TR/Crypt.Gypikon.D.1 und Trojan.Agent.H nach Verschlüsselungstrojaner durch E-Mail

chapuisat · 17.05.2012, 18:53

Servus!

Nun hat es uns auch erwischt. Wir haben eine E-Mail bekommen mit einer Rechnung als zip verpackt, aufgemacht und dann kam eine Nachricht, der Rechner wird gesperrt, weil Sicherheitsbedenken da wären und man müsse 100 Euro zahlen per Code von irgendeiner Tankstelle. Danach ging fast nichts mehr.

Der Start im abgesichertem Modus hat noch geklappt, also den Rechner (Win 7 Pro, 32 Bit, SP1) auf vor drei Tagen zurückgesetzt. Der Neustart ging dann ohne Probleme und ohne Meldung. Dann den Malwarebytes heruntergeladen und laufen lassen. Entdeckt wurde ein "Trojan.Agent.H", wurde komplett entfernt. Ein erneuter Scan ergab nichts mehr. Danach Avira Komplettscan gemacht. Der hat zusätzlich "EXP/Java.O" entdeckt, wurde von mir entfernt. Danach habe ich die zip Datei von oben mit Avira checken lassen, es wurde ein "TR/Crypt.Gypikon.D.1" entdeckt. Ist es dasselbe wie "Trojan.Agent.H"?

Ich denke, ich habe die Trojaner losbekommen. ABER, und jetzt kommt leider ein großes ABER: Alle pdf und Bilder (jpg) scheinen defekt zu sein, sie können nicht mehr geöffnet werden. Outlook geht auch nicht, weil Datendatei hin. Die Dateien haben aber 1:1 den alten Namen, keinen Zusatz wie "locker" oder so was. Die schauen aus wie immer, lassen sich nur nicht öffnen. Von diesen Daten existiert KEIN BACKUP! Einige wären aber durchaus wichtig. Ja, Schande über mein Haupt :-(

Ich habe zwei Decrypter von hier ausprobiert, den von Avira und den matsnu1decrypt. Allerdings sagen die, dass zwischen Original und der offensichtlich veränderter Datei kein Unterschied besteht. Bin echt ratlos, wie komme ich an meine Daten?!

Ich habe eine CD erstellt mit OTLPENet.exe. Leider bekomme ich nach dem Win XP Logo einen Bluescreen!

Hoffe auf Hilfe...

Danke im Voraus!

P.S. Im Anhang die ZIP Datei mit dem Trojaner.

Ich habe heute den ganzen Abend diverse Scans gemacht, wie hier in den Foren beschrieben:

1. OTL

OTL.Txt

OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 18.05.2012 05:05:50 - Run 1
OTL by OldTimer - Version 3.2.43.0     Folder = C:\Users\***\Downloads
 Professional Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,16 Gb Total Physical Memory | 1,62 Gb Available Physical Memory | 51,12% Memory free
6,33 Gb Paging File | 4,62 Gb Available in Paging File | 72,97% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 284,46 Gb Total Space | 196,34 Gb Free Space | 69,02% Space Free | Partition Type: NTFS
 
