Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher

karstenw · 18.01.2012, 22:28

Hallo!

Mein Laptop benimmt sich merkwürdig und auf der Suche nach dem Fehler bin ich auf dieses Forum gestossen und habe einen Virenscanner namens ESET laufen lassen. Dieser hat dann auch einiges gefunden (86 infizierte Dateien) und diese gelöscht. Jedoch war die letzte Meldung des Scanners
"Operating memory probably a variant of Win32/Spy.Banker.WBU trojan "

und leider funktioniert das System immer noch nicht richtig. Viele Programme lassen sich beim ersten Mal nicht starten (eine Initialisierung ist fehlgeschlagen oder so ähnlich) und der Browser (Google Chrome) stürzt nach dem ersten Start immer ab. Tatsächlich meldet eset, wenn ich es erneut den Speicher scannen lasse, obigen Trojaner.

Wie gehe ich da am besten weiter vor? Über jede Hilfe freut sich
Karsten.

Hier die otl.txt, die extra.txt und gmer.log hänge ich als zip an. und auch das logfile des eset scans.

OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 18.01.2012 21:49:45 - Run 1
OTL by OldTimer - Version 3.2.31.0     Folder = C:\Dokumente und Einstellungen\TravelMate\Desktop
Windows XP Professional Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 6.0.2900.5512)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
502,04 Mb Total Physical Memory | 284,59 Mb Available Physical Memory | 56,69% Memory free
1,20 Gb Paging File | 0,92 Gb Available in Paging File | 76,87% Paging File free
Paging file location(s): C:\pagefile.sys 756 1512 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 35,06 Gb Total Space | 5,05 Gb Free Space | 14,41% Space Free | Partition Type: FAT32
Drive D: | 35,55 Gb Total Space | 35,54 Gb Free Space | 99,97% Space Free | Partition Type: FAT32
 
Computer Name: ACER-8E86865245 | User Name: TravelMate | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - [2012.01.18 21:48:26 | 000,584,192 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe
PRC - [2012.01.18 21:42:04 | 000,500,224 | ---- | M] (Realtek Semiconductor Corp.) -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Temp\RtkBtMnt.exe
PRC - [2010.11.23 19:26:00 | 000,039,936 | ---- | M] () -- C:\Programme\phonostar-Player\phonostarTimer.exe
PRC - [2008.07.22 22:44:06 | 000,357,376 | ---- | M] (shbox.de) -- C:\Programme\FreePDF_XP\fpassist.exe
PRC - [2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\system32\userinit.exe
PRC - [2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe
PRC - [2007.04.03 16:18:08 | 001,516,584 | ---- | M] (Cisco Systems, Inc.) -- C:\Programme\Cisco Systems\VPN Client\cvpnd.exe
PRC - [2005.12.13 17:08:48 | 000,344,064 | ---- | M] (Acer Incorporated) -- C:\Acer\Empowering Technology\ePower\ePower_DMC.exe
PRC - [2005.11.24 12:45:42 | 000,589,824 | ---- | M] (Dritek System Inc.) -- C:\Programme\Launch Manager\LManager.exe
PRC - [2005.11.16 17:00:50 | 000,397,312 | ---- | M] (acer Inc.) -- C:\Acer\Empowering Technology\eRecovery\Monitor.exe
PRC - [2005.10.24 16:45:32 | 002,462,208 | ---- | M] (Avocent Inc.) -- C:\Acer\Empowering Technology\admtray.exe
PRC - [2005.10.24 16:40:52 | 001,314,816 | ---- | M] (Avocent Inc.) -- C:\Acer\Empowering Technology\admServ.exe
PRC - [2005.10.19 09:30:16 | 000,069,632 | ---- | M] (HiTRUST) -- C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe
 
 
========== Modules (No Company Name) ==========
 
MOD - [2012.01.16 08:08:30 | 003,391,488 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\mscorlib\1.0.5000.0__b77a5c561934e089_f120454b\mscorlib.dll
MOD - [2012.01.16 08:08:26 | 000,835,584 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.drawing\1.0.5000.0__b03f5f7f11d50a3a_0a5746e7\system.drawing.dll
MOD - [2012.01.16 08:08:14 | 003,035,136 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system.windows.forms\1.0.5000.0__b77a5c561934e089_53f6fc32\system.windows.forms.dll
MOD - [2012.01.16 08:08:04 | 001,966,080 | ---- | M] () -- c:\windows\assembly\nativeimages1_v1.1.4322\system\1.0.5000.0__b77a5c561934e089_1ca8ced0\system.dll
MOD - [2012.01.16 08:07:52 | 001,232,896 | ---- | M] () -- c:\windows\assembly\gac\system\1.0.5000.0__b77a5c561934e089\system.dll
MOD - [2012.01.16 08:07:50 | 002,064,384 | ---- | M] () -- c:\windows\assembly\gac\system.windows.forms\1.0.5000.0__b77a5c561934e089\system.windows.forms.dll
MOD - [2011.07.18 22:04:08 | 000,296,448 | ---- | M] () -- C:\Programme\Notepad++\NppShell_04.dll
MOD - [2010.11.23 19:26:00 | 000,039,936 | ---- | M] () -- C:\Programme\phonostar-Player\phonostarTimer.exe
MOD - [2010.10.01 13:06:52 | 002,278,912 | ---- | M] () -- C:\Programme\phonostar-Player\QtCore4.dll
MOD - [2010.09.10 15:07:26 | 000,416,256 | ---- | M] () -- C:\Programme\phonostar-Player\plugins\sqldrivers\qsqlite4.dll
MOD - [2010.09.10 12:20:48 | 008,151,040 | ---- | M] () -- C:\Programme\phonostar-Player\QtGui4.dll
MOD - [2010.09.10 12:06:58 | 000,190,464 | ---- | M] () -- C:\Programme\phonostar-Player\QtSql4.dll
MOD - [2008.02.25 22:23:10 | 000,116,224 | ---- | M] () -- C:\WINDOWS\system32\redmonnt.dll
MOD - [2007.04.03 16:18:26 | 000,197,672 | ---- | M] () -- C:\WINDOWS\system32\vpnapi.dll
MOD - [2005.11.28 11:59:16 | 000,876,544 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\Libeay32.dll
MOD - [2005.11.28 11:59:16 | 000,208,965 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\iWMSProv.dll
MOD - [2005.11.28 11:59:16 | 000,053,322 | ---- | M] () -- C:\Programme\Intel\Wireless\Bin\IntStngs.dll
MOD - [2005.10.20 17:20:24 | 000,208,896 | ---- | M] () -- C:\Acer\Empowering Technology\ePower\DialogDLL.dll
MOD - [2005.10.11 13:18:54 | 000,028,672 | ---- | M] () -- C:\Acer\Empowering Technology\ePower\SysHook.dll
MOD - [2005.09.05 16:31:56 | 000,229,472 | ---- | M] () -- C:\Acer\Empowering Technology\NetMonitor.dll
MOD - [2005.08.24 01:24:00 | 000,010,752 | ---- | M] () -- C:\WINDOWS\system32\MSNChatHook.dll
MOD - [2005.01.11 14:31:38 | 000,466,944 | ---- | M] () -- c:\windows\assembly\gac\system.drawing\1.0.5000.0__b03f5f7f11d50a3a\system.drawing.dll
MOD - [2005.01.11 14:30:46 | 000,233,472 | ---- | M] () -- c:\windows\assembly\gac\mscorlib.resources\1.0.5000.0_de_b77a5c561934e089\mscorlib.resources.dll
MOD - [2003.12.29 20:45:08 | 000,040,960 | ---- | M] () -- C:\Acer\Empowering Technology\ServiceControl.dll
MOD - [2003.06.07 13:30:08 | 000,057,344 | ---- | M] () -- C:\Programme\Launch Manager\PowerUtl.dll
 
