Virus auf Rechner, finde allerdings kein Infos

[wootz]

Ein wunderschönen Guten Morgen, Tag oder Abend

ich habe hier ein Problem mit dem Netbook (Win XP) meiner Freundin ...
Ich erhalte ständig mit oder ohne angeschlossenem Internet ein Fehlermeldung von Windows, in der steht:

646O42mq.exe hat ein Problem festgestellt und muss beendet werden (problembericht senden blablabla) ...

auch wenn Windows angibt die Datei sei beendet worden verfielfältigt sich die exe-datei unwahrscheinlich in der Prozessliste (ca 30 mal is die Datei geöffnet) ...
Rechner fängt dadurch an zu ruckeln...Beim Filmsehen minimiert sich der Vollbildmodus usw.

Ich nehme an das dies ein Trojaner ist.... Ich kümmer mich sonst auch um Viren auf dem Rechner...aber zu diesem finde ich nicht eine Info...

Ich hoffe das Ihr mir helfen könnt... Ich hab noch ein Hijack Scan dazu gepostet (siehe unten)...

Danke im Vorraus ...der Jan



Logfile of Trend Micro HijackThis v2.0.4
Scan saved at 20:09:14, on 30.08.2010
Platform: Windows XP SP3 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP3 (6.00.2900.5512)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\spoolsv.exe
C:\WINDOWS\Explorer.EXE
C:\Programme\Uniblue\RegistryBooster\rbmonitor.exe
C:\WINDOWS\system32\hkcmd.exe
C:\WINDOWS\system32\igfxpers.exe
C:\WINDOWS\system32\igfxsrvc.exe
C:\WINDOWS\RTHDCPL.EXE
C:\Programme\iTunes\iTunesHelper.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Java\jre6\bin\jqs.exe
C:\Programme\Messenger\msmsgs.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\XSManager\WTGService.exe
C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\iTunes\iTunesHelper .exe
C:\Programme\Synaptics\SynTP\SynTPEnh .exe
C:\PROGRA~1\WIDCOMM\BLUETO~1\BTSTAC~1.EXE
C:\WINDOWS\system32\wbem\wmiapsrv.exe
C:\Programme\iPod\bin\iPodService.exe
C:\Programme\Mozilla Firefox\firefox.exe
C:\Programme\Mozilla Firefox\plugin-container.exe
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\646O42mq.exe
C:\Dokumente und Einstellungen\Besitzer\Eigene Dateien\Downloads\HiJackThis204.exe

