| |
| |||||||
Log-Analyse und Auswertung: T-Online meldet Torpig und MebrootWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
28.07.2011, 09:33
| #1 | |
 |  T-Online meldet Torpig und Mebroot Hallo Profis, ein Freund von mir hat letzten Samstag bei Surfen eine englischsprachige Meldung der Art "Sie haben 50 Viren. Hier klicken zum Entfernen" erhalten. Er hat nicht geklickt, sondern das Fenster einfach nur geschlossen. Ist aber offensichtlich trotzdem schief gegangen. Browsen ist z.T. quälend langsam und es kommt auch zu Hängern im IE. Kurz danach kam ein E-Mail von T-Online, in welchem mein Freund darauf hingewiesen wurde, dass er sich bei einem sog. "Sinkhole" angemeldet hätte, und dass man vermutete, er hätte die Malware "Torpig" in Verbindung mit dem Rootkit "Mebroot". Ich habe den Rechner daraufhin mit OTL und GMER untersucht (Dateien anbei). Es laufen u.a. 3 Prozesse ohne zugehörige Dateien Zitat:
1. Wie bekomme ich heraus, um welche Malware es sich überhaupt handelt? Karspersky Virus Removal Tool und Antivir finden nämlich nichts. 2. Gibt es einen Weg, die Malware zu killen, oder muss der Rechner neu aufgesetzt werden? Danke im Voraus für Eure Hilfe. -- BFN Michael |
|
28.07.2011, 13:14
| #2 |
| /// Winkelfunktion /// TB-Süch-Tiger™   | T-Online meldet Torpig und Mebroot Hallo und
__________________ Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!
__________________ |
|
28.07.2011, 15:14
| #3 | |
| | T-Online meldet Torpig und Mebroot Bitteschön.
__________________Zitat:
-- BFN Michael "There I was on a July morning - looking for live" Uriah Heep Aber erstmal muss der Virus weg ...  |
|
28.07.2011, 15:24
| #4 | |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und MebrootZitat:
__________________ Logfiles bitte immer in CODE-Tags posten  |
|
28.07.2011, 16:54
| #5 | |
| | T-Online meldet Torpig und Mebroot Here you are: Zitat:
-- BFN Michael Geändert von MFromH (28.07.2011 um 17:36 Uhr) |
|
28.07.2011, 20:41
| #6 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und Mebroot Mach einen OTL-Fix, beende alle evtl. geöffneten Programme, auch Virenscanner deaktivieren (!), starte OTL und kopiere folgenden Text in die "Custom Scan/Fixes" Box (unten in OTL): (das ":OTL" muss mitkopiert werden!!!) Hinweis: Falls Du Deinen Benutzernamen unkenntlich gemacht hast, musst Du das Ausgesternte in Deinen richtigen Benutzernamen wieder verwandeln, sonst funktioniert das Script nicht!! Code:
ATTFilter :OTL
DRV - File not found [Kernel | On_Demand | Running] -- -- (xpsec)
DRV - File not found [Kernel | On_Demand | Running] -- -- (xcpip)
DRV - File not found [File_System | Unknown | Running] -- -- (1644098drv)
DRV - [2011.07.28 07:25:05 | 000,133,208 | ---- | M] (Kaspersky Lab ZAO) [Kernel | Boot | Running] -- C:\WINDOWS\system32\DRIVERS\14796489.sys -- (14796489)
O4 - HKLM..\RunOnceEx: [] File not found
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010.02.24 16:47:09 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O33 - MountPoints2\{2063c4d5-9302-11df-89ed-00123f5d5dac}\Shell\AutoRun\command - "" = E:\wubi.exe --cdmenu
O33 - MountPoints2\{965cf926-2512-11df-8969-00123f5d5dac}\Shell - "" = AutoRun
O33 - MountPoints2\{965cf926-2512-11df-8969-00123f5d5dac}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{965cf926-2512-11df-8969-00123f5d5dac}\Shell\AutoRun\command - "" = E:\AutoRun.exe
:Files
C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\RarSFX0
C:\Dokumente und Einstellungen\****\Lokale Einstellungen\Temp\7524004
:Commands
[purity]
[resethosts]
Das Logfile müsste geöffnet werden, wenn Du nach dem Fixen auf ok klickst, poste das bitte. Evtl. wird der Rechner neu gestartet. Die mit diesem Script gefixten Einträge, Dateien und Ordner werden zur Sicherheit nicht vollständig gelöscht, es wird eine Sicherheitskopie auf der Systempartition im Ordner "_OTL" erstellt.
