MBAM findet Malware: C:\DelUS.bat - Was tun?

cosinus · 02.01.2012, 16:06

Wir brauchen die Wiederherstellungskonsole:

Gehe auf die Microsoft Seite => http://support.microsoft.com/?scid=kb%3Bde%3B310994&x=21&y=12

Wähle den Download, der für dein Betriebssystem bestimmt ist:
Hinweis: Für WinXP Sp3 wähle die Sp2 Version.

Lade die Datei herunter und speichere diese mit dem original Namen, neben ComboFix.exe ab (bzw. cofi.exe wenn umbenannt)

Nun schließe alle offenen Programme und Fenster, inklusive der Antiviren und Antimalware Programme. Dies ist notwendig, damit kein Program den Suchlauf von ComboFix behindert.

Ziehe die Setupdatei auf ComboFix.exe und lasse es los.
Folge den Aufforderungen um ComboFix zu starten und wenn Du dazu aufgefordert wirst, stimme den Nutzungsbedingungen zu um die Wiederherstellungskonsole zu installieren.
Bei der nächsten Eingabeaufforderung, klicke auf "Yes" um den vollständigen Suchlauf von ComboFix zu starten.
Bitte poste mir den Inhalt von C:\ComboFix.txt hier in den Thread.

Juri9 · 02.01.2012, 16:21

Der gleiche Fehler ist aufgetreten, hab's diesmal fotografiert:

Danach habe ich ComboFix geschlossen.

Zitat:

ComboFix würde jetzt anfangen, nach Malware zu suchen. Fortfahren oder ComboFix schließen? [OK] [Abbrechen]

(Zitat nicht 100%ig genau!)

Tja, wenn immer dieser Fehler auftritt, kann nicht weitergemacht werden, oder?
Juri9

cosinus · 02.01.2012, 16:26

Live-System PartedMagic / GParted

1. Lade Dir das ISO-Image von PartedMagic herunter, müssten ca. 180 MB sein
2. Brenn es per Imagebrennfunktion auf CD, geht zB mit ImgBurn unter Windows
3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist

4. Du müsstest ein Symbol PartitionEditor auf dem Desktop finden, das doppelklicken
5. Wenn das Tool die Partitionen aufgelistet hat, bitte einen Screenshot mit Hilfe der Taste DRUCK auf der Tastatur erstellen, diesen Screenshot hier posten (idR hast du einen Internetzugang mit PartedMagic, wenn nicht einfach den Screenshot auf einem Stick abspeichern und unter Windows hier posten)

Juri9 · 02.01.2012, 16:33

Zitat:

Zitat von cosinus

3. Boote von der gebrannten CD, im Bootmenü von Option 1 starten und warten bis der Linux-Desktop oben ist

Könntest du mir diesen Schritt bitte genauer erklären? Wie boote ich von der CD? Ich habe nämlich keine Ahnung...

cosinus · 02.01.2012, 17:08

http://www.trojaner-board.de/81857-c...cd-booten.html

Juri9 · 02.01.2012, 17:15

Wenn ich den PC neu starte, wird automatisch Windows gestartet und bin von Linux komplett befreit oder muss ich noch was umstellen? (Ich möchte, bevor ich die Schritte ausführe, alles klären, was mir Sorgen bereitet ^^")
---
Übrgens: Danke, dass du die ganze Zeit online bist und uns hilfst!

----
EDIT: Schade, bist jetzt offline. Ich überlege grade, ob ich's auch so machen soll. Zum Notfall habe ich ja noch den PC einer Verwandten.

Juri9 · 02.01.2012, 18:16

Na super. Die Anleitung für das booten von CD hat nichts gebracht. Beim Neustart hat mein Computer automatisch von der CD gebootet

Na ja, das internet funktioniert auf diesem Linux/PartedMagic-Gedöhns und die Druck-Taste brauchte ich auch nicht:
1. Nichts zum bearbeiten der Datei
2. Ein Screenshot-Aufnehm-Programm ist vorinstalliert.
Aber was soll's, so sieht's im Partition Editor aus:

Tja, nun lasse ich mal den Experten ran: Was muss jetzt getan werden?
Gruß, Juri9

---
Übrigens: Erfolgreich zu Windows zurückgekehrt, wunderschön ^^

cosinus · 02.01.2012, 20:59

Sollte so ok sein

Ok. Bitte nun Logs mit GMER und OSAM erstellen und posten.
GMER stürzt häufiger ab, wenn das Tool auch beim 2. Mal nicht will, lass es einfach weg und führ nur OSAM aus - die Online-Abfrage durch OSAM bitte überspringen.
Bei OSAM bitte darauf auch achten, dass Du das Log auch als *.log und nicht *.html oder so abspeicherst.

Hinweis: Zum Entpacken von OSAM bitte WinRAR oder 7zip verwenden! Stell auch unbedingt den Virenscanner ab, besonders der Scanner von McAfee meldet oft einen Fehalarm in OSAM!

Downloade dir bitte

aswMBR.exe und speichere die Datei auf deinem Desktop.