 
========== Win32 Services (SafeList) ==========
 
SRV - [2007.04.03 16:18:08 | 001,516,584 | ---- | M] (Cisco Systems, Inc.) [Auto | Running] -- C:\Programme\Cisco Systems\VPN Client\cvpnd.exe -- (CVPND)
SRV - [2005.10.24 16:40:52 | 001,314,816 | ---- | M] (Avocent Inc.) [Auto | Running] -- C:\Acer\Empowering Technology\admServ.exe -- (AWService)
SRV - [2004.10.22 02:24:18 | 000,073,728 | ---- | M] (Macrovision Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe -- (IDriverT)
 
 
========== Driver Services (SafeList) ==========
 
DRV - [2007.04.03 16:17:08 | 000,306,295 | ---- | M] (Cisco Systems, Inc.) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\CVPNDRVA.sys -- (CVPNDRVA)
DRV - [2007.01.24 00:23:16 | 000,127,376 | ---- | M] (Deterministic Networks, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\dne2000.sys -- (DNE)
DRV - [2007.01.18 14:28:02 | 000,005,275 | ---- | M] (Cisco Systems, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\CVirtA.sys -- (CVirtA)
DRV - [2006.09.24 15:28:46 | 000,005,248 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | Boot | Running] -- C:\WINDOWS\system32\speedfan.sys -- (speedfan)
DRV - [2005.12.28 04:37:58 | 000,015,488 | R--- | M] (WideView Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\WDM_Loader_220A.sys -- (WDM_Loader_220A)
DRV - [2005.11.28 12:09:26 | 000,013,568 | ---- | M] (Intel Corporation) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\s24trans.sys -- (s24trans)
DRV - [2005.11.27 00:36:08 | 001,427,968 | ---- | M] (Intel® Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\w39n51.sys -- (w39n51) Intel(R)
DRV - [2005.11.17 17:20:12 | 000,037,888 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ESD7SK.sys -- (ESDCR)
DRV - [2005.11.17 17:20:08 | 000,074,624 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ESM7SK.sys -- (ESMCR)
DRV - [2005.11.17 17:20:02 | 000,060,928 | ---- | M] (ENE Technology Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\EMS7SK.sys -- (EMSCR)
DRV - [2005.11.17 15:45:40 | 004,069,888 | ---- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\RtkHDAud.Sys -- (IntcAzAudAddService) Service for Realtek HD Audio (WDM)
DRV - [2005.10.31 14:16:00 | 000,046,080 | ---- | M] (SMSC) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\smcirda.sys -- (SMCIRDA)
DRV - [2005.10.31 14:16:00 | 000,045,312 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\bcm4sbxp.sys -- (bcm4sbxp)
DRV - [2005.10.24 10:20:52 | 000,218,496 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSFHWAZL.sys -- (HSFHWAZL)
DRV - [2005.10.18 16:53:24 | 000,998,656 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSF_DPV.sys -- (HSF_DPV)
DRV - [2005.10.18 16:52:30 | 000,721,280 | ---- | M] (Conexant Systems, Inc.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\HSF_CNXT.sys -- (winachsf)
DRV - [2005.10.15 18:20:44 | 000,012,106 | ---- | M] (OSA Technologies) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\OsaFsLoc.sys -- (OsaFsLoc)
DRV - [2005.09.13 15:34:40 | 000,004,392 | ---- | M] (OSA Technologies) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\NdisFilt.sys -- (NdisFilt)
DRV - [2005.08.03 05:10:14 | 000,032,512 | ---- | M] (CACE Technologies) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\npf.sys -- (NPF)
DRV - [2005.06.30 16:58:24 | 000,007,296 | ---- | M] (OSA Technologies, An Avocent Company) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\osaio.sys -- (osaio)
DRV - [2005.05.02 12:13:42 | 000,009,600 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\NETMNT.sys -- (NETMNT)
DRV - [2005.04.22 16:57:06 | 000,078,208 | ---- | M] (Acer Value Labs, USA) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\epm-shd.sys -- (EpmShd)
DRV - [2005.04.22 16:57:06 | 000,004,096 | ---- | M] (Acer Value Labs, USA) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\epm-psd.sys -- (EpmPsd)
DRV - [2005.01.26 08:22:20 | 000,280,344 | ---- | M] (Zone Labs LLC) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\vsdatant.sys -- (vsdatant)
DRV - [2005.01.14 15:57:16 | 000,004,010 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\osanbm.sys -- (osanbm)
DRV - [2005.01.13 14:46:16 | 000,069,632 | ---- | M] () [Kernel | Auto | Running] -- C:\Acer\Empowering Technology\eRecovery\int15.sys -- (int15.sys)
DRV - [2004.10.23 02:23:00 | 000,084,352 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdmdm.sys -- (sscdmdm)
DRV - [2004.10.23 02:23:00 | 000,052,384 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdbus.sys -- (sscdbus) SAMSUNG USB Composite Device driver (WDM)
DRV - [2004.10.23 02:23:00 | 000,006,032 | R--- | M] (MCCI) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\sscdmdfl.sys -- (sscdmdfl)
DRV - [2004.09.06 15:40:04 | 000,018,432 | R--- | M] (Computer & Entertainment, Inc.) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\WDM_Capture_220A.sys -- (WDM_Capture_220A)
DRV - [1996.04.03 21:33:26 | 000,005,248 | ---- | M] () [Kernel | Boot | Running] -- C:\WINDOWS\system32\giveio.sys -- (giveio)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com/ie
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.msn.com/
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
FF - HKLM\Software\MozillaPlugins\@divx.com/DivX Browser Plugin,version=1.0.0: C:\Programme\DivX\DivX Plus Web Player\npdivx32.dll File not found
FF - HKLM\Software\MozillaPlugins\@divx.com/DivX VOD Helper,version=1.0.0: C:\Programme\DivX\DivX OVS Helper\npovshelper.dll File not found
FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa3,version=3.0.0: C:\Programme\Google\Picasa3\npPicasa3.dll (Google, Inc.)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programme\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Programme\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@viewpoint.com/VMP: C:\Programme\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll ()
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.)
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll (Google Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{23fcfd51-4958-4f00-80a3-ae97e717ed8b}: C:\Programme\DivX\DivX Plus Web Player\firefox\html5video
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{6904342A-8307-11DF-A508-4AE2DFD72085}: C:\Programme\DivX\DivX Plus Web Player\firefox\wpa
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{184AA5E6-741D-464a-820E-94B3ABC2F3B4}: C:\WINDOWS\system32\5054 [2011.12.10 02:52:46 | 000,000,000 | ---D | M]
FF - HKEY_CURRENT_USER\software\mozilla\Firefox\extensions\\{184AA5E6-741D-464a-820E-94B3ABC2F3B4}: C:\WINDOWS\system32\5054 [2011.12.10 02:52:46 | 000,000,000 | ---D | M]
 