__________________ --> T-Online meldet Torpig und Mebroot |
|
29.07.2011, 07:56
| #7 | |
| | T-Online meldet Torpig und Mebroot Und hier der Fix-Log: Zitat:
-- BfN Michael |
|
29.07.2011, 09:31
| #8 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und Mebroot Bitte nun dieses Tool von Kaspersky ausführen und das Log posten => http://www.trojaner-board.de/82358-t...entfernen.html Das Tool so einstellen wie unten im Bild angegeben - also beide Haken setzen, auf Start scan klicken und wenn es durch ist auf den Button Report klicken um das Log anzuzeigen. Dieses bitte komplett posten.  Falls du durch die Infektion auf deine Dokumente/Eigenen Dateien nicht zugreifen kannst, Verknüpfungen auf dem Desktop oder im Startmenü unter "alle Programme" fehlen, bitte unhide ausführen: Downloade dir bitte unhide.exe und speichere diese Datei auf deinem Desktop. Starte das Tool und es sollten alle Dateien und Ordner wieder sichtbar sein. ( Könnte eine Weile dauern )  Windows-Vista und Windows-7-User müssen das Tool per Rechtsklick als Administrator ausführen!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
29.07.2011, 14:17
| #9 | ||
| | T-Online meldet Torpig und Mebroot Log1: Zitat:
Zitat:
-- BFN Michael |
|
29.07.2011, 14:34
| #10 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und Mebroot Hattest nen Sinowal drauf  Dann bitte jetzt CF ausführen: ComboFix Ein Leitfaden und Tutorium zur Nutzung von ComboFix
Combofix darf ausschließlich ausgeführt werden, wenn ein Kompetenzler dies ausdrücklich empfohlen hat!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
29.07.2011, 15:41
| #11 |
| | T-Online meldet Torpig und Mebroot Hier der Combo-Fix-Log: Code:
ATTFilter ComboFix 11-07-29.01 - **** 29.07.2011 16:28:08.1.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1014.479 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\****\Desktop\ComboFix.exe
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
.
.
((((((((((((((((((((((( Dateien erstellt von 2011-06-28 bis 2011-07-29 ))))))))))))))))))))))))))))))
.
.
2011-07-28 20:32 . 2011-07-28 20:32 -------- d-----w- C:\_OTL
2011-07-28 14:49 . 2011-07-28 14:49 -------- d-----w- c:\programme\Gemeinsame Dateien\Java
2011-07-28 12:22 . 2011-07-28 12:22 -------- d-----w- c:\dokumente und einstellungen\****\Anwendungsdaten\Malwarebytes
2011-07-28 12:22 . 2011-07-06 17:52 41272 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2011-07-28 12:21 . 2011-07-28 12:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-07-28 12:21 . 2011-07-28 12:22 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2011-07-28 12:21 . 2011-07-06 17:52 22712 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-07-23 10:53 . 2011-07-23 10:53 -------- d-----w- C:\spoolerlogs
2011-07-18 09:40 . 2011-07-18 09:40 -------- d-----w- c:\dokumente und einstellungen\****\Anwendungsdaten\Dropbox
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-06 11:35 . 2004-08-04 12:00 1859072 ----a-w- c:\windows\system32\win32k.sys
2011-05-04 02:52 . 2010-06-10 07:20 472808 ----a-w- c:\windows\system32\deployJava1.dll
2011-05-04 00:25 . 2010-06-10 07:20 73728 ----a-w- c:\windows\system32\javacpl.cpl
2011-05-02 15:31 . 2010-02-24 14:44 692736 ----a-w- c:\windows\system32\inetcomm.dll
.