Starte die aswMBR.exe - (aswMBR.exe Anleitung)
Ab Windows Vista (oder höher) bitte mit Rechtsklick "als Administrator ausführen" starten".
Das Tool wird dich fragen, ob Du mit der aktuellen Virendefinition von AVAST! dein System scannen willst. Beantworte diese Frage bitte mit Ja. (Sollte deine Firewall fragen, bitte den Zugriff auf das Internet zulassen )
Der Download der Definitionen kann je nach Verbindung eine Weile dauern.
Klicke auf Scan.
Warte bitte bis Scan finished successfully im DOS-Fenster steht.
Drücke auf Save Log und speichere diese auf dem Desktop.

Poste mir die aswMBR.txt in deiner nächsten Antwort.

Wichtig: Drücke keinesfalls einen der Fix Buttons ohne Anweisung

Hinweis: Sollte der Scan Button ausgeblendet sein, schließe das Tool und starte es erneut. Sollte der Scan abbrechen und das Programm abstürzen, dann teile mir das mit und wähle unter AV Scan die Einstellung (none).

Juri9 · 02.01.2012, 23:42

*gähn* Gute Nacht...
GMER hat jetzt bis kurz vor Mitternacht gesucht, ein Glück kein Absturz *gäähn*
Hier ist die Logfile, morgen mach ich dann mit dem Rest weiter:

Code:

ATTFilter

GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-01-02 23:40:52
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-17 WDC_WD1600JD-00HBB0 rev.08.02D08
Running: ew8u3iq0.exe; Driver: C:\DOKUME~1\GEORGM~1\LOKALE~1\Temp\uxtdypoc.sys


---- System - GMER 1.0.15 ----

SSDT            F7C952BE                                  ZwCreateKey
SSDT            F7C952B4                                  ZwCreateThread
SSDT            F7C952C3                                  ZwDeleteKey
SSDT            F7C952CD                                  ZwDeleteValueKey
SSDT            F7C952D2                                  ZwLoadKey
SSDT            F7C952A0                                  ZwOpenProcess
SSDT            F7C952A5                                  ZwOpenThread
SSDT            F7C952DC                                  ZwReplaceKey
SSDT            F7C952D7                                  ZwRestoreKey
SSDT            F7C952C8                                  ZwSetValueKey

---- Kernel code sections - GMER 1.0.15 ----

.reloc          C:\windows\system32\drivers\acehlp10.sys  section is executable [0xF6708B80, 0x37FC7, 0xE0000060]
.reloc          C:\windows\system32\drivers\acedrv10.sys  section is executable [0xB8314000, 0x459C1, 0xE0000060]

---- Devices - GMER 1.0.15 ----

AttachedDevice  \FileSystem\Fastfat \Fat                  fltmgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)

---- EOF - GMER 1.0.15 ----

Bis dann, Juri9

Juri9 · 03.01.2012, 00:05

Und hier ist die Logfile von OSAM, ging schneller als gedacht:

Code:

ATTFilter

Report of OSAM: Autorun Manager v5.0.11926.0
hxxp://www.online-solutions.ru/en/
Saved at 00:04:29 on 03.01.2012

OS: Windows XP Home Edition Service Pack 3 (Build 2600)
Default Browser: Google Inc. Google Chrome 16.0.912.63

Scanner Settings
[x] Rootkits detection (hidden registry)
[x] Rootkits detection (hidden files)
[x] Retrieve files information
[x] Check Microsoft signatures

Filters
[ ] Trusted entries
[ ] Empty entries
[x] Hidden registry entries (rootkit activity)
[x] Exclusively opened files
[x] Not found files
[x] Files without detailed information
[x] Existing files
[ ] Non-startable services
[ ] Non-startable drivers
[x] Active entries
[x] Disabled entries


[Common]
-----( %SystemRoot%\Tasks )-----
"AppleSoftwareUpdate.job" - "Apple Inc." - C:\Programme\Apple Software Update\SoftwareUpdate.exe
"GoogleUpdateTaskMachineCore1cc8ea12e10ab68.job" - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"GoogleUpdateTaskUserS-1-5-21-2450094404-4060576230-1036702018-1008Core1cc9186a9965a70.job" - "Google Inc." - C:\Dokumente und Einstellungen\Georg Malsam\Lokale Einstellungen\Anwendungsdaten\Google\Update\GoogleUpdate.exe

[Control Panel Objects]
-----( %SystemRoot%\system32 )-----
"ddbaccpl.cpl" - "DataDesign AG" - C:\windows\system32\ddbaccpl.cpl
"ddbacctm.cpl" - "DataDesign AG" - C:\windows\system32\ddbacctm.cpl
"FlashPlayerCPLApp.cpl" - "Adobe Systems Incorporated" - C:\windows\system32\FlashPlayerCPLApp.cpl
"infocardcpl.cpl" - "Microsoft Corporation" - C:\windows\system32\infocardcpl.cpl
"javacpl.cpl" - "Sun Microsystems, Inc." - C:\windows\system32\javacpl.cpl
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Control Panel\Cpls )-----
"Avira AntiVir Personal - Free Antivirus " - "Avira Operations GmbH & Co. KG" - C:\PROGRA~1\Avira\ANTIVI~1\avconfig.cpl
"QuickTime" - "Apple Inc." - F:\QuickTime\QTSystem\QuickTime.cpl

