Automatisches Datei kopieren nach Download - Virus?

von **tmoser2** am 12.10.2007, 11:57

Hallo,

ich habe folgendes Problem:
Jedesmal, wenn ich eine Datei oder ein Programm aus dem Internet lade und dieses auf meinem Rechner abspeichere, kopiert das System eine Datei in den Ordner, wo die geladene Datei gespeichert wurde. :twisted:

Diese Datei (man kann das Kopierenfenster kurz sehen;leider nicht lange genug) besteht immer aus unterschiedlichen Buchstaben und Zahlen. Schaut man danach in den Ordner, so ist sie dort nicht ersichtlich, auch nicht, wenn man sich die versteckten Dateien anzeigen lässt. :?:

Ich befürchte nun, dass ich mir einen Virus oder ähnliches gefangen habe, da mein System auch extrem langsam geworden ist.

Mein Norton hat jedoch nichts gefunden.

Vielleicht kann einer von euch ja was an dem HJT-File erkennen und mir weiterhelfen.

Code: Alles auswählen: Logfile of Trend Micro HijackThis v2.0.0 (BETA) Scan saved at 11:42:36, on 12.10.2007 Platform: Windows XP SP2 (WinNT 5.01.2600) Boot mode: Normal Running processes: C:\WINDOWS\System32\smss.exe C:\WINDOWS\system32\winlogon.exe C:\WINDOWS\system32\services.exe C:\WINDOWS\system32\lsass.exe C:\WINDOWS\system32\svchost.exe C:\WINDOWS\System32\svchost.exe D:\Programme\Ahead\InCD\InCDsrv.exe C:\WINDOWS\system32\spoolsv.exe C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe D:\Programme\Adobe\Photoshop Elements 5.0\PhotoshopElementsFileAgent.exe C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe D:\Programme\Ashampoo Magical Defrag\bin\aDefragService.exe C:\WINDOWS\System32\Ati2evxx.exe C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe C:\WINDOWS\Explorer.EXE C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe C:\WINDOWS\System32\svchost.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe C:\Programme\Logitech\iTouch\iTouch.exe D:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe C:\WINDOWS\system32\ctfmon.exe D:\Programme\STAMPIT\Binary\Stray.exe D:\Programme\Microsoft ActiveSync\wcescomm.exe D:\PROGRA~1\MICROS~2\rapimgr.exe D:\Programme\Ashampoo Magical Defrag\bin\aDefragCtrl.exe F:\Programme\HiJackThis_v2.exe R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.moser-norderstedt.de/ R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896 R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896 R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157 R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Window Title = Marina, Joe-Anna & Thore O2 - BHO: Adobe PDF Reader - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll O2 - BHO: (no name) - {1114D5B8-88D9-4B27-91A8-577281B60996} - (no file) O2 - BHO: (no name) - {1E8A6170-7264-4D0F-BEAE-D42A53123C75} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.0\NppBho.dll O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll O3 - Toolbar: Norton-Symbolleiste anzeigen - {90222687-F593-4738-B738-FBEE9C7B26DF} - C:\Programme\Gemeinsame Dateien\Symantec Shared\coShared\Browser\1.0\UIBHO.dll O3 - Toolbar: Easy-WebPrint - {327C2873-E90D-4c37-AA9D-10AC9BABA46C} - D:\Programme\Canon\Easy-WebPrint\Toolband.dll O4 - HKLM\..\Run: [ccApp] "C:\Programme\Gemeinsame Dateien\Symantec Shared\ccApp.exe" O4 - HKLM\..\Run: [osCheck] "D:\Programme\Norton\osCheck.exe" O4 - HKLM\..\Run: [zBrowser Launcher] C:\Programme\Logitech\iTouch\iTouch.exe O4 - HKLM\..\Run: [NeroFilterCheck] C:\WINDOWS\system32\NeroCheck.exe O4 - HKLM\..\Run: [AcronisTimounterMonitor] D:\Programme\Acronis\TrueImageHome\TimounterMonitor.exe O4 - HKLM\..\Run: [Symantec PIF AlertEng] "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe" /a /m "C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\AlertEng.dll" O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "D:\Programme\Adobe\Reader 8.0\Reader\Reader_sl.exe" O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe O4 - HKCU\..\Run: [STAMPIT-Tray] D:\Programme\STAMPIT\Binary\Stray.exe O4 - HKCU\..