 
========== Chrome  ==========
 
CHR - default_search_provider: Google (Enabled)
CHR - default_search_provider: search_url = {google:baseURL}search?{google:RLZ}{google:acceptedSuggestion}{google:originalQueryForSuggestion}{google:searchFieldtrialParameter}{google:instantFieldTrialGroupParameter}sourceid=chrome&ie={inputEncoding}&q={searchTerms}
CHR - default_search_provider: suggest_url = {google:baseSuggestURL}search?{google:searchFieldtrialParameter}{google:instantFieldTrialGroupParameter}client=chrome&hl={language}&q={searchTerms}
CHR - plugin: Remoting Viewer (Enabled) = internal-remoting-viewer
CHR - plugin: Native Client (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\ppGoogleNaClPluginChrome.dll
CHR - plugin: Chrome PDF Viewer (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\pdf.dll
CHR - plugin: Shockwave Flash (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\Application\16.0.912.75\gcswf32.dll
CHR - plugin: Adobe Acrobat (Enabled) = C:\Programme\Adobe\Reader 8.0\Reader\Browser\nppdf32.dll
CHR - plugin: Java Deployment Toolkit 6.0.290.11 (Enabled) = C:\Programme\Java\jre6\bin\new_plugin\npdeployJava1.dll
CHR - plugin: Java(TM) Platform SE 6 U29 (Enabled) = C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll
CHR - plugin: Microsoft\u00AE DRM (Enabled) = C:\Programme\Windows Media Player\npwmsdrm.dll
CHR - plugin: Microsoft\u00AE DRM (Enabled) = C:\Programme\Windows Media Player\npdrmv2.dll
CHR - plugin: Microsoft\u00AE Windows Media Player Firefox Plugin (Enabled) = D:\PFiles\Plugins\np-mswmp.dll
CHR - plugin: Google Update (Enabled) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Update\1.3.21.79\npGoogleUpdate3.dll
CHR - plugin: Picasa (Enabled) = C:\Programme\Google\Picasa3\npPicasa3.dll
CHR - plugin: MetaStream 3 Plugin (Enabled) = C:\Programme\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll
CHR - plugin: Windows Presentation Foundation (Enabled) = C:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll
CHR - plugin: Default Plug-in (Enabled) = default_plugin
CHR - Extension: Send using Gmail\u2122 (no button) = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\ahldefgplekckalfcolhhnljbbgaiboc\1.11.12.4_0\
CHR - Extension: ChromeLite = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\bjekedpipaedojkbialnhabcecmfpofh\1.1_0\
CHR - Extension: YouTube = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\blpcfgokakmgnkcojhhkbfbldkacnbeo\4.2.3_0\
CHR - Extension: Google-Suche = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\coobgpohoikkiipiblmjeljniedjpjpf\0.0.0.16_0\
CHR - Extension: AdBlock = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\gighmmpiobklfepjocnamgkkbiglidom\2.5.13_0\
CHR - Extension: SourceKit = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\iieeldjdihkpoapgipfkeoddjckopgjg\0.7.4_0\
CHR - Extension: dotEPUB = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\okpfiebkkmjcnodegbbbiellepfhoglm\0.7.0_0\
CHR - Extension: Google Mail = C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Extensions\pjkljhegncpnkpknbcohdijeoejaedia\7_0\
 
O1 HOSTS File: ([2010.08.31 19:20:06 | 000,000,867 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O1 - Hosts: 192.168.0.1     amd366.klausur.net   amd366
O2 - BHO: (no name) - {184AA5E6-741D-464a-820E-94B3ABC2F3B4} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Acer eDataSecurity Management) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\system32\ToolBand.dll (HiTRUST)
O3 - HKCU\..\Toolbar\ShellBrowser: (Acer eDataSecurity Management) - {0E1230F8-EA50-42A9-983C-D22ABC2EED3B} - C:\WINDOWS\system32\ToolBand.dll (HiTRUST)
O4 - HKLM..\Run: [Acer ePower Management] C:\Acer\Empowering Technology\ePower\Acer ePower Management.exe (Acer Value Labs, Taiwan)
O4 - HKLM..\Run: [ADMTray.exe] C:\Acer\Empowering Technology\admtray.exe (Avocent Inc.)
O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\Alcmtr.exe (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [eDataSecurity Loader] C:\Acer\Empowering Technology\eDataSecurity\eDSloader.exe (HiTRUST)
O4 - HKLM..\Run: [ePower_DMC] C:\Acer\Empowering Technology\ePower\ePower_DMC.exe (Acer Incorporated)
O4 - HKLM..\Run: [eRecoveryService] C:\Acer\Empowering Technology\eRecovery\Monitor.exe (acer Inc.)
O4 - HKLM..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe (shbox.de)
O4 - HKLM..\Run: [FreePDFAssistent] C:\Programme\FreePDF\FreePDFA.exe File not found
O4 - HKLM..\Run: [LManager] C:\Programme\Launch Manager\LManager.exe (Dritek System Inc.)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKCU..\Run: [phonostarTimer] C:\Programme\phonostar-Player\phonostarTimer.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoInternetIcon = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O16 - DPF: {8FFBE65D-2C9C-4669-84BD-5829DC0B603C} hxxp://fpdownload.macromedia.com/get/flashplayer/current/ultrashim.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0003-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_03-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0005-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_05-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0007-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_07-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {CAFEEFAC-0016-0000-0029-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_29-windows-i586.cab (Java Plug-in 1.6.0_29)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{A01878D9-F689-4ECE-B18C-FFFF809D204A}: DhcpNameServer = 192.168.178.1
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) -C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) -C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\appconf32.exe) -C:\WINDOWS\system32\appconf32.exe ()
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010.05.17 22:53:42 | 000,000,002 | ---- | M] () - C:\AUTOEXEC.BAT -- [ FAT32 ]
O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell - "" = AutoRun
O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{09c5c378-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun\command - "" = F:\AutoRun.exe
O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell - "" = AutoRun
O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{09c5c379-8cb6-11dd-80c8-001302037a9c}\Shell\AutoRun\command - "" = F:\AutoRun.exe
O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell - "" = AutoRun
O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{1fe4883e-7d72-11df-8486-001302037a9c}\Shell\AutoRun\command - "" = G:\autorun.exe
O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell - "" = AutoRun
O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{ab9a8e7a-5715-11de-826f-001302037a9c}\Shell\AutoRun\command - "" = F:\LaunchU3.exe -a
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
ActiveX: {0213C6AF-5562-4D09-884C-2ADCFC8C2F35} - Microsoft .NET Framework 1.1 Security Update (KB2656353)
ActiveX: {03F998B2-0E00-11D3-A498-00104B6EB52E} - Viewpoint Media Player
ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun)
ActiveX: {10072CEC-8CC1-11D1-986E-00A0C955B42F} - Vektorgrafik-Rendering (VML)
ActiveX: {1B00725B-C455-4DE6-BFB6-AD540AD427CD} - Viewpoint Media Player
ActiveX: {2179C5D3-EBFF-11CF-B6FD-00AA00B4E220} - NetShow
ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 6.4
ActiveX: {283807B5-2C60-11D0-A31D-00AA00B92C03} - DirectAnimation
ActiveX: {2A3320D6-C805-4280-B423-B665BDE33D8F} - Microsoft .NET Framework 1.1 Security Update (KB979906)
ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
ActiveX: {36f8ec70-c29a-11d1-b5c7-0000f8051515} - Dynamic HTML-Datenbindung für Java
ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offlinebrowsingpaket
ActiveX: {3bf42070-b3b1-11d1-b5c5-0000f8051515} - Uniscribe
ActiveX: {411EDCF7-755D-414E-A74B-3DCD6583F589} - Microsoft .NET Framework 1.1 Service Pack 1 (KB867460)
ActiveX: {4278c270-a269-11d1-b5bf-0000f8051515} - Erweitertes Authoring
ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:OE /CALLER:WINNT /user /install
ActiveX: {44BBA842-CC51-11CF-AAFA-00AA00B6015B} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msnetmtg.inf,NetMtg.Install.PerUser.NT
ActiveX: {44BBA848-CC51-11CF-AAFA-00AA00B6015C} - DirectShow
ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx
ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer-Hilfe
ActiveX: {4f216970-c90c-11d1-b5c7-0000f8051515} - DirectAnimation Java Classes
ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6
ActiveX: {5945c046-1e7d-11d1-bc44-00c04fd912be} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\msmsgs.inf,BLC.QuietInstall.PerUser
ActiveX: {5A8D6EE0-3E18-11D0-821E-444553540000} - ICW
ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools
ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsererweiterungen
ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player
ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - Zugang zu MSN Site
ActiveX: {7131646D-CD3C-40F4-97B9-CD9E4E6262EF} - .NET Framework
ActiveX: {73FA19D0-2D75-11D2-995D-00C04F98BBC9} - Webordner
ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - "%ProgramFiles%\Outlook Express\setup50.exe" /APP:WAB /CALLER:WINNT /user /install
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - %SystemRoot%\system32\ie4uinit.exe
ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\WINDOWS\system32\Rundll32.exe C:\WINDOWS\system32\mscories.dll,Install
ActiveX: {8b15971b-5355-4c82-8c07-7e181ea07608} - rundll32.exe advpack.dll,LaunchINFSection C:\WINDOWS\INF\fxsocm.inf,Fax.UnInstall.PerUser
ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML-Datenbindung
ActiveX: {94de52c8-2d59-4f1b-883e-79663d2d9a8c} - rundll32.exe C:\WINDOWS\system32\Setup\FxsOcm.dll,XP_UninstallProvider
ActiveX: {B508B3F1-A24A-32C0-B310-85786919EF28} - .NET Framework
ActiveX: {C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F} - .NET Framework
ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer-Hauptschriftarten
ActiveX: {CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1} - .NET Framework
ActiveX: {CC2A9BA0-3BDD-11D0-821E-444553540000} - Taskplaner
ActiveX: {CDD7975E-60F8-41d5-8149-19E51D6F71D0} - Windows Movie Maker v2.1
ActiveX: {D27CDB6E-AE6D-11cf-96B8-444553540000} - Adobe Flash Player
ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML-Hilfe
ActiveX: {E78BFA60-5393-4C38-82AB-E8019E464EB4} - .NET Framework
ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface
ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - C:\WINDOWS\inf\unregmp2.exe /ShowWMP
ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigIE
ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF}MICROS - RunDLL32 IEDKCS32.DLL,BrandIE4 SIGNUP
ActiveX: >{881dd1c5-3dcf-431b-b061-f3f88e8be88a} - %systemroot%\system32\shmgrate.exe OCInstallUserConfigOE
 