Computer Name: ***-PC | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Users\***\Downloads\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
PRC - C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
PRC - C:\Programme\Common Files\Adobe\ARM\1.0\armsvc.exe (Adobe Systems Incorporated)
PRC - C:\Programme\ESET\ESET Online Scanner\OnlineCmdLineScanner.exe ()
PRC - C:\Programme\InterRisk\WinRiskXA\smart\client\bin\BWUpdater.exe (BISS GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
PRC - C:\Programme\Microsoft IntelliPoint\ipoint.exe (Microsoft Corporation)
PRC - C:\Programme\Internet Explorer\iexplore.exe (Microsoft Corporation)
PRC - C:\Windows\System32\conhost.exe (Microsoft Corporation)
PRC - C:\Programme\TeamViewer\Version6\TeamViewer.exe (TeamViewer GmbH)
PRC - C:\Programme\TeamViewer\Version6\TeamViewer_Service.exe (TeamViewer GmbH)
PRC - C:\Windows\System32\Macromed\Flash\FlashUtil10m_ActiveX.exe (Adobe Systems, Inc.)
PRC - C:\Programme\Avira\AntiVir Desktop\avshadow.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
PRC - C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
PRC - C:\Windows\explorer.exe (Microsoft Corporation)
PRC - C:\Programme\Dell\Dell System Manager\DCPSysMgr.exe (Dell Inc.)
PRC - c:\Programme\Dell\Dell System Manager\DCPSysMgrSvc.exe (Dell Inc.)
PRC - C:\Programme\Dell\DW WLAN Card\WLTRAY.EXE (Dell Inc.)
PRC - C:\Programme\Dell\DW WLAN Card\WLTRYSVC.EXE (Dell Inc.)
PRC - C:\Programme\Dell\DW WLAN Card\BCMWLTRY.EXE (Dell Inc.)
PRC - C:\Programme\DellTPad\Apoint.exe (Alps Electric Co., Ltd.)
PRC - C:\Programme\STMicroelectronics\AccelerometerP11\FF_Protection.exe ()
PRC - C:\Programme\IDT\WDM\sttray.exe (IDT, Inc.)
PRC - C:\Programme\IDT\WDM\stacsv.exe (IDT, Inc.)
PRC - C:\Programme\Intel\Intel(R) Management Engine Components\UNS\UNS.exe (Intel Corporation)
PRC - C:\Programme\Intel\Intel(R) Management Engine Components\LMS\LMS.exe (Intel Corporation)
PRC - C:\Programme\Intel\Services\IPT\jhi_service.exe (Intel Corporation)
PRC - C:\Programme\Windows Media Player\wmpnetwk.exe (Microsoft Corporation)
PRC - C:\Windows\System32\taskhost.exe (Microsoft Corporation)
PRC - C:\Programme\Roxio\OEM\Roxio Burn\RoxioBurnLauncher.exe ()
PRC - C:\Programme\DellTPad\ApMsgFwd.exe (Alps Electric Co., Ltd.)
PRC - C:\Programme\Dell\Dell Data Protection\Access\Advanced\Wave\Trusted Drive Manager\TdmService.exe (Wave Systems Corp.)
PRC - C:\Programme\WIDCOMM\Bluetooth Software\BTStackServer.exe (Broadcom Corporation.)
PRC - C:\Programme\WIDCOMM\Bluetooth Software\BTTray.exe (Broadcom Corporation.)
PRC - C:\Programme\WIDCOMM\Bluetooth Software\btwdins.exe (Broadcom Corporation.)
PRC - C:\Programme\Common Files\SPBA\upeksvr.exe (UPEK Inc.)
PRC - C:\Windows\System32\SDIOAssist.exe (O2Micro.)
PRC - C:\Programme\DellTPad\hidfind.exe (Alps Electric Co., Ltd.)
PRC - C:\Programme\Broadcom\MgmtAgent\BrcmMgmtAgent.exe (Broadcom Corporation)
PRC - C:\Programme\DellTPad\ApntEx.exe (Alps Electric Co., Ltd.)
PRC - C:\Programme\Citrix\ICA Client\wfcrun32.exe (Citrix Systems, Inc.)
PRC - C:\Programme\Citrix\ICA Client\concentr.exe (Citrix Systems, Inc.)
PRC - C:\Programme\Fingerprint Sensor\AtService.exe (AuthenTec, Inc.)
PRC - C:\Programme\Dell Webcam\Dell Webcam Central\WebcamDell2.exe (Creative Technology Ltd)
PRC - C:\Windows\System32\drivers\o2flash.exe (O2Micro International)
PRC - C:\Programme\McAfee Security Scan\2.0.181\SSScheduler.exe (McAfee, Inc.)
PRC - C:\Programme\CyberLink\PowerDVD9\PDVD9Serv.exe (CyberLink Corp.)
PRC - C:\Programme\IDT\WDM\AEstSrv.exe (Andrea Electronics Corporation)
PRC - C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE (Microsoft Corporation)
PRC - C:\Programme\funkwerk WIN-Tools\Eumex 401 WIN-Tools V2.00\ControlCenter.exe (Funkwerk Enterprise Communications GmbH)
PRC - C:\Programme\Canon\MyPrinter\BJMYPRT.EXE (CANON INC.)
PRC - C:\Programme\ScanSoft\OmniPageSE4\OpWareSE4.exe (Nuance Communications, Inc.)
PRC - C:\Programme\Canon\IJPLM\ijplmsvc.exe ()
PRC - C:\Windows\System32\spool\drivers\w32x86\3\WrtProc.exe ()
PRC - C:\Windows\System32\spool\drivers\w32x86\3\WrtMon.exe ()
PRC - C:\Windows\System32\srvany.exe ()
 
 
========== Modules (No Company Name) ==========
 
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Web\1a690902e9a6293de228c16fab21e2f7\System.Web.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System.Runtime.Remo#\03dee80574f4ec770b6f77ca030ded6c\System.Runtime.Remoting.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\System\ce9ff6baf9053ed2ed673d948179195c\System.ni.dll ()
MOD - C:\Windows\assembly\NativeImages_v2.0.50727_32\mscorlib\acfc1391e45fedd2a359778ea57d914c\mscorlib.ni.dll ()
MOD - C:\Programme\ESET\ESET Online Scanner\OnlineCmdLineScanner.exe ()
MOD - C:\Windows\assembly\GAC_32\bcmwlrmt\5.100.235.0__6d6a20262490fcdc\bcmwlrmt.dll ()
MOD - C:\Windows\System32\IccLibDll.dll ()
MOD - C:\Programme\STMicroelectronics\AccelerometerP11\FF_Protection.exe ()
MOD - c:\Programme\Common Files\Roxio Shared\DLLShared\SQLite352.dll ()
MOD - C:\Programme\Roxio\OEM\Roxio Burn\RoxioBurnLauncher.exe ()
MOD - C:\Windows\assembly\GAC_MSIL\mscorlib.resources\2.0.0.0_de_b77a5c561934e089\mscorlib.resources.dll ()
MOD - C:\Windows\System32\spool\drivers\w32x86\3\WrtProc.exe ()
MOD - C:\Windows\System32\spool\drivers\w32x86\3\WrtMon.exe ()
 
