| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: XP Antispyware 2012 BefallWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
| |
05.08.2011, 19:02
| #1 |
| |  XP Antispyware 2012 Befall Hey Leute, seit einigen Tagen poppen verschiedene Meldungen beim Start des Laptops von meinem Vater auf. Namentlich XP Antispyware 2012. Es wird ein fungierter Virenscan mit Befall geöffnet und durchgeführt und vieles mehr. Symptome sind mit dem Thread hier im Forum zu diesem XP/ WIN 7/ Vista Antispyware 2012 absolut identisch. Kam mir auch gleich sehr dubios vor, da ich nur das Sicherheitscenter kannte von Windows und den Eintrag zu XP Antispyware noch nie gesehen/ gehört habe. Habe mich dann erstmal an den Guide (vom Trojanerboard) zum entfernen von XP Antispyware gekümmert. Problem war hier zu Beginn, das nach kurzer Zeit nach dem Starten nichts mehr ging, weil der virtuelle Speicher voll war und irgendwie neuer eingerichtet wurde usw. Ich gehe davon aus das durch den Befall die Hintergrundaktivitäten deutlich gesteigert wurden und es deshalb zu diesem Totalausfall kam. Deswegen habe ich den Guide dann erstmal im abgesicherten Modus abgearbeitet. Dazu habe ich die Logs gespeichert: rkill (abg. Modus) Code:
ATTFilter This log file is located at C:\rkill.log.
Please post this only if requested to by the person helping you.
Otherwise you can close this log when you wish.
Rkill was run on 04.08.2011 at 17:31:55.
Operating System: Microsoft Windows XP
Processes terminated by Rkill or while it was running:
Processes terminated by Rkill or while it was running:
C:\WINDOWS\system32\grpconv.exe
Rkill completed on 04.08.2011 at 17:32:03.
Malwarebytes log (abg. Modus) Code:
ATTFilter Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org
Datenbank Version: 7035
Windows 5.1.2600 Service Pack 3 (Safe Mode)
Internet Explorer 6.0.2900.5512
04.08.2011 18:59:12
mbam-log-2011-08-04 (18-58-57).txt
Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|)
Durchsuchte Objekte: 211443
Laufzeit: 1 Stunde(n), 20 Minute(n), 19 Sekunde(n)
Infizierte Speicherprozesse: 0
Infizierte Speichermodule: 0
Infizierte Registrierungsschlüssel: 6
Infizierte Registrierungswerte: 2
Infizierte Dateiobjekte der Registrierung: 3
Infizierte Verzeichnisse: 0
Infizierte Dateien: 3
Infizierte Speicherprozesse:
(Keine bösartigen Objekte gefunden)
Infizierte Speichermodule:
(Keine bösartigen Objekte gefunden)
Infizierte Registrierungsschlüssel:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\CLSID\{055FD26D-3A88-4e15-963D-DC8493744B1D} (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\TypeLib\{77D6DDFA-7834-4541-B2B3-A8B0FB0E3924} (Trojan.BHO) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall\XTTB00001.XTTB00001Toolbar (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\ToolBand.XTTBPos00.1 (Trojan.BHO) -> No action taken.
HKEY_CLASSES_ROOT\ToolBand.XTTBPos00 (Trojan.BHO) -> No action taken.
Infizierte Registrierungswerte:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wuaucldt (Spyware.Passwords.XGen) -> Value: wuaucldt -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\Regedit32 (Trojan.Agent) -> Value: Regedit32 -> No action taken.
Infizierte Dateiobjekte der Registrierung:
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\AntiVirusDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\FirewallDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\UpdatesDisableNotify (PUM.Disabled.SecurityCenter) -> Bad: (1) Good: (0) -> No action taken.
Infizierte Verzeichnisse:
(Keine bösartigen Objekte gefunden)
Infizierte Dateien:
c:\WINDOWS\system32\wuaucldt.exe (Spyware.Passwords.XGen) -> No action taken.
c:\dokumente und einstellungen\Papa\wuaucldt.exe (Spyware.Passwords.XGen) -> No action taken.
c:\programme\icqtoolbar\toolbaru.dll (Trojan.BHO) -> No action taken.
Danach habe ich normal gestartet und das Problem bestand weiterhin sichtbar durch aufpoppen der verschiedenen Meldungen und Fenster. Habe dann schnell den Guide hier ausgeführt und ich konnte mit rkill die Prozesse stoppen und weiterverfahren. rkill log: Code:
ATTFilter This log file is located at C:\rkill.log.
Please post this only if requested to by the person helping you.
Otherwise you can close this log when you wish.
Rkill was run on 04.08.2011 at 19:03:37.
Operating System: Microsoft Windows XP
Processes terminated by Rkill or while it was running:
C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\uey.exe
C:\WINDOWS\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
Rkill completed on 04.08.2011 at 19:03:43.
