Hallihallo , hier erstmal mein logfile....
ich hab mit müh und not gestern stundenlang antivir und adaware durchlaufen lassen, da wurden einige trojaner gefunden die aber nicht entfernt werden konnten, da der pc dann abstürzt. im übrigen braucht es 45minuten um windows zu starten und alles funktioniert seeeeeehr langsam.
deswegen: please help me ich bin mehr oder weniger laie!

was genau hab ich für viren und wie lassen die sich entfernen? da das ja wohl nicht so einfach geht...

danke für jede hilfe und info!!!


Logfile of HijackThis v1.99.1
Scan saved at 11:59:56, on 06.06.2006
Platform: Windows XP (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 (6.00.2600.0000)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\System32\GEARSEC.EXE
C:\Programme\AMD\PowerNow!\GemServ.exe
C:\WINDOWS\system32\slserv.exe
C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
C:\NORMAN\Nvc\BIN\nvcoas.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\explorer.exe
C:\WINDOWS\TEMP\EC60.tmp
C:\Programme\Internet Explorer\iexplore.exe
C:\WINDOWS\System32\rundll32.exe
C:\WINDOWS\System32\atmclk.exe
C:\WINDOWS\System32\S3hotkey.exe
C:\WINDOWS\System32\S3tray2.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\Real\RealPlayer\RealPlay.exe
C:\Programme\Winamp\winampa.exe
C:\WINDOWS\System32\efd9e5d5.exe
C:\WINDOWS\System32\spoolsvv.exe
C:\WINDOWS\System32\0mcamcap.exe
C:\WINDOWS\inet20026\winlogon.exe
C:\WINDOWS\System32\dxvwagof.exe
C:\WINDOWS\System32\jsssvc.exe
C:\Program Files\ceys.exe
C:\WINDOWS\System32\fec7cee1.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\WINDOWS\System32\ctfmon.exe
C:\Programme\Messenger\msmsgs.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\wkcalrem.exe
C:\WINDOWS\System32\dxvwsksg.exe
C:\WINDOWS\inet20026\mm5.exe
C:\WINDOWS\inet20026\select.exe
C:\WINDOWS\inet20026\killer.exe
C:\WINDOWS\inet20026\socks.exe
C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Desktop\HijackThis.exe
C:\WINDOWS\System32\dllcache\IExplore.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
F2 - REG:system.ini: Shell=explorer.exe "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.exe"
F3 - REG:win.ini: run=C:\WINDOWS\inet20026\winlogon.exe
O2 - BHO: My Search BHO - {014DA6C1-189F-421a-88CD-07CFE51CFF10} - C:\Programme\MySearch\bar\1.bin\S4BAR.DLL
O2 - BHO: Acrobat IE Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE083} - C:\WINDOWS\system\ctldlg32.dll
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 5.0\Reader\ActiveX\AcroIEHelper.ocx
O2 - BHO: (no name) - {196B9CB5-4C83-46F7-9B06-9672ECD9D99B} - C:\WINDOWS\system32\winbrume.dll
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: (no name) - {D44CCDBD-C9C1-44C7-9A6B-74B250FD070F} - C:\WINDOWS\system32\winnuts.dll
O3 - Toolbar: &Radio - {8E718888-423F-11D2-876E-00A0C9082467} - C:\WINDOWS\System32\msdxm.ocx
O3 - Toolbar: My &Search Bar - {014DA6C9-189F-421a-88CD-07CFE51CFF10} - C:\Programme\MySearch\bar\1.bin\S4BAR.DLL
O4 - HKLM\..\Run: [Norman ZANDA] C:\NORMAN\Nvc\BIN\ZLH.EXE /LOAD /SPLASH
O4 - HKLM\..\Run: [S3hotkey] S3hotkey.exe
O4 - HKLM\..\Run: [S3TRAY2] S3tray2.exe
O4 - HKLM\..\Run: [Microsoft Works Portfolio] C:\Programme\Microsoft Works\WksSb.exe /AllUsers
O4 - HKLM\..\Run: [Microsoft Works Update Detection] C:\Programme\Gemeinsame Dateien\Microsoft Shared\Works Shared\WkUFind.exe
O4 - HKLM\..\Run: [HPDJ Taskbar Utility] C:\WINDOWS\System32\spool\drivers\w32x86\3\hpztsb05.exe
O4 - HKLM\..\Run: [iTunesHelper] C:\Programme\iTunes\iTunesHelper.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [PowerDVD] C:\Programme\CyberLink\PowerDVD\PowerDVD.exe /autostart
O4 - HKLM\..\Run: [RealTray] C:\Programme\Real\RealPlayer\RealPlay.exe SYSTEMBOOTHIDEPLAYER
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [ICQ Lite] "C:\Programme\ICQLite\ICQLite.exe" -minimize
O4 - HKLM\..\Run: [win32hp] C:\WINDOWS\System32\win32hlp.exe
O4 - HKLM\..\Run: [efd9e5d5.exe] C:\WINDOWS\System32\efd9e5d5.exe
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\System32\spoolsvv.exe
O4 - HKLM\..\Run: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKLM\..\Run: [Windows hSox Server] C:\WINDOWS\System32\hSox.exe
O4 - HKLM\..\Run: [xp_system] C:\WINDOWS\inet20026\winlogon.exe
O4 - HKLM\..\Run: [DCOM Server] C:\WINDOWS\System32\dxvwsksg.exe
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20026\socks.exe
O4 - HKLM\..\Run: [jssvc23] jsssvc.exe
O4 - HKLM\..\Run: [SysTray] C:\Program Files\ceys.exe
O4 - HKLM\..\Run: [fec7cee1.exe] C:\WINDOWS\System32\fec7cee1.exe
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\RunServices: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKLM\..\RunServices: [jssvc23] jsssvc.exe
O4 - HKLM\..\RunOnce: [update.exe] C:\Programme\Internet Explorer\update.exe
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\ctfmon.exe
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKCU\..\Run: [efd9e5d5.exe] C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe
O4 - HKCU\..\Run: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKCU\..\Run: [xp_system] C:\WINDOWS\inet20026\winlogon.exe
O4 - HKCU\..\Run: [fec7cee1.exe] C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe
O4 - HKCU\..\Run: [Windows hSox Server] C:\WINDOWS\System32\hSox.exe
O4 - HKCU\..\RunOnce: [ICQ Lite] C:\Programme\ICQLite\ICQLite.exe -trayboot
O4 - Global Startup: Microsoft Office.lnk = C:\Programme\Microsoft Office\Office10\OSA.EXE
O4 - Global Startup: Erinnerungen in Microsoft Works-Kalender.lnk = ?
O4 - Global Startup: OfficeManager Terminerinnerung.lnk = ?
O9 - Extra button: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra 'Tools' menuitem: ICQ Lite - {B863453A-26C3-4e1f-A54D-A2CD196348E9} - C:\Programme\ICQLite\ICQLite.exe
O9 - Extra button: Real.com - {CD67F990-D8E9-11d2-98FE-00C0F0318AFE} - C:\WINDOWS\System32\Shdocvw.dll
O16 - DPF: {B38870E4-7ECB-40DA-8C6A-595F0A5519FF} (MsnMessengerSetupDownloadControl Class) - http://messenger.msn.com/download/MsnMe ... loader.cab
O18 - Protocol: msnim - {828030A1-22C1-4009-854F-8E305202313F} - "C:\PROGRA~1\MSNMES~1\msgrapp.dll" (file missing)
O20 - Winlogon Notify: artm_newreg - C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\artm_new.dll
O20 - Winlogon Notify: polymorphreg - C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\polymorph.dll
O20 - Winlogon Notify: SensSrv - C:\WINDOWS\SYSTEM32\senssrv.dll
O20 - Winlogon Notify: winm32 - C:\WINDOWS\SYSTEM32\winm32.dll
O21 - SSODL: DCOM Server - {2C1CD3D7-86AC-4068-93BC-A02304BB8C34} - C:\WINDOWS\System32\dxvwagof.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - AVIRA GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSEC.EXE
O23 - Service: AMD PowerNow! (tm) Technology Service (GemServ) - Advanced Micro Devices - C:\Programme\AMD\PowerNow!\GemServ.exe
O23 - Service: iPod Service (iPodService) - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Norman ZANDA - Unknown owner - C:\Norman\NVC\BIN\Zanda.exe
O23 - Service: Norman Virus Control on-access component (nvcoas) - Norman ASA - C:\NORMAN\Nvc\BIN\nvcoas.exe
O23 - Service: Norman Virus Control Scheduler (NVCScheduler) - Norman Data Defense Systems - C:\NORMAN\Nvc\BIN\NVCSCHED.EXE
O23 - Service: SmartLinkService (SLService) - - C:\WINDOWS\SYSTEM32\slserv.exe