R1 - HKCU\Software\Microsoft\Internet Explorer\Main,Search Page = ${URL_SEARCHPAGE}
R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://search.conduit.com?SearchSour...ctid=CT2206084
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,CustomizeSearch = http://dnl.crawler.com/support/sa_cu...spx?TbId=60347
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = ${URL_SEARCHPAGE}
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = *.local
R3 - URLSearchHook: (no name) - - (no file)
O2 - BHO: AcroIEHelperStub - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - (no file)
O2 - BHO: Windows Live Anmelde-Hilfsprogramm - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Java(tm) Plug-In 2 SSV Helper - {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Programme\Java\jre6\bin\jp2ssv.dll
O2 - BHO: JQSIEStartDetectorImpl - {E7E6F031-17CE-4C07-BC86-EABFE594F69C} - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll
O3 - Toolbar: (no name) - {DFEFCDEE-CF1A-4FC8-88AD-48514E463B27} - (no file)
O4 - HKLM\..\Run: [EDS] C:\Programme\Samsung\Samsung EDS\EDSAgent.exe
O4 - HKLM\..\Run: [IgfxTray] C:\WINDOWS\system32\igfxtray.exe
O4 - HKLM\..\Run: [HotKeysCmds] C:\WINDOWS\system32\hkcmd.exe
O4 - HKLM\..\Run: [Persistence] C:\WINDOWS\system32\igfxpers.exe
O4 - HKLM\..\Run: [DMHotKey] C:\Programme\Samsung\Easy Display Manager\DMLoader.exe
O4 - HKLM\..\Run: [BatteryManager] C:\Programme\Samsung\Samsung Battery Manager\BatteryManager.exe
O4 - HKLM\..\Run: [MagicKeyboard] C:\Programme\SAMSUNG\MagicKBD\PreMKBD.exe
O4 - HKLM\..\Run: [starter4g] C:\WINDOWS\starter4g.exe
O4 - HKLM\..\Run: [iTunesHelper] "C:\Programme\iTunes\iTunesHelper.exe"
O4 - HKLM\..\Run: [Adobe Reader Speed Launcher] "C:\Programme\Adobe\Reader 9.0\Reader\Reader_sl.exe"
O4 - HKLM\..\Run: [Adobe ARM] "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
O4 - HKLM\..\Run: [DivXUpdate] "C:\Programme\DivX\DivX Update\DivXUpdate.exe" /CHECKNOW
O4 - HKLM\..\Run: [RTHDCPL] RTHDCPL.EXE
O4 - HKLM\..\Run: [Alcmtr] ALCMTR.EXE
O4 - HKLM\..\Run: [SynTPEnh] C:\Programme\Synaptics\SynTP\SynTPEnh.exe
O4 - HKLM\..\Run: [QuickTime Task] "C:\Programme\QuickTime\QTTask.exe" -atboottime
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O4 - HKCU\..\Run: [FilterHost] C:\Dokumente und Einstellungen\Besitzer\Anwendungsdaten\mmserver\FilterHost.e xe
O4 - HKCU\..\Run: [wbdil] C:\Dokumente und Einstellungen\Besitzer\wbdil.exe
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr .exe" /background
O4 - HKCU\..\Run: [MSMSGS] "C:\Programme\Messenger\msmsgs.exe" /background
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\S-1-5-18\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\system32\Macromed\Flash\FlashUtil9f.exe (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O4 - HKUS\.DEFAULT\..\RunOnce: [FlashPlayerUpdate] C:\WINDOWS\system32\Macromed\Flash\FlashUtil9f.exe (User 'Default user')
O4 - Startup: OpenOffice.org 3.2.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe
O4 - Global Startup: BTTray.lnk = ?
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Programme\ICQ7.0\ICQ.exe
O9 - Extra 'Tools' menuitem: ICQ7 - {88EB38EF-4D2C-436D-ABD3-56B232674062} - C:\Programme\ICQ7.0\ICQ.exe
O9 - Extra button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra 'Tools' menuitem: @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm
O9 - Extra button: (no name) - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra 'Tools' menuitem: @xpsp3res.dll,-20001 - {e2e2dd38-d088-4134-82b7-f2ba38496583} - C:\WINDOWS\Network Diagnostic\xpnetdiag.exe
O9 - Extra button: Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O9 - Extra 'Tools' menuitem: Windows Messenger - {FB5F1910-F110-11d2-BB9E-00C04F795683} - C:\Programme\Messenger\msmsgs.exe
O16 - DPF: {67DABFBF-D0AB-41FA-9C46-CC0F21721616} (DivXBrowserPlugin Object) - http://go.divx.com/plugin/DivXBrowserPlugin.cab
O17 - HKLM\System\CCS\Services\Tcpip\..\{2707E096-15C0-4D29-AF24-D25455A21785}: NameServer = 213.131.64.2,213.131.64.3
O17 - HKLM\System\CS1\Services\Tcpip\..\{2707E096-15C0-4D29-AF24-D25455A21785}: NameServer = 213.131.64.2,213.131.64.3
O17 - HKLM\System\CS2\Services\Tcpip\..\{2707E096-15C0-4D29-AF24-D25455A21785}: NameServer = 213.131.64.2,213.131.64.3
O22 - SharedTaskScheduler: Browseui preloader - {438755C2-A8BA-11D1-B96B-00A0C90312E1} - C:\WINDOWS\system32\browseui.dll
O22 - SharedTaskScheduler: Component Categories cache daemon - {8C7461EF-2B13-11d2-BE35-3078302C2030} - C:\WINDOWS\system32\browseui.dll
O23 - Service: iPod Service - Apple Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Java Quick Starter (JavaQuickStarterService) - Sun Microsystems, Inc. - C:\Programme\Java\jre6\bin\jqs.exe
O23 - Service: WTGService - Unknown owner - C:\Programme\XSManager\WTGService.exe
O23 - Service: Marvell Yukon Service (yksvc) - Unknown owner - RUNDLL32.EXE (file missing)

--
End of file - 7397 bytes

[Speedy]

hi,

zuerst solltest du die forenregeln lesen.
weitere infos: bitte jedes logfile separat im bb code [code] formatiert posten, das sieht vor dem speichern dann so aus

[CODE]
hier kommt dein logfile rein
[/CODE]

solltest du schon ein logfile ohne bb-code gepostet haben, diesen bitte nachträglich in deinem beitrag einfügen!
(warum: übersichtlichere beiträge, kein zeilenumbruch nach 40 zeichen usw. --> klick).
logfiles immer komplett posten, nichts weglassen, speziell bei logfile von onlinescannern, den nur so kann man erkennen, ob die richtiige datei überprüft wurde.

