Virus ?!? Frisst meinen gesammten speicher!, HILFE !

Hallo erstmals,

möchte euch mal alle herzlichst begrüsen, ich bin neu hier.

Also ich habe folgendes Problem:

Gestern abend hatte ich auf meiner Festplatten Partition C noch ungefähr 30 GB frei, heute komme ich von der arbeit nach hause und der freie speicher ist auf 0 Byte gefallen !

Das Betrifft jedoch nur Die Systhempartition C, Partition D blieb bisher verschont.

Wenn ich auf C Dateien Lösche, so wird auf der Festplatte speicher freigegeben.

Dieser Verschwindet nach einigen minuten jedoch wieder und der freie speicher beträgt wieder 0Byte !

Ich habe bereits eine Virenprüfung mit AntiVir gemacht, und da wurde nichts auffälliges gefunden.

So nun bitte ich euch um Hilfe, Vorab schon mal Danke !

Logfile of Trend Micro HijackThis v2.0.2
Scan saved at 19:39:11, on 23.09.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v7.00 (7.00.5730.0011)
Boot mode: Normal

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
C:\Programme\AntiVir PersonalEdition Classic\sched.exe
C:\WINDOWS\system32\nvsvc32.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\IC\Card Reader Driver v1.9e2\Disk_Monitor.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\Lavasoft\Ad-Aware 2007\AAWTray.exe
C:\WINDOWS\SOUNDMAN.EXE
C:\WINDOWS\system32\rundll32.exe
C:\Programme\MSN Messenger\msnmsgr.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\MSN Messenger\usnsvc.exe
C:\Programme\Windows Media Player\wmplayer.exe
C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe
C:\PROGRA~1\Pinnacle\SHARED~1\Filter\server.exe
C:\Programme\PC Connectivity Solution\ServiceLayer.exe
C:\WINDOWS\explorer.exe
C:\Programme\Pinnacle\Shared Files\Programs\Scheduler\PCLEScheduler.exe
F:\start.exe
C:\Programme\Internet Explorer\IEXPLORE.EXE
C:\Programme\AntiVir PersonalEdition Classic\avscan.exe
C:\PROGRA~1\INCRED~1\bin\ImApp.exe
C:\Programme\WinRAR\WinRAR.exe
C:\Programme\Trend Micro\HijackThis\HijackThis.exe

