Passwort-Weitergabe durch IE

#1 Hallo ihr Spezies!

Seit ein paar Tagen habe ich das Problem, das IE mein eBay-Passwort versenden will. Meine Firewall (ZoneAlarm) warnt dann, und ich lehne es natürlich ab.

Das komische daran ist, das das bisher nur passierte, wenn ich verschiedene Foren aufrief, bzw. einen thread anklickte.

Ich habe verschiedene Programme laufen lassen (AdAware, BitDefender, Spybot S&D und TrojanCheck), heute hat BitDefender 4 Trojaner gefunden und eliminiert. Es waren "Trojan.Exploit.Java.Bytverify", "Trojan.Java.Needy", "Trojan.java.ClassLoader.C" und "Trojan.Java.ClassLoader.D". Ich weiß zwar nicht genau, was diese bösen Pferdchen anstellen können, aber sie sind gelöscht.

Gerade habe ich hier ein wenig gestöbert und habe HijackThis installiert. Dabei kam folgendes raus:

Logfile of HijackThis v1.97.7
Scan saved at 20:24:47, on 09.03.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Trojancheck 6\tcguard.exe
C:\Programme\Scansoft\PaperPort\pptd40nt.exe
C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclConf.exe
C:\PROGRA~1\ZONEAL~1\zlclient.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\DayDisplay\DayDisplay.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
E:\Programme\Skype.exe
C:\Programme\AceBIT\WISE-FTP\WF_Scheduler.exe
C:\Programme\Softwin\BitDefender for ICQ\aqmon.exe
C:\Programme\Softwin\BitDefender for MSN Messenger\msnmon.exe
C:\Programme\Softwin\BitDefender for Net Meeting\nmmon.exe
C:\Programme\Softwin\BitDefender for Yahoo Messenger\yahmon.exe
C:\Programme\Cloudmark\SpamNet\OE\snoe.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Scansoft\PaperPort\SmartUI\SmartUI.exe
C:\Programme\AIM95\aim.exe
C:\Programme\ICQ\Icq.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Yahoo!\Messenger\YPager.exe
C:\Programme\Outlook Express\msimn.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Microsoft Works\msworks.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Games\mshearts.exe
E:\PROGRA~1\IMAGEB~1\WMCache.exe
C:\Programme\Adobe\Acrobat 6.0\Reader\AcroRd32.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
c:\progra~1\softwin\bie79c~1\bdmcon.exe
c:\progra~1\softwin\bie79c~1\bdlite.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
D:\DOKUME~1\Besitzer\EIGENE~1\download\COPERN~1\COPERN~1.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\Temporäres Verzeichnis 1 für hijackthis1977.zip\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\Web\SearchBar.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://rd.yahoo.com/customize/ymsgr/defaults/su/*http://www.yahoo.com
F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,netconfig{5}.xtr,
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Messenger\ycomp.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5fb7b2de-c4e9-46ad-ba33-33a3875ea7d4} - (no file)
O2 - BHO: Digimarc ImageBridge reader BHO for IE - {6D6F1AF0-DDCB-477F-A896-5D75E53B80A3} - E:\Programme\ImageBridgeReader\RM4IE.dll
O2 - BHO: (no name) - {817ca99c-ffc8-4ffa-91f4-1c8211e267d7} - (no file)
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Messenger\ycomp.dll
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &ImageBridge reader - {0FFE2F08-3AC9-4A91-A61D-4FF24F91A561} - E:\Programme\ImageBridgeReader\RM4IE.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [WinServices] netconfig{5}.xtr
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\Scansoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [Nokia Connection Monitor] "C:\Programme\Gemeinsame Dateien\Nokia\NCLTools\NclConf.exe"
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [dxycdub] rundll32 C:\WINDOWS\System32:dxycdub.dll,Init 1
O4 - HKLM\..\Run: [Digimarc Watermark Initializer] E:\Programme\ImageBridgeReader\WMInit.exe
O4 - HKLM\..\Run: [BDMCon] c:\PROGRA~1\softwin\BIE79C~1\bdmcon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Skype] "E:\Programme\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Wise-FTP Scheduler] C:\Programme\AceBIT\WISE-FTP\WF_Scheduler.exe
O4 - HKCU\..\Run: [Digimarc Watermark Scanner] E:\Programme\ImageBridgeReader\WMDScan.exe
O4 - HKLM\..\RunOnce: [*dxycdub] rundll32 C:\WINDOWS\System32:dxycdub.dll,Init 1
O4 - HKCU\..\RunOnce: [ICQ] C:\Programme\ICQ\Icq.exe -trayboot
O4 - Global Startup: BitDefender for ICQ.lnk = C:\Programme\Softwin\BitDefender for ICQ\aqmon.exe
O4 - Global Startup: BitDefender for MSN Messenger.lnk = C:\Programme\Softwin\BitDefender for MSN Messenger\msnmon.exe
O4 - Global Startup: BitDefender for Net Meeting.lnk = C:\Programme\Softwin\BitDefender for Net Meeting\nmmon.exe
O4 - Global Startup: BitDefender for Yahoo! Messenger.lnk = C:\Programme\Softwin\BitDefender for Yahoo Messenger\yahmon.exe
O4 - Global Startup: BitDefender_P2P_Startup.lnk = C:\WINDOWS\BitDefender_P2P_Startup.exe
O4 - Global Startup: Cloudmark SpamNet for OE.lnk = ?
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: SmartUI.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Suchen mit Copernic Agent - D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\Web\SearchExt.htm
O9 - Extra button: Trace (HKLM)
O9 - Extra 'Tools' menuitem: VisualRoute Trace (HKLM)
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra 'Tools' menuitem: Starten von Copernic Agent (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Copernic Agent (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: HttpWatch Explorer Bar (HKLM)
O9 - Extra 'Tools' menuitem: HttpWatch Explorer Bar (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .mov: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mpeg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mpg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: Yahoo! Pyramids - http://download.games.yahoo.com/games/clients/y/pyt1_x.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security1.norton.com/SSC/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://download.yahoo.com/dl/installs/yinst.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} - http://membersites.namezero.com/webmaster.sub-webdesign.de/tori/test/webinstall.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {C2FCEF52-ACE9-11D3-BEBD-00105AA9B6AE} (Symantec RuFSI Registry Information Class) - http://security1.norton.com/SSC/SharedContent/sc/bin/cabsa.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab
O16 - DPF: {EE5CA45C-BFAC-48E6-BE6C-3C607620FF43} (IMViewerControl Class) - http://companion.logitech.com/companion/logitech/ver1.3.1.2083/bin/imvid.cab
O16 - DPF: {FA13A9FA-CA9B-11D2-9780-00104B242EA3} - http://www.wildtangent.com/install/wdriver/ddc/shockwave/wtinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BF3D6BB1-CBE0-4FCC-9FD2-FF9C0BD4B0A2}: NameServer = 217.5.115.7 194.25.2.129

