Asus Netbook mit Gema Trojaner

Brassmann · 08.03.2012, 10:54

Hallo, ich bin gerade neu hier.
Seit gestern Abend habe ich einen Gema Virus auf meinen Asus Netbook. Mein Netbook hat aber leider kein Laufwerk. Kann mir bitte jemand helfen? Vielen Dank!

Chris4You · 08.03.2012, 11:12

Hi,

OTL downloaden und auf einen USB-Stick kopieren, dann den Rechner im abgesicherten Modus mit Eingabeaufforderung hochfahren (F8 beim Booten drücken).
Kopiere dann die OTL.exe von dem Stick auf den Rechner (copy E:\OTL.EXE .)(wenn E Dein USB-Stick ist). Otl ausführen, Logs zurückkopieren und hier posten...
Wichtig:Du musst mit dem verseuchten Konto booten!

OTL
Lade Dir OTL von Oldtimer herunter (http://filepony.de/download-otl/) und speichere es auf Deinem Desktop

Doppelklick auf die OTL.exe

Vista/Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen

Oben findest Du ein Kästchen mit Output. Wähle bitte Minimal Output

Unter Extra Registry, wähle bitte Use SafeList

Klicke nun auf Run Scan links oben

Wenn der Scan beendet wurde werden 2 Logfiles erstellt (OTL.TXT und EXTRAS.TXT)

Poste die Logfiles hier in den Thread

chris

Brassmann · 08.03.2012, 13:36

Hi, hab alles gemacht. Hoffe, ich hab alles richtig gemacht?OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 08.03.2012 11:46:20 - Run 1
OTL by OldTimer - Version 3.2.36.1     Folder = D:\
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 7.0.5730.13)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1015,17 Mb Total Physical Memory | 827,94 Mb Available Physical Memory | 81,56% Memory free
2,39 Gb Paging File | 2,33 Gb Available in Paging File | 97,53% Paging File free
Paging file location(s): C:\pagefile.sys 1524 3048 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 149,00 Gb Total Space | 116,26 Gb Free Space | 78,03% Space Free | Partition Type: NTFS
Drive D: | 3,73 Gb Total Space | 3,73 Gb Free Space | 99,94% Space Free | Partition Type: FAT
 
Computer Name: SEASHELL | User Name: Neuer Benutzer | Logged in as Administrator.
Boot Mode: SafeMode | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - D:\OTL.exe (OldTimer Tools)
PRC - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
PRC - C:\WINDOWS\system32\cmd.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (NMIndexingService) --  File not found
SRV - (AppMgmt) --  File not found
SRV - (Apple Mobile Device) -- C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleMobileDeviceService.exe (Apple Inc.)
SRV - (avast! Antivirus) -- C:\Programme\AVAST Software\Avast\AvastSvc.exe (AVAST Software)
SRV - (HI-epanel-Reporting-Service) -- C:\Programme\Digital Trends Club\HI-epanel-Reporting.exe ()
SRV - (HI-epanel-Update-Service) -- C:\Programme\Digital Trends Club\HI-epanel-Updater.exe ()
SRV - (UI Assistant Service) -- C:\Programme\Join Air\AssistantServices.exe ()
 
 
========== Driver Services (SafeList) ==========
 
DRV - (WDICA) --  File not found
DRV - (PDRFRAME) --  File not found
DRV - (PDRELI) --  File not found
DRV - (PDFRAME) --  File not found
DRV - (PDCOMP) --  File not found
DRV - (PCIDump) --  File not found
DRV - (lbrtfdc) --  File not found
DRV - (i2omgmt) --  File not found
DRV - (EagleNT) --  File not found
DRV - (Changer) --  File not found
DRV - (aswSnx) -- C:\WINDOWS\System32\drivers\aswSnx.sys (AVAST Software)
DRV - (aswSP) -- C:\WINDOWS\System32\drivers\aswSP.sys (AVAST Software)
DRV - (aswRdr) -- C:\WINDOWS\System32\drivers\aswRdr.sys (AVAST Software)
DRV - (aswTdi) -- C:\WINDOWS\System32\drivers\aswTdi.sys (AVAST Software)
DRV - (aswMon2) -- C:\WINDOWS\System32\drivers\aswmon2.sys (AVAST Software)
DRV - (aswFsBlk) -- C:\WINDOWS\System32\drivers\aswFsBlk.sys (AVAST Software)
DRV - (Aavmker4) -- C:\WINDOWS\System32\drivers\aavmker4.sys (AVAST Software)
DRV - (massfilter) -- C:\WINDOWS\system32\drivers\massfilter.sys (ZTE Incorporated)
DRV - (IntcAzAudAddService) Service for Realtek HD Audio (WDM) -- C:\WINDOWS\system32\drivers\RtkHDAud.sys (Realtek Semiconductor Corp.)
DRV - (AR5416) -- C:\WINDOWS\system32\drivers\athw.sys (Atheros Communications, Inc.)
DRV - (L1c) -- C:\WINDOWS\system32\drivers\l1c51x86.sys (Atheros Communications, Inc.)
DRV - (ZTEusbnmea) -- C:\WINDOWS\system32\drivers\ZTEusbnmea.sys (ZTE Incorporated)
DRV - (ZTEusbser6k) -- C:\WINDOWS\system32\drivers\ZTEusbser6k.sys (ZTE Incorporated)
DRV - (ZTEusbmdm6k) -- C:\WINDOWS\system32\drivers\ZTEusbmdm6k.sys (ZTE Incorporated)
DRV - (uvclf) -- C:\WINDOWS\system32\drivers\uvclf.sys (GenesysLogic Technologies, Inc.)
DRV - (BTKRNL) -- C:\WINDOWS\system32\drivers\btkrnl.sys (Broadcom Corporation.)
DRV - (BTWUSB) -- C:\WINDOWS\system32\drivers\btwusb.sys (Broadcom Corporation.)
DRV - (Ambfilt) -- C:\WINDOWS\system32\drivers\Ambfilt.sys (Creative)
DRV - (BTWDNDIS) -- C:\WINDOWS\system32\drivers\btwdndis.sys (Broadcom Corporation.)
DRV - (btaudio) -- C:\WINDOWS\system32\drivers\btaudio.sys (Broadcom Corporation.)
DRV - (AsusACPI) -- C:\WINDOWS\system32\drivers\ASUSACPI.SYS (ASUSTeK Computer Inc.)
DRV - (btwhid) -- C:\WINDOWS\system32\drivers\btwhid.sys (Broadcom Corporation.)
DRV - (BTDriver) -- C:\WINDOWS\system32\drivers\btport.sys (Broadcom Corporation.)
DRV - (Monfilt) -- C:\WINDOWS\system32\drivers\Monfilt.sys (Creative Technology Ltd.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = Upgrade to Google Chrome
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = Upgrade to Google Chrome
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = Google
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = about:blank
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = Upgrade to Google Chrome
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = Upgrade to Google Chrome
IE - HKCU\..\URLSearchHook:  - No CLSID value found
IE - HKCU\..\SearchScopes,DefaultScope = {0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}
IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?FORM=IEFM1&q={searchTerms}&src={referrer:source?}
IE - HKCU\..\SearchScopes\{0ECDF796-C2DC-4d79-A620-CCE0C0A66CC9}: "URL" = hxxp://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=10588
IE - HKCU\..\SearchScopes\{6552C7DD-90A4-4387-B795-F8F96747DE19}: "URL" = hxxp://search.icq.com/search/results.php?q={searchTerms}&ch_id=osd
IE - HKCU\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={sear
IE - HKCU\..\SearchScopes\{AC129BF9-68BF-4bc4-A1DC-ECB62712FF99}: "URL" = hxxp://search.kikin.com/search/?q={searchTerms}
IE - HKCU\..\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}: "URL" = hxxp://search.conduit.com/ResultsExt.aspx?q={searchTerms}&SearchSource=4&ctid=CT2269050
IE - HKCU\..\SearchScopes\{BC419BB6-B3FC-4C9A-8D98-106B24E41CD3}: "URL" = hxxp://www.google.com/search?q={searchTerms}&sourceid=ie7&rls=com.microsoft:en-US&ie=utf8&oe=utf8
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = *.local
 