R0 - HKCU\Software\Microsoft\Internet Explorer\Main,Start Page = http://www.google.at/
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Page_URL = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Default_Search_URL = http://go.microsoft.com/fwlink/?LinkId=54896
R1 - HKLM\Software\Microsoft\Internet Explorer\Main,Search Page = http://go.microsoft.com/fwlink/?LinkId=54896
R0 - HKLM\Software\Microsoft\Internet Explorer\Main,Start Page = http://go.microsoft.com/fwlink/?LinkId=69157
R1 - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings,ProxyOverride = localhost;*.local
O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll
O2 - BHO: ContributeBHO Class - {074C1DC5-9320-4A9A-947D-C042949C6216} - C:\Programme\Adobe\/Adobe Contribute CS3/contributeieplugin.dll
O2 - BHO: Groove GFS Browser Helper - {72853161-30C5-4D22-B7F9-0BBC1D38A37E} - C:\PROGRA~1\MICROS~2\Office12\GRA8E1~1.DLL
O2 - BHO: SSVHelper Class - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O2 - BHO: (no name) - {7E853D72-626A-48EC-A868-BA8D5E23E045} - (no file)
O2 - BHO: Windows Live Sign-in Helper - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
O2 - BHO: Adobe PDF Conversion Toolbar Helper - {AE7CD045-E861-484f-8273-0445EE161910} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Adobe PDF - {47833539-D0C5-4125-9FA8-0819E2EAAC93} - C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll
O3 - Toolbar: Contribute Toolbar - {517BDDE4-E3A7-4570-B21E-2B52B6139FC7} - C:\Programme\Adobe\/Adobe Contribute CS3/contributeieplugin.dll
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [avgnt] "C:\Programme\AntiVir PersonalEdition Classic\avgnt.exe" /min
O4 - HKLM\..\Run: [SoundMan] SOUNDMAN.EXE
O4 - HKLM\..\Run: [SunJavaUpdateSched] "C:\Programme\Java\jre1.6.0_02\bin\jusched.exe"
O4 - HKLM\..\Run: [BluetoothAuthenticationAgent] rundll32.exe bthprops.cpl,,BluetoothAuthenticationAgent
O4 - HKLM\..\Run: [LVCOMSX] C:\WINDOWS\system32\LVCOMSX.EXE
O4 - HKLM\..\Run: [iKeyWorks] C:\PROGRA~1\A4Tech\Keyboard\Ikeymain.exe
O4 - HKLM\..\Run: [WheelMouse] C:\PROGRA~1\A4Tech\Mouse\Amoumain.exe
O4 - HKLM\..\Run: [MSConfig] C:\WINDOWS\PCHealth\HelpCtr\Binaries\MSConfig.exe /auto
O4 - HKCU\..\Run: [msnmsgr] "C:\Programme\MSN Messenger\msnmsgr.exe" /background
O4 - HKCU\..\Run: [ctfmon.exe] C:\WINDOWS\system32\ctfmon.exe
O4 - HKUS\S-1-5-19\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'LOKALER DIENST')
O4 - HKUS\S-1-5-20\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'NETZWERKDIENST')
O4 - HKUS\S-1-5-18\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'SYSTEM')
O4 - HKUS\.DEFAULT\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\CTFMON.EXE (User 'Default user')
O8 - Extra context menu item: Append to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert link target to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert link target to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert selected links to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECaptureSelLinks.html
O8 - Extra context menu item: Convert selected links to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppendSelLinks.html
O8 - Extra context menu item: Convert selection to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Convert selection to existing PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIEAppend.html
O8 - Extra context menu item: Convert to Adobe PDF - res://C:\Programme\Adobe\Acrobat 8.0\Acrobat\AcroIEFavClient.dll/AcroIECapture.html
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - res://C:\PROGRA~1\MICROS~2\Office12\EXCEL.EXE/3000
O9 - Extra button: (no name) - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra 'Tools' menuitem: Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.6.0_02\bin\ssv.dll
O9 - Extra button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra 'Tools' menuitem: An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\PROGRA~1\MICROS~2\Office12\ONBttnIE.dll
O9 - Extra button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\Office12\REFIEBAR.DLL
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} (Windows Genuine Advantage Validation Tool) - http://go.microsoft.com/fwlink/?linkid=39204
O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} (WUWebControl Class) - http://www.update.microsoft.com/microsof...b?1188748017531
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} (MUWebControl Class) - http://www.update.microsoft.com/microsof...b?1188748004234
O16 - DPF: {BB21F850-63F4-4EC9-BF9D-565BD30C9AE9} (a-squared Scanner) - http://ax.emsisoft.com/asquared.cab
O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} (Shockwave Flash Object) - http://fpdownload2.macromedia.com/get/sh...ash/swflash.cab
O16 - DPF: {D2982A7F-489A-47F5-A319-FC1F14EBC245} (Navigator Class) - http://www.nutzwerk.de/control/NutzNavi.cab
O18 - Protocol: grooveLocalGWS - {88FED34C-F0CA-4636-A375-3CB6248B04CD} - C:\PROGRA~1\MICROS~2\Office12\GR99D3~1.DLL
O23 - Service: Ad-Aware 2007 Service (aawservice) - Lavasoft AB - C:\Programme\Lavasoft\Ad-Aware 2007\aawservice.exe
O23 - Service: Adobe Version Cue CS3 - Adobe Systems Incorporated - C:\Programme\Gemeinsame Dateien\Adobe\Adobe Version Cue CS3\Server\bin\VersionCueCS3.exe
O23 - Service: AntiVir PersonalEdition Classic Planer (AntiVirScheduler) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\sched.exe
O23 - Service: AntiVir PersonalEdition Classic Guard (AntiVirService) - Avira GmbH - C:\Programme\AntiVir PersonalEdition Classic\avguard.exe
O23 - Service: ##Id_String1.6844F930_1628_4223_B5CC_5BB94B879762## (Bonjour Service) - Apple Computer, Inc. - C:\Programme\Bonjour\mDNSResponder.exe
O23 - Service: FLEXnet Licensing Service - Macrovision Europe Ltd. - C:\Programme\Gemeinsame Dateien\Macrovision Shared\FLEXnet Publisher\FNPLicensingService.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: O&O Defrag - O&O Software GmbH - C:\WINDOWS\system32\oodag.exe
O23 - Service: O&O CleverCache Agent (OOCleverCacheAgent) - O&O Software GmbH - C:\Programme\OO Software\CleverCache\ooccag.exe
O23 - Service: ServiceLayer - Nokia. - C:\Programme\PC Connectivity Solution\ServiceLayer.exe

--
End of file - 9008 bytes


Die 30 neuesten Dateien im Ordner Windows:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS *****
***** ***** ***** ***** *****

