romanconny

Hallo,
ich brauche wirklich dringend Hilfe,schaffe es alleine leider nicht!
Ich habe den Trojaner VBS/Agent.1002 auf meinem PC.Ich habe bereits gelesen und gegoogelt und habe gesehen dass mehrere diesen Trojaner haben.Es wurden auch schon mehrere Lösungen präsentiert,leider unterscheiden sich diese,sodass man nicht weiss welches die Richtige ist und 2. klappt es bei mir nicht,trotz das ich die Anleitungen befolge!

Habe einen Fujitsu Siemen Notebook 2GHZ mit Windows XP.Trojaner siehe oben mit blauem Desktophintergrund und Meldung:
Warning Spyware detected on your computer...
Versuche schon den ganzen Tag das Problem zu beheben!
Bitte helft mir möglichst schnell,habe viele wichtige Daten(z.B. Doktorarbeit!) auf dem Pc,er stürzt auch dauernd ab!!

Hier das HJT-logfile:
Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 18:38:15, on 11.08.2008
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.6000.16674)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Java\jre1.6.0_02\bin\jusched.exe
C:\Programme\VIA\RAID\raid_tool.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\sm56hlpr.exe
C:\Programme\Synaptics\SynTP\SynTPLpr.exe
C:\Programme\Synaptics\SynTP\SynTPEnh.exe
C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\DAEMON Tools\daemon.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\lphcvu0j0epdv.exe
C:\Programme\Spyware Doctor\pctsTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Veoh Networks\Veoh\VeohClient.exe
C:\WINDOWS\system32\pspgbwzg.exe
C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
C:\Programme\FinePixViewer\QuickDCF.exe
C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\WINDOWS\System32\alg.exe
C:\Programme\Spyware Doctor\pctsSvc.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Java\jre1.6.0_02\bin\jucheck.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe
C:\WINDOWS\system32\pspgbwzg.exe
C:\WINDOWS\system32\wbem\wmiprvse.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,First Home Page = http://go.microsoft.com/fwlink/?LinkId=54843
O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~3\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O3 - Toolbar: Veoh Browser Plug-in - {D0943516-5076-4020-A3B5-AEFAF26AB263} - C:\Programme\Veoh Networks\Veoh\Plugins\reg\VeohToolbar.dll
O4 - HKLM\..\Run: [High Definition Audio Property Page Shortcut] HDAShCut.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe "
O4 - HKLM\..\Run: [RaidTool] C:\Programme\VIA\RAID\raid_tool.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [AlcWzrd] ALCWZRD.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SMSERIAL] sm56hlpr.exe
O4 - HKLM\..\Run: [SynTPLpr] C:\Programme\Synaptics\SynTP\SynTPLpr.exe
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [InstantOn] "C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" /c
O4 - HKLM\..\Run: [RemoteControl] C:\Programme\CyberLink\PowerDVD\PDVDServ.exe
O4 - HKLM\..\Run: [Google Desktop Search] "C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" /startup
O4 - HKLM\..\Run: [REGSHAVE] C:\Programme\REGSHAVE\REGSHAVE.EXE /AUTORUN
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [GrooveMonitor] "C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe"
O4 - HKLM\..\Run: [avgnt] "C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [DAEMON Tools] "C:\Programme\DAEMON Tools\daemon.exe" -lang 1033
O4 - HKLM\..\Run: [ZoneAlarm Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [lphcvu0j0epdv] C:\WINDOWS\system32\lphcvu0j0epdv.exe
O4 - HKLM\..\Run: [ISTray] "C:\Programme\Spyware Doctor\pctsTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [Veoh] "C:\Programme\Veoh Networks\Veoh\VeohClient.exe" /VeohHide
O4 - HKCU\..\Run: [AdmUiHlp] C:\WINDOWS\system32\pspgbwzg.exe
O4 - HKCU\..\Run: [SUPERAntiSpyware] C:\Programme\SUPERAntiSpyware\SUPERAntiSpyware.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - Startup: OneNote 2007 Screen Clipper and Launcher.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
O4 - Global Startup: Exif Launcher.lnk = ?
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: Send to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: S&end to OneNote - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~3\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~3\Office12\REFIEBAR.DLL
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} (QuickTime Object) - http://a1540.g.akamai.net/7/1540/52/...x/qtplugin.cab
O16 - DPF: {4C39376E-FA9D-4349-BACC-D305C1750EF3} (EPUImageControl Class) - http://tools.ebayimg.com/eps/wl/acti..._v1-0-3-48.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/ge...sh/swflash.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~3\Office12\GR99D3~1.DLL
O20 - AppInit_DLLs: C:\PROGRA~1\Google\GOOGLE~3\GOEC62~1.DLL
O20 - Winlogon Notify: !SASWinLogon - C:\Programme\SUPERAntiSpyware\SASWINLO.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: GoogleDesktopManager - Google - C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe
O23 - Service: Google Updater Service (gusvc) - Google - C:\Programme\Google\Common\Google Updater\GoogleUpdaterService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PC Tools Auxiliary Service (sdAuxService) - PC Tools - C:\Programme\Spyware Doctor\pctsAuxs.exe
O23 - Service: PC Tools Security Service (sdCoreService) - PC Tools - C:\Programme\Spyware Doctor\pctsSvc.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