Habe ich noch was drauf?

Leider bin ich keine Fachfrau, Erklärungen bitte für Doofies ;-)

Danke im voraus, Maxim

#2 Ganz interessante theorie dazu unter
http://forums.zonelabs.com/zonelabs/board/message?board.id=win_za_msgs&message.id=3852
__________
Durchsuchen --> Aussuchen --> Untersuchen

#3 Fix mal diesen Eintrag:

F2 - REG:system.ini: UserInit=C:\WINDOWS\system32\userinit.exe,netconfig{5}.xtr,
O4 - HKLM\..\Run: [WinServices] netconfig{5}.xtr


Du hast auch noch eine Afcore Variante auf dem Rechner. Das den keiner deiner aufgezaehlten AV-Programme gefunden hat....

Fuege folgende Zeile mal unter Start Ausfuehren ein, druecke Enter und starte den Rechner neu:

rundll32 C:\WINDOWS\System32:dxycdub.dll,uninstall

Schaue, ob nach dem neustart diese Eintraege noch im Hijackthis log findest:
O4 - HKLM\..\RunOnce: [*dxycdub] rundll32 C:\WINDOWS\System32:dxycdub.dll,Init 1

Es waere nett, wenn du diese Dateien an virus@protecus.de oder an die Adresse aus meinem Profil schicken koenntest. Sofern du sie finden kannst:

C:\WINDOWS\System32:dxycdub.dll
netconfig{5}.xtr

Versuche auch mal diesen cleaner: ftp://ftp1.avp.ch/utils/clrav.com
__________
MfG Ralf
SEO-Spam Hunter

#4 Interessant...dann werde ich ZoneAlarm mal ein falsches Passwort sagen ;-) Danke für den Tip!


