hab folgendes problem:
ein rechner dürfte sich einen trojaner eingefangen haben, der nun von zeit zu zeit aber wiederholt versucht die datei c:\windows\system32\usb496.dat zu erzeugen. gelingt ihm zwar nicht (virenschutz verhindert das) aber ich möchte nun die quelle des übels finden.

bin total neu hier und hab rausgefunden, dass hier die logs von hijackthis gewünscht sind, also bitte sehr

Logfile of HijackThis v1.99.1
Scan saved at 10:33:18, on 06.09.2006
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\Programme\Intel\Wireless\Bin\EvtEng.exe
C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\PDFCreatorMessages.exe
C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
C:\WINDOWS\system32\HPZipm12.exe
C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Sony\VAIO Event Service\VESMgr.exe
C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment\VzRs\VzRs.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Apoint\Apoint.exe
C:\Programme\Sony\VAIO Power Management\SPMgr.exe
C:\Programme\Sony\ISB Utility\ISBMgr.exe
C:\Programme\Apoint\Apntex.exe
C:\Programme\HP\HP Software Update\HPWuSchd2.exe
C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
C:\Programme\Winamp\winampa.exe
C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
C:\Programme\JawsSystems\Jaws PDF Creator\PDFClient.exe
C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe
C:\Programme\QuickTime\qttask.exe
C:\Programme\iTunes\iTunesHelper.exe
C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe
C:\PROGRA~1\GEMEIN~1\PCSuite\Services\SERVIC~1.EXE
C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe
C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe
C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe
C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe
C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
C:\PROGRA~1\GEMEIN~1\Nokia\MPAPI\MPAPI3s.exe
C:\Programme\Intel\Wireless\Bin\Dot1XCfg.exe
C:\Programme\HP\Digital Imaging\bin\hpqgalry.exe
C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Desktop\HijackThis.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.stepan.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://www.club-vaio.com/de/
O2 - BHO: AcroIEHlprObj Class - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O4 - HKLM\..\Run: [Apoint] C:\Programme\Apoint\Apoint.exe
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [SonyPowerCfg] C:\Programme\Sony\VAIO Power Management\SPMgr.exe
O4 - HKLM\..\Run: [ISBMgr.exe] C:\Programme\Sony\ISB Utility\ISBMgr.exe
O4 - HKLM\..\Run: [VAIO Update 2] "C:\Programme\Sony\VAIO Update 2\VAIOUpdt.exe" /Stationary
O4 - HKLM\..\Run: [HP Software Update] "C:\Programme\HP\HP Software Update\HPWuSchd2.exe"
O4 - HKLM\..\Run: [vptray] C:\PROGRA~1\SYMANT~1\SYMANT~1\vptray.exe
O4 - HKLM\..\Run: [PrepareYourVAIO] C:\Programme\Sony\Prepare your VAIO\PYVAlert.exe
O4 - HKLM\..\Run: [WinampAgent] C:\Programme\Winamp\winampa.exe
O4 - HKLM\..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_06\bin\jusched.exe
O4 - HKLM\..\Run: [PDFCreatorClient] C:\Programme\JawsSystems\Jaws PDF Creator\PDFClient.exe
O4 - HKLM\..\Run: [DataLayer] C:\Programme\Gemeinsame Dateien\PCSuite\DataLayer\DataLayer.exe
O4 - HKLM\..\Run: [PCSuiteTrayApplication] C:\Programme\Nokia\Nokia PC Suite 6\LaunchApplication.exe -onlytray
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\qttask.exe" -atboottime
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Realtime Audio Engine] mmrtkrnl.exe
O4 - HKLM\..\Run: [SsAAD.exe] C:\PROGRA~1\Sony\SONICS~1\SsAAD.exe
O4 - HKLM\..\Run: [IntelZeroConfig] "C:\Programme\Intel\Wireless\bin\ZCfgSvc.exe"
O4 - HKLM\..\Run: [IntelWireless] "C:\Programme\Intel\Wireless\Bin\ifrmewrk.exe" /tf Intel PROSet/Wireless
O4 - HKCU\..\Run: [FinePrint Dispatcher v5] "C:\WINDOWS\System32\spool\DRIVERS\W32X86\3\fpdisp5a.exe" /source=HKCU
O4 - HKCU\..\Run: [PcSync] C:\Programme\Nokia\Nokia PC Suite 6\PcSync2.exe /NoDialog
O4 - Global Startup: Adobe Gamma Loader.lnk = C:\Programme\Gemeinsame Dateien\Adobe\Calibration\Adobe Gamma Loader.exe
O4 - Global Startup: Adobe Reader - Schnellstart.lnk = C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe
O4 - Global Startup: HP Digital Imaging Monitor.lnk = C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe
O4 - Global Startup: HP Image Zone Schnellstart.lnk = C:\Programme\HP\Digital Imaging\bin\hpqthb08.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~4\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~4\OFFICE11\REFIEBAR.DLL