[Drivers]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
"acedrv10" (acedrv10) - "Protect Software GmbH" - C:\windows\system32\drivers\acedrv10.sys
"acehlp10" (acehlp10) - "Protect Software GmbH" - C:\windows\system32\drivers\acehlp10.sys
"AEGIS Protocol (IEEE 802.1x) v3.0.0.5" (AegisP) - "Meetinghouse Data Communications" - C:\windows\System32\DRIVERS\AegisP.sys
"avgntflt" (avgntflt) - "Avira GmbH" - C:\windows\System32\DRIVERS\avgntflt.sys
"avipbb" (avipbb) - "Avira GmbH" - C:\windows\System32\DRIVERS\avipbb.sys
"avkmgr" (avkmgr) - "Avira GmbH" - C:\windows\System32\DRIVERS\avkmgr.sys
"Bluetooth Audio Service" (BlueletAudio) - "IVT Corporation" - C:\windows\System32\DRIVERS\blueletaudio.sys
"Bluetooth HID Enumerator" (BTHidEnum) - ? - C:\windows\System32\DRIVERS\vbtenum.sys  (File found, but it contains no detailed information)
"Bluetooth HID Manager Service" (BTHidMgr) - "IVT Corporation" - C:\windows\System32\Drivers\BTHidMgr.sys
"Bluetooth Network Filter" (BTNetFilter) - ? - C:\WINDOWS\system32\drivers\BTNetFilter.sys  (File found, but it contains no detailed information)
"Bluetooth PAN Network Adapter" (BT) - "IVT Corporation" - C:\windows\System32\DRIVERS\btnetdrv.sys
"Bluetooth USB For Bluetooth Service" (Btcsrusb) - "IVT Corporation" - C:\windows\System32\Drivers\btcusb.sys
"Bluetooth VComm Manager Service" (VcommMgr) - "IVT Corporation" - C:\windows\System32\Drivers\VcommMgr.sys
"Card Reader Filter" (CardReaderFilter) - "ICSI Technology Ltd." - C:\windows\system32\Drivers\USBCRFT.SYS
"catchme" (catchme) - ? - C:\DOKUME~1\GEORGM~1\LOKALE~1\Temp\catchme.sys  (File not found)
"cdrbsdrv" (cdrbsdrv) - "B.H.A Corporation" - C:\windows\system32\drivers\cdrbsdrv.sys
"Changer" (Changer) - ? - C:\windows\system32\drivers\Changer.sys  (File not found)
"i2omgmt" (i2omgmt) - ? - C:\windows\system32\drivers\i2omgmt.sys  (File not found)
"lbrtfdc" (lbrtfdc) - ? - C:\windows\system32\drivers\lbrtfdc.sys  (File not found)
"Nintendo Wi-Fi USB Connector Service" (RT25USBAP) - "Ralink Technology Inc." - C:\windows\System32\DRIVERS\rt25usbap.sys
"NTSIM" (NTSIM) - "VIA Networking Technologies, Inc.       " - C:\WINDOWS\system32\ntsim.sys
"PCIDump" (PCIDump) - ? - C:\windows\system32\drivers\PCIDump.sys  (File not found)
"PDCOMP" (PDCOMP) - ? - C:\windows\system32\drivers\PDCOMP.sys  (File not found)
"PDFRAME" (PDFRAME) - ? - C:\windows\system32\drivers\PDFRAME.sys  (File not found)
"PDRELI" (PDRELI) - ? - C:\windows\system32\drivers\PDRELI.sys  (File not found)
"PDRFRAME" (PDRFRAME) - ? - C:\windows\system32\drivers\PDRFRAME.sys  (File not found)
"PxHelp20" (PxHelp20) - "Sonic Solutions" - C:\windows\System32\Drivers\PxHelp20.sys
"ssmdrv" (ssmdrv) - "Avira GmbH" - C:\windows\System32\DRIVERS\ssmdrv.sys
"SynchronEyes network Service" (Synnetdrv) - ? - C:\windows\System32\DRIVERS\Synnetdrv.sys  (File not found)
"SynnetdrvMP" (SynnetdrvMP) - ? - C:\windows\System32\DRIVERS\Synnetdrv.sys  (File not found)
"Syntek AVStream USB2.0 ATV" (StkCMini) - "Syntek" - C:\windows\System32\Drivers\StkCMini.sys
"uxtdypoc" (uxtdypoc) - ? - C:\DOKUME~1\GEORGM~1\LOKALE~1\Temp\uxtdypoc.sys  (Hidden registry entry, rootkit activity | File not found)
"Virtual Serial port driver" (VComm) - "IVT Corporation" - C:\windows\System32\DRIVERS\VComm.sys
"WAN Miniport (ATW)" (wanatw) - ? - C:\windows\System32\DRIVERS\wanatw4.sys  (File not found)
"WDICA" (WDICA) - ? - C:\windows\system32\drivers\WDICA.sys  (File not found)