Code:
ATTFilter Malwarebytes' Anti-Malware 1.51.1.1800
www.malwarebytes.org
Database version: 7377
Windows 5.1.2600 Service Pack 3
Internet Explorer 6.0.2900.5512
04.08.2011 20:32:57
mbam-log-2011-08-04 (20-32-48).txt
Scan type: Full scan (C:\|D:\|E:\|)
Objects scanned: 217201
Time elapsed: 1 hour(s), 7 minute(s), 37 second(s)
Memory Processes Infected: 0
Memory Modules Infected: 0
Registry Keys Infected: 0
Registry Values Infected: 2
Registry Data Items Infected: 0
Folders Infected: 0
Files Infected: 3
Memory Processes Infected:
(No malicious items detected)
Memory Modules Infected:
(No malicious items detected)
Registry Keys Infected:
(No malicious items detected)
Registry Values Infected:
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\3854331861 (Trojan.FakeAlert) -> Value: 3854331861 -> No action taken.
HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Run\wuaucldt (Trojan.Agent) -> Value: wuaucldt -> No action taken.
Registry Data Items Infected:
(No malicious items detected)
Folders Infected:
(No malicious items detected)
Files Infected:
c:\dokumente und einstellungen\Papa\lokale einstellungen\anwendungsdaten\uey.exe (Trojan.FakeAlert) -> No action taken.
c:\system volume information\_restore{ba1c7852-1cb9-4990-a87e-5fee7219e57f}\RP308\A0195894.exe (Spyware.Passwords.XGen) -> No action taken.
c:\system volume information\_restore{ba1c7852-1cb9-4990-a87e-5fee7219e57f}\RP308\A0195895.exe (Spyware.Passwords.XGen) -> No action taken.
Komisch beim OTL Scan war, das sich kein Fenster mit dem extra log geöffnet hat! Ich hoffe das reicht trotzdem erstmal und um Hilfe wird natürlich gebeten  OTL: Code:
ATTFilter OTL logfile created on: 05.08.2011 17:43:36 - Run 3 OTL by OldTimer - Version 3.2.26.1 Folder = C:\Dokumente und Einstellungen\Papa\Desktop Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.5512) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 511,34 Mb Total Physical Memory | 232,00 Mb Available Physical Memory | 45,37% Memory free 1,22 Gb Paging File | 0,88 Gb Available in Paging File | 72,07% Paging File free Paging file location(s): C:\pagefile.sys 768 1536 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 52,32 Gb Total Space | 29,35 Gb Free Space | 56,09% Space Free | Partition Type: NTFS Computer Name: HERMANN | User Name: Papa | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Quick Scan Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2011.08.04 16:52:16 | 000,579,584 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Papa\Desktop\OTL.exe PRC - [2011.06.30 17:43:14 | 000,269,480 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe PRC - [2011.04.27 23:19:29 | 000,136,360 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\sched.exe PRC - [2011.04.21 16:54:40 | 000,402,832 | ---- | M] (IObit) -- C:\Programme\IObit\Advanced SystemCare 4\ASCTray.exe PRC - [2011.04.21 16:54:38 | 000,352,656 | ---- | M] (IObit) -- C:\Programme\IObit\Advanced SystemCare 4\ASCService.exe PRC - [2011.03.09 14:30:08 | 000,247,728 | ---- | M] (TomTom) -- C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe PRC - [2011.03.09 14:30:08 | 000,092,592 | ---- | M] (TomTom) -- C:\Programme\TomTom HOME 2\TomTomHOMEService.exe PRC - [2010.11.07 21:07:37 | 000,281,768 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avgnt.exe PRC - [2010.10.29 15:49:28 | 000,249,064 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe PRC - [2010.01.14 21:10:53 | 000,076,968 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe PRC - [2010.01.08 14:28:14 | 000,419,480 | ---- | M] (Sage Software) -- C:\Programme\Gemeinsame Dateien\Sage Software Shared\Deploymentservice.exe PRC - [2008.04.14 04:22:45 | 001,036,800 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe PRC - [2007.09.10 21:30:02 | 002,510,848 | ---- | M] (OpenOffice.org) -- C:\Programme\OpenOffice.org 2.3\program\soffice.bin PRC - [2007.09.10 21:30:00 | 002,359,296 | ---- | M] (OpenOffice.org) -- C:\Programme\OpenOffice.org 2.3\program\soffice.exe PRC - [2005.06.23 13:00:40 | 000,622,592 | ---- | M] (T-Systems International GmbH) -- C:\Programme\T-DSL Business\BOLog.exe PRC - [1997.10.18 01:00:00 | 000,111,376 | ---- | M] (Microsoft Corporation) -- C:\Programme\Microsoft Office\Access 97\FINDFAST.EXE ========== Modules (SafeList) ========== MOD - [2011.08.04 16:52:16 | 000,579,584 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Papa\Desktop\OTL.exe MOD - [2010.08.23 18:11:46 | 001,054,208 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\WinSxS\x86_Microsoft.Windows.Common-Controls_6595b64144ccf1df_6.0.2600.6028_x-ww_61e65202\comctl32.dll ========== Win32 Services (SafeList) ========== SRV - File not found [Disabled | Stopped] -- -- (HidServ) SRV - File not found [On_Demand | Stopped] -- -- (AppMgmt) SRV - [2011.06.30 17:43:14 | 000,269,480 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService) SRV - [2011.04.27 23:19:29 | 000,136,360 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService) SRV - [2011.04.21 16:54:38 | 000,352,656 | ---- | M] (IObit) [Auto | Running] -- C:\Programme\IObit\Advanced SystemCare 4\ASCService.exe -- (AdvancedSystemCareService) SRV - [2011.03.09 14:30:08 | 000,092,592 | ---- | M] (TomTom) [Auto | Running] -- C:\Programme\TomTom HOME 2\TomTomHOMEService.exe -- (TomTomHOMEService) SRV - [2010.03.04 15:32:07 | 001,245,064 | ---- | M] () [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Symantec Shared\CCPD-LC\symlcsvc.exe -- (Symantec Core LC) SRV - [2010.01.08 14:28:14 | 000,419,480 | ---- | M] (Sage Software) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\Sage Software Shared\Deploymentservice.exe -- (SageDeploymentService) SRV - [2009.01.08 09:38:46 | 004,136,960 | ---- | M] () [On_Demand | Stopped] -- C:\Programme\Samsung\SAMSUNG PC Share Manager\WiselinkPro.exe -- (WiselinkPro) SRV - [2005.06.22 17:13:42 | 000,147,456 | ---- | M] (T-Systems Nova, Berkom) [On_Demand | Stopped] -- C:\Programme\T-DSL SpeedManager\tsmsvc.exe -- (TSMService) SRV - [2003.07.28 13:28:22 | 000,089,136 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE -- (ose) ========== Driver Services (SafeList) ========== DRV - [2011.07.10 10:48:45 | 000,138,192 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb) DRV - [2011.07.10 10:48:45 | 000,066,616 | ---- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt) DRV - [2010.04.03 11:02:54 | 000,240,608 | ---- | M] (Microsoft Corporation) [File_System | System | Running] -- C:\WINDOWS\system32\drivers\RsFx0150.sys -- (RsFx0150) DRV - [2010.02.11 14:02:15 | 000,226,880 | ---- | M] (Microsoft Corporation) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\tcpip6.sys -- (Tcpip6) DRV - [2009.05.11 11:49:19 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio) DRV - [2009.05.11 09:12:49 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv) DRV - [2008.04.13 20:56:06 | 000,088,320 | ---- | M] (Microsoft Corporation) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\nwlnkipx.sys -- (NwlnkIpx) DRV - [2008.04.13 20:53:09 | 000,040,320 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\nmnt.sys -- (nm) DRV - [2007.11.01 20:38:14 | 000,142,128 | ---- | M] (Panda Software) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\netimflt.sys -- (NETIMFLT) DRV - [2004.08.17 14:00:27 | 000,063,232 | ---- | M] (Microsoft Corporation) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\nwlnknb.sys -- (NwlnkNb) DRV - [2004.08.17 14:00:27 | 000,055,936 | ---- | M] (Microsoft Corporation) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\nwlnkspx.sys -- (NwlnkSpx) DRV - [2004.06.02 13:50:48 | 000,039,120 | ---- | M] (T-Systems Nova GmbH, Berkom Berlin) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\BOPPPoE.sys -- (BOAdapter) DRV - [2004.05.12 21:30:14 | 000,258,704 | ---- | M] (SigmaTel, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\stac97.sys -- (STAC97) Audio Driver (WDM) DRV - [2004.03.11 18:44:26 | 000,009,696 | ---- | M] (T-Systems Nova GmbH) [Kernel | On_Demand | Stopped] -- C:\Programme\T-DSL SpeedManager\TNPACKET.SYS -- (TNPacket) DRV - [2004.02.13 11:46:00 | 000,017,153 | ---- | M] (Dell Inc) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\omci.sys -- (OMCI) DRV - [2003.11.27 18:26:32 | 000,009,408 | ---- | M] (T-Systems Nova GmbH) [Kernel | On_Demand | Running] -- C:\Programme\T-DSL Business\BOVolume.sys -- (BOVOLUME) DRV - [2003.09.26 11:41:12 | 000,044,032 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\bcm4sbxp.sys -- (bcm4sbxp) DRV - [2003.08.29 05:59:24 | 001,101,696 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\BCMSM.sys -- (BCMModem) DRV - [2003.05.12 18:30:14 | 000,015,104 | ---- | M] (Deutsche Telekon) [Kernel | On_Demand | Stopped] -- C:\Programme\DT\DT 11Mbps Wireless Cardbus Card\Installer\WINXP\w32n5223.sys -- (w32n5223) DRV - [2002.09.09 23:50:00 | 000,653,312 | R--- | M] (Deutsche Telekom AG) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\TS111NDS.sys -- (TS111) DRV - [2000.10.15 19:38:54 | 000,016,068 | ---- | M] (Printing Communications Assoc., Inc. (PCAUSA)) [Kernel | On_Demand | Stopped] -- C:\Programme\T-DSL Business\PCANDIS5.SYS -- (PCANDIS5) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Prev Search Bar = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Prev Search Page = hxxp://www.google.com IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://google.icq.com/search/search_frame.php IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://google.icq.com IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.t-online.de/ IE - HKCU\..\URLSearchHook: {855F3B16-6D32-4fe6-8A56-BBB695989046} - File not found IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 ========== FireFox ========== FF - prefs.js..extensions.enabledItems: MapShare-status@tomtom.com:1.7.1 FF - prefs.js..extensions.enabledItems: baseTheme@tomtom.com:1.0.2 FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll () FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.) FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation) [2010.06.03 18:00:47 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\Mozilla\Extensions [2010.06.03 18:00:47 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\Mozilla\Extensions\home2@tomtom.com [2011.04.24 20:38:32 | 000,000,000 | ---D | M] (Map status indicator) -- C:\PROGRAMME\TOMTOM HOME 2\XUL\EXTENSIONS\MAPSHARE-STATUS@TOMTOM.COM O1 HOSTS File: ([2004.08.17 13:55:15 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (Adobe PDF Reader Link Helper) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated) O2 - BHO: (no name) - {602ADB0E-4AFF-4217-8AA1-95DAC4DFA408} - No CLSID value found. O2 - BHO: (no name) - {6D53EC84-6AAE-4787-AEEE-F4628F01010C} - No CLSID value found. O2 - BHO: (Google Toolbar Helper) - {AA58ED58-01DD-4d91-8333-CF10577473F7} - c:\Programme\Google\GoogleToolbar2.dll (Google Germany GmbH) O3 - HKLM\..