Hey, also ich habe vor kurzem meinen Pc neu aufgespielt und als ich mein AntiVir updaten wollte, kamen schon wieder die ersten Virenmeldungen.Unter anderem von dem oben erwähnten...jetzt habe ich mal ein HijackThis Log erstellt und hoffe, dass ihr mir helfen könnt.

Logfile of HijackThis v1.99.1
Scan saved at 09:36:59, on 02.04.2005
Platform: Windows XP SP1 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP1 (6.00.2800.1106)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\csrss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\0900 Warner\w0svc.exe
C:\Programme\AVPersonal\AVWUPSRV.EXE
C:\WINDOWS\System32\nvsvc32.exe
C:\WINDOWS\System32\userinit32.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\System32\update.exe
C:\Programme\ICQLite\ICQLite.exe
C:\WINDOWS\System32\ctfmon.exe
C:\WINDOWS\help\rundll32.exe
C:\WINDOWS\help\svchost.exe
C:\Programme\Winamp\Winamp.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\kernel.exe
C:\Programme\T-Online\T-Online_Software_5\Basis-Software\Basis2\sc_watch.exe
C:\PROGRA~1\T-Online\T-ONLI~1\BASIS-~1\Basis2\PROFIL~1.EXE
C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\hijackthis\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://windowsupdate.microsoft.com/
F2 - REG:system.ini: UserInit=userinit.exe,userinit32.exe
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\System32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [eMusicClient] C:\Programme\Winamp\eMusic\eMusicClient.exe
O4 - HKLM\..\Run: [msupdate] update.exe
O4 - HKLM\..\Run: [0900 Warner] C:\PROGRA~1\0900WA~1\WARN0900.EXE
O4 - HKLM\..\Run: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -minimize
O4 - HKLM\..\Run: [Background Intelligent Transfer Service] C:\WINDOWS\help\rundll32.exe
O4 - HKLM\..\RunServices: [msupdate] update.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [wintktraycontrol] C:\Dokumente und Einstellungen\All Users\Dokumente\wintkstandard\modules\traycontrol.exe
O4 - HKCU\..\Run: [Network Connections] C:\WINDOWS\help\internat.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O9 - Extra button: ICQ 4.0 - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Related - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O9 - Extra 'Tools' menuitem: Show &Related Links - {c95fe080-8f5d-11d2-a20b-00aa003c157a} - C:\WINDOWS\web\related.htm
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://v5.windowsupdate.microsoft.com/v ... 2385104741
O23 - Service: 0190/0900 Warner Überwachungsdienst (0190_0900_Warner_MonitorService) - Mirko Böer - C:\Programme\0900 Warner\w0svc.exe
O23 - Service: AntiVir Service (AntiVirService) - H+BEDV Datentechnik GmbH - C:\Programme\AVPersonal\AVGUARD.EXE
O23 - Service: AntiVir Update (AVWUpSrv) - H+BEDV Datentechnik GmbH, Germany - C:\Programme\AVPersonal\AVWUPSRV.EXE
O23 - Service: NVIDIA Driver Helper Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\System32\nvsvc32.exe
O23 - Service: Snake SockProxy Service (SkServer) - noname. http://snake.gnuchina.org - C:\WINDOWS\help\svchost.exe

Hallo@kerstin511

W32/Rbot-YE ist ein Netzwerkwurm mit Backdoor-Funktionalität für die Windows-Plattform.

W32/Rbot-YE kann sich auf remote Netzwerkfreigaben kopieren, die durch einfache Kennwörter geschützt sind, sowie auf Computer, die für häufige Schwachstellen anfällig sind. Der Wurm öffnet außerdem eine Backdoor, die unbefugten Fernzugriff auf den infizierten Computer über das IRC-Netzwerk ermöglicht, während er als Dienstprozess im Hintergrund läuft. Der Wurm nutzt folgende Schwachstellen aus: RPC-DCOM (MS04-012) und LSASS (MS04-011).

W32/Rbot-YE kann von einem remoten Eindringling angewiesen werden, Netzwerkfreigaben zu löschen, Tastenfolgen zu speichern, an DDoS-Attacken teilzunehmen, andere Computer nach Schwachstellen zu durchsuchen, Kennwörter zu stehlen, Registrierungsschlüssel für Computerspiele zu stehlen, Administratorkonten zu erstellen, Firewall- und Antivirenprozesse zu beenden sowie Videoaufnahmen von Webcams zu erstellen, die an den Computer angeschlossen sind.