[Explorer]
-----( HKCU\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{BDEADF00-C265-11d0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL
-----( HKLM\SOFTWARE\Microsoft\Active Setup\Installed Components )-----
{89B4C1CD-B018-4511-B0A1-5476DBF70820} "StubPath" - "Microsoft Corporation" - C:\windows\system32\Rundll32.exe C:\windows\system32\mscories.dll,Install
-----( HKLM\Software\Classes\Folder\shellex\ColumnHandlers )-----
{F9DB5320-233E-11D1-9F84-707F02C10627} "PDF Shell Extension" - "Adobe Systems, Inc." - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.dll
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396}" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
-----( HKLM\Software\Classes\Protocols\Filter )-----
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\windows\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\windows\system32\mscoree.dll
{1E66F26B-79EE-11D2-8710-00C04F79ED0D} "Cor MIME Filter, CorFltr, CorFltr 1" - "Microsoft Corporation" - C:\windows\system32\mscoree.dll
-----( HKLM\Software\Classes\Protocols\Handler )-----
{FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} "IEProtocolHandler Class" - "Skype Technologies" - C:\PROGRA~1\GEMEIN~1\Skype\SKYPE4~1.DLL
{0A9007C0-4076-11D3-8789-0000F8105754} "Microsoft Infotech Storage Protocol for IE 4.0" - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Information Retrieval\msitss.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved )-----
{23170F69-40C1-278A-1000-000100020000} "7-Zip Shell Extension" - "Igor Pavlov" - C:\Programme\7-Zip\7-zip.dll
{42071714-76d4-11d1-8b24-00a0c9068ff3} "CPL-Erweiterung für Anzeigeverschiebung" - ? -   (File not found | COM-object registry key not found)
{1D2680C9-0E2A-469d-B787-065558BC7D43} "Fusion Cache" - "Microsoft Corporation" - C:\windows\system32\mscoree.dll
{FAC3CBF6-8697-43d0-BAB9-DCD1FCE19D75} "IE User Assist" - ? -   (File not found | COM-object registry key not found)
{853FE2B1-B769-11d0-9C4E-00C04FB6C6FA} "Kontextmenü für die Verschlüsselung" - ? -   (File not found | COM-object registry key not found)
{C52AF81D-F7A0-4AAB-8E87-F80A60CCD396} "OpenOffice.org Column Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{087B3AE3-E237-4467-B8DB-5A38AB959AC9} "OpenOffice.org Infotip Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{63542C48-9552-494A-84F7-73AA6A7C99C1} "OpenOffice.org Property Sheet Handler" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{3B092F0C-7696-40E3-A80F-68D74DA84210} "OpenOffice.org Thumbnail Viewer" - ? - C:\Programme\OpenOffice.org 3\Basis\program\shlxthdl\shlxthdl.dll
{0006F045-0000-0000-C000-000000000046} "Outlook-Dateisymbolerweiterung" - "Microsoft Corporation" - C:\PROGRA~1\MICROS~4\Office\OLKFSTUB.DLL
{45AC2688-0253-4ED8-97DE-B5370FA7D48A} "Shell Extension for Malware scanning" - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\shlext.dll
{F0CB00CD-5A07-4D91-97F5-A8C92CDA93E4} "Shell Extensions for RealOne Player" - ? -   (File not found | COM-object registry key not found)
{E37E2028-CE1A-4f42-AF05-6CEABC4E5D75} "Shell Icon Handler for Application References" - "Microsoft Corporation" - C:\windows\system32\dfshim.dll
{764BF0E1-F219-11ce-972D-00AA00A14F56} "Shellerweiterungen für die Dateikomprimierung" - ? -   (File not found | COM-object registry key not found)
{e82a2d71-5b2f-43a0-97b8-81be15854de8} "ShellLink for Application References" - "Microsoft Corporation" - C:\windows\system32\dfshim.dll
{DBD8E168-244D-448C-9922-25508950D1DC} "USIShellExt Class" - "Ulead Systems, Inc." - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\USIShex.dll
{BDEADF00-C265-11D0-BCED-00A0C90AB50F} "Webordner" - "Microsoft Corporation" - C:\PROGRA~1\GEMEIN~1\MICROS~1\WEBFOL~1\MSONSEXT.DLL
{B41DB860-8EE4-11D2-9906-E49FADC173CA} "WinRAR" - ? - C:\Programme\WinRAR\rarext.dll  (File found, but it contains no detailed information)
{23F0DC38-DC86-49D6-81EC-40C54A204212} "Zen Nano Plus Media Explorer" - "Creative Technology Ltd" - C:\Programme\Creative\Creative Zen Nano Plus\CTMvns.dll