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2004-10-14 1404928]
"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-10-14 94208]
"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-10-14 77824]
"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-10-14 114688]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"CanonMyPrinter"="c:\programme\Canon\MyPrinter\BJMyPrt.exe" [2009-07-27 1983816]
"CanonSolutionMenu"="c:\programme\Canon\SolutionMenu\CNSLMAIN.exe" [2009-03-18 767312]
"CNAP2 Launcher"="c:\windows\System32\spool\DRIVERS\W32X86\3\CNAP2LAK.EXE" [2007-09-05 406944]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2006-09-01 282624]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-07-06 449584]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-04-08 254696]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\****\Startmen\Programme\Autostart\
OpenOffice.org 3.2.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-12-15 384000]
_uninst_14796489.lnk - c:\dokumente und einstellungen\****\Lokale Einstellungen\Temp\_uninst_14796489.bat [N/A]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Kodak EasyShare Software.lnk - c:\programme\Kodak\Kodak EasyShare software\bin\EasyShare.exe [2007-2-20 282624]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Google\\Google Earth\\client\\googleearth.exe"=
"c:\\Programme\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"= 3389:TCP:Remote Desktop
"65533:TCP"= 65533:TCP:Services
"52344:TCP"= 52344:TCP:Services
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [01.03.2010 11:14 108289]
R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [28.07.2011 14:22 366640]
R3 AVMWAN;AVM NDIS WAN CAPI-Treiber;c:\windows\system32\drivers\avmwan.sys [24.02.2010 15:46 37568]
R3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI v2.0;c:\windows\system32\drivers\fpcibase.sys [24.02.2010 15:46 444416]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [28.07.2011 14:21 22712]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [04.08.2010 11:48 136176]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [04.08.2010 11:48 136176]
S3 xcpip;TCP/IP-Protokolltreiber;c:\windows\system32\drivers\xcpip.sys --> c:\windows\system32\drivers\xcpip.sys [?]
S3 xpsec;IPSEC-Treiber;c:\windows\system32\drivers\xpsec.sys --> c:\windows\system32\drivers\xpsec.sys [?]
.
--- Andere Dienste/Treiber im Speicher ---
.
*NewlyCreated* - 66580816
*Deregistered* - 66580816
.
Inhalt des "geplante Tasks" Ordners
.
2011-07-29 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-08-04 09:48]
.
2011-07-29 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-08-04 09:48]
.
2011-07-29 c:\windows\Tasks\User_Feed_Synchronization-{6880333A-E3B8-4608-BE8D-E2780AFA5576}.job
- c:\windows\system32\msfeedssync.exe [2009-03-08 03:31]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\dokumente und einstellungen\****\Anwendungsdaten\Mozilla\Firefox\Profiles\7cud36e9.default\
FF - prefs.js: browser.startup.homepage - hxxp://google.de
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-07-29 16:32
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'explorer.exe'(2156)
c:\windows\system32\webcheck.dll
.
Zeit der Fertigstellung: 2011-07-29 16:34:47
ComboFix-quarantined-files.txt 2011-07-29 14:34
.
Vor Suchlauf: 10 Verzeichnis(se), 49.850.224.640 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 50.418.573.312 Bytes frei
.
WindowsXP-KB310994-SP2-Pro-BootDisk-DEU.exe
[boot loader]
timeout=2
default=multi(0)disk(0)rdisk(0)partition(1)\WINDOWS
[operating systems]
c:\cmdcons\BOOTSECT.DAT="Microsoft Windows Recovery Console" /cmdcons
UnsupportedDebug="do not select this" /debug
multi(0)disk(0)rdisk(0)partition(1)\WINDOWS="Microsoft Windows XP Professional" /noexecute=optin /fastdetect
.
- - End Of File - - 928619F83BCCA10270644350015BB8C0[/QUOTE]--
BFN Michael |
|
30.07.2011, 17:27
| #12 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und Mebroot Combofix - Scripten 1. Starte das Notepad (Start / Ausführen / notepad[Enter]) 2. Jetzt füge mit copy/paste den ganzen Inhalt der untenstehenden Codebox in das Notepad Fenster ein. Code:
ATTFilter Registry::
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\GloballyOpenPorts\List]
"3389:TCP"=-
"65533:TCP"=-
"52344:TCP"=-
File::
c:\windows\system32\drivers\xcpip.sys
c:\windows\system32\drivers\xpsec.sys
Driver::
xcpip
xpsec
4. Deaktivere den Guard Deines Antivirenprogramms und eine eventuell vorhandene Software Firewall. (Auch Guards von Ad-, Spyware Programmen und den Tea Timer (wenn vorhanden) !) 5. Dann ziehe die CFScript.txt auf die cofi.exe, so wie es im unteren Bild zu sehen ist. Damit wird Combofix neu gestartet.  6. Nach dem Neustart (es wird gefragt ob Du neustarten willst), poste bitte die folgenden Log Dateien: Combofix.txt Hinweis: Das obige Script ist nur für diesen einen User in dieser Situtation erstellt worden. Es ist auf keinen anderen Rechner portierbar und darf nicht anderweitig verwandt werden, da es das System nachhaltig schädigen kann!