\Run: [H/PC Connection Agent] "D:\Programme\Microsoft ActiveSync\wcescomm.exe" O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'LOKALER DIENST') O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'NETZWERKDIENST') O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'SYSTEM') O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\System32\CTFMON.EXE (User 'Default user') O4 - Startup: Wilhelm Tel.lnk = ? O4 - Global Startup: Ashampoo Magical Defrag.lnk = D:\Programme\Ashampoo Magical Defrag\bin\aDefragCtrl.exe O8 - Extra context menu item: Easy-WebPrint - Drucken - res://D:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Print.html O8 - Extra context menu item: Easy-WebPrint - Schnelldruck - res://D:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_HSPrint.html O8 - Extra context menu item: Easy-WebPrint - Vorschau - res://D:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_Preview.html O8 - Extra context menu item: Easy-WebPrint - Zu Druckliste hinzufügen - res://D:\Programme\Canon\Easy-WebPrint\Resource.dll/RC_AddToList.html O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://D:\PROGRA~1\MICROS~1\OFFICE11\EXCEL.EXE/3000 O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\WINDOWS\system32\msjava.dll O9 - Extra button: Create Mobile Favorite - {2EAF5BB1-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll O9 - Extra button: (no name) - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll O9 - Extra 'Tools' menuitem: Mobilen Favoriten erstellen... - {2EAF5BB2-070F-11D3-9307-00C04FAE2D4F} - D:\PROGRA~1\MICROS~2\INetRepl.dll O9 - Extra button: (no name) - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra 'Tools' menuitem: Uninstall BitDefender Online Scanner v8 - {85d1f590-48f4-11d9-9669-0800200c9a66} - %windir%\bdoscandel.exe (file missing) O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - D:\PROGRA~1\MICROS~1\OFFICE11\REFIEBAR.DLL O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe O9 - Extra button: Supreme Auction - {DFE4453A-65DF-47d5-BF37-3D0FD37FBDBB} - d:\Programme\Supreme Auction\SupremeAuction.exe (HKCU) O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204 O16 - DPF: {5D86DDB5-BDF9-441B-9E9E-D4730F4EE499} (BDSCANONLINE Control) - http://www.bitdefender.de/scan_de/scan8/oscan8.cab O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1180784810343 O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} (Java Runtime Environment 1.4.2) - http://javadl-esd.sun.com/update/1.4.2/jinstall-1_4-windows-i586.cab O17 - HKLM\System\CCS\Services\Tcpip\..\{B92B31DD-860F-4F2E-A752-76AA3333AFDA}: NameServer = 213.209.104.250 213.209.104.220 O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\System32\browseui.dll O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\System32\browseui.dll O23 - Service: Acronis Scheduler2 Service (AcrSch2Svc) - Acronis - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe O23 - Service: Adobe LM Service - Adobe Systems - C:\Programme\Gemeinsame Dateien\Adobe Systems Shared\Service\Adobelmsvc.exe O23 - Service: Adobe Active File Monitor V5 (AdobeActiveFileMonitor5.0) - Unknown owner - D:\Programme\Adobe\Photoshop Elements 5.0\PhotoshopElementsFileAgent.exe O23 - Service: Apple Mobile Device - Apple, Inc. - C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\bin\AppleMobileDeviceService.exe O23 - Service: Ashampoo Defrag Service (AshampooDefragService) - - D:\Programme\Ashampoo Magical Defrag\bin\aDefragService.exe O23 - Service: Ati HotKey Poller - Unknown owner - C:\WINDOWS\System32\Ati2evxx.exe O23 - Service: ATI Smart - Unknown owner - C:\WINDOWS\system32\ati2sgag.exe O23 - Service: Automatisches LiveUpdate - Scheduler - Symantec Corporation - C:\Programme\Symantec\LiveUpdate\ALUSchedulerSvc.exe O23 - Service: Symantec Event Manager (ccEvtMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: Symantec Settings Manager (ccSetMgr) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: Symantec Lic NetConnect service (CLTNetCnService) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: COM Host (comHost) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\VAScanner\comHost.exe O23 - Service: InCD Helper (InCDsrv) - Nero AG - D:\Programme\Ahead\InCD\InCDsrv.exe O23 - Service: iPod-Dienst (iPod Service) - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe O23 - Service: Symantec IS Kennwortprüfung (ISPwdSvc) - Symantec Corporation - D:\Programme\Norton\isPwdSvc.exe O23 - Service: LightScribeService Direct Disc Labeling Service (LightScribeService) - Hewlett-Packard Company - C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe O23 - Service: LiveUpdate - Symantec Corporation - C:\PROGRA~1\Symantec\LIVEUP~1\LUCOMS~1.EXE O23 - Service: LiveUpdate Notice Service Ex (LiveUpdate Notice Ex) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\ccSvcHst.exe O23 - Service: LiveUpdate Notice Service - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\PIF\{B8E1DD85-8582-4c61-B58F-2F227FCA9A08}\PIFSvc.exe O23 - Service: Symantec Core LC - Unknown owner - C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe O23 - Service: Symantec AppCore Service (SymAppCore) - Symantec Corporation - C:\Programme\Gemeinsame Dateien\Symantec Shared\AppCore\AppSvc32.exe -- End of file - 10128 bytes