NetSvcs: 6to4 -  File not found
NetSvcs: Ias -  File not found
NetSvcs: Iprip -  File not found
NetSvcs: NWCWorkstation -  File not found
NetSvcs: Nwsapagent -  File not found
NetSvcs: WmdmPmSp -  File not found
 
 
CREATERESTOREPOINT
Restore point Set: OTL Restore Point
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.01.18 21:48:27 | 000,584,192 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe
[2012.01.16 15:53:25 | 000,000,000 | ---D | C] -- C:\Programme\ESET
[2012.01.16 15:53:18 | 002,322,184 | ---- | C] (ESET) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\esetsmartinstaller_enu.exe
[2012.01.16 07:57:22 | 000,000,000 | -HSD | C] -- C:\Config.Msi
[2012.01.12 09:07:59 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Desktop\fotos
[2012.01.12 09:01:56 | 000,000,000 | R--D | C] -- C:\Dokumente und Einstellungen\All Users\Dokumente\Eigene Musik
[2011.12.31 17:28:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Startmenü\Programme\Google Chrome
[2011.12.28 14:10:23 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\MiKTeX
[2011.12.28 14:10:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\MiKTeX
[2011.12.28 13:59:10 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\MiKTeX 2.9
[2011.12.28 13:57:39 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\MiKTeX
[2011.12.28 13:54:48 | 000,000,000 | ---D | C] -- C:\Programme\MiKTeX 2.9
[2011.12.26 08:36:58 | 000,000,000 | ---D | C] -- C:\Programme\stinger
[2011.02.18 14:52:52 | 003,887,480 | ---- | C] (Sysinternals - www.sysinternals.com) -- C:\Programme\procexp.exe
[2010.12.12 20:06:20 | 001,604,472 | ---- | C] (Netviewer AG) -- C:\Programme\Netviewer_Meet_free.exe
[2010.08.21 00:55:16 | 000,427,008 | ---- | C] (Anny Studio) -- C:\Programme\jcpicker.exe
[2010.02.22 15:35:10 | 000,282,624 | ---- | C] (Simon Tatham) -- C:\Programme\plink.exe
[2010.02.20 19:26:57 | 000,172,032 | ---- | C] (Simon Tatham) -- C:\Programme\puttygen.exe
[2008.05.20 09:57:27 | 000,520,192 | ---- | C] (Andrew Zhezherun) -- C:\Programme\WinDjView-0.5.exe
[2007.11.07 23:28:51 | 000,454,656 | ---- | C] (Simon Tatham) -- C:\Programme\putty.exe
[2007.09.11 18:29:38 | 002,814,101 | ---- | C] (ActiveState Corporation) -- C:\Programme\tksqlite.exe
[5 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.01.18 21:48:26 | 000,584,192 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\OTL.exe
[2012.01.18 21:47:24 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\defogger_reenable
[2012.01.18 21:46:36 | 000,050,477 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Defogger.exe
[2012.01.18 21:42:08 | 000,000,451 | ---- | M] () -- C:\WINDOWS\System32\eRLog.ini
[2012.01.18 21:41:48 | 000,001,158 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.01.18 21:41:48 | 000,001,094 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2012.01.18 21:41:26 | 526,503,936 | -HS- | M] () -- C:\hiberfil.sys
[2012.01.18 21:41:26 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.01.18 08:41:18 | 000,001,098 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2012.01.18 08:39:56 | 000,221,632 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2012.01.18 07:45:56 | 000,014,664 | ---- | M] (McAfee, Inc.) -- C:\WINDOWS\stinger.sys
[2012.01.17 08:05:40 | 000,069,360 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\swr2-wissen-20120116.pdf
[2012.01.16 17:30:04 | 000,001,178 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1785036086-2971949145-1346396146-1005Core.job
[2012.01.16 15:53:24 | 002,322,184 | ---- | M] (ESET) -- C:\Dokumente und Einstellungen\TravelMate\Desktop\esetsmartinstaller_enu.exe
[2012.01.16 08:12:18 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2012.01.16 08:10:44 | 000,506,602 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2012.01.16 08:10:44 | 000,478,882 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2012.01.16 08:10:44 | 000,105,888 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2012.01.16 08:10:44 | 000,087,176 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2012.01.14 01:54:12 | 000,000,754 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\.recently-used.xbel
[2012.01.08 18:53:04 | 000,099,039 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Effective-techniques-in-health-eating-and-physical-activity-interventions-A-meta-regression-2009.pdf
[2012.01.08 17:08:32 | 000,000,600 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\winscp.rnd
[2012.01.08 12:38:58 | 001,281,178 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\FI_Program_Guide_20090421.pdf
[2012.01.01 18:27:54 | 000,006,581 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\ofx.py
[2011.12.26 08:40:00 | 000,015,360 | ---- | M] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[5 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
[1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.01.18 21:47:23 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\defogger_reenable
[2012.01.18 21:46:39 | 000,050,477 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Defogger.exe
[2012.01.17 08:05:55 | 000,069,360 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\swr2-wissen-20120116.pdf
[2012.01.14 01:54:11 | 000,000,754 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\.recently-used.xbel
[2012.01.08 18:52:48 | 000,099,039 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\Effective-techniques-in-health-eating-and-physical-activity-interventions-A-meta-regression-2009.pdf
[2012.01.08 12:39:02 | 001,281,178 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\FI_Program_Guide_20090421.pdf
[2012.01.01 18:27:53 | 000,006,581 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Desktop\ofx.py
[2011.12.31 17:25:23 | 000,001,178 | ---- | C] () -- C:\WINDOWS\tasks\GoogleUpdateTaskUserS-1-5-21-1785036086-2971949145-1346396146-1005Core.job
[2011.12.26 10:00:22 | 000,000,454 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Sweethome.lnk
[2011.12.26 08:37:13 | 000,000,496 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Stinger.lnk
[2011.12.26 08:31:19 | 000,000,548 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Cool Reader.lnk
[2011.11.26 22:54:55 | 017,266,025 | ---- | C] () -- C:\Programme\sweethome3d-3.3.jar
[2011.06.28 00:37:47 | 000,000,600 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\winscp.rnd
[2011.03.31 13:52:27 | 000,000,412 | ---- | C] () -- C:\Programme\ProcessExplorer.lnk
[2011.02.18 14:52:52 | 000,072,268 | ---- | C] () -- C:\Programme\procexp.chm
[2010.10.15 22:44:29 | 000,081,920 | ---- | C] () -- C:\WINDOWS\System32\GkSui20.EXE
[2010.08.13 00:42:28 | 000,000,092 | ---- | C] () -- C:\WINDOWS\cedt.INI
[2010.07.22 00:45:57 | 000,354,304 | ---- | C] () -- C:\WINDOWS\System32\pythoncom26.dll
[2010.07.22 00:45:57 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\pywintypes26.dll
[2010.04.03 09:57:20 | 000,074,240 | ---- | C] () -- C:\WINDOWS\AKDeInstall.exe
[2010.01.23 10:41:10 | 000,044,116 | -H-- | C] () -- C:\WINDOWS\System32\mlfcache.dat
[2009.01.21 13:37:31 | 000,000,056 | -H-- | C] () -- C:\WINDOWS\System32\ezsidmv.dat
