| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: AnitVirenSoftware hat "Worm/Bot.21504" gefundenWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
23.08.2011, 18:54
| #1 |
 |  AnitVirenSoftware hat "Worm/Bot.21504" gefunden Hallo und guten Tag. Ich arbeite als Mitarbeiter eines EDV-Verantwortlichen. Derzeit bin ich allein (Urlaubszeit) und stehe vor folgendem Problem: Vorgeschichte: Wir produzieren Geräte, welche regelmäßig zur Reparatur / Justierung von unseren Kunden zu uns kommen. Diese Geräte haben einen internen Speicher, auf dem Daten gespeichert werden, die während der Gerätebenutzung aufgezeichnet wurden. Diese Daten kann der Kunde mittels PC-Software auswerten. Verbindet man ein Gerät per USB-Kabel mit einem Windows-PC, so wird ein Wechseldatenträger verbunden. Auf diesem Wechseldatenträger gibt es nur eine einzige Datei "xyz.dat". Vorfall: Einer unserer Mitarbeiter hat ein solches Gerät per USB-Kabel mit einem PC verbunden. Die AntiVirenSoftware meldete daraufhin, dass auf dem Wechseldatenträger eine "autorun.exe" vom Schädling "Worm/Bot.21504" befallen sei. Der Mitarbeiter holte mich und ich klickte auf "In Quarantäne verschieben". Daraufhin meldete die AntiVirenSoftware (im folgenden Text "AVS" genannt) dass ein Neustart dazu notwendig sei. Den Neustart habe ich durchgeführt. Während des Startvorgang (schon in Windows) meldete die AVS, es wäre "Worm/Bot.21504" auch in "C:\Windows\system32\hdaudio.exe" gefunden worden. Ich war dann etwas verwundert, weil in der AVS eingestellt ist dass Autoruns zu blockieren sind und nun scheinbar doch eine Verbreitung stattgefunden hatte. Ich prüfte die Aktualität der AVS - ein Update der Signaturen hat heute stattgefunden. Erste Maßnahmen: - Ich habe das Netzwerkkabel abgezogen und mit "MiniXP" von "Hirens Boot-CD 13.1" den PC neu gestartet. - Ich habe den noch vorhandenen Wechseldatenträger geöffnet, um zu schauen ob die autorun.exe weg ist. Die Datei ist weg, es befand sich aber noch eine "autorun.inf" auf dem Wechseldatenträger. Diese habe ich gelöscht. - Ich habe einen USB-Stick an einem vermeintlich sicheren PC formatiert und mir das "Microsoft Tool zum Entfernen bösartiger Software" vom 9.8.2011 drauf gezogen. - Auf den befallenen PC (im folgenden Text "WurmPC" genannt) habe ich dann das Tool in C:\Temp kopiert, es hat sich jedoch kein Scan starten lassen (Abbruch bei ScanStart mit Fehlermeldung). Ich vermute es liegt an diesem "MiniXP". - Ich habe den WurmPC im abgesicherten Modus neu gestartet und dann das MS-Tool laufen lassen. Der Scan (erst schneller Scan, dann vollständiger Scan über 2 Stunden) war negativ. - Ich habe den WurmPC dann normal gestartet und von der AVS wieder die Meldung über die befallene hdaudio.exe erhalten. Diese habe dann auch in Quarantäne verschieben lassen. Nun ist Ruhe. Ich traue mich nun nicht, einfach den WurmPC wieder ans Netz zu nehmen und für die Benutzung frei zu geben. Ich bin kein Experte für Beseitigung von Schadsoftware und möchte nun hier mit Hilfe herausfinden, ob der WurmPC wieder sauber ist. Auch möchte ich wissen, ob die hdaudio.exe eine benötigte Datei ist, vielleicht bekomme ich das ja während der Problembearbeitung mit. Eine Info noch am Rande: Es gab mit dem WurmPC schonmal Probleme wegen einer Conficker-Variante, die laut meinem EDV-Leiter aber vollständig behoben wurden. Ich habe versucht mich an die Anleitung zum Erstellen eines Themas zu halten, die Log-Dateien häng' ich am Ende meines Post an. Leider musste ich "Schritt 2" wiederholen, da ich nicht kapiert hatte dass ich die Zeilen aus der Anleitung in das OTL-Fenster kopieren muss, bevor ich den QuickScan starte. Also hatte ich beim 1. Mal OTL mit leerer Textbox laufen lassen.  (Ich poste die OTL_Logs vom zweiten Durchlauf.)Übrigens ist mir während des Durcharbeiten der Anleitung Einiges aufgefallen: - In "Schritt 1" musste ich noch eine zusätzliche Meldung bestätigen, bevor der Scan gestartet wurde. - Ich habe am Ende von "Schritt 1" keine Aufforderung zum Neustart erhalten. (defogger_disable poste ich auch) - Ich wusste nicht, ob ich defogger am Ende von "Schritt 1" schliessen soll -> ich habs geschlossen - In "Schritt 2" ist es nicht offensichtlich dass ich die Zeilen aus der Anleitung kopieren soll - Die Datei OTL.Txt, welche von OTL erstellt wird, erkennt mein AVS "AVG Free Anti-Virus: Small Business Edition 2011" auf dem PC von dem aus ich schreibe als "Worm/Downadup" (das macht mir Sorgen) - Die zweite Datei die durch OTL erstellt wird heisst nicht "Extra.txt", sondern "Extras.txt" Hier nun die Ergebnisse: defogger_disable Code:
ATTFilter defogger_disable by jpshortstuff (23.02.10.1)
Log created at 17:27 on 23/08/2011 (GE)
Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.