__________________ Logfiles bitte immer in CODE-Tags posten |
|
01.08.2011, 08:29
| #13 |
| | T-Online meldet Torpig und Mebroot Hallo Arne, wünsche einen guten Start in den neuen Monat und die neue Woche. Und hier der ComboFix-Log: Code:
ATTFilter ComboFix 11-07-29.01 - **** 01.08.2011 9:07.2.2 - x86
Microsoft Windows XP Professional 5.1.2600.3.1252.49.1031.18.1014.501 [GMT 2:00]
ausgeführt von:: c:\dokumente und einstellungen\****\Desktop\ComboFix.exe
Benutzte Befehlsschalter :: c:\dokumente und einstellungen\****\Desktop\CFScript.txt
AV: AntiVir Desktop *Disabled/Updated* {AD166499-45F9-482A-A743-FDD3350758C7}
* Neuer Wiederherstellungspunkt wurde erstellt
.
FILE ::
"c:\windows\system32\drivers\xcpip.sys"
"c:\windows\system32\drivers\xpsec.sys"
.
.
(((((((((((((((((((((((((((((((((((( Weitere Löschungen ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
.
((((((((((((((((((((((((((((((((((((((( Treiber/Dienste )))))))))))))))))))))))))))))))))))))))))))))))))
.
.
-------\Service_xcpip
-------\Service_xpsec
.
.
((((((((((((((((((((((( Dateien erstellt von 2011-07-01 bis 2011-08-01 ))))))))))))))))))))))))))))))
.
.
2011-07-28 20:32 . 2011-07-28 20:32 -------- d-----w- C:\_OTL
2011-07-28 14:49 . 2011-07-28 14:49 -------- d-----w- c:\programme\Gemeinsame Dateien\Java
2011-07-28 12:22 . 2011-07-28 12:22 -------- d-----w- c:\dokumente und einstellungen\****\Anwendungsdaten\Malwarebytes
2011-07-28 12:22 . 2011-07-06 17:52 41272 ----a-w- c:\windows\system32\drivers\mbamswissarmy.sys
2011-07-28 12:21 . 2011-07-28 12:21 -------- d-----w- c:\dokumente und einstellungen\All Users\Anwendungsdaten\Malwarebytes
2011-07-28 12:21 . 2011-07-28 12:22 -------- d-----w- c:\programme\Malwarebytes' Anti-Malware
2011-07-28 12:21 . 2011-07-06 17:52 22712 ----a-w- c:\windows\system32\drivers\mbam.sys
2011-07-23 10:53 . 2011-07-23 10:53 -------- d-----w- C:\spoolerlogs
2011-07-18 09:40 . 2011-07-18 09:40 -------- d-----w- c:\dokumente und einstellungen\****\Anwendungsdaten\Dropbox
.
.
.
(((((((((((((((((((((((((((((((((((( Find3M Bericht ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2011-06-06 11:35 . 2004-08-04 12:00 1859072 ----a-w- c:\windows\system32\win32k.sys
2011-05-04 02:52 . 2010-06-10 07:20 472808 ----a-w- c:\windows\system32\deployJava1.dll
2011-05-04 00:25 . 2010-06-10 07:20 73728 ----a-w- c:\windows\system32\javacpl.cpl
.
.
((((((((((((((((((((((((((((( SnapShot@2011-07-29_14.33.06 )))))))))))))))))))))))))))))))))))))))))
.
+ 2011-08-01 07:15 . 2011-08-01 07:15 16384 c:\windows\Temp\Perflib_Perfdata_194.dat
.