23.09.2007 WindowsUpdate.log 19 37:174.053
23.09.2007 setupapi.log 19 12:713.644
23.09.2007 system.ini 17 25:227
23.09.2007 win.ini 17 25:633
23.09.2007 setupact.log 01 56:92.720.432
23.09.2007 setupapi.log.68.old 01 27:1.024.027
23.09.2007 setupapi.log.67.old 00 46:1.024.175
23.09.2007 setupapi.log.66.old 00 05:1.024.535
22.09.2007 setupapi.log.65.old 23 20:1.024.985
22.09.2007 setupapi.log.64.old 22 35:1.024.323
22.09.2007 setupapi.log.63.old 21 50:1.024.738
22.09.2007 setupapi.log.62.old 21 06:1.024.738
22.09.2007 setupapi.log.61.old 20 23:1.024.738
22.09.2007 wiadebug.log 20 04:444
22.09.2007 setupapi.log.60.old 19 39:1.024.738
22.09.2007 setupapi.log.59.old 18 55:1.024.738
22.09.2007 setupapi.log.58.old 18 10:1.024.738
22.09.2007 setupapi.log.57.old 17 28:1.024.738
22.09.2007 setupapi.log.56.old 16 46:1.024.738
22.09.2007 setupapi.log.55.old 16 03:1.024.738
22.09.2007 setupapi.log.54.old 15 21:1.024.738
22.09.2007 setupapi.log.53.old 14 39:1.024.738
22.09.2007 setupapi.log.52.old 13 57:1.024.738
22.09.2007 setupapi.log.51.old 13 15:1.024.738
22.09.2007 setupapi.log.50.old 12 34:1.024.738
22.09.2007 setupapi.log.49.old 11 51:1.024.423
22.09.2007 setupapi.log.48.old 11 09:1.024.027


Die 50 neuesten Dateien im Ordner Windows\system32:

***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32 *****
***** ***** ***** ***** *****

21.09.2007 nvapps.xml 16 14:39.291
21.09.2007 FNTCACHE.DAT 16 14:1.566.096
19.09.2007 sitesecuredll.inf 23 25:6
19.09.2007 securedll.inf 22 54:6
19.09.2007 SpoonUninstall.exe 22 04:131.584
19.09.2007 swfgen.dll 22 04:749.568
17.09.2007 wpa.dbl 20 07:13.646
11.09.2007 goc.log 18 04:704
10.09.2007 lvcoinst.log 19 44:1.646
06.09.2007 perfh007.dat 20 33:320.104
06.09.2007 perfc007.dat 20 33:49.166
06.09.2007 perfc009.dat 20 33:40.836
06.09.2007 perfh009.dat 20 33:314.508
06.09.2007 PerfStringBackup.INI 20 33:732.344
02.09.2007 Thumbs.db 23 17:7.680
02.09.2007 jupdate-1.6.0_02-b06.log 21 33:5.214
02.09.2007 sporder.dll 21 12:8.464
02.09.2007 BSETUP.TMP 20 45:7
02.09.2007 settings.aaw 19 00:2.560
02.09.2007 history.aaw 19 00:992
02.09.2007 amcompat.tlb 17 44:16.832
02.09.2007 nscompat.tlb 17 44:23.392
02.09.2007 wpa.bak 17 25:13.646
02.09.2007 h323log.txt 16 31:0
02.09.2007 $winnt$.inf 15 38:261
02.09.2007 CONFIG.NT 15 36:2.951
02.09.2007 WindowsLogon.manifest 15 35:488
02.09.2007 logonui.exe.manifest 15 35:488
02.09.2007 wuaucpl.cpl.manifest 15 35:749
02.09.2007 sapi.cpl.manifest 15 35:749
02.09.2007 cdplayer.exe.manifest 15 35:749
02.09.2007 nwc.cpl.manifest 15 35:749
02.09.2007 ncpa.cpl.manifest 15 35:749
02.09.2007 emptyregdb.dat 15 33:21.740
30.07.2007 wuaucpl.cpl.mui 19 20:30.040
30.07.2007 wuapi.dll.mui 19 20:30.040
30.07.2007 wuweb.dll 19 19:203.096
30.07.2007 wuaueng.dll 19 19:1.712.984
30.07.2007 wuapi.dll 19 19:549.720
30.07.2007 wucltui.dll 19 19:325.976
30.07.2007 wuaucpl.cpl 19 19:216.408
30.07.2007 cdm.dll 19 19:92.504
30.07.2007 wuauclt.exe 19 19:53.080
30.07.2007 wups2.dll 19 19:43.352
30.07.2007 wucltui.dll.mui 19 18:34.136
30.07.2007 wups.dll 19 18:33.624
30.07.2007 muweb.dll 19 18:207.736


