAT atapi.sys[HAL.dll!READ_PORT_USHORT] [F771D0C0] spox.sys
IAT atapi.sys[HAL.dll!WRITE_PORT_BUFFER_USHORT] [F771D800] spox.sys
IAT atapi.sys[HAL.dll!WRITE_PORT_UCHAR] [F771D6D6] spox.sys
IAT \SystemRoot\system32\DRIVERS\USBPORT.SYS[ntoskrnl.exe!DbgBreakPoint] 864135E0
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\raspppoe.sys[NDIS.SYS!NdisDeregisterProtocol] [F5D67E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisDeregisterProtocol] [F5D67E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\psched.sys[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisDeregisterProtocol] [F5D67E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\Drivers\NDProxy.SYS[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\tcpip.sys[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\System32\drivers\afd.sys[ntoskrnl.exe!IoCreateFile] [F5D75330] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisDeregisterProtocol] [F5D67E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\wanarp.sys[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\nwlnkipx.sys[NDIS.SYS!NdisDeregisterProtocol] [F5D67E10] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\nwlnkipx.sys[NDIS.SYS!NdisCloseAdapter] [F5D68320] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\nwlnkipx.sys[NDIS.SYS!NdisOpenAdapter] [F5D681C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\nwlnkipx.sys[NDIS.SYS!NdisRegisterProtocol] [F5D67CA0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtSetInformationFile] [F5D605C0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!IoCreateFile] [F5D60770] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtCreateFile] [F5D602D0] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
IAT \SystemRoot\system32\DRIVERS\srv.sys[ntoskrnl.exe!NtOpenFile] [F5D60670] \SystemRoot\System32\vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)

---- Devices - GMER 1.0.15 ----

Device \FileSystem\Ntfs \Ntfs 867D91F8
Device \FileSystem\Fastfat \FatCdrom 8624D500
Device \Driver\NetBT \Device\NetBT_Tcpip_{99B81C20-3764-4A8E-AA2E-40943BDAB48C} 864DF500
Device \Driver\Tcpip \Device\Ip vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\usbuhci \Device\USBPDO-0 8646A500
Device \Driver\dmio \Device\DmControl\DmIoDaemon 8676E1F8
Device \Driver\dmio \Device\DmControl\DmConfig 8676E1F8
Device \Driver\dmio \Device\DmControl\DmPnP 8676E1F8
Device \Driver\dmio \Device\DmControl\DmInfo 8676E1F8
Device \Driver\usbuhci \Device\USBPDO-1 8646A500
Device \Driver\Tcpip \Device\Tcp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Ftdisk \Device\HarddiskVolume1 867DB1F8
Device \Driver\Cdrom \Device\CdRom0 863EF500
Device \Driver\NetBT \Device\NetBT_Tcpip_{2F3E99B6-D36D-4465-861C-E85B628BEA5C} 864DF500
Device \Driver\Cdrom \Device\CdRom1 863EF500
Device \Driver\atapi \Device\Ide\IdeDeviceP1T1L0-17 [F766FB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device \Driver\atapi \Device\Ide\IdeDeviceP0T0L0-3 [F766FB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device \Driver\atapi \Device\Ide\IdePort0 [F766FB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device \Driver\atapi \Device\Ide\IdePort1 [F766FB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device \Driver\atapi \Device\Ide\IdeDeviceP1T0L0-f [F766FB40] atapi.sys[unknown section] {MOV EDX, [ESP+0x8]; LEA ECX, [ESP+0x4]; PUSH EAX; MOV EAX, ESP; PUSH EAX}
Device \Driver\NetBT \Device\NetBt_Wins_Export 864DF500
Device \Driver\NetBT \Device\NetbiosSmb 864DF500
Device \Driver\Tcpip \Device\Udp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\Tcpip \Device\RawIp vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \Driver\usbuhci \Device\USBFDO-0 8646A500
Device \Driver\usbuhci \Device\USBFDO-1 8646A500
Device \FileSystem\MRxSmb \Device\LanmanDatagramReceiver 864D0500
Device \Driver\Tcpip \Device\IPMULTICAST vsdatant.sys (TrueVector Device Driver/Zone Labs, LLC)
Device \FileSystem\MRxSmb \Device\LanmanRedirector 864D0500
Device \Driver\Ftdisk \Device\FtControl 867DB1F8
Device \FileSystem\Fastfat \Fat 8624D500

AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

Device \FileSystem\Cdfs \Cdfs 861F9500

---- Registry - GMER 1.0.15 ----

Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s1 771343423
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@s2 285507792
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg@h0 1
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Programme\DAEMON Tools Lite\
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xB5 0x02 0x06 0x6E ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x9C 0x57 0x12 0x6B ...
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0
Reg HKLM\SYSTEM\CurrentControlSet\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xAF 0x85 0x0A 0x1D ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@p0 C:\Programme\DAEMON Tools Lite\
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@h0 0
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC@hdf12 0xB5 0x02 0x06 0x6E ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@a0 0x20 0x01 0x00 0x00 ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001@hdf12 0x9C 0x57 0x12 0x6B ...
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0 (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\sptd\Cfg\14919EA49A8F3B4AA3CF1058D9A64CEC\00000001\gdq0@hdf12 0xAF 0x85 0x0A 0x1D ...
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System@OODEFRAG12.00.00.01PROFESSIONAL 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

---- EOF - GMER 1.0.15 ----

#7 sind noch probleme am pc festzustellen?

#8 nein soweit eigentlich nicht , merkt man meistens ja eh nur wenn sich ein programm wie antivir meldet, zur zeit ist alles ruhig.

#9 eset:
http://www.eset.com/online-scanner
ausführen, log posten.

#10 C:\Qoobox\Quarantine\C\WINDOWS\system32\sshnas21.dll.vir Win32/TrojanDownloader.FakeAlert.ARF trojan cleaned by deleting - quarantined

hat nur diese eine sache gefunden

#11 start ausführen
combofix /uninstall
enter
http://www.chip.de/downloads/Secunia-Personal-Software-Inspector_28151435.html
instalieren, der hilft dir auf dem aktuellen stand zu bleiben.

#12 vielen dank für deine zeit und hilfe

hab mit diesem forum immer nur gute erfahrung gemacht und das hat sich auch dieses mal wieder bestätigt.
Macht weiter so ihr seid klasse!

mit freundlichen grüßen

syriel