____________________________________________________________---

#öffne das HijackThis-->> Button "scan" -->> Häkchen setzen -->> Button "Fix checked" -->> PC neustarten

F2 - REG:system.ini: UserInit=userinit.exe,userinit32.exe <<-W32/Rbot-YE
O4 - HKLM\..\Run: [msupdate] update.exe
O4 - HKLM\..\RunServices: [msupdate] update.exe

PC neustarten

•KillBox
http://www.bleepingcomputer.com/files/killbox.php

•Delete File on Reboot <--anhaken

und klick auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\WINDOWS\System32\userinit32.exe
C:\WINDOWS\System32\update.exe

PC neustarten

Windows Worms Doors Cleaner erlaubt Ihnen die Dienste auf die die Würmer angewiesen sind, zu schließen
Link : WWDC.exe
Size : 50 KB
http://www.firewallleaktester.com/wwdc.htm



•Online-Scann (Panda)
http://www.pandasoftware.com/activescan ... ncipal.htm

•Online-Scann <f-secure<
http://support.f-secure.com/enu/home/ols.shtml

<Lade clrav-->klicke an und es beginnt ein automatischer Scann unter DOS
http://www.kaspersky.com/de/removaltool ... 10248#open

Aktuelle Version der Shareware von F-PROT (DOS)
Lade von dieser Seite:
http://www.f-prot.com/products/corporate_users/dos/

Entpacke,klicke auf FPROT.EXE -->> wenn sich DOS oeffnet, klicke zweimal <Enter<, bis der Scann beginnt.

•eScan-Erkennungstool
eSan ist hier unter dem Namen Free eScan Antivirus Toolkit Utility kostenlos erhältlich:
http://www.mwti.net/antivirus/free_utilities.asp
oeffne den Scanner--> noch nicht scannen--> gehe in Start<Ausfuehren< schreib rein: %temp% und suche
kavupd.exe, die klickst du an--> (Update- in DOS) ausführen

gehe in den abgesicherten Modus
http://www.tu-berlin.de/www/software/vi ... mode.shtml

und den Scanner mit der "mwav.exe"[oder:MWAVSCAN.COM] starten. Alle Häkchen setzen :
Auswählen: "all files", Memory, Startup-Folders, Registry, System Folders,
Services, Drive/All Local drives, Folder [C:\WINDOWS], Include SubDirectory

-->und "Scan " klicken.

•Gehe wieder in den Normalmodus:

•mache bitte folgendes:
nun öffnest du mit dem editor, die mwav.txt und gehst unter bearbeiten -> suchen, hier gibst du "infected" ein

•jene zeile in der infected steht, markieren, und hier einfügen, weitersuchen usw.
•und ganz unten steht die zusammenfassung, diese auch hier posten

Hi Niita,

danke erst mal.Habe jetz soweit alles gemacht bis auf die Online Scans.Ich kopiere jetz mal alles was als infected angezeigt wurde rein, dürfte ziemlich viel sein...hoffe du kannst mir helfen.
MfG

Wed Apr 06 21:02:17 2005 => File C:\WINDOWS\System32\hwclock.exe infected by "Backdoor.Win32.Small.eo" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:26 2005 => File C:\WINDOWS\help\svchost.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:41 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:17:45 2005 => Scanning File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004255.ini

Wed Apr 06 21:17:48 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004256.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:17:55 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004265.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:18:34 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP16\A0005389.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:19 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021745.exe infected by "Backdoor.Win32.SdBot.gen" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:20 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021746.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:27 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021786.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:06:53 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:30:55 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:36:20 2005 => ***** Checking for specific ITW Viruses *****
Wed Apr 06 22:36:20 2005 => Checking for Welchia Virus...
Wed Apr 06 22:36:20 2005 => Checking for LovGate Virus...
Wed Apr 06 22:36:20 2005 => Checking for CodeRed Virus...
Wed Apr 06 22:36:20 2005 => Checking for OpaServ Virus...
Wed Apr 06 22:36:20 2005 => Checking for Sobig.e Virus...
Wed Apr 06 22:36:20 2005 => Checking for Winupie Virus...
Wed Apr 06 22:36:20 2005 => Checking for Swen Virus...
Wed Apr 06 22:36:20 2005 => Checking for JS.Fortnight Virus...
Wed Apr 06 22:36:20 2005 => Checking for Novarg Virus...
Wed Apr 06 22:36:20 2005 => Checking for Pagabot Virus...
Wed Apr 06 22:36:20 2005 => Checking for Parite.b Virus...
Wed Apr 06 22:36:20 2005 => Checking for Parite.a Virus...