 
========== Win32 Services (SafeList) ==========
 
SRV - (MBAMService) -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe (Malwarebytes Corporation)
SRV - (AdobeARMservice) -- C:\Programme\Common Files\Adobe\ARM\1.0\armsvc.exe (Adobe Systems Incorporated)
SRV - (WinRiskXASmClSoftwareUpdate) -- C:\Programme\InterRisk\WinRiskXA\smart\client\bin\BWUpdater.exe (BISS GmbH)
SRV - (AntiVirService) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe (Avira GmbH)
SRV - (odserv) -- C:\Programme\Common Files\microsoft shared\OFFICE12\ODSERV.EXE (Microsoft Corporation)
SRV - (TeamViewer6) -- C:\Programme\TeamViewer\Version6\TeamViewer_Service.exe (TeamViewer GmbH)
SRV - (AntiVirSchedulerService) -- C:\Programme\Avira\AntiVir Desktop\sched.exe (Avira GmbH)
SRV - (dcpsysmgrsvc) -- c:\Programme\Dell\Dell System Manager\DCPSysMgrSvc.exe (Dell Inc.)
SRV - (wltrysvc) -- C:\Program Files\Dell\DW WLAN Card\WLTRYSVC.EXE (Dell Inc.)
SRV - (STacSV) -- C:\Programme\IDT\WDM\stacsv.exe (IDT, Inc.)
SRV - (UNS) Intel(R) -- C:\Programme\Intel\Intel(R) Management Engine Components\UNS\UNS.exe (Intel Corporation)
SRV - (LMS) Intel(R) -- C:\Programme\Intel\Intel(R) Management Engine Components\LMS\LMS.exe (Intel Corporation)
SRV - (jhi_service) Intel(R) -- C:\Programme\Intel\Services\IPT\jhi_service.exe (Intel Corporation)
SRV - (RoxWatch12) -- C:\Programme\Common Files\Roxio Shared\OEM\12.0\SharedCOM\RoxWatch12OEM.exe (Sonic Solutions)
SRV - (RoxMediaDB12OEM) -- C:\Programme\Common Files\Roxio Shared\OEM\12.0\SharedCOM\RoxMediaDB12OEM.exe (Sonic Solutions)
SRV - (WMPNetworkSvc) -- C:\Programme\Windows Media Player\wmpnetwk.exe (Microsoft Corporation)
SRV - (SecureStorageService) -- C:\Programme\Dell\Dell Data Protection\Access\Advanced\Wave\Secure Storage Manager\SecureStorageService.exe (Wave Systems Corp.)
SRV - (TdmService) -- C:\Programme\Dell\Dell Data Protection\Access\Advanced\Wave\Trusted Drive Manager\TdmService.exe (Wave Systems Corp.)
SRV - (btwdins) -- C:\Programme\WIDCOMM\Bluetooth Software\btwdins.exe (Broadcom Corporation.)
SRV - (tcsd_win32.exe) -- C:\Programme\NTRU Cryptosystems\NTRU TCG Software Stack\bin\tcsd_win32.exe ()
SRV - (BrcmMgmtAgent) -- C:\Programme\Broadcom\MgmtAgent\BrcmMgmtAgent.exe (Broadcom Corporation)
SRV - (ATService) -- C:\Programme\Fingerprint Sensor\AtService.exe (AuthenTec, Inc.)
SRV - (O2FLASH) -- C:\Windows\System32\drivers\o2flash.exe (O2Micro International)
SRV - (osppsvc) -- C:\Programme\Common Files\microsoft shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE (Microsoft Corporation)
SRV - (ose) -- C:\Programme\Common Files\microsoft shared\Source Engine\OSE.EXE (Microsoft Corporation)
SRV - (StorSvc) -- C:\Windows\System32\StorSvc.dll (Microsoft Corporation)
SRV - (SensrSvc) -- C:\Windows\System32\sensrsvc.dll (Microsoft Corporation)
SRV - (PeerDistSvc) -- C:\Windows\System32\PeerDistSvc.dll (Microsoft Corporation)
SRV - (WinDefend) -- C:\Programme\Windows Defender\MpSvc.dll (Microsoft Corporation)
SRV - (AESTFilters) -- C:\Programme\IDT\WDM\AEstSrv.exe (Andrea Electronics Corporation)
SRV - (IJPLMSVC) -- C:\Programme\Canon\IJPLM\ijplmsvc.exe ()
SRV - (O2SDIOAssist) -- C:\Windows\System32\srvany.exe ()
 
 
========== Driver Services (SafeList) ==========
 
DRV - (MBAMProtector) -- C:\Windows\System32\drivers\mbam.sys (Malwarebytes Corporation)
DRV - (avipbb) -- C:\Windows\System32\drivers\avipbb.sys (Avira GmbH)
DRV - (avgntflt) -- C:\Windows\System32\drivers\avgntflt.sys (Avira GmbH)
DRV - (dc3d) MS Hardware Device Detection Driver (USB) -- C:\Windows\System32\drivers\dc3d.sys (Microsoft Corporation)
DRV - (O2SDJRDR) -- C:\Windows\System32\drivers\o2sdjw7.sys (O2Micro )
DRV - (BCM42RLY) -- C:\Windows\System32\drivers\bcm42rly.sys (Broadcom Corporation)
DRV - (ApfiltrService) -- C:\Windows\System32\drivers\Apfiltr.sys (Alps Electric Co., Ltd.)
DRV - (O2MDRRDR) -- C:\Windows\System32\drivers\O2MDRw7.sys (O2Micro )
DRV - (O2MDFRDR) -- C:\Windows\System32\drivers\o2mdfw7.sys (O2Micro )
DRV - (Acceler) -- C:\Windows\System32\drivers\Accelern.sys (ST Microelectronics)
DRV - (STHDA) -- C:\Windows\System32\drivers\stwrt.sys (IDT, Inc.)
DRV - (vpcvmm) -- C:\Windows\System32\drivers\vpcvmm.sys (Microsoft Corporation)
DRV - (vpcbus) -- C:\Windows\System32\drivers\vpchbus.sys (Microsoft Corporation)
DRV - (vmbus) -- C:\Windows\System32\drivers\vmbus.sys (Microsoft Corporation)
DRV - (storflt) -- C:\Windows\System32\drivers\vmstorfl.sys (Microsoft Corporation)
DRV - (storvsc) -- C:\Windows\System32\drivers\storvsc.sys (Microsoft Corporation)
DRV - (vpcusb) -- C:\Windows\System32\drivers\vpcusb.sys (Microsoft Corporation)
DRV - (vpcnfltr) -- C:\Windows\System32\drivers\vpcnfltr.sys (Microsoft Corporation)
DRV - (TsUsbFlt) -- C:\Windows\System32\drivers\TsUsbFlt.sys (Microsoft Corporation)
DRV - (VMBusHID) -- C:\Windows\System32\drivers\VMBusHID.sys (Microsoft Corporation)
DRV - (s3cap) -- C:\Windows\System32\drivers\vms3cap.sys (Microsoft Corporation)
DRV - (MEI) Intel(R) -- C:\Windows\System32\drivers\HECI.sys (Intel Corporation)
DRV - (IntcDAud) Intel(R) -- C:\Windows\System32\drivers\IntcDAud.sys (Intel(R) Corporation)
DRV - (Blfp) -- C:\Windows\System32\drivers\basp.sys (Broadcom Corporation)
DRV - (stdcfltn) -- C:\Windows\System32\drivers\stdcfltn.sys (ST Microelectronics)
DRV - (ssmdrv) -- C:\Windows\System32\drivers\ssmdrv.sys (Avira GmbH)
DRV - (ctxusbm) -- C:\Windows\System32\drivers\ctxusbm.sys (Citrix Systems, Inc.)
DRV - (CtClsFlt) -- C:\Windows\System32\drivers\CtClsFlt.sys (Creative Technology Ltd.)
DRV - (vwifimp) -- C:\Windows\System32\drivers\vwifimp.sys (Microsoft Corporation)
DRV - (CtAudDrv) -- C:\Windows\System32\drivers\CtAudDrv.sys (Creative Technology Ltd.)
DRV - (elcapitd) -- C:\Windows\System32\drivers\elcapitd.sys (Funkwerk Enterprise Communications GmbH)
DRV - (PBADRV) -- C:\Windows\System32\drivers\PBADRV.sys (Dell Inc)
DRV - (elcapi20) -- C:\Windows\System32\drivers\ELCAPI20.SYS (Funkwerk Enterprise Communications GmbH)
DRV - (elcapibs) -- C:\Windows\System32\drivers\elcapibs.sys (elmeg communication systems)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7
 