[2009.01.04 17:01:08 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\redmonnt.dll
[2009.01.04 17:01:08 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\unredmon.exe
[2008.12.25 13:57:25 | 000,036,734 | ---- | C] () -- C:\WINDOWS\System32\OggDSuninst.exe
[2008.12.09 16:23:13 | 000,052,784 | RHS- | C] () -- C:\WINDOWS\System32\appconf32.exe
[2008.11.17 23:23:08 | 000,339,968 | ---- | C] () -- C:\WINDOWS\System32\pythoncom25.dll
[2008.11.17 23:23:08 | 000,114,688 | ---- | C] () -- C:\WINDOWS\System32\pywintypes25.dll
[2008.11.07 12:21:22 | 002,309,120 | ---- | C] () -- C:\Programme\pdftk.exe
[2008.09.09 23:22:16 | 000,000,017 | ---- | C] () -- C:\WINDOWS\Missing.ini
[2008.02.23 18:46:44 | 000,080,351 | ---- | C] () -- C:\WINDOWS\System32\Autorun.ini
[2007.07.24 11:55:36 | 000,001,315 | ---- | C] () -- C:\WINDOWS\wininit.ini
[2007.07.12 23:45:30 | 000,000,038 | ---- | C] () -- C:\WINDOWS\camcodec100.ini
[2007.07.09 22:39:13 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI
[2007.06.26 23:06:38 | 000,614,912 | ---- | C] () -- C:\Programme\I_view32.exe
[2007.06.26 23:05:24 | 000,001,140 | ---- | C] () -- C:\WINDOWS\I_VIEW32.INI
[2007.05.29 10:49:29 | 000,029,744 | ---- | C] () -- C:\WINDOWS\System32\InstHelper.dll
[2007.05.29 10:48:55 | 000,197,672 | ---- | C] () -- C:\WINDOWS\System32\vpnapi.dll
[2007.05.29 10:48:54 | 000,193,576 | ---- | C] () -- C:\WINDOWS\System32\CSGina.dll
[2007.04.28 08:43:52 | 000,000,600 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\PUTTY.RND
[2007.04.02 21:28:56 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\addr_file.html
[2007.03.15 21:21:02 | 000,015,360 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2007.02.12 19:28:17 | 000,000,400 | ---- | C] () -- C:\WINDOWS\ODBC.INI
[2006.12.27 08:57:53 | 000,000,000 | ---- | C] () -- C:\WINDOWS\JCMKR32.INI
[2006.12.27 08:19:43 | 000,000,188 | ---- | C] () -- C:\WINDOWS\System32\eDataSecurity.dat
[2006.12.27 08:09:16 | 000,000,002 | ---- | C] () -- C:\WINDOWS\msoffice.ini
[2006.01.24 16:40:40 | 000,000,451 | ---- | C] () -- C:\WINDOWS\System32\eRLog.ini
[2006.01.24 16:35:40 | 000,053,299 | ---- | C] () -- C:\WINDOWS\System32\pthreadVC.dll
[2006.01.24 16:34:50 | 000,000,000 | ---- | C] () -- C:\WINDOWS\NT.INI
[2006.01.24 16:32:55 | 000,067,072 | ---- | C] () -- C:\WINDOWS\System32\HTCA_SelfExtract.bin
[2006.01.24 16:32:51 | 000,053,248 | ---- | C] () -- C:\WINDOWS\System32\APISlice.dll
[2006.01.24 16:32:51 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\SC_res.dll
[2006.01.24 16:32:51 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\EN_res.dll
[2006.01.24 16:32:51 | 000,032,768 | ---- | C] () -- C:\WINDOWS\System32\TC_res.dll
[2006.01.24 16:32:51 | 000,010,752 | ---- | C] () -- C:\WINDOWS\System32\MSNChatHook.dll
[2006.01.24 16:32:15 | 000,000,143 | ---- | C] () -- C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
[2005.12.26 23:05:10 | 000,589,824 | ---- | C] () -- C:\WINDOWS\AntiV.EXE
[2005.12.26 23:05:10 | 000,002,772 | ---- | C] () -- C:\WINDOWS\AntiV.INI
[2005.12.14 20:59:52 | 000,000,038 | ---- | C] () -- C:\WINDOWS\Acer.ini
[2005.11.29 13:12:38 | 000,037,772 | ---- | C] () -- C:\WINDOWS\System32\oeminfo.ini
[2005.10.31 18:17:38 | 000,135,168 | ---- | C] () -- C:\WINDOWS\System32\RtlCPAPI.dll
[2005.07.15 16:48:46 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\ChCfg.exe
[2005.05.02 12:13:42 | 000,009,600 | ---- | C] () -- C:\WINDOWS\System32\drivers\NETMNT.sys
[2005.03.27 23:45:26 | 000,000,093 | ---- | C] () -- C:\WINDOWS\alaunch.ini
[2005.01.15 05:49:12 | 000,002,048 | --S- | C] () -- C:\WINDOWS\bootstat.dat
[2005.01.15 05:49:02 | 000,000,061 | ---- | C] () -- C:\WINDOWS\smscfg.ini
[2005.01.15 05:37:16 | 000,506,602 | ---- | C] () -- C:\WINDOWS\System32\perfh007.dat
[2005.01.15 05:37:16 | 000,478,882 | ---- | C] () -- C:\WINDOWS\System32\perfh009.dat
[2005.01.15 05:37:16 | 000,105,888 | ---- | C] () -- C:\WINDOWS\System32\perfc007.dat
[2005.01.15 05:37:16 | 000,087,176 | ---- | C] () -- C:\WINDOWS\System32\perfc009.dat
[2005.01.15 05:28:56 | 000,000,335 | ---- | C] () -- C:\WINDOWS\nsreg.dat
[2005.01.12 02:55:58 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIBUN4.dll
[2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIMPEG2.dll
[2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIMP3.dll
[2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTIFCD3.dll
[2005.01.12 02:54:32 | 000,001,024 | RH-- | C] () -- C:\WINDOWS\System32\NTICDMK7.dll
[2005.01.12 02:51:18 | 000,221,632 | ---- | C] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2005.01.11 14:10:54 | 000,004,161 | ---- | C] () -- C:\WINDOWS\ODBCINST.INI
[2005.01.11 14:08:48 | 000,021,740 | ---- | C] () -- C:\WINDOWS\System32\emptyregdb.dat
[2004.12.17 16:14:44 | 000,013,952 | ---- | C] () -- C:\WINDOWS\System32\drivers\UBHelper.sys
[2004.08.04 05:00:00 | 000,673,088 | ---- | C] () -- C:\WINDOWS\System32\mlang.dat
[2004.08.04 05:00:00 | 000,272,128 | ---- | C] () -- C:\WINDOWS\System32\perfi009.dat
[2004.08.04 05:00:00 | 000,269,480 | ---- | C] () -- C:\WINDOWS\System32\perfi007.dat
[2004.08.04 05:00:00 | 000,218,003 | ---- | C] () -- C:\WINDOWS\System32\dssec.dat
[2004.08.04 05:00:00 | 000,046,258 | ---- | C] () -- C:\WINDOWS\System32\mib.bin
[2004.08.04 05:00:00 | 000,034,478 | ---- | C] () -- C:\WINDOWS\System32\perfd007.dat
[2004.08.04 05:00:00 | 000,028,626 | ---- | C] () -- C:\WINDOWS\System32\perfd009.dat
[2004.08.04 05:00:00 | 000,004,569 | ---- | C] () -- C:\WINDOWS\System32\secupd.dat
[2004.08.04 05:00:00 | 000,001,804 | ---- | C] () -- C:\WINDOWS\System32\Dcache.bin
[2004.08.04 05:00:00 | 000,000,741 | ---- | C] () -- C:\WINDOWS\System32\noise.dat
[2004.02.13 13:49:44 | 000,356,352 | ---- | C] () -- C:\WINDOWS\EMCRI.dll
[2003.12.29 20:45:08 | 000,040,960 | ---- | C] () -- C:\WINDOWS\System32\ServiceControl.dll
[2002.10.06 19:42:57 | 000,237,568 | ---- | C] () -- C:\WINDOWS\System32\OggDS.dll
[2002.10.05 00:04:25 | 000,921,600 | ---- | C] () -- C:\WINDOWS\System32\vorbisenc.dll
[2002.10.05 00:04:24 | 000,188,416 | ---- | C] () -- C:\WINDOWS\System32\vorbis.dll
[2002.10.05 00:04:17 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\ogg.dll
[2002.05.24 00:34:46 | 000,032,768 | ---- | C] () -- C:\WINDOWS\AMove.exe
[2001.12.26 15:12:30 | 000,065,536 | ---- | C] () -- C:\WINDOWS\System32\multiplex_vcd.dll
[2001.10.10 08:57:58 | 000,073,786 | ---- | C] () -- C:\WINDOWS\System32\dntvmc23.dll
[2001.10.10 08:57:58 | 000,061,497 | ---- | C] () -- C:\WINDOWS\System32\dntvm23.dll
[2001.09.03 22:46:38 | 000,110,592 | ---- | C] () -- C:\WINDOWS\System32\Hmpg12.dll
[2001.08.26 01:04:08 | 013,107,200 | ---- | C] () -- C:\WINDOWS\System32\oembios.bin
[2001.08.26 01:02:42 | 000,004,524 | ---- | C] () -- C:\WINDOWS\System32\oembios.dat
[2001.07.30 15:33:56 | 000,118,784 | ---- | C] () -- C:\WINDOWS\System32\HMPV2_ENC.dll
[2001.07.23 21:04:36 | 000,118,784 | ---- | C] () -- C:\WINDOWS\System32\HMPV2_ENC_MMX.dll
[2001.03.07 08:02:30 | 000,229,431 | ---- | C] () -- C:\WINDOWS\System32\dnt23.dll
[1996.04.03 21:33:26 | 000,005,248 | ---- | C] () -- C:\WINDOWS\System32\giveio.sys
 