1.
stelle den CleanUp genauso ein, wie hier angegeben: ...dann den Rechner neustarten
http://virus-protect.org/cleanup.html

2.
Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

3.
echo.zip
entpacken--> klicke echo.bat --> der Texteditor wird sich öffnen--> Text abkopieren http://virus-protect.org/bat/echo.zip

4.
look.zip laden - entpacken - look.bat - doppeltklicken - kopiere den Text ab, der erscheint
http://virus-protect.org/zip/look.zip

------------------------

5.
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als list.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

cd\
dir "C:\Programme\Gemeinsame Dateien\Windows" >> files.txt
dir "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders" >> files.txt
dir "C:\WINDOWS\inet20026" >> files.txt
dir "C:\Dokumente und Einstellungen\All Users\Dokumente\Settings" >> files.txt
notepad files.txt

wenn ich alle Daten habe, beginnt die Reinigung

hey,
ich kann diese Seite(n) nicht öffnen, bei dem infizierten pc schließt sich direkt der iexplorer, weil problemel beim laden auftreten....
auch bei nem anderen pc dauert das eine ganze weile.
was machen???

datFind.zip --> entzippe datFind.zip --> datFind.bat
http://virus-protect.org/zip/datFind.zip

Kurzanleitung datfindbat

1. Doppel-klick DATFINDBAT

2. Es öffnet sich der Texteditor. Speichern als system32.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

3. auf das Command Fenster klicken und beliebige Taste druecken

4. Es öffnet sich der Texteditor. Speichern als temp.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

5. Wiederhole Schritt 3 und speichere als windows.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

6. Wiederhole Schritt 3 und speichere als c.txt - oder (rechter Mausklick --> Text markieren --> kopieren --> in den Thread einfügen) - (3 Monate vom Datum her, mehr ist nicht notwendig)