Checking for services/drivers...
-=E.O.F=-
Code:
ATTFilter OTL logfile created on: 23.08.2011 19:07:38 - Run 2 OTL by OldTimer - Version 3.2.26.5 Folder = C:\Dokumente und Einstellungen\GE\Desktop Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 6.0.2900.2180) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 959,23 Mb Total Physical Memory | 610,01 Mb Available Physical Memory | 63,59% Memory free 1,51 Gb Paging File | 1,24 Gb Available in Paging File | 81,83% Paging File free Paging file location(s): C:\pagefile.sys 672 1344 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 38,28 Gb Total Space | 25,59 Gb Free Space | 66,86% Space Free | Partition Type: NTFS Drive E: | 15,90 Mb Total Space | 15,90 Mb Free Space | 99,98% Space Free | Partition Type: FAT Drive G: | 982,06 Mb Total Space | 966,29 Mb Free Space | 98,39% Space Free | Partition Type: FAT32 Computer Name: JUSTIER | User Name: GE | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Quick Scan Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2011.08.23 17:03:00 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe PRC - [2010.12.08 13:27:55 | 000,267,944 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe PRC - [2010.11.02 12:48:59 | 000,135,336 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\sched.exe PRC - [2010.11.02 12:48:57 | 000,403,624 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avwebgrd.exe PRC - [2010.11.02 12:48:57 | 000,339,624 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avmailc.exe PRC - [2010.11.02 12:48:57 | 000,281,768 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avgnt.exe PRC - [2010.04.06 11:17:55 | 000,076,968 | ---- | M] (Avira GmbH) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe PRC - [2006.01.17 02:05:20 | 001,527,895 | ---- | M] (The Firebird Project) -- C:\Programme\Firebird\Firebird_1_5\bin\fbserver.exe PRC - [2006.01.17 02:05:20 | 000,065,536 | ---- | M] (The Firebird Project) -- C:\Programme\Firebird\Firebird_1_5\bin\fbguard.exe PRC - [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe PRC - [2003.11.20 03:00:00 | 000,049,204 | ---- | M] (AVM Berlin) -- C:\Programme\KEN!\kencli.exe PRC - [2003.03.19 11:55:56 | 000,335,872 | ---- | M] (Microsoft Corporation) -- C:\Programme\Common\Microsoft Shared\VS7Debug\mdm.exe ========== Modules (No Company Name) ========== MOD - [2010.04.06 11:18:21 | 000,355,688 | ---- | M] () -- C:\Programme\Avira\AntiVir Desktop\sqlite3.dll MOD - [2003.11.20 03:00:00 | 000,827,392 | ---- | M] () -- C:\Programme\KEN!\libeay32.dll MOD - [2003.11.20 03:00:00 | 000,159,744 | ---- | M] () -- C:\Programme\KEN!\ssleay32.dll ========== Win32 Services (SafeList) ========== SRV - File not found [Disabled | Stopped] -- -- (HidServ) SRV - File not found [Auto | Stopped] -- -- (btyxuqfev) SRV - File not found [On_Demand | Stopped] -- -- (AppMgmt) SRV - [2010.12.08 13:27:55 | 000,267,944 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService) SRV - [2010.11.02 12:48:59 | 000,135,336 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService) SRV - [2010.11.02 12:48:57 | 000,403,624 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\AVWEBGRD.EXE -- (AntiVirWebService) SRV - [2010.11.02 12:48:57 | 000,339,624 | ---- | M] (Avira GmbH) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avmailc.exe -- (AntiVirMailService) SRV - [2006.01.17 02:05:20 | 001,527,895 | ---- | M] (The Firebird Project) [On_Demand | Running] -- C:\Programme\Firebird\Firebird_1_5\bin\fbserver.exe -- (FirebirdServerDefaultInstance) SRV - [2006.01.17 02:05:20 | 000,065,536 | ---- | M] (The Firebird Project) [Auto | Running] -- C:\Programme\Firebird\Firebird_1_5\bin\fbguard.exe -- (FirebirdGuardianDefaultInstance) SRV - [2004.10.22 03:24:18 | 000,073,728 | ---- | M] (Macrovision Corporation) [On_Demand | Stopped] -- C:\Programme\Common\InstallShield\Driver\1050\Intel 32\IDriverT.exe -- (IDriverT) SRV - [2003.11.20 03:00:00 | 000,049,204 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\KEN!\kencli.exe -- (KEN Client Service) SRV - [2003.03.19 11:55:56 | 000,335,872 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Common\Microsoft Shared\VS7Debug\mdm.exe -- (MDM) ========== Driver Services (SafeList) ========== DRV - [2010.12.20 12:38:38 | 000,135,096 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb) DRV - [2010.11.22 12:53:11 | 000,061,960 | ---- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt) DRV - [2010.04.06 11:18:34 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv) DRV - [2010.04.06 11:17:49 | 000,011,608 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\Programme\Avira\AntiVir Desktop\avgio.sys -- (avgio) DRV - [2006.11.10 15:05:00 | 000,018,688 | ---- | M] (Arcsoft, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\afc.sys -- (Afc) DRV - [2006.01.12 11:25:32 | 000,063,744 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mf.sys -- (mf) DRV - [2005.09.22 10:34:18 | 003,727,680 | R--- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\alcxwdm.sys -- (ALCXWDM) Service for Realtek AC97 Audio (WDM) DRV - [2005.07.29 11:11:04 | 000,012,928 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\nvnetbus.sys -- (nvnetbus) DRV - [2005.07.29 11:11:02 | 000,034,048 | R--- | M] (NVIDIA Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\NVENETFD.sys -- (NVENETFD) DRV - [2005.03.09 16:53:00 | 000,043,008 | ---- | M] (Advanced Micro Devices) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\AmdK8.sys -- (AmdK8) DRV - [2004.08.04 12:00:00 | 000,223,616 | ---- | M] (Microsoft Corporation) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\tcpip6.sys -- (Tcpip6) DRV - [2004.04.14 16:04:14 | 000,215,640 | ---- | M] (Jungo) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\windrvr.sys -- (WinDriver) DRV - [2003.11.20 03:00:00 | 000,057,664 | ---- | M] (AVM Berlin) [Kernel | Auto | Running] -- C:\WINDOWS\System32\Drivers\ndc.sys -- (ndc) DRV - [2003.07.16 15:27:40 | 000,043,264 | ---- | M] (Prolific Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ser2pl.sys -- (Ser2pl) DRV - [2002.04.03 14:09:16 | 000,049,457 | R--- | M] (FTDI Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\ftser2k.sys -- (FTSER2K) DRV - [2002.04.03 13:09:14 | 000,018,102 | R--- | M] (FTDI Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\ftdibus.sys -- (FTDIBUS) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://129.84.3.82:3128/ken.html IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com/ie IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/ IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie IE - HKCU\Software\Microsoft\Internet Explorer\SearchURL\g, = hxxp://www.google.com/search?hl=en&q=%s IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 1 IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = localhost IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyServer" = ftp=172.16.10.18:3128;http=172.16.10.18:3128;https=172.16.10.18:3128;socks=172.16.10.18:1080 ========== FireFox ========== FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll () FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.5.6\extensions\\Components: C:\Programme\Mozilla Firefox\components [2009.12.22 11:25:16 | 000,000,000 | ---D | M] FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 3.5.6\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2009.12.22 11:25:16 | 000,000,000 | ---D | M] [2009.02.26 08:49:39 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Extensions [2009.12.17 13:20:44 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Firefox\Profiles\2qi6siok.default\extensions [2009.11.18 17:00:57 | 000,000,000 | ---D | M] ("Ask Toolbar for Firefox") -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Mozilla\Firefox\Profiles\2qi6siok.default\extensions\{E9A1DEE0-C623-4439-8932-001E7D17607D} [2009.02.26 08:49:28 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions File not found (No name found) -- C:\PROGRAMME\HAUFE\IDESK\IDESKBROWSER\EXTENSIONS\{C24AECC7-7C95-507F-D71F-155CB86656DF} [2009.11.18 17:00:44 | 000,075,208 | ---- | M] (Foxit Software Company) -- C:\Programme\mozilla firefox\plugins\npFoxitReaderPlugin.dll [2009.10.20 16:51:54 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml [2009.10.20 16:51:54 | 000,002,344 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml [2009.10.20 16:51:54 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml [2009.10.20 16:51:54 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml [2009.10.20 16:51:54 | 000,000,801 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml O1 HOSTS File: ([2006.01.31 13:48:37 | 000,000,847 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated) O2 - BHO: (AskBar BHO) - {201f27d4-3704-41d6-89c1-aa35e39143ed} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O2 - BHO: (SSVHelper Class) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre1.5.0_06\bin\ssv.dll (Sun Microsystems, Inc.) O3 - HKLM\..\Toolbar: (Foxit Toolbar) - {3041d03e-fd4b-44e0-b742-2d9b88305f98} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O3 - HKCU\..\Toolbar\ShellBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found. O3 - HKCU\..\Toolbar\ShellBrowser: (Foxit Toolbar) - {3041D03E-FD4B-44E0-B742-2D9B88305F98} - C:\Programme\AskBarDis\bar\bin\askBar.dll (Ask.com) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH) O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation) O4 - HKLM..\Run: [nwiz] C:\WINDOWS\System32\nwiz.exe () O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\AutorunsDisabled [2010.04.06 12:57:34 | 000,000,000 | -H-D | M] O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableStatusMessages = 0 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: VerboseStatus = 0 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O10 - Protocol_Catalog9\Catalog_Entries\000000000008 - C:\Programme\Avira\AntiVir Desktop\avsda.dll (Avira GmbH) O16 - DPF: {6414512B-B978-451D-A0D8-FCFDF33E833C} hxxp://update.microsoft.com/windowsupdate/v6/V5Controls/en/x86/client/wuweb_site.cab?1270551363562 (WUWebControl Class) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06) O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.) O16 - DPF: {CAFEEFAC-0015-0000-0006-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_06-windows-i586.cab (Java Plug-in 1.5.0_06) O18 - Protocol\Handler\http\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\http\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\https\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11D1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Common\System\Ole DB\msdaipp.dll (Microsoft Corporation) O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Programme\Common\Microsoft Shared\Help\hxds.dll (Microsoft Corporation) O18 - Protocol\Handler\ms-itss {0A9007C0-4076-11D3-8789-0000F8105754} - C:\Programme\Common\Microsoft Shared\Information Retrieval\msitss.dll (Microsoft Corporation) O18 - Protocol\Handler\mso-offdap {3D9F03FA-7A94-11D3-BE81-0050048385D1} - C:\Programme\Common\Microsoft Shared\Web Components\10\OWC10.