========== LOP Check ==========
 
[2005.01.15 05:30:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Viewpoint
[2006.01.24 16:38:06 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Acer
[2006.12.27 10:51:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Downloaded Installations
[2007.05.30 13:42:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Nokia
[2009.04.15 20:38:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{8CD7F5AF-ECFA-4793-BF40-D8F42DBFF906}
[2009.08.22 22:47:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\FRISK Software
[2009.10.22 20:02:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\{755AC846-7372-4AC8-8550-C52491DAA8BD}
[2011.04.01 14:15:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\elsterformular
[2006.01.24 16:38:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Acer
[2006.12.27 10:55:26 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Nokia
[2007.01.01 22:03:24 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\WebRenderer
[2007.02.03 15:06:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Subversion
[2007.07.26 02:40:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Meckwiki
[2007.08.09 19:58:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Notepad++
[2008.10.14 21:15:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\JAM Software
[2008.12.25 20:00:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Kwlernintervall
[2009.10.27 21:15:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\phonostar GmbH
[2009.11.04 00:22:04 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\FLV Extract
[2010.01.06 22:40:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\.thinkingrock
[2010.02.22 16:44:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\.purple
[2010.02.25 19:33:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\SumatraPDF
[2010.05.16 00:04:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\inkscape
[2010.06.27 01:43:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\FreeAudioPack
[2010.12.05 14:15:10 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\wzd
[2011.02.05 15:23:42 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Dropbox
[2011.03.01 23:30:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\RStudio
[2011.03.20 15:10:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\calibre
[2011.04.01 14:42:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\elsterformular
[2011.04.03 16:38:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Netviewer
[2011.06.04 16:48:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\nbDemo
[2011.07.14 00:55:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\TravelMate\Anwendungsdaten\Echo Software
[2011.03.10 01:51:08 | 000,000,756 | ---- | M] () -- C:\WINDOWS\Tasks\SymInstallStub.job
 
========== Purity Check ==========
 
 
 
========== Custom Scans ==========
 
 
< %SYSTEMDRIVE%\*. >
[2005.01.14 02:14:38 | 000,000,000 | ---D | M] -- C:\i386
[2004.08.04 05:00:00 | 000,000,000 | ---D | M] -- C:\VALUEADD
[2004.08.04 05:00:00 | 000,000,000 | ---D | M] -- C:\dotnetfx
[2008.04.14 11:48:48 | 000,000,000 | ---D | M] -- C:\MSDERelA
[2005.01.14 02:14:34 | 000,000,000 | ---D | M] -- C:\Book
[2005.01.14 02:14:34 | 000,000,000 | ---D | M] -- C:\Sysinfo
[2005.01.14 02:14:38 | 000,000,000 | ---D | M] -- C:\WINDOWS
[2005.01.11 14:02:08 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen
[2005.01.11 14:10:04 | 000,000,000 | ---D | M] -- C:\Programme
[2006.01.24 16:31:38 | 000,000,000 | -HSD | M] -- C:\System Volume Information
[2010.02.19 00:26:46 | 000,000,000 | ---D | M] -- C:\Rtools
[2012.01.16 07:57:24 | 000,000,000 | -HSD | M] -- C:\Config.Msi
[2006.01.24 16:32:52 | 000,000,000 | ---D | M] -- C:\Acer
[2006.03.03 22:35:20 | 000,000,000 | ---D | M] -- C:\DirectX
[2006.07.16 20:05:24 | 000,000,000 | -HSD | M] -- C:\Recycled
[2007.12.24 16:37:52 | 000,000,000 | ---D | M] -- C:\Python25
[2008.01.20 21:27:16 | 000,000,000 | ---D | M] -- C:\GTK
 
< %PROGRAMFILES%\*.exe >
[1997.12.15 03:12:22 | 000,614,912 | ---- | M] () -- C:\Programme\I_view32.exe
[2007.09.05 04:04:00 | 002,814,101 | ---- | M] (ActiveState Corporation) -- C:\Programme\tksqlite.exe
[2007.11.07 23:28:54 | 000,454,656 | ---- | M] (Simon Tatham) -- C:\Programme\putty.exe
[2008.05.20 09:53:30 | 000,520,192 | ---- | M] (Andrew Zhezherun) -- C:\Programme\WinDjView-0.5.exe
[2006.11.28 17:30:12 | 002,309,120 | ---- | M] () -- C:\Programme\pdftk.exe
[2010.02.20 19:26:58 | 000,172,032 | ---- | M] (Simon Tatham) -- C:\Programme\puttygen.exe
[2010.02.22 15:35:12 | 000,282,624 | ---- | M] (Simon Tatham) -- C:\Programme\plink.exe
[2010.06.07 16:16:56 | 003,887,480 | ---- | M] (Sysinternals - www.sysinternals.com) -- C:\Programme\procexp.exe
[2010.08.21 00:55:18 | 000,427,008 | ---- | M] (Anny Studio) -- C:\Programme\jcpicker.exe
[2010.12.12 20:06:16 | 001,604,472 | ---- | M] (Netviewer AG) -- C:\Programme\Netviewer_Meet_free.exe
 