[Internet Explorer]
-----( HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser )-----
ITBar7Height "ITBar7Height" - ? -   (File not found | COM-object registry key not found)
<binary data> "ITBar7Layout" - ? -   (File not found | COM-object registry key not found)
-----( HKLM\SOFTWARE\Microsoft\Code Store Database\Distribution Units )-----
{85C86CCC-2158-4123-9C7D-785190CED875} "dp Launcher Plugin" - "digital publishing AG" - C:\WINDOWS\DOWNLO~1\DPLAUN~1.OCX / https://cache-static.scoyo.com/LMS/dp/dpLaunchPlugin.cab
{8AD9C840-044E-11D1-B3E9-00805F499D93} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} "Java Plug-in 1.6.0_29" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\npjpi160_29.dll / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab
{E1342154-4889-42B5-BEF6-19237577048F} "OberongamesLoader Object" - "Oberon Games" - C:\WINDOWS\Downloaded Program Files\Oberongamesloader.dll / hxxp://gamescenter.kabeleins.de/online/online2/insaniquarium/oberongamesloader.cab
{3E68E405-C6DE-49FF-83AE-41EE9F4C36CE} "Office Update Installation Engine" - "Microsoft Corporation" - C:\WINDOWS\opuc.dll / hxxp://office.microsoft.com/officeupdate/content/opuc.cab
{7530BFB8-7293-4D34-9923-61A11451AFC5} "OnlineScanner Control" - "ESET" - C:\PROGRA~1\ESET\ESETON~1\ONLINE~1.OCX / hxxp://download.eset.com/special/eos/OnlineScanner.cab
{DF780F87-FF2B-4DF8-92D0-73DB16A1543A} "PopCapLoader Object" - "PopCap Games" - C:\WINDOWS\Downloaded Program Files\popcaploader.dll / hxxp://www.popcap.com/webgames/popcaploader_v10_de.cab
{166B1BCA-3F9C-11CF-8075-444553540000} "Shockwave ActiveX Control" - "Macromedia, Inc." - C:\WINDOWS\system32\Macromed\Director\SwDir.dll / hxxp://fpdownload.macromedia.com/get/shockwave/cabs/director/sw.cab
{D27CDB6E-AE6D-11CF-96B8-444553540000} "Shockwave Flash Object" - "Adobe Systems, Inc." - C:\windows\system32\Macromed\Flash\Flash11e.ocx / hxxp://download.macromedia.com/pub/shockwave/cabs/flash/swflash.cab
{D4323BF2-006A-4440-A2F5-27E3E7AB25F8} "Virtools WebPlayer Class" - "Dassault Systèmes" - C:\Programme\Virtools\3D Life Player\WebPlayer.ocx / hxxp://3dlifeplayer.dl.3dvia.com/player/install/3DVIA_player_installer.exe
{17492023-C23A-453E-A040-C7C580BBF700} "Windows Genuine Advantage Validation Tool" - "Microsoft Corporation" - C:\windows\system32\LegitCheckControl.DLL / hxxp://download.microsoft.com/download/C/0/C/C0CBBA88-A6F2-48D9-9B0E-1719D1177202/LegitCheckControl.cab
{CAFEEFAC-0015-0000-0001-ABCDEFFEDCBA} "{CAFEEFAC-0015-0000-0001-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_01-windows-i586.cab
{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA} "{CAFEEFAC-0016-0000-0018-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_18-windows-i586.cab
{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} "{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}" - ? -   (File not found | COM-object registry key not found) / hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab
{E2883E8F-472F-4FB0-9522-AC9BF37916A7} "{E2883E8F-472F-4FB0-9522-AC9BF37916A7}" - ? -   (File not found | COM-object registry key not found) / hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab
-----( HKLM\SOFTWARE\Microsoft\Internet Explorer\Extensions )-----
{DDE87865-83C5-48c4-8357-2F5B1AA84522} "HP Intelligente Auswahl" - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects )-----
{18DF081C-E8AD-4283-A596-FA578C2EBDC3} "Adobe PDF Link Helper" - "Adobe Systems Incorporated" - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
{0347C33E-8762-4905-BF09-768834316C61} "HP Print Enhancer" - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_printenhancer.dll
{FFFFFFFF-CF4E-4F2B-BDC2-0E72E116A856} "HP Smart BHO Class" - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\Smart Web Printing\hpswp_BHO.dll
{DBC80044-A445-435b-BC74-9C25C1C588A9} "Java(tm) Plug-In 2 SSV Helper" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jp2ssv.dll
{E7E6F031-17CE-4C07-BC86-EABFE594F69C} "JQSIEStartDetectorImpl Class" - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\lib\deploy\jqs\ie\jqs_plugin.dll