für die erste begutachtung würde ich gerne noch ein hjtscanlist (von mopao) -logfile, das du mit der 1 erstellen sollst (der bb code ist hier schon integriert!) sehen.
p.s. in diversen logfiles stehen persönliche daten wie C:\dokumente und einstellungen\huberbauer\...........
wenn du nicht möchtest, das dein name hier öffentlich einsehbar ist, musst du deine logfiles vor dem posten überprüfen und gegebenenfalls den namen mit **** unkenntlich machen.
achtung: muss ein löschscript erstellt werden, dann ist es deine aufgabe, das script dementsprechend wieder anzupassen, also **** durch huberbauer ersetzen

sorgfältig lesen!

ich kann versuchen, dein system von malware zu befreien, du musst dir aber im klaren sein, das wir es im schlimmsten fall mit einer schadsoftware zu tun haben, die hintertüren geöffnet hat. so kann es sein, das dein antivirenprogramm außer kraft gesetzt wurde, das jemand deine passworte geklaut hat "internetbanking", und im schlimmsten fall für die community, das dein system für ddos attacken, oder als server für verbotene bilddaten benutzt wird. bei einer backdoor-infection wird empfohlen, das system neu aufzusetzen (format:c), darüber gibt es im netz einige beiträge, hier von j.malte und eine empfehlung von microsoft. du solltest aber auch schleunigst deine zugangsdaten für internetbanking, paypal oder sonstigen pers. zugangsdaten über einen sauberen rechner ändern. diesem szenario gegenüber wird von microsoft ein removal tool angeboten, um malware sicher zu entfernen, hier sind auch schadprogramme mit backdoorfunktionalität dabei. ob man aber tatsächlich alle veränderten dateien bereinigen kann, ist oft mehr als fraglich.
die sicherste und schnellste lösung ist formatieren und neuinstallieren. man sollte sich aber vorher darüber gedanken machen, welche pers. daten man sichern will, denn nach format:c gibt es kein zurück.
will man allerdings sein gewohntes system weiterverwenden, so muss man etliches an zeit (im allgemeinen mehrere stunden) und downloadvolumen (von 1 mb bis in den 3 stelligen bereich) investieren. man bekommt das system allerdings nur dem "stand der technik" clean, ich persönlich würde damit kein internetbanking oder sonstige geldgeschäfte damit durchführen und das downloadvolumen immer im auge behalten. also entscheide dich. reinigung oder format:c
p.s. es kann auch sein, das durch die malware, oder auch bei der reinigung, windows dateien manipuliert oder verändert bzw. zerstört werden, sodass nach der bereinigung das system unter umständen nicht störungsfrei läuft.

[wootz]

hi,

zuerst solltest du die forenregeln lesen.
weitere infos: bitte jedes logfile separat im bb code [code] formatiert posten, das sieht vor dem speichern dann so aus

[CODE]
hier kommt dein logfile rein
[/CODE]

solltest du schon ein logfile ohne bb-code gepostet haben, diesen bitte nachträglich in deinem beitrag einfügen!
(warum: übersichtlichere beiträge, kein zeilenumbruch nach 40 zeichen usw. --> klick).
logfiles immer komplett posten, nichts weglassen, speziell bei logfile von onlinescannern, den nur so kann man erkennen, ob die richtiige datei überprüft wurde.

für die erste begutachtung würde ich gerne noch ein hjtscanlist (von mopao) -logfile, das du mit der 1 erstellen sollst (der bb code ist hier schon integriert!) sehen.
p.s. in diversen logfiles stehen persönliche daten wie C:\dokumente und einstellungen\huberbauer\...........
wenn du nicht möchtest, das dein name hier öffentlich einsehbar ist, musst du deine logfiles vor dem posten überprüfen und gegebenenfalls den namen mit **** unkenntlich machen.
achtung: muss ein löschscript erstellt werden, dann ist es deine aufgabe, das script dementsprechend wieder anzupassen, also **** durch huberbauer ersetzen

sorgfältig lesen!

....danke nochma für die antwort, aber hab das problem schon allein gelöst... hat nich ma 20 minuten gedauert....das mit den logfiles is mir schon klar... aber ich hab auch nich soviel zeit die ganze logfile noch durchzuchecken ... ob da nu steht ...c:dokumente\ichnackt.jpg...is doch latte ...sowas gibts hier aufm rechner nicht... naja trotzdes danke ...benutz sone hijackfiles sonst auch nicht... bin bis jetzt immer gut ohne klargekommen

[Speedy]

wozu dann die anfrage?