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation) O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2009.04.30 11:34:37 | 000,000,040 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{15b38382-de14-11dd-a420-00138f6c4ef8}\Shell\AutoRun\command - "" = C:\WINDOWS\system32\RunDLL32.EXE Shell32.DLL,ShellExec_RunDLL RuNdLl32.EXE .\RECYCLER\S-5-3-42-2819952290-8240758988-879315005-3665\jwgkvsq.vmx,ahaezedrn O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{401f12a0-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{401f12a5-05b2-11df-a57c-00138f6c4ef8}\Shell\AutoRun\command - "" = G:\AutoRun.exe O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{846724da-3bcb-11df-a5bd-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\LaunchU3.exe -a O33 - MountPoints2\{b1ec3f7e-1620-11df-a595-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\Menu.exe O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91a-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91b-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91d-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell - "" = AutoRun O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{f572d91e-0b03-11df-a585-00138f6c4ef8}\Shell\AutoRun\command - "" = E:\AutoRun.exe O34 - HKLM BootExecute: (autocheck autochk *) - File not found O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML) ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4 ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offlinebrowsingpaket ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460) ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer-Hilfe ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6 ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsererweiterungen ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - Zugang zu MSN Site ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework ActiveX: {73fa19d0-2d75-11d2-995d-00c04f98bbc9} - Web Folders ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - %SystemRoot%\system32\ie4uinit.exe ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML-Datenbindung ActiveX: {ACC563BC-4266-43f0-B6ED-9D38C4202C7E} - ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer-Hauptschriftarten ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1 ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML-Hilfe ActiveX: {E78BFA60-5393-4C38-82AB-E8019E464EB4} - .NET Framework ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE ActiveX: Microsoft Base Smart Card Crypto Provider Package - NetSvcs: AppMgmt - File not found NetSvcs: HidServ - File not found NetSvcs: Ias - File not found NetSvcs: Iprip - File not found NetSvcs: Irmon - File not found NetSvcs: NWCWorkstation - File not found NetSvcs: Nwsapagent - File not found NetSvcs: WmdmPmSp - File not found NetSvcs: btyxuqfev - File not found MsConfig - StartUpReg: KEN Taskbar Client - hkey= - key= - C:\Programme\KEN!\kentbcli.exe (AVM Berlin) MsConfig - StartUpReg: NvMediaCenter - hkey= - key= - File not found MsConfig - StartUpReg: SoundMan - hkey= - key= - C:\WINDOWS\soundman.exe (Realtek Semiconductor Corp.) MsConfig - StartUpReg: swg - hkey= - key= - C:\Programme\Google\GoogleToolbarNotifier\GoogleToolbarNotifier.exe (Google Inc.) MsConfig - State: "system.ini" - 0 MsConfig - State: "win.ini" - 0 MsConfig - State: "bootini" - 0 MsConfig - State: "services" - 0 MsConfig - State: "startup" - 0 CREATERESTOREPOINT Restore point Set: OTL Restore Point ========== Files/Folders - Created Within 30 Days ========== [2011.08.23 17:25:23 | 000,580,096 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2011.08.23 19:04:55 | 000,039,291 | ---- | M] () -- C:\WINDOWS\System32\nvapps.xml [2011.08.23 19:04:48 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2011.08.23 17:27:02 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\defogger_reenable [2011.08.23 17:03:52 | 000,302,592 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\zjqedoxt.exe [2011.08.23 17:03:00 | 000,580,096 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\GE\Desktop\OTL.exe [2011.08.23 17:02:24 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\Defogger.exe [2011.08.23 12:07:43 | 000,000,066 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\SM.CIL [2011.08.22 08:03:44 | 000,013,646 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2011.08.15 14:53:26 | 000,000,053 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Desktop\SMPRO.CIL [2011.08.12 14:05:05 | 000,002,781 | ---- | M] () -- C:\Dokumente und Einstellungen\GE\Eigene Dateien\eaglerc.usr [2011.08.11 15:53:29 | 000,000,725 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\TGUNI1PROT05.lnk [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2011.08.23 17:27:02 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\defogger_reenable [2011.08.23 17:25:23 | 000,302,592 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Desktop\zjqedoxt.exe [2011.08.23 17:25:23 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Desktop\Defogger.exe [2011.08.23 13:07:05 | 000,021,504 | -H-- | C] () -- C:\Programme\Common\dvdaudio.exe [2011.08.11 15:53:29 | 000,000,725 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\TGUNI1PROT05.lnk [2009.02.26 08:49:41 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat [2009.02.25 12:41:05 | 000,241,664 | ---- | C] () -- C:\WINDOWS\System32\hppapr04.DLL [2009.02.25 12:41:05 | 000,000,526 | ---- | C] () -- C:\WINDOWS\System32\hppapr04.DAT [2008.03.05 11:38:24 | 000,000,169 | ---- | C] () -- C:\WINDOWS\RtlRack.ini [2007.09.28 13:10:23 | 000,000,050 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\AVSDVDPlayer.m3u [2007.09.28 13:09:40 | 000,524,288 | ---- | C] () -- C:\WINDOWS\System32\xvidcore.dll [2007.09.28 13:09:40 | 000,139,264 | ---- | C] () -- C:\WINDOWS\System32\xvidvfw.dll [2007.09.25 12:02:26 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\escTime.dll [2007.02.21 16:33:09 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI [2006.12.18 10:51:01 | 000,000,092 | R--- | C] () -- C:\WINDOWS\System32\ftdiun2k.ini [2006.11.01 11:15:37 | 000,000,066 | ---- | C] () -- C:\WINDOWS\zyyusb.ini [2006.10.09 16:35:46 | 000,100,864 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini [2006.06.30 12:01:13 | 000,000,028 | ---- | C] () -- C:\Programme\Common\AUTORUN.INF [2006.05.09 08:27:47 | 000,240,640 | ---- | C] () -- C:\WINDOWS\System32\nmocod.dll [2006.05.09 08:26:58 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\B3UNINST.DLL [2006.05.09 08:26:58 | 000,036,864 | ---- | C] () -- C:\WINDOWS\System32\PDUNINST.DLL [2006.03.20 11:00:40 | 000,000,145 | ---- | C] () -- C:\WINDOWS\System32\EBPPORT3.DAT [2006.03.17 08:32:08 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\capi2032.dll [2006.02.28 14:39:57 | 000,000,135 | ---- | C] () -- C:\Dokumente und Einstellungen\GE\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat [2006.02.01 09:58:20 | 000,212,992 | R--- | C] () -- C:\WINDOWS\System32\NmUninst.exe [2006.01.31 13:42:18 | 000,000,364 | ---- | C] () -- C:\WINDOWS\System32\OEMINFO.INI [2006.01.31 13:33:30 | 000,040,960 | R--- | C] () -- C:\WINDOWS\System32\ChCfg.exe [2006.01.31 13:33:07 | 000,157,184 | R--- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll [2006.01.31 13:32:57 | 000,000,164 | R--- | C] () -- C:\WINDOWS\avrack.ini [2006.01.31 13:30:42 | 000,003,797 | ---- | C] () -- C:\WINDOWS\Ascd_tmp.ini [2006.01.31 13:30:40 | 000,005,824 | ---- | C] () -- C:\WINDOWS\System32\drivers\ASUSHWIO.SYS [2006.01.31 12:39:41 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat [2006.01.31 12:32:24 | 000,005,347 | ---- | C] () -- C:\WINDOWS\mozver.dat [2006.01.31 12:28:29 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat [2006.01.31 12:21:48 | 000,004,335 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI [2006.01.31 12:20:00 | 000,130,888 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT [2005.10.10 15:49:00 | 001,662,976 | ---- | C] () -- C:\WINDOWS\System32\nvwdmcpl.dll [2005.10.10 15:49:00 | 001,519,616 | ---- | C] () -- C:\WINDOWS\System32\nwiz.exe [2005.10.10 15:49:00 | 001,466,368 | ---- | C] () -- C:\WINDOWS\System32\nview.dll [2005.10.10 15:49:00 | 001,339,392 | ---- | C] () -- C:\WINDOWS\System32\nvdspsch.exe [2005.10.10 15:49:00 | 001,019,904 | ---- | C] () -- C:\WINDOWS\System32\nvwimg.dll [2005.10.10 15:49:00 | 000,573,440 | ---- | C] () -- C:\WINDOWS\System32\nvhwvid.dll [2005.10.10 15:49:00 | 000,466,944 | ---- | C] () -- C:\WINDOWS\System32\nvshell.dll [2005.10.10 15:49:00 | 000,442,368 | ---- | C] () -- C:\WINDOWS\System32\nvappbar.exe [2005.10.10 15:49:00 | 000,425,984 | ---- | C] () -- C:\WINDOWS\System32\keystone.exe [2005.10.10 15:49:00 | 000,286,720 | ---- | C] () -- C:\WINDOWS\System32\nvnt4cpl.dll [2005.10.10 15:49:00 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\nvapi.dll [2004.08.04 12:00:00 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin [2004.08.04 12:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat [2004.08.04 12:00:00 | 000,415,470 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat [2004.08.04 12:00:00 | 000,401,064 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat [2004.08.04 12:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat [2004.08.04 12:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat [2004.08.04 12:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat [2004.08.04 12:00:00 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\ieencode.dll [2004.08.04 12:00:00 | 000,074,996 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat [2004.08.04 12:00:00 | 000,062,344 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat [2004.08.04 12:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin [2004.08.04 12:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat [2004.08.04 12:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat [2004.08.04 12:00:00 | 000,027,440 | ---- | C] () -- C:\WINDOWS\System32\drivers\secdrv.sys [2004.08.04 12:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat [2004.08.04 12:00:00 | 000,004,461 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat [2004.08.04 12:00:00 | 000,001,788 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin [2004.08.04 12:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat ========== LOP Check ========== [2006.02.28 15:28:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Borland [2007.12.04 13:00:58 | 000,000,000 | -H-D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\CanonBJ [2007.02.01 10:00:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Haufe [2006.03.03 12:45:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Hummingbird [2006.11.01 11:14:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MEBEDO [2009.10.26 13:34:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\sPlan70 [2006.02.28 15:28:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Borland [2009.07.23 15:44:32 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\CadSoft [2009.11.18 17:00:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Foxit [2007.06.07 