Wed Apr 06 22:36:20 2005 => ***** Scanning complete. *****

Wed Apr 06 22:36:20 2005 => Total Objects Scanned: 45937
Wed Apr 06 22:36:20 2005 => Total Virus(es) Found: 16
Wed Apr 06 22:36:20 2005 => Total Disinfected Files: 0
Wed Apr 06 22:36:20 2005 => Total Files Renamed: 0
Wed Apr 06 22:36:20 2005 => Total Deleted Objects: 0
Wed Apr 06 22:36:20 2005 => Total Errors: 15
Wed Apr 06 22:36:20 2005 => Time Elapsed: 01:41:43
Wed Apr 06 22:36:20 2005 => Virus Database Date: 2005/04/01
Wed Apr 06 22:36:20 2005 => Virus Database Count: 124236

Wed Apr 06 22:36:20 2005 => Scan Completed.

Hi Niita,

danke erst mal.Habe jetz soweit alles gemacht bis auf die Online Scans.Ich kopiere jetz mal alles was als infected angezeigt wurde rein, dürfte ziemlich viel sein...hoffe du kannst mir helfen.
MfG

Wed Apr 06 21:02:17 2005 => File C:\WINDOWS\System32\hwclock.exe infected by "Backdoor.Win32.Small.eo" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:26 2005 => File C:\WINDOWS\help\svchost.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => System found infected with 180Solutions Spyware/Adware ({30d02401-6a81-11d0-8274-00c04fd5ae38})! Action taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => System found infected with VX2 Spyware/Adware ({0E5CBF21-D15F-11D0-8301-00AA005B4383})! Action taken: No Action Taken.

Wed Apr 06 21:02:28 2005 => File System Found infected by "VX2 Spyware/Adware" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:02:41 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:17:45 2005 => Scanning File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004255.ini

Wed Apr 06 21:17:48 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004256.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:17:55 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP13\A0004265.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:18:34 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP16\A0005389.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:19 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021745.exe infected by "Backdoor.Win32.SdBot.gen" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:20 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021746.exe infected by "Backdoor.Win32.Rbot.gen" Virus. Action Taken: No Action Taken.

Wed Apr 06 21:44:27 2005 => File C:\System Volume Information\_restore{B3389918-AFB7-41DE-802D-7BBC1BE77DBC}\RP24\A0021786.exe infected by "Backdoor.Win32.SkSocket.108" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:06:53 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:30:55 2005 => File C:\WINDOWS\system32\.pif infected by "Trojan-Downloader.BAT.Ftp.z" Virus. Action Taken: No Action Taken.

Wed Apr 06 22:36:20 2005 => ***** Checking for specific ITW Viruses *****
Wed Apr 06 22:36:20 2005 => Checking for Welchia Virus...
Wed Apr 06 22:36:20 2005 => Checking for LovGate Virus...
Wed Apr 06 22:36:20 2005 => Checking for CodeRed Virus...
Wed Apr 06 22:36:20 2005 => Checking for OpaServ Virus...
Wed Apr 06 22:36:20 2005 => Checking for Sobig.e Virus...
Wed Apr 06 22:36:20 2005 => Checking for Winupie Virus...
Wed Apr 06 22:36:20 2005 => Checking for Swen Virus...
Wed Apr 06 22:36:20 2005 => Checking for JS.Fortnight Virus...
Wed Apr 06 22:36:20 2005 => Checking for Novarg Virus...
Wed Apr 06 22:36:20 2005 => Checking for Pagabot Virus...
Wed Apr 06 22:36:20 2005 => Checking for Parite.b Virus...
Wed Apr 06 22:36:20 2005 => Checking for Parite.a Virus...

Wed Apr 06 22:36:20 2005 => ***** Scanning complete. *****

Wed Apr 06 22:36:20 2005 => Total Objects Scanned: 45937
Wed Apr 06 22:36:20 2005 => Total Virus(es) Found: 16
Wed Apr 06 22:36:20 2005 => Total Disinfected Files: 0
Wed Apr 06 22:36:20 2005 => Total Files Renamed: 0
Wed Apr 06 22:36:20 2005 => Total Deleted Objects: 0
Wed Apr 06 22:36:20 2005 => Total Errors: 15
Wed Apr 06 22:36:20 2005 => Time Elapsed: 01:41:43
Wed Apr 06 22:36:20 2005 => Virus Database Date: 2005/04/01
Wed Apr 06 22:36:20 2005 => Virus Database Count: 124236

Wed Apr 06 22:36:20 2005 => Scan Completed.