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = hxxp://www1.euro.dell.com/content/default.aspx?c=de&l=de&s=gen
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Search_URL = hxxp://www.google.com/ie
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Bar = hxxp://www.google.com/ie
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Search Page = hxxp://www.google.com
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.onvista.de/
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,Default_Search_URL = hxxp://www.google.com/ie
IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Search,SearchAssistant = hxxp://www.google.com/ie
IE - HKCU\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A}
IE - HKCU\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7
IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.search.selectedEngine: "Bing"
FF - prefs.js..browser.search.useDBForOrder: true
FF - prefs.js..browser.startup.homepage: "hxxp://www.onvista.de/"
FF - prefs.js..network.proxy.type: 0
 
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@google.com/npPicasa3,version=3.0.0: C:\Program Files\Google\Picasa3\npPicasa3.dll (Google, Inc.)
FF - HKLM\Software\MozillaPlugins\@java.com/DTPlugin,version=1.6.0_32: C:\Windows\system32\npdeployJava1.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Program Files\Java\jre6\bin\plugin2\npjp2.dll (Sun Microsystems, Inc.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeAuthz,version=14.0: C:\PROGRA~1\MICROS~1\Office14\NPAUTHZ.DLL (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/OfficeLive,version=1.5: C:\Program Files\Microsoft\Office Live\npOLW.dll (Microsoft Corp.)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/SharePoint,version=14.0: C:\PROGRA~1\MICROS~1\Office14\NPSPWRAP.DLL (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Program Files\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.)
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Users\***\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
FF - HKCU\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Users\***\AppData\Local\Google\Update\1.3.21.111\npGoogleUpdate3.dll (Google Inc.)
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\extensions\\{22C7F6C6-8D67-4534-92B5-529A0EC09405}: c:\Program Files\Trend Micro\Client Server Security Agent\bho\1009\FirefoxExtension
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 11.0\extensions\\Components: C:\Program Files\Mozilla Firefox\components [2012.05.01 17:13:38 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 11.0\extensions\\Plugins: C:\Program Files\Mozilla Firefox\plugins [2012.04.11 16:08:59 | 000,000,000 | ---D | M]
 
[2011.07.28 22:01:04 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Extensions
[2012.05.16 19:56:02 | 000,000,000 | ---D | M] (No name found) -- C:\Users\***\AppData\Roaming\mozilla\Firefox\Profiles\tdzzs75e.default\extensions
[2012.02.03 23:44:33 | 000,000,000 | ---D | M] (GraphOn GO-Global) -- C:\Users\***\AppData\Roaming\mozilla\Firefox\Profiles\tdzzs75e.default\extensions\support@graphon.com
[2012.02.23 23:10:37 | 000,000,933 | ---- | M] () -- C:\Users\***\AppData\Roaming\Mozilla\Firefox\Profiles\tdzzs75e.default\searchplugins\11-suche.xml
[2012.02.23 23:10:37 | 000,002,419 | ---- | M] () -- C:\Users\***\AppData\Roaming\Mozilla\Firefox\Profiles\tdzzs75e.default\searchplugins\englische-ergebnisse.xml
[2012.02.23 23:10:37 | 000,010,525 | ---- | M] () -- C:\Users\***\AppData\Roaming\Mozilla\Firefox\Profiles\tdzzs75e.default\searchplugins\gmx-suche.xml
[2012.02.23 23:10:37 | 000,002,457 | ---- | M] () -- C:\Users\***\AppData\Roaming\Mozilla\Firefox\Profiles\tdzzs75e.default\searchplugins\lastminute.xml
[2012.02.23 23:10:37 | 000,005,508 | ---- | M] () -- C:\Users\***\AppData\Roaming\Mozilla\Firefox\Profiles\tdzzs75e.default\searchplugins\webde-suche.xml
[2012.05.17 21:54:03 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2012.05.17 21:54:03 | 000,000,000 | ---D | M] (Java Console) -- C:\Programme\Mozilla Firefox\extensions\{CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA}
[2012.03.19 19:17:51 | 000,097,208 | ---- | M] (Mozilla Foundation) -- C:\Program Files\mozilla firefox\components\browsercomps.dll
[2010.05.12 16:42:04 | 000,124,344 | ---- | M] (Citrix Systems, Inc.) -- C:\Program Files\mozilla firefox\plugins\CCMSDK.dll
[2010.05.12 16:43:54 | 000,070,592 | ---- | M] (Citrix Systems, Inc.) -- C:\Program Files\mozilla firefox\plugins\CgpCore.dll
[2010.05.12 16:42:52 | 000,091,576 | ---- | M] (Citrix Systems, Inc.) -- C:\Program Files\mozilla firefox\plugins\confmgr.dll
[2010.05.12 16:42:32 | 000,022,464 | ---- | M] (Citrix Systems, Inc.) -- C:\Program Files\mozilla firefox\plugins\ctxlogging.dll
[2010.05.12 17:22:36 | 000,423,328 | ---- | M] () -- C:\Program Files\mozilla firefox\plugins\npicaN.dll
[2010.05.12 16:43:56 | 000,024,000 | ---- | M] (Citrix Systems, Inc.) -- C:\Program Files\mozilla firefox\plugins\TcpPServ.dll
[2012.02.15 10:53:18 | 000,001,392 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\amazondotcom-de.xml
[2012.02.15 10:53:18 | 000,002,252 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\bing.xml
[2012.02.15 10:53:18 | 000,001,153 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\eBay-de.xml
[2012.02.15 10:53:18 | 000,006,805 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\leo_ende_de.xml
[2012.02.15 10:53:18 | 000,001,178 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\wikipedia-de.xml
[2012.02.15 10:53:18 | 000,001,105 | ---- | M] () -- C:\Program Files\mozilla firefox\searchplugins\yahoo-de.xml
 