Vielen Dank schon mal im Voraus

von **Humdinger** am 12.10.2007, 17:16

Hallo

Klingt ja nun nicht gerade nach einem Virus.

Schauen wir mal:

poste dieses log von Combofix
http://virus-protect.org/artikel/tools/combofix.html

Onlinescan vom gesamten System (wähle Arbeitsplatz):
Kaspersky Online Scanner
benötigt ActiveX --> IE ,
d.h. du mußt dafür Active X evtl. freigeben unter Interneteinstellungen.
Report vollständig posten.

von **tmoser2** am 12.10.2007, 21:24

Hier die beiden Protokolle:

Code: Alles auswählen: PROTOKOLL FÜR KASPERSKY ONLINE SCANNER Freitag, 12. Oktober 2007 21:20:35 Betriebssystem: Microsoft Windows XP Home Edition, Service Pack 2 (Build 2600) Version von Kaspersky Online Scanner: 5.0.84.1 Letztes Update der Antiviren-Datenbanken: 12/10/2007 Anzahl der Einträge in den Antiviren-Datenbanken: 408504 Scan-Einstellungen Folgende Antiviren-Datenbanken zur Untersuchung verwenden Standard Archive untersuchen ja Mail-Datenbanken untersuchen ja Untersuchungsobjekt Arbeitsplatz A:\ C:\ D:\ E:\ F:\ G:\ H:\ I:\ J:\ K:\ L:\ M:\ N:\ O:\ P:\ Untersuchungsergebnisse Untersuchte Objekte insgesamt 117938 Viren gefunden 1 Infizierte Objekte gefunden 2 / 0 Verdächtige Objekte gefunden 0 Untersuchungszeit 01:49:29 Name des infizierten Objekts Virusname Letzte Aktion C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr0.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Microsoft\Network\Downloader\qmgr1.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\Common Client\settings.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\LiveUpdate\2007-10-12_Log.ALUSchedulerSvc.LiveUpdate Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBConfig.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBDebug.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBDetect.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBNotify.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBRefr.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBSetCfg.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBSetCfg2.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBSetDev.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBSetLoc.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBSetUsr.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBStHash.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\BBValid.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\SPPolicy.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\SPStart.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SPBBC\SPStop.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtErEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtETmp\2F0065A7.TMP Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtETmp\D61F1E1C.TMP Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtMoEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtNvEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtScEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtTxFEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SRTSP\SrtViEvt.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\SubEng\submissions.idx Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\$_hpcst$.hpc Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Cookies\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temp\WCESLog.log Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Verlauf\History.IE5\MSHist012007101220071013\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\NTUSER.DAT Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\Besitzer\NTUSER.DAT.LOG Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\Cookies\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Temporary Internet Files\Content.IE5\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Verlauf\History.IE5\index.