Invalid Environment Variable: LOCALAPPDATA
 
< %systemroot%\*. /mp /s >
 
< %systemroot%\system32\*.manifest /3 >
[5 C:\WINDOWS\system32\*.tmp files -> C:\WINDOWS\system32\*.tmp -> ]
 
 
< MD5 for: AFD.SYS  >
[2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\SoftwareDistribution\Download\43f8920a763d09a9c6404053368aa5ee\SP3GDR\afd.sys
[2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\system32\dllcache\afd.sys
[2011.08.17 14:49:54 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=1E44BC1E83D8FD2305F8D452DB109CF9 -- C:\WINDOWS\system32\drivers\afd.sys
[2008.04.13 21:19:24 | 000,138,112 | ---- | M] (Microsoft Corporation) MD5=322D0E36693D6E24A2398BEE62A268CD -- C:\WINDOWS\$NtUninstallKB951748$\afd.sys
[2008.04.13 21:19:24 | 000,138,112 | ---- | M] (Microsoft Corporation) MD5=322D0E36693D6E24A2398BEE62A268CD -- C:\WINDOWS\ServicePackFiles\i386\afd.sys
[2011.02.16 15:22:48 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=355556D9E580915118CD7EF736653A89 -- C:\WINDOWS\$NtUninstallKB2592799$\afd.sys
[2008.10.16 17:07:58 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=38D7B715504DA4741DF35E3594FE2099 -- C:\WINDOWS\$hf_mig$\KB2509553\SP3QFE\afd.sys
[2008.08.14 11:34:26 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=4D43E74F2A1239D53929B82600F1971C -- C:\WINDOWS\$hf_mig$\KB956803\SP3QFE\afd.sys
[2008.08.14 10:51:44 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=55E6E1C51B6D30E54335750955453702 -- C:\WINDOWS\$NtServicePackUninstall$\afd.sys
[2004.08.04 05:00:00 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=5AC495F4CB807B2B98AD2AD591E6D92E -- C:\WINDOWS\$NtUninstallKB951748_0$\afd.sys
[2008.08.14 10:48:52 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=6A0397376853E604DE8E1E7A87FC08AC -- C:\WINDOWS\$hf_mig$\KB956803\SP2QFE\afd.sys
[2008.10.16 16:43:02 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7618D5218F2A614672EC61A80D854A37 -- C:\WINDOWS\$NtUninstallKB2503665$\afd.sys
[2008.08.14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\$hf_mig$\KB956803\SP3GDR\afd.sys
[2008.08.14 11:04:36 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=7E775010EF291DA96AD17CA4B17137D7 -- C:\WINDOWS\$NtUninstallKB2509553$\afd.sys
[2011.02.16 15:25:06 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=8D499B1276012EB907E7A9E0F4D8FDA4 -- C:\WINDOWS\$hf_mig$\KB2503665\SP3QFE\afd.sys
[2008.06.20 12:44:38 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=944CA435BFCFC82CC1ED9E3A7D731AA9 -- C:\WINDOWS\$NtUninstallKB956803_0$\afd.sys
[2008.06.20 13:48:04 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=D6EE6014241D034E63C49A50CB2B442A -- C:\WINDOWS\$hf_mig$\KB951748\SP3QFE\afd.sys
[2008.06.20 12:44:08 | 000,138,368 | ---- | M] (Microsoft Corporation) MD5=D99DDFFB33DEACDCF20717CB520379F6 -- C:\WINDOWS\$hf_mig$\KB951748\SP2QFE\afd.sys
[2008.06.20 13:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\$hf_mig$\KB951748\SP3GDR\afd.sys
[2008.06.20 13:40:08 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=E3049B90FE06F3F740B7CFDA44995E2C -- C:\WINDOWS\$NtUninstallKB956803$\afd.sys
[2011.08.17 14:41:46 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=F6B7B1ECD7B41736BDB6FF4B092BCB79 -- C:\WINDOWS\$hf_mig$\KB2592799\SP3QFE\afd.sys
[2011.08.17 14:41:46 | 000,138,496 | ---- | M] (Microsoft Corporation) MD5=F6B7B1ECD7B41736BDB6FF4B092BCB79 -- C:\WINDOWS\SoftwareDistribution\Download\43f8920a763d09a9c6404053368aa5ee\SP3QFE\afd.sys
 
< MD5 for: EXPLORER.EXE  >
[2004.08.04 05:00:00 | 001,035,264 | ---- | M] (Microsoft Corporation) MD5=22FE1BE02EADDE1632E478E4125639E0 -- C:\WINDOWS\$NtUninstallKB938828$\explorer.exe
[2007.06.13 15:10:08 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=331ED93570BAF3CFE30340298762CD56 -- C:\WINDOWS\$hf_mig$\KB938828\SP2QFE\explorer.exe
[2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\explorer.exe
[2008.04.14 04:22:46 | 001,036,800 | ---- | M] (Microsoft Corporation) MD5=418045A93CD87A352098AB7DABE1B53E -- C:\WINDOWS\ServicePackFiles\i386\explorer.exe
[2007.06.13 15:21:46 | 001,036,288 | ---- | M] (Microsoft Corporation) MD5=64D320C0E301EEDC5A4ADBBDC5024F7F -- C:\WINDOWS\$NtServicePackUninstall$\explorer.exe
 
< MD5 for: IPSEC.SYS  >
[2008.04.13 21:19:42 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\ServicePackFiles\i386\ipsec.sys
[2008.04.13 21:19:42 | 000,075,264 | ---- | M] (Microsoft Corporation) MD5=23C74D75E36E7158768DD63D92789A91 -- C:\WINDOWS\system32\drivers\ipsec.sys
[2004.08.04 05:00:00 | 000,074,752 | ---- | M] (Microsoft Corporation) MD5=64537AA5C003A6AFEEE1DF819062D0D1 -- C:\WINDOWS\$NtServicePackUninstall$\ipsec.sys
 
< MD5 for: REGEDIT.EXE  >
[2004.08.04 05:00:00 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=8193CE5FB09E83F2699FD65BBCBE2FD2 -- C:\WINDOWS\$NtServicePackUninstall$\regedit.exe
[2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\regedit.exe
[2008.04.14 04:22:58 | 000,153,600 | ---- | M] (Microsoft Corporation) MD5=AD9226BF3CED13636083BB9C76E9D2A2 -- C:\WINDOWS\ServicePackFiles\i386\regedit.exe
 
< MD5 for: USERINIT.EXE  >
[2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\ServicePackFiles\i386\userinit.exe
[2008.04.14 04:23:04 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=788F95312E26389D596C0FA55834E106 -- C:\WINDOWS\system32\userinit.exe
[2004.08.04 05:00:00 | 000,025,088 | ---- | M] (Microsoft Corporation) MD5=D1E53DC57143F2584B1DD53B036C0633 -- C:\WINDOWS\$NtServicePackUninstall$\userinit.exe
 
< MD5 for: WINLOGON.EXE  >
[2004.08.04 05:00:00 | 000,507,392 | ---- | M] (Microsoft Corporation) MD5=2B6A0BAF33A9918F09442D873848FF72 -- C:\WINDOWS\$NtServicePackUninstall$\winlogon.exe
[2008.04.14 04:23:06 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\ServicePackFiles\i386\winlogon.exe
[2008.04.14 04:23:06 | 000,513,024 | ---- | M] (Microsoft Corporation) MD5=F09A527B422E25C478E38CAA0E44417A -- C:\WINDOWS\system32\winlogon.exe
 
< HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems|Windows /rs >
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Kmode: %SystemRoot%\system32\win32k.sys [2011.11.23 15:40:14 | 001,859,712 | ---- | M] (Microsoft Corporation)
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Required: DebugWindows [binary data]
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Control\Session Manager\SubSystems\\Windows: %SystemRoot%\system32\csrss.exe ObjectDirectory=\Windows SharedSection=1024,3072,512 Windows=On SubSystemType=Windows ServerDll=basesrv,1 ServerDll=winsrv:UserServerDllInitialization,3 ServerDll=winsrv:ConServerDllInitialization,2 ProfileControl=Off MaxRequestThreads=16
 
< HKEY_LOCAL_MACHINE\SOFTWARE\Policies\Microsoft\Windows\WindowsUpdate\AU >
 
< HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WindowsUpdate\Auto Update\Results\Install|LastSuccessTime /rs >
 
<           >

< End of report >

--- --- ---

[/QUOTE]

markusg · 19.01.2012, 12:17

hi

dieses script sowie evtl. folgende scripts sind nur für den jeweiligen user.
wenn ihr probleme habt, eröffnet eigene topics und wartet auf, für euch angepasste scripts.