Hallo@kerstin511

Deaktivieren Wiederherstellung
«XP
Arbeitsplatz-->rechtsklick, dann auf Eigenschaften--->Reiter Systemwiederherstellung--->Häkchen setzen bei Systemwiederherstellung auf allen Laufwerken deaktivieren.
(dann wieder aktivieren)

•KillBox
http://www.bleepingcomputer.com/files/killbox.php

•Delete File on Reboot <--anhaken

und klick auf das rote Kreuz,
wenn gefragt wird, ob "Do you want to reboot? "----> klicke auf "no",und kopiere das naechste rein, erst beim letzten auf "yes"

C:\WINDOWS\system32\.pif
C:\WINDOWS\System32\hwclock.exe
C:\WINDOWS\help\svchost.exe

PC neustarten

•Online-Scann (Panda)
http://www.pandasoftware.com/activescan ... ncipal.htm
(berichte vom SCann)

Hi Nikita bei dem Panda Scan muss ich was runterladen und das geht nich weil mein Pc immer hängen bleibt.Ist der Scan dringend notwendig oder gibts n anderes Programm mit dem ich es versuchen könnte?

Hallo@kerstin511

http://nikita.eddys-domain.de/

auf meiner Site findest du gleich oben alle moeglichen Onlinscanns

okay seh mich da mal um danke schön

also beim panda online scan wurden mehrere infizierte dateien entdeckt aber alle bis auf eine konnten desinfiziert werden.die eine die jetzt noch infiziert ist ist mit diesem virus infiziert;W32/Ellipter.E.worm
hast du eine idee wie ich diesen wurm noch los werden kann?

der Panda gibt den Pfad vom Virus an--> du solltest mir den Report abkopieren, dann weiss ich, was zu loeschen ist

Virus:W32/Elitper.E.worm No disinfected
Virus:W32/Elitper.E.worm Disinfected C:\WINDOWS\Help\rundll32.exe
Virus:Bck/Sksocket.D Disinfected C:\WINDOWS\Help\svchost.exe

To remove this Trojan backdoor please do this:

Gehe in den abgesicherten Modus
F8 druecken, wenn der pC hochfaehrt

loesche folgende Datein:

C:\WINDOWS\system32\.pif

C:\WINDOWS\Help\SVCHOST.EXE
C:\WINDOWS\Help\RUNDLL32.EXE
C:\WINDOWS\Help\INTERNAT.EXE

Das sind nicht die Originalen Datein, sondern diese befinden sich in:
\WINDOWS\SYSTEM32.!!!!!!!!!!!!!!!!!!!!!!!!!!

Restart the system and it's all OK!

Download RootkitRevealer (270 KB)



**

laden:
http://www.sysinternals.com/ntw2k/freew ... veal.shtml
#Download RootkitRevealer (190 KB)

#entpacken
#RootkitRevealer.exe--> klick--> sannen --> poste, wenn etwas gefunden wurde.

C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\TmpICQMagic_{05736BBE-C20F-4F10-A6DE-4DB1E3564B0E}17172.html 18.04.2005 20:53 978 bytes Visible in Windows API, directory index, but not in MFT.
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\TmpICQMagic_{05736BBE-C20F-4F10-A6DE-4DB1E3564B0E}25881.html 18.04.2005 20:54 978 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\6881QBVT\aol[1].html 18.04.2005 20:54 893 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\6881QBVT\aol[6].swf 18.04.2005 20:54 28.32 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\RUVCBH7Z\aol[3].html 18.04.2005 20:51 893 bytes Visible in Windows API, directory index, but not in MFT.
C:\WINDOWS\SoftwareDistribution\DataStore\Logs\tmp.edb 18.04.2005 20:48 64.00 KB Visible in Windows API, MFT, but not in directory index.

das war alles was er gefunden hat

Loesche konsequent alle *temp-Datein:

C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\

hast du alles andere geloescht ?

C:\WINDOWS\system32\.pif
C:\WINDOWS\Help\SVCHOST.EXE
C:\WINDOWS\Help\RUNDLL32.EXE
C:\WINDOWS\Help\INTERNAT.EXE

hab jetz die temp dateien gelöscht.und ja die anderen dateien habe ich alle gelöscht.