Ich bekam seit einigen Wochen immer eine Email von der angeblichen VOLKSBANKEN RAIFFEISENBANKEN mit folgenden Einzelheiten:
Return-path: <custsupport-413785312@vr-networld.de>
Delivery-date: Fri, 12 May 2006 02:36:49 +0200
Received: from [194.97.50.144] (helo=mx1.freenet.de)
by mbox42.freenet.de with esmtpa (ID exim) (Exim 4.61 #1)
id 1FeLeB-0003wl-N7
for evahirsch@01019freenet.de; Fri, 12 May 2006 02:36:47 +0200
Received: from cm-81-9-240-249.telecable.es ([81.9.240.249])
by mx1.freenet.de with smtp (Exim 4.61-RC1 #1)
id 1FeLeA-000768-Cm; Fri, 12 May 2006 02:36:47 +0200
Received: from began.jupiterhosting.com (site5.com.top100webshops.com [90.114.4.233])
by ign.com with SMTP id CNPVUCVZAS
for <evaherbst@freenet.de>; Thu, 11 May 2006 17:36:41 -0800
Received: from dapper.moebelheinrich.de (unknown [102.118.126.172])
by flyingcroc.com with SMTP id A8OS3LU8PL
for <evaherbst@freenet.de>; Thu, 11 May 2006 19:30:41 -0600
From: "VOLKSBANKEN RAIFFEISENBANKEN 2006" <operator-041499@vr-networld.de>
To: "Evaherbst" <evaherbst@freenet.de>
Subject: Volksbanken Raiffeisenbanken: eilige Information Thu, 11 May 2006 17:36:41 -0800
Delivered-To: evaherbst@freenet.de
X-Mailer: Calypso Version 3.20.01.01 (4)
X-Priority: 3 (Normal)
MIME-Version: 1.0
Content-Type: multipart/related;
boundary="7DEB1K1N5GD41A.THEJMEC"
X-Antivirus: avast! (VPS 0619-2, 11/05/2006), Outbound message
X-Antivirus-Status: Clean
X-Warning: vr-networld.de is listed at abuse.rfc-ignorant.org
Delivered-To: evahirsch@freenet.de
Envelope-to: evahirsch@freenet.de
X-Warning: Message contains Spam signature (149285::060512023647-3B484000-28E95AF3)
X-purgate-ID: 149285::060512023647-3B484000-28E95AF3
Delivered-To: evahirsch@01019freenet.de
I
Da sie hier als Virus clean eingestuft wurde, habe ich mir nichts weiter gedacht und sie stets ungeöffnet gelöscht.
Dann konnten meine Mitarbeiter nicht mehr auf die gemeinsame Nutzung der Internetverbindung zugreifen und die Windows Firewall ließ sich nicht mehr aktivieren.
Gestern hatte ich nun die Meldung über AD-Aware, und Anti-Vir das ich ein trojanisches Pferd hätte mit der Bezeichnung TR/Dldr.small.cqs.25. Es öffnete sich dann in meiner Taskleiste ein Fenster in dem mir mitgeteilt wurde, dass ich dringend meine Spyware Software aktualisieren müsse, es wären gefährliche Spyware Sachen gefunden worden. Bei Klick auf diesen orangen Matschpunkt in der Taskleiste fand dieses Program, dass sich SPYSHERIFF nannte tatsächlich mehrere kritische Dateien. In meiner Angst um weitere Schäden ordnete ich diesen SpySheriff meinem Spybot –Search and Destroy Programm zu. Um diese zu beseitigen sollte ich die Lizenz von www.spy-trooper.com aktivieren und wurde im nächsten Verfahren auf eine Bezahlseite (PSBILL.BIZ) wo ich 32,90 USD zu zahlen habe, weitergeleitet. Wie bei vielen sollte hier die Kreditkartennummer angeben werden, was ich auch tat. Ich erhielt den Aktivierungskey und dieser Spysheriff fing an meine Trojaner oder Viren zu beseitigen. Nach einem Neustart war der Spysheriff auch auf meinem Desktop zu finden und sah direkt gut aus. Zur Sicherheit checkte ich mit ihm abermals mein System und ich war angeblich befreit. Dann ließ ich noch mal Anti Vir laufen, der eine Vire fand in crack.exe in einem diffusen Unterverzeichnis. AntiVir konnte es nicht löschen so dass ich manuell das gesamte Verzeichnis beseitigte. Dann noch mal Ad-Aware und hier wurde mir angezeigt, dass der Spysheriff wohl ein NO SPYWARE Programm sei und ich hatte hunderte von Bedrohungen. Nun erst forschte ich im Internet und da scheint dieser Spysheriff wohl schon bekannt. Es wundert mich sehr, dass er trotzdem noch eine ganz passable Internetseite besitzt mit diesem Bezahlsystem im Hintergrund. Auch wurden mir Bestätigungsmails geschickt über die Transaktion. Auf der Seite PSBILL.BIZ habe ich der Transaktion widersprochen. Vielleicht weiss jemand ob das ausreichend hilft oder ob ich lieber meine Kreditkarte sperren lassen sollte. AD-Aware hat dann den Spysheriff komplett beseitigt. Zur Sicherheit und aufgrund der Internetrecherchen habe ich mir dann BitDefender XoftSpy Spysweeper und auch hjjackthis.zip und lspfix.zip heruntergeladen.