========== FireFox ==========
 
FF - prefs.js..browser.search.defaultenginename: ""
FF - prefs.js..browser.search.defaulturl: "hxxp://search.babylon.com/web/{searchTerms}?babsrc=browsersearch&AF=10588"
FF - prefs.js..browser.search.order.1: "Web Search"
FF - prefs.js..browser.search.selectedEngine: "Google"
FF - prefs.js..browser.search.suggest.enabled: false
FF - prefs.js..browser.startup.homepage: "hxxp://www.google.de"
FF - prefs.js..extension.gacela.network.proxy.autoconfig_url: ""
FF - prefs.js..extension.gacela.network.proxy.type: 0
FF - prefs.js..extensions.enabledItems: wrc@avast.com:20110101
FF - prefs.js..extensions.enabledItems: ffxtlbr@babylon.com:1.1.4
FF - prefs.js..keyword.URL: "hxxp://search.babylon.com/?babsrc=toolbar2&q="
FF - prefs.js..network.proxy.type: 0
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=:  File not found
FF - HKLM\Software\MozillaPlugins\@Apple.com/iTunes,version=1.0: C:\Programme\iTunes\Mozilla Plugins\npitunes.dll ()
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WLPG,version=14.0.8117.0416: C:\Programme\Windows Live\Photo Gallery\NPWLPG.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@real.com/nppl3260;version=12.0.1.669: c:\programme\real\realplayer\Netscape6\nppl3260.dll (RealNetworks, Inc.)
FF - HKLM\Software\MozillaPlugins\@real.com/nprjplug;version=12.0.1.669: c:\programme\real\realplayer\Netscape6\nprjplug.dll (RealNetworks, Inc.)
FF - HKLM\Software\MozillaPlugins\@real.com/nprpchromebrowserrecordext;version=12.0.1.669: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprpchromebrowserrecordext.dll (RealNetworks, Inc.)
FF - HKLM\Software\MozillaPlugins\@real.com/nprphtml5videoshim;version=12.0.1.669: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\MozillaPlugins\nprphtml5videoshim.dll (RealNetworks, Inc.)
FF - HKLM\Software\MozillaPlugins\@real.com/nprpjplug;version=12.0.1.669: c:\programme\real\realplayer\Netscape6\nprpjplug.dll (RealNetworks, Inc.)
FF - HKLM\Software\MozillaPlugins\@real.com/nsJSRealPlayerPlugin;version=:  File not found
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\wrc@avast.com: C:\Programme\AVAST Software\Avast\WebRep\FF [2011.09.10 18:37:41 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\gacela2@nurago.com: C:\Programme\Digital Trends Club\ [2012.03.08 11:15:21 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\{ABDE892B-13A8-4d1b-88E6-365A6E755758}: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\Firefox\Ext [2011.11.06 10:44:46 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 10.0.2\extensions\\Components: C:\Programme\Mozilla Firefox\components [2012.02.20 20:05:25 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 10.0.2\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2012.02.21 07:12:57 | 000,000,000 | ---D | M]
 
[2012.01.07 10:35:00 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Mozilla\Extensions
[2012.01.07 21:12:21 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Mozilla\Firefox\Profiles\qeyfjn77.default\extensions
[2011.05.17 21:59:37 | 000,000,000 | ---D | M] (Microsoft .NET Framework Assistant) -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Mozilla\Firefox\Profiles\qeyfjn77.default\extensions\{20a82645-c095-46ed-80e3-08825760534b}
[2011.08.24 21:03:56 | 000,000,000 | ---D | M] (Searchqu Toolbar) -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Mozilla\Firefox\Profiles\qeyfjn77.default\extensions\{99079a25-328f-4bd4-be04-00955acaa0a7}
[2011.08.24 21:03:43 | 000,002,503 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Mozilla\Firefox\Profiles\qeyfjn77.default\searchplugins\SearchResults.xml
[2012.02.21 07:13:00 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2012.02.21 07:13:01 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}
[2012.02.20 20:05:24 | 000,134,104 | ---- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll
[2012.02.21 07:12:31 | 000,472,808 | ---- | M] (Sun Microsystems, Inc.) -- C:\Programme\mozilla firefox\plugins\npdeployJava1.dll
[2012.01.16 18:16:07 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2011.03.06 13:58:55 | 000,002,226 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\babylon.xml
[2012.01.16 18:16:07 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml
[2012.01.16 18:16:07 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2012.01.16 18:16:07 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2011.08.24 21:03:43 | 000,002,503 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\SearchResults.xml
[2012.01.16 18:16:07 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2012.01.16 18:16:07 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2008.04.14 13:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O2 - BHO: (RealPlayer Download and Record Plugin for Internet Explorer) - {3049C3E9-B461-4BC5-8870-4C09146192CA} - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Real\RealPlayer\BrowserRecordPlugin\IE\rpbrowserrecordplugin.dll (RealPlayer)
O2 - BHO: (Digital Trends Club) - {4BEEA052-726D-4A6E-B65D-A6BD07C263F3} - C:\Programme\Digital Trends Club\Gacela2.dll (nurago GmbH)
O2 - BHO: (Spybot-S&D IE Protection) - {53707962-6F74-2D53-2644-206D7942484F} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)
O2 - BHO: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\AVAST Software\Avast\aswWebRepIE.dll (AVAST Software)
O2 - BHO: (Searchqu Toolbar) - {99079a25-328f-4bd4-be04-00955acaa0a7} - C:\Programme\Windows Searchqu Toolbar\Datamngr\ToolBar\searchqudtx.dll ()
O2 - BHO: (Loader Class) - {9D717F81-9148-4f12-8568-69135F087DB0} - C:\Programme\Windows Searchqu Toolbar\Datamngr\BrowserConnection.dll (Bandoo Media, inc)
O3 - HKLM\..\Toolbar: (avast! WebRep) - {8E5E2654-AD2D-48bf-AC2D-D17F00898D06} - C:\Programme\AVAST Software\Avast\aswWebRepIE.dll (AVAST Software)
O3 - HKLM\..\Toolbar: (Searchqu Toolbar) - {99079a25-328f-4bd4-be04-00955acaa0a7} - C:\Programme\Windows Searchqu Toolbar\Datamngr\ToolBar\searchqudtx.dll ()
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O3 - HKCU\..\Toolbar\WebBrowser: (no name) - {21FA44EF-376D-4D53-9B0F-8A89D3229068} - No CLSID value found.
O4 - HKLM..\Run: [AppleSyncNotifier] C:\Programme\Gemeinsame Dateien\Apple\Mobile Device Support\AppleSyncNotifier.exe (Apple Inc.)
O4 - HKLM..\Run: [APSDaemon] C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.)
O4 - HKLM..\Run: [AsusACPIServer] C:\Programme\EeePC\ACPI\AsAcpiSvr.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [AsusEPCMonitor] C:\Programme\EeePC\ACPI\AsEPCMon.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [AsusTray] C:\Programme\EeePC\ACPI\AsTray.exe (ASUSTeK Computer Inc.)
O4 - HKLM..\Run: [avast] C:\Programme\AVAST Software\Avast\avastUI.exe (AVAST Software)
O4 - HKLM..\Run: [DATAMNGR] C:\Programme\Windows Searchqu Toolbar\Datamngr\datamngrUI.exe (Bandoo Media, inc)
O4 - HKLM..\Run: [ETDWare] C:\Programme\Elantech\ETDCtrl.exe (ELANTECH Devices Corp.)
O4 - HKLM..\Run: [FreePDF Assistant] C:\Programme\FreePDF_XP\fpassist.exe (shbox.de)
O4 - HKLM..\Run: [gema] C:\WINDOWS\system32\gema.exe (MailEnable Pty Ltd)
O4 - HKLM..\Run: [gema.] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O4 - HKLM..\Run: [NVIDIA driver monitor] c:\windows\nvsvc32.exe File not found
O4 - HKLM..\Run: [Realtime Audio Engine] C:\WINDOWS\System32\mmrtkrnl.exe (AlcaTech)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Gemeinsame Dateien\Java\Java Update\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\Run: [SynAsusAcpi] C:\Programme\Synaptics\SynTP\SynAsusAcpi.exe File not found
O4 - HKLM..\Run: [TkBellExe] C:\programme\real\realplayer\update\realsched.exe (RealNetworks, Inc.)
O4 - HKLM..\Run: [UIExec] C:\Programme\Join Air\UIExec.exe ()
O4 - HKCU..\Run: [gema] C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O4 - HKCU..\Run: [msnmsgr] "C:\Programme\Windows Live\Messenger\msnmsgr.exe" /background File not found
O4 - HKCU..\Run: [NVIDIA driver monitor] c:\windows\nvsvc32.exe File not found
O4 - HKCU..\Run: [SpybotSD TeaTimer] C:\Programme\Spybot - Search & Destroy\TeaTimer.exe (Safer Networking Limited)
O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\SuperHybridEngine.lnk = C:\Programme\ASUS\EeePC\Super Hybrid Engine\SuperHybridEngine.exe (ASUSTeK Computer Inc.)
O4 - Startup: C:\Dokumente und Einstellungen\Neuer Benutzer\Startmenü\Programme\Autostart\OpenOffice.org 3.3.lnk = C:\Programme\OpenOffice.org 3\program\quickstart.exe ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O8 - Extra context menu item: Senden an &Bluetooth-Gerät... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm ()
O8 - Extra context menu item: Senden an Bluetooth - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra 'Tools' menuitem : Über Digital Trends Club - {4BEEA052-726D-4A6E-B65D-A6BD07C263F3} - C:\Programme\Digital Trends Club\Gacela2.dll (nurago GmbH)
O9 - Extra Button: @btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra 'Tools' menuitem : @btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra 'Tools' menuitem : Spybot - Search && Destroy Configuration - {DFB852A3-47F8-48C4-A200-58CAB36FD2A2} - C:\Programme\Spybot - Search & Destroy\SDHelper.dll (Safer Networking Limited)
O10 - NameSpace_Catalog5\Catalog_Entries\000000000004 [] - C:\Programme\Bonjour\mdnsNSP.dll (Apple Inc.)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} hxxp://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab (Windows Genuine Advantage Validation Tool)
O16 - DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} hxxp://dlcdnet.asus.com/pub/ASUS/misc/dlm-activex-2.2.5.0.cab (DLM Control)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)
O16 - DPF: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_22-windows-i586.cab (Java Plug-in 1.6.0_22)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{817FC01A-221C-4A55-B50B-DEDF18272C82}: DhcpNameServer = 192.168.178.1
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O20 - AppInit_DLLs: (C:\PROGRA~1\WI9130~1\Datamngr\datamngr.dll) - C:\Programme\Windows Searchqu Toolbar\Datamngr\datamngr.dll (Bandoo Media, inc)
O20 - AppInit_DLLs: (C:\PROGRA~1\WI9130~1\Datamngr\IEBHO.dll) - C:\Programme\Windows Searchqu Toolbar\Datamngr\IEBHO.dll (Bandoo Media, inc)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe) - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\gema.exe) - C:\WINDOWS\system32\gema.exe (MailEnable Pty Ltd)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O20 - HKCU Winlogon: Shell - (C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe) - C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O20 - HKCU Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O31 - SafeBoot: UseAlternatShell - 1
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.04.16 09:53:24 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ]
O33 - MountPoints2\{5fee8527-ab7d-11e0-8d27-002243de1c07}\Shell - "" = AutoRun
O33 - MountPoints2\{5fee8527-ab7d-11e0-8d27-002243de1c07}\Shell\AutoRun - "" = Auto&Play
O33 - MountPoints2\{5fee8527-ab7d-11e0-8d27-002243de1c07}\Shell\AutoRun\command - "" = D:\LaunchU3.exe -a
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.03.08 09:59:39 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema
[2012.03.07 23:35:49 | 000,244,736 | ---- | C] (MailEnable Pty Ltd) -- C:\WINDOWS\System32\gema.exe
[2012.03.07 23:35:49 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema
[2012.02.27 11:12:05 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Apple
[2012.02.25 15:10:36 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Yla
[2012.02.25 15:10:36 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Han
[2012.02.25 15:10:13 | 000,000,000 | ---D | C] -- C:\WINDOWS\Sun
[2012.02.21 13:57:16 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\OpenOffice.org
[2012.02.21 07:16:37 | 000,000,000 | --SD | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\OpenOffice.org 3.3
[2012.02.21 07:13:40 | 000,000,000 | ---D | C] -- C:\Programme\OpenOffice.org 3
[2012.02.21 07:13:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Sun
[2012.02.21 07:13:17 | 000,000,000 | ---D | C] -- C:\Programme\Gemeinsame Dateien\Java
[2012.02.21 07:12:57 | 000,472,808 | ---- | C] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\deployJava1.dll
[2012.02.21 07:12:57 | 000,153,376 | ---- | C] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javaws.exe
[2012.02.21 07:12:57 | 000,145,184 | ---- | C] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javaw.exe
[2012.02.21 07:12:57 | 000,145,184 | ---- | C] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\java.exe
[2012.02.21 07:12:57 | 000,073,728 | ---- | C] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javacpl.cpl
[2012.02.21 07:12:18 | 000,000,000 | ---D | C] -- C:\Programme\Java
[2012.02.21 07:12:04 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\Sun
[2012.02.21 07:10:12 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\OpenOffice.org 3.3 (de) Installation Files
[2 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.03.08 11:47:16 | 000,459,250 | ---- | M] () -- C:\WINDOWS\System32\perfh007.dat
[2012.03.08 11:47:16 | 000,441,552 | ---- | M] () -- C:\WINDOWS\System32\perfh009.dat
[2012.03.08 11:47:16 | 000,084,754 | ---- | M] () -- C:\WINDOWS\System32\perfc007.dat
[2012.03.08 11:47:16 | 000,071,488 | ---- | M] () -- C:\WINDOWS\System32\perfc009.dat
[2012.03.08 11:43:26 | 000,001,158 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.03.08 11:43:00 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.03.08 11:30:00 | 000,000,440 | -H-- | M] () -- C:\WINDOWS\tasks\User_Feed_Synchronization-{FA310708-0455-455A-9900-167CD68BABDE}.job
[2012.03.08 10:14:29 | 000,000,288 | ---- | M] () -- C:\WINDOWS\tasks\RealUpgradeLogonTaskS-1-5-21-536841908-3983116500-2575847545-1007.job
[2012.03.07 23:35:43 | 000,244,736 | ---- | M] (MailEnable Pty Ltd) -- C:\WINDOWS\System32\gema.exe
[2012.03.04 16:23:08 | 000,311,031 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_12.jpg
[2012.03.04 16:23:00 | 000,261,673 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_11.jpg
[2012.03.04 16:22:37 | 000,294,827 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_10.jpg
[2012.03.04 16:22:29 | 000,324,207 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_9.jpg
[2012.03.04 16:22:21 | 000,311,935 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_8.jpg
[2012.03.04 16:22:14 | 000,300,978 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_7.jpg
[2012.03.04 16:22:06 | 000,284,326 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_6.jpg
[2012.03.04 16:21:56 | 000,281,935 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_5.jpg
[2012.03.04 16:21:46 | 000,279,924 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_4.jpg
[2012.03.04 16:21:30 | 000,293,700 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_3.jpg
[2012.03.04 16:21:14 | 000,323,720 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_2.jpg
[2012.03.04 16:21:05 | 000,344,527 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_1.jpg
[2012.03.04 15:12:37 | 000,174,080 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2012.03.04 10:48:19 | 000,038,505 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Anonza1.pdf
[2012.03.04 10:46:03 | 000,038,982 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Anonza.pdf
[2012.02.27 11:12:06 | 000,000,276 | ---- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job
[2012.02.26 10:05:13 | 000,000,706 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Verknüpfung mit firefox.lnk
[2012.02.26 10:04:05 | 000,002,241 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Skype.lnk
[2012.02.22 20:20:55 | 000,119,056 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-toile-de-jouy-blumen-gross-blau_z1.jpg
[2012.02.22 20:20:20 | 000,155,260 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-zweiseitiger-jacquard-landhaus-maritim_z1.jpg
[2012.02.22 20:19:27 | 000,136,444 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-toile-de-jouy-blau_z1.jpg
[2012.02.22 20:16:55 | 000,075,108 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-satin-blaetter_z1.jpg
[2012.02.22 20:13:19 | 000,216,602 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-zweiseitiger-jacquard-landhaus16_z1.jpg
[2012.02.22 20:10:05 | 000,174,275 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\baumwolle-delfter-blumen-blau_z1.jpg
[2012.02.22 19:54:30 | 000,133,669 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\13341-1106-04-1.jpg
[2012.02.22 19:41:30 | 000,250,288 | ---- | M] () -- C:\WINDOWS\System32\FNTCACHE.DAT
[2012.02.22 08:37:02 | 000,000,296 | ---- | M] () -- C:\WINDOWS\tasks\RealUpgradeScheduledTaskS-1-5-21-536841908-3983116500-2575847545-1007.job
[2012.02.21 13:58:11 | 000,000,846 | ---- | M] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Startmenü\Programme\Autostart\OpenOffice.org 3.3.lnk
[2012.02.21 07:12:28 | 000,153,376 | ---- | M] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javaws.exe
[2012.02.21 07:12:28 | 000,145,184 | ---- | M] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javaw.exe
[2012.02.21 07:12:28 | 000,145,184 | ---- | M] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\java.exe
[2012.02.21 07:12:28 | 000,073,728 | ---- | M] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\javacpl.cpl
[2012.02.21 07:12:27 | 000,472,808 | ---- | M] (Sun Microsystems, Inc.) -- C:\WINDOWS\System32\deployJava1.dll
[2012.02.17 18:18:48 | 000,001,374 | ---- | M] () -- C:\WINDOWS\imsins.BAK
[2 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.03.04 16:23:07 | 000,311,031 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_12.jpg
[2012.03.04 16:23:00 | 000,261,673 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_11.jpg
[2012.03.04 16:22:36 | 000,294,827 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_10.jpg
[2012.03.04 16:22:28 | 000,324,207 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_9.jpg
[2012.03.04 16:22:21 | 000,311,935 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_8.jpg
[2012.03.04 16:22:13 | 000,300,978 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_7.jpg
[2012.03.04 16:22:05 | 000,284,326 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_6.jpg
[2012.03.04 16:21:55 | 000,281,935 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_5.jpg
[2012.03.04 16:21:45 | 000,279,924 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_4.jpg
[2012.03.04 16:21:30 | 000,293,700 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_3.jpg
[2012.03.04 16:21:14 | 000,323,720 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_2.jpg
[2012.03.04 16:21:02 | 000,344,527 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Radio_1.jpg
[2012.03.04 10:48:18 | 000,038,505 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Anonza1.pdf
[2012.03.04 10:46:02 | 000,038,982 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Anonza.pdf
[2012.02.26 10:05:13 | 000,000,706 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Desktop\Verknüpfung mit firefox.lnk
[2012.02.22 20:20:54 | 000,119,056 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-toile-de-jouy-blumen-gross-blau_z1.jpg
[2012.02.22 20:20:19 | 000,155,260 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-zweiseitiger-jacquard-landhaus-maritim_z1.jpg
[2012.02.22 20:19:26 | 000,136,444 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-toile-de-jouy-blau_z1.jpg
[2012.02.22 20:16:55 | 000,075,108 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-satin-blaetter_z1.jpg
[2012.02.22 20:13:18 | 000,216,602 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\dekostoff-zweiseitiger-jacquard-landhaus16_z1.jpg
[2012.02.22 20:10:04 | 000,174,275 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\baumwolle-delfter-blumen-blau_z1.jpg
[2012.02.22 19:54:29 | 000,133,669 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\13341-1106-04-1.jpg
[2012.02.21 13:58:11 | 000,000,846 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Startmenü\Programme\Autostart\OpenOffice.org 3.3.lnk
[2012.02.16 14:10:57 | 000,003,072 | ---- | C] () -- C:\WINDOWS\System32\iacenc.dll
[2012.02.16 14:10:57 | 000,003,072 | ---- | C] () -- C:\WINDOWS\System32\dllcache\iacenc.dll
[2012.01.24 08:45:06 | 000,000,754 | ---- | C] () -- C:\WINDOWS\WORDPAD.INI
[2012.01.16 20:17:09 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\redmonnt.dll
[2012.01.16 20:17:09 | 000,045,056 | ---- | C] () -- C:\WINDOWS\System32\unredmon.exe
[2010.12.30 21:15:01 | 000,000,056 | -H-- | C] () -- C:\WINDOWS\System32\ezsidmv.dat
[2010.10.25 17:44:39 | 000,000,040 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\tmp.no23
[2010.07.06 14:57:59 | 000,001,520 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\RecConfig.xml
[2010.06.20 17:36:04 | 000,174,080 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2010.04.07 15:26:42 | 000,000,000 | ---- | C] () -- C:\WINDOWS\nsreg.dat
[2010.03.15 20:29:32 | 000,000,147 | ---- | C] () -- C:\Dokumente und Einstellungen\Neuer Benutzer\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat

< End of report >

--- --- ---

Brassmann · 08.03.2012, 13:37

Hier noch Extras TXTOTL EXTRAS Logfile:

Code:

ATTFilter

OTL Extras logfile created on: 08.03.2012 11:46:20 - Run 1
OTL by OldTimer - Version 3.2.36.1     Folder = D:\
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 7.0.5730.13)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1015,17 Mb Total Physical Memory | 827,94 Mb Available Physical Memory | 81,56% Memory free
2,39 Gb Paging File | 2,33 Gb Available in Paging File | 97,53% Paging File free
Paging file location(s): C:\pagefile.sys 1524 3048 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 149,00 Gb Total Space | 116,26 Gb Free Space | 78,03% Space Free | Partition Type: NTFS
Drive D: | 3,73 Gb Total Space | 3,73 Gb Free Space | 99,94% Space Free | Partition Type: FAT
 
Computer Name: SEASHELL | User Name: Neuer Benutzer | Logged in as Administrator.
Boot Mode: SafeMode | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.url [@ = InternetShortcut] -- rundll32.exe ieframe.dll,OpenURL %l
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
InternetShortcut [open] -- rundll32.exe ieframe.dll,OpenURL %l
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 1
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"%windir%\explorer.exe" = %windir%\explorer.exe -- (Microsoft Corporation)
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\MSN Gaming Zone\Windows\bckgzm.exe" = C:\Programme\MSN Gaming Zone\Windows\bckgzm.exe:*:Enabled:Internet-Backgammon -- (Microsoft Corporation)
"C:\Programme\Windows Searchqu Toolbar\Datamngr\ToolBar\dtUser.exe" = C:\Programme\Windows Searchqu Toolbar\Datamngr\ToolBar\dtUser.exe:*:Enabled:DTX broker -- (Visicom Media Inc.)
"C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe" = C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe:*:Enabled:WebKit -- (Apple Inc.)
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{19F5658D-92E8-4A08-8657-D38ABB1574B2}" = Asus ACPI Driver
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}" = MSVCRT
"{26A24AE4-039D-4CA4-87B4-2F83216022FF}" = Java(TM) 6 Update 22
"{28006915-2739-4EBE-B5E8-49B25D32EB33}" = Atheros Client Installation Program
"{28C2DED6-325B-4CC7-983A-1777C8F7FBAB}" = RealUpgrade 1.1
"{3108C217-BE83-42E4-AE9E-A56A2A92E549}" = Atheros Communications Inc.(R) AR81Family Gigabit/Fast Ethernet Driver
"{3175E049-F9A9-4A3D-8F19-AC9FB04514D1}" = Windows Live Communications Platform
"{343666E2-A059-48AC-AD67-230BF74E2DB2}" = Apple Application Support
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3FB39BED-37C8-4E60-8E02-315B8C2B07E3}" = USB2.0 UVC Camera Device
"{4286716B-1287-48E7-9078-3DC8248DBA96}" = OpenOffice.org 3.3
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4CBA3D4C-8F51-4D60-B27E-F6B641C571E7}" = Microsoft Search Enhancement Pack
"{56C049BE-79E9-4502-BEA7-9754A3E60F9B}" = neroxml
"{587178E7-B1DF-494E-9838-FA4DD36E873C}" = ASUSUpdate for Eee PC
"{5F0545E7-3F0F-4730-AF70-26E61DBDF263}" = Digital Trends Club
"{710BF966-43C8-4216-A8EC-BC4E169FF7C1}" = MobileMe Control Panel
"{7770E71B-2D43-4800-9CB3-5B6CAAEBEBEA}" = RealNetworks - Microsoft Visual C++ 2008 Runtime
"{79155F2B-9895-49D7-8612-D92580E0DE5B}" = Bonjour
"{7BE15435-2D3E-4B58-867F-9C75BED0208C}" = QuickTime
"{8153ED9A-C94A-426E-9880-5E6775C08B62}" = Apple Mobile Device Support
"{84814E6B-2581-46EC-926A-823BD1C670F6}" = WIDCOMM Bluetooth Software
"{850C7BD3-9F3F-46AD-9396-E7985B38C55E}" = Windows Live Fotogalerie
"{86CE85E6-DBAC-3FFD-B977-E4B79F83C909}" = Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570
"{88F08F98-12BC-4613-81A2-8F9B88CFC73E}" = Super Hybrid Engine
"{8FC4F1DD-F7FD-4766-804D-3C8FF1D309AF}" = Azurewave Wireless LAN Card
"{90120000-0020-0407-0000-0000000FF1CE}" = Compatibility Pack für 2007 Office System
"{95120000-00AF-0407-0000-0000000FF1CE}" = Microsoft Office PowerPoint Viewer 2007 (German)
"{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{A1F66FC9-11EE-4F2F-98C9-16F8D1E69FB7}" = Segoe UI
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A9E5EDA7-2E6C-49E7-924B-A32B89C24A04}" = Join Air
"{AA59DDE4-B672-4621-A016-4C248204957A}" = Skype™ 5.5
"{AC76BA86-7AD7-1031-7B44-A81000000003}" = Adobe Reader 8.1.0 - Deutsch
"{B4092C6D-E886-4CB2-BA68-FE5A88D31DE6}_is1" = Spybot - Search & Destroy
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C6579A65-9CAE-4B31-8B6B-3306E0630A66}" = Apple Software Update
"{CAFA57E8-8927-4912-AFCF-B0AA3837E989}" = Windows Live Essentials
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{E0A4805D-280A-4DD7-9E74-3A5F85E302A1}" = Windows Live Writer
"{F0B430D1-B6AA-473D-9B06-AA3DD01FD0B8}" = Microsoft SQL Server 2005 Compact Edition [ENU]
"{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}" = Microsoft Choice Guard
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F6D6B258-E3CA-4AAC-965A-68D3E3140A8C}" = iTunes
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"AFPL Ghostscript 8.54" = AFPL Ghostscript 8.54
"AFPL Ghostscript Fonts" = AFPL Ghostscript Fonts
"avast" = avast! Free Antivirus
"Eee Storage" = Eee Storage 1.2.17.333
"EeePC_1008" = EeePC_1008 Screen Saver
"Elantech" = ETDWare PS/2-x86 7.0.4.3 WHQL
"Free Audio CD Burner_is1" = Free Audio CD Burner version 1.4
"Free YouTube to MP3 Converter_is1" = Free YouTube to MP3 Converter version 3.8
"FreePDF_XP" = FreePDF (Remove only)
"HDMI" = Intel(R) Graphics Media Accelerator Driver
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie7" = Windows Internet Explorer 7
"Microsoft .NET Framework 1.1  (1033)" = Microsoft .NET Framework 1.1
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Mozilla Firefox 10.0.2 (x86 de)" = Mozilla Firefox 10.0.2 (x86 de)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"Power Tools_is1" = Power Tools 1.05
"RealPlayer 12.0" = RealPlayer
"Redirection Port Monitor" = RedMon - Redirection Port Monitor
"Searchqu 0 MediaBar" = Windows Searchqu Toolbar
"Uninstall_is1" = Uninstall 1.0.0.1
"Wdf01007" = Microsoft Kernel-Mode Driver Framework Feature Pack 1.7
"Wdf01009" = Microsoft Kernel-Mode Driver Framework Feature Pack 1.9
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WinLiveSuite_Wave3" = Windows Live Essentials
"WinRAR archiver" = WinRAR 4.00 (32-Bit)
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 06.03.2012 09:38:42 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledSPRetry 93750
 
Error - 06.03.2012 21:15:59 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: Continuously busy for more than a second
 
Error - 06.03.2012 21:15:59 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledEvent 11334844
 
Error - 06.03.2012 21:15:59 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledSPRetry 11334844
 
Error - 07.03.2012 02:21:16 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: Continuously busy for more than a second
 
Error - 07.03.2012 02:21:16 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledEvent 16210343
 
Error - 07.03.2012 02:21:16 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledSPRetry 16210343
 
Error - 07.03.2012 15:59:10 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: Continuously busy for more than a second
 
Error - 07.03.2012 15:59:10 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledEvent 2403063
 
Error - 07.03.2012 15:59:10 | Computer Name = SEASHELL | Source = Bonjour Service | ID = 100
Description = Task Scheduling Error: m->NextScheduledSPRetry 2403063
 
[ System Events ]
Error - 08.03.2012 05:12:20 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7026
Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
   Aavmker4  AFD  aswRdr  aswSnx  aswSP  aswTdi  Fips  intelppm  IPSec  MRxSmb  NetBIOS  NetBT  RasAcd  Rdbss
Tcpip
 
Error - 08.03.2012 05:13:06 | Computer Name = SEASHELL | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "EventSystem"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {1BE1F766-5536-11D1-B726-00C04FB926AF}
 
Error - 08.03.2012 06:43:39 | Computer Name = SEASHELL | Source = DCOM | ID = 10005
Description = Bei DCOM ist der Fehler "%1084" aufgetreten, als der Dienst "EventSystem"
 mit den Argumenten ""  gestartet wurde, um den folgenden Server zu verwenden:  {1BE1F766-5536-11D1-B726-00C04FB926AF}
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DHCP-Client" ist vom Dienst "NetBios über TCP/IP" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "DNS-Client" ist vom Dienst "TCP/IP-Protokolltreiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "TCP/IP-NetBIOS-Hilfsprogramm" ist vom Dienst "AFD" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "Apple Mobile Device" ist vom Dienst "TCP/IP-Protokolltreiber"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "Dienst "Bonjour"" ist vom Dienst "TCP/IP-Protokolltreiber"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7001
Description = Der Dienst "IPSEC-Dienste" ist vom Dienst "IPSEC-Treiber" abhängig,
 der aufgrund folgenden Fehlers nicht gestartet wurde:   %%31
 
Error - 08.03.2012 06:44:44 | Computer Name = SEASHELL | Source = Service Control Manager | ID = 7026
Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
   Aavmker4  AFD  aswRdr  aswSnx  aswSP  aswTdi  Fips  intelppm  IPSec  MRxSmb  NetBIOS  NetBT  RasAcd  Rdbss
Tcpip
 
 
< End of report >

--- --- ---

Chris4You · 08.03.2012, 14:17

Hi,

wow, sehr aggresiv das Teil, das hat sich richtig schön tief ins System "gebohrt"...

Here we go...
Fix für OTL:
Script auf CD oder USB-Stick kopieren, OTL starten und wie folgt vorgehen...
(abgesicherter Modus mit Eingabeaufforderung OTL starten dann notepad aufrufen, Script laden und Inhalt der Codebox wie u. beschrieben in OTL kopieren)

Doppelklick auf die OTL.exe, um das Programm auszuführen.

Vista/Win7-User bitte per Rechtsklick und "Ausführen als Administrator" starten.

Kopiere den Inhalt der folgenden Codebox komplett in die OTL-Box unter "Custom Scan/Fixes"

Code:

ATTFilter

:OTL
O3 - HKLM\..\Toolbar: (no name) - 10 - No CLSID value found.
O4 - HKLM..\Run: [gema] C:\WINDOWS\system32\gema.exe (MailEnable Pty Ltd)
O4 - HKLM..\Run: [gema.] C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O4 - HKCU..\Run: [gema] C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O20 - HKLM Winlogon: UserInit - (C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe) - C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\gema.exe) - C:\WINDOWS\system32\gema.exe (MailEnable Pty Ltd)
O20 - HKCU Winlogon: Shell - (C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe) - C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe (MailEnable Pty Ltd)
[2012.03.08 09:59:39 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema
[2012.03.07 23:35:43 | 000,244,736 | ---- | M] (MailEnable Pty Ltd) -- C:\WINDOWS\System32\gema.exe

:reg
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = dword:0x00
"AntiVirusDisableNotify" = dword:0x00

:Commands
[emptytemp]
[Reboot]

Den roten Run Fixes! Button anklicken.

Bitte alles aus dem Ergebnisfenster (Results) herauskopieren.

Eine Kopie eines OTL-Fix-Logs wird in einer Textdatei in folgendem Ordner gespeichert:

%systemroot%\_OTL

Danach bitte den abgesicherten Modus booten und das Verzeichnis C:\_OTL\MovedFiles packen und bei uns hochladen...
Datei hochladen:
http://www.trojaner-board.de/54791-a...ner-board.html
Folge den Anweisungen dort und lade die gepackte Datei hoch...

Ist das erfolgt, lassen wir MAM los:
Malwarebytes Antimalware (MAM)
Anleitung&Download hier: http://www.trojaner-board.de/51187-m...i-malware.html
Falls der Download nicht klappt, bitte hierüber eine generische Version runterladen:
http://filepony.de/download-chameleon/
Danach bitte update der Signaturdateien (Reiter "Aktualisierungen" -> Suche nach Aktualisierungen")
Fullscan und alles bereinigen lassen! Log posten.

chris

Brassmann · 08.03.2012, 15:19

Leider funktioniert das irgendwie nicht so recht! Muss kurz weg! Melde mich nachher wieder.

Chris4You · 08.03.2012, 15:49

Hi,

kopiere das script auf den USB-Stick als Textdatei (Script.txt),
starte dann den abgesicherten Modus, Eingabeaufforderung starten (Start->Ausführen->cmd), in die cmd dann notepad eingeben (und Datenfreigabe=Return), im Editor das File laden, alles abkopieren, in der CMD OTL aufrufen, dort wie beschreiben den Text reinkopieren (inklusive :OTL) und dann Run Fix...

chris

Brassmann · 08.03.2012, 17:58

Ich gehe genau so vor, wie du es mir hier schreibst, dennoch öffnet sich direkt ein Fenster, wo das Netbook neu gestartet werden muss. Ist das richtig so?

Chris4You · 08.03.2012, 21:18

Hi,

ja, OTL hat die Anweisungen einen Reboot durchzuführen...

:Commands
[emptytemp]
[Reboot]

chris

Brassmann · 09.03.2012, 11:50

Jetzt kann ich das Netbook wieder normal benutzen, aber ganz weg ist dieser Gema Trojaner noch nicht. Was wäre denn der nächste Schritt?

Chris4You · 09.03.2012, 14:10

Hi,

wie angegeben unbedingt gleich MAM mit FULLSCAN drüberjagen... Log dann posten..
Hast Du Die Dateien wie beschrieben hochgeladen?
Woran erkennst Du, das er noch teilweise da ist?

chris

Brassmann · 09.03.2012, 14:41

Malwarebytes Anti-Malware (Test) 1.60.1.1000
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: v2012.03.09.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 7.0.5730.13
Neuer Benutzer :: SEASHELL [Administrator]

Schutz: Aktiviert

09.03.2012 14:23:48
mbam-log-2012-03-09 (14-39-48).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 192337
Laufzeit: 14 Minute(n), 23 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 4
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema (Trojan.Ransom.ICL) -> Daten: C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|NVIDIA driver monitor (Backdoor.Agent) -> Daten: c:\windows\nvsvc32.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema (Trojan.Ransom.ICL) -> Daten: C:\WINDOWS\system32\gema.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema. (Trojan.Ransom.ICL) -> Daten: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 4
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\gema\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc1\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc2\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc3\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.

(Ende)

Chris4You · 09.03.2012, 14:50

Hi,

fast gut, allerdings nicht Quckscan sondern Fullscan, also nochmal anwerfen, alles bereinigen lassen..

Wegen dem Backdoor:
Combofix
Lade Combo Fix von http://download.bleepingcomputer.com/sUBs/ComboFix.exe und speichert es auf den Desktop.

Achtung: In einigen wenigen Fällen kann es vorkommen, das der Rechner nicht mehr booten kann und Neuaufgesetzt werden muß!

Alle Fenster schliessen und combofix.exe starten und bestätige die folgende Abfrage mit 1 und drücke Enter.

Der Scan mit Combofix kann einige Zeit in Anspruch nehmen, also habe etwas Geduld. Während des Scans bitte nichts am Rechner unternehmen. Es kann möglich sein, dass der Rechner zwischendurch neu gestartet wird.
Nach Scanende wird ein Report (ComboFix.txt) angezeigt, den bitte kopieren und in deinem Thread einfuegen.

chris

Brassmann · 09.03.2012, 17:38

Malwarebytes Anti-Malware (Test) 1.60.1.1000
Malwarebytes : Free anti-malware, anti-virus and spyware removal download

Datenbank Version: v2012.03.09.03

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 7.0.5730.13
Neuer Benutzer :: SEASHELL [Administrator]

Schutz: Aktiviert

09.03.2012 15:00:55
mbam-log-2012-03-09 (17-38-40).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 247998
Laufzeit: 1 Stunde(n), 37 Minute(n), 11 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 4
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema (Trojan.Ransom.ICL) -> Daten: C:\Dokumente und Einstellungen\Neuer Benutzer\Anwendungsdaten\gema\gema.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|NVIDIA driver monitor (Backdoor.Agent) -> Daten: c:\windows\nvsvc32.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema (Trojan.Ransom.ICL) -> Daten: C:\WINDOWS\system32\gema.exe -> Keine Aktion durchgeführt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|gema. (Trojan.Ransom.ICL) -> Daten: C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\gema\gema.exe -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 8
C:\Dokumente und Einstellungen\Administrator\Anwendungsdaten\gema\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\Dokumente und Einstellungen\Neuer Benutzer\Eigene Dateien\Downloads\router\FRITZ!Box\nc.exe (PUP.Netcat) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc1\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc2\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\RECYCLER\S-1-5-21-536841908-3983116500-2575847545-500\Dc3\gema.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\System Volume Information\_restore{B7082A91-FB0F-4748-B8F8-1B2CB3CC63C8}\RP141\A0075357.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\System Volume Information\_restore{B7082A91-FB0F-4748-B8F8-1B2CB3CC63C8}\RP141\A0075358.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.
C:\System Volume Information\_restore{B7082A91-FB0F-4748-B8F8-1B2CB3CC63C8}\RP141\A0075359.exe (Spyware.Zbot.ES) -> Keine Aktion durchgeführt.

(Ende)

Brassmann · 09.03.2012, 17:41

Habe den Fullscan jetzt noch mal durchlaufen lassen. Und jetzt mache ich den Combofix?

Asus Netbook mit Gema Trojaner

Plagegeister aller Art und deren Bekämpfung: Asus Netbook mit Gema Trojaner