[Logon]
-----( %AllUsersProfile%\Startmenü\Programme\Autostart )-----
"BlueSoleil.lnk" - "IVT Corporation" - C:\Programme\IVT Corporation\BlueSoleil\BlueSoleil.exe  (Shortcut exists | File exists)
"desktop.ini" - ? - C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\desktop.ini
"HP Digital Imaging Monitor.lnk" - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\bin\hpqtra08.exe  (Shortcut exists | File exists)
"Microsoft Office.lnk" - "Microsoft Corporation" - C:\Programme\Microsoft Office\Office\OSA9.EXE  (Shortcut exists | File exists)
"TrayMin700.exe.lnk" - ? - C:\Programme\Philips\SPC 700NC PC Camera\TrayMin700.exe  (Shortcut exists | File exists)
"VideoCam Suite.lnk" - ? - C:\Programme\Gemeinsame Dateien\Panasonic\VideoCam Suite AutoStart\VideoCamSuiteAutoStart.exe  (Shortcut exists | File exists)
-----( %UserProfile%\Startmenü\Programme\Autostart )-----
"desktop.ini" - ? - C:\Dokumente und Einstellungen\Georg Malsam\Startmenü\Programme\Autostart\desktop.ini
"OpenOffice.org 3.3.lnk" - ? - C:\Programme\OpenOffice.org 3\program\quickstart.exe  (Shortcut exists | File found, but it contains no detailed information | File exists)
-----( HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run )-----
"Creative Detector" - "Creative Technology Ltd" - C:\Programme\Creative\MediaSource\Detector\CTDetect.exe /R
"Skype" - "Skype Technologies S.A." - "C:\Programme\Skype\Phone\Skype.exe" /minimized
-----( HKLM\Software\Microsoft\Windows\CurrentVersion\Run )-----
"Adobe ARM" - "Adobe Systems Incorporated" - "C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe"
"APSDaemon" - "Apple Inc." - "C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe"
"ATIPTA" - "ATI Technologies, Inc." - C:\Programme\ATI Technologies\ATI Control Panel\atiptaxx.exe
"avgnt" - "Avira Operations GmbH & Co. KG" - "C:\Programme\Avira\AntiVir Desktop\avgnt.exe" /min
"CanonSolutionMenu" - "CANON INC." - C:\Programme\Canon\SolutionMenu\CNSLMAIN.exe /logon
"Dit" - "ICSI Technology Ltd." - Dit.exe
"FILSHtray" - "FILSH Media GmbH" - "C:\Programme\FILSHtray\FILSHtray.exe"
"HP Software Update" - "Hewlett-Packard" - C:\Programme\HP\HP Software Update\HPWuSchd2.exe
"Keyboard Status" - ? - C:\PROGRA~1\Medion\KeyStat\KeyStat.exe  (File found, but it contains no detailed information)
"NeroFilterCheck" - "Ahead Software Gmbh" - C:\WINDOWS\system32\NeroCheck.exe
"OpwareSE4" - "Nuance Communications, Inc." - "C:\Programme\ScanSoft\OmniPageSE4\OpwareSE4.exe"
"PCMService" - "CyberLink Corp." - "C:\Programme\Home Cinema\PowerCinema\PCMService.exe"
"QuickTime Task" - "Apple Inc." - "F:\QuickTime\qttask.exe" -atboottime
"SSBkgdUpdate" - "Nuance Communications, Inc." - "C:\Programme\Gemeinsame Dateien\Scansoft Shared\SSBkgdUpdate\SSBkgdupdate.exe" -Embedding -boot
"SunJavaUpdateSched" - "Sun Microsystems, Inc." - "C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe"
"TrayServer" - "MAGIX AG" - F:\MAGIX\Video_deluxe_MX_Premium_Download-Version\TrayServer_de.exe
"UpdatePDRShortCut" - "CyberLink Corp." - "F:\CyberLink\PowerDirector10\PowerDirector10\MUITransfer\MUIStartMenu.exe" "F:\CyberLink\PowerDirector10\PowerDirector10" UpdateWithCreateOnce "Software\CyberLink\PowerDirector\10.0"
"UVS10 Preload" - "Ulead Systems, Inc." - C:\Programme\Ulead Systems\Ulead VideoStudio SE DVD\uvPL.exe