\Toolbar: (&Google) - {2318C2B1-4965-11d4-9B18-009027A5CD4F} - c:\Programme\Google\GoogleToolbar2.dll (Google Germany GmbH) O3 - HKLM\..\Toolbar: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found. O3 - HKLM\..\Toolbar: (ICQ Toolbar) - {855F3B16-6D32-4fe6-8A56-BBB695989046} - File not found O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {7FEBEFE3-6B19-4349-98D2-FFB09D4B49CA} - No CLSID value found. O3 - HKCU\..\Toolbar\ShellBrowser: (ICQ Toolbar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - File not found O3 - HKCU\..\Toolbar\WebBrowser: (&Google) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - c:\Programme\Google\GoogleToolbar2.dll (Google Germany GmbH) O3 - HKCU\..\Toolbar\WebBrowser: (ICQ Toolbar) - {855F3B16-6D32-4FE6-8A56-BBB695989046} - File not found O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKLM..\Run: [BusinessOnline Log] C:\Programme\T-DSL Business\bolog.exe (T-Systems International GmbH) O4 - HKLM..\Run: [KernelFaultCheck] File not found O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation) O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.) O4 - HKCU..\Run: [Advanced SystemCare 4] C:\Programme\IObit\Advanced SystemCare 4\ASCTray.exe (IObit) O4 - HKCU..\Run: [TomTomHOME.exe] C:\Programme\TomTom HOME 2\TomTomHOMERunner.exe (TomTom) O4 - HKCU..\Run: [updateMgr] C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe (Adobe Systems Incorporated) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\Microsoft-Indexerstellung.lnk = C:\Programme\Microsoft Office\Access 97\FINDFAST.EXE (Microsoft Corporation) O4 - Startup: C:\Dokumente und Einstellungen\Papa\Startmenü\Programme\Autostart\OpenOffice.org 2.3.lnk = C:\Programme\OpenOffice.org 2.3\program\quickstart.exe () O6 - HKLM\Software\Policies\Microsoft\Internet Explorer\Infodelivery present O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O10 - NameSpace_Catalog5\Catalog_Entries\000000000004 [] - C:\WINDOWS\system32\nwprovau.dll (Microsoft Corporation) O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} hxxp://go.microsoft.com/fwlink/?linkid=48835 (Windows Genuine Advantage Validation Tool) O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} hxxp://www.update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1269777628187 (MUWebControl Class) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24) O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0015-0000-0011-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_11-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0001-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_01-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0006-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_06-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0013-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_13-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0020-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_20-windows-i586.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_24-windows-i586.cab (Java Plug-in 1.6.0_24) O16 - DPF: {D27CDB6E-AE6D-11CF-96B8-444553540000} hxxp://fpdownload.macromedia.com/get/flashplayer/current/swflash.cab (Shockwave Flash Object) O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1 O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2006.02.22 19:12:03 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun) ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML) ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4 ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation ActiveX: {2A3320D6-C805-4280-B423-B665BDE33D8F} - Microsoft .NET Framework 1.1 Security Update (KB979906) ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll ActiveX: {2F6EFCE6-10DF-49F9-9E64-9AE3775B2588} - Microsoft .NET Framework 1.1 Security Update (KB2416447) ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offlinebrowsingpaket ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe ActiveX: {3C3901C5-3455-3E0A-A214-0B093A5070A6} - .NET Framework ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460) ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer-Hilfe ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6 ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsererweiterungen ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - Zugang zu MSN Site ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - %SystemRoot%\system32\ie4uinit.exe ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - c:\WINDOWS\system32\Rundll32.exe