7. Poste ALLE Logs (3 Monate vom Datum her, mehr ist nicht notwendig)

----------------

alles andere kannst du hier direkt laden und ausfuehren + posten

hey
hier also die logs aus datfind


system32

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS\system32

06.06.2006 17:28 160 bootlog.log
06.06.2006 17:28 71.168 dxvwyrcr.exe
06.06.2006 17:27 55.309 ld107.tmp
06.06.2006 17:23 153 ps.a3d
06.06.2006 13:32 71.168 dxvwzpnc.exe
06.06.2006 13:31 2 tmp.req
06.06.2006 13:31 4 1.txt
06.06.2006 13:31 55.309 ld106.tmp
06.06.2006 13:28 75.264 winbrume.dll
06.06.2006 12:20 71.168 dxvwpton.exe
06.06.2006 12:10 71.168 dxvwajoz.exe
06.06.2006 12:00 71.168 dxvwdrcu.exe
06.06.2006 11:50 71.168 dxvwsksg.exe
06.06.2006 11:49 55.309 ld105.tmp
06.06.2006 11:48 10.240 win32hlp.exe
06.06.2006 11:48 311.802 perfh009.dat
06.06.2006 11:48 40.190 perfc009.dat
06.06.2006 11:48 48.354 perfc007.dat
06.06.2006 11:48 316.838 perfh007.dat
06.06.2006 11:48 723.568 PerfStringBackup.INI
06.06.2006 11:31 71.168 dxvwagof.exe
06.06.2006 11:28 20.992 efd9e5d5.exe
06.06.2006 11:20 71.168 dxvwzbeu.exe
06.06.2006 11:10 71.168 dxvwadky.exe
06.06.2006 11:05 8.318 fec7cee1.exe
06.06.2006 10:59 71.168 dxvwvzrk.exe
06.06.2006 10:59 1.632 vxgamet3.exe
06.06.2006 10:59 7.712 vxgamet2.exe
06.06.2006 10:59 14.640 0mcamcap.exe
06.06.2006 10:59 17.920 vxgame1.exe
06.06.2006 10:57 1.232 TheMatrixHasYou.exe
06.06.2006 10:57 3.072 vxgame4.exe
06.06.2006 10:57 14.665 spoolsvv.exe
06.06.2006 10:57 71.168 dxvwpfbb.exe
06.06.2006 10:56 4.287 dlh9jkdq5.exe
06.06.2006 10:56 2.518 dlh9jkdq1.exe
06.06.2006 10:48 55.309 ld104.tmp
05.06.2006 22:08 3.145 PowerNow.log
05.06.2006 20:42 55.309 ld103.tmp
05.06.2006 18:55 55.309 ld102.tmp
05.06.2006 16:51 55.309 ld101.tmp
04.06.2006 19:56 11.264 hSox.exe
04.06.2006 19:55 71.168 dxvwqedk.exe
04.06.2006 19:54 14 dlh9jkdq8.exe
04.06.2006 19:54 55.309 ld100.tmp
04.06.2006 19:42 71.168 dxvwnfov.exe
04.06.2006 19:35 176.128 imfdfcj.dll
04.06.2006 19:35 4.286 ts.ico
04.06.2006 19:35 4.286 ot.ico
04.06.2006 19:32 57.344 senssrv.dll
04.06.2006 19:30 71.168 dxvwsjci.exe
04.06.2006 19:22 71.168 dxvwylwl.exe
04.06.2006 19:22 0 ImaS3r
04.06.2006 19:22 3.072 vxgame6.exe3072.exe
04.06.2006 19:22 63.966 ipod.raw.exe
04.06.2006 19:22 63.966 taskdir.exe
04.06.2006 19:21 13.312 maxd641.exe
04.06.2006 19:21 7.009 dlh9jkdq7.exe
04.06.2006 19:21 7.009 dlh9jkdq6.exe
04.06.2006 19:21 18.785 dlh9jkdq2.exe
04.06.2006 19:21 8.171 kernels8.exe
04.06.2006 19:21 8.171 2480.exe
04.06.2006 19:20 9.195 scmt16.exe
04.06.2006 19:20 75.776 winnuts.dll
04.06.2006 19:18 66.573 regperf.exe
03.06.2006 09:09 1.136 wpa.dbl
03.05.2006 21:26 5.818.784 MRT.exe
26.04.2006 16:28 216.064 FNTCACHE.DAT
18.01.2006 14:05 57.344 avsda.dll


temp

ist alles sehr alt, von 2002

windows

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS

06.06.2006 17:37 282 system.ini
06.06.2006 17:28 47.616 OEM.exe
06.06.2006 17:28 7.680 comdlg66.dll
06.06.2006 17:27 7.168 comdlj32.dll
06.06.2006 17:27 54.156 QTFont.qfn
06.06.2006 17:26 2.884 OEWABLog.txt
06.06.2006 17:17 0 0.log
06.06.2006 17:17 2.048 bootstat.dat
06.06.2006 13:35 22.916 WindowsUpdate.log
06.06.2006 13:35 32.606 SchedLgU.Txt
06.06.2006 13:33 47.616 OEM.exe.bak
06.06.2006 12:40 1.409 QTFont.for
06.06.2006 11:30 1.311.746 setupapi.log.0.old
06.06.2006 11:29 3.466 ModemLog_Smart Link 56K Modem.txt
04.06.2006 19:21 18.785 xpupdate.exe
04.06.2006 19:20 82.948 godbe1rv.exe
04.06.2006 19:20 9.215 xhp1ykbq.exe
04.06.2006 19:20 9.214 loadnew.exe
04.06.2006 10:18 65 msxmlcab.log
12.05.2006 20:18 192 winamp.ini
20.02.2006 00:15 216 wiadebug.log
20.02.2006 00:15 50 wiaservc.log


c

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\

06.06.2006 17:38 0 sys.txt
06.06.2006 17:37 6.655 system.txt
06.06.2006 17:36 1.769 systemtemp.txt
06.06.2006 17:36 93.364 system32.txt
06.06.2006 17:17 502.845.440 hiberfil.sys
06.06.2006 17:17 754.974.720 pagefile.sys
06.06.2006 11:12 1.397 cppdscgg.exe
06.06.2006 11:12 82.438 eexplek.exe
06.06.2006 11:05 8.318 xqnhk.exe
06.06.2006 11:05 14.640 tfhufrl.exe
06.06.2006 11:04 3.033 secure32.html
06.06.2006 11:04 1.024 acscn.exe
06.06.2006 11:04 32.768 winstall.exe
06.06.2006 11:04 32.768 lbety.exe
06.06.2006 11:02 74.240 cwfcpf.exe
06.06.2006 11:00 0 exit
04.06.2006 19:21 74.240 velyov.exe
04.06.2006 19:21 540.672 adbui.exe
04.06.2006 19:21 81.920 vovqcmw.exe
04.06.2006 19:20 81.920 jdbay.exe
04.06.2006 19:20 0 uniq
06.05.2003 18:48 0 temp.html



so.....werden auch die logs aus echo.zip und look.zip benötigt?
das dauert jedenfalls noch weil der computer das alles kaum mehr mitmacht....dankeschonmal

komendes stammt aus look.bat , alles älter 3monate hab ich gelöscht...
das aus echo.bat ist alles älter als ein jahr, deswegen hab ich das mal weggelassen.

look.bat
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Dokumente und Einstellungen\Owner\Anwendungsdaten

01.06.2006 22:46 <DIR> ICQLITE ICQLite
03.06.2006 10:43 <DIR> PLAYFI~1 PlayFirst
0 Datei(en) 0 Bytes
13 Verzeichnis(se), 22.240.526.336 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Dokumente und Einstellungen\All Users\Anwendungsdaten

03.06.2006 10:43 <DIR> PLAYFI~1 PlayFirst
04.06.2006 10:18 <DIR> SANDLO~1 Sandlot Games
04.06.2006 20:16 <DIR> ANTIVI~1 AntiVir PersonalEdition Classic
0 Datei(en) 0 Bytes
10 Verzeichnis(se), 22.240.526.336 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS\tasks

18.08.2001 13:00 65 desktop.ini
06.06.2006 17:17 6 SA.DAT
2 Datei(en) 71 Bytes
0 Verzeichnis(se), 22.240.526.336 Bytes frei

ok hab noch was vergessen, sorry das ist aus list.bat
´bitte sagen wenn was fehlt, oder wenn es zu verwirrend ist....


Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Programme\Gemeinsame Dateien

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders

10.09.2001 12:45 <DIR> .
10.09.2001 12:45 <DIR> ..
19.03.1999 08:46 127.032 MSOWS407.DLL
04.06.1999 01:09 122.937 MSOWS409.DLL
13.02.2001 00:23 58.784 MSOSV.DLL
13.03.2002 16:31 <DIR> 1031
13.03.2002 16:31 <DIR> 1033
14.02.2001 21:45 1.318.912 MSONSEXT.DLL
22.01.2001 03:25 86.016 PKMWS.DLL
22.01.2001 03:25 24.576 PKMTRACE.DLL
06.08.2000 09:04 401.462 MSVCP60.DLL
22.01.2001 03:25 69.632 PKMAXCTL.DLL
22.01.2001 03:25 872.448 PKMCDO.DLL
22.01.2001 03:25 159.744 PKMCORE.DLL
07.02.2001 09:59 106.496 PKMFORMS.DLL
12.02.2001 04:01 692.224 PKMRES.DLL
22.01.2001 03:25 28.672 PKMSSTLB.DLL
22.01.2001 03:25 40.960 PKMTEMPL.DLL
22.01.2001 03:25 237.568 PROMDEMO.DLL
22.01.2001 03:25 184.320 SECMGR.DLL
22.01.2001 03:25 323.584 VAIDDMGR.DLL
22.01.2001 03:25 32.768 VAIMEM.DLL
04.06.2006 19:56 62.976 ibm00010.dll
06.06.2006 10:59 68.608 ibm00013.dll
06.06.2006 10:59 62.976 ibm00014.dll
06.06.2006 11:03 1.024 ibm00015.exe
06.06.2006 11:03 68.608 ibm00015.dll
06.06.2006 11:03 62.976 ibm00016.dll
06.06.2006 11:03 11.264 ibm00017.exe
25 Datei(en) 5.226.567 Bytes
4 Verzeichnis(se), 22.239.641.600 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS\inet20026

04.06.2006 19:30 <DIR> .
04.06.2006 19:30 <DIR> ..
04.06.2006 19:30 17.408 services.exe
04.06.2006 19:30 17.408 winlogon.exe
04.06.2006 19:30 31.232 3.03.00.dll
06.06.2006 17:28 4 mm.pid
06.06.2006 17:29 4 1.txt
06.06.2006 17:49 2 tmp.req
06.06.2006 13:32 18.944 mm6.exe
06.06.2006 11:50 18.944 mm5.exe.bak
06.06.2006 17:28 18.944 mm5.exe
06.06.2006 13:32 11.776 alg.exe.bak
06.06.2006 17:28 11.776 alg.exe
06.06.2006 13:33 25.600 select.exe.bak
06.06.2006 17:28 25.600 select.exe
06.06.2006 13:33 2.560 killer.exe.bak
06.06.2006 17:28 2.560 killer.exe
06.06.2006 13:33 37.888 socks.exe.bak
06.06.2006 17:29 37.888 socks.exe
17 Datei(en) 278.538 Bytes
2 Verzeichnis(se), 22.239.641.600 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Dokumente und Einstellungen\All Users\Dokumente\Settings

04.06.2006 19:30 <DIR> .
04.06.2006 19:30 <DIR> ..
0 Datei(en) 0 Bytes
2 Verzeichnis(se), 22.239.641.600 Bytes frei

mach erst mal nichts weiter, heute abend stelle ich eine Reinigung zusammen (jetzt reicht die Zeit nicht)

1.
spyfalcon.zip -> http://virus-protect.org/zip/spyfalcon.zip -> entpacken auf dem Desktop -> spyfalcon.reg -> doppeltklicken und der Registry beifuegen

2.
Avenger
http://virus-protect.org/artikel/tools/avenger.html
kopiere rein:

Files to delete:
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00010.dll
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00013.dll
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00014.dll
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.exe
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.dll
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00016.dll
C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00017.exe
C:\WINDOWS\TEMP\EC60.tmp
C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe
C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe
C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\artm_new.dll
C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\polymorph.dll
C:\Program Files\ceys.exe
C:\WINDOWS\inet20026\services.exe
C:\WINDOWS\inet20026\winlogon.exe
C:\WINDOWS\inet20026\3.03.00.dll
C:\WINDOWS\inet20026\mm.pid
C:\WINDOWS\inet20026\1.txt
C:\WINDOWS\inet20026\tmp.req
C:\WINDOWS\inet20026\mm6.exe
C:\WINDOWS\inet20026\mm5.exe.bak
C:\WINDOWS\inet20026\mm5.exe
C:\WINDOWS\inet20026\alg.exe.bak
C:\WINDOWS\inet20026\alg.exe
C:\WINDOWS\inet20026\select.exe.bak
C:\WINDOWS\inet20026\select.exe
C:\WINDOWS\inet20026\killer.exe.bak
C:\WINDOWS\inet20026\killer.exe
C:\WINDOWS\inet20026\socks.exe.bak
C:\WINDOWS\inet20026\socks.exe
C:\WINDOWS\system32\dxvwyrcr.exe
C:\WINDOWS\system32\ps.a3d
C:\WINDOWS\system32\dxvwzpnc.exe
C:\WINDOWS\system32\tmp.req
C:\WINDOWS\system32\1.txt
C:\WINDOWS\system32\winbrume.dll
C:\WINDOWS\system32\dxvwpton.exe
C:\WINDOWS\system32\dxvwajoz.exe
C:\WINDOWS\system32\dxvwdrcu.exe
C:\WINDOWS\system32\dxvwsksg.exe
C:\WINDOWS\system32\win32hlp.exe
C:\WINDOWS\system32\dxvwagof.exe
C:\WINDOWS\system32\efd9e5d5.exe
C:\WINDOWS\system32\dxvwzbeu.exe
C:\WINDOWS\system32\dxvwadky.exe
C:\WINDOWS\system32\fec7cee1.exe
C:\WINDOWS\system32\dxvwvzrk.exe
C:\WINDOWS\system32\vxgamet3.exe
C:\WINDOWS\system32\vxgamet2.exe
C:\WINDOWS\system32\0mcamcap.exe
C:\WINDOWS\system32\vxgame1.exe
C:\WINDOWS\system32\TheMatrixHasYou.exe
C:\WINDOWS\system32\vxgame4.exe
C:\WINDOWS\system32\spoolsvv.exe
C:\WINDOWS\system32\dxvwpfbb.exe
C:\WINDOWS\system32\dlh9jkdq5.exe
C:\WINDOWS\system32\dlh9jkdq1.exe
C:\WINDOWS\system32\PowerNow.log
C:\WINDOWS\system32\hSox.exe
C:\WINDOWS\system32\dxvwqedk.exe
C:\WINDOWS\system32\dlh9jkdq8.exe
C:\WINDOWS\system32\dxvwnfov.exe
C:\WINDOWS\system32\imfdfcj.dll
C:\WINDOWS\system32\ts.ico
C:\WINDOWS\system32\ot.ico
C:\WINDOWS\system32\senssrv.dll
C:\WINDOWS\system32\dxvwsjci.exe
C:\WINDOWS\system32\dxvwylwl.exe
C:\WINDOWS\system32\ImaS3r
C:\WINDOWS\system32\vxgame6.exe3072.exe
C:\WINDOWS\system32\ipod.raw.exe
C:\WINDOWS\system32\taskdir.exe
C:\WINDOWS\system32\maxd641.exe
C:\WINDOWS\system32\dlh9jkdq7.exe
C:\WINDOWS\system32\dlh9jkdq6.exe
C:\WINDOWS\system32\dlh9jkdq2.exe
C:\WINDOWS\system32\kernels8.exe
C:\WINDOWS\system32\2480.exe
C:\WINDOWS\system32\scmt16.exe
C:\WINDOWS\system32\winnuts.dll
C:\WINDOWS\system32\regperf.exe
C:\WINDOWS\OEM.exe
C:\WINDOWS\comdlg66.dll
C:\WINDOWS\comdlj32.dll
C:\WINDOWS\OEM.exe.bak
C:\WINDOWS\xpupdate.exe
C:\WINDOWS\godbe1rv.exe
C:\WINDOWS\xhp1ykbq.exe
C:\WINDOWS\loadnew.exe
C:\cppdscgg.exe
C:\eexplek.exe
C:\xqnhk.exe
C:\tfhufrl.exe
C:\secure32.html
C:\acscn.exe
C:\winstall.exe
C:\lbety.exe
C:\cwfcpf.exe
C:\exit
C:\velyov.exe
C:\adbui.exe
C:\vovqcmw.exe
C:\jdbay.exe
C:\uniq
C:\temp.html
C:\Dokumente und Einstellungen\All Users\Startmenü\Online Security Guide.url
C:\Dokumente und Einstellungen\All Users\Startmenü\Security Troubleshooting.url

Klicke die gruene Ampel
das Script wird nun ausgeführt, dann wird der PC automatisch neustarten

**
poste das Log vom Avenger, was erscheint

3.
SmitfraudFix
download von http://siri.urz.free.fr/Fix/SmitfraudFix.zip
http://virus-protect.org/artikel/tools/ ... utfix.html
1. doppelklick smitfraudfix.cmd
2. schreibe: 1 (es wird ein Report von den infizierten Dateien erstellt)
3. doppelklick smitfraudfix.cmd
4. schreibe: 2
5. auf die Frage: "Voulez-vous nettoyer le registre ?" antworte mit: o [o/n] , falls festgestellt wird, dass die Datei wininet.dll infiziert ist, antworte auf die Frage: " Corriger le fichier infecté ?" mit o [o/n]

die Taskleiste verschwindet + Bildschirm..alles wird blau werden...warte...
wenn der Scan beeendet ist, kopiere die Logfile ab

4.
öffne das HijackThis -- Button "scan" -- vor die Malware-Einträge Häkchen setzen -- Button "Fix checked" -- PC neustarten

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = c:\secure32.html
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Local Page = c:\secure32.html
F2 - REG:system.ini: Shell=explorer.exe "C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.exe"
F3 - REG:win.ini: run=C:\WINDOWS\inet20026\winlogon.exe
O2 - BHO: My Search BHO - {014DA6C1-189F-421a-88CD-07CFE51CFF10} - C:\Programme\MySearch\bar\1.bin\S4BAR.DLL
O2 - BHO: Acrobat IE Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE083} - C:\WINDOWS\system\ctldlg32.dll
O2 - BHO: (no name) - {196B9CB5-4C83-46F7-9B06-9672ECD9D99B} - C:\WINDOWS\system32\winbrume.dll
O2 - BHO: (no name) - {5321E378-FFAD-4999-8C62-03CA8155F0B3} - (no file)
O2 - BHO: (no name) - {D44CCDBD-C9C1-44C7-9A6B-74B250FD070F} - C:\WINDOWS\system32\winnuts.dll
O3 - Toolbar: My &Search Bar - {014DA6C9-189F-421a-88CD-07CFE51CFF10} - C:\Programme\MySearch\bar\1.bin\S4BAR.DLL
O4 - HKLM\..\Run: [win32hp] C:\WINDOWS\System32\win32hlp.exe
O4 - HKLM\..\Run: [efd9e5d5.exe] C:\WINDOWS\System32\efd9e5d5.exe
O4 - HKLM\..\Run: [spoolsvv] C:\WINDOWS\System32\spoolsvv.exe
O4 - HKLM\..\Run: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKLM\..\Run: [Windows hSox Server] C:\WINDOWS\System32\hSox.exe
O4 - HKLM\..\Run: [xp_system] C:\WINDOWS\inet20026\winlogon.exe
O4 - HKLM\..\Run: [DCOM Server] C:\WINDOWS\System32\dxvwsksg.exe
O4 - HKLM\..\Run: [Microsoft standard protector] C:\WINDOWS\inet20026\socks.exe
O4 - HKLM\..\Run: [jssvc23] jsssvc.exe
O4 - HKLM\..\Run: [SysTray] C:\Program Files\ceys.exe
O4 - HKLM\..\Run: [fec7cee1.exe] C:\WINDOWS\System32\fec7cee1.exe
O4 - HKLM\..\RunServices: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKLM\..\RunServices: [jssvc23] jsssvc.exe
O4 - HKLM\..\RunOnce: [update.exe] C:\Programme\Internet Explorer\update.exe
O4 - HKCU\..\Run: [efd9e5d5.exe] C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe
O4 - HKCU\..\Run: [0mcamcap] C:\WINDOWS\System32\0mcamcap.exe
O4 - HKCU\..\Run: [xp_system] C:\WINDOWS\inet20026\winlogon.exe
O4 - HKCU\..\Run: [fec7cee1.exe] C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe
O4 - HKCU\..\Run: [Windows hSox Server] C:\WINDOWS\System32\hSox.exe

O20 - Winlogon Notify: artm_newreg - C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\artm_new.dll
O20 - Winlogon Notify: polymorphreg - C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\polymorph.dll
O20 - Winlogon Notify: SensSrv - C:\WINDOWS\SYSTEM32\senssrv.dll
O20 - Winlogon Notify: winm32 - C:\WINDOWS\SYSTEM32\winm32.dll
O21 - SSODL: DCOM Server - {2C1CD3D7-86AC-4068-93BC-A02304BB8C34} - C:\WINDOWS\System32\dxvwagof.exe

PC neustarten

5.
Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als listen.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

Code: Alles auswählen

cd\
dir "C:\Programme\Internet Explorer" >> files.txt
dir "C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000" >> files.txt
notepad files.txt


6.
poste noch mal die 4 Los von datfindbat

7.
poste das log vom Silentrunner
http://virus-protect.org/silentrunner.html

8.
Download f-secure-Beta Trial
http://www.f-secure.com/blacklight/
starte die Datei, nimm die Lizenzbestimmung an und waehle scan, wenn es mit dem Scan fertig ist, druecke next und danach close. Nun befindet sich im selben Ordner von Blacklight eine FSB*.TXT Datei -> hier posten

Logfile of The Avenger version 1, by Swandog46
Running from registry key:
\Registry\Machine\System\CurrentControlSet\Services\wdtwgwos

*******************

Script file located at: \??\C:\WINDOWS\System32\fgmjiybb.txt
Script file opened successfully.

Script file read successfully

Backups directory opened successfully at C:\Avenger

*******************

Beginning to process script file:

File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00010.dll deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00013.dll deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00014.dll deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.exe deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00015.dll deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00016.dll deleted successfully.
File C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders\ibm00017.exe deleted successfully.
File C:\WINDOWS\TEMP\EC60.tmp deleted successfully.


Could not open file C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe for deletion
Deletion of file C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe failed!

Could not process line:
C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\efd9e5d5.exe
Status: 0xc000003a



Could not open file C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe for deletion
Deletion of file C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe failed!

Could not process line:
C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten\fec7cee1.exe
Status: 0xc000003a

File C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\artm_new.dll deleted successfully.
File C:\Dokumente und Einstellungen\All Users\Dokumente\Settings\polymorph.dll deleted successfully.


File C:\Program Files\ceys.exe not found!
Deletion of file C:\Program Files\ceys.exe failed!

Could not process line:
C:\Program Files\ceys.exe
Status: 0xc0000034

File C:\WINDOWS\inet20026\services.exe deleted successfully.
File C:\WINDOWS\inet20026\winlogon.exe deleted successfully.
File C:\WINDOWS\inet20026\3.03.00.dll deleted successfully.
File C:\WINDOWS\inet20026\mm.pid deleted successfully.
File C:\WINDOWS\inet20026\1.txt deleted successfully.
File C:\WINDOWS\inet20026\tmp.req deleted successfully.
File C:\WINDOWS\inet20026\mm6.exe deleted successfully.
File C:\WINDOWS\inet20026\mm5.exe.bak deleted successfully.
File C:\WINDOWS\inet20026\mm5.exe deleted successfully.
File C:\WINDOWS\inet20026\alg.exe.bak deleted successfully.
File C:\WINDOWS\inet20026\alg.exe deleted successfully.
File C:\WINDOWS\inet20026\select.exe.bak deleted successfully.
File C:\WINDOWS\inet20026\select.exe deleted successfully.
File C:\WINDOWS\inet20026\killer.exe.bak deleted successfully.
File C:\WINDOWS\inet20026\killer.exe deleted successfully.
File C:\WINDOWS\inet20026\socks.exe.bak deleted successfully.
File C:\WINDOWS\inet20026\socks.exe deleted successfully.
File C:\WINDOWS\system32\dxvwyrcr.exe deleted successfully.
File C:\WINDOWS\system32\ps.a3d deleted successfully.
File C:\WINDOWS\system32\dxvwzpnc.exe deleted successfully.
File C:\WINDOWS\system32\tmp.req deleted successfully.
File C:\WINDOWS\system32\1.txt deleted successfully.
File C:\WINDOWS\system32\winbrume.dll deleted successfully.
File C:\WINDOWS\system32\dxvwpton.exe deleted successfully.
File C:\WINDOWS\system32\dxvwajoz.exe deleted successfully.
File C:\WINDOWS\system32\dxvwdrcu.exe deleted successfully.
File C:\WINDOWS\system32\dxvwsksg.exe deleted successfully.
File C:\WINDOWS\system32\win32hlp.exe deleted successfully.
File C:\WINDOWS\system32\dxvwagof.exe deleted successfully.
File C:\WINDOWS\system32\efd9e5d5.exe deleted successfully.
File C:\WINDOWS\system32\dxvwzbeu.exe deleted successfully.
File C:\WINDOWS\system32\dxvwadky.exe deleted successfully.
File C:\WINDOWS\system32\fec7cee1.exe deleted successfully.
File C:\WINDOWS\system32\dxvwvzrk.exe deleted successfully.
File C:\WINDOWS\system32\vxgamet3.exe deleted successfully.
File C:\WINDOWS\system32\vxgamet2.exe deleted successfully.
File C:\WINDOWS\system32\0mcamcap.exe deleted successfully.
File C:\WINDOWS\system32\vxgame1.exe deleted successfully.
File C:\WINDOWS\system32\TheMatrixHasYou.exe deleted successfully.
File C:\WINDOWS\system32\vxgame4.exe deleted successfully.
File C:\WINDOWS\system32\spoolsvv.exe deleted successfully.
File C:\WINDOWS\system32\dxvwpfbb.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq5.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq1.exe deleted successfully.
File C:\WINDOWS\system32\PowerNow.log deleted successfully.
File C:\WINDOWS\system32\hSox.exe deleted successfully.
File C:\WINDOWS\system32\dxvwqedk.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq8.exe deleted successfully.
File C:\WINDOWS\system32\dxvwnfov.exe deleted successfully.
File C:\WINDOWS\system32\imfdfcj.dll deleted successfully.
File C:\WINDOWS\system32\ts.ico deleted successfully.
File C:\WINDOWS\system32\ot.ico deleted successfully.
File C:\WINDOWS\system32\senssrv.dll deleted successfully.
File C:\WINDOWS\system32\dxvwsjci.exe deleted successfully.
File C:\WINDOWS\system32\dxvwylwl.exe deleted successfully.
File C:\WINDOWS\system32\ImaS3r deleted successfully.
File C:\WINDOWS\system32\vxgame6.exe3072.exe deleted successfully.
File C:\WINDOWS\system32\ipod.raw.exe deleted successfully.
File C:\WINDOWS\system32\taskdir.exe deleted successfully.
File C:\WINDOWS\system32\maxd641.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq7.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq6.exe deleted successfully.
File C:\WINDOWS\system32\dlh9jkdq2.exe deleted successfully.
File C:\WINDOWS\system32\kernels8.exe deleted successfully.
File C:\WINDOWS\system32\2480.exe deleted successfully.
File C:\WINDOWS\system32\scmt16.exe deleted successfully.
File C:\WINDOWS\system32\winnuts.dll deleted successfully.
File C:\WINDOWS\system32\regperf.exe deleted successfully.
File C:\WINDOWS\OEM.exe deleted successfully.
File C:\WINDOWS\comdlg66.dll deleted successfully.
File C:\WINDOWS\comdlj32.dll deleted successfully.
File C:\WINDOWS\OEM.exe.bak deleted successfully.
File C:\WINDOWS\xpupdate.exe deleted successfully.
File C:\WINDOWS\godbe1rv.exe deleted successfully.
File C:\WINDOWS\xhp1ykbq.exe deleted successfully.
File C:\WINDOWS\loadnew.exe deleted successfully.
File C:\cppdscgg.exe deleted successfully.
File C:\eexplek.exe deleted successfully.
File C:\xqnhk.exe deleted successfully.
File C:\tfhufrl.exe deleted successfully.
File C:\secure32.html deleted successfully.
File C:\acscn.exe deleted successfully.
File C:\winstall.exe deleted successfully.
File C:\lbety.exe deleted successfully.
File C:\cwfcpf.exe deleted successfully.
File C:\exit deleted successfully.
File C:\velyov.exe deleted successfully.
File C:\adbui.exe deleted successfully.
File C:\vovqcmw.exe deleted successfully.
File C:\jdbay.exe deleted successfully.
File C:\uniq deleted successfully.
File C:\temp.html deleted successfully.
File C:\Dokumente und Einstellungen\All Users\Startmenü\Online Security Guide.url deleted successfully.
File C:\Dokumente und Einstellungen\All Users\Startmenü\Security Troubleshooting.url deleted successfully.

Completed script processing.

*******************

Finished! Terminate.

das hier ist der log von smitfraudfix , keine ahnung ob der auch benötigt wird aber ich hab ihn mal abkopiert.


SmitFraudFix v2.55

Scan done at 11:08:03,99, 07.06.2006
Run from C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.003\Desktop\smitfraud
OS: Microsoft Windows XP [Version 5.1.2600] - Windows_NT
Fix ran in normal mode

»»»»»»»»»»»»»»»»»»»»»»»» Before SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]
"{2C1CD3D7-86AC-4068-93BC-A02304BB8C34}"="DCOM Server"

[HKEY_CLASSES_ROOT\CLSID\{2C1CD3D7-86AC-4068-93BC-A02304BB8C34}\InProcServer32]
@="C:\WINDOWS\System32\dxvwynas.exe"

[HKEY_LOCAL_MACHINE\Software\Classes\CLSID\{2C1CD3D7-86AC-4068-93BC-A02304BB8C34}\InProcServer32]
@="C:\WINDOWS\System32\dxvwynas.exe"


»»»»»»»»»»»»»»»»»»»»»»»» Killing process


»»»»»»»»»»»»»»»»»»»»»»»» Deleting infected files

C:\WINDOWS\system32\ld????.tmp Deleted
C:\WINDOWS\system32\1024\ Deleted

»»»»»»»»»»»»»»»»»»»»»»»» Generic Renos Fix

GenericRenosFix by S!Ri


»»»»»»»»»»»»»»»»»»»»»»»» Deleting Temp Files


»»»»»»»»»»»»»»»»»»»»»»»» Registry Cleaning

Registry Cleaning done.

»»»»»»»»»»»»»»»»»»»»»»»» After SmitFraudFix
!!!Attention, following keys are not inevitably infected!!!

SrchSTS.exe by S!Ri
Search SharedTaskScheduler's .dll


»»»»»»»»»»»»»»»»»»»»»»»» End

Den folgenden Text in den Editor (Start - Zubehör - Editor) kopieren und als listen.bat mit 'Speichern unter' auf dem Desktop. Gebe bei Dateityp 'Alle Dateien' an. Du solltest jetzt auf dem Desktop diese Datei finden.--> die list.bat doppelt klicken--> kopiere den Text, der erscheint

cd\
dir "C:\Programme\Internet Explorer" >> files.txt
dir "C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen\Anwendungsdaten" >> files.txt
notepad files.txt

--------------
+
poste die 4 logs von datfindbat zur Ueberpruefung

+
poste das neue Log vom HijackThis
+
poste das log vom Silentrunner
http://virus-protect.org/silentrunner.html
+
Download f-secure-Beta Trial
http://www.f-secure.com/blacklight/
starte die Datei, nimm die Lizenzbestimmung an und waehle scan, wenn es mit dem Scan fertig ist, druecke next und danach close. Nun befindet sich im selben Ordner von Blacklight eine FSB*.TXT Datei -> hier posten

hier erstmal die list.bat

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Programme\Gemeinsame Dateien

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Folders

10.09.2001 12:45 <DIR> .
10.09.2001 12:45 <DIR> ..
19.03.1999 08:46 127.032 MSOWS407.DLL
04.06.1999 01:09 122.937 MSOWS409.DLL
13.02.2001 00:23 58.784 MSOSV.DLL
13.03.2002 16:31 <DIR> 1031
13.03.2002 16:31 <DIR> 1033
14.02.2001 21:45 1.318.912 MSONSEXT.DLL
22.01.2001 03:25 86.016 PKMWS.DLL
22.01.2001 03:25 24.576 PKMTRACE.DLL
06.08.2000 09:04 401.462 MSVCP60.DLL
22.01.2001 03:25 69.632 PKMAXCTL.DLL
22.01.2001 03:25 872.448 PKMCDO.DLL
22.01.2001 03:25 159.744 PKMCORE.DLL
07.02.2001 09:59 106.496 PKMFORMS.DLL
12.02.2001 04:01 692.224 PKMRES.DLL
22.01.2001 03:25 28.672 PKMSSTLB.DLL
22.01.2001 03:25 40.960 PKMTEMPL.DLL
22.01.2001 03:25 237.568 PROMDEMO.DLL
22.01.2001 03:25 184.320 SECMGR.DLL
22.01.2001 03:25 323.584 VAIDDMGR.DLL
22.01.2001 03:25 32.768 VAIMEM.DLL
04.06.2006 19:56 62.976 ibm00010.dll
06.06.2006 10:59 68.608 ibm00013.dll
06.06.2006 10:59 62.976 ibm00014.dll
06.06.2006 11:03 1.024 ibm00015.exe
06.06.2006 11:03 68.608 ibm00015.dll
06.06.2006 11:03 62.976 ibm00016.dll
06.06.2006 11:03 11.264 ibm00017.exe
25 Datei(en) 5.226.567 Bytes
4 Verzeichnis(se), 22.239.641.600 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS\inet20026

04.06.2006 19:30 <DIR> .
04.06.2006 19:30 <DIR> ..
04.06.2006 19:30 17.408 services.exe
04.06.2006 19:30 17.408 winlogon.exe
04.06.2006 19:30 31.232 3.03.00.dll
06.06.2006 17:28 4 mm.pid
06.06.2006 17:29 4 1.txt
06.06.2006 17:49 2 tmp.req
06.06.2006 13:32 18.944 mm6.exe
06.06.2006 11:50 18.944 mm5.exe.bak
06.06.2006 17:28 18.944 mm5.exe
06.06.2006 13:32 11.776 alg.exe.bak
06.06.2006 17:28 11.776 alg.exe
06.06.2006 13:33 25.600 select.exe.bak
06.06.2006 17:28 25.600 select.exe
06.06.2006 13:33 2.560 killer.exe.bak
06.06.2006 17:28 2.560 killer.exe
06.06.2006 13:33 37.888 socks.exe.bak
06.06.2006 17:29 37.888 socks.exe
17 Datei(en) 278.538 Bytes
2 Verzeichnis(se), 22.239.641.600 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Dokumente und Einstellungen\All Users\Dokumente\Settings

04.06.2006 19:30 <DIR> .
04.06.2006 19:30 <DIR> ..
0 Datei(en) 0 Bytes
2 Verzeichnis(se), 22.239.641.600 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Programme\Internet Explorer

10.09.2001 12:31 <DIR> .
10.09.2001 12:31 <DIR> ..
18.08.2001 13:00 91.136 IEXPLORE.EXE
18.08.2001 13:00 36.352 HMMAPI.DLL
10.09.2001 12:31 <DIR> SIGNUP
10.09.2001 12:31 <DIR> Connection Wizard
10.09.2001 12:34 <DIR> PLUGINS
04.06.2006 19:21 27.809 winbrume.dat
06.06.2006 11:48 10.240 lock.exe
06.06.2006 11:48 82.432 update.exe
5 Datei(en) 247.969 Bytes
5 Verzeichnis(se), 22.236.069.888 Bytes frei
Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\Dokumente und Einstellungen\TEMP.CUSTOMER-DE25EC.000\Lokale Einstellungen

system32

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS\system32

07.06.2006 14:03 161 bootlog.log
07.06.2006 13:57 102 ps.a3d
07.06.2006 10:45 93 d.bat
07.06.2006 10:37 7.377 clcbt.exe
07.06.2006 10:37 71.168 dxvwynas.exe
06.06.2006 17:58 71.168 dxvwpmos.exe
06.06.2006 17:48 71.168 dxvwasmt.exe
06.06.2006 17:38 71.168 dxvwmwqi.exe
06.06.2006 11:48 40.190 perfc009.dat
06.06.2006 11:48 311.802 perfh009.dat
06.06.2006 11:48 48.354 perfc007.dat
06.06.2006 11:48 316.838 perfh007.dat
06.06.2006 11:48 723.568 PerfStringBackup.INI
03.06.2006 09:09 1.136 wpa.dbl
03.05.2006 21:26 5.818.784 MRT.exe
26.04.2006 16:28 216.064 FNTCACHE.DAT
18.01.2006 14:05 57.344 avsda.dll

temp ist alles sehr alt

windows

Volume in Laufwerk C: hat keine Bezeichnung.
Volumeseriennummer: 1A5E-12E9

Verzeichnis von C:\WINDOWS

07.06.2006 14:03 7.680 comdlg66.dll
07.06.2006 14:03 54.156 QTFont.qfn
07.06.2006 14:01 3.572 OEWABLog.txt
07.06.2006 13:53 0 0.log
07.06.2006 13:53 2.048 bootstat.dat
07.06.2006 11:33 32.708 SchedLgU.Txt
07.06.2006 11:33 543.342 WindowsUpdate.log
07.06.2006 11:32 1.409 QTFont.for
07.06.2006 11:08 204.781 setupact.log
07.06.2006 10:46 282 system.ini
07.06.2006 10:45 632 win.ini
06.06.2006 11:30 1.311.746 setupapi.log.0.old
06.06.2006 11:29 3.466 ModemLog_Smart Link 56K Modem.txt
04.06.2006 10:18 65 msxmlcab.log
12.05.2006 20:18 192 winamp.ini
20.02.2006 00:15 216 wiadebug.log
20.02.2006 00:15 50 wiaservc.log