(((((((((((((((((((((((((((( Autostartpunkte der Registrierung ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt.
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"SoundMAXPnP"="c:\programme\Analog Devices\Core\smax4pnp.exe" [2004-10-14 1404928]
"igfxtray"="c:\windows\system32\igfxtray.exe" [2005-10-14 94208]
"igfxhkcmd"="c:\windows\system32\hkcmd.exe" [2005-10-14 77824]
"igfxpers"="c:\windows\system32\igfxpers.exe" [2005-10-14 114688]
"avgnt"="c:\programme\Avira\AntiVir Desktop\avgnt.exe" [2009-03-02 209153]
"CanonMyPrinter"="c:\programme\Canon\MyPrinter\BJMyPrt.exe" [2009-07-27 1983816]
"CanonSolutionMenu"="c:\programme\Canon\SolutionMenu\CNSLMAIN.exe" [2009-03-18 767312]
"CNAP2 Launcher"="c:\windows\System32\spool\DRIVERS\W32X86\3\CNAP2LAK.EXE" [2007-09-05 406944]
"QuickTime Task"="c:\programme\QuickTime\qttask.exe" [2006-09-01 282624]
"Adobe Reader Speed Launcher"="c:\programme\Adobe\Reader 9.0\Reader\Reader_sl.exe" [2010-09-23 35760]
"Adobe ARM"="c:\programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe" [2010-09-20 932288]
"Malwarebytes' Anti-Malware"="c:\programme\Malwarebytes' Anti-Malware\mbamgui.exe" [2011-07-06 449584]
"SunJavaUpdateSched"="c:\programme\Gemeinsame Dateien\Java\Java Update\jusched.exe" [2011-04-08 254696]
.
[HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Run]
"CTFMON.EXE"="c:\windows\system32\CTFMON.EXE" [2008-04-14 15360]
.
c:\dokumente und einstellungen\****\Startmen\Programme\Autostart\
OpenOffice.org 3.2.lnk - c:\programme\OpenOffice.org 3\program\quickstart.exe [2009-12-15 384000]
_uninst_14796489.lnk - c:\dokumente und einstellungen\****\Lokale Einstellungen\Temp\_uninst_14796489.bat [N/A]
.
c:\dokumente und einstellungen\All Users\Startmen\Programme\Autostart\
Kodak EasyShare Software.lnk - c:\programme\Kodak\Kodak EasyShare software\bin\EasyShare.exe [2007-2-20 282624]
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile]
"EnableFirewall"= 0 (0x0)
.
[HKLM\~\services\sharedaccess\parameters\firewallpolicy\standardprofile\AuthorizedApplications\List]
"%windir%\\system32\\sessmgr.exe"=
"%windir%\\Network Diagnostic\\xpnetdiag.exe"=
"c:\\Programme\\Google\\Google Earth\\client\\googleearth.exe"=
"c:\\Programme\\Kodak\\Kodak EasyShare software\\bin\\EasyShare.exe"=
.
R2 AntiVirSchedulerService;Avira AntiVir Planer;c:\programme\Avira\AntiVir Desktop\sched.exe [01.03.2010 11:14 108289]
R2 MBAMService;MBAMService;c:\programme\Malwarebytes' Anti-Malware\mbamservice.exe [28.07.2011 14:22 366640]
R3 AVMWAN;AVM NDIS WAN CAPI-Treiber;c:\windows\system32\drivers\avmwan.sys [24.02.2010 15:46 37568]
R3 fpcibase;AVM ISDN-Controller FRITZ!Card PCI v2.0;c:\windows\system32\drivers\fpcibase.sys [24.02.2010 15:46 444416]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [28.07.2011 14:21 22712]
S2 gupdate;Google Update Service (gupdate);c:\programme\Google\Update\GoogleUpdate.exe [04.08.2010 11:48 136176]
S3 gupdatem;Google Update-Dienst (gupdatem);c:\programme\Google\Update\GoogleUpdate.exe [04.08.2010 11:48 136176]
.
Inhalt des "geplante Tasks" Ordners
.
2011-08-01 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-08-04 09:48]
.
2011-07-30 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\programme\Google\Update\GoogleUpdate.exe [2010-08-04 09:48]
.
2011-08-01 c:\windows\Tasks\User_Feed_Synchronization-{6880333A-E3B8-4608-BE8D-E2780AFA5576}.job
- c:\windows\system32\msfeedssync.exe [2009-03-08 03:31]
.
.
------- Zusätzlicher Suchlauf -------
.
uStart Page = hxxp://www.google.de/
TCP: DhcpNameServer = 192.168.2.1
FF - ProfilePath - c:\dokumente und einstellungen\****\Anwendungsdaten\Mozilla\Firefox\Profiles\7cud36e9.default\
FF - prefs.js: browser.startup.homepage - hxxp://google.de
FF - Ext: Default: {972ce4c6-7e08-4474-a285-3208198ce6fd} - c:\programme\Mozilla Firefox\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA}
FF - Ext: Java Console: {CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA} - c:\programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0021-ABCDEFFEDCBA}
FF - Ext: Java Quick Starter: jqs@sun.com - c:\programme\Java\jre6\lib\deploy\jqs\ff
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - c:\windows\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\DotNetAssistantExtension
FF - Ext: Microsoft .NET Framework Assistant: {20a82645-c095-46ed-80e3-08825760534b} - %profile%\extensions\{20a82645-c095-46ed-80e3-08825760534b}
.
.
**************************************************************************
.
catchme 0.3.1398 W2K/XP/Vista - rootkit/stealth malware detector by Gmer, hxxp://www.gmer.net
Rootkit scan 2011-08-01 09:15
Windows 5.1.2600 Service Pack 3 NTFS
.
Scanne versteckte Prozesse...
.
Scanne versteckte Autostarteinträge...
.
Scanne versteckte Dateien...
.
Scan erfolgreich abgeschlossen
versteckte Dateien: 0
.
**************************************************************************
.
--------------------- Durch laufende Prozesse gestartete DLLs ---------------------
.
- - - - - - - > 'explorer.exe'(208)
c:\windows\system32\webcheck.dll
.
------------------------ Weitere laufende Prozesse ------------------------
.
c:\programme\Avira\AntiVir Desktop\avguard.exe
c:\programme\Java\jre6\bin\jqs.exe
c:\programme\CDBurnerXP\NMSAccessU.exe
c:\programme\Canon\CAL\CALMAIN.exe
c:\programme\OpenOffice.org 3\program\soffice.exe
c:\programme\OpenOffice.org 3\program\soffice.bin
c:\windows\System32\spool\DRIVERS\W32X86\3\CNAP2RPK.EXE
c:\windows\System32\spool\DRIVERS\W32X86\3\CNAB9SWK.EXE
c:\windows\system32\wscntfy.exe
.
**************************************************************************
.
Zeit der Fertigstellung: 2011-08-01 09:19:51 - PC wurde neu gestartet
ComboFix-quarantined-files.txt 2011-08-01 07:19
ComboFix2.txt 2011-07-29 14:34
.
Vor Suchlauf: 10 Verzeichnis(se), 50.300.424.192 Bytes frei
Nach Suchlauf: 11 Verzeichnis(se), 50.284.249.088 Bytes frei
.
- - End Of File - - D7BBB4320B03400DC55F419D753E5370[/QUOTE]--
BFN Michael |
|
01.08.2011, 10:07
| #14 |
| /// Winkelfunktion /// TB-Süch-Tiger™ | T-Online meldet Torpig und Mebroot Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten. GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen. Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst. Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM! Downloade dir bitte  aswMBR.exe und speichere die Datei auf deinem Desktop.
Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).
__________________ Logfiles bitte immer in CODE-Tags posten |
|
01.08.2011, 12:41
| #15 |
| | T-Online meldet Torpig und Mebroot Alles erledigt. Logs -> Anhang -- BFN Michael |
|
| Themen zu T-Online meldet Torpig und Mebroot |
| angemeldet, antivir, dateien, e-mail, einfach, entfernen, frage, fragen, gmer, klicke, langsam, malware, mebroot, meldet, meldung, neu, neu aufgesetzt, prozesse, rechner, rootkit, sinkhole, surfen, system, system32, t-online, tool, torpig, verbindung, virus |
Linear-Darstellung