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT Das Objekt ist gesperrt übersprungen C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG Das Objekt ist gesperrt übersprungen C:\itouch_crash_info.txt Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcrst.dll Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\EENGINE\EPERSIST.DAT Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\NFWEVT.LOG Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDALRT.log Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDCON.log Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDDBG.log Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDFW.log Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDIDS.log Das Objekt ist gesperrt übersprungen C:\Programme\Gemeinsame Dateien\Symantec Shared\SNDSYS.log Das Objekt ist gesperrt übersprungen C:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen C:\WINDOWS\Debug\PASSWD.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\SchedLgU.Txt Das Objekt ist gesperrt übersprungen C:\WINDOWS\SoftwareDistribution\ReportingEvents.log Das Objekt ist gesperrt übersprungen C:\WINDOWS\Sti_Trace.log Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\CatRoot2\edb.log Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\CatRoot2\tmp.edb Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\AppEvent.Evt Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\default Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\default.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\Internet.evt Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SAM Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SAM.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SecEvent.Evt Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SECURITY Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SECURITY.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\software Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\software.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\SysEvent.Evt Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\system Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\config\system.LOG Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\h323log.txt Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\INDEX.BTR Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\INDEX.MAP Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\MAPPING.VER Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\MAPPING1.MAP Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\MAPPING2.MAP Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.DATA Das Objekt ist gesperrt übersprungen C:\WINDOWS\system32\wbem\Repository\FS\OBJECTS.MAP Das Objekt ist gesperrt übersprungen C:\WINDOWS\wiadebug.log Das Objekt ist gesperrt übersprungen C:\WINDOWS\wiaservc.log Das Objekt ist gesperrt übersprungen C:\WINDOWS\WindowsUpdate.log Das Objekt ist gesperrt übersprungen D:\Programme\Norton\Norton AntiVirus\AVApp.log Das Objekt ist gesperrt übersprungen D:\Programme\Norton\Norton AntiVirus\AVError.log Das Objekt ist gesperrt übersprungen D:\Programme\Norton\Norton AntiVirus\AVVirus.log Das Objekt ist gesperrt übersprungen D:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen E:\Outlook Daten\Outlook.pst/Original/Posteingang/Sonstige/20 Sep 2002 14:17 from Richard Rohr:Fwd: ein dolles Ding/Dolles Ding.exe Infizierte Objekte: not-virus:BadJoke.Win32.Badgame übersprungen E:\Outlook Daten\Outlook.pst Mail MS Mail: infiziert - 1 übersprungen E:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen F:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen G:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen I:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen J:\System Volume Information\MountPointManagerRemoteDatabase Das Objekt ist gesperrt übersprungen Die Untersuchung wurde abgeschlossen.

[code]ComboFix 07-10-12.4 - Besitzer 2007-10-12 19:11:53.1 - NTFSx86
Microsoft Windows XP Home Edition 5.1.2600.2.1252.1.1031.18.463 [GMT 2:00]
ausgeführt von:: C:\Dokumente und Einstellungen\Besitzer\Lokale Einstellungen\Temporary Internet Files\Content.IE5\G99I0T3T\ComboFix[1].exe
* Neuer Wiederherstellungspunkt wurde erstellt
.