***** ***** ***** ***** *****
***** Scanning C:\WINDOWS\system32\drivers\etc\hosts *****
***** ***** ***** ***** *****

# Copyright (c) 1993-1999 Microsoft Corp.
#
# Dies ist eine HOSTS-Beispieldatei, die von Microsoft TCP/IP
# für Windows 2000 verwendet wird.
#
# Diese Datei enthält die Zuordnungen der IP-Adressen zu Hostnamen.
# Jeder Eintrag muss in einer eigenen Zeile stehen. Die IP-
# Adresse sollte in der ersten Spalte gefolgt vom zugehörigen
# Hostnamen stehen.
# Die IP-Adresse und der Hostname müssen durch mindestens ein
# Leerzeichen getrennt sein.
#
# Zusätzliche Kommentare (so wie in dieser Datei) können in
# einzelnen Zeilen oder hinter dem Computernamen eingefügt werden,
# aber müssen mit dem Zeichen '#' eingegeben werden.
#
# Zum Beispiel:
#
# 102.54.94.97 rhino.acme.com # Quellserver
# 38.25.63.10 x.acme.com # x-Clienthost

127.0.0.1 localhost



***** ***** ***** ***** *****
***** Scanning Processe *****
***** ***** ***** ***** *****




Microsoft Windows XP [Version 5.1.2600]


http://www.paules-pc-forum.de
***** Malware Team *****


***** Ende des Scans 23.09.2007 um 19:38:13,21 ***

habs eben nochmal mit Kaspersky antivirus, und anschliesend gleich mit Ca etrust antivirus probiert... beide nichts gefunden.. ich weis nicht was ich tun soll...

Also dein HijackThis Logfile sieht soweit auch ganz gut aus.
Was sind das denn für Dateien die da den Platz nehmen?
Analysiere die C\ Partition mal mit Tools wie TreeSize oder auch WinDirStat und schau mal, was dir dort den Platz nimmt.

Also ich habe mal den Anweisungen von Tomex030 gefolgt und bin fündig geworden.

Im Ordner "C:\Windows\Temp" sind ~ 49.000, 1 MB große Dateien gespeichert.
Zufällig genau der Speicherplatz der mir fehlt !

Die Dateien tragen alle das Vorzeichen "WDF", gefolgt von einer meist vier stelligen, numerischen Zahlenfolge und sie haben alle die Dateiendung ".tmp"

Ich hab euch auch noch nen Screenshot von TreeSizeFree gemacht,
das das ganze für euch villeicht ein bisschen ersichtlicher wird.

[IMG]http://www.img-hosting.de/thumb/4943Screen0089756JPG[/IMG]

Hattest du die Nokia PC Suite installiert ? Mit dieser gab es schonmal das gleiche Problem.

Besorge dir entweder das Programm Autoruns von der Syinternals Suite, oder ein
Registry Editierprogramm (Regsupreme,Regsearch)

Suche dort nach Nokia einträgen (Nokia WDF/UDMF) und entferne diese.

Andere Möglichkeit, suche nach der Datei "update.exe" falls du mehrere hast überprüfe mit rechtsklick Eigenschaften deren inhalt und poste die Information.

Danach lösche alle inhalte deiner Temp verzeichnisse, entweder per Hand oder z.B. mit dem Programm CCleaner.

Ich hatte mal ein ähnliches Problem mit einer früheren Version des Foxit-Readers.
Da gab es offenbar einen Fehler in der Deinstallationsroutine und es wurden ohne Unterlass foxit.uninstall.exe’n produziert. Ich habe das bemerkt, weil ich am Rechner saß und beobachtete, dass er immer langsamer wurde und sich der Arbeitsspeicher immer mehr füllte.
Beenden ließ sich der Vorgang nur durch einen beherzten Druck auf den ON/OFF Schalter des PC’s.
Als ich den Rechner wieder hochgefahren habe befanden sich unter C\Dokumente und Einstellungen\mein name über 14.000 foxit.uninstall.exe’n die auch wie bei dir irgendwie durchnummeriert waren. Die waren alle 80kb groß. Hätte ich den Rechner nicht heruntergefahren wäre es vermutlich auch so lange gegangen, bis die C\ Partition voll gewesen wäre.

Den Inhalt vom Temp Ordner kannst du erst einmal bedenkenlos löschen, erstellen sich die Dateien neu muss man nach der Ursache suchen.