========== Chrome  ==========
 
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O2 - BHO: (TmIEPlugInBHO Class) - {1CA1377B-DC1D-4A52-9585-6E06050FAC53} - c:\Programme\Trend Micro\Client Server Security Agent\bho\1009\TmIEPlg.dll (Trend Micro Inc.)
O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll (Sun Microsystems, Inc.)
O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.2.4204.1700\swg.dll (Google Inc.)
O2 - BHO: (Office Document Cache Handler) - {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Programme\Microsoft Office\Office14\URLREDIR.DLL (Microsoft Corporation)
O2 - BHO: (Softonic Helper Object) - {E87806B5-E908-45FD-AF5E-957D83E58E68} - C:\Programme\Softonic\Softonic\1.5.21.0\bh\Softonic.dll (Softonic.com)
O3 - HKLM\..\Toolbar: (Softonic Toolbar) - {5018CFD2-804D-4C99-9F81-25EAEA2769DE} - C:\Programme\Softonic\Softonic\1.5.21.0\SoftonicTlbr.dll (Softonic.com)
O3 - HKLM\..\Toolbar: (no name) - Locked - No CLSID value found.
O4 - HKLM..\Run: []  File not found
O4 - HKLM..\Run: [Apoint] C:\Programme\DellTPad\Apoint.exe (Alps Electric Co., Ltd.)
O4 - HKLM..\Run: [avgnt] C:\Program Files\Avira\AntiVir Desktop\avgnt.exe (Avira GmbH)
O4 - HKLM..\Run: [BCSSync] C:\Program Files\Microsoft Office\Office14\BCSSync.exe (Microsoft Corporation)
O4 - HKLM..\Run: [Broadcom Wireless Manager UI] C:\Programme\Dell\DW WLAN Card\WLTRAY.EXE (Dell Inc.)
O4 - HKLM..\Run: [CanonMyPrinter] C:\Program Files\Canon\MyPrinter\BJMyPrt.exe (CANON INC.)
O4 - HKLM..\Run: [CanonSolutionMenu] C:\Program Files\Canon\SolutionMenu\CNSLMAIN.exe (CANON INC.)
O4 - HKLM..\Run: [ConnectionCenter] C:\Program Files\Citrix\ICA Client\concentr.exe (Citrix Systems, Inc.)
O4 - HKLM..\Run: [Dell Webcam Central] C:\Program Files\Dell Webcam\Dell Webcam Central\WebcamDell2.exe (Creative Technology Ltd)
O4 - HKLM..\Run: [Desktop Disc Tool] C:\Program Files\Roxio\OEM\Roxio Burn\RoxioBurnLauncher.exe ()
O4 - HKLM..\Run: [FreeFallProtection] C:\Programme\STMicroelectronics\AccelerometerP11\FF_Protection.exe ()
O4 - HKLM..\Run: [Malwarebytes' Anti-Malware] C:\Program Files\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O4 - HKLM..\Run: [OpwareSE4] C:\Program Files\ScanSoft\OmniPageSE4\OpwareSE4.exe (Nuance Communications, Inc.)
O4 - HKLM..\Run: [PDVD9LanguageShortcut] C:\Program Files\CyberLink\PowerDVD9\Language\Language.exe (CyberLink Corp.)
O4 - HKLM..\Run: [RemoteControl9] C:\Program Files\CyberLink\PowerDVD9\PDVD9Serv.exe (CyberLink Corp.)
O4 - HKLM..\Run: [RoxWatchTray] C:\Program Files\Common Files\Roxio Shared\OEM\12.0\SharedCOM\RoxWatchTray12OEM.exe (Sonic Solutions)
O4 - HKLM..\Run: [SysTrayApp] C:\Programme\IDT\WDM\sttray.exe (IDT, Inc.)
O4 - HKLM..\Run: [WrtMon.exe] C:\Windows\System32\spool\drivers\w32x86\3\WrtMon.exe ()
O4 - Startup: C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\OneNote 2007 Bildschirmausschnitt- und Startprogramm.lnk = C:\Programme\Microsoft Office\Office12\ONENOTEM.EXE (Microsoft Corporation)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O8 - Extra context menu item: Add to Google Photos Screensa&ver - C:\Windows\System32\GPhotos.scr (Google Inc.)
O8 - Extra context menu item: Bild an &Bluetooth-Gerät senden... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie_ctx.htm ()
O8 - Extra context menu item: Nach Microsoft E&xel exportieren - C:\Programme\Microsoft Office\Office12\EXCEL.EXE (Microsoft Corporation)
O8 - Extra context menu item: Seite an &Bluetooth-Gerät senden... - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra Button: An OneNote senden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Programme\Microsoft Office\Office12\ONBttnIE.dll (Microsoft Corporation)
O9 - Extra 'Tools' menuitem : An OneNote s&enden - {2670000A-7350-4f3c-8081-5663EE0C6C49} - C:\Programme\Microsoft Office\Office12\ONBttnIE.dll (Microsoft Corporation)
O9 - Extra Button: Research - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\Programme\Microsoft Office\Office12\REFIEBAR.DLL (Microsoft Corporation)
O9 - Extra Button: @C:\Program Files\WIDCOMM\Bluetooth Software\btrez.dll,-4015 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O9 - Extra 'Tools' menuitem : @C:\Program Files\WIDCOMM\Bluetooth Software\btrez.dll,-12650 - {CCA281CA-C863-46ef-9331-5C8D4460577F} - C:\Programme\WIDCOMM\Bluetooth Software\btsendto_ie.htm ()
O13 - gopher Prefix: missing
O16 - DPF: {41EF3CD2-D8CC-4438-84B1-280BB4E77C8E} C:\Users\***\AppData\Local\Temp\f5tmp\f5tunsrv.cab (F5 Networks Dynamic Application Tunnel Control)
O16 - DPF: {45B69029-F3AB-4204-92DE-D5140C3E8E74} C:\Users\***\AppData\Local\Temp\IXP000.TMP\InstallerControl.cab#-1,-1,-1,-1 (F5 Networks Auto Update)
O16 - DPF: {7530BFB8-7293-4D34-9923-61A11451AFC5} hxxp://download.eset.com/special/eos/OnlineScanner.cab (OnlineScanner Control)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_32-windows-i586.cab (Java Plug-in 1.6.0_32)