((((((((((((((((((((((( Dateien erstellt von 2007-09-12 bis 2007-10-12 ))))))))))))))))))))))))))))))
.

2007-10-12 19:10 51,200 --a------ C:\WINDOWS\NirCmd.exe
2007-10-11 09:11 584,192 -----c--- C:\WINDOWS\system32\dllcache\rpcrt4.dll
2007-09-21 23:25 45,056 --a------ C:\WINDOWS\system32\UninstallBeetle.exe
2007-09-21 23:21 <DIR> d-------- C:\K„fer Total
2007-09-18 21:36 <DIR> d-------- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\STAMPIT
2007-09-18 21:20 <DIR> d-------- C:\Programme\Hewlett-Packard
2007-09-18 21:19 <DIR> d-------- C:\sj652
2007-09-18 14:43 317,616 --a------ C:\WINDOWS\system32\drivers\srtspl.sys
2007-09-18 14:43 278,576 --a------ C:\WINDOWS\system32\drivers\srtsp.sys
2007-09-18 14:43 43,696 --a------ C:\WINDOWS\system32\drivers\srtspx.sys
2007-09-12 20:18 <DIR> d--h----- C:\Dokumente und Einstellungen\Administrator\Vorlagen
2007-09-12 20:18 <DIR> dr------- C:\Dokumente und Einstellungen\Administrator\Startmen

von **Humdinger** am 13.10.2007, 12:00

Ist ja nicht viel bei raus gekommen.

Alle Dateien anzeigen
Arbeitsplatz -> rechter Mausklick -->Windows Explorer -> "Extras/Ordneroptionen" ->
"Ansicht" -> Haken entfernen bei "Geschützte Systemdateien
ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen"
aktivieren -> "OK"

Solltest du löschen:

E:\Outlook Daten\Outlook.pst/Original/Posteingang/Sonstige/20 Sep 2002 14:17 from Richard Rohr:Fwd: ein dolles Ding/Dolles Ding.exe

Dieses mal bei Virustotal
http://www.virustotal.com/de/
scannen lassen:

C:\WINDOWS\system32\UninstallBeetle.exe

Report vollständig posten

*Lade dir F-Secure BlackLight, (die Download Blacklight Beta graphical user interface version) auf dem Desktop speichern & Doppel klick auf (BlackLight) blbeta.exe, I accept the agreement markieren dann klicke auf Next,dann die erstellte Datei auf dem Desktop z.B (fsbl-20070310165938.log) den Inhalt hier posten.

Das bisherige Ergebnis mit einem weiterem Scan absichern:

TOTALSCAN
ausführen mit dem IE.
(Evtl. geben Antivirenprogramme eine Warnmeldung – diese übergehen/ignorieren, Scan zulassen)

wähle: Kompletter Scan

Bericht speichern und posten

von **tmoser2** am 15.10.2007, 21:58

Hallo Humdinger,

Alle Dateien anzeigen
Arbeitsplatz -> rechter Mausklick -->Windows Explorer -> "Extras/Ordneroptionen" ->
"Ansicht" -> Haken entfernen bei "Geschützte Systemdateien
ausblenden (empfohlen)" und "Alle Dateien und Ordner anzeigen"
aktivieren -> "OK"

Dies ist bei mir schon Standardeinstellung. Auch hier ist die Datei nicht sichtbar.

*Lade dir F-Secure BlackLight, (die Download Blacklight Beta graphical user interface version) auf dem Desktop speichern & Doppel klick auf (BlackLight) blbeta.exe, I accept the agreement markieren dann klicke auf Next,dann die erstellte Datei auf dem Desktop z.B (fsbl-20070310165938.log) den Inhalt hier posten.

Dies ist leider nicht möglich. Bekomme folgende Meldung:

"The evaluation period for this version of F-Secure Backlight has expired"

Eine andere Version stand leider nicht bereit.