Also....

Nachdem ich die beiden gefixt habe, habe ich versucht, unter Ausführen die Zeile einzufügen. Ich bekomme dann die Fehlermeldung, das der Eintrag "uninstall" fehlt.

Nun schaut das so aus:

Logfile of HijackThis v1.97.7
Scan saved at 22:52:14, on 09.03.2004
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\brsvc01a.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\System32\brss01a.exe
C:\WINDOWS\System32\mnmsrvc.exe
C:\WINDOWS\System32\nvsvc32.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSINST.EXE
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Communicator\xcommsvr.exe
C:\Programme\Gemeinsame Dateien\Softwin\BitDefender Scan Server\bdss.exe
C:\Programme\Teledat\WCOM\SYSTEM\RVSCC.EXE
C:\WINDOWS\Explorer.EXE
E:\PROGRA~1\IMAGEB~1\WMCache.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe
C:\Programme\Trojancheck 6\tcguard.exe
C:\Programme\Scansoft\PaperPort\pptd40nt.exe
C:\PROGRA~1\ZONEAL~1\zlclient.exe
C:\PROGRA~1\softwin\BIE79C~1\bdmcon.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\DayDisplay\DayDisplay.exe
C:\Programme\MSN Messenger\MsnMsgr.Exe
E:\Programme\Skype.exe
C:\Programme\AceBIT\WISE-FTP\WF_Scheduler.exe
C:\Programme\Softwin\BitDefender for ICQ\aqmon.exe
C:\Programme\Softwin\BitDefender for MSN Messenger\msnmon.exe
C:\Programme\Softwin\BitDefender for Net Meeting\nmmon.exe
C:\Programme\Softwin\BitDefender for Yahoo Messenger\yahmon.exe
C:\Programme\Cloudmark\SpamNet\OE\snoe.exe
C:\Programme\AT-AR215\AT-AR215 USB ADSL WAN Adapter\dslmon.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\Programme\Scansoft\PaperPort\SmartUI\SmartUI.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\Microsoft Office\Office\WINWORD.EXE
E:\Programme\HijackThis.exe
C:\Programme\Lavasoft\Ad-aware 6\Ad-aware.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\WINDOWS\System32\rundll32.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\Web\SearchBar.htm
R1 - HKCU\Software\Microsoft\Internet Explorer\SearchURL,(Default) = http://rd.yahoo.com/customize/ymsgr/defaults/su/*http://www.yahoo.com
O2 - BHO: (no name) - {02478D38-C3F9-4efb-9B51-7695ECA05670} - C:\Programme\Yahoo!\Messenger\ycomp.dll
O2 - BHO: (no name) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 6.0\Reader\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: (no name) - {5fb7b2de-c4e9-46ad-ba33-33a3875ea7d4} - (no file)
O2 - BHO: Digimarc ImageBridge reader BHO for IE - {6D6F1AF0-DDCB-477F-A896-5D75E53B80A3} - E:\Programme\ImageBridgeReader\RM4IE.dll
O2 - BHO: (no name) - {817ca99c-ffc8-4ffa-91f4-1c8211e267d7} - (no file)
O2 - BHO: (no name) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: &Yahoo! Companion - {EF99BD32-C1FB-11D2-892F-0090271D4F88} - C:\Programme\Yahoo!\Messenger\ycomp.dll
O3 - Toolbar: Copernic Agent - {F2E259E8-0FC8-438C-A6E0-342DD80FA53E} - D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\CopernicAgentExt.dll
O3 - Toolbar: &Google - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\programme\google\googletoolbar2.dll
O3 - Toolbar: &ImageBridge reader - {0FFE2F08-3AC9-4A91-A61D-4FF24F91A561} - E:\Programme\ImageBridgeReader\RM4IE.dll
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE NvQTwk,NvCplDaemon initialize