--
End of file - 8356 bytes
Vielen Dank im Vorraus!!!!
LG Roman

julchri

Hallo und willkommen.

Es ist nichts schlimmes zu finden, aber ein paar unbekannte Programme.
Geh auf die Auswertungsseite und sieh Dir die Fragezeichen an. Wenn Du das kennst, kannst Du es lassen.

Geh mal in den abgesicherten Modus und mach da einen Virenscan.
Vorher die Systemwiederherstellung deaktivieren. Alles löschen, was gefunden wird.
Nach Neustart Systemwiederherstellung wieder aktivieren.

Welche Massnahmen waren das, die Du probiert hast?

romanconny

Hallo,
danke für die schnelle Antwort!
Ich habe verschiedene Programme installiert und laufen lassen,z.B.
Superantispyware,RogueRemover,Malwarebytes,Smitfra udfix,SPywaredoctor etc.
Ist wahrscheinlich Unsinn,aber wie gesagt habe ich einiges probiert,bevor ich mich an Euch wand!
Wie kommt es das bei mir nichts schlimmes zu finden ist??
Bei den anderen Leuten die diesen Trojaner haben wurden gleich verschiedenste Dinge empfohlen.
Außerdem macht der PC wirklich Probleme,da er ständig abstürtzt,oft hochlädt und sich dann aufhängt etc.
Wenn ers dann schafft hochzuladen kommt die Trojanermeldung.
Habe jetzt Malwarebytes im gesicherten Modus laufen lassen und es wurden 32 Objekte gefunden:
Malwarebytes' Anti-Malware 1.24
Datenbank Version: 1038
Windows 5.1.2600 Service Pack 2

19:53:14 11.08.2008
mbam-log-8-11-2008 (19-53-14).txt

Scan-Methode: Vollständiger Scan (C:\|D:\|)
Durchsuchte Objekte: 121552
Laufzeit: 1 hour(s), 4 minute(s), 11 second(s)

Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 4
Infizierte Registrierungswerte: 5
Infizierte Dateiobjekte der Registrierung: 2
Infizierte Verzeichnisse: 1
Infizierte Dateien: 17

Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel:
HKEY_CURRENT_USER\SOFTWARE\uninstall (Fake.Dropped.Malware) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\wkey (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\mwc (Malware.Trace) -> Quarantined and deleted successfully.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Software Notifier (Rogue.Multiple) -> Quarantined and deleted successfully.

Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run\lphcvu0j0epdv (Trojan.FakeAlert) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\wallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\originalwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\convertedwallpaper (Hijack.Wallpaper) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\Control Panel\Desktop\scrnsave.exe (Hijack.Wallpaper) -> Quarantined and deleted successfully.

Infizierte Dateiobjekte der Registrierung:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Policies\System\NoDispBackgroundPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Policies\System\NoDispScrSavPage (Hijack.DisplayProperties) -> Bad: (1) Good: (0) -> Quarantined and deleted successfully.

Infizierte Verzeichnisse:
C:\Programme\PC-Antispy (Rogue.PCAntispy) -> Quarantined and deleted successfully.