09:08:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Harzwanderung2007_Screensaver [2007.02.01 10:09:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\Haufe [2010.04.06 13:27:15 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\MSNInstaller [2006.11.13 16:16:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\GE\Anwendungsdaten\SimonTools ========== Purity Check ========== ========== Custom Scans ========== < %SYSTEMDRIVE%\*. > [2011.07.20 11:42:10 | 000,000,000 | ---D | M] -- C:\A [2011.07.13 13:45:43 | 000,000,000 | ---D | M] -- C:\Ablage [2009.08.21 10:03:48 | 000,000,000 | ---D | M] -- C:\Bedienanleitungen [2011.06.27 14:15:51 | 000,000,000 | ---D | M] -- C:\Beha [2011.06.28 07:45:16 | 000,000,000 | -HSD | M] -- C:\Config.Msi [2010.03.31 17:00:20 | 000,000,000 | ---D | M] -- C:\ConfRem [2011.08.23 15:02:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen [2010.07.13 14:51:51 | 000,000,000 | ---D | M] -- C:\Download [2010.07.09 13:11:55 | 000,000,000 | ---D | M] -- C:\Eagle_Halle_230709 [2010.03.15 14:04:35 | 000,000,000 | ---D | M] -- C:\HEX_PROG [2007.10.11 13:43:16 | 000,000,000 | ---D | M] -- C:\Kundendaten [2006.02.28 15:27:38 | 000,000,000 | ---D | M] -- C:\Program Files [2011.06.22 15:05:07 | 000,000,000 | ---D | M] -- C:\Programme [2006.06.28 07:52:24 | 000,000,000 | ---D | M] -- C:\PROG_SST554 [2009.11.30 11:20:38 | 000,000,000 | ---D | M] -- C:\projekte [2010.07.05 09:40:04 | 000,000,000 | ---D | M] -- C:\Projekte_V6 [2006.01.31 13:30:29 | 000,000,000 | -HSD | M] -- C:\RECYCLER [2009.08.12 16:23:16 | 000,000,000 | ---D | M] -- C:\RoS_Test [2011.08.22 12:46:57 | 000,000,000 | -HSD | M] -- C:\System Volume Information [2011.08.23 17:24:59 | 000,000,000 | ---D | M] -- C:\Temp [2007.11.06 12:18:05 | 000,000,000 | ---D | M] -- C:\Test_LP200 [2006.09.28 16:43:35 | 000,000,000 | ---D | M] -- C:\TG_KALI_HEX [2006.12.14 10:15:40 | 000,000,000 | ---D | M] -- C:\usb [2011.08.23 15:01:37 | 000,000,000 | ---D | M] -- C:\WINDOWS [2006.11.21 16:37:53 | 000,000,000 | ---D | M] -- C:\WinHex < %PROGRAMFILES%\*.exe > Invalid Environment Variable: LOCALAPPDATA < %systemroot%\*. /mp /s > < MD5 for: EXPLORER.EXE > [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=64322E8399B205B7281FF883737A9B03 -- C:\WINDOWS\explorer.exe [2006.01.11 21:05:18 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=64322E8399B205B7281FF883737A9B03 -- C:\WINDOWS\system32\dllcache\explorer.exe < MD5 for: REGEDIT.EXE > [2004.08.04 12:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\regedit.exe [2004.08.04 12:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\system32\dllcache\regedit.exe < MD5 for: USERINIT.EXE > [2004.08.04 12:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\system32\dllcache\userinit.exe [2004.08.04 12:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\system32\userinit.exe < MD5 for: WINLOGON.EXE > [2004.08.04 12:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\system32\dllcache\winlogon.exe [2004.08.04 12:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\system32\winlogon.exe < HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU > < HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs > < End of report > Code:
ATTFilter OTL Extras logfile created on: 23.08.2011 17:30:34 - Run 1
OTL by OldTimer - Version 3.2.26.5 Folder = C:\Dokumente und Einstellungen\GE\Desktop
Windows XP Home Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.2180)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
959,23 Mb Total Physical Memory | 668,70 Mb Available Physical Memory | 69,71% Memory free
1,51 Gb Paging File | 1,23 Gb Available in Paging File | 81,44% Paging File free
Paging file location(s): C:\pagefile.sys 672 1344 [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 38,28 Gb Total Space | 25,59 Gb Free Space | 66,86% Space Free | Partition Type: NTFS
Drive E: | 15,90 Mb Total Space | 15,90 Mb Free Space | 99,98% Space Free | Partition Type: FAT
Drive G: | 982,06 Mb Total Space | 966,53 Mb Free Space | 98,42% Space Free | Partition Type: FAT32
Computer Name: JUSTIER | User Name: GE | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
========== Extra Registry (SafeList) ==========
========== File Associations ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
.url [@ = InternetShortcut] -- rundll32.exe shdocvw.dll,OpenURL %l
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = htmlfile] -- Reg Error: Key error. File not found
========== Shell Spawning ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
http [open] -- "C:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
https [open] -- "C:\Programme\Mozilla Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
InternetShortcut [open] -- rundll32.exe shdocvw.dll,OpenURL %l
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
========== Security Center Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 1
"AntiVirusOverride" = 1
"FirewallOverride" = 0
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
========== System Restore Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
========== Firewall Settings ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"139:TCP" = 139:TCP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:172.16.10.0/255.255.255.0,172.16.30.0/255.255.255.0:Enabled:@xpsp2res.dll,-22002
"3197:TCP" = 3197:TCP:*:Enabled:xbdgyaiw
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\Hummingbird\Connectivity\7.11\Exceed\exceed.exe" = C:\Programme\Hummingbird\Connectivity\7.11\Exceed\exceed.exe:*:Enabled:X server for Win32 -- (Hummingbird Ltd.)