[Services]
-----( HKLM\SYSTEM\CurrentControlSet\Services )-----
".NET Runtime Optimization Service v2.0.50727_X86" (clr_optimization_v2.0.50727_32) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe
"Anwendungsverwaltung" (AppMgmt) - ? - C:\windows\System32\appmgmts.dll  (File not found)
"ASP.NET-Zustandsdienst" (aspnet_state) - "Microsoft Corporation" - C:\windows\Microsoft.NET\Framework\v4.0.30319\aspnet_state.exe
"Avira Echtzeit Scanner" (AntiVirService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\avguard.exe
"Avira Planer" (AntiVirSchedulerService) - "Avira Operations GmbH & Co. KG" - C:\Programme\Avira\AntiVir Desktop\sched.exe
"B's Recorder GOLD Library General Service" (bgsvcgen) - "B.H.A Corporation" - C:\WINDOWS\system32\bgsvcgen.exe
"BlueSoleil Hid Service" (BlueSoleil Hid Service) - ? - C:\Programme\IVT Corporation\BlueSoleil\BTNtService.exe  (File found, but it contains no detailed information)
"CLCV0" (UTSCSI) - ? - C:\windows\system32\UTSCSI.EXE
"Creative Service for CDROM Access" (Creative Service for CDROM Access) - "Creative Technology Ltd" - C:\windows\system32\CTsvcCDA.EXE
"CyberLink Background Capture Service (CBCS)" (CLCapSvc) - ? - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLCapSvc.exe
"CyberLink Media Library Service" (CyberLink Media Library Service) - "Cyberlink" - C:\Programme\CyberLink\Shared Files\CLML_NTService\CLMLServer.exe
"Cyberlink RichVideo Service(CRVS)" (RichVideo) - ? - C:\Programme\CyberLink\Shared Files\RichVideo.exe
"CyberLink Task Scheduler (CTS)" (CLSched) - ? - C:\Programme\Home Cinema\PowerCinema\Kernel\TV\CLSched.exe
"FABS - Helping agent for MAGIX media database" (Fabs) - "MAGIX AG" - C:\Programme\Gemeinsame Dateien\MAGIX Services\Database\bin\FABS.exe
"Firebird Server - MAGIX Instance" (FirebirdServerMAGIXInstance) - "MAGIX®" - C:\Programme\Gemeinsame Dateien\MAGIX Services\Database\bin\fbserver.exe
"Google Update Service (gupdate)" (gupdate) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"Google Update-Dienst (gupdatem)" (gupdatem) - "Google Inc." - C:\Programme\Google\Update\GoogleUpdate.exe
"HP CUE DeviceDiscovery Service" (hpqddsvc) - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\bin\hpqddsvc.dll
"HP Network Devices Support" (HPSLPSVC) - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\bin\HPSLPSVC32.DLL
"hpqcxs08" (hpqcxs08) - "Hewlett-Packard Co." - C:\Programme\HP\Digital Imaging\bin\hpqcxs08.dll
"Java Quick Starter" (JavaQuickStarterService) - "Sun Microsystems, Inc." - C:\Programme\Java\jre6\bin\jqs.exe
"Machine Debug Manager" (MDM) - "Microsoft Corporation" - C:\Programme\Gemeinsame Dateien\Microsoft Shared\VS7Debug\mdm.exe
"Microsoft .NET Framework NGEN v4.0.30319_X86" (clr_optimization_v4.0.30319_32) - "Microsoft Corporation" - C:\windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe
"Net Driver HPZ12" (Net Driver HPZ12) - "Hewlett-Packard" - C:\WINDOWS\system32\HPZinw12.dll
"Pml Driver HPZ12" (Pml Driver HPZ12) - "Hewlett-Packard" - C:\WINDOWS\system32\HPZipm12.dll
"Ulead Burning Helper" (UleadBurningHelper) - "Ulead Systems, Inc." - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe
"Windows CardSpace" (idsvc) - "Microsoft Corporation" - C:\WINDOWS\Microsoft.NET\Framework\v3.0\Windows Communication Foundation\infocard.exe
"Windows Presentation Foundation Font Cache 4.0.0.0" (WPFFontCache_v0400) - "Microsoft Corporation" - C:\windows\Microsoft.NET\Framework\v4.0.30319\WPF\WPFFontCache_v0400.exe
"X10 Device Network Service" (x10nets) - "X10" - C:\PROGRA~1\COMMON~1\X10\Common\x10nets.exe

[Winlogon]
-----( HKCU\Control Panel\IOProcs )-----
"MVB" - ? - mvfs32.dll  (File not found)
-----( HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\GPExtensions )-----
{c6dc5466-785a-11d2-84d0-00c04fb169f7} "Softwareinstallation" - ? - appmgmts.dll  (File not found)

===[ Logfile end ]=========================================[ Logfile end ]===

If You have questions or want to get some help, You can visit hxxp://forum.online-solutions.ru

Jetzt mache ich noch den Scan mit aswMBR, bis dann
Juri9 (immer noch

)

Juri9 · 03.01.2012, 07:07

Guten Morgen ^^
Die aswMBR.txt kommt so spät, weil ich beim Scan ehlich gesagt eingeschlafen bin, aber was soll's, hier ist sie:

Code:

ATTFilter

aswMBR version 0.9.9.1124 Copyright(c) 2011 AVAST Software
Run date: 2012-01-03 00:08:00
-----------------------------
00:08:00.578    OS Version: Windows 5.1.2600 Service Pack 3
00:08:00.578    Number of processors: 2 586 0x403
00:08:00.578    ComputerName: MALSAM  UserName: 
00:08:01.000    Initialize success
00:10:12.937    AVAST engine defs: 12010201
00:11:30.265    Disk 0 (boot) \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP1T0L0-17
00:11:30.281    Disk 0 Vendor: WDC_WD1600JD-00HBB0 08.02D08 Size: 152627MB BusType: 3
00:11:30.281    Disk 1  \Device\Harddisk1\DR1 -> \Device\Ide\IdeDeviceP2T0L0-22
00:11:30.281    Disk 1 Vendor: WDC_WD1600JD-00HBB0 08.02D08 Size: 152627MB BusType: 3
00:11:30.343    Disk 0 MBR read successfully
00:11:30.343    Disk 0 MBR scan
00:11:30.390    Disk 0 unknown MBR code
00:11:30.406    Disk 0 Partition 1 80 (A) 07    HPFS/NTFS NTFS        77006 MB offset 63
00:11:30.421    Disk 0 Partition - 00     0F Extended LBA             75618 MB offset 157710105
00:11:30.468    Disk 0 Partition 2 00     07    HPFS/NTFS NTFS        68621 MB offset 157710168
00:11:30.468    Disk 0 Partition - 00     05     Extended              6997 MB offset 298246725
00:11:30.546    Disk 0 Partition 3 00     0B        FAT32 MSWIN4.1     6997 MB offset 298246788
00:11:30.562    Disk 0 scanning sectors +312576705
00:11:30.796    Disk 0 scanning C:\windows\system32\drivers
00:12:27.078    Service scanning
00:12:28.031    Modules scanning
00:13:39.156    Disk 0 trace - called modules:
00:13:39.218    ntkrnlpa.exe CLASSPNP.SYS disk.sys ACPI.sys hal.dll atapi.sys pciide.sys PCIIDEX.SYS 
00:13:39.218    1 nt!IofCallDriver -> \Device\Harddisk0\DR0[0x86ef8ab8]
00:13:39.234    3 CLASSPNP.SYS[f76bbfd7] -> nt!IofCallDriver -> \Device\00000079[0x86efe9e8]
00:13:39.234    5 ACPI.sys[f7531620] -> nt!IofCallDriver -> \Device\Ide\IdeDeviceP1T0L0-17[0x86f29d98]
00:13:39.625    AVAST engine scan C:\windows
00:15:07.375    AVAST engine scan C:\windows\system32
00:20:53.281    AVAST engine scan C:\windows\system32\drivers
00:22:01.890    AVAST engine scan C:\Dokumente und Einstellungen\Georg Malsam
01:34:05.281    AVAST engine scan C:\Dokumente und Einstellungen\All Users
01:52:00.078    Scan finished successfully
07:05:06.390    Disk 0 MBR has been saved successfully to "C:\Dokumente und Einstellungen\Georg Malsam\Desktop\MBR.dat"
07:05:06.390    The log file has been saved successfully to "C:\Dokumente und Einstellungen\Georg Malsam\Desktop\aswMBR.txt"

So, viel Spaß schonmal bei der Analyse der 3 Logs

Gruß, Juri9

----

Achso, und...
Die ganzen Programme müllen so langsam den Desktop zu. Kann ich die jetzt so langsam löschen? Brauche ich noch die PartedMagic-CD?

cosinus · 03.01.2012, 19:44

Zitat:

Brauche ich noch die PartedMagic-CD?

Erstmal nicht. Aber wieso fragst du, willst du die wegwerfen?

Als Notfall-CD ist sowas immer absolut zu empfehlen.

Wir sollten den MBR fixen, sichere für den Fall der Fälle ALLE wichtigen Daten, auch wenn meistens alles glatt geht.

Hinweis: Mach bitte NICHT den MBR-Fix, wenn du noch andere Betriebssysteme wie zB Ubuntu installiert hast, ein MBR-Fix mit Windows-Tools macht ein parallel installiertes (Dualboot) Linux unbootbar.

Starte nach der Datensicherung aswmbr erneut und klick auf den Button FIXMBR.
Anschließend Windows neu starten und ein neues Log mit aswMBR machen.

Juri9 · 03.01.2012, 20:07

Ich wollt nur fragen, ob ich die jetzt hier sofort griffsbereit aufbewahren soll oder ob sie erstmal weggesteckt werden kann.
Den Fix mit dem Programm mache ich später, weil ich grad echt keine Lust habe, alles zu sichern. Später.
Und was ist mit den unzähligen Programmen, wie TDSSkiller, ComboFix etc.? Kann ich die so langsam entfernen?
Gruß, Juri9

cosinus · 03.01.2012, 21:08

Die Programme die hier zum Einsatz kamen kommen runter wenn wir durch sind

Juri9 · 09.01.2012, 18:25

Mann... mit meinem Plan dauert es so lang... bääh...
Kennst du vielleicht ein kostenloses Datensicherungsprogramm mit dem man das ganz gut machen kann, ohne irgendwelche Probleme?

02.01.2012, 17:08	#20
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	$MBAM findet Malware: C:\DelUS.bat - Was tun? - Standard$ MBAM findet Malware: C:\DelUS.bat - Was tun? http://www.trojaner-board.de/81857-c...cd-booten.html __________________ Logfiles bitte immer in CODE-Tags posten

03.01.2012, 21:08	#29
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	$MBAM findet Malware: C:\DelUS.bat - Was tun? - Standard$ MBAM findet Malware: C:\DelUS.bat - Was tun? Die Programme die hier zum Einsatz kamen kommen runter wenn wir durch sind __________________ Logfiles bitte immer in CODE-Tags posten

MBAM findet Malware: C:\DelUS.bat - Was tun?

Plagegeister aller Art und deren Bekämpfung: MBAM findet Malware: C:\DelUS.bat - Was tun?