Hier nun die anderen gewünschten Logs:

VirusTotal

Code: Alles auswählen: Antivirus Version letzte aktualisierung Ergebnis AhnLab-V3 2007.10.16.0 2007.10.15 - AntiVir 7.6.0.23 2007.10.15 - Authentium 4.93.8 2007.10.14 - Avast 4.7.1051.0 2007.10.14 - AVG 7.5.0.488 2007.10.15 - BitDefender 7.2 2007.10.15 - CAT-QuickHeal 9.00 2007.10.15 - ClamAV 0.91.2 2007.10.14 - DrWeb 4.44.0.09170 2007.10.15 - eSafe 7.0.15.0 2007.10.15 - eTrust-Vet 31.2.5213 2007.10.15 - Ewido 4.0 2007.10.15 - FileAdvisor 1 2007.10.15 - Fortinet 3.11.0.0 2007.10.15 - F-Prot 4.3.2.48 2007.10.15 - F-Secure 6.70.13030.0 2007.10.15 - Ikarus T3.1.1.12 2007.10.15 - Kaspersky 7.0.0.125 2007.10.15 - McAfee 5141 2007.10.15 - Microsoft 1.2908 2007.10.15 - NOD32v2 2591 2007.10.14 - Norman 5.80.02 2007.10.15 - Panda 9.0.0.4 2007.10.15 - Filter VirusTotal - Kostenloser online Viren- und Malwarescanner - Ergebnis Seite 1 von 2 http://www.virustotal.com/de/resultado.html?d11671724304cdcf4161b8ae4b0148de 15.10.2007 ACHTUNG: VirusTotal ist ein kostenloser Dienst bereitgestellt von Hispasec Sistemas. Es gibt keine Garantie zur Verfügbarkeit sowie Fortbestehen der Dienstleistung. Obwohl die Erkennungsrate meherer Antivirus-Engines besser ist als nur durch ein Produkt, garantieren die Ergebnisse des Scans nicht die Harmlosigkeit einer Datei. Gegenwärtig gibt es keine Lösung, welche eine Erkennungsrate aller Viren und Malware zu 100% bietet. Prevx1 V2 2007.10.15 - Rising 19.45.02.00 2007.10.15 - Sophos 4.22.0 2007.10.15 - Sunbelt 2.2.907.0 2007.10.13 - Symantec 10 2007.10.15 - TheHacker 6.2.8.091 2007.10.15 - VBA32 3.12.2.4 2007.10.15 - VirusBuster 4.3.26:9 2007.10.15 - Webwasher-Gateway 6.6.1 2007.10.15 - weitere Informationen File size: 45056 bytes MD5: 137b197e601709d3916901b94c1ffcd7 SHA1: 80ce9078eb370580440a9432edf0988621cc34fb

TotalScan

Code: Alles auswählen: ;*********************************************************************************************************************************************************************************** ANALYSIS: 2007-10-15 21:40:35 PROTECTIONS: 1 MALWARE: 15 SUSPECTS: 0 ;*********************************************************************************************************************************************************************************** PROTECTIONS Description Version Active Updated ;=================================================================================================================================================================================== Norton Internet Security 2007 Yes Yes ;=================================================================================================================================================================================== MALWARE Id Description Type Active Severity Disinfectable Disinfected Location ;=================================================================================================================================================================================== 00139060 Cookie/Casalemedia TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@casalemedia[2].txt 00139061 Cookie/Doubleclick TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@doubleclick[1].txt 00139064 Cookie/Atlas DMT TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@atdmt[2].txt 00145393 Cookie/Tradedoubler TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@tradedoubler[1].txt 00145460 Cookie/2o7 TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@2o7[1].txt 00145732 Cookie/Falkag TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@as-eu.falkag[2].txt 00145738 Cookie/Mediaplex TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@mediaplex[1].txt 00168102 Cookie/Falkag TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@as1.falkag[1].txt 00168106 Cookie/Weborama TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@weborama[1].txt 00168109 Cookie/Adtech TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@adtech[2].txt 00169190 Cookie/Advertising TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@advertising[2].txt 00170304 Cookie/WebtrendsLive TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@statse.webtrendslive[2].txt 00170554 Cookie/Overture TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@overture[2].txt 01262593 Application/NirCmd.A HackTools No 0 Yes No C:\WINDOWS\NirCmd.exe 01606636 Cookie/Adserver TrackingCookie No 0 Yes No C:\Dokumente und Einstellungen\Besitzer\Cookies\besitzer@adserver.easyad[1].txt ;=================================================================================================================================================================================== SUSPECTS Location ;=================================================================================================================================================================================== ;===================================================================================================================================================================================