AntiVir fand nichts XoftSpy fand nichts Bitdefender lässt sich nicht starten Spy Search & Destroy fand nichts Ad Aware fand nichts
Heute morgen sah meine LOGDatei von hijackThis.exe so aus:
Logfile of HijackThis v1.99.1
Scan saved at 10:16:05, on 12.05.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\Dit.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
C:\programme\softwin\bitdefender8\bdnagent.exe
C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
C:\Programme\Kitco\Kcast\Kcast.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\WINDOWS\system32\drivers\CDAC11BA.EXE
C:\WINDOWS\System32\svchost.exe
C:\Programme\SenseConnect! PRO\sc_pro.exe
C:\PROGRA~1\SENSEC~1\sc_pro.exe
C:\WINDOWS\system32\wscntfy.exe
C:\PROGRA~1\MOZILL~1\FIREFOX.EXE
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\eve\LOKALE~1\Temp\Rar$EX00.562\HijackThis.exe
C:\WINDOWS\system32\NOTEPAD.EXE
C:\PROGRA~1\INCRED~1\bin\IMApp.exe
C:\Programme\WinRAR\WinRAR.exe
C:\DOKUME~1\eve\LOKALE~1\Temp\Rar$EX00.750\LSPFix.exe
C:\Programme\Microsoft Office\Office10\WINWORD.EXE
C:\Programme\Microsoft Works\WkDStore.exe
C:\Programme\Lavasoft\Ad-Aware SE Personal\Ad-Aware.exe
C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe
C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe
C:\Programme\Spybot - Search & Destroy\SpybotSD.exe
C:\Programme\Softwin\BitDefender8\bdmcon.exe
C:\DOKUME~1\eve\LOKALE~1\Temp\Rar$EX60.1703\HijackThis.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Bar = http://www.medion.com
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.finanznachrichten.de/nachric ... kaufen.asp
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.aldi.com
R1 - HKCU\Software\Microsoft\Internet Connection Wizard,ShellNext = http://www.aldi.com/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [Cmaudio] RunDll32 cmicnfg.cpl,CMICtrlWnd
O4 - HKLM\..\Run: [Dit] Dit.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [Ulead AutoDetector] C:\Programme\Ulead Systems\Ulead Photo Explorer 8.0 SE Basic\Monitor.exe
O4 - HKLM\..\Run: [BDMCon] C:\PROGRA~1\Softwin\BITDEF~1\bdmcon.exe
O4 - HKLM\..\Run: [BDNewsAgent] "c:\programme\softwin\bitdefender8\bdnagent.exe"
O4 - HKLM\..\Run: [SpySweeper] "C:\Programme\Webroot\Spy Sweeper\SpySweeper.exe" /startintray
O4 - HKCU\..\Run: [Spamihilator] "C:\Programme\Spamihilator\spamihilator.exe"
O4 - HKCU\..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe
O4 - HKCU\..\Run: [KITCO] C:\Programme\Kitco\Kcast\Kcast
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra button: MedionShop - {07E3F115-C445-480D-94CB-ECA914A353CE} - http://www.medionshop.de/ (file missing) (HKCU)
O14 - IERESET.INF: START_PAGE_URL=http://www.aldi.com
O16 - DPF: {56336BCB-3D8A-11D6-A00B-0050DA18DE71} - http://software-dl.real.com/04a30f04300 ... 601_de.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{C9BD609D-F37A-4B3C-8570-8F58CD5A9C71}: NameServer = 192.168.121.252,192.168.121.253
O20 - AppInit_DLLs: C:\WINDOWS\system32\win_33.dll
O20 - Winlogon Notify: dvb03a - dvb03a.dll (file missing)
O20 - Winlogon Notify: WRNotifier - C:\WINDOWS\SYSTEM32\WRLogonNTF.dll
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: C-DillaCdaC11BA - C-Dilla Ltd - C:\WINDOWS\system32\drivers\CDAC11BA.EXE
O23 - Service: Webroot Spy Sweeper Engine (svcWRSSSDK) - Webroot Software, Inc. - C:\Programme\Webroot\Spy Sweeper\WRSSSDK.exe