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NeroCheck] C:\WINDOWS\system32\NeroCheck.exe
O4 - HKLM\..\Run: [KernelFaultCheck] %systemroot%\system32\dumprep 0 -k
O4 - HKLM\..\Run: [TkBellExe] "C:\Programme\Gemeinsame Dateien\Real\Update_OB\realsched.exe" -osboot
O4 - HKLM\..\Run: [Trojancheck 6 Guard] C:\Programme\Trojancheck 6\tcguard.exe
O4 - HKLM\..\Run: [PaperPort PTD] C:\Programme\Scansoft\PaperPort\pptd40nt.exe
O4 - HKLM\..\Run: [IndexSearch] C:\Programme\Scansoft\PaperPort\IndexSearch.exe
O4 - HKLM\..\Run: [Zone Labs Client] C:\PROGRA~1\ZONEAL~1\zlclient.exe
O4 - HKLM\..\Run: [dxycdub] rundll32 C:\WINDOWS\System32:dxycdub.dll,Init 1
O4 - HKLM\..\Run: [Digimarc Watermark Initializer] E:\Programme\ImageBridgeReader\WMInit.exe
O4 - HKLM\..\Run: [BDMCon] c:\PROGRA~1\softwin\BIE79C~1\bdmcon.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [DayDisplay] C:\Programme\DayDisplay\DayDisplay.exe
O4 - HKCU\..\Run: [MsnMsgr] "C:\Programme\MSN Messenger\MsnMsgr.Exe" /background
O4 - HKCU\..\Run: [Skype] "E:\Programme\Skype.exe" /nosplash /minimized
O4 - HKCU\..\Run: [Wise-FTP Scheduler] C:\Programme\AceBIT\WISE-FTP\WF_Scheduler.exe
O4 - HKCU\..\Run: [Digimarc Watermark Scanner] E:\Programme\ImageBridgeReader\WMDScan.exe
O4 - HKLM\..\RunOnce: [*dxycdub] rundll32 C:\WINDOWS\System32:dxycdub.dll,Init 1
O4 - Global Startup: BitDefender for ICQ.lnk = C:\Programme\Softwin\BitDefender for ICQ\aqmon.exe
O4 - Global Startup: BitDefender for MSN Messenger.lnk = C:\Programme\Softwin\BitDefender for MSN Messenger\msnmon.exe
O4 - Global Startup: BitDefender for Net Meeting.lnk = C:\Programme\Softwin\BitDefender for Net Meeting\nmmon.exe
O4 - Global Startup: BitDefender for Yahoo! Messenger.lnk = C:\Programme\Softwin\BitDefender for Yahoo Messenger\yahmon.exe
O4 - Global Startup: BitDefender_P2P_Startup.lnk = C:\WINDOWS\BitDefender_P2P_Startup.exe
O4 - Global Startup: Cloudmark SpamNet for OE.lnk = ?
O4 - Global Startup: DSLMON.lnk = ?
O4 - Global Startup: Erinnerungen für Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office\OSA9.EXE
O4 - Global Startup: SmartUI.lnk = ?
O8 - Extra context menu item: &Google Search - res://c:\programme\google\GoogleToolbar2.dll/cmsearch.html
O8 - Extra context menu item: Backward &Links - res://c:\programme\google\GoogleToolbar2.dll/cmbacklinks.html
O8 - Extra context menu item: Cac&hed Snapshot of Page - res://c:\programme\google\GoogleToolbar2.dll/cmcache.html
O8 - Extra context menu item: Si&milar Pages - res://c:\programme\google\GoogleToolbar2.dll/cmsimilar.html
O8 - Extra context menu item: Suchen mit Copernic Agent - D:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\download\Copernic Agent\Web\SearchExt.htm
O9 - Extra button: Trace (HKLM)
O9 - Extra 'Tools' menuitem: VisualRoute Trace (HKLM)
O9 - Extra 'Tools' menuitem: Sun Java Console (HKLM)
O9 - Extra 'Tools' menuitem: Starten von Copernic Agent (HKLM)
O9 - Extra button: ICQ Pro (HKLM)
O9 - Extra 'Tools' menuitem: ICQ (HKLM)
O9 - Extra button: Copernic Agent (HKLM)
O9 - Extra button: AIM (HKLM)
O9 - Extra button: HttpWatch Explorer Bar (HKLM)
O9 - Extra 'Tools' menuitem: HttpWatch Explorer Bar (HKLM)