Bringt uns das wesentlich weiter?

Ich hoffe sehr.

Danke für deine Mühe.

von **Humdinger** am 17.10.2007, 17:40

Nun ja, jedenfalls kannst du nun davon ausgehen, dein Problem wird nicht durch Malware verursacht.

Doch was die Ursache ist, ist mir auch ein Rätsel.

von **tmoser2** am 17.10.2007, 20:51

Zumindest kann ich beruhigt sein, dass nichts wirklich schlimmes ist. :roll:

Kannst du mir evtl. noch sagen, was es mit dem Programm

01262593 Application/NirCmd.A HackTools No 0 Yes No C:\WINDOWS\NirCmd.exe

auf sich hat?

Habe die Datei noch einmal bei VirusTotal checken lassen und sie wurde ausser bei Panda nur noch von 2 anderen als verseucht erkannt.

Habe sie noch nicht gelöscht, da ich nicht sicher war, ob sie evtl. für ein Programm von bedeutung ist. Sie scheint ja zumindest keine wirkliche Gefahr zu sein.

Ansonsten ist mir gerade aufgefallen

Langsam glaube ich, mein PC fürt ein eigenleben.

Werde jetzt erstmal ein Komplettbackup machen und mir dann überlegen, ob ich die Kiste mal neu aufsetzte.

Vielen Dank für deine Mühe.

von **Humdinger** am 17.10.2007, 22:24

Grün? Na das wird ja immer merkwürdiger.

NirCmd.exe
ist ein Risktool, wenn es dich beruhigt dann lösche es im abgesicherten Modus. http://www.nirsoft.net/utils/nircmd.html

Überprüfe mal dein System mit AVG_AntiRootkit, vor dem Scan unbedingt ein Update durchführen. http://beta.grisoft.cz/beta/betarep.fil ... 0.0.13.exe

Norton ist allgemein als Fehlerquelle für viele Probleme bekannt. Vielleicht hilft es dieses mal zu deinstallieren ???

Du kannst ja mal test weise Kaspersky probieren, ob das Problem dann auch auftritt?

Herunterladen Testversion Kaspersky 7
http://www.kaspersky.com/de/downloads?chapter=186504317

(Nun zuerst das derzeitige Antivirenprogramm deinstallieren, PC Neustart)
symantec norton entfernungstool- klick mich

XP Firewall aktivieren und Systemsteuerung

Kaspersky 7 nun
Installieren-->> Schnellinstallation -->> Testversion aktivieren, PC Neustart, update, gehe unten auf Einstellungen --> bei:
- Bedrohungen und Ausnahmen – sollen alle drei Häkchen gesetzt werden
- Datei Antivirus – aktiviere: Zugriff verweigern ( Häkchen setzen bei Desinfizieren und bei Löschen wenn Desinfektion nicht möglich

Übernehmen und OK
Gehe auf das rote V unten rechts am Bildschirm, rechte Maustaste, wähle
Arbeitsplatz untersuchen. Alle Funde löschen.