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O14 - IERESET.INF: START_PAGE_URL=http://www.club-vaio.com/de/
O15 - Trusted Zone: *.sony-europe.com
O15 - Trusted Zone: *.sonystyle-europe.com
O15 - Trusted Zone: *.vaio-link.com
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: Domain = stepan.local
O17 - HKLM\Software\..\Telephony: DomainName = stepan.local
O17 - HKLM\System\CS1\Services\Tcpip\Parameters: Domain = stepan.local
O20 - Winlogon Notify: NavLogon - C:\WINDOWS\system32\NavLogon.dll
O20 - Winlogon Notify: VESWinlogon - C:\WINDOWS\SYSTEM32\VESWinlogon.dll
O20 - Winlogon Notify: WgaLogon - C:\WINDOWS\SYSTEM32\WgaLogon.dll
O23 - Service: Adobe Active File Monitor (AdobeActiveFileMonitor) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsFileAgent.exe
O23 - Service: DefWatch - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\DefWatch.exe
O23 - Service: Intel(R) PROSet/Wireless Event Log (EvtEng) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\EvtEng.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\11\Intel 32\IDriverT.exe
O23 - Service: iPodService - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: MSCSPTISRV - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\MSCSPTISRV.exe
O23 - Service: Symantec AntiVirus Client (Norton AntiVirus Server) - Symantec Corporation - C:\PROGRA~1\SYMANT~1\SYMANT~1\Rtvscan.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: PACSPTISVR - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\PACSPTISVR.exe
O23 - Service: PDFCreatorMessages - Global Graphics Software Ltd - C:\WINDOWS\system32\PDFCreatorMessages.exe
O23 - Service: Photoshop Elements Device Connect (PhotoshopElementsDeviceConnect) - Unknown owner - C:\Programme\Adobe\Photoshop Elements 3.0\PhotoshopElementsDeviceConnect.exe
O23 - Service: Pml Driver HPZ12 - HP - C:\WINDOWS\system32\HPZipm12.exe
O23 - Service: Intel(R) PROSet/Wireless Registry Service (RegSrvc) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\RegSrvc.exe
O23 - Service: Intel(R) PROSet/Wireless Service (S24EventMonitor) - Intel Corporation - C:\Programme\Intel\Wireless\Bin\S24EvMon.exe
O23 - Service: Sony SPTI Service (SPTISRV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SPTISRV.exe
O23 - Service: SonicStage SCSI Service (SSScsiSV) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\AVLib\SSScsiSV.exe
O23 - Service: VAIO Entertainment Aggregation and Control Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment\VzRs\VzRs.exe
O23 - Service: VAIO Entertainment Task Scheduler - Sony Corporation - C:\Programme\Sony\VAIO Entertainment\VzTaskScheduler.exe
O23 - Service: VAIO Entertainment TV Device Arbitration Service - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment Platform\VzCs\VzHardwareResourceManager\VzHardwareResourceManager.exe
O23 - Service: VAIO Event Service - Sony Corporation - C:\Programme\Sony\VAIO Event Service\VESMgr.exe
O23 - Service: VAIO Media Integrated Server (VAIOMediaPlatform-IntegratedServer-AppServer) - Sony Corporation - C:\Programme\Sony\VAIO Media Integrated Server\VMISrv.exe
O23 - Service: VAIO Media Integrated Server (HTTP) (VAIOMediaPlatform-IntegratedServer-HTTP) - Unknown owner - C:\Programme\Sony\VAIO Media Integrated Server\Platform\SV_Httpd.exe" /Service=VAIOMediaPlatform-IntegratedServer-HTTP /RegRoot="SOFTWARE\Sony Corporation\VAIO Media Platform\2.0" /RegExt="Applications\IntegratedServer\HTTP (file missing)
O23 - Service: VAIO Media Integrated Server (UPnP) (VAIOMediaPlatform-IntegratedServer-UPnP) - Sony Corporation - C:\Programme\Sony\VAIO Media Integrated Server\Platform\UPnPFramework.exe
O23 - Service: VAIO Media Gateway Server (VAIOMediaPlatform-Mobile-Gateway) - Unknown owner - C:\Programme\Sony\VAIO Media Integrated Server\Platform\VmGateway.exe" /Service=VAIOMediaPlatform-Mobile-Gateway /RegRoot="SOFTWARE\Sony Corporation\VAIO Media Platform\2.0" /RegExt="\Addons\Packages\Mobile\Gateway" /DisplayName="VAIO Media Gateway Server (file missing)
O23 - Service: VAIO Entertainment UPnP Client Adapter (Vcsw) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment Platform\VCSW\VCSW.exe
O23 - Service: VAIO Entertainment Database Service (VzCdbSvc) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment Platform\VzCdb\VzCdbSvc.exe
O23 - Service: VAIO Entertainment File Import Service (VzFw) - Sony Corporation - C:\Programme\Gemeinsame Dateien\Sony Shared\VAIO Entertainment Platform\VzCdb\VzFw.exe

falls ihr noch weitere infos benötigt, gebt mir bescheid... danke für eure hilfe!