O16 - DPF: {CAFEEFAC-0016-0000-0032-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_32-windows-i586.cab (Java Plug-in 1.6.0_32)
O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_32-windows-i586.cab (Java Plug-in 1.6.0_32)
O16 - DPF: {CC85ACDF-B277-486F-8C70-2C9B2ED2A4E7} C:\Users\***\AppData\Local\Temp\f5tmp\urxshost.cab (F5 Networks SuperHost Class)
O16 - DPF: {E0FF21FA-B857-45C5-8621-F120A0C17FF2} C:\Users\***\AppData\Local\Temp\f5tmp\urxhost.cab (F5 Networks Host Control)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.0.178
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{1C16418D-8E3B-4F69-A4BF-C73F29B5416D}: DhcpNameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{3AF69CED-9285-4267-A7CC-06F161B8D319}: DhcpNameServer = 192.168.0.178
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{5EA41C25-CAFF-4867-81C2-72322DA5E78D}: DhcpNameServer = 192.168.1.250
O18 - Protocol\Handler\ms-help {314111c7-a502-11d2-bbca-00c04f8ec294} - C:\Programme\Common Files\microsoft shared\Help\hxds.dll (Microsoft Corporation)
O18 - Protocol\Handler\tmpx {0E526CB5-7446-41D1-A403-19BFE95E8C23} - c:\Programme\Trend Micro\Client Server Security Agent\bho\1009\TmIEPlg.dll (Trend Micro Inc.)
O18 - Protocol\Filter\application/x-ica {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:\Programme\Citrix\ICA Client\IcaMimeFilter.dll (Citrix Systems, Inc.)
O18 - Protocol\Filter\ica {CFB6322E-CC85-4d1b-82C7-893888A236BC} - C:\Programme\Citrix\ICA Client\IcaMimeFilter.dll (Citrix Systems, Inc.)
O18 - Protocol\Filter\text/xml {807563E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Common Files\microsoft shared\OFFICE12\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (/pagefile) -  File not found
O20 - Winlogon\Notify\spba: DllName - (C:\Program Files\Common Files\SPBA\homefus2.dll) - C:\Programme\Common Files\SPBA\homefus2.dll (UPEK Inc.)
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O30 - LSA: Authentication Packages - (wvauth) - C:\Windows\System32\wvauth.dll (Wave Systems Corp.)
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O33 - MountPoints2\{2bdb6219-7841-11e0-937f-806e6f6e6963}\Shell - "" = AutoRun
O33 - MountPoints2\{2bdb6219-7841-11e0-937f-806e6f6e6963}\Shell\AutoRun\command - "" = D:\reatogoMenu.exe
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.05.18 02:32:37 | 000,000,000 | ---D | C] -- C:\Program Files\ESET
[2012.05.18 01:54:18 | 000,000,000 | ---D | C] -- C:\eeepcfr
[2012.05.18 01:50:25 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\7-Zip
[2012.05.18 01:50:25 | 000,000,000 | ---D | C] -- C:\Program Files\7-Zip
[2012.05.17 22:33:44 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\BootDisk2BootStick
[2012.05.17 22:33:44 | 000,000,000 | ---D | C] -- C:\Program Files\BootDisk2BootStick
[2012.05.17 22:09:33 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\ImgBurn
[2012.05.17 22:09:22 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ISO to USB
[2012.05.17 22:09:22 | 000,000,000 | ---D | C] -- C:\Program Files\ISO to USB
[2012.05.17 22:06:45 | 000,000,000 | ---D | C] -- C:\Program Files\Softonic
[2012.05.17 22:06:27 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ImgBurn
[2012.05.17 22:06:26 | 000,000,000 | ---D | C] -- C:\Program Files\ImgBurn
[2012.05.17 21:54:10 | 000,000,000 | ---D | C] -- C:\Program Files\Common Files\Java
[2012.05.17 21:54:02 | 000,476,960 | ---- | C] (Sun Microsystems, Inc.) -- C:\Windows\System32\npdeployJava1.dll
[2012.05.17 21:54:01 | 000,157,472 | ---- | C] (Sun Microsystems, Inc.) -- C:\Windows\System32\javaws.exe
[2012.05.17 21:54:01 | 000,149,280 | ---- | C] (Sun Microsystems, Inc.) -- C:\Windows\System32\javaw.exe
[2012.05.17 21:54:01 | 000,149,280 | ---- | C] (Sun Microsystems, Inc.) -- C:\Windows\System32\java.exe
[2012.05.16 20:15:53 | 000,000,000 | ---D | C] -- C:\Users\***\Desktop\decrypt
[2012.05.15 17:59:22 | 003,968,368 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntkrnlpa.exe
[2012.05.15 17:59:21 | 003,913,072 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ntoskrnl.exe
[2012.05.15 17:59:21 | 002,343,424 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\win32k.sys
[2012.05.15 17:58:33 | 000,000,000 | ---D | C] -- C:\Users\***\AppData\Roaming\Malwarebytes
[2012.05.15 17:58:32 | 001,077,248 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\DWrite.dll
[2012.05.15 17:58:23 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2012.05.15 17:58:21 | 000,022,344 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2012.05.15 17:58:21 | 000,000,000 | ---D | C] -- C:\Program Files\Malwarebytes' Anti-Malware
[2012.04.25 21:13:27 | 000,000,000 | ---D | C] -- C:\ProgramData\Mozilla
[2012.04.19 21:06:41 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Office Live Add-in
[2012.04.19 21:06:41 | 000,000,000 | ---D | C] -- C:\Program Files\Microsoft
 