Vielleicht kann jemand damit etwas anfangen und mir helfen.
LSPFIx fand vier DLL keine Ahnung ob ich die removen sollte oder nicht.
Der Spy Sweeper fand nun TROJAN-BACKDOOR-HAXDOOR, mein Interneteinwähler stürzt immer ab und die Windows Firewall lässt sich noch immer nicht aktivieren und keiner kann ins Netz.
Der SpySweeper verlangt nun abermals Geld wenn ich’s beseitigen lassen wollte.
Soll ich das tun oder kann mir jemand so helfen?

.Ich erhielt den Aktivierungskey und dieser Spysheriff fing an meine Trojaner oder Viren zu beseitigen. Nach einem Neustart war der Spysheriff auch auf meinem Desktop zu finden

ich bin ohne Worte...du bezahlst noch, dass man dir den Rechner zerstoert................denn der Sheriff ist der eigentliche Virus/Trojaner..er bringt die Schadware auf den PC und erpresst dann Geld vom User...Kreditkarte bitte sofort sperren..aber das bisher gezahlte Geld kannst du abschreiben, dass ist schon auf einem konto in Manila und irgendein Russe ist wieder ein bisschen reicher und freut sich ueber die Gutglaeubigkeit der Leute. Denn eine apresentable Interentseite erstellt man mit einigen Mausklicks und einem entsprechendem Programm, deshalb ist der Ersteller immer noch ein Betrueger.


1.
RootkitRevealer (poste das Log)
http://www.sysinternals.com/Utilities/R ... ealer.html

2.
stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

3.
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

Nun zu den Tools und Links:
ROOTKITReveal:
HKLM\SOFTWARE\Classes\Installer\Products\32418F9EE1126B64A90E8365B85CFCF6\ProductName 18.03.2006 12:51 26 bytes Data mismatch between Windows API and raw hive data.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\{E9F81423-211E-46B6-9AE0-38568BC5CF6F}\DisplayName 18.03.2006 13:21 26 bytes Data mismatch between Windows API and raw hive data.
C:\Dokumente und Einstellungen\eve\Anwendungsdaten\OpenOffice.org2\.lock 12.05.2006 12:45 129 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Anwendungsdaten\Ulead Systems\Ulead Photo Explorer\8.0\Cache\pe000004.cah 12.05.2006 12:37 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Desktop\CleanUp451.exe 12.05.2006 12:24 331.15 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Desktop\datFind.zip 12.05.2006 12:30 240 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Anwendungsdaten\IM\Runtime\Message\{AF3122E4-6EFD-44F9-A9AC-5497078C2572} 12.05.2006 12:32 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Anwendungsdaten\IM\Runtime\Message\{AF3122E4-6EFD-44F9-A9AC-5497078C2572}\Show 12.05.2006 12:32 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\IncrediMail\img91.htm 12.05.2006 12:27 300 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\IncrediMail\img92.htm 12.05.2006 12:29 300 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\Rar$EX00.109\Eula.txt 11.02.2006 09:22 1.92 KB Visible in Windows API, but not in MFT or directory index.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\Rar$EX00.109\RootkitRevealer.chm 07.12.2005 14:19 99.77 KB Visible in Windows API, but not in MFT or directory index.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp 12.05.2006 12:45 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefe.tmp 12.05.2006 12:45 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\sveff.tmp 12.05.2006 12:45 2 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefg.tmp 12.05.2006 12:45 2 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OZ5FYQ31\rzutsdcx[1].htm 11.05.2006 17:30 53.21 KB Visible in Windows API, but not in MFT or directory index.
C:\Dokumente und Einstellungen\eve\Netzwerkumgebung\DOKUMENTE an ARBEITSZIMMER (Isdnpc) 12.05.2006 12:45 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Netzwerkumgebung\DOKUMENTE an ARBEITSZIMMER (Isdnpc)\Desktop.ini 12.05.2006 12:45 75 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Netzwerkumgebung\DOKUMENTE an ARBEITSZIMMER (Isdnpc)\target.lnk 12.05.2006 12:45 376 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Recent\adlerweiß.jpg.lnk 12.05.2006 12:37 691 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Recent\DOKUMENTE an ARBEITSZIMMER (Isdnpc).lnk 12.05.2006 12:45 362 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Recent\KJC-First Services Ltd. kopf.doc.lnk 12.05.2006 12:45 548 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Recent\Kreationen.lnk 12.05.2006 12:37 523 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp! 12.05.2006 12:25 0 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp!\CleanUp! (demo mode).lnk 12.05.2006 12:25 675 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp!\CleanUp! Help.lnk 12.05.2006 12:25 663 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp!\CleanUp! Web Site.lnk 12.05.2006 12:25 715 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp!\CleanUp!.lnk 12.05.2006 12:25 663 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\eve\Startmenü\Programme\CleanUp!\Uninstall.lnk 12.05.2006 12:25 675 bytes Hidden from Windows API.
C:\Programme\CleanUp! 12.05.2006 12:25 0 bytes Hidden from Windows API.
C:\Programme\CleanUp!\CleanUp! Web Site.url 08.04.2006 23:05 86 bytes Hidden from Windows API.
C:\Programme\CleanUp!\CleanUp.cnt 08.04.2006 23:05 1.49 KB Hidden from Windows API.
C:\Programme\CleanUp!\Cleanup.exe 08.04.2006 23:05 432.00 KB Hidden from Windows API.
C:\Programme\CleanUp!\CleanUp.hlp 08.04.2006 23:05 100.12 KB Hidden from Windows API.
C:\Programme\CleanUp!\license.txt 08.04.2006 23:05 1.23 KB Hidden from Windows API.
C:\Programme\CleanUp!\readme.txt 08.04.2006 23:05 859 bytes Hidden from Windows API.
C:\Programme\CleanUp!\uninstall.exe 09.04.2006 02:07 20.03 KB Hidden from Windows API.
C:\Programme\CleanUp!\uninstall.ini 12.05.2006 12:25 1.88 KB Hidden from Windows API.
C:\System Volume Information\_restore{C0D98CBA-6672-47B1-9E43-2A9DE301BFBF}\RP164\A0017070.ini 11.05.2006 16:45 337 bytes Hidden from Windows API.
C:\System Volume Information\_restore{C0D98CBA-6672-47B1-9E43-2A9DE301BFBF}\RP164\A0017071.data 25.04.2006 16:40 28 bytes Hidden from Windows API.
C:\System Volume Information\_restore{C0D98CBA-6672-47B1-9E43-2A9DE301BFBF}\RP164\A0017072.ini 11.05.2006 16:45 533 bytes Hidden from Windows API.
C:\WINDOWS\system32\dvb03a.sys 11.05.2006 18:11 20.36 KB Hidden from Windows API.
C:\WINDOWS\system32\dvb06a.sys 11.05.2006 18:11 20.36 KB Hidden from Windows API.
C:\WINDOWS\system32\qo.sys 11.05.2006 18:11 20.36 KB Hidden from Windows API.
F:\System Volume Information\_restore{0E6E7CF8-03BE-4316-BDAC-BA82A4C8035B}\RP7\A0001201.exe:Zone.Identifier 08.12.2004 04:12 26 bytes Hidden from Windows API.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\ A0016267.dll 20.07.1661 14:06 80.04 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\ A0016286.exe 20.07.1661 14:06 284.04 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\ A0016324.dll 20.07.1661 14:06 226.50 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\ A0016325.dll 20.07.1661 14:06 208.00 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\ A0016326.dll 20.07.1661 14:06 249.00 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016254.exe 01.10.2004 18:52 389.12 KB Visible in Windows API, but not in MFT or directory index.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016267.dll 16.07.12165 07:59 80.04 KB Hidden from Windows API.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016286.exe 11.04.12193 08:45 284.04 KB Hidden from Windows API.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016324.dll 17.12.13351 09:23 226.50 KB Hidden from Windows API.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016325.dll 23.01.29092 09:27 208.00 KB Hidden from Windows API.
F:\System Volume Information\_restore{1C7F3216-9303-4C87-9720-5A9471A29DF4}\RP8\A0016326.dll 23.01.29092 09:27 249.00 KB Hidden from Windows API.
CLEANUP hat 32MB gekillt.
FindData hier die letzten Monate:

Verzeichnis von C:\WINDOWS\system32

12.05.2006 12:33 13.190 ModemLog_ISDN Internet (PPP over ISDN).txt
12.05.2006 08:11 5.054 ModemLog_ISDN Analog Modem (V.32bis).txt
12.05.2006 08:11 4.556 ModemLog_ISDN Custom Config.txt
12.05.2006 08:11 5.004 ModemLog_ISDN BTX.txt
12.05.2006 08:11 5.014 ModemLog_ISDN FAX (G3).txt
12.05.2006 08:11 5.066 ModemLog_ISDN SoftCompression X.75-V.42bis.txt
12.05.2006 08:11 5.036 ModemLog_ISDN RAS (PPP over ISDN).txt
12.05.2006 08:11 5.026 ModemLog_ISDN Mailbox (X.75).txt
12.05.2006 08:11 5.024 ModemLog_ISDN - ISDN (X.75).txt
11.05.2006 21:55 51.814 perfc009.dat
11.05.2006 21:55 376.016 perfh009.dat
11.05.2006 21:55 386.338 perfh007.dat
11.05.2006 21:55 62.578 perfc007.dat
11.05.2006 21:55 886.928 PerfStringBackup.INI
11.05.2006 18:15 291.680 FNTCACHE.DAT
11.05.2006 17:30 4.096 win_33.dll
03.05.2006 21:26 5.818.784 MRT.exe
02.05.2006 15:44 14 getfile.dat
02.05.2006 15:44 0 x_dtrace_log
28.04.2006 22:33 2.206 wpa.dbl
13.04.2006 19:46 98.304 CmdLineExt.dll
08.04.2006 14:12 7.006 jupdate-1.5.0_06-b05.log
30.03.2006 11:26 1.492.480 shdocvw.dll
30.03.2006 03:16 18.944 xpsp3res.dll
23.03.2006 22:34 3.074.560 mshtml.dll
20.03.2006 13:03 979 mspksk11.dat
18.03.2006 13:09 615.424 urlmon.dll
18.03.2006 12:41 31.383 NULL
17.03.2006 11:11 679.424 inetcomm.dll
17.03.2006 06:03 8.493.056 shell32.dll
17.03.2006 02:38 28.672 verclsid.exe
16.03.2006 23:07 251 spupdwxp.log
16.03.2006 22:03 99 $winnt$.inf
04.03.2006 05:34 664.064 wininet.dll
04.03.2006 05:34 474.624 shlwapi.dll
04.03.2006 05:34 146.432 msrating.dll
04.03.2006 05:34 532.480 mstime.dll
04.03.2006 05:34 39.424 pngfilt.dll
04.03.2006 05:34 448.512 mshtmled.dll
04.03.2006 05:34 55.808 extmgr.dll
04.03.2006 05:34 251.392 iepeers.dll
04.03.2006 05:34 96.768 inseng.dll
04.03.2006 05:34 205.312 dxtrans.dll
04.03.2006 05:34 152.064 cdfview.dll
04.03.2006 05:34 1.022.976 browseui.dll
01.03.2006 21:43 91.136 mtxoci.dll
01.03.2006 21:43 426.496 msdtcprx.dll
01.03.2006 21:43 66.560 mtxclu.dll
01.03.2006 21:43 11.776 xolehlp.dll
01.03.2006 21:43 956.416 msdtctm.dll
01.03.2006 21:43 161.280 msdtcuiu.dll
22.02.2006 08:34 492.544 WRLogonNtf.dll
25.01.2006 11:09 8.192 ssiefr.EXE
25.01.2006 11:09 17.920 wrlzma.dll
24.01.2006 01:17 621.272 mswstr10.dll
18.01.2006 14:05 57.344 avsda.dll
16.01.2006 20:49 838.360 mswdat10.dll
13.01.2006 18:05 77.824 xcomm.dll
11.01.2006 03:26 1.916.928 mmcndmgr.dll
11.01.2006 03:26 61.440 mmcshext.dll
11.01.2006 03:26 148.480 cic.dll
11.01.2006 03:20 33.792 mmcperf.exe
11.01.2006 03:20 1.354.240 mmc.exe
10.01.2006 17:26 169.984 mmcbase.dll
10.01.2006 01:11 106.496 mmcfxcommon.dll
10.01.2006 01:10 184.320 microsoft.managementconsole.dll


Hoffe Du kannst was sehen – ich nicht.
Firewall geht noch immer nicht Freigabe auch nicht. Sense stürzt weiter ab. Habe auch eine tool5.exe auf der C Ebene mit O KB die ich nicht löschen kann.

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

1.Log Verzeichnis von C:\WINDOWS\system32
2.Log Verzeichnis von C:\DOKUME~1\Username\LOKALE~1\Temp
3.Log Verzeichnis von C:\WINDOWS
4.Log Verzeichnis von C:\

-------------

ist fuer mich:

http://virus-protect.org/artikel/spywar ... eriff.html

C:\WINDOWS\system32\win_33.dll
C:\WINDOWS\system32\mspksk11.dat

C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefe.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\sveff.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefg.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OZ5FYQ31\rzutsdcx[1].htm

C:\WINDOWS\system32\dvb03a.sys
C:\WINDOWS\system32\dvb06a.sys

1.Log Verzeichnis von C:\WINDOWS\system32
2.Log Verzeichnis von C:\DOKUME~1\Username\LOKALE~1\Temp
3.Log Verzeichnis von C:\WINDOWS
4.Log Verzeichnis von C:\

Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: 2496-AFED

Verzeichnis von C:\WINDOWS\system32

12.05.2006 16:04 10.222 ModemLog_ISDN Internet (PPP over ISDN).txt
12.05.2006 16:04 5.004 ModemLog_ISDN BTX.txt
12.05.2006 16:04 5.054 ModemLog_ISDN Analog Modem (V.32bis).txt
12.05.2006 16:04 5.014 ModemLog_ISDN FAX (G3).txt
12.05.2006 16:04 5.066 ModemLog_ISDN SoftCompression X.75-V.42bis.txt
12.05.2006 16:04 5.024 ModemLog_ISDN - ISDN (X.75).txt
12.05.2006 16:04 5.026 ModemLog_ISDN Mailbox (X.75).txt
12.05.2006 16:04 5.036 ModemLog_ISDN RAS (PPP over ISDN).txt
12.05.2006 16:04 4.556 ModemLog_ISDN Custom Config.txt
11.05.2006 21:55 376.016 perfh009.dat
11.05.2006 21:55 51.814 perfc009.dat
11.05.2006 21:55 386.338 perfh007.dat
11.05.2006 21:55 62.578 perfc007.dat
11.05.2006 21:55 886.928 PerfStringBackup.INI
11.05.2006 18:15 291.680 FNTCACHE.DAT
11.05.2006 17:30 4.096 win_33.dll
03.05.2006 21:26 5.818.784 MRT.exe
02.05.2006 15:44 14 getfile.dat
02.05.2006 15:44 0 x_dtrace_log
28.04.2006 22:33 2.206 wpa.dbl
13.04.2006 19:46 98.304 CmdLineExt.dll
08.04.2006 14:12 7.006 jupdate-1.5.0_06-b05.log
30.03.2006 11:26 1.492.480 shdocvw.dll
30.03.2006 03:16 18.944 xpsp3res.dll
23.03.2006 22:34 3.074.560 mshtml.dll
20.03.2006 13:03 979 mspksk11.dat
18.03.2006 13:09 615.424 urlmon.dll
18.03.2006 12:41 31.383 NULL
17.03.2006 11:11 679.424 inetcomm.dll
17.03.2006 06:03 8.493.056 shell32.dll
17.03.2006 02:38 28.672 verclsid.exe
16.03.2006 23:07 251 spupdwxp.log
16.03.2006 22:03 99 $winnt$.inf
04.03.2006 05:34 664.064 wininet.dll
04.03.2006 05:34 474.624 shlwapi.dll
04.03.2006 05:34 532.480 mstime.dll
04.03.2006 05:34 146.432 msrating.dll
04.03.2006 05:34 448.512 mshtmled.dll
04.03.2006 05:34 39.424 pngfilt.dll
04.03.2006 05:34 251.392 iepeers.dll
04.03.2006 05:34 55.808 extmgr.dll
04.03.2006 05:34 205.312 dxtrans.dll
04.03.2006 05:34 96.768 inseng.dll
04.03.2006 05:34 1.022.976 browseui.dll
04.03.2006 05:34 152.064 cdfview.dll
01.03.2006 21:43 66.560 mtxclu.dll
01.03.2006 21:43 11.776 xolehlp.dll
01.03.2006 21:43 161.280 msdtcuiu.dll
01.03.2006 21:43 956.416 msdtctm.dll
01.03.2006 21:43 91.136 mtxoci.dll
01.03.2006 21:43 426.496 msdtcprx.dll
22.02.2006 08:34 492.544 WRLogonNtf.dll
25.01.2006 11:09 8.192 ssiefr.EXE
25.01.2006 11:09 17.920 wrlzma.dll

Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: 2496-AFED

Verzeichnis von C:\DOKUME~1\eve\LOKALE~1\Temp

12.05.2006 16:08 512 ~DFBA31.tmp
12.05.2006 16:08 16.384 ~DFBA26.tmp
12.05.2006 16:04 49.152 ~DF8AF0.tmp
12.05.2006 15:57 49.152 ~DF385A.tmp
4 Datei(en) 115.200 Bytes
0 Verzeichnis(se), 33.136.226.304 Bytes frei
Datentr„ger in Laufwerk C: ist BOOT
Volumeseriennummer: 2496-AFED