Infizierte Dateien:
C:\Programme\PC-Antispy\pcantispy.pkg (Rogue.PCAntispy) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt1.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt2.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt3.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt4.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt5.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt6.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt7.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt8.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.tt9.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.ttA.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.ttB.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.ttC.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\Dokumente und Einstellungen\Conny\Lokale Einstellungen\Temp\.ttF.tmp (Trojan.Downloader) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\blphcvu0j0epdv.scr (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\lphcvu0j0epdv.exe (Trojan.FakeAlert) -> Quarantined and deleted successfully.
C:\WINDOWS\system32\phcvu0j0epdv.bmp (Trojan.FakeAlert) -> Quarantined and deleted successfully.


Jetzt nach dem Hochladen tauchte zum 1. Mal nur der blaue Desktop und nicht mehr die Meldung Warning your computer... auf!!!!
Ist damit schon das Problem beseitigt??
Wie gehts weiter??
Danke
Gruss Roman

romanconny

Hi,
die Meldung taucht jetzt definiv nicht mehr auf.Ich habe auch einen neuen desktophintergrund gewählt, der so bleibt.
Was ich aber bemerke,ist das mein Computer eindeutig langsamer läuft als vorher.
Kann das an den Programmen liegen die ich installiert habe??Müsste ja im Gebrauch nach dem Hochfahren nicht stören?!

Noch eine ganz wichtige Frage!!!:
Ich glaube es ist an der Zeit menen PC mal "plattzumachen", da soviel Müll drauf ist..
1. Kann man Viren etc. auf normalen Dateien (Fotos,pdf. dokumente,Filme,musik) übertragen,wenn man sie auf eine externe Festplatte kopiert.
und
2. Gibt es ein Programm oder ein Befehl, der alle Daten auf dem PC darstellt,sodass man alle Daten aus den 1000senden Ordner zusammen hat,um sie zu sichern auf externer Festplatte??
Oder muss man sich die selber zusammensuchen??!
Wie hoch ist da Virengefahr??
(hab mal gehört Viren etc. können nur in Programmen sein??)
Danke im Vorraus für die Hilfen!!!
Gruss Roman

Leonixx

Aloha,

Jein, Dokumente können auch Makroviren enthalten. Teilweise sind auch schon verseuchte MP3´s aufgetaucht. Überlicherweise sind aber Dokumente, PDF, Filme und Musik meistens sicher. Ich würde trotzdem alle Dateien, die du auf die externe Festplatte kopieren willst mit Kaspersky Online Scanner prüfen, um sicher zu gehen.

M.W. nicht. Du kannst über die Windows Suchfunktion z.B. .doc oder .pdf etc. eingeben. Dann werden dir alle Suchergebnisse aufgelistet. Alternativ kannst du auch Google Desktop benutzen.

Gruss Leonixx

julchri

Hallo,

also erstmal HijackThis ist natürlich auch nicht das NonplusUltra. Will sagen, dass das schon vorkommt, dass das Programm nichts findet.

Wie lange läuft Dein PC denn schon ohne Neuinstallation?
Man kann natürlich eine Säuberung durchführen z. B. nichtbenutzte Programme deinstallieren, Ccleaner und/oder TuneUp laufen lassen.
Wenn der PC aber schon sehr lange läuft, ist eine Neuinstallation nicht schlecht.
Du kannst eine Datensicherung mit boardeigenen Mitteln machen. Den genauen Weg kann ich Dir jetzt nicht sagen, weil ich an einem fremden PC im Krankenhaus bin (ich bin nicht krank). Ist unter Zubehör zu finden.
Oder Du googlest mal nach Datensicherung, gibt viele Programme dafür, teilweise auch Freeware.

Es kann sich auch mal was in emails oder so verbergen, aber die Gefahr ist gering.
Nach Neuinstallation und wenn die Daten wieder drauf sind, einen kompletten Virenscan machen.
Heute abend kann ich Dir mehr sagen, oder Du bekommst von jemand anders noch Tipps.

romanconny

Hallo,
danke für Eure Hilfe soweit.
Der PC läuft seit ca 1 1/2 Jahren ohne Neuinstallation.
Wie bereits berichtet taucht die Trojanermeldung nicht mehr auf,scheine sie also beseitigt zu haben.!??
Auf jeden Fall ist aber noch was faul,da mein PC ständig "abstürtzt"
Dabei bleibt das jeweilige Fenster welches aktiv ist geönnet und mann kann noch einmalig die anderen Fenstern die noch in der Leiste liegen zeigen ,das wars dann aber auch,dann geht nicht mehr und mann muss ihm ausschalten!
Was kann das sein??
Bis bald
Roman

Leonixx

Alles mögliche. Auswirkungen deines heftigen Virenbefalls oder noch ein aktives Schadprogramm.