Neustart F8 drücken, abgesicherter Modus starten
http://www2.tu-berlin.de/www/software/v ... mode.shtml
Gehe auf Programme Kaspersky, starte Kaspersky, Warnmeldung kommt ignorieren, dann
unten rechts auf das nun graue V mit rechter Maustaste klicken, wähle Arbeitsplatz untersuchen, alle Funde löschen.

von **tmoser2** am 23.10.2007, 11:33

Hallo Humdinger,

vielen Dank für deine Hilfe.

Das mit Norton werde ich mir noch einmal überlegen, da ich es schon für 24 Monate bezahlt habe. Möchte das Geld nicht zum Fenster raus werfen.

Das mit dem Dateikopieren ist jetzt nach wiederholten Scans mit Panda, Norton, Kaspersky etc. nicht mehr aufgetreten.

Das Grüne Symbol für den IE erklärt sich mitlerweile auch.
Ich habe über Tuneup mal ein Symbolpaket installiert, in welchem dies enthalten ist. Ich hatte nur am selben Tag auch den neuen IE7 installiert und vorher aber noch keinen Blick auf den Desktop geworfen. Bei dieser Installation wurde das grüne Symbol wohl durch das Original überschrieben. Beim Scan mit Combofix wurden einige Einstellungen im IE überschrieben bzw. wieder zurückgesetzt unter anderem scheinbar auch das Symbol.

Ich vermute, dass der Kopiervorgang auch irgendwie mit den Einstellungen im IE zusammenhängt. Im nachhinein muss ich sagen, dass dies wahrscheinlich das erste Mal unmittelbar nach einem Update von Microsoft aufgetreten ist. Genau kann ich das aber leider nicht mehr sagen.

Vielen Dank nochmal für deine Mühe und Hilfe.

-closed-

von **BlueScreen-Bertrand** am 23.10.2007, 21:47

Hallo,

hier ist wohl einiges untergegangen.
Es lag nämlich kein Problem vor. Dass nach dem Herunterlaen plötzlich Dateien kopiert werden, ist ein völlig normaler Vorgang, wenn du Dateien mit dem Internet Explorer herunterlädst.
Dateien werden im Verzeichnis "Temporary Internet Files" zwischengespeichert. Erst wenn sie vollständig sind, werden sie ins Zielverzeichnis verschoben, in diesem Moment erscheint auch ein Kopierfenster des Windows Explorers.

Dieses Fenster wird nur nach dem herunterladen großer Datenmengen angezeigt oder wenn das System langsam arbeitet; das hat einfach nur mit der Arbeitsgeschwindigkeit zu tun, die bei großen Dateien natürlich geringern ist.

von **tmoser2** am 24.10.2007, 07:56

Dateien werden im Verzeichnis "Temporary Internet Files" zwischengespeichert. Erst wenn sie vollständig sind, werden sie ins Zielverzeichnis verschoben, in diesem Moment erscheint auch ein Kopierfenster des Windows Explorers.

Dieses Fenster wird nur nach dem herunterladen großer Datenmengen angezeigt oder wenn das System langsam arbeitet; das hat einfach nur mit der Arbeitsgeschwindigkeit zu tun, die bei großen Dateien natürlich geringern ist.

Dies war mir bisher nicht bekannt und ist auch bis jetzt noch nie bei mir aufgetreten. Es tritt auch seit einigen Tagen nicht mehr auf, obwohl sich die Geschwindigkeit des Systems eher verlangsamt hat. Ausserdem ist es auch bei Datenmengen im kleinen kb-Bereich aufgetreten.

Werde aber in den nächsten Tagen mal probieren, ob ich das durch erhöhte Auslastung nochmals erzwingen kann.

Auf jedenfall Danke für eure Mühe

Automatisches Datei kopieren nach Download - Virus?

Automatisches Datei kopieren nach Download - Virus?

Ähnliche Themen

Wer ist online?