poste das log
http://virus-protect.org/artikel/tools/combofix.html

stelle den CleanUp genauso ein, wie hier angegeben:
http://virus-protect.org/cleanup.html

Kopiere diese 4 Textdateien ab . (rechtsklick mit der Maus -> den Text markieren -> kopieren -> einfügen) Sie sind nach Datum geordnet. (kopiere nur die letzten 3 Monate ab)
http://virus-protect.org/datfindbat.html

cleanup durchgeführt wie beschrieben.

============================================
hier mal combofix-log:
============================================

ComboFix 06.09.11B - Running from: C:\

Microsoft Windows XP [Version 5.1.2600]

((((((((((((((((((((((((((((((( Files Created from 2006-08-13 to 2006-09-13 ))))))))))))))))))))))))))))))))))


2006-09-13 13:15 275,806 --a------ C:\combofix.exe
2006-09-06 13:25 4,608 --a------ C:\WINDOWS\system32\nmwcdlog.dll
2006-09-06 13:25 30,720 --a------ C:\WINDOWS\system32\nmwcdcocls.dll
2006-09-06 13:24 50,688 --a------ C:\WINDOWS\system32\nmwcdcls.dll
2006-08-31 15:53 557,056 --a------ C:\WINDOWS\system32\Netw2c32.dll
2006-08-31 15:53 2,732,032 --a------ C:\WINDOWS\system32\Netw2r32.dll


(((((((((((((((((((((((((((((((((((((((((((((((( Find3M Report )))))))))))))))))))))))))))))))))))))))))))))))))))))


2006-09-13 13:06 -------- d-------- C:\Programme\CleanUp!
2006-09-06 13:40 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\PC Suite
2006-09-06 13:26 -------- d-------- C:\Programme\DIFX
2006-09-06 13:25 -------- d-------- C:\Programme\Nokia
2006-09-06 13:25 -------- d-------- C:\Programme\Gemeinsame Dateien\PCSuite
2006-09-06 13:25 -------- d-------- C:\Programme\Gemeinsame Dateien\Nokia
2006-09-06 13:25 -------- d-------- C:\Programme\Gemeinsame Dateien
2006-09-06 13:24 -------- d--h----- C:\Programme\InstallShield Installation Information
2006-09-06 12:06 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\Datalayer
2006-09-06 11:57 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\Nokia
2006-08-31 15:54 21419 --a------ C:\WINDOWS\system32\drivers\AegisP.sys
2006-08-31 15:54 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\Intel
2006-08-30 16:58 -------- d-------- C:\Programme\Winamp
2006-08-30 16:58 -------- d-------- C:\Programme\Sony
2006-08-22 15:13 -------- d-------- C:\Programme\VisualPlan
2006-08-16 13:37 -------- d-------- C:\Programme\Lavasoft
2006-08-16 13:37 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\Lavasoft
2006-08-16 13:31 -------- d-------- C:\Dokumente und Einstellungen\Stefan Kessler.STEPAN\Anwendungsdaten\Help
2006-08-16 08:57 -------- d-------- C:\Programme\Internet Explorer
2006-07-27 15:25 679424 --a------ C:\WINDOWS\system32\inetcomm.dll
2006-07-21 10:29 72704 --a------ C:\WINDOWS\system32\hlink.dll
2006-07-04 14:26 704000 --a------ C:\WINDOWS\system32\DAAPI.dll
2006-07-04 14:25 245760 --a------ C:\WINDOWS\system32\VersitConverter.dll
2006-07-04 14:25 131072 --a------ C:\WINDOWS\system32\NclAPI.dll


(((((((((((((((((((((((((((((((((((((((((( Reg Loading Points ))))))))))))))))))))))))))))))))))))))))))))))))