Verzeichnis von C:\WINDOWS

12.05.2006 16:04 1.745.398 WindowsUpdate.log
12.05.2006 16:04 0 0.log
12.05.2006 16:04 159 wiadebug.log
12.05.2006 16:04 50 wiaservc.log
12.05.2006 16:04 2.048 bootstat.dat
12.05.2006 16:03 32.464 SchedLgU.Txt
12.05.2006 16:01 839 win.ini
12.05.2006 13:06 71 Pex.INI
12.05.2006 12:37 533 Ulead32.ini
12.05.2006 02:03 435 system.ini
11.05.2006 21:57 135 NeroDigital.ini
11.05.2006 21:51 31.658 spupdsvc.log
11.05.2006 21:48 139.593 ntdtcsetup.log
11.05.2006 21:48 229.783 comsetup.log
11.05.2006 21:48 34.517 ocmsn.log
11.05.2006 21:48 1.374 imsins.log
11.05.2006 21:48 102.735 iis6.log
11.05.2006 21:48 261.047 tsoc.log
11.05.2006 21:48 13.366 KB913538.log
11.05.2006 21:48 33.785 msgsocm.log
11.05.2006 21:48 342.841 ocgen.log
11.05.2006 21:48 676.790 FaxSetup.log
11.05.2006 21:48 912.780 setupapi.log
11.05.2006 21:48 22.294 updspapi.log
11.05.2006 21:48 24.908 KB913446.log
11.05.2006 21:48 1.374 imsins.BAK
11.05.2006 21:48 12.679 KB913296.log
11.05.2006 21:47 15.986 KB912945.log
11.05.2006 21:47 29.764 KB912919.log
11.05.2006 21:46 10.990 KB912475.log
11.05.2006 21:46 40.277 KB911927.log
11.05.2006 21:46 7.178 KB911565.log
11.05.2006 21:46 24.298 KB911564.log
11.05.2006 21:46 291.322 wmsetup.log
11.05.2006 21:46 1.178 avmcoins.log
11.05.2006 21:45 30.447 KB910437.log
11.05.2006 21:45 9.321 basecsp.log
11.05.2006 21:45 13.398 KB908521.log
11.05.2006 21:44 28.264 KB908519.log
11.05.2006 21:44 11.157 KB907865.log
11.05.2006 21:43 16.065 KB907265.log
11.05.2006 21:43 6.400 KB906569.log
11.05.2006 21:43 27.954 KB905749.log
11.05.2006 21:42 30.694 KB905414.log
11.05.2006 21:42 12.685 KB904942.log
11.05.2006 21:42 26.706 KB904706.log
11.05.2006 21:41 10.673 KB904412.log
11.05.2006 21:41 10.017 KB903234.log
11.05.2006 21:41 38.011 KB902400.log
11.05.2006 21:40 27.090 KB901214.log
11.05.2006 21:40 12.092 KB901190.log
11.05.2006 21:40 39.030 KB901017.log
11.05.2006 21:39 12.256 KB900930.log
11.05.2006 21:39 30.302 KB900725.log
11.05.2006 21:39 24.649 KB900485.log
11.05.2006 21:38 41.670 KB899591.log
11.05.2006 21:38 12.483 KB899589.log
11.05.2006 21:38 40.732 KB899587.log
11.05.2006 21:38 11.558 KB899271.log
11.05.2006 21:37 11.141 KB898900.log
11.05.2006 21:37 19.157 KB898461.log
11.05.2006 21:37 12.280 KB897663.log
11.05.2006 21:36 10.694 KB896626.log
11.05.2006 21:36 23.075 KB896428.log
11.05.2006 21:36 12.647 KB896427.log
11.05.2006 21:35 39.557 KB896424.log
11.05.2006 21:35 30.450 KB896423.log
11.05.2006 21:35 33.008 KB896422.log
11.05.2006 21:35 27.765 KB896358.log
11.05.2006 21:34 24.249 KB893803v2.log
11.05.2006 21:34 39.765 KB893756.log
11.05.2006 21:34 7.793 KB893357.log
11.05.2006 21:34 26.388 KB893066.log
11.05.2006 21:33 26.435 KB891781.log
11.05.2006 21:33 11.937 KB891122.log
11.05.2006 21:32 316.640 WMSysPr9.prx
11.05.2006 21:30 10.795 KB890831.log
11.05.2006 21:29 27.572 KB890046.log
11.05.2006 21:28 1.188 KB888656.log
11.05.2006 21:28 25.057 KB888302.log
11.05.2006 21:28 27.780 KB888113.log
11.05.2006 21:27 12.332 KB887797.log
11.05.2006 21:27 28.321 KB887742.log
11.05.2006 21:26 33.553 KB887472.log
11.05.2006 21:26 11.861 KB886716.log
11.05.2006 21:25 10.254 KB886677.log
11.05.2006 21:25 16.379 KB886185.log
11.05.2006 21:24 11.670 KB885894.log
11.05.2006 21:24 12.653 KB885884.log
11.05.2006 21:23 26.226 KB885836.log
11.05.2006 21:23 30.789 KB885835.log
11.05.2006 21:22 9.570 KB885626.log
11.05.2006 21:22 9.904 KB885222.log
11.05.2006 21:21 9.866 KB884883.log
11.05.2006 21:20 25.567 KB873339.log
11.05.2006 18:02 211 uno.ini
10.05.2006 11:43 11.705 KB913580.log
09.05.2006 12:48 29 standard.sta
09.05.2006 12:44 72 TC.INI
04.05.2006 17:37 807 avmenum32.log
04.05.2006 17:14 136.146 avmw2k.log
04.05.2006 17:06 282 avmadd32.log
02.05.2006 09:53 142 scom4.inr
01.05.2006 19:52 144.934 DirectX.log
01.05.2006 14:03 269 homeDVD-Filme3_5.INI
25.04.2006 15:41 3.922 ModemLog_Creatix V.9X DSP Data Fax Modem.txt
17.04.2006 13:10 7.168 Thumbs.db
15.04.2006 14:58 154 buhl.ini
12.04.2006 21:10 15.506 KB908531.log
12.04.2006 21:10 14.755 KB911562.log
12.04.2006 21:09 16.684 KB912812.log
12.04.2006 21:09 10.635 KB911567.log
11.04.2006 16:18 737.280 iun6002.exe
11.04.2006 16:16 746 nsw.log
10.04.2006 15:45 4.678 HPOins07.log
10.04.2006 12:18 2.639 DevMgr.ini
08.04.2006 14:23 2.379 mozver.dat
22.03.2006 00:20 220.501 setupact.log
21.03.2006 20:50 60 dswplug.ini
21.03.2006 20:50 546 dswplug.log
21.03.2006 19:01 85 magix.ini
21.03.2006 17:00 26.344 KB905915.log
21.03.2006 11:55 18.575 KB894391.log
21.03.2006 11:55 18.577 KB890859.log
20.03.2006 21:07 17.021 KB885250.log
20.03.2006 21:06 20.831 KB883939.log
20.03.2006 21:06 7.941 KB898458.log
20.03.2006 13:41 400 ODBC.INI
20.03.2006 13:04 36.864 unslive.exe
20.03.2006 13:01 20 Hposcv07.INI
18.03.2006 16:24 13.947 KB873333.log
18.03.2006 16:24 5.479 KB903235.log
18.03.2006 16:23 12.738 KB893086.log
18.03.2006 15:10 0 Classic.INI
18.03.2006 14:43 34 HBUser.ini
18.03.2006 14:42 295 Q321178.log
17.03.2006 00:58 107.132 UninstallFirefox.exe
16.03.2006 23:08 731 DtcInstall.log
16.03.2006 23:08 1.519 OEWABLog.txt
16.03.2006 23:08 873.611 setuplog.txt
16.03.2006 22:47 412.623 svcpack.log
16.03.2006 22:43 200 cmsetacl.log
16.03.2006 22:43 3.085 sessmgr.setup.log
16.03.2006 22:33 589 medctroc.Log
16.03.2006 22:22 23 AOLMIcon.ini
16.03.2006 22:12 1.859.970 setupapi.log.0.old
16.03.2006 22:12 2 msoffice.ini
16.03.2006 22:07 33.458 Windows Update.log
16.03.2006 21:55 316 setuperr.log
16.03.2006 21:52 2.750 regopt.log
25.01.2006 11:10 478.720 WRUninstall.dll

Verzeichnis von C:\

12.05.2006 17:16 0 sys.txt
12.05.2006 17:16 14.707 system.txt
12.05.2006 17:16 330 systemtemp.txt
12.05.2006 17:16 103.272 system32.txt
12.05.2006 16:04 536.399.872 hiberfil.sys
12.05.2006 16:04 805.306.368 pagefile.sys
12.05.2006 13:28 7.735 RootkitReveal.txt
12.05.2006 13:24 318.464 KJC-First Serviceskopf.doc
12.05.2006 02:04 0 tool5.exe
12.05.2006 01:47 211 boot.ini
04.05.2006 17:50 1.627 ads_err.dbf
29.04.2006 20:18 443.335.895 IncrediMail Data.cab
26.03.2006 23:21 3.458 Unbenanntes Dokument.nvc
18.03.2006 12:41 176 TO_InstallLog.txt
16.03.2006 22:37 47.564 NTDETECT.COM
16.03.2006 22:37 251.184 ntldr
16.03.2006 19:50 53.469.803 Verkaufenaktuell.rar
04.02.2004 09:22 496 IPH.PH
03.02.2004 20:34 0 MSDOS.SYS
03.02.2004 20:34 0 IO.SYS
03.02.2004 20:34 0 CONFIG.SYS
03.02.2004 20:34 0 AUTOEXEC.BAT
29.08.2002 14:00 4.952 bootfont.bin
05.01.2002 03:40 487.424 msvcp70.dll
05.01.2002 03:37 344.064 msvcr70.dll
25 Datei(en) 1.840.097.602 Bytes
0 Verzeichnis(se), 54.223.036.416 Bytes frei

KILLBOX - Pocket KillBox
http://virus-protect.org/killbox.html

Options: Delete on Reboot --> anhaken
und klicke auf das rote Kreuz, wenn gefragt wird, ob "Do you want to reboot? "---- klicke auf "no",und kopiere das nächste rein, erst beim letzten auf "yes"
reinkopieren: ............


C:\WINDOWS\system32\win_33.dll
C:\WINDOWS\system32\mspksk11.dat

C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefe.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\sveff.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp\svefg.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temp\svefd.tmp
C:\Dokumente und Einstellungen\eve\Lokale Einstellungen\Temporary Internet Files\Content.IE5\OZ5FYQ31\rzutsdcx[1].htm
C:\tool5.exe

-----------------------------------------------------------------------------------------------------------------------------------------------------------------

PC neustarten

**
Laufwerk C: eine Datenträgerbereinigung vornehmen.

Sie auf Start, zeigen auf Programme, zeigen auf Zubehör, zeigen auf Systemprogramme und klicken anschließend auf Datenträgerbereinigung.

Start > Programme > Zubehör > Systemprogramme >
Datenträgerbereinigung

Click:Temporäre Internet Files/Temporäre Internet Dateien, o.k.
Click:Temporäre Dateien, o.k

**
Counterspy
http://virus-protect.org/counterspy.html
* nach dem Scan muss man sich entscheiden für:

*Ignore
*Remove --> Status: Deleted
*Quarantaine

wähle immer Remove und starte den PC neu (dann kopiere den Scanreport ab.