"C:\Programme\KEN!\kentbcli.exe" = C:\Programme\KEN!\kentbcli.exe:*:Enabled:kentbcli -- (AVM Berlin)
"C:\WINDOWS\system32\mmc.exe" = C:\WINDOWS\system32\mmc.exe:*:Enabled:Microsoft Management Console -- (Microsoft Corporation)
"C:\Programme\Borland\BDS\4.0\RaveReports\Rave.exe" = C:\Programme\Borland\BDS\4.0\RaveReports\Rave.exe:*:Disabled:Rave -- ()
========== HKEY_LOCAL_MACHINE Uninstall List ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{00030407-78E1-11D2-B60F-006097C998E7}" = Microsoft Office 2000 SR-1 Small Business
"{01E970F7-212F-4C07-87E9-5B48C52E247D}" = Wise Owl Demeanor for .NET, Personal Edition
"{0819E89D-6214-4B6F-A18D-4633CB4E0E4A}" = Softwareupdate für Webordner
"{1A655D51-1423-48A3-B748-8F5A0BE294C8}" = Microsoft Visual J# .NET Redistributable Package 1.1
"{1AA69CCD-1078-473A-BD6E-11CE30A81C57}" = NUnit 2.2
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{3248F0A8-6813-11D6-A77B-00B0D0150060}" = J2SE Runtime Environment 5.0 Update 6
"{626B1DBF-33FA-4AA7-ABBC-2293DB0275CC}" = es control 2.5 professional
"{63E921D9-799A-44F9-A742-DE3DC968AFEF}" = Microsoft .NET Framework SDK (German) 1.1
"{7131646D-CD3C-40F4-97B9-CD9E4E6262EF}" = Microsoft .NET Framework 2.0
"{716E0306-8318-4364-8B8F-0CC4E9376BAC}" = MSXML 4.0 SP2 Parser und SDK
"{7ED5371F-F4EA-48F9-B8F7-C8777AD9DF69}" = Borland Developer Studio 2006
"{88DD0B6C-B174-40C9-84F4-531D414BC949}" = ComponentOne Studio Enterprise™
"{95120000-00AF-0407-0000-0000000FF1CE}" = Microsoft Office PowerPoint Viewer 2007 (German)
"{AC76BA86-7AD7-1031-7B44-A70500000002}" = Adobe Reader 7.0.5 - Deutsch
"{BE400420-A422-4802-A06B-5BAAF59DC569}" = Prog_Platz
"{C151CE54-E7EA-4804-854B-F515368B0798}" = Athlon 64 Processor Driver
"{CAFE2005-7F33-477F-8257-C49D3F7C91F4}" = CaliberRM SDK
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CFAF70CE-A0BE-46F6-B9C9-4901D8096D22}" = Hummingbird Exceed V7.1.1
"{E78BFA60-5393-4C38-82AB-E8019E464EB4}" = Microsoft .NET Framework 1.1 German Language Pack
"{E865EE59-DA46-42AC-8B66-ECEF0B2F163E}" = TGuni_kali
"{ECC3713C-08A4-40E3-95F1-7D0704F1CE5E}" = PL-2303 USB-to-Serial
"{FB08F381-6533-4108-B7DD-039E11FBC27E}" = Realtek AC'97 Audio
"A5359590-2884-4757-911A-FE8D81D883CC_is1" = TG uni 1 Ver. 2.0.3
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Ask Toolbar_is1" = Foxit Toolbar
"Avira AntiVir Desktop" = Avira AntiVir Professional
"AVM KEN!" = AVM KEN!