*Note* empty entries are not shown

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"FinePrint Dispatcher v5"="\"C:\\WINDOWS\\System32\\spool\\DRIVERS\\W32X86\\3\\fpdisp5a.exe\" /source=HKCU"
"SpybotSD TeaTimer"="C:\\Programme\\Spybot - Search & Destroy\\TeaTimer.exe"
"PcSync"="C:\\Programme\\Nokia\\Nokia PC Suite 6\\PcSync2.exe /NoDialog"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"Apoint"="C:\\Programme\\Apoint\\Apoint.exe"
"NvCplDaemon"="RUNDLL32.EXE C:\\WINDOWS\\system32\\NvCpl.dll,NvStartup"
"SonyPowerCfg"="C:\\Programme\\Sony\\VAIO Power Management\\SPMgr.exe"
"ISBMgr.exe"="C:\\Programme\\Sony\\ISB Utility\\ISBMgr.exe"
"VAIO Update 2"="\"C:\\Programme\\Sony\\VAIO Update 2\\VAIOUpdt.exe\" /Stationary"
"HP Software Update"="\"C:\\Programme\\HP\\HP Software Update\\HPWuSchd2.exe\""
"vptray"="C:\\PROGRA~1\\SYMANT~1\\SYMANT~1\\vptray.exe"
"PrepareYourVAIO"="C:\\Programme\\Sony\\Prepare your VAIO\\PYVAlert.exe"
"WinampAgent"="C:\\Programme\\Winamp\\winampa.exe"
"SunJavaUpdateSched"="C:\\Programme\\Java\\jre1.5.0_06\\bin\\jusched.exe"
"PDFCreatorClient"="C:\\Programme\\JawsSystems\\Jaws PDF Creator\\PDFClient.exe"
"QuickTime Task"="\"C:\\Programme\\QuickTime\\qttask.exe\" -atboottime"
"iTunesHelper"="\"C:\\Programme\\iTunes\\iTunesHelper.exe\""
"Realtime Audio Engine"="mmrtkrnl.exe"
"SsAAD.exe"="C:\\PROGRA~1\\Sony\\SONICS~1\\SsAAD.exe"
"IntelZeroConfig"="\"C:\\Programme\\Intel\\Wireless\\bin\\ZCfgSvc.exe\""
"IntelWireless"="\"C:\\Programme\\Intel\\Wireless\\Bin\\ifrmewrk.exe\" /tf Intel PROSet/Wireless"
"PCSuiteTrayApplication"="C:\\PROGRA~1\\Nokia\\NOKIAP~1\\LAUNCH~1.EXE -startup"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\IMAIL]
"Installed"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MAPI]
"Installed"="1"
"NoChange"="1"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\OptionalComponents\MSFS]
"Installed"="1"

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components]
"DeskHtmlVersion"=dword:00000110
"DeskHtmlMinorVersion"=dword:00000005
"Settings"=dword:00000001
"GeneralFlags"=dword:00000000

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\0]
"Source"="file:///C:/DOKUME~1/STEFAN~1.STE/LOKALE~1/Temp/msohtml1/01/clip_image002.jpg"
"SubscribedURL"="file:///C:/DOKUME~1/STEFAN~1.STE/LOKALE~1/Temp/msohtml1/01/clip_image002.jpg"
"FriendlyName"=""
"Flags"=dword:00002001
"Position"=hex:2c,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,e8,\
03,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=dword:40000001
"OriginalStateInfo"=hex:18,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,00,\
00,00,01,00,00,00
"RestoredStateInfo"=hex:dc,ff,a0,02,a8,9a,83,7c,40,9a,80,7c,ff,ff,ff,ff,36,9a,\
80,7c,36,9a,80,7c

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Internet Explorer\Desktop\Components\1]
"Source"="About:Home"
"SubscribedURL"="About:Home"
"FriendlyName"="Die derzeitige Homepage"
"Flags"=dword:00000002
"Position"=hex:2c,00,00,00,00,01,00,00,00,00,00,00,00,04,00,00,e4,02,00,00,ea,\
03,00,00,01,00,00,00,01,00,00,00,01,00,00,00,00,00,00,00,00,00,00,00
"CurrentState"=dword:40000004
"OriginalStateInfo"=hex:18,00,00,00,ff,ff,00,00,ff,ff,00,00,ff,ff,ff,ff,ff,ff,\
ff,ff,04,00,00,00
"RestoredStateInfo"=hex:18,00,00,00,6a,02,00,00,23,00,00,00,a4,00,00,00,9a,00,\
00,00,01,00,00,00

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="C:\\WINDOWS\\system32\\CTFMON.EXE"

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\shellexecutehooks]
"{AEB6717E-7E19-11d0-97EE-00C04FD91972}"=""

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer\Run]

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\system]
"dontdisplaylastusername"=dword:00000000
"legalnoticecaption"=""
"legalnoticetext"=""
"shutdownwithoutlogon"=dword:00000001
"undockwithoutlogon"=dword:00000001

[HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\explorer]
"NoDriveTypeAutoRun"=dword:00000091

[HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad]
"PostBootReminder"="{7849596a-48ea-486e-8937-a2a3009f31a9}"
"CDBurn"="{fbeb8a05-beee-4442-804e-409d6c4515e9}"
"WebCheck"="{E6FB5E20-DE35-11CF-9C87-00AA005127ED}"
"SysTray"="{35CEC8A3-2BE6-11D2-8773-92E220524153}"

HKEY_LOCAL_MACHINE\software\microsoft\windows nt\currentversion\winlogon\notify\VESWinlogon

HKEY_LOCAL_MACHINE\system\currentcontrolset\control\securityproviders
securityproviders REG_SZ msapsspc.dll, schannel.dll, digest.dll, msnsspc.dll


