Hallo liebe Community,
ich hoffe ihr könnt mir bei diesem Problem behilflich sein. In mehreren Themen wurde dieses Problem heute auch schon angesprochen und somit scheine ich zum Glück nicht der einzige zu sein. Es handelt sich hier um die Windows Zahlungsaufforderung von 50€. Mein Windows ist nun gesperrt und ich kann nicht mehr weiter arbeiten. Auf dem System befinden sich sehr wichtige Dateien. Wie es zu dieser Meldung, also wahrscheinlich dem eingefangenen Trojaner, gekommen ist, weiß ich nicht. Ich hab auf meinem System Windows 7 Ultimate sogar eine Eset Smart Security 5 Lizenz installiert.

Folgende Meldung erscheint:

Sie haben sich mit einen Windows-Verschlüsselungs-Trojaner infiziert.

Aus Sicherheitsgründen wurde ihr Windowssystem blockiert. Das Besuchen von Seiten mit pornografischen und infizierten Inhalten hat dazu geführt, das Ihr System von einem Computerverschlüsselungstrojaner befallen wurde. Dieses Virus verschlüsselt Ihre Festplatte mit einem 2048 Bit PGP-RSA Schlüssel und eine selbstständige Entschlüsselung ist nicht mehr machbar.

Um das System wiederherstellen zu können, müssen Sie ein zusätzliches Sicherheitupdate herunterladen. Diese Update ist ein kostenpflichtiges Upgrade für infizierte Windowssysteme. Kostenpflichtig ist es, weil es nicht zum ursprünglichen Windowspaket gehört und nur dafür entwickelt wurde um Ihnen zu helfen ihre Daten nicht zu verlieren. Bitte schalten Sie den Computer nicht aus, sonst kann es vorkommen das der Virus nicht beseitigt werden kann und Sie ihre Daten komplett verlieren. Dieses Update beschützt ihr System vollständig von Virus und Schadprogrammen stabilisiert ihr Computersystem und verhindert den Datenverlust.

Wie kann ich dieses Problem lösen? Nützt es was, wenn ich mit Knoppix versuche die Daten zu retten und das System neu aufzusetzen oder werden diese alle infiziert sein?

MfG,
Toni

Soo ich habe nochmal recherchiert und habe die Ursache herausgefunden.
Es handelte sich um eine Email mit einem Anhang "Rechnung.zip". Ein Familienmitglied hat den Anhang geöffnet. Ich habe die Datei gerade von ESET Smart Security überprüft und er zeigt folgendes Resultat an:

Win32/Trustezeb.A Trojaner


Ich hoffe das hilft weiter.

MfG,
Toni

Virus Total Resultat

https://www.virustotal.com/file/da1f04eef85291e05848e170cf988b81a0a47ebed17068a3bc26f3c1dfc1427c/analysis/

hi
Mit einem sauberen 2. Rechner eine OTLPE-CD erstellen und den infizierten Rechner dann von dieser CD booten:

Falls Du kein Brennprogramm installiert hast, lade dir bitte ISOBurner herunter. Das Programm wird Dir erlauben, OTLPE auf eine CD zu brennen und sie bootfähig zu machen. Du brauchst das Tool nur zu installieren, der Rest läuft automatisch => Wie brenne ich eine ISO Datei auf CD/DVD.


Lade OTLPENet.exe von OldTimer herunter und speichere sie auf Deinem Desktop. Anmerkung: Die Datei ist ca. 120 MB groß und es wird bei langsamer Internet-Verbindung ein wenig dauern, bis Du sie runtergeladen hast.

• Wenn der Download fertig ist, mache einen Doppelklick auf die Datei und beantworte die Frage "Do you want to burn the CD?" mit Yes.
• Lege eine leere CD in Deinen Brenner.
• ImgBurn (oder Dein Brennprogramm) wird das Archiv extrahieren und OTLPE Network auf die CD brennen.
• Wenn der Brenn-Vorgang abgeschlossen ist, wirst Du eine Dialogbox sehen => "Operation successfully completed".
• Du kannst nun die Fenster des Brennprogramms schließen.

Nun boote von der OTLPE CD. Hinweis: Wie boote ich von CD


Bebilderte Anleitung: OTLpe-Scan

• Dein System sollte nach einigen Minuten den REATOGO-X-PE Desktop anzeigen.
• Mache einen Doppelklick auf das OTLPE Icon.
• Hinweis: Damit OTLPE auch das richtige installierte Windows scant, musst du den Windows-Ordner des auf der Platte installierten Windows auswählen, einfach nur C: auswählen gibt einen Fehler!
• Wenn Du gefragt wirst "Do you wish to load the remote registry", dann wähle Yes.
• Wenn Du gefragt wirst "Do you wish to load remote user profile(s) for scanning", dann wähle Yes.
• Vergewissere Dich, dass die Box "Automatically Load All Remaining Users" gewählt ist und drücke OK.
• OTLpe sollte nun starten.
• Drücke Run Scan, um den Scan zu starten.
• Wenn der Scan fertig ist, werden die Dateien C:\OTL.Txt und C:\Extras.Txt erstellt
• Kopiere diese Datei auf Deinen USB-Stick, wenn Du keine Internetverbindung auf diesem System hast.
• Bitte poste den Inhalt von C:\OTL.txt und Extras.txt.

Ich soll den Windows Installationspfad dann angeben und dann kommt " Target is not windows 2000 or later "

Habe ja auch Windows 7 installiert.

klappe alle laufwerke auf, bis du den windows ordner siehst, da drauf klicken und los gehts

Vielen Dank!!

Hier ist der Log:
OTL Logfile:

OTL logfile created on: 4/26/2012 10:06:34 PM - Run 
OTLPE by OldTimer - Version 3.1.48.0     Folder = X:\Programs\OTLPE
64bit-Windows 7 Ultimate Service Pack 1 (Version = 6.1.7601) - Type = System
Internet Explorer (Version = 8.0.7601.17514)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3.00 Gb Total Physical Memory | 3.00 Gb Available Physical Memory | 91.00% Memory free
3.00 Gb Paging File | 3.00 Gb Available in Paging File | 98.00% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = D: | %SystemRoot% = D:\Windows | %ProgramFiles% = D:\Program Files (x86)
Drive C: | 100.00 Mb Total Space | 75.44 Mb Free Space | 75.44% Space Free | Partition Type: NTFS
Drive D: | 175.68 Gb Total Space | 74.66 Gb Free Space | 42.49% Space Free | Partition Type: NTFS
Drive E: | 57.10 Gb Total Space | 54.19 Gb Free Space | 94.89% Space Free | Partition Type: NTFS
Drive F: | 959.97 Mb Total Space | 856.25 Mb Free Space | 89.20% Space Free | Partition Type: FAT32
Drive X: | 436.59 Mb Total Space | 0.00 Mb Free Space | 0.00% Space Free | Partition Type: CDFS
 
Computer Name: REATOGO | User Name: SYSTEM
Boot Mode: Normal | Scan Mode: All users | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
Using ControlSet: ControlSet001
 
========== Win32 Services (SafeList) ==========
 
SRV:64bit: - [2011/09/22 07:03:30 | 000,974,944 | ---- | M] (ESET) [Auto] -- D:\Program Files\ESET\ESET Smart Security\x86\ekrn.exe -- (ekrn)
SRV:64bit: - [2009/07/13 21:41:27 | 001,011,712 | ---- | M] (Microsoft Corporation) [Disabled] -- D:\Program Files\Windows Defender\MpSvc.dll -- (WinDefend)
SRV:64bit: - [2009/07/13 21:40:01 | 000,193,536 | ---- | M] (Microsoft Corporation) [On_Demand] -- D:\Windows\System32\appmgmts.dll -- (AppMgmt)
SRV - [2012/01/04 08:35:50 | 000,075,136 | ---- | M] () [Auto] -- D:\Windows\SysWOW64\PnkBstrA.exe -- (PnkBstrA)
SRV - [2012/01/03 09:10:42 | 000,063,928 | ---- | M] (Adobe Systems Incorporated) [Auto] -- D:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe -- (AdobeARMservice)
SRV - [2011/10/27 15:15:16 | 000,570,368 | ---- | M] (Hauppauge Computer Works) [Auto] -- D:\Program Files (x86)\WinTV\TVServer\HauppaugeTVServer.exe -- (HauppaugeTVServer)
SRV - [2011/08/31 21:22:18 | 000,169,624 | ---- | M] (Adobe Systems Incorporated) [Auto] -- D:\Program Files (x86)\Adobe\Elements 10 Organizer\PhotoshopElementsFileAgent.exe -- (AdobeActiveFileMonitor10.0)
SRV - [2010/03/18 08:16:28 | 000,130,384 | ---- | M] (Microsoft Corporation) [Auto] -- D:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe -- (clr_optimization_v4.0.30319_32)
SRV - [2009/11/12 05:56:36 | 000,136,192 | ---- | M] (HP) [Auto] -- D:\Program Files (x86)\HP\HPLaserJetService\HPLaserJetService.exe -- (HP LaserJet Service)
SRV - [2009/07/26 21:15:30 | 000,134,944 | ---- | M] (Nuance Communications, Inc.) [Auto] -- D:\Program Files (x86)\Nuance\PDF Professional 6\PDFProFiltSrv.exe -- (PDFProFiltSrv)
SRV - [2009/06/10 17:23:09 | 000,066,384 | ---- | M] (Microsoft Corporation) [Disabled] -- D:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32)
 
 
========== Driver Services (SafeList) ==========
 
DRV:64bit: - [2012/01/02 13:53:53 | 000,254,528 | ---- | M] (DT Soft Ltd) [Kernel | System] -- D:\Windows\System32\drivers\dtsoftbus01.sys -- (dtsoftbus01)
DRV:64bit: - [2011/08/09 09:24:52 | 000,202,576 | ---- | M] (ESET) [File_System | Auto] -- D:\Windows\System32\drivers\eamonm.sys -- (eamonm)
DRV:64bit: - [2011/08/04 04:20:38 | 000,187,632 | ---- | M] (ESET) [Kernel | Auto] -- D:\Windows\System32\drivers\epfw.sys -- (epfw)
DRV:64bit: - [2011/08/04 04:20:38 | 000,146,432 | ---- | M] (ESET) [Kernel | System] -- D:\Windows\System32\drivers\ehdrv.sys -- (ehdrv)
DRV:64bit: - [2011/08/04 04:20:38 | 000,062,496 | ---- | M] (ESET) [Kernel | Boot] -- D:\Windows\System32\drivers\epfwwfp.sys -- (epfwwfp)
DRV:64bit: - [2011/08/04 04:20:38 | 000,038,288 | ---- | M] (ESET) [Kernel | System] -- D:\Windows\System32\drivers\EpfwLWF.sys -- (EpfwLWF)
DRV:64bit: - [2011/04/04 12:53:04 | 000,019,840 | ---- | M] (Hauppauge Computer Works, Inc.) [Kernel | On_Demand] -- D:\Windows\System32\drivers\hcw95rc.sys -- (hcw95rc)
DRV:64bit: - [2011/04/04 12:52:40 | 000,658,944 | ---- | M] (Hauppauge Computer Works, Inc.) [Kernel | On_Demand] -- D:\Windows\System32\drivers\hcw95bda.sys -- (hcw95bda)
DRV:64bit: - [2011/02/16 12:53:00 | 000,014,464 | ---- | M] (Western Digital Technologies) [Kernel | On_Demand] -- D:\Windows\System32\drivers\wdcsam64.sys -- (WDC_SAM)
DRV:64bit: - [2010/11/20 23:24:43 | 000,020,992 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\rdpvideominiport.sys -- (RdpVideoMiniport)
DRV:64bit: - [2010/11/20 23:24:33 | 000,059,392 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\TsUsbFlt.sys -- (TsUsbFlt)
DRV:64bit: - [2010/11/20 23:23:48 | 000,117,248 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\tsusbhub.sys -- (tsusbhub)
DRV:64bit: - [2010/11/20 23:23:48 | 000,088,960 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\Synth3dVsc.sys -- (Synth3dVsc)
DRV:64bit: - [2010/11/20 23:23:48 | 000,071,168 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\dmvsc.sys -- (dmvsc)
DRV:64bit: - [2010/11/20 23:23:48 | 000,034,816 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\terminpt.sys -- (terminpt)
DRV:64bit: - [2010/11/20 23:23:47 | 000,031,232 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\TsUsbGD.sys -- (TsUsbGD)
DRV:64bit: - [2010/03/18 22:00:00 | 000,055,856 | ---- | M] (Sonic Solutions) [Kernel | Boot] -- D:\Windows\System32\drivers\PxHlpa64.sys -- (PxHlpa64)
DRV:64bit: - [2009/10/12 21:15:52 | 000,061,440 | ---- | M] (Atheros Communications, Inc.) [Kernel | On_Demand] -- D:\Windows\System32\drivers\l160x64.sys -- (AtcL001)
DRV:64bit: - [2009/06/10 16:38:56 | 000,000,308 | ---- | M] () [File_System | On_Demand] -- D:\Windows\System32\wbem\ntfs.mof -- (Ntfs)
DRV:64bit: - [2009/06/10 16:34:33 | 003,286,016 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\evbda.sys -- (ebdrv)
DRV:64bit: - [2009/06/10 16:34:28 | 000,468,480 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand] -- D:\Windows\system32\drivers\bxvbda.sys -- (b06bdrv)
DRV:64bit: - [2009/06/10 16:34:23 | 000,270,848 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand] -- D:\Windows\System32\drivers\b57nd60a.sys -- (b57nd60a)
DRV:64bit: - [2007/08/08 12:54:12 | 000,035,624 | ---- | M] () [Kernel | On_Demand] -- D:\Windows\System32\drivers\ATITool64.sys -- (ATITool)
DRV:64bit: - [2007/07/16 17:29:33 | 000,023,064 | ---- | M] (Hewlett Packard) [Kernel | On_Demand] -- D:\Windows\System32\drivers\hpfx64fax.sys -- (HPFXFAX)
DRV:64bit: - [2007/07/16 17:29:23 | 000,020,504 | ---- | M] (Hewlett Packard) [Kernel | On_Demand] -- D:\Windows\System32\drivers\hpfx64bulk.sys -- (HPFXBULK)
DRV:64bit: - [2005/03/28 20:30:38 | 000,008,192 | ---- | M] () [Kernel | On_Demand] -- D:\Windows\System32\drivers\ASACPI.sys -- (MTsensor)
DRV - [2005/05/25 05:39:14 | 000,007,168 | ---- | M] () [Kernel | On_Demand] -- D:\Program Files (x86)\RMClock\RTCore64.sys -- (RTCore64)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
 
 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
IE - HKU\Büro_ON_D\Software\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.de/
IE - HKU\Büro_ON_D\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
 
FF:64bit: - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: D:\Program Files\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF:64bit: - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: D:\Program Files\Microsoft Office\Office14\NPAUTHZ.DLL (Microsoft Corporation)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@adobe.com/FlashPlayer: D:\Windows\SysWOW64\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@adobe.com/ShockwavePlayer: D:\Windows\SysWOW64\Adobe\Director\np32dsw.dll (Adobe Systems, Inc.)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@java.com/JavaPlugin: D:\Program Files (x86)\Java\jre6\bin\new_plugin\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: D:\Program Files (x86)\Microsoft Office\Office14\NPAUTHZ.DLL (Microsoft Corporation)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@microsoft.com/SharePoint,version=14.0: D:\Program Files (x86)\Microsoft Office\Office14\NPSPWRAP.DLL (Microsoft Corporation)
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@tools.google.com/Google Update;version=3:  File not found
FF - HKLM\Software\Wow6432Node\MozillaPlugins\@tools.google.com/Google Update;version=9:  File not found
FF - HKLM\Software\Wow6432Node\MozillaPlugins\Adobe Reader: D:\Program Files (x86)\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
 
64bit-FF - HKEY_LOCAL_MACHINE\software\mozilla\Thunderbird\Extensions\\eplgTb@eset.com: C:\PROGRAM FILES\ESET\ESET SMART SECURITY\MOZILLA THUNDERBIRD [2012/01/31 06:57:35 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\wow6432node\mozilla\Mozilla Firefox 11.0\extensions\\Components: C:\Program Files (x86)\Mozilla Firefox\components [2012/03/18 06:09:59 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\wow6432node\mozilla\Mozilla Firefox 11.0\extensions\\Plugins: C:\Program Files (x86)\Mozilla Firefox\plugins
FF - HKEY_LOCAL_MACHINE\software\wow6432node\mozilla\Thunderbird\Extensions\\eplgTb@eset.com: C:\Program Files\ESET\ESET Smart Security\Mozilla Thunderbird [2012/01/31 06:57:35 | 000,000,000 | ---D | M]
 
[2012/01/02 14:05:17 | 000,000,000 | ---D | M] (No name found) -- D:\Users\Büro\AppData\Roaming\Mozilla\Extensions
[2012/04/25 11:57:08 | 000,000,000 | ---D | M] (No name found) -- D:\Users\Büro\AppData\Roaming\Mozilla\Firefox\Profiles\unla3hk4.default\extensions
[2012/04/25 11:42:41 | 000,000,000 | ---D | M] (No name found) -- D:\Users\Büro\AppData\Roaming\Mozilla\Firefox\Profiles\unla3hk4.default\extensions\{271A3CF5-5A54-447B-A08F-BE805F0DA60A}
[2012/01/02 14:06:15 | 000,000,000 | ---D | M] (No name found) -- D:\Program Files (x86)\Mozilla Firefox\extensions
File not found (No name found) -- 
File not found (No name found) -- D:\USERS\BüRO\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\UNLA3HK4.DEFAULT\EXTENSIONS\{271A3CF5-5A54-447B-A08F-BE805F0DA60A}
File not found (No name found) -- D:\USERS\BüRO\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\UNLA3HK4.DEFAULT\EXTENSIONS\{64161300-E22B-11DB-8314-0800200C9A66}.XPI
File not found (No name found) -- D:\USERS\BüRO\APPDATA\ROAMING\MOZILLA\FIREFOX\PROFILES\UNLA3HK4.DEFAULT\EXTENSIONS\{D10D0BF8-F5B5-C8B4-A8B2-2B9879E08C5D}.XPI
[2012/03/18 06:09:58 | 000,097,208 | ---- | M] (Mozilla Foundation) -- D:\Program Files (x86)\mozilla firefox\components\browsercomps.dll
[2012/01/02 14:06:11 | 000,001,392 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\amazondotcom-de.xml
[2012/01/02 14:06:11 | 000,002,252 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\bing.xml
[2012/01/02 14:06:11 | 000,001,153 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\eBay-de.xml
[2012/01/02 14:06:11 | 000,006,805 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\leo_ende_de.xml
[2012/01/02 14:06:11 | 000,001,178 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\wikipedia-de.xml
[2012/01/02 14:06:11 | 000,001,105 | ---- | M] () -- D:\Program Files (x86)\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2012/03/10 07:29:31 | 000,000,856 | ---- | M]) - D:\Windows\System32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1 activate.adobe.com  
O2 - BHO: (PlusIEEventHelper Class) - {551A852F-39A6-44A7-9C13-AFBEC9185A9D} - D:\Program Files (x86)\Nuance\PDF Professional 6\bin\PlusIEContextMenu.dll (Zeon Corporation)
O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - D:\Program Files (x86)\Java\jre6\bin\ssv.dll (Sun Microsystems, Inc.)
O2 - BHO: (ZeonIEEventHelper Class) - {DA986D7D-CCAF-47B2-84FE-BFA1549BEBF9} - D:\Program Files (x86)\Nuance\PDF Professional 6\bin\ZeonIEFavClient.dll (Zeon Corporation)
O3:64bit: - HKLM\..\Toolbar: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O3 - HKLM\..\Toolbar: (Nuance PDF) - {E3286BF1-E654-42FF-B4A6-5E111731DF6B} - D:\Program Files (x86)\Nuance\PDF Professional 6\bin\ZeonIEFavClient.dll (Zeon Corporation)
O3 - HKU\Büro_ON_D\..\Toolbar\WebBrowser: (no name) - {2318C2B1-4965-11D4-9B18-009027A5CD4F} - No CLSID value found.
O3 - HKU\Büro_ON_D\..\Toolbar\WebBrowser: (no name) - {32099AAC-C132-4136-9E9A-4E364A424E17} - No CLSID value found.
O4:64bit: - HKLM..\Run: [AdobeAAMUpdater-1.0] D:\Program Files (x86)\Common Files\Adobe\OOBE\PDApp\UWA\UpdaterStartupUtility.exe (Adobe Systems Incorporated)
O4:64bit: - HKLM..\Run: [egui] D:\Program Files\ESET\ESET Smart Security\egui.exe (ESET)
O4:64bit: - HKLM..\Run: [HP LaserJet M2727 MFP Series Fax] D:\Program Files (x86)\HP\hp LaserJet M2727\hppfaxprintersrv.exe (Hewlett-Packard Company)
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [HPUsageTracking] D:\Program Files (x86)\HP\HP UT\bin\hppusg.exe ()
O4 - HKLM..\Run: [Nuance PDF Professional 6-reminder] D:\Program Files (x86)\Nuance\PDF Professional 6\Ereg\Ereg.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [PDF6 Registry Controller] D:\Program Files (x86)\Nuance\PDF Professional 6\RegistryController.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [PDFHook] D:\Program Files (x86)\Nuance\PDF Professional 6\PdfPro6Hook.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [ToolBoxFX] D:\Program Files (x86)\HP\ToolBoxFX\bin\HPTLBXFX.exe (HP)
O4 - HKU\Büro_ON_D..\Run: [6E493C61] D:\Users\Büro\AppData\Roaming\Vaglvpreua\BCD506CE6E493C614FA6.exe (THHiq)
O4 - HKU\Büro_ON_D..\Run: [ISUSPM] D:\ProgramData\FLEXnet\Connect\11\ISUSPM.exe (Acresso Corporation)
O4 - HKU\Büro_ON_D..\Run: [Realtecdriver] D:\Users\Büro\AppData\Roaming\Realtec\Realtecdriver.exe (THHiq)
O4 - HKU\Büro_ON_D..\Run: [RESTART_STICKY_NOTES]  File not found
O4 - HKU\LocalService_ON_D..\Run: [Sidebar] D:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)
O4 - HKU\NetworkService_ON_D..\Run: [Sidebar] D:\Program Files (x86)\Windows Sidebar\Sidebar.exe (Microsoft Corporation)
O4 - HKU\LocalService_ON_D..\RunOnce: [mctadmin]  File not found
O4 - HKU\NetworkService_ON_D..\RunOnce: [mctadmin]  File not found
O4 - Startup: D:\Users\Büro\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sticky Notes.lnk ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableInstallerDetection = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: VerboseStatus = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: LocalAccountTokenFilterPolicy = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoLowDiskSpaceChecks = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: LinkResolveIgnoreLinkInfo = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoResolveSearch = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoResolveTrack = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoInternetOpenWith = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoThumbnailCache = 1
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoInternetOpenWith = 1
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
O8:64bit: - Extra context menu item: An vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: Inhalt der ausgewählten Links an vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: Linkinhalt an vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: Mit PDF Professional 6 öffnen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\PlusIEContextMenu.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: PDF-Datei aus Linkinhalt erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: PDF-Datei erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8:64bit: - Extra context menu item: PDF-Dateien aus den ausgewählten Links erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: An vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: Inhalt der ausgewählten Links an vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: Linkinhalt an vorhandene PDF-Datei anhängen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: Mit PDF Professional 6 öffnen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\PlusIEContextMenu.dll (Zeon Corporation)
O8 - Extra context menu item: PDF-Datei aus Linkinhalt erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: PDF-Datei erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O8 - Extra context menu item: PDF-Dateien aus den ausgewählten Links erstellen - D:\Program Files (x86)\Nuance\PDF Professional 6\Bin\ZeonIEFavClient.dll (Zeon Corporation)
O13:64bit: - gopher Prefix: missing
O13 - gopher Prefix: missing
O16:64bit: - DPF: {CAFEEFAC-0016-0000-0026-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Java Plug-in 1.6.0_26)
O16:64bit: - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_26-windows-i586.cab (Reg Error: Key error.)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)
O16 - DPF: {CAFEEFAC-0016-0000-0030-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_30-windows-i586.cab (Java Plug-in 1.6.0_30)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1
O18:64bit: - Protocol\Handler\wlmailhtml {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - Reg Error: Key error. File not found
O20:64bit: - HKLM Winlogon: Shell - (explorer.exe) - D:\Windows\explorer.exe (Microsoft Corporation)
O20:64bit: - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - D:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20:64bit: - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O20 - HKLM Winlogon: Shell - (explorer.exe) - D:\Windows\SysWow64\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - CLSID or File not found.
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - CLSID or File not found.
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2006/03/24 07:06:41 | 000,000,053 | R--- | M] () - X:\AUTORUN.INF -- [ CDFS ]
O33 - MountPoints2\{66d62d56-357a-11e1-afaf-001fc6a1785c}\Shell - "" = AutoRun
O33 - MountPoints2\{66d62d56-357a-11e1-afaf-001fc6a1785c}\Shell\AutoRun\command - "" = "G:\WD SmartWare.exe" autoplay=true
O33 - MountPoints2\{70d5e13b-6f96-11e1-a511-001fc6a1785c}\Shell - "" = AutoRun
O33 - MountPoints2\{70d5e13b-6f96-11e1-a511-001fc6a1785c}\Shell\AutoRun\command - "" = G:\pushinst.exe
O34 - HKLM BootExecute: (autocheck autochk *) -  File not found
64bit: O35 - HKLM\..comfile [open] -- "%1" %* File not found
64bit: O35 - HKLM\..exefile [open] -- "%1" %* File not found
O37:64bit: - HKLM\...com [@ = comfile] -- "%1" %*
O37:64bit: - HKLM\...exe [@ = exefile] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
 
ActiveX:64bit: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun)
ActiveX:64bit: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 12.0
ActiveX:64bit: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
ActiveX:64bit: {3af36230-a269-11d1-b5bf-0000f8051515} - Offline Browsing Pack
ActiveX:64bit: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Windows Mail\WinMail.exe" OCInstallUserConfigOE
ActiveX:64bit: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx
ActiveX:64bit: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer Help
ActiveX:64bit: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6
ActiveX:64bit: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools
ActiveX:64bit: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsing Enhancements
ActiveX:64bit: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player
ActiveX:64bit: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - MSN Site Access
ActiveX:64bit: {7790769C-0471-11d2-AF11-00C04FA35D02} - Address Book 7
ActiveX:64bit: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll
ActiveX:64bit: {89820200-ECBD-11cf-8B85-00AA005B4383} - C:\Windows\System32\ie4uinit.exe -BaseSettings
ActiveX:64bit: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\Windows\system32\Rundll32.exe C:\Windows\system32\mscories.dll,Install
ActiveX:64bit: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML Data Binding
ActiveX:64bit: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer Core Fonts
ActiveX:64bit: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML Help
ActiveX:64bit: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface
ActiveX:64bit: {F5B09CFD-F0B2-36AF-8DF4-1DF6B63FC7B4} - .NET Framework
ActiveX:64bit: {FEBEF00C-046D-438D-8A88-BF94A6C9E703} - .NET Framework
ActiveX:64bit: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - %SystemRoot%\system32\unregmp2.exe /ShowWMP
ActiveX:64bit: >{26923b43-4d38-484f-9b9e-de460746276c} - C:\Windows\System32\ie4uinit.exe -UserIconConfig
ActiveX:64bit: >{60B49E34-C7CC-11D0-8953-00A0C90347FF} - "C:\Windows\System32\rundll32.exe" "C:\Windows\System32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
ActiveX: {08B0E5C0-4FCB-11CF-AAA5-00401C608500} - Java (Sun)
ActiveX: {22d6f312-b0f6-11d0-94ab-0080c74c7e95} - Microsoft Windows Media Player 12.0
ActiveX: {2C7339CF-2B09-4501-B3F3-F3508C9228ED} - %SystemRoot%\system32\regsvr32.exe /s /n /i:/UserInstall %SystemRoot%\system32\themeui.dll
ActiveX: {3af36230-a269-11d1-b5bf-0000f8051515} - Offline Browsing Pack
ActiveX: {44BBA840-CC51-11CF-AAFA-00AA00B6015C} - "%ProgramFiles%\Windows Mail\WinMail.exe" OCInstallUserConfigOE
ActiveX: {44BBA855-CC51-11CF-AAFA-00AA00B6015F} - DirectDrawEx
ActiveX: {45ea75a0-a269-11d1-b5bf-0000f8051515} - Internet Explorer Help
ActiveX: {4f645220-306d-11d2-995d-00c04f98bbc9} - Microsoft Windows Script 5.6
ActiveX: {5fd399c0-a70a-11d1-9948-00c04f98bbc9} - Internet Explorer Setup Tools
ActiveX: {630b1da0-b465-11d1-9948-00c04f98bbc9} - Browsing Enhancements
ActiveX: {6BF52A52-394A-11d3-B153-00C04F79FAA6} - Microsoft Windows Media Player
ActiveX: {6fab99d0-bab8-11d1-994a-00c04f98bbc9} - MSN Site Access
ActiveX: {7790769C-0471-11d2-AF11-00C04FA35D02} - Address Book 7
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4340} - regsvr32.exe /s /n /i:U shell32.dll
ActiveX: {89820200-ECBD-11cf-8B85-00AA005B4383} - C:\Windows\System32\ie4uinit.exe -BaseSettings
ActiveX: {89B4C1CD-B018-4511-B0A1-5476DBF70820} - C:\Windows\system32\Rundll32.exe C:\Windows\system32\mscories.dll,Install
ActiveX: {9381D8F2-0288-11D0-9501-00AA00B911A5} - Dynamic HTML Data Binding
ActiveX: {C9E9A340-D1F1-11D0-821E-444553540600} - Internet Explorer Core Fonts
ActiveX: {de5aed00-a4bf-11d1-9948-00c04f98bbc9} - HTML Help
ActiveX: {E92B03AB-B707-11d2-9CBD-0000F87A369E} - Active Directory Service Interface
ActiveX: {F5B09CFD-F0B2-36AF-8DF4-1DF6B63FC7B4} - .NET Framework
ActiveX: {FEBEF00C-046D-438D-8A88-BF94A6C9E703} - .NET Framework
ActiveX: >{22d6f312-b0f6-11d0-94ab-0080c74c7e95} - %SystemRoot%\system32\unregmp2.exe /ShowWMP
ActiveX: >{26923b43-4d38-484f-9b9e-de460746276c} - C:\Windows\System32\ie4uinit.exe -UserIconConfig
ActiveX: >{60B49E34-C7CC-11D0-8953-00A0C90347FF} - "C:\Windows\System32\rundll32.exe" "C:\Windows\System32\iedkcs32.dll",BrandIEActiveSetup SIGNUP
 
NetSvcs:64bit: AppMgmt - D:\Windows\System32\appmgmts.dll (Microsoft Corporation)
 
MsConfig:64bit - StartUpFolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^AutoStart IR.lnk - D:\Program Files (x86)\WinTV\Ir.exe - (Hauppauge Computer Works)
MsConfig:64bit - StartUpFolder: C:^ProgramData^Microsoft^Windows^Start Menu^Programs^Startup^WinTV Recording Status.lnk - D:\Program Files (x86)\WinTV\WinTV7\WinTVTray.exe - (Hauppauge Computer Works, Inc.)
MsConfig:64bit - StartUpFolder: C:^Users^Büro^AppData^Roaming^Microsoft^Windows^Start Menu^Programs^Startup^OneNote 2010 Bildschirmausschnitt- und Startprogramm.lnk - D:\Program Files\Microsoft Office\Office14\ONENOTEM.EXE - (Microsoft Corporation)
MsConfig:64bit - StartUpReg: RocketDock - hkey= - key= -  File not found
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012/04/25 11:36:26 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\Vaglvpreua
[2012/04/25 11:36:19 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\Realtec
[2012/04/14 04:34:55 | 000,000,000 | R--D | C] -- D:\Users\Büro\Desktop\Hilfvideos
[2012/04/14 04:23:24 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\HyperCam 2
[2012/04/14 04:23:24 | 000,000,000 | ---D | C] -- D:\Program Files\HyperCam 2
[2012/04/14 03:42:23 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Local\DVDVideoSoft_Ltd
[2012/04/14 03:38:33 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\DVDVideoSoft
[2012/04/12 17:35:04 | 000,000,000 | -HSD | C] -- D:\found.000
[2012/04/12 06:53:47 | 000,000,000 | ---D | C] -- D:\Users\Büro\Documents\My Scans
[2012/04/11 11:10:38 | 000,159,232 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\imagehlp.dll
[2012/04/11 11:10:38 | 000,081,408 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\imagehlp.dll
[2012/04/11 11:10:38 | 000,023,408 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\drivers\fs_rec.sys
[2012/04/11 11:10:37 | 000,220,672 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\wintrust.dll
[2012/04/11 11:10:37 | 000,172,544 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\wintrust.dll
[2012/04/11 01:58:47 | 000,702,464 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\msfeeds.dll
[2012/04/11 01:58:47 | 000,599,552 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\msfeeds.dll
[2012/04/11 01:58:47 | 000,247,808 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\ieui.dll
[2012/04/11 01:58:47 | 000,176,640 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\ieui.dll
[2012/04/11 01:58:47 | 000,097,280 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\mshtmled.dll
[2012/04/11 01:58:47 | 000,067,072 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\mshtmled.dll
[2012/04/11 01:58:46 | 000,134,144 | ---- | C] (Microsoft Corporation) -- D:\Windows\System32\url.dll
[2012/04/11 01:58:46 | 000,132,096 | ---- | C] (Microsoft Corporation) -- D:\Windows\SysWow64\url.dll
[2012/04/07 13:25:14 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\HpUpdate
[2012/04/07 13:25:13 | 000,000,000 | ---D | C] -- D:\Windows\Hewlett-Packard
[2012/04/06 12:07:08 | 000,000,000 | ---D | C] -- D:\ProgramData\HPSSUPPLY
[2012/04/02 02:08:49 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Local\Apps
[2012/04/01 04:25:39 | 000,000,000 | ---D | C] -- D:\Users\Büro\AppData\Roaming\chc.4875E02D9FB21EE389F73B8D1702B320485DF8CE.1
[2012/03/31 09:21:30 | 000,000,000 | ---D | C] -- D:\ProgramData\Acronis
[2012/03/31 09:20:54 | 000,000,000 | ---D | C] -- D:\Program Files (x86)\Acronis
 
========== Files - Modified Within 30 Days ==========
 
[2012/04/25 14:02:00 | 000,001,106 | ---- | M] () -- D:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2012/04/25 14:02:00 | 000,001,102 | ---- | M] () -- D:\Windows\tasks\GoogleUpdateTaskMachineCore.job
[2012/04/25 13:35:12 | 000,026,352 | -H-- | M] () -- D:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2012/04/25 13:35:12 | 000,026,352 | -H-- | M] () -- D:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2012/04/25 13:27:44 | 000,067,584 | --S- | M] () -- D:\Windows\bootstat.dat
[2012/04/25 13:27:39 | 3220,676,608 | -HS- | M] () -- D:\hiberfil.sys
[2012/04/25 11:54:10 | 000,161,792 | ---- | M] () -- D:\Users\Büro\Documents\locked-Per E-Mail senden WW-Würtembergische.pdf.msg.gugn
[2012/04/25 11:43:50 | 001,753,036 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Terasse Hotel Aquamarin.pdf.pwbr
[2012/04/25 11:43:50 | 000,263,843 | ---- | M] () -- D:\Users\Büro\Desktop\locked-WLV.pdf.noof
[2012/04/25 11:43:50 | 000,192,450 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Poppe Folkerts-Bilder -Wiechers.jpeg.npck
[2012/04/25 11:43:50 | 000,148,780 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Poppe-Folkerts Bild - Westeraccumersiel-Hafen , Wiechers.jpeg.jpjx
[2012/04/25 11:43:50 | 000,042,244 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Wie_sicher_sind_Deutschlands_Deiche_Artikel_aus_dem_P_M_Magazin_12_2005_.pdf.yykf
[2012/04/25 11:43:50 | 000,008,025 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Unterschrift.JPG.dotj
[2012/04/25 11:43:23 | 034,227,132 | ---- | M] () -- D:\Users\Büro\Desktop\locked-IMG_1101.TIF.jfpy
[2012/04/25 11:43:23 | 001,350,052 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Letzte Zuflucht-Vorstudie, 1904.jpg.livp
[2012/04/25 11:43:23 | 000,027,858 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Katastrophen-Sturmfluten_seit_1164.pdf.ovwl
[2012/04/25 11:43:18 | 063,791,424 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Foto letzte Zuflucht.tif.gwue
[2012/04/25 11:43:18 | 001,236,033 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Foto letzte Zuflucht Kopie.jpg.zinb
[2012/04/25 11:43:18 | 000,491,319 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Erbschein- Schr. AG Norden 16.2.12.pdf.cfmc
[2012/04/25 11:43:18 | 000,266,152 | ---- | M] () -- D:\Users\Büro\Desktop\locked-DSCN2898.JPG.mkmy
[2012/04/25 11:43:18 | 000,102,039 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Erbschein-Schreiben-WiMo an Nachlassgericht_15-01-2012.pdf.dtdo
[2012/04/25 11:42:50 | 002,307,512 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Die letzte Zuflucht.tif.zirr
[2012/04/25 11:42:50 | 000,928,435 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Die Ja-Sager.jpg.qfff
[2012/04/25 11:42:43 | 626,845,696 | ---- | M] () -- D:\Users\Büro\Desktop\locked-Ahmadinedschad ZDF heute journal - 19.03.2012 - 23 Uhr_mpeg2video.mpg.euvp
[2012/04/25 11:42:43 | 013,287,468 | ---- | M] () -- D:\Users\Büro\Desktop\locked-34_1940.tif.mmff
[2012/04/25 11:42:43 | 000,075,776 | ---- | M] () -- D:\Users\Büro\Desktop\locked-AW Beantragter Erbschein - Auszahlung Wüstenrrot Lebensversicherung.msg.djft
[2012/04/25 11:42:10 | 000,000,406 | ---- | M] () -- D:\ProgramData\locked-ntuser.pol.vevg
[2012/04/25 08:05:36 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh323
[2012/04/25 08:04:56 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh322
[2012/04/25 08:03:08 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh321
[2012/04/25 08:01:04 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh320
[2012/04/24 21:57:04 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh325
[2012/04/24 21:56:48 | 000,481,078 | ---- | M] () -- D:\Windows\SysWow64\winsh324
[2012/04/22 11:57:22 | 000,700,130 | ---- | M] () -- D:\Windows\System32\perfh007.dat
[2012/04/22 11:57:22 | 000,654,842 | ---- | M] () -- D:\Windows\System32\perfh009.dat
[2012/04/22 11:57:22 | 000,148,926 | ---- | M] () -- D:\Windows\System32\perfc007.dat
[2012/04/22 11:57:22 | 000,121,714 | ---- | M] () -- D:\Windows\System32\perfc009.dat
[2012/04/17 08:49:38 | 000,649,336 | ---- | M] () -- D:\Users\Büro\Documents\OK 17.4.12-Online-Bürgerbefragung.pdf
[2012/04/12 14:49:22 | 000,001,351 | ---- | M] () -- D:\Users\Büro\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sticky Notes.lnk
[2012/04/11 11:18:37 | 000,001,097 | ---- | M] () -- D:\Users\Büro\AppData\Roaming\Microsoft\Internet Explorer\Quick Launch\Microsoft Outlook.lnk
[2012/04/11 01:55:52 | 000,002,441 | ---- | M] () -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Adobe Reader X.lnk
[2012/04/07 13:25:23 | 000,000,000 | ---D | M] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\HP
[2012/04/06 12:07:56 | 000,171,224 | ---- | M] () -- D:\Windows\hppins07.dat
[2012/04/06 12:07:14 | 000,000,000 | R--D | M] -- D:\ProgramData\Microsoft\Windows\Start Menu\Programs\Startup
[2012/04/06 12:05:32 | 000,000,733 | ---- | M] () -- D:\Windows\hpbvspst.his
[2012/04/06 12:05:32 | 000,000,392 | ---- | M] () -- D:\Windows\hpbvspst.ini
[2012/04/06 12:05:22 | 000,000,524 | ---- | M] () -- D:\Windows\hpbvspst.hi1
[2012/04/06 12:05:22 | 000,000,316 | ---- | M] () -- D:\Windows\hpbvspst.bu1
[2012/04/06 02:00:00 | 000,170,667 | ---- | M] () -- D:\Windows\hppins07.dat.temp
[2012/04/06 01:59:37 | 000,000,733 | ---- | M] () -- D:\Windows\hpbvspst.hi2
[2012/04/06 01:59:37 | 000,000,392 | ---- | M] () -- D:\Windows\hpbvspst.bu2
[2012/03/28 05:41:01 | 000,000,000 | ---- | M] () -- D:\Users\Büro\Documents\Default.rdp
 
========== Files Created - No Company Name ==========
 
[2012/04/25 11:36:46 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh325
[2012/04/25 11:36:46 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh324
[2012/04/25 11:36:46 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh323
[2012/04/25 11:36:45 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh322
[2012/04/25 11:36:45 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh321
[2012/04/25 11:36:45 | 000,481,078 | ---- | C] () -- D:\Windows\SysWow64\winsh320
[2012/04/22 11:47:12 | 001,236,033 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Foto letzte Zuflucht Kopie.jpg.zinb
[2012/04/22 11:45:55 | 001,350,052 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Letzte Zuflucht-Vorstudie, 1904.jpg.livp
[2012/04/19 04:05:21 | 000,148,780 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Poppe-Folkerts Bild - Westeraccumersiel-Hafen , Wiechers.jpeg.jpjx
[2012/04/19 04:01:25 | 000,192,450 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Poppe Folkerts-Bilder -Wiechers.jpeg.npck
[2012/04/17 13:50:14 | 034,227,132 | ---- | C] () -- D:\Users\Büro\Desktop\locked-IMG_1101.TIF.jfpy
[2012/04/17 08:49:38 | 000,649,336 | ---- | C] () -- D:\Users\Büro\Documents\OK 17.4.12-Online-Bürgerbefragung.pdf
[2012/04/14 03:41:17 | 000,928,435 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Die Ja-Sager.jpg.qfff
[2012/04/12 14:49:22 | 000,001,351 | ---- | C] () -- D:\Users\Büro\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\Sticky Notes.lnk
[2012/04/12 06:54:28 | 002,307,512 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Die letzte Zuflucht.tif.zirr
[2012/04/11 11:08:43 | 000,266,152 | ---- | C] () -- D:\Users\Büro\Desktop\locked-DSCN2898.JPG.mkmy
[2012/04/11 11:08:22 | 013,287,468 | ---- | C] () -- D:\Users\Büro\Desktop\locked-34_1940.tif.mmff
[2012/04/06 12:05:22 | 000,000,733 | ---- | C] () -- D:\Windows\hpbvspst.hi2
[2012/04/06 12:05:22 | 000,000,392 | ---- | C] () -- D:\Windows\hpbvspst.bu2
[2012/04/06 01:59:38 | 000,170,667 | ---- | C] () -- D:\Windows\hppins07.dat.temp
[2012/04/06 01:59:38 | 000,000,838 | ---- | C] () -- D:\Windows\hppmdl07.dat.temp
[2012/04/06 01:59:37 | 000,000,524 | ---- | C] () -- D:\Windows\hpbvspst.hi1
[2012/04/06 01:59:37 | 000,000,316 | ---- | C] () -- D:\Windows\hpbvspst.bu1
[2012/04/06 01:59:26 | 000,000,733 | ---- | C] () -- D:\Windows\hpbvspst.his
[2012/04/06 01:59:26 | 000,000,392 | ---- | C] () -- D:\Windows\hpbvspst.ini
[2012/04/05 08:17:23 | 001,753,036 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Terasse Hotel Aquamarin.pdf.pwbr
[2012/04/02 19:33:49 | 000,042,244 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Wie_sicher_sind_Deutschlands_Deiche_Artikel_aus_dem_P_M_Magazin_12_2005_.pdf.yykf
[2012/04/02 19:33:12 | 000,027,858 | ---- | C] () -- D:\Users\Büro\Desktop\locked-Katastrophen-Sturmfluten_seit_1164.pdf.ovwl
[2012/03/28 05:41:01 | 000,000,000 | ---- | C] () -- D:\Users\Büro\Documents\Default.rdp
[2012/02/01 16:41:15 | 000,142,337 | ---- | C] () -- D:\Windows\SysWow64\Wait.exe
[2012/02/01 16:40:55 | 000,007,188 | ---- | C] () -- D:\Windows\HCWPNP.INI
[2012/02/01 15:52:18 | 000,149,504 | ---- | C] () -- D:\Windows\SysWow64\UNWISE.EXE
[2012/02/01 15:51:42 | 000,037,639 | ---- | C] () -- D:\Windows\Irremote.ini
[2012/02/01 15:51:33 | 000,065,536 | ---- | C] () -- D:\Windows\SysWow64\dmcrypto.dll
[2012/02/01 15:51:01 | 000,000,135 | ---- | C] () -- D:\Windows\ODBC.INI
[2012/02/01 15:51:00 | 000,000,209 | ---- | C] () -- D:\Windows\ODBCINST.INI
[2012/01/23 17:15:07 | 000,171,224 | ---- | C] () -- D:\Windows\hppins07.dat
[2012/01/23 17:15:06 | 000,000,838 | ---- | C] () -- D:\Windows\hppmdl07.dat
[2012/01/23 17:14:46 | 003,189,760 | ---- | C] () -- D:\Windows\SysWow64\hpbcfgre.DLL
[2012/01/21 12:55:49 | 000,000,406 | ---- | C] () -- D:\ProgramData\locked-ntuser.pol.vevg
[2012/01/03 17:03:56 | 000,271,200 | ---- | C] () -- D:\Windows\SysWow64\PnkBstrB.exe
[2012/01/03 17:03:54 | 000,075,136 | ---- | C] () -- D:\Windows\SysWow64\PnkBstrA.exe
[2012/01/03 17:03:52 | 000,000,300 | ---- | C] () -- D:\Windows\game.ini
[2012/01/02 14:05:15 | 000,000,000 | ---- | C] () -- D:\Windows\nsreg.dat
[2012/01/02 13:50:10 | 000,175,616 | ---- | C] () -- D:\Windows\SysWow64\unrar.dll
[2012/01/02 13:46:54 | 001,598,042 | ---- | C] () -- D:\Windows\SysWow64\PerfStringBackup.INI
[2010/11/20 23:24:49 | 000,252,928 | ---- | C] () -- D:\Windows\SysWow64\DShowRdpFilter.dll
[2009/07/14 01:38:36 | 000,067,584 | --S- | C] () -- D:\Windows\bootstat.dat
[2009/07/13 22:35:51 | 000,000,741 | ---- | C] () -- D:\Windows\SysWow64\NOISE.DAT
[2009/07/13 22:34:42 | 000,215,943 | ---- | C] () -- D:\Windows\SysWow64\dssec.dat
[2009/07/13 20:10:29 | 000,043,131 | ---- | C] () -- D:\Windows\mib.bin
[2009/07/13 19:42:10 | 000,064,000 | ---- | C] () -- D:\Windows\SysWow64\BWContextHandler.dll
[2009/07/13 18:25:04 | 000,197,632 | ---- | C] () -- D:\Windows\SysWow64\ir32_32.dll
[2009/07/13 17:03:59 | 000,364,544 | ---- | C] () -- D:\Windows\SysWow64\msjetoledb40.dll
[2009/06/10 17:26:10 | 000,673,088 | ---- | C] () -- D:\Windows\SysWow64\mlang.dat
 
========== LOP Check ==========
 
[2012/03/31 09:21:30 | 000,000,000 | ---D | M] -- D:\ProgramData\Acronis
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\ProgramData\Anwendungsdaten
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Application Data
[2012/01/03 06:46:10 | 000,000,000 | -H-D | M] -- D:\ProgramData\CanonBJ
[2012/01/02 13:53:52 | 000,000,000 | ---D | M] -- D:\ProgramData\DAEMON Tools Lite
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Desktop
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Documents
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\ProgramData\Dokumente
[2012/01/31 06:57:23 | 000,000,000 | ---D | M] -- D:\ProgramData\ESET
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\ProgramData\Favoriten
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Favorites
[2012/04/25 11:57:01 | 000,000,000 | ---D | M] -- D:\ProgramData\Hauppauge
[2012/01/02 16:06:52 | 000,000,000 | ---D | M] -- D:\ProgramData\IObit
[2012/01/21 12:57:16 | 000,000,000 | ---D | M] -- D:\ProgramData\Nuance
[2012/03/10 07:40:46 | 000,000,000 | ---D | M] -- D:\ProgramData\regid.1986-12.com.adobe
[2012/01/21 12:56:24 | 000,000,000 | ---D | M] -- D:\ProgramData\ScanSoft
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Start Menu
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\ProgramData\Startmenü
[2012/04/25 10:17:50 | 000,000,000 | ---D | M] -- D:\ProgramData\TEMP
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\ProgramData\Templates
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\ProgramData\Vorlagen
[2012/01/21 12:55:21 | 000,000,000 | ---D | M] -- D:\ProgramData\zeon
[2012/04/17 04:06:38 | 000,032,640 | ---- | M] () -- D:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 
 
========== Custom Scans ==========
 
 
< %SYSTEMDRIVE%\*. >
[2012/03/19 18:03:54 | 000,000,000 | -HSD | M] -- D:\$Recycle.Bin
[2012/04/17 11:55:11 | 000,000,000 | -H-D | M] -- D:\Config.Msi
[2009/07/14 01:08:56 | 000,000,000 | -HSD | M] -- D:\Documents and Settings
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\Dokumente und Einstellungen
[2012/04/12 17:35:04 | 000,000,000 | -HSD | M] -- D:\found.000
[2012/01/23 18:37:50 | 000,000,000 | ---D | M] -- D:\Hauppauge
[2012/04/25 11:37:28 | 000,000,000 | ---D | M] -- D:\M2727_Full_Solution_Win7_5_2_AM-EMEA1
[2012/01/02 16:59:41 | 000,000,000 | RH-D | M] -- D:\MSOCache
[2012/04/25 11:37:32 | 000,000,000 | ---D | M] -- D:\MyVideos
[2012/01/02 16:25:28 | 000,000,000 | ---D | M] -- D:\NVIDIA
[2012/04/14 04:23:24 | 000,000,000 | R--D | M] -- D:\Program Files
[2012/04/25 11:37:13 | 000,000,000 | R--D | M] -- D:\Program Files (x86)
[2012/04/25 11:42:10 | 000,000,000 | -H-D | M] -- D:\ProgramData
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\Programme
[2012/01/02 13:31:08 | 000,000,000 | -HSD | M] -- D:\Recovery
[2012/04/25 11:36:34 | 000,000,000 | -HSD | M] -- D:\System Volume Information
[2012/01/31 03:30:20 | 000,000,000 | R--D | M] -- D:\Users
[2012/04/25 11:56:47 | 000,000,000 | ---D | M] -- D:\Windows
 
< %PROGRAMFILES%\*.exe >
 
Invalid Environment Variable: %LOCALAPPDATA%\*.exe
 
< %systemroot%\*. /mp /s >
 
 
< MD5 for: AGP440.SYS  >
[2009/07/13 21:52:21 | 000,061,008 | ---- | M] (Microsoft Corporation) MD5=608C14DBA7299D8CB6ED035A68A15799 -- D:\Windows\System32\drivers\AGP440.sys
[2009/07/13 21:52:21 | 000,061,008 | ---- | M] (Microsoft Corporation) MD5=608C14DBA7299D8CB6ED035A68A15799 -- D:\Windows\System32\DriverStore\FileRepository\machine.inf_amd64_neutral_a2f120466549d68b\AGP440.sys
[2009/07/13 21:52:21 | 000,061,008 | ---- | M] (Microsoft Corporation) MD5=608C14DBA7299D8CB6ED035A68A15799 -- D:\Windows\winsxs\amd64_machine.inf_31bf3856ad364e35_6.1.7601.17514_none_1838f2aad55063bb\AGP440.sys
 
< MD5 for: ATAPI.SYS  >
[2009/07/13 21:52:21 | 000,024,128 | ---- | M] (Microsoft Corporation) MD5=02062C0B390B7729EDC9E69C680A6F3C -- D:\Windows\System32\drivers\atapi.sys
[2009/07/13 21:52:21 | 000,024,128 | ---- | M] (Microsoft Corporation) MD5=02062C0B390B7729EDC9E69C680A6F3C -- D:\Windows\System32\DriverStore\FileRepository\mshdc.inf_amd64_neutral_aad30bdeec04ea5e\atapi.sys
[2009/07/13 21:52:21 | 000,024,128 | ---- | M] (Microsoft Corporation) MD5=02062C0B390B7729EDC9E69C680A6F3C -- D:\Windows\winsxs\amd64_mshdc.inf_31bf3856ad364e35_6.1.7601.17514_none_3b5e2d89382958dd\atapi.sys
 
< MD5 for: CNGAUDIT.DLL  >
[2009/07/13 21:15:06 | 000,012,288 | ---- | M] (Microsoft Corporation) MD5=50BA656134F78AF64E4DD3C8B6FEFD7E -- D:\Windows\SysWOW64\cngaudit.dll
[2009/07/13 21:15:06 | 000,012,288 | ---- | M] (Microsoft Corporation) MD5=50BA656134F78AF64E4DD3C8B6FEFD7E -- D:\Windows\winsxs\x86_microsoft-windows-cngaudit-dll_31bf3856ad364e35_6.1.7600.16385_none_e83a414890e8132b\cngaudit.dll
[2009/07/13 21:40:20 | 000,018,944 | ---- | M] (Microsoft Corporation) MD5=86FE1B1F8FD42CD0DB641AB1CDB13093 -- D:\Windows\System32\cngaudit.dll
[2009/07/13 21:40:20 | 000,018,944 | ---- | M] (Microsoft Corporation) MD5=86FE1B1F8FD42CD0DB641AB1CDB13093 -- D:\Windows\winsxs\amd64_microsoft-windows-cngaudit-dll_31bf3856ad364e35_6.1.7600.16385_none_4458dccc49458461\cngaudit.dll
 
< MD5 for: EXPLORER.EXE  >
[2011/06/16 13:09:17 | 002,616,320 | ---- | M] (Microsoft Corporation) MD5=0FB9C74046656D1579A64660AD67B746 -- D:\Windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.21669_none_ba87e574ddfe652d\explorer.exe
[2011/06/16 13:09:17 | 002,871,808 | ---- | M] (Microsoft Corporation) MD5=3B69712041F3D63605529BD66DC00C48 -- D:\Windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.21669_none_b0333b22a99da332\explorer.exe
[2010/11/20 23:24:25 | 002,616,320 | ---- | M] (Microsoft Corporation) MD5=40D777B7A95E00593EB1568C68514493 -- D:\Windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.17514_none_ba2f56d3c4bcbafb\explorer.exe
[2011/06/17 19:30:10 | 002,871,808 | ---- | M] (Microsoft Corporation) MD5=5740B1555D51D56547043181789027A5 -- D:\Windows\explorer.exe
[2011/06/17 19:30:10 | 002,871,808 | ---- | M] (Microsoft Corporation) MD5=5740B1555D51D56547043181789027A5 -- D:\Windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.17567_none_afa79dc39081d0ba\explorer.exe
[2011/06/17 19:35:27 | 002,616,320 | ---- | M] (Microsoft Corporation) MD5=88B413E78ADB75A062AB947C1BF6D49A -- D:\Windows\SysWOW64\explorer.exe
[2011/06/17 19:35:27 | 002,616,320 | ---- | M] (Microsoft Corporation) MD5=88B413E78ADB75A062AB947C1BF6D49A -- D:\Windows\winsxs\wow64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.17567_none_b9fc4815c4e292b5\explorer.exe
[2010/11/20 23:24:11 | 002,872,320 | ---- | M] (Microsoft Corporation) MD5=AC4C51EB24AA95B77F705AB159189E24 -- D:\Windows\winsxs\amd64_microsoft-windows-explorer_31bf3856ad364e35_6.1.7601.17514_none_afdaac81905bf900\explorer.exe
 
< MD5 for: IASTORV.SYS  >
[2010/11/20 23:23:47 | 000,410,496 | ---- | M] (Intel Corporation) MD5=3DF4395A7CF8B7A72A5F4606366B8C2D -- D:\Windows\System32\DriverStore\FileRepository\iastorv.inf_amd64_neutral_668286aa35d55928\iaStorV.sys
[2010/11/20 23:23:47 | 000,410,496 | ---- | M] (Intel Corporation) MD5=3DF4395A7CF8B7A72A5F4606366B8C2D -- D:\Windows\winsxs\amd64_iastorv.inf_31bf3856ad364e35_6.1.7601.17514_none_0d3757e79e6784d0\iaStorV.sys
[2011/06/16 13:11:21 | 000,410,496 | ---- | M] (Intel Corporation) MD5=5B3DE7208E5000D5B451B9D290D2579C -- D:\Windows\winsxs\amd64_iastorv.inf_31bf3856ad364e35_6.1.7601.21680_none_0d714416b7c182d5\iaStorV.sys
[2011/06/16 13:11:21 | 000,410,496 | ---- | M] (Intel Corporation) MD5=AAAF44DB3BD0B9D1FB6969B23ECC8366 -- D:\Windows\System32\drivers\iaStorV.sys
[2011/06/16 13:11:21 | 000,410,496 | ---- | M] (Intel Corporation) MD5=AAAF44DB3BD0B9D1FB6969B23ECC8366 -- D:\Windows\System32\DriverStore\FileRepository\iastorv.inf_amd64_neutral_0bcee2057afcc090\iaStorV.sys
[2011/06/16 13:11:21 | 000,410,496 | ---- | M] (Intel Corporation) MD5=AAAF44DB3BD0B9D1FB6969B23ECC8366 -- D:\Windows\winsxs\amd64_iastorv.inf_31bf3856ad364e35_6.1.7601.17577_none_0cf9793d9e95787b\iaStorV.sys
 
< MD5 for: NETLOGON.DLL  >
[2010/11/20 23:24:01 | 000,695,808 | ---- | M] (Microsoft Corporation) MD5=AA339DD8BB128EF66660DFBBB59043D3 -- D:\Windows\System32\netlogon.dll
[2010/11/20 23:24:01 | 000,695,808 | ---- | M] (Microsoft Corporation) MD5=AA339DD8BB128EF66660DFBBB59043D3 -- D:\Windows\winsxs\amd64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7601.17514_none_5bddbcb24e997298\netlogon.dll
[2010/11/20 23:24:09 | 000,563,712 | ---- | M] (Microsoft Corporation) MD5=C1809B9907ADEDAF16F50C894100883B -- D:\Windows\SysWOW64\netlogon.dll
[2010/11/20 23:24:09 | 000,563,712 | ---- | M] (Microsoft Corporation) MD5=C1809B9907ADEDAF16F50C894100883B -- D:\Windows\winsxs\wow64_microsoft-windows-security-netlogon_31bf3856ad364e35_6.1.7601.17514_none_6632670482fa3493\netlogon.dll
 
< MD5 for: NVSTOR.SYS  >
[2011/06/16 13:11:21 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=D23C7E8566DA2B8A7C0DBBB761D54888 -- D:\Windows\winsxs\amd64_nvraid.inf_31bf3856ad364e35_6.1.7601.21680_none_983ab4c5eef82cad\nvstor.sys
[2011/06/16 13:11:21 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=DAB0E87525C10052BF65F06152F37E4A -- D:\Windows\System32\drivers\nvstor.sys
[2011/06/16 13:11:21 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=DAB0E87525C10052BF65F06152F37E4A -- D:\Windows\System32\DriverStore\FileRepository\nvraid.inf_amd64_neutral_0276fc3b3ea60d41\nvstor.sys
[2011/06/16 13:11:21 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=DAB0E87525C10052BF65F06152F37E4A -- D:\Windows\winsxs\amd64_nvraid.inf_31bf3856ad364e35_6.1.7601.17577_none_97c2e9ecd5cc2253\nvstor.sys
[2010/11/20 23:23:47 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=F7CD50FE7139F07E77DA8AC8033D1832 -- D:\Windows\System32\DriverStore\FileRepository\nvraid.inf_amd64_neutral_dd659ed032d28a14\nvstor.sys
[2010/11/20 23:23:47 | 000,166,272 | ---- | M] (NVIDIA Corporation) MD5=F7CD50FE7139F07E77DA8AC8033D1832 -- D:\Windows\winsxs\amd64_nvraid.inf_31bf3856ad364e35_6.1.7601.17514_none_9800c896d59e2ea8\nvstor.sys
 
< MD5 for: SCECLI.DLL  >
[2010/11/20 23:23:54 | 000,175,616 | ---- | M] (Microsoft Corporation) MD5=8124944EC89D6A1815E4E53F5B96AAF4 -- D:\Windows\SysWOW64\scecli.dll
[2010/11/20 23:23:54 | 000,175,616 | ---- | M] (Microsoft Corporation) MD5=8124944EC89D6A1815E4E53F5B96AAF4 -- D:\Windows\winsxs\wow64_microsoft-windows-s..urationengineclient_31bf3856ad364e35_6.1.7601.17514_none_a088921d241bbb4e\scecli.dll
[2010/11/20 23:24:32 | 000,232,960 | ---- | M] (Microsoft Corporation) MD5=ED78427259134C63ED69804D2132B86C -- D:\Windows\System32\scecli.dll
[2010/11/20 23:24:32 | 000,232,960 | ---- | M] (Microsoft Corporation) MD5=ED78427259134C63ED69804D2132B86C -- D:\Windows\winsxs\amd64_microsoft-windows-s..urationengineclient_31bf3856ad364e35_6.1.7601.17514_none_9633e7caefbaf953\scecli.dll
 
< MD5 for: USER32.DLL  >
[2010/11/20 23:24:20 | 000,833,024 | ---- | M] (Microsoft Corporation) MD5=5E0DB2D8B2750543CD2EBB9EA8E6CDD3 -- D:\Windows\SysWOW64\user32.dll
[2010/11/20 23:24:20 | 000,833,024 | ---- | M] (Microsoft Corporation) MD5=5E0DB2D8B2750543CD2EBB9EA8E6CDD3 -- D:\Windows\winsxs\wow64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.17514_none_35b31c02b85ccb6e\user32.dll
[2010/11/20 23:24:09 | 001,008,128 | ---- | M] (Microsoft Corporation) MD5=FE70103391A64039A921DBFFF9C7AB1B -- D:\Windows\System32\user32.dll
[2010/11/20 23:24:09 | 001,008,128 | ---- | M] (Microsoft Corporation) MD5=FE70103391A64039A921DBFFF9C7AB1B -- D:\Windows\winsxs\amd64_microsoft-windows-user32_31bf3856ad364e35_6.1.7601.17514_none_2b5e71b083fc0973\user32.dll
 
< MD5 for: USERINIT.EXE  >
[2010/11/20 23:23:55 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=61AC3EFDFACFDD3F0F11DD4FD4044223 -- D:\Windows\SysWOW64\userinit.exe
[2010/11/20 23:23:55 | 000,026,624 | ---- | M] (Microsoft Corporation) MD5=61AC3EFDFACFDD3F0F11DD4FD4044223 -- D:\Windows\winsxs\x86_microsoft-windows-userinit_31bf3856ad364e35_6.1.7601.17514_none_de3024012ff21116\userinit.exe
[2010/11/20 23:24:28 | 000,030,720 | ---- | M] (Microsoft Corporation) MD5=BAFE84E637BF7388C96EF48D4D3FDD53 -- D:\Windows\System32\userinit.exe
[2010/11/20 23:24:28 | 000,030,720 | ---- | M] (Microsoft Corporation) MD5=BAFE84E637BF7388C96EF48D4D3FDD53 -- D:\Windows\winsxs\amd64_microsoft-windows-userinit_31bf3856ad364e35_6.1.7601.17514_none_3a4ebf84e84f824c\userinit.exe
 
< MD5 for: WINLOGON.EXE  >
[2010/11/20 23:24:29 | 000,390,656 | ---- | M] (Microsoft Corporation) MD5=1151B1BAA6F350B1DB6598E0FEA7C457 -- D:\Windows\System32\winlogon.exe
[2010/11/20 23:24:29 | 000,390,656 | ---- | M] (Microsoft Corporation) MD5=1151B1BAA6F350B1DB6598E0FEA7C457 -- D:\Windows\winsxs\amd64_microsoft-windows-winlogon_31bf3856ad364e35_6.1.7601.17514_none_cde90685eb910636\winlogon.exe
 
< MD5 for: WS2IFSL.SYS  >
[2009/07/13 20:10:33 | 000,021,504 | ---- | M] (Microsoft Corporation) MD5=6BCC1D7D2FD2453957C5479A32364E52 -- D:\Windows\System32\drivers\ws2ifsl.sys
[2009/07/13 20:10:33 | 000,021,504 | ---- | M] (Microsoft Corporation) MD5=6BCC1D7D2FD2453957C5479A32364E52 -- D:\Windows\winsxs\amd64_microsoft-windows-w..rastructure-ws2ifsl_31bf3856ad364e35_6.1.7600.16385_none_ab7b927be17eace8\ws2ifsl.sys
 
< %systemroot%\system32\drivers\*.sys /lockedfiles >
 
< %systemroot%\System32\config\*.sav >
 
< %systemroot%\system32\*.dll /lockedfiles >
 
Invalid Environment Variable: %USERPROFILE%\*.*
 
Invalid Environment Variable: %USERPROFILE%\Local Settings\Temp\*.exe
 
Invalid Environment Variable: %USERPROFILE%\Local Settings\Temp\*.dll
 
Invalid Environment Variable: %USERPROFILE%\Application Data\*.exe
 
========== Alternate Data Streams ==========
 
@Alternate Data Stream - 280 bytes -> D:\ProgramData\TEMP:A5C00DEE
@Alternate Data Stream - 219 bytes -> D:\ProgramData\TEMP:728B799F
@Alternate Data Stream - 168 bytes -> D:\Users\Büro\Desktop\locked-Poppe-Folkerts Bild - Westeraccumersiel-Hafen , Wiechers.jpeg.jpjx:3or4kl4x13tuuug3Byamue2s4b
@Alternate Data Stream - 168 bytes -> D:\Users\Büro\Desktop\locked-Poppe Folkerts-Bilder -Wiechers.jpeg.npck:3or4kl4x13tuuug3Byamue2s4b
@Alternate Data Stream - 168 bytes -> D:\ProgramData\TEMP:FB1B13D8
< End of report >
         

--- --- ---

Nochmal per .txt als .zip verpackt

Wie ist der allgemeine Stand der Dinge denn allgemein bei diesem Problem?
Sind schon Lösungsansätze vorhanden?

MfG

auf deinem zweiten pc gehe auf start, programme zubehör editor, kopiere dort
rein:

:OTL
O4 - HKU\Büro_ON_D..\Run: [Realtecdriver] D:\Users\Büro\AppData\Roaming\Realtec\Realtecdriver.exe (THHiq)
O4 - HKU\Büro_ON_D..\Run: [6E493C61] D:\Users\Büro\AppData\Roaming\Vaglvpreua\BCD506CE6E493C614FA6.exe (THHiq)
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegistryTools = 1
O7 - HKU\Büro_ON_D\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: DisableRegedit = 1
:Files
D:\Users\Büro\AppData\Roaming\Realtec
:Commands
[purity]
[EMPTYFLASH] 
[emptytemp]
[Reboot]
         

dieses speicherst du auf nem usb stick als fix.txt
nutze nun wieder OTLPENet.exe (starte also von der erstellten cd) und hake alles an, wie es bereits im post zu OTLPENet.exe beschrieben ist.
• Klicke nun bitte auf den Fix Button.
es sollte nun eine meldung ähnlich dieser: "load fix from file" erscheinen, lade also die fix.txt von deinem stick.
wenn dies nicht funktioniert, bitte den fix manuell eintragen.
dann klicke erneut den fix buton. pc startet evtl. neu. wenn ja, nimm die cd aus dem laufwerk, windows sollte nun normal starten und die otl.txt öffnen,
log posten bitte.

Sind die Schritte noch notwendig?
Ich hab es durch die Kaspersky Notfall Boot CD geschafft, den eig. Trojaner runter zu bekommen. Also kann ich den Computer nun ganz normal starten, aber alle Dateien sind holt noch verschlüsselt, wo ihr ja schon fleißig am arbeiten seit!

Habe vorsichtshalber auch mal noch andere Virenprogramm drüber laufen lassen und der Trojaner scheint wohl wirklich nicht mehr drauf zu sein.
Nachdem ich die Dateien alle entschlüsselt und gesichert habe, wollte ich sowieso am besten zur Vorsichtsmaßnahme dann die Festplatte formatieren und das System neu aufspielen.

dann entschlüssel die files:
mache ein backup deiner dateien die verschlüsselt sind
dann entschlüsseln:
http://www.trojaner-board.de/114224-...-unlocker.html
teile mir mit obs geklappt hatt

Hey!
So habe alle Dateien mit dem Avira Ransom File Unlocker entschlüsselt und hat super funktioniert. Die DecryptHelper Anwendung von Matthias habe ich auch nachträglich mal auf die verschlüsselten Dateien angewendet, von denen ich ein Backup gemacht habe. Auch dieses Tool hat super funktioniert.

Danach habe ich dann die Partitionen mal komplett formatiert und Windows 7 neu installiert. Läuft jetzt alles wieder konstant.

Ich hoffe nächste Mal öffnet nich wieder ein Familienmitglied solche Emails. Manchen fehlt da wohl der Instinkt.

Noch ein riesen Lob an Euch! Ihr habt eure Kenntnisse bzgl. Trojaner redlich beweisen können!

Dankeschön!

hi, gerne.

pc absichern:
als antimalware programm würde ich emsisoft empfehlen.
diese haben für mich den besten schutz kostet aber etwas.
http://www.trojaner-board.de/103809-...i-malware.html
testversion:
Meine Antivirus-Empfehlung: Emsisoft Anti-Malware
insbesondere wenn du onlinebanking, einkäufe, sonstige zahlungsabwicklungen oder ähnlich wichtiges, wie zb berufliches machst, also sensible daten zu schützen sind, solltest du in sicherheitssoftware investieren.
vor dem aktivieren der lizenz die 30 tage testzeitraum ausnutzen.

kostenlos, aber eben nicht ganz so gut wäre avast zu empfehlen.
http://www.trojaner-board.de/110895-...antivirus.html

sag mir welches du nutzt, dann gebe ich konfigurationshinweise.
bitte dein bisheriges av deinstalieren
die folgende anleitung ist umfangreich, dass ist mir klar, sie sollte aber umgesetzt werden, da nur dann dein pc sicher ist. stelle so viele fragen wie nötig, ich arbeite gern alles mit dir durch!

http://www.trojaner-board.de/96344-a...-rechners.html
Starte bitte mit der Passage, Windows Vista und Windows 7
Bitte beginne damit, Windows Updates zu instalieren.
Am besten geht dies, wenn du über Start, Suchen gehst, und dort Windows Updates eingibst.
Prüfe unter "Einstellungen ändern" dass folgendes ausgewählt ist:
- Updates automatisch Instalieren,
- Täglich
- Uhrzeit wählen
- Bitte den gesammten rest anhaken, außer:
- detailierte benachichtungen anzeigen, wenn neue Microsoft software verfügbar ist.
Klicke jetzt die Schaltfläche "OK"
Klicke jetzt "nach Updates suchen".
Bitte instaliere zunächst wichtige Updates.
Es wird nötig sein, den PC zwischendurch neu zu starten. falls dies der Fall ist, musst du erneut über Start, Suchen, Windows Update aufrufen, auf Updates suchen klicken und die nächsten instalieren.
Mache das selbe bitte mit den optionalen Updates.
Bitte übernimm den rest so, wie es im Abschnitt windows 7 / Vista zu lesen ist.
aus dem Abschnitt xp, bitte den punkt "datenausführungsverhinderung, dep" übernehmen.
als browser rate ich dir zu chrome:
Installation von Google Chrome für mehrere Nutzerkonten - Google Chrome-Hilfe
anleitung lesen bitte
falls du nen andern nutzen willst, sags mir dann muss ich teile der nun folgenden anleitung


Sandboxie
Die devinition einer Sandbox ist hier nachzulesen:
Sandbox
Kurz gesagt, man kann Programme fast 100 %ig isuliert vom System ausführen.

Der Vorteil liegt klar auf der Hand, wenn über den Browser Schadcode eingeschläust wird, kann dieser nicht nach außen dringen.
Download Link:
Sandboxie Download - Sandboxie 3.68

anleitung:
http://www.trojaner-board.de/71542-a...sandboxie.html
ausführliche anleitung als pdf, auch abarbeiten:
Sandbox Einstellungen |

bitte folgende zusatz konfiguration machen:
sandboxie control öffnen, menü sandbox anklicken, defauldbox wählen.
dort klicke auf sandbox einstellungen.
beschrenkungen, bei programm start und internet zugriff schreibe:
chrome.exe
dann gehe auf anwendungen, webbrowser, chrome.
dort aktiviere alles außer gesammten profil ordner freigeben.
Wie du evtl. schon gesehen hast, kannst du einige Funktionen nicht nutzen.
Dies ist nur in der Vollversion nötig, zu deren Kauf ich dir rate.
Du kannst zb unter "Erzwungene Programmstarts" festlegen, dass alle Browser in der Sandbox starten.
Ansonsten musst du immer auf "Sandboxed webbrowser" klicken bzw Rechtsklick, in Sandboxie starten.
Eine lebenslange Lizenz kostet 30 €, und ist auf allen deinen PC's nutzbar.

Weiter mit:
Maßnahmen für ALLE Windows-Versionen
alles komplett durcharbeiten
anmerkung zu file hippo.
in den settings zusätzlich auswählen:
Run updateChecker
when Windows starts

Backup Programm:
in meiner Anleitung ist bereits ein Backup Programm verlinkt, als Alternative bietet sich auch das Windows eigene Backup Programm an:
http://www.trojaner-board.de/82962-w...en-backup.html
Dies ist aber leider nur für Windows 7 Nutzer vernünftig nutzbar.
Alle Anderen sollten sich aber auf jeden fall auch ein Backup Programm instalieren, denn dies kann unter Umständen sehr wichtig sein, zum Beispiel, wenn die Festplatte einmal kaputt ist.

Zum Schluss, die allgemeinen sicherheitstipps beachten, wenn es dich betrifft, den Tipp zum Onlinebanking beachten und alle Passwörter ändern
bitte auch lesen, wie mache ich programme für alle sichtbar:
Programme für alle Konten nutzbar machen - PCtipp.ch - Praxis & Hilfe
surfe jetzt also nur noch im standard nutzer konto und dort in der sandbox.
wenn du die kostenlose version nutzt, dann mit klick auf sandboxed web browser, wenn du die bezahlversion hast, kannst du erzwungene programm starts festlegen, dann wird Sandboxie immer gestartet wenn du nen browser aufrufst.
wenn du mit der maus über den browser fährst sollte der eingerahmt sein, dann bist du im sandboxed web browser

Hey,
danke für deine Anleitung.

Das Windows 7 Update ist schon so konfiguriert wie es in Deiner Anleitung steht.

Zur UAC: Ist die Aktivierung wirklich nötig? Ich persönlich habe es immer sehr als störend empfunden, jedes Mal wenn man eine Anwendung starten wollte, erst dies mit Ja zu bestätigen. Werden dadurch wirklich dann Angriffe von Viren verhindert?

Dann noch eine Frage zum SEHOP:
Bei Microsoft steht, dass SEHOP dazu dient "Angriffe abzuwehren, die die Überschreibfunktion des strukturierten Ausnahmehandlers (SEH, Structured Exception Handler) verwenden". Wie genau darf man dies verstehen?

Für die Windows 7 Dienste:
Steht eine .cmd Datei zur schnellen Dienstabschaltung auch für Win 7 zur Verfügung oder muss man die bisland noch manuell abschalten? (How To Make Your Windows 7 More Safe And Secure (for Windows 7, Vista, XP & 2000) - ntsvcfg.de)

Als Virenschutz nehme ich aktuell ESET (ESET - Antivirus Software with Spyware and Malware Protection) und habe dort auch noch eine kostenpflichtige Lizenz laufen. Reicht dieses Virenprogramm nicht auch aus?

Als Browser benutze ich zur Zeit Mozilla Firefox, weil ich dort die Handhabung am einfachsten finde. Als AddOns habe ich im Moment eig. nur AddBlock installiert.
Hast du dort spezielle Konfigurationseinstellungen oder nur am besten die drei Addons installieren die Du aufgeführt hast? (NoScript; WOT; AdBlockPlus (schon installiert) )

Backups mache ich nun mit Acronis True Image Home 2011. Das Programm kann man denke ich genauso gut benutzen wie Deine aufgeführten oder?


Allgemein vielleicht auch noch einmal erwähnt, dass ich in den letzten 10 Jahren keine Probleme mit Viren, Trojaner oder sonstiges hatte. Der Verschlüsselungs-Trojaner wurde von einem anderem Familienmitglied auf einem Büro-Computer ausgeführt.

Durch die Programm Sandbox etc. könnte die Anwendung wohl erschwert werden oder? Für mich persönlich ist dies kein Problem, doch derjenige der an dem Büro-PC arbeitet ist nicht der "Technik-Experte" und freut sich über jede einfachere Anwendung.

hi,
klar wird da die hyrde für angriffe erhöt, trojaner sind doch auch ausführbare programme, wie alles andere.
sehop.
hier wird eine spezielle angriffsart die von exploits verwendet wird verhindert, bzw soll das so sein.

windows dienste:
bei windows 7 in original einstellung belassen.
eset:
ist auch ok.

firefox:
schon mal chrome angesehen, er ist sicherer und schneller.
wot gefällt mir nicht so, ist nur der vollständigkeit halber aufgelistet.

wenn die mail in der sandbox geöffnet wurde und von dort die anwendung gestartet dann ja.
naja, sandbox ist jetzt auch nicht das schwerste.
wenn man am pc arbeiten will, so meine meinung, dann muss man sich auch schon ein wenig damit beschäftigen, man setzt ja auch nicht leute ins auto und lässt sie drauf los fahren :-)