• Starte bitte die OTL.exe
• Kopiere nun das Folgende in die Textbox.

Code:

ATTFilter

:OTL
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\appconf32.exe) -C:\WINDOWS\system32\appconf32.exe ()
 :Files
:Commands
[purity]
[EMPTYFLASH] 
[emptytemp]
[Reboot]

• Schliesse bitte nun alle Programme.
• Klicke nun bitte auf den Fix Button.
• OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
• Nach dem Neustart findest Du ein Textdokument, dessen inhalt in deiner nächsten antwort hier reinkopieren.
starte in den normalen modus.

falls du keine symbole hast, dann rechtsklick, ansicht, desktop symbole einblenden

Drücke bitte die

+ E Taste.

Öffne dein Systemlaufwerk ( meistens C: )
Suche nun
folgenden Ordner: _OTL und öffne diesen.
Mache einen Rechtsklick auf den Ordner Movedfiles --> Senden an --> Zip-Komprimierter Ordner
Dies wird eine Movedfiles.zip Datei in _OTL erstellen
Lade diese bitte in unseren Uploadchannel
hoch. ( Durchsuchen --> C:\_OTL\Movedfiles.zip )

Teile mir mit ob der Upload problemlos geklappt hat. Danke im voraus

karstenw · 19.01.2012, 22:18

Hi Markus,
dein Skript scheint das Wunder bewirkt zu haben...

ESET (ich hab nur den Arbeitsspeicher gescannt) meldet keinen Threat mehr!!

Ich hab das Archiv Movedfiles.zip erfolgreich hochgeladen. Hier das Logfile

Zitat:

All processes killed
========== OTL ==========
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\\UserInit:C:\WINDOWS\system32\appconf32.exe deleted successfully.
File \WINDOWS\system32\appconf32.exe) -C:\WINDOWS\system32\appconf32.exe not found.
========== COMMANDS ==========

[EMPTYFLASH]

User: Default User

User: All Users

User: NetworkService

User: LocalService

User: Administrator

User: TravelMate
->Flash cache emptied: 1749 bytes

User: kw
->Flash cache emptied: 2148 bytes

Total Flash Files Cleaned = 0,00 mb

[EMPTYTEMP]

User: Default User
->Temp folder emptied: 500224 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: All Users

User: NetworkService
->Temp folder emptied: 486940 bytes
->Temporary Internet Files folder emptied: 29424384 bytes

User: LocalService
->Temp folder emptied: 65984 bytes
->Temporary Internet Files folder emptied: 32902 bytes

User: Administrator
->Temp folder emptied: 500224 bytes
->Temporary Internet Files folder emptied: 32768 bytes

User: TravelMate
->Temp folder emptied: 516608 bytes
->Temporary Internet Files folder emptied: 1066420318 bytes
->Java cache emptied: 11294193 bytes
->Google Chrome cache emptied: 235368569 bytes
->Flash cache emptied: 0 bytes

User: kw
->Temp folder emptied: 557275 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Java cache emptied: 69267 bytes
->Flash cache emptied: 0 bytes

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 19569 bytes
%systemroot%\System32 .tmp files removed: 2833423 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 60002 bytes
RecycleBin emptied: 88587109 bytes

Total Files Cleaned = 1.370,00 mb

OTL by OldTimer - Version 3.2.31.0 log created on 01192012_220117

Files\Folders moved on Reboot...

Registry entries deleted on Reboot...

Ist die Gefahr gebannt?

Karsten

karstenw · 20.01.2012, 07:55

Hallo nochmal,

so ganz sauber ist das Laptop noch nicht. Ich hab nochmal ESET über Laufwerk C geschickt und es hat drei Bedrohungen gefunden, s.u.

Ist es eigentlich angezeigt, in ESET die Option "delete quarantined files" anzuwenden?

Viele Grüße,
Karsten

Zitat:

C:\WINDOWS\system32\appconf32.exe a variant of Win32/Kryptik.XYZ trojan cleaned by deleting - quarantined
C:\Dokumente und Einstellungen\TravelMate\Lokale Einstellungen\Anwendungsdaten\Google\Chrome\User Data\Default\Cache\f_00002b PDF/Exploit.Pidief.PHI trojan cleaned by deleting - quarantined
C:\System Volume Information\_restore{E6D67B38-6E67-4F6F-BB5B-67927CDD0885}\RP970\A0242122.exe a variant of Win32/Kryptik.XYZ trojan cleaned by deleting - quarantined

markusg · 20.01.2012, 12:28

hi,
nutzt du das gerät für onlinebanking einkäufe sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches?

karstenw · 20.01.2012, 12:42

Hi,
hmm,
- ich habe Dropbox installiert, worauf ich auch von der Arbeit aus zugreife (keine sensiblen Daten)
- ich frage schonmal meine Kontoumsätze bei der Sparkasse und DAB ab, mache aber keine Überweisungen und im letzten Jahr auch keine Börsentransaktionen
- ich benutze Outlook Web Access um berufliche Emails zu lesen
- ich habe bei Google Chrome "Synchronisieren" eingestellt, so dass die Bookmarks, Apps, etc. auch auf Arbeit verfügbar sind.
- ich hab in den letzten Jahr vielleicht zweimal online eingekauft, ja mit diesem Gerät.

markusg · 20.01.2012, 12:58

hi,
dann würde ichs neu aufsetzen.
du hast nen trojan banker mit keylogging funktion.
also müssen auch sämmtliche passwörter geendert werden.
1. Datenrettung:

deaktiviere Autorun: http://www.trojaner-board.de/83238-a...sschalten.html
dann sichere Daten auf einen externen Datenträger (USB-Platte): http://www.trojaner-board.de/82533-d...ted-magic.html
Bider, Dokumente, Musik, Videos (persönliches) http://www.trojaner-board.de/71715-k...iendungen.html

2. Formatieren, Windows neuinstallieren:

nutzt du eine Windows CD: http://www.trojaner-board.de/51262-a...sicherung.html
Recovery CD oder Recovery Partition?
falls dies ein Fertig-PC ist, nenne Hersteller + Typ.
Keine Windows 7 DVD? http://www.trojaner-board.de/100776-...-download.html

3. PC absichern: http://www.trojaner-board.de/96344-a...-rechners.html
4. alle Passwörter ändern!
5. nach PC Absicherung, die gesicherten Daten prüfen und falls sauber: zurückspielen.
6. werde ich dann noch was zum absichern von Onlinebanking mit Chip Card Reader + Star Money sagen.

karstenw · 20.01.2012, 17:45

Ok, das sieht nach einer Menge Arbeit aus. Dieses Wochenende schaffe ich das nicht.

So mein Plan ist, erstmal nichts Sensibles mit dem Rechner zu machen (außer Dropbox) und nächstes Wochenende einen halben Tag dafür Zeit nehmen.

Vielen Dank für die Warnung und die professionelle Hilfe!

Karsten.

markusg · 20.01.2012, 17:48

ok, gib bescheid wenn du so weit bist.
übrigens ist dropbox auch nicht sonderlich vertrauenswürdig, die hatten schon einige gravierende sicherheitslücken.
wenn du da dokumente etc hochlädst würde ich mit verschlüsselung pgp, zb arbeiten.

Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher

Log-Analyse und Auswertung: Win32/Spy.Banker.WBU trojaner im Arbeitsspeicher