Completion time: 13.09.2006 13:16:09.26
ComboFix.txt

===============================
SYS.TXT
===============================

Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: 54A5-8EF0

Verzeichnis von C:\

13.09.2006 13:17 0 sys.txt
13.09.2006 13:17 12.972 system.txt
13.09.2006 13:17 340 systemtemp.txt
13.09.2006 13:17 105.339 system32.txt
13.09.2006 13:16 8.077 ComboFix.txt
13.09.2006 12:43 275.806 combofix.exe
13.09.2006 08:38 805.306.368 pagefile.sys
28.01.2006 12:52 1.120 INSTALL.LOG
27.10.2005 12:21 25.059 _NavCClt.Log
27.10.2005 10:30 211 boot.ini
09.03.2005 16:50 0 MSDOS.SYS
09.03.2005 16:50 0 IO.SYS
09.03.2005 16:50 0 CONFIG.SYS
09.03.2005 16:50 0 AUTOEXEC.BAT
04.08.2004 14:00 4.952 bootfont.bin
04.08.2004 14:00 47.564 NTDETECT.COM
04.08.2004 14:00 251.184 ntldr
24.05.2001 13:59 162.304 UNWISE.EXE
18 Datei(en) 806.201.296 Bytes
0 Verzeichnis(se), 17.104.969.728 Bytes frei

=========================================
SYSTEM32.TXT
=========================================
Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: 54A5-8EF0

Verzeichnis von C:\WINDOWS\system32

13.09.2006 13:13 17.548 nvapps.xml
13.09.2006 13:12 1.158 wpa.dbl
31.08.2006 15:54 308 results.txt
30.08.2006 17:09 401.418 perfh009.dat
30.08.2006 17:09 417.710 perfh007.dat
30.08.2006 17:09 61.490 perfc009.dat
30.08.2006 17:09 75.134 perfc007.dat
30.08.2006 17:09 941.430 PerfStringBackup.INI
09.08.2006 21:03 8.325.544 MRT.exe
28.07.2006 13:28 3.075.072 mshtml.dll
27.07.2006 15:25 679.424 inetcomm.dll
25.07.2006 22:33 615.936 urlmon.dll
21.07.2006 10:29 72.704 hlink.dll
14.07.2006 17:38 332.288 netapi32.dll
14.07.2006 17:25 546.304 hhctrl.ocx
13.07.2006 15:34 8.494.592 shell32.dll
05.07.2006 12:55 1.057.792 kernel32.dll
04.07.2006 14:26 704.000 DAAPI.dll
04.07.2006 14:25 131.072 NclAPI.dll
04.07.2006 14:25 245.760 VersitConverter.dll
29.06.2006 19:27 2.732.032 Netw2r32.dll
29.06.2006 19:26 557.056 Netw2c32.dll
26.06.2006 19:40 8.192 rasadhlp.dll
26.06.2006 19:40 148.480 dnsapi.dll
23.06.2006 13:10 664.576 wininet.dll
23.06.2006 13:10 39.424 pngfilt.dll
23.06.2006 13:10 146.432 msrating.dll
23.06.2006 13:10 448.512 mshtmled.dll
23.06.2006 13:10 1.494.016 shdocvw.dll
23.06.2006 13:10 532.480 mstime.dll
23.06.2006 13:10 474.624 shlwapi.dll
23.06.2006 13:10 152.064 cdfview.dll
23.06.2006 13:10 16.384 jsproxy.dll
23.06.2006 13:10 55.808 extmgr.dll
23.06.2006 13:10 251.392 iepeers.dll
23.06.2006 13:10 357.888 dxtmsft.dll
23.06.2006 13:10 205.312 dxtrans.dll
23.06.2006 13:10 96.768 inseng.dll
23.06.2006 13:10 1.056.256 danim.dll
23.06.2006 13:10 1.022.976 browseui.dll
23.06.2006 10:53 27.136 xpsp3res.dll
22.06.2006 12:47 181.248 rasmans.dll
19.06.2006 16:20 702.768 WgaLogon.dll
19.06.2006 16:19 571.184 LegitCheckControl.dll
19.06.2006 16:19 304.944 WgaTray.exe
12.06.2006 13:55 61.440 NclTools.dll
05.06.2006 14:04 242.688 ConnAPI.dll
01.06.2006 20:47 163.840 jgdw400.dll
01.06.2006 20:47 27.648 jgpl400.dll
29.05.2006 08:26 30.720 nmwcdcocls.dll
29.05.2006 08:26 50.688 nmwcdcls.dll
29.05.2006 08:26 4.608 nmwcdlog.dll
19.05.2006 15:09 95.744 iphlpapi.dll
19.05.2006 15:09 112.128 dhcpcsvc.dll
18.05.2006 07:36 450.560 jscript.dll
29.04.2006 06:07 5.533.696 wmp.dll
17.03.2006 02:38 28.672 verclsid.exe
01.03.2006 21:43 426.496 msdtcprx.dll
01.03.2006 21:43 91.136 mtxoci.dll
01.03.2006 21:43 66.560 mtxclu.dll
01.03.2006 21:43 956.416 msdtctm.dll
01.03.2006 21:43 161.280 msdtcuiu.dll
01.03.2006 21:43 11.776 xolehlp.dll
13.02.2006 19:11 267.008 FNTCACHE.DAT
04.01.2006 05:35 68.096 webclnt.dll