O9 - Extra button: Yahoo! Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Yahoo! Messenger (HKLM)
O9 - Extra button: Messenger (HKLM)
O9 - Extra 'Tools' menuitem: Messenger (HKLM)
O12 - Plugin for .mov: C:\Programme\Internet Explorer\PLUGINS\npqtplugin.dll
O12 - Plugin for .mpeg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .mpg: C:\Programme\Internet Explorer\PLUGINS\npqtplugin3.dll
O12 - Plugin for .spop: C:\Programme\Internet Explorer\Plugins\NPDocBox.dll
O16 - DPF: Yahoo! Chat - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/c381/chat.cab
O16 - DPF: {00B71CFB-6864-4346-A978-C0A14556272C} (Checkers Class) - http://messenger.zone.msn.com/binary/msgrchkr.cab
O16 - DPF: {166B1BCA-3F9C-11CF-8075-444553540000} (Shockwave ActiveX Control) - http://download.macromedia.com/pub/shockwave/cabs/director/sw.cab
O16 - DPF: {2917297F-F02B-4B9D-81DF-494B6333150B} (Minesweeper Flags Class) - http://messenger.zone.msn.com/binary/MineSweeper.cab
O16 - DPF: {2B323CD9-50E3-11D3-9466-00A0C9700498} (Yahoo! Audio Conferencing) - http://us.chat1.yimg.com/us.yimg.com/i/chat/applet/v45/yacscom.cab
O16 - DPF: {2BC66F54-93A8-11D3-BEB6-00105AA9B6AE} (Symantec AntiVirus scanner) - http://security1.norton.com/SSC/SharedContent/vc/bin/AvSniff.cab
O16 - DPF: {30528230-99F7-4BB4-88D8-FA1D4F56A2AB} (YInstStarter Class) - http://download.yahoo.com/dl/installs/yinst.cab
O16 - DPF: {31B7EB4E-8B4B-11D1-A789-00A0CC6651A8} (Cult3D ActiveX Player) - http://www.cult3d.com/download/cult.cab
O16 - DPF: {80DD2229-B8E4-4C77-B72F-F22972D723EA} (AvxScanOnline Control) - http://www.bitdefender.com/scan/Msie/bitdefender.cab
O16 - DPF: {8699D723-6DC6-47D3-B55C-489BA006B917} - http://membersites.namezero.com/webmaster.sub-webdesign.de/tori/test/webinstall.cab
O16 - DPF: {8E0D4DE5-3180-4024-A327-4DFAD1796A8D} (MessengerStatsClient Class) - http://messenger.zone.msn.com/binary/MessengerStatsClient.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
O16 - DPF: {E855A2D4-987E-4F3B-A51C-64D10A7E2479} (EPSImageControl Class) - http://tools.ebayimg.com/eps/activex/EPSControl_v1-0-3-0.cab
O16 - DPF: {EE5CA45C-BFAC-48E6-BE6C-3C607620FF43} (IMViewerControl Class) - http://companion.logitech.com/companion/logitech/ver1.3.1.2083/bin/imvid.cab
O16 - DPF: {FA13A9FA-CA9B-11D2-9780-00104B242EA3} - http://www.wildtangent.com/install/wdriver/ddc/shockwave/wtinst.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{BF3D6BB1-CBE0-4FCC-9FD2-FF9C0BD4B0A2}: NameServer = 217.5.115.7 194.25.2.129

Leider konnte ich beide Dateien auch per Suchfunktion nicht finden...Sorry...

Der Cleaner hat auch nichts ergeben....

Maxim (Die sich richtig doof vorkommt...)

#5 Mache mal eine Boardsuche nach ",Init" oder "afcore" da sind mehrere Loesungsansaetze dazu.

Unter umstaenden ist dieses AV-Programm dazu in der lage, den Virus zu beseitigen. Einfach im abgesicherten Modus scanen lassen.

ftp://ftp.microworldsystems.com/download/tools dort die Datei mwav.exe herunterladen, den Rechner im abgesicherten Modus starten und dann die mwav starten. Wenn er den Afcore finden sollte ihn aber nicht loeschen kann, melde dich nochmal.
__________
MfG Ralf
SEO-Spam Hunter