c:\WINDOWS\system32\mscories.dll,Install ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML-Datenbindung ActiveX: {B508B3F1-A24A-32C0-B310-85786919EF28} - .NET Framework ActiveX: {C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F} - .NET Framework ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer-Hauptschriftarten ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1 ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML-Hilfe ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE NetSvcs: AppMgmt - File not found NetSvcs: HidServ - File not found NetSvcs: Ias - File not found NetSvcs: Iprip - File not found NetSvcs: Irmon - File not found NetSvcs: NWCWorkstation - File not found NetSvcs: WmdmPmSp - File not found MsConfig - StartUpFolder: C:^Dokumente und Einstellungen^All Users^Startmenü^Programme^Autostart^Adobe Reader - Schnellstart.lnk - C:\Programme\Adobe\Acrobat 7.0\Reader\reader_sl.exe - (Adobe Systems Incorporated) MsConfig - StartUpReg: BCMSMMSG - hkey= - key= - C:\WINDOWS\BCMSMMSG.exe (Broadcom Corporation) MsConfig - StartUpReg: BOL Master - hkey= - key= - File not found MsConfig - StartUpReg: BusinessOnline Log - hkey= - key= - C:\Programme\T-DSL Business\BOLog.exe (T-Systems International GmbH) MsConfig - StartUpReg: CTFMON.EXE - hkey= - key= - File not found MsConfig - StartUpReg: DadApp - hkey= - key= - C:\Programme\Dell\AccessDirect\DadApp.exe () MsConfig - StartUpReg: DVDLauncher - hkey= - key= - C:\Programme\CyberLink\PowerDVD\DVDLauncher.exe (CyberLink Corp.) MsConfig - StartUpReg: nwiz - hkey= - key= - File not found MsConfig - StartUpReg: SigmaTel StacMon - hkey= - key= - C:\Programme\SigmaTel\SigmaTel AC97 Audio-Treiber\stacmon.exe (SigmaTel Inc.) MsConfig - StartUpReg: SpybotSD TeaTimer - hkey= - key= - File not found MsConfig - StartUpReg: SunJavaUpdateSched - hkey= - key= - C:\Programme\Java\jre1.6.0_01\bin\jusched.exe (Sun Microsystems, Inc.) MsConfig - StartUpReg: updateMgr - hkey= - key= - C:\Programme\Adobe\Acrobat 7.0\Reader\AdobeUpdateManager.exe (Adobe Systems Incorporated) MsConfig - State: "system.ini" - 0 MsConfig - State: "win.ini" - 0 MsConfig - State: "bootini" - 2 MsConfig - State: "services" - 0 MsConfig - State: "startup" - 2 CREATERESTOREPOINT Restore point Set: OTL Restore Point ========== Files/Folders - Created Within 30 Days ========== [2011.08.05 17:02:34 | 000,579,584 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Papa\Desktop\OTL.exe [2011.08.05 17:02:29 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Papa\Desktop\papa brennen [2011.08.04 19:01:05 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\Malwarebytes [2011.08.04 17:36:13 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware [2011.08.04 17:36:12 | 000,041,272 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2011.08.04 17:36:06 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes [2011.08.04 17:36:01 | 000,022,712 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2011.08.04 17:36:01 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware [2011.08.04 17:13:46 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Papa\Desktop\Neuer Ordner (2) [2011.08.01 00:03:31 | 000,000,000 | ---D | C] -- C:\WINDOWS\System32\NtmsData [2011.07.10 11:14:40 | 000,000,000 | -HSD | C] -- C:\Config.Msi [2011.07.10 11:11:00 | 066,936,824 | ---- | C] (Landesfinanzdirektion Thüringen) -- C:\Dokumente und Einstellungen\Papa\Desktop\ElsterFormular-12.2.2.6665u.exe [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [10 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2011.08.05 17:02:29 | 000,011,242 | ---- | M] () -- C:\WINDOWS\System32\nvModes.001 [2011.08.05 16:55:05 | 000,002,206 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2011.08.05 16:55:01 | 000,011,242 | ---- | M] () -- C:\WINDOWS\System32\nvModes.dat [2011.08.05 16:53:49 | 000,003,725 | ---- | M] () -- C:\WINDOWS\System32\nvapps.xml [2011.08.05 16:53:46 | 000,000,260 | ---- | M] () -- C:\WINDOWS\tasks\ASC4_PerformanceMonitor.job [2011.08.05 16:53:42 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2011.08.04 21:35:08 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\defogger_reenable [2011.08.04 21:34:26 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Desktop\Defogger.exe [2011.08.04 19:01:09 | 000,015,286 | -HS- | M] () -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\m437603r78hmwd462fgrgl76wyj82j3be548ch [2011.08.04 19:01:09 | 000,015,286 | -HS- | M] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\m437603r78hmwd462fgrgl76wyj82j3be548ch [2011.08.04 17:36:13 | 000,000,756 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2011.08.04 16:52:16 | 000,579,584 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Papa\Desktop\OTL.exe [2011.08.04 16:50:08 | 000,001,134 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Desktop\FixNCR.reg [2011.08.04 16:49:06 | 001,008,041 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Desktop\rkill.com [2011.08.03 22:41:51 | 013,262,848 | -H-- | M] () -- C:\ffastun0.ffx [2011.08.03 22:41:51 | 000,655,360 | -H-- | M] () -- C:\ffastun.ffl [2011.08.03 22:41:51 | 000,081,920 | -H-- | M] () -- C:\ffastun.ffo [2011.08.03 22:41:51 | 000,004,533 | -H-- | M] () -- C:\ffastun.ffa [2011.07.24 21:07:27 | 000,000,253 | ---- | M] () -- C:\WINDOWS\tm.ini [2011.07.24 21:06:16 | 000,000,224 | ---- | M] () -- C:\WINDOWS\tdf.dii [2011.07.24 21:04:39 | 000,000,711 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ElsterFormular.lnk [2011.07.24 13:33:00 | 012,883,104 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Desktop\Setup.exe [2011.07.24 13:25:38 | 000,028,106 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Lohn.Juli.2011.elfo [2011.07.24 13:20:38 | 000,005,811 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EENA0041 [2011.07.24 13:18:34 | 000,002,105 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0040 [2011.07.24 13:18:34 | 000,002,105 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0039 [2011.07.20 20:17:49 | 000,154,768 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2011.07.18 18:30:25 | 000,023,040 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\Urlaub 2.wps [2011.07.10 20:00:38 | 000,005,811 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EENA0038 [2011.07.10 19:58:04 | 000,002,105 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0037 [2011.07.10 19:58:04 | 000,002,105 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0036 [2011.07.10 19:28:32 | 000,020,917 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Umsatz.Juni.2011.elfo [2011.07.10 14:03:33 | 000,000,052 | ---- | M] () -- C:\WINDOWS\seumain.INI [2011.07.10 11:20:27 | 000,018,901 | ---- | M] () -- C:\Dokumente und Einstellungen\Papa\Umsatz.Grund.2VJ2011.elfo [2011.07.10 11:11:14 | 066,936,824 | ---- | M] (Landesfinanzdirektion Thüringen) -- C:\Dokumente und Einstellungen\Papa\Desktop\ElsterFormular-12.2.2.6665u.exe [2011.07.10 10:48:45 | 000,138,192 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys [2011.07.10 10:48:45 | 000,066,616 | ---- | M] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntflt.sys [2011.07.06 19:52:42 | 000,041,272 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbamswissarmy.sys [2011.07.06 19:52:42 | 000,022,712 | ---- | M] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [10 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2011.08.04 21:35:08 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\defogger_reenable [2011.08.04 21:34:25 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Desktop\Defogger.exe [2011.08.04 19:07:35 | 000,001,134 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Desktop\FixNCR.reg [2011.08.04 17:36:13 | 000,000,756 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Malwarebytes' Anti-Malware.lnk [2011.08.04 17:22:35 | 001,008,041 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Desktop\rkill.com [2011.08.03 23:12:42 | 000,015,286 | -HS- | C] () -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\m437603r78hmwd462fgrgl76wyj82j3be548ch [2011.08.03 23:12:42 | 000,015,286 | -HS- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\m437603r78hmwd462fgrgl76wyj82j3be548ch [2011.07.24 21:06:16 | 000,000,253 | ---- | C] () -- C:\WINDOWS\tm.ini [2011.07.24 21:04:39 | 000,000,711 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ElsterFormular.lnk [2011.07.24 13:32:51 | 012,883,104 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Desktop\Setup.exe [2011.07.24 13:24:52 | 000,028,106 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Lohn.Juli.2011.elfo [2011.07.24 13:20:38 | 000,005,811 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EENA0041 [2011.07.24 13:18:34 | 000,002,105 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0040 [2011.07.24 13:18:34 | 000,002,105 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0039 [2011.07.18 18:30:25 | 000,023,040 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\Urlaub 2.wps [2011.07.10 20:00:38 | 000,005,811 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EENA0038 [2011.07.10 19:58:04 | 000,002,105 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0037 [2011.07.10 19:58:04 | 000,002,105 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Eigene Dateien\EBNA0036 [2011.07.10 19:28:08 | 000,020,917 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Umsatz.Juni.2011.elfo [2011.01.23 22:55:41 | 000,000,147 | ---- | C] () -- C:\WINDOWS\bgn12_cd.ini [2011.01.23 22:54:18 | 000,000,053 | ---- | C] () -- C:\WINDOWS\bgncheck.ini [2010.05.30 01:50:43 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat [2009.10.10 19:09:32 | 000,000,903 | ---- | C] () -- C:\WINDOWS\wizards.ini [2008.03.23 17:42:09 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html [2007.11.04 21:54:04 | 000,174,648 | ---- | C] () -- C:\WINDOWS\System32\drivers\APPFCONT.DAT.bck [2007.10.21 17:02:08 | 000,026,733 | ---- | C] () -- C:\WINDOWS\System32\TPEXC.BIN [2006.10.22 20:07:21 | 000,000,048 | ---- | C] () -- C:\WINDOWS\System32\drivers\wnmsav.dat [2006.07.10 20:31:51 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI [2006.02.26 17:45:07 | 000,046,592 | ---- | C] () -- C:\WINDOWS\System32\WRKGADM.EXE [2006.02.24 21:44:27 | 000,000,137 | ---- | C] () -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat [2006.02.24 20:54:20 | 000,073,728 | ---- | C] () -- C:\WINDOWS\System32\install.dll [2006.02.24 20:30:04 | 000,000,737 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2006.02.23 17:39:52 | 000,000,052 | ---- | C] () -- C:\WINDOWS\seumain.INI [2006.02.23 17:33:37 | 000,000,000 | ---- | C] () -- C:\WINDOWS\KHKSManC.INI [2006.02.23 14:05:19 | 000,011,242 | ---- | C] () -- C:\WINDOWS\System32\nvModes.dat [2006.02.22 19:14:45 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat [2006.02.22 19:08:24 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat [2006.02.22 18:41:56 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI [2006.02.22 18:40:30 | 000,154,768 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2004.08.17 14:09:36 | 000,004,627 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat [2004.08.17 14:09:35 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin [2004.08.17 14:02:39 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat [2004.08.17 14:01:04 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat [2004.08.17 14:01:04 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat [2004.08.17 14:01:03 | 000,633,610 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat [2004.08.17 14:01:03 | 000,605,008 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat [2004.08.17 14:01:02 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat [2004.08.17 14:01:02 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat [2004.08.17 14:01:01 | 000,141,478 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat [2004.08.17 14:01:01 | 000,121,528 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat [2004.08.17 14:00:04 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat [2004.08.17 13:57:28 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat [2004.08.17 13:57:22 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin [2004.08.17 13:54:36 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat [2004.08.17 13:54:13 | 000,001,804 | ---- | C] () -- C:\WINDOWS\System32\dcache.bin [2003.07.10 21:45:46 | 000,651,264 | ---- | C] () -- C:\WINDOWS\System32\libeay32.dll [2003.07.10 21:45:46 | 000,147,456 | ---- | C] () -- C:\WINDOWS\System32\ssleay32.dll [2003.07.10 21:45:46 | 000,102,400 | ---- | C] () -- C:\WINDOWS\System32\AegisI5.exe [2003.07.10 21:45:46 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\AegisI2.exe [2003.07.10 21:45:46 | 000,073,728 | ---- | C] () -- C:\WINDOWS\System32\AegisI4b.exe [1997.10.18 01:00:00 | 000,022,016 | ---- | C] () -- C:\WINDOWS\System32\DOCOBJ.DLL [1997.10.18 01:00:00 | 000,012,288 | ---- | C] () -- C:\WINDOWS\System32\HLINKPRX.DLL ========== LOP Check ========== [2011.07.24 21:03:27 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\elsterformular [2010.04.09 20:49:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Fighters [2006.04.05 16:34:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\HotSpot Manager [2011.05.22 20:28:59 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\IObit [2006.02.23 17:32:29 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Sage [2006.04.05 16:34:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\T-Com W-LAN Manager [2006.02.24 21:27:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\T-DSL SpeedManager [2010.06.13 21:24:39 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TomTom [2010.04.09 20:44:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\AVP 2009 [2011.07.04 19:37:08 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\elsterformular [2011.03.27 21:29:13 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\ICQ Toolbar [2011.05.02 14:38:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\IObit [2008.03.02 21:45:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\Opera [2009.01.11 21:51:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\s+p Software und Consulting AG [2006.02.24 20:45:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\T-DSL SpeedManager [2006.02.26 20:24:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\Template [2010.06.03 18:00:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Papa\Anwendungsdaten\TomTom [2011.08.05 16:53:46 | 000,000,260 | ---- | M] () -- C:\WINDOWS\Tasks\ASC4_PerformanceMonitor.job ========== Purity Check ========== ========== Custom Scans ========== < %SYSTEMDRIVE%\*. > [2007.10.29 21:27:01 | 000,000,000 | ---D | M] -- C:\13b3174bfa653af391e6bf2f [2007.02.04 01:18:40 | 000,000,000 | ---D | M] -- C:\2b107fbfafa5e569cc087fcf [2007.02.04 01:20:05 | 000,000,000 | ---D | M] -- C:\717f3a8fa089ceefa0ae [2009.08.23 22:09:45 | 000,000,000 | ---D | M] -- C:\808f5a98585def8697 [2007.02.04 01:17:33 | 000,000,000 | ---D | M] -- C:\c9c4a21e566ea9df19b4 [2011.07.25 19:29:41 | 000,000,000 | -HSD | M] -- C:\Config.Msi [2010.01.01 23:56:13 | 000,000,000 | ---D | M] -- C:\dakotaag [2006.02.23 13:51:50 | 000,000,000 | ---D | M] -- C:\DELL [2011.08.04 17:29:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen [2011.04.24 20:46:14 | 000,000,000 | ---D | M] -- C:\e7f50e9427eba2ad69e4c9e13d38e7d8 [2010.09.19 00:02:33 | 000,000,000 | ---D | M] -- C:\e9b87fe577cdb826695a [2007.01.14 23:29:17 | 000,000,000 | ---D | M] -- C:\IKKPERS [2008.05.16 21:59:02 | 000,000,000 | ---D | M] -- C:\Program Files [2011.08.04 17:36:01 | 000,000,000 | R--D | M] -- C:\Programme [2006.02.24 21:11:19 | 000,000,000 | -HSD | M] -- C:\RECYCLER [2010.04.10 16:19:42 | 000,000,000 | ---D | M] -- C:\Softwarenetz [2011.08.03 23:36:30 | 000,000,000 | -HSD | M] -- C:\System Volume Information [2008.05.16 21:59:25 | 000,000,000 | ---D | M] -- C:\Temp [2011.08.04 17:31:05 | 000,000,000 | ---D | M] -- C:\WINDOWS < %PROGRAMFILES%\*.exe > Invalid Environment Variable: LOCALAPPDATA < %systemroot%\*. /mp /s > < MD5 for: EXPLORER.EXE > [2004.08.17 13:54:46 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=22FE1BE02EADDE1632E478E4125639E0 -- C:\WINDOWS\$NtUninstallKB938828$\explorer.exe [2011.08.04 16:49:28 | 001,008,041 | ---- | M] () MD5=25B4AEBE25FE427F7FF7228786CF2526 -- C:\Dokumente und Einstellungen\Administrator\Desktop\Neuer Ordner\eXplorer.exe [2011.08.04 16:49:30 | 001,008,041 | ---- | M] () MD5=25B4AEBE25FE427F7FF7228786CF2526 -- C:\Dokumente und Einstellungen\Papa\Desktop\papa brennen\eXplorer.exe [2007.06.13 15:10:08 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=331ED93570BAF3CFE30340298762CD56 -- C:\WINDOWS\$hf_mig$\KB938828\SP2QFE\explorer.exe [2011.01.16 16:55:21 | 000,255,488 | ---- | M] () MD5=3C33B26F2F7FA61D882515F2D6078691 -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Temp\RarSFX3\procs\explorer.exe [2008.04.14 04:22:45 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\explorer.exe [2008.04.14 04:22:45 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\ServicePackFiles\i386\explorer.exe [2007.06.13 15:21:45 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=64D320C0E301EEDC5A4ADBBDC5024F7F -- C:\WINDOWS\$NtServicePackUninstall$\explorer.exe [2005.08.16 02:54:58 | 000,001,536 | ---- | M] () MD5=ABC6379205DE2618851C4FCBF72112EB -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Temp\RarSFX3\h\explorer.exe < MD5 for: REGEDIT.EXE > [2004.08.17 14:01:59 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\$NtServicePackUninstall$\regedit.exe [2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\regedit.exe [2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\ServicePackFiles\i386\regedit.exe < MD5 for: USERINIT.EXE > [2008.04.14 04:23:03 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\ServicePackFiles\i386\userinit.exe [2008.04.14 04:23:03 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\system32\userinit.exe [2009.05.26 19:47:22 | 000,031,232 | ---- | M] (NirSoft) MD5=AC6094297CD882B8626466CDEB64F19F -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Temp\RarSFX3\userinit.exe [2004.08.17 14:05:54 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\$NtServicePackUninstall$\userinit.exe < MD5 for: WINLOGON.EXE > [2004.08.17 14:07:21 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\$NtServicePackUninstall$\winlogon.exe [2009.05.26 19:47:22 | 000,031,232 | ---- | M] (NirSoft) MD5=AC6094297CD882B8626466CDEB64F19F -- C:\Dokumente und Einstellungen\Papa\Lokale Einstellungen\Temp\RarSFX3\winlogon.exe [2008.04.14 04:23:05 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\ServicePackFiles\i386\winlogon.exe [2008.04.14 04:23:05 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\system32\winlogon.exe < HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU > < HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs > HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install\\LastSuccessTime: 2011-07-20 14:42:13 < End of report > Code:
ATTFilter GMER 1.0.15.15640 - hxxp://www.gmer.net
Rootkit scan 2011-08-05 18:40:29
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-e FUJITSU_MHT2060AH rev.006C
Running: qm5ou81i.exe; Driver: C:\DOKUME~1\Papa\LOKALE~1\Temp\uxldipoc.sys
---- System - GMER 1.0.15 ----
SSDT F8B75A94 ZwClose
SSDT F8B75A4E ZwCreateKey
SSDT F8B75A9E ZwCreateSection
SSDT F8B75A44 ZwCreateThread
SSDT F8B75A53 ZwDeleteKey
SSDT F8B75A5D ZwDeleteValueKey
SSDT F8B75A8F ZwDuplicateObject
SSDT F8B75A62 ZwLoadKey
SSDT F8B75A30 ZwOpenProcess
SSDT F8B75A35 ZwOpenThread
SSDT F8B75A6C ZwReplaceKey
SSDT F8B75A67 ZwRestoreKey
SSDT F8B75AA3 ZwSetContextThread
SSDT F8B75A58 ZwSetValueKey
SSDT F8B75A3F ZwTerminateProcess
---- Devices - GMER 1.0.15 ----
Device RsFx0150.sys (RsFx Driver/Microsoft Corporation)
Device mrxsmb.sys (Windows NT SMB Minirdr/Microsoft Corporation)
Device Fastfat.SYS (Fast FAT File System Driver/Microsoft Corporation)
AttachedDevice fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Services - GMER 1.0.15 ----
Service C:\WINDOWS\system32\DRIVERS (*** hidden *** ) [MANUAL] BOProtocol <-- ROOTKIT !!!
---- EOF - GMER 1.0.15 ----
|
| Themen zu XP Antispyware 2012 Befall |
| 0x00000001, avira, avp, browser, c:\windows\system32\rundll32.exe, dubios, entfernen, error, fehler, firefox, helper, home, homepage, hotspot, iobit, keine internetverbindung, log file, logfile, otl scan, plug-in, problem, registry, rundll, scan, security, security update, software, speicher voll, starten, symantec, system, systemcare, vista, windows, windows xp |
Baum-Darstellung