===========================================
SYSTEM.TXT
===========================================

Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: 54A5-8EF0

Verzeichnis von C:\WINDOWS

13.09.2006 09:25 13.976 Fakt2000.ini
13.09.2006 08:47 1.538.837 WindowsUpdate.log
13.09.2006 08:39 0 0.log
13.09.2006 08:38 157 wiadebug.log
13.09.2006 08:38 50 wiaservc.log
13.09.2006 08:38 2.048 bootstat.dat
12.09.2006 19:37 32.622 SchedLgU.Txt
12.09.2006 19:37 552.211 iis6.log
12.09.2006 19:37 171.023 comsetup.log
12.09.2006 19:37 103.542 ntdtcsetup.log
12.09.2006 19:37 228.637 tsoc.log
12.09.2006 19:37 1.917 imsins.log
12.09.2006 19:37 24.881 tabletoc.log
12.09.2006 19:37 26.320 ocmsn.log
12.09.2006 19:37 236.292 ocgen.log
12.09.2006 19:37 33.667 MedCtrOC.log
12.09.2006 19:37 84.524 netfxocm.log
12.09.2006 19:37 24.216 msgsocm.log
12.09.2006 19:37 475.912 FaxSetup.log
12.09.2006 19:36 152.294 msmqinst.log
06.09.2006 16:09 747.934 setupapi.log
06.09.2006 13:26 10.708 DPINST.LOG
06.09.2006 12:13 665 win.ini
31.08.2006 15:53 167 SetupWLD.log
30.08.2006 17:21 2.910 COM+.log
30.08.2006 10:55 11.504 ModemLog_Nokia 9300 USB.txt
30.08.2006 10:53 34.384 ModemLog_HDAUDIO SoftV92 Data Fax Modem with SmartCP.txt
29.08.2006 17:34 11.586 ModemLog_Nokia 9300 USB #2.txt
16.08.2006 08:59 1.374 imsins.BAK
16.08.2006 08:59 17.959 KB920214.log
16.08.2006 08:59 28.419 updspapi.log
16.08.2006 08:59 17.430 KB922616.log
16.08.2006 08:59 17.060 KB921398.log
16.08.2006 08:58 20.146 KB918899.log
16.08.2006 08:57 11.908 KB920670.log
16.08.2006 08:57 12.071 KB917422.log
16.08.2006 08:56 12.346 KB920683.log
10.08.2006 08:10 11.136 KB921883.log
03.08.2006 10:09 49.091 wmsetup.log
31.07.2006 09:02 8.291 WgaNotify.log
16.07.2006 16:31 11.843 KB917159.log
16.07.2006 16:31 12.363 KB914388.log
16.07.2006 16:31 10.546 KB916595.log
03.07.2006 15:49 568 OTB.INI
03.07.2006 15:49 171 HEROLD.INI
03.07.2006 15:48 25 megasoft.ini
03.07.2006 15:48 803 REGISTR.INI
03.07.2006 15:47 2.249 FRAGEBUS.INI
29.06.2006 12:06 11.800 ModemLog_Nokia 9300 USB #3.txt
28.06.2006 23:44 11.098 KB911280.log
20.06.2006 08:33 2.736 spupdsvc.log
19.06.2006 16:12 11.355 KB917734.log
19.06.2006 16:11 13.633 KB918439.log
19.06.2006 16:10 13.991 KB917344.log
19.06.2006 16:10 13.768 KB917953.log
19.06.2006 16:10 17.577 KB916281.log
19.06.2006 16:09 11.556 KB914389.log
07.06.2006 11:07 17 Missing.ini
11.05.2006 08:33 224.123 setupact.log
10.05.2006 10:59 11.709 KB913580.log
09.05.2006 19:20 0 PROTOCOL.INI
27.04.2006 11:50 11.304 KB900485.log
18.04.2006 18:00 15.027 KB908531.log
18.04.2006 18:00 14.264 KB911562.log
18.04.2006 17:59 16.283 KB912812.log
18.04.2006 17:59 15.363 KB911565.log
18.04.2006 17:58 10.642 KB911567.log
30.03.2006 09:12 400 ODBC.INI
19.02.2006 20:53 10.665 KB911927.log
19.02.2006 20:53 7.601 KB911564.log
19.02.2006 20:52 6.636 KB913446.log
08.02.2006 11:14 121 GEARInstall.log
26.01.2006 11:44 352 Soft2000.ini