"AVS DVD Player_is1" = AVS DVD Player version 2.4
"BBA246BF-8980-42C0-B35F-EBFE5D711E21_is1" = TG uni 1 Ver. 2.0.5
"CCleaner" = CCleaner
"Der grandiose Bildverkleinerer" = Der grandiose Bildverkleinerer
"EAGLE 4.09" = EAGLE 4.09
"EAGLE 5.6.0" = EAGLE 5.6.0
"ELEKTROmanagerProfessional_is1" = ELEKTROmanager 5B03, 15.09.2006
"FBDBServer_1_5_is1" = Firebird 1.5.3.4870
"Flash Magic_is1" = Flash Magic 4.64
"Foxit Reader" = Foxit Reader
"FTDICOMM" = FTDI USB Serial Converter Drivers
"G-MW" = G-MW
"Installation PC-Software TG uni 1" = Installation PC-Software TG uni 1
"IrfanView" = IrfanView (remove only)
"Java Runtime 1.5.0_03" = Java Runtime 1.5.0_03 for Borland COM APIs
"Kali_Tg" = Kali_Tg
"Microsoft .NET Framework 1.1 (1033)" = Microsoft .NET Framework 1.1
"Microsoft .NET Framework 2.0" = Microsoft .NET Framework 2.0
"Mozilla Firefox (3.5.6)" = Mozilla Firefox (3.5.6)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NetMos Technology" = NetMos Multi-IO Controller
"NVIDIA Drivers" = NVIDIA Drivers
"Rave Reports_is1" = Rave Reports 6.5 BE
"TG_ uni_1" = TG_ uni_1
"TG_TE" = TG_TE
"Uninstall FLIP 2.4.2" = FLIP 2.4.2
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
"ZOC5" = ZOC Terminal 5.0
========== HKEY_CURRENT_USER Uninstall List ==========
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"Borland C++Builder 3" = Borland C++Builder 3
========== Last 10 Event Log Errors ==========
[ Application Events ]
Error - 16.08.2011 07:30:05 | Computer Name = JUSTIER | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung Kali_TG_uni.exe, Version 0.0.0.0, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
Error - 16.08.2011 07:41:04 | Computer Name = JUSTIER | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung IEXPLORE.EXE, Version 6.0.2900.2180, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
Error - 17.08.2011 01:50:30 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 18.08.2011 02:59:54 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 19.08.2011 02:17:29 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 22.08.2011 02:04:52 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 01:53:45 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 07:05:11 | Computer Name = JUSTIER | Source = .NET Runtime 2.0 Error Reporting | ID = 1000
Description = Faulting application autorun.exe, version 0.0.0.0, stamp 4c87b3ed,
faulting module kernel32.dll, version 5.1.2600.2180, stamp 411096d4, debug? 0,
fault address 0x0001eb33.
Error - 23.08.2011 07:18:04 | Computer Name = JUSTIER | Source = crypt32 | ID = 131080
Description = Der automatische Aktualisierungsabruf der Drittanbieterstammlisten-Sequenznummer
von <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootseq.txt>
ist fehlgeschlagen mit dem Fehler: Der Servername oder die Serveradresse konnte
nicht verarbeitet werden. .
Error - 23.08.2011 11:14:06 | Computer Name = JUSTIER | Source = .NET Runtime 2.0 Error Reporting | ID = 5000
Description = EventType clr20r3, P1 hdaudio.exe, P2 0.0.0.0, P3 4c87b3ed, P4 mscorlib,
P5 2.0.0.0, P6 4333ab80, P7 32f8, P8 15a, P9 system.unauthorizedaccess, P10 NIL.
[ System Events ]
Error - 23.08.2011 11:19:28 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:31 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:34 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:37 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:40 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:43 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:46 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:49 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:52 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
Error - 23.08.2011 11:19:55 | Computer Name = JUSTIER | Source = Disk | ID = 262151
Description = Fehlerhafter Block bei Gerät \Device\Harddisk0\D.
< End of report >
Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2011-08-23 18:47:29
Windows 5.1.2600 Service Pack 2 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-3 Maxtor_6K040L0 rev.NAR61HA0
Running: zjqedoxt.exe; Driver: C:\DOKUME~1\GE\LOKALE~1\Temp\pwrdypow.sys
---- System - GMER 1.0.15 ----
SSDT F7C86E86 ZwCreateKey
SSDT F7C86E7C ZwCreateThread
SSDT F7C86E8B ZwDeleteKey
SSDT F7C86E95 ZwDeleteValueKey
SSDT F7C86E9A ZwLoadKey
SSDT F7C86E68 ZwOpenProcess
SSDT F7C86E6D ZwOpenThread
SSDT F7C86EA4 ZwReplaceKey
SSDT F7C86E9F ZwRestoreKey
SSDT F7C86E90 ZwSetValueKey
---- Kernel code sections - GMER 1.0.15 ----
.text C:\WINDOWS\system32\DRIVERS\nv4_mini.sys section is writeable [0xF6AF4360, 0x20469D, 0xE8000020]
---- Devices - GMER 1.0.15 ----
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@DisplayName Security Time
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Type 32
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Start 2
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ErrorControl 0
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ImagePath %SystemRoot%\system32\svchost.exe -k netsvcs
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@ObjectName LocalSystem
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev@Description Stellt die Designverwaltung zur Verf?gung.
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev\Parameters (not active ControlSet)
Reg HKLM\SYSTEM\ControlSet002\Services\btyxuqfev\Parameters@ServiceDll C:\WINDOWS\system32\fvtnns.dll
---- EOF - GMER 1.0.15 ----
MfG Icy |
| Themen zu AnitVirenSoftware hat "Worm/Bot.21504" gefunden |
| 0x00000001, abbruch, askbar, avira, beseitigung, bho, boot-cd, c:\windows\system32\rundll32.exe, converter, crypto, entfernen, error, firefox, home, homepage, iexplore.exe, installation, kunde, logfile, maßnahme, mmc.exe, object, otl.txt, plug-in, problem, realtek, registry, scan, schädling, security, shell32.dll, shortcut, software, starten, studio, svchost.exe, system, virensoftware, worm/bot.21504 |
Baum-Darstellung