Zur Sicherheit lade dir Combofix und führe es nacfh folgender Anleitung durch. Anschließend Report posten.

http://virus-protect.org/artikel/tools/combofix.html

romanconny

Hi,

Hier das logfile von Combofix!!


ComboFix 08-08-12.01 - Conny 2008-08-13 22:54:46.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.444 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Conny\Desktop\ComboFix.exe
* Neuer Wiederherstellungspunkt wurde erstellt

Achtung - Auf diesem PC ist keine Wiederherstellungskonsole installiert !!
.

((((((((((((((((((((((( Dateien erstellt von 2008-07-13 bis 2008-08-13 ))))))))))))))))))))))))))))))
.

2008-08-13 22:36 . 2008-08-13 22:36 <DIR> d-------- C:\Programme\CCleaner
2008-08-13 22:32 . 2008-08-13 22:32 <DIR> d-------- C:\WINDOWS\LastGood.Tmp
2008-08-10 21:14 . 2008-08-10 21:14 4,026 --a------ C:\WINDOWS\system32\tmp.reg
2008-08-10 15:25 . 2008-08-10 22:13 <DIR> d-------- C:\Programme\Malwarebytes' Anti-Malware
2008-08-10 15:25 . 2008-08-10 15:25 <DIR> d-------- C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\Malwarebytes
2008-08-10 15:25 . 2008-08-10 15:25 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
2008-08-10 15:25 . 2008-07-30 20:07 38,472 --a------ C:\WINDOWS\system32\drivers\mbamswissarmy.sys
2008-08-10 15:25 . 2008-07-30 20:07 17,144 --a------ C:\WINDOWS\system32\drivers\mbam.sys
2008-08-10 14:23 . 2008-08-10 14:23 <DIR> d-------- C:\Programme\SUPERAntiSpyware
2008-08-10 14:23 . 2008-08-10 14:23 <DIR> d-------- C:\Programme\Gemeinsame Dateien\Wise Installation Wizard
2008-08-10 14:23 . 2008-08-10 14:23 <DIR> d-------- C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\SUPERAntiSpywa re.com
2008-08-10 14:23 . 2008-08-10 14:23 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SUPERAntiSpyware.com
2008-08-10 14:19 . 2008-08-10 14:20 <DIR> d-------- C:\Programme\RogueRemover FREE
2008-08-10 13:47 . 2008-08-13 22:52 <DIR> d-------- C:\Programme\Spyware Doctor
2008-08-10 13:47 . 2008-08-10 13:47 <DIR> d-------- C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\PC Tools
2008-08-10 13:47 . 2008-08-13 23:05 <DIR> d-a------ C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP
2008-08-10 13:47 . 2008-06-10 21:22 81,288 --a------ C:\WINDOWS\system32\drivers\iksyssec.sys
2008-08-10 13:47 . 2008-06-02 15:19 66,952 --a------ C:\WINDOWS\system32\drivers\iksysflt.sys
2008-08-10 13:47 . 2008-06-02 15:19 42,376 --a------ C:\WINDOWS\system32\drivers\ikfilesec.sys
2008-08-10 13:47 . 2008-06-02 15:19 29,576 --a------ C:\WINDOWS\system32\drivers\kcom.sys
2008-08-10 13:18 . 2008-08-10 13:18 <DIR> d-------- C:\Programme\Trend Micro
2008-08-09 23:36 . 2008-08-09 23:36 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\lyxqvele
2008-08-09 23:36 . 2008-08-09 23:36 90,112 --a------ C:\WINDOWS\system32\pspgbwzg.exe
2008-08-05 17:47 . 2008-08-05 17:47 <DIR> d-------- C:\Programme\UseNeXT
2008-07-26 16:12 . 2008-07-26 16:12 <DIR> d-------- C:\Programme\Veoh Networks
2008-07-26 16:11 . 2008-07-26 16:11 <DIR> d-------- C:\WINDOWS\Downloaded Installations
2008-07-15 21:17 . 2008-07-15 21:17 <DIR> d-------- C:\Programme\Total War

.
(((((((((((((((((((((((((((((((((((( Find3M Bericht )))))))))))))))))))))))))))))))))))))))))))))))))) ))))
.
2008-08-13 14:33 4,712,448 ----a-w C:\WINDOWS\Internet Logs\xDB35.tmp
2008-08-13 14:33 157,696 ----a-w C:\WINDOWS\Internet Logs\xDB34.tmp
2008-08-12 12:13 4,711,424 ----a-w C:\WINDOWS\Internet Logs\xDB33.tmp
2008-08-12 11:04 4,709,376 ----a-w C:\WINDOWS\Internet Logs\xDB32.tmp
2008-08-12 07:13 4,708,352 ----a-w C:\WINDOWS\Internet Logs\xDB31.tmp
2008-08-11 18:52 --------- d-----w C:\Programme\DNA Digital Media Group
2008-08-11 18:18 --------- d-----w C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\UseNeXT
2008-08-11 16:44 4,702,208 ----a-w C:\WINDOWS\Internet Logs\xDB30.tmp
2008-08-11 16:44 1,028,608 ----a-w C:\WINDOWS\Internet Logs\xDB2F.tmp
2008-08-11 16:12 4,700,672 ----a-w C:\WINDOWS\Internet Logs\xDB2E.tmp
2008-08-11 15:16 4,699,648 ----a-w C:\WINDOWS\Internet Logs\xDB2D.tmp
2008-08-11 15:12 4,699,648 ----a-w C:\WINDOWS\Internet Logs\xDB2C.tmp
2008-08-10 15:14 4,684,288 ----a-w C:\WINDOWS\Internet Logs\xDB2B.tmp
2008-08-10 13:12 4,678,144 ----a-w C:\WINDOWS\Internet Logs\xDB2A.tmp
2008-08-10 13:12 2,911,232 ----a-w C:\WINDOWS\Internet Logs\xDB29.tmp
2008-08-10 12:16 --------- d-----w C:\Programme\Lavasoft
2008-08-10 08:58 4,652,544 ----a-w C:\WINDOWS\Internet Logs\xDB28.tmp
2008-08-05 12:03 --------- d-----w C:\Programme\FinePixViewer
2008-07-26 14:13 --------- d--h--w C:\Programme\InstallShield Installation Information
2008-07-23 14:00 17,790,523 ----a-w C:\WINDOWS\Internet Logs\tvDebug.zip
2008-07-04 20:38 21,840 ----atw C:\WINDOWS\system32\SIntfNT.dll
2008-07-04 20:38 17,212 ----atw C:\WINDOWS\system32\SIntf32.dll
2008-07-04 20:38 12,067 ----atw C:\WINDOWS\system32\SIntf16.dll
2008-07-02 19:48 4,530,176 ----a-w C:\WINDOWS\Internet Logs\xDB27.tmp
2008-07-02 18:25 580,608 ----a-w C:\WINDOWS\Internet Logs\xDB25.tmp
2008-07-02 18:25 4,528,640 ----a-w C:\WINDOWS\Internet Logs\xDB26.tmp
2008-06-30 11:29 4,524,032 ----a-w C:\WINDOWS\Internet Logs\xDB24.tmp
2008-06-30 11:29 181,760 ----a-w C:\WINDOWS\Internet Logs\xDB23.tmp
2008-06-30 10:20 910,336 ----a-w C:\WINDOWS\Internet Logs\xDB21.tmp
2008-06-30 10:20 4,526,080 ----a-w C:\WINDOWS\Internet Logs\xDB22.tmp
2008-06-30 09:38 --------- d-----w C:\Programme\directx
2008-06-29 18:10 4,520,448 ----a-w C:\WINDOWS\Internet Logs\xDB20.tmp
2008-06-29 18:10 2,935,296 ----a-w C:\WINDOWS\Internet Logs\xDB1F.tmp
2008-06-28 17:42 --------- d-----w C:\Programme\Cossacks - Back To War
2008-06-20 17:39 247,296 ----a-w C:\WINDOWS\system32\mswsock.dll
2008-06-20 10:45 360,320 ----a-w C:\WINDOWS\system32\drivers\tcpip.sys
2008-06-20 10:44 138,368 ----a-w C:\WINDOWS\system32\drivers\afd.sys
2008-06-20 09:52 225,920 ----a-w C:\WINDOWS\system32\drivers\tcpip6.sys
2008-06-14 17:57 273,024 ------w C:\WINDOWS\system32\drivers\bthport.sys
2007-01-30 19:10 0 ----a-w C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\wklnhst.dat
.

(((((((((((((((((((((((((((( Autostart Punkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
REGEDIT4
*Hinweis* leere Eintrage & legitime Standardeintrage werden nicht angezeigt.

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\Curre ntVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\ctfmon.exe" [2004-08-04 14:00 15360]
"MSMSGS"="C:\Programme\Messenger\msmsgs.exe" [2004-10-13 18:24 1694208]
"Veoh"="C:\Programme\Veoh Networks\Veoh\VeohClient.exe" [2008-06-19 15:15 3664944]
"AdmUiHlp"="C:\WINDOWS\system32\pspgbwzg.exe" [2008-08-09 23:36 90112]
"SUPERAntiSpyware"="C:\Programme\SUPERAntiSpyware\ SUPERAntiSpyware.exe" [2008-05-28 10:33 1506544]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\Curr entVersion\Run]
"SunJavaUpdateSched"="C:\Programme\Java\jre1.6.0_0 2\bin\jusched.exe" [2007-07-12 04:00 132496]
"RaidTool"="C:\Programme\VIA\RAID\raid_tool.ex e" [2005-02-25 15:26 589824]
"NvCplDaemon"="C:\WINDOWS\system32\NvCpl.dll" [2005-09-12 16:53 7122944]
"SynTPLpr"="C:\Programme\Synaptics\SynTP\SynTPLpr. exe" [2005-03-18 16:35 98393]
"SynTPEnh"="C:\Programme\Synaptics\SynTP\SynTPEnh. exe" [2005-03-18 16:34 688217]
"InstantOn"="C:\Program Files\CyberLink\PowerCinema Linux\ion_install.exe" [2005-05-11 18:28 93640]
"RemoteControl"="C:\Programme\CyberLink\PowerDVD\P DVDServ.exe" [2005-04-15 17:13 45056]
"Google Desktop Search"="C:\Programme\Google\Google Desktop Search\GoogleDesktop.exe" [2007-07-26 17:51 1836544]
"REGSHAVE"="C:\Programme\REGSHAVE\REGSHAVE.EXE " [2002-02-04 23:32 53248]
"QuickTime Task"="C:\Programme\QuickTime\qttask.exe" [2007-04-13 22:56 282624]
"GrooveMonitor"="C:\Programme\Microsoft Office\Office12\GrooveMonitor.exe" [2006-10-27 00:47 31016]
"avgnt"="C:\Programme\Avira\AntiVir PersonalEdition Classic\avgnt.exe" [2008-07-19 20:55 266497]
"Adobe Reader Speed Launcher"="C:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" [2008-01-11 23:16 39792]
"DAEMON Tools"="C:\Programme\DAEMON Tools\daemon.exe" [2005-11-09 00:00 128920]
"ZoneAlarm Client"="C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe" [2007-12-13 19:27 919016]
"ISTray"="C:\Programme\Spyware Doctor\pctsTray.exe" [2008-07-16 09:16 1166216]
"High Definition Audio Property Page Shortcut"="HDAShCut.exe" [2004-10-27 16:21 61952 C:\WINDOWS\system32\HdAShCut.exe]
"nwiz"="nwiz.exe" [2005-09-12 16:53 1519616 C:\WINDOWS\system32\nwiz.exe]
"SoundMan"="SOUNDMAN.EXE" [2005-03-10 10:46 90112 C:\WINDOWS\SOUNDMAN.EXE]
"AlcWzrd"="ALCWZRD.EXE" [2005-03-10 10:49 2803712 C:\WINDOWS\ALCWZRD.EXE]
"SMSERIAL"="sm56hlpr.exe" [2005-05-26 19:12 544768 C:\WINDOWS\sm56hlpr.exe]

[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\Cur rentVersion\Run]
"CTFMON.EXE"="C:\WINDOWS\system32\CTFMON.EXE" [2004-08-04 14:00 15360]

[hkey_local_machine\software\microsoft\windows\curr entversion\explorer\ShellExecuteHooks]
"{5AE067D3-9AFB-48E0-853A-EBB7F4A000DA}"= "C:\Programme\SUPERAntiSpyware\SASSEH.DLL" [2008-05-13 10:13 77824]

[HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\!SASWinLogon]
2007-04-19 13:41 294912 C:\Programme\SUPERAntiSpyware\SASWINLO.dll

[HKLM\~\startupfolder\C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Google Updater.lnk]
path=C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Google Updater.lnk
backup=C:\WINDOWS\pss\Google Updater.lnkCommon Startup

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\NeroFilterCheck]
--a------ 2001-07-09 11:50 155648 C:\WINDOWS\system32\NeroCheck.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Picasa Media Detector]
--a------ 2007-09-28 03:17 443968 C:\Programme\Picasa2\PicasaMediaDetector.exe

[HKEY_LOCAL_MACHINE\software\microsoft\shared tools\msconfig\startupreg\Steam]
--a------ 2008-05-29 22:17 1271032 C:\Programme\Steam\steam.exe

[HKEY_LOCAL_MACHINE\software\microsoft\security center\Monitoring\ZoneLabsFirewall]
"DisableMonitoring"=dword:00000001

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile]
"EnableFirewall"= 0 (0x0)

[HKLM\~\services\sharedaccess\parameters\firewallpo licy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"C:\\WINDOWS\\system32\\ZoneLabs\\vsmon.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"C:\\Programme\\Microsoft Office\\Office12\\OUTLOOK.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\GROOVE.EXE"=
"C:\\Programme\\Microsoft Office\\Office12\\ONENOTE.EXE"=

S3 pfsvgae;pfsvgae;C:\DOKUME~1\Conny\LOKALE~1\Temp\pf svgae.sys []
.
Inhalt des "geplante Tasks" Ordners
.
- - - - Entfernte verwaiste Registrierungseintr„ge - - - -

Notify-WgaLogon - (no file)
MSConfigStartUp-swg - C:\Programme\Google\GoogleToolbarNotifier\GoogleTo olbarNotifier.exe


.
------- Zus„tzlicher Scan -------
.
FireFox -: Profile - C:\Dokumente und Einstellungen\Conny\Anwendungsdaten\Mozilla\Firefo x\Profiles\6efeglt9.default\
FireFox -: prefs.js - SEARCH.DEFAULTURL - hxxp://www.google.com/search?lr=&ie=UTF-8&oe=UTF-8&q=


************************************************** ************************

catchme 0.3.1361 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, http://www.gmer.net
Rootkit scan 2008-08-13 23:02:49
Windows 5.1.2600 Service Pack 2 NTFS

Scanne versteckte Prozesse...

Scanne versteckte Autostart Eintr„ge...

Scanne versteckte Dateien...

Scan erfolgreich abgeschlossen
versteckte Dateien: 0

************************************************** ************************

.
------------------------ Weitere, laufende Prozesse ------------------------
.
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\Avira\AntiVir PersonalEdition Classic\avwsc.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\Programme\Spyware Doctor\pctsAuxs.exe
C:\WINDOWS\system32\wbem\unsecapp.exe
C:\Programme\FinePixViewer\QuickDCF.exe
C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE
.
************************************************** ************************
.
Zeit der Fertigstellung: 2008-08-13 23:07:20 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2008-08-13 21:07:14

Pre-Run: 11 Verzeichnis(se), 16,629,039,104 Bytes frei
Post-Run: 14 Verzeichnis(se), 16,601,649,152 Bytes frei

181 --- E O F --- 2008-07-09 21:18:01


Danke für Deine Bemühungen!!!!
Gruss Roman

Leonixx

Sorry das es so lange gedauert hat. Habe im Moment wenig Zeit.
Kann leider auch nur schnell durchschauen.

Was ist das für ein Programm? Kennst du das? Scheint mir nicht sauber zu sein.
C:\Programme\RogueRemover FREE

Bitte diese Dateien bei Virustotal hochladen und auswerten lassen. Anschließend Report posten. www.virustotal.com

C:\WINDOWS\system32\SIntfNT.dll
C:\WINDOWS\system32\SIntf32.dll
C:\WINDOWS\system32\SIntf16.dll

Gruss Leonixx