===========================================
SYSTEMTEMP.TXT
===========================================
Datentr„ger in Laufwerk C: ist VAIO
Volumeseriennummer: 54A5-8EF0

Verzeichnis von C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp

13.09.2006 13:13 16.384 ~DF540E.tmp
13.09.2006 13:12 53.063 hpodvd09.log
2 Datei(en) 69.447 Bytes
0 Verzeichnis(se), 17.104.990.208 Bytes frei

win32delfkil.exe:
http://users.telenet.be/marcvn/tools/win32delfkil.exe
Save it on your desktop.
Double click on win32delfkil.exe and install it. This creates a new folder on your desktop: win32delfkil Close all windows, open the win32delfkil folder and double click on fix.bat.

poste dann dir txt-Datei vom scan, die erstellt wird

************************
* WIN32DELFKIL LOGFILE *
************************

BEFORE RUNNING WIN32DELFKIL
***************************

---------------------------------------------------------

ich finde nichts von der dat-Datei, wenn sie wieder da sein sollte, melde dich, bevor du sie loeschst.

O4 - HKLM\..\Run: [Advanced Message Server] rundll32.exe usb496.dat,Execute

C:\WINDOWS\system32\usb496.dat
[FUND] Ist das Trojanische Pferd TR/Agent.JI

Complete scanning result of "usb496.dat", received in VirusTotal at 07.02.2006, 08:35:13 (CET).

Antivirus Version Update Result
AntiVir 6.35.0.19 07.01.2006 TR/Agent.JI
Authentium 4.93.8 06.30.2006 no virus found
Avast 4.7.844.0 06.29.2006 Win32:Trojano-1503
AVG 386 06.30.2006 no virus found
BitDefender 7.2 07.02.2006 no virus found
CAT-QuickHeal 8.00 07.01.2006 no virus found
ClamAV devel-20060426 07.01.2006 no virus found
DrWeb 4.33 07.01.2006 no virus found
eTrust-InoculateIT 23.72.55 07.01.2006 no virus found
eTrust-Vet 12.6.2283 06.30.2006 no virus found
Ewido 3.5 07.01.2006 no virus found
Fortinet 2.77.0.0 07.01.2006 suspicious
F-Prot 3.16f 06.30.2006 no virus found
Ikarus 0.2.65.0 06.30.2006 no virus found
Kaspersky 4.0.2.24 07.02.2006 no virus found
McAfee 4797 06.30.2006 no virus found
Microsoft 1.1481 07.01.2006 Trojan.Delf (threat-c)
NOD32v2 1.1636 07.01.2006 no virus found
Norman 5.90.21 06.30.2006 no virus found
Panda 9.0.0.4 07.01.2006 Trj/Agent.CDG
Sophos 4.07.0 07.02.2006 no virus found
Symantec 8.0 07.02.2006 Trojan Horse
TheHacker 5.9.8.167 06.30.2006 no virus found
UNA 1.83 06.30.2006 no virus found
VBA32 3.11.0 07.02.2006 no virus found
VirusBuster 4.3.7:9 07.01.2006 no virus found

----------------------------------------------------------------------

danke nochmals für deine hilfe.

also ich muss mal was zur bisherigen historie loswerden:
ich hatte als erstes noch bevor ich im forum war mich selbst auf die suche gemacht und mybar mittels systemsteuerung->software deinstalliert. war dann aber noch nicht herunten und ich hab mir einem tool dessen name ich nicht mehr weiß noch ein paar relikte gefunden und sie damit ebenfalls deinstalliert. diese meldung, dass jemand oder etwas versucht diese usb*.dat zu erstellen kam aber immer noch.

hier der gewünschte log (sieht aber sauber aus):

WIN32DELFKIL LOGFILE - by Marckie


version 3.03
18.09.2006 12:12:27,39
running from: "C:\Dokumente und Einstellungen\***\Desktop"


--- File(s) found in Windows directory ---

--- File(s) found in system32 folder ---

--- Export SharedTaskScheduler key ---
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]


--- Notify key ---


--- rebooting the computer ---


--- File(s) found in Windows directory ---

--- File(s) found in system32 folder ---

--- Export SharedTaskSchedulerkey ---
REGEDIT4

[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\SharedTaskScheduler]



--- Notify key ---

Finished!

was mich nur verwundert ist, dass eben immer noch ab und zu die meldung kommt, dass der virenscanner eben verhindert hat die besagte datei zu erstellen... imo müsste da noch irgend ein (infizierter?) prozess laufen, der das eben von zeit zu zeit versucht.

wahrscheinlich ueber den Loader in den Temporaeren Dateien.

wende cleanup an
http://virus-protect.org/cleanup.html

nun dieses cleanup hatte ich auch schon verwendet... danke für deine andauernde hilfe, ich bin mittlerweile echt am verzweifeln...

hier mal das aktuell log davon:

CleanUp! started on 09/20/06 15:08:08.
C:\Dokumente und Einstellungen\***.***\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat currently in use. Will be deleted when Windows is restarted.
C:\Dokumente und Einstellungen\***.***\Lokale Einstellungen\Verlauf\History.IE5\index.dat currently in use. Will be deleted when Windows is restarted.
'Typed URLs' (Internet Explorer) - removed from the registry.
C:\Dokumente und Einstellungen\***.***\Cookies\index.dat currently in use. Will be deleted when Windows is restarted.
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\DIO2F.tmp - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\hpodvd09.log - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\MAR2C.tmp - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\WCESCOMM.LOG - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\wcesmgr.log - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\WcesView.log - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\~DFC3B0.tmp - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\~DFFEFC.tmp currently in use. Will be deleted when Windows is restarted.
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\WCESCOMM.LOG - deleted
C:\DOKUME~1\STEFAN~1.STE\LOKALE~1\Temp\~DFFEFC.tmp currently in use. Will be deleted when Windows is restarted.
C:\WINDOWS\temp\TWAIN.LOG - deleted
C:\WINDOWS\temp\Twain001.Mtx - deleted
C:\WINDOWS\temp\Twunk001.MTX - deleted
C:\WINDOWS\temp\Twunk002.MTX - deleted
C:\WINDOWS\temp\WGAErrLog.txt - deleted
C:\WINDOWS\temp\WGANotify.settings - deleted
C:\Dokumente und Einstellungen\***.***\Cookies\index.dat currently in use. Will be deleted when Windows is restarted.
C:\Dokumente und Einstellungen\***.***\Cookies\index.dat currently in use. Will be deleted when Windows is restarted.
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat currently in use. Will be deleted when Windows is restarted.
C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat currently in use. Will be deleted when Windows is restarted.
C:\WINDOWS\Prefetch\APOINT.EXE-1ACC1F58.pf - deleted
C:\WINDOWS\Prefetch\CLEANUP.EXE-2D54794D.pf - deleted
C:\WINDOWS\Prefetch\DOT1XCFG.EXE-1D3BE19B.pf - deleted
C:\WINDOWS\Prefetch\EXPLORER.EXE-02121B1A.pf - deleted
C:\WINDOWS\Prefetch\HPQGALRY.EXE-07CDE355.pf - deleted
C:\WINDOWS\Prefetch\HPRBLOG.EXE-0DE4704D.pf - deleted
C:\WINDOWS\Prefetch\HPWUSCHD2.EXE-3B56DF94.pf - deleted
C:\WINDOWS\Prefetch\HPZINW12.EXE-38D0E9E1.pf - deleted
C:\WINDOWS\Prefetch\ISBMGR.EXE-237B28FB.pf - deleted
C:\WINDOWS\Prefetch\MPAPI3S.EXE-3ACE1ADD.pf - deleted
C:\WINDOWS\Prefetch\RUNDLL32.EXE-6ACD0C83.pf - deleted
C:\WINDOWS\Prefetch\SPMGR.EXE-2B4512C9.pf - deleted
C:\WINDOWS\Prefetch\USERINIT.EXE-0743FDA9.pf - deleted
C:\WINDOWS\Prefetch\VAIOUPDT.EXE-1808335A.pf - deleted
C:\WINDOWS\Prefetch\VERCLSID.EXE-28F52AD2.pf - deleted
C:\WINDOWS\Prefetch\WCESCOMM.EXE-1136DA72.pf - deleted
C:\WINDOWS\Prefetch\WCESMGR.EXE-02A417D3.pf - deleted
C:\WINDOWS\Prefetch\WGATRAY.EXE-350D4455.pf - deleted
C:\WINDOWS\Prefetch\WMIPRVSE.EXE-0D449B4F.pf - deleted
'Run MRU' list - removed from the registry.
Search Assistant MRU list - removed from the registry.
Explorer Open/Save MRU list - removed from the registry.
Explorer Last Visited MRU list - removed from the registry.
Paint Recent File List - removed from the registry.
Telnet's MRU list - removed from the registry.
CleanUp! 4.5.2 recovered 594.9 KB of disk space from 33 files.
CleanUp! finished on 09/20/06 15:08:08.

scanne mit diversen Onlinescannern und berichte, falls etwas gefunden wurde
http://virus-protect.org/onlinescan.html

gutgut, ich mache den scan gerade (kaspersky online)... hatte zwar schon mit installiertem symantec client gescannt und nie was gefunden, aber vielleicht bringt das ja was

ich habe nur noch eine andere frage (bevor ich das ergebnis vom scan poste): könnte es sein, dass ein anderer (infizierter) computer im netz versucht diese datei zu erstellen? also dass das problem gar nicht an diesem computer zu finden ist, sondern bei einem anderen?

bist du in einem netzwerk ?
dennoch...fast unwahrscheinlich, der Downloader ist auf deinem Rechner.