========== Files - Modified Within 30 Days ==========
 
[2012.05.18 04:20:11 | 000,001,128 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskUserS-1-5-21-2517758972-1477554009-1382371406-1000UA.job
[2012.05.18 02:21:45 | 000,014,032 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2012.05.18 02:21:45 | 000,014,032 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2012.05.18 02:14:24 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2012.05.18 02:14:18 | 2548,772,864 | -HS- | M] () -- C:\hiberfil.sys
[2012.05.18 02:01:35 | 000,709,758 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2012.05.18 02:01:35 | 000,663,700 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2012.05.18 02:01:35 | 000,152,270 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2012.05.18 02:01:35 | 000,125,120 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2012.05.17 22:33:44 | 000,001,097 | ---- | M] () -- C:\Users\***\Desktop\BootDisk2BootStick.lnk
[2012.05.17 22:06:46 | 000,000,111 | ---- | M] () -- C:\user.js
[2012.05.17 21:53:55 | 000,476,960 | ---- | M] (Sun Microsystems, Inc.) -- C:\Windows\System32\npdeployJava1.dll
[2012.05.17 21:53:55 | 000,472,864 | ---- | M] (Sun Microsystems, Inc.) -- C:\Windows\System32\deployJava1.dll
[2012.05.17 21:53:55 | 000,157,472 | ---- | M] (Sun Microsystems, Inc.) -- C:\Windows\System32\javaws.exe
[2012.05.17 21:53:55 | 000,149,280 | ---- | M] (Sun Microsystems, Inc.) -- C:\Windows\System32\javaw.exe
[2012.05.17 21:53:55 | 000,149,280 | ---- | M] (Sun Microsystems, Inc.) -- C:\Windows\System32\java.exe
[2012.05.17 13:54:05 | 000,000,327 | ---- | M] () -- C:\Users\***\AppData\Roaming\CASUpdateSkip.lst
[2012.05.17 13:18:34 | 000,000,438 | RHS- | M] () -- C:\ProgramData\ntuser.pol
[2012.05.16 09:20:00 | 000,001,076 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskUserS-1-5-21-2517758972-1477554009-1382371406-1000Core.job
[2012.05.15 20:06:32 | 000,353,432 | ---- | M] () -- C:\Windows\System32\FNTCACHE.DAT
[2012.05.15 17:58:27 | 000,001,073 | ---- | M] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
 
========== Files Created - No Company Name ==========
 
[2012.05.17 22:33:44 | 000,001,097 | ---- | C] () -- C:\Users\***\Desktop\BootDisk2BootStick.lnk
[2012.05.17 22:06:46 | 000,000,111 | ---- | C] () -- C:\user.js
[2012.05.17 22:06:27 | 000,001,829 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\ImgBurn.lnk
[2012.05.16 20:48:00 | 001,560,369 | ---- | C] () -- C:\Foto0302_org.jpg
[2012.05.15 17:58:27 | 000,001,073 | ---- | C] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
[2011.12.14 15:46:39 | 000,000,189 | ---- | C] () -- C:\Users\***\AppData\Roaming\CASDruckstuecke.ini
[2011.10.13 16:55:49 | 000,233,472 | ---- | C] () -- C:\Windows\System32\NetCapiConfig.exe
[2011.10.13 16:55:49 | 000,147,456 | ---- | C] () -- C:\Windows\System32\elcapitd.exe
[2011.10.13 16:48:01 | 000,000,046 | ---- | C] () -- C:\Windows\hmview.ini
[2011.10.09 16:39:35 | 000,011,776 | ---- | C] () -- C:\Windows\System32\pmsbfn32.dll
[2011.10.09 16:34:12 | 000,000,412 | ---- | C] () -- C:\Windows\MAXLINK.INI
[2011.09.02 12:19:32 | 000,000,043 | ---- | C] () -- C:\Windows\VOPTCON.INI
[2011.08.03 14:46:58 | 000,000,000 | ---- | C] () -- C:\Windows\f5unistall.INI
[2011.07.28 22:08:48 | 000,000,000 | ---- | C] () -- C:\Windows\nsreg.dat
[2011.07.27 13:30:38 | 000,066,048 | ---- | C] () -- C:\Windows\System32\PrintBrmUi.exe
[2011.07.26 19:48:45 | 001,601,536 | ---- | C] () -- C:\Windows\System32\PdfDll32.dll
[2011.07.26 19:48:12 | 000,909,312 | ---- | C] () -- C:\Windows\System32\IWMTarif.dll
[2011.07.26 19:48:12 | 000,749,568 | ---- | C] () -- C:\Windows\System32\IWMTARI1.dll
[2011.07.26 19:48:12 | 000,503,808 | ---- | C] () -- C:\Windows\System32\IWMTaDlg.dll
[2011.07.26 19:48:12 | 000,417,792 | ---- | C] () -- C:\Windows\System32\IWMVertr.dll
[2011.07.26 19:48:12 | 000,245,760 | ---- | C] () -- C:\Windows\System32\IWMWartu.dll
[2011.07.26 19:48:12 | 000,135,168 | ---- | C] () -- C:\Windows\System32\IWMTermi.dll
[2011.07.26 19:48:12 | 000,114,688 | ---- | C] () -- C:\Windows\System32\IWMSIndx.dll
[2011.07.26 19:48:12 | 000,094,208 | ---- | C] () -- C:\Windows\System32\IWMZIP.dll
[2011.07.26 19:48:12 | 000,065,536 | ---- | C] () -- C:\Windows\System32\IWMSuche.dll
[2011.07.26 19:48:12 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMWInfo.dll
[2011.07.26 19:48:12 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMSys.dll
[2011.07.26 19:48:12 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMStati.dll
[2011.07.26 19:48:11 | 001,216,512 | ---- | C] () -- C:\Windows\System32\IWMSGDV.dll
[2011.07.26 19:48:11 | 001,056,768 | ---- | C] () -- C:\Windows\System32\IWMProv.dll
[2011.07.26 19:48:11 | 000,512,000 | ---- | C] () -- C:\Windows\System32\IWMSFA.dll
[2011.07.26 19:48:11 | 000,454,656 | ---- | C] () -- C:\Windows\System32\IWMSBCA.dll
[2011.07.26 19:48:11 | 000,344,064 | ---- | C] () -- C:\Windows\System32\IWMJNI.dll
[2011.07.26 19:48:11 | 000,253,952 | ---- | C] () -- C:\Windows\System32\IWMProdu.dll
[2011.07.26 19:48:11 | 000,241,664 | ---- | C] () -- C:\Windows\System32\IWMKun.dll
[2011.07.26 19:48:11 | 000,221,184 | ---- | C] () -- C:\Windows\System32\IWMSchad.dll
[2011.07.26 19:48:11 | 000,167,936 | ---- | C] () -- C:\Windows\System32\IWMProvA.dll
[2011.07.26 19:48:11 | 000,167,936 | ---- | C] () -- C:\Windows\System32\IWMImpEx.dll
[2011.07.26 19:48:11 | 000,126,976 | ---- | C] () -- C:\Windows\System32\IWMPORTA.dll
[2011.07.26 19:48:11 | 000,118,784 | ---- | C] () -- C:\Windows\System32\IWMSBase.dll
[2011.07.26 19:48:11 | 000,094,208 | ---- | C] () -- C:\Windows\System32\IWMSAllg.dll
[2011.07.26 19:48:11 | 000,036,864 | ---- | C] () -- C:\Windows\System32\IWMInkas.dll
[2011.07.26 19:48:11 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMProvE.dll
[2011.07.26 19:48:11 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMHilfe.dll
[2011.07.26 19:48:10 | 000,704,512 | ---- | C] () -- C:\Windows\System32\IWMBCP.dll
[2011.07.26 19:48:10 | 000,524,288 | ---- | C] () -- C:\Windows\System32\IWMBCT.dll
[2011.07.26 19:48:10 | 000,458,752 | ---- | C] () -- C:\Windows\System32\IWMEinst.dll
[2011.07.26 19:48:10 | 000,143,360 | ---- | C] () -- C:\Windows\System32\IWMGesell.dll
[2011.07.26 19:48:10 | 000,135,168 | ---- | C] () -- C:\Windows\System32\IWMBenut.dll
[2011.07.26 19:48:10 | 000,122,880 | ---- | C] () -- C:\Windows\System32\IWMEING.dll
[2011.07.26 19:48:10 | 000,122,880 | ---- | C] () -- C:\Windows\System32\IWMContr.dll
[2011.07.26 19:48:10 | 000,057,344 | ---- | C] () -- C:\Windows\System32\IWMFonds.dll
[2011.07.26 19:48:10 | 000,049,152 | ---- | C] () -- C:\Windows\System32\IWMDatV.dll
[2011.07.26 19:48:10 | 000,045,056 | ---- | C] () -- C:\Windows\System32\IWMFilV.dll
[2011.07.26 19:48:10 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMFinAn.dll
[2011.07.26 19:48:09 | 000,409,600 | ---- | C] () -- C:\Windows\System32\IWMAbfrg.dll
[2011.07.26 19:48:09 | 000,094,208 | ---- | C] () -- C:\Windows\System32\IWMAllgA.dll
[2011.07.26 19:48:09 | 000,028,672 | ---- | C] () -- C:\Windows\System32\IWMArchv.dll
[2011.07.26 19:48:08 | 002,596,864 | ---- | C] () -- C:\Windows\System32\IWMCom.dll
[2011.07.26 19:47:52 | 000,016,896 | ---- | C] () -- C:\Windows\System32\bcbmm.dll
[2011.05.07 12:17:21 | 000,960,940 | ---- | C] () -- C:\Windows\System32\igkrng600.bin
[2011.05.07 12:17:19 | 000,207,376 | ---- | C] () -- C:\Windows\System32\igfcg600m.bin
[2011.05.07 12:17:19 | 000,004,096 | ---- | C] ( ) -- C:\Windows\System32\IGFXDEVLib.dll
[2011.05.07 12:17:17 | 000,145,804 | ---- | C] () -- C:\Windows\System32\igcompkrng600.bin
[2011.05.07 12:17:16 | 000,094,208 | ---- | C] () -- C:\Windows\System32\IccLibDll.dll
[2011.05.07 12:17:16 | 000,000,151 | ---- | C] () -- C:\Windows\System32\GfxUI.exe.config
[2011.05.07 09:58:38 | 000,080,368 | ---- | C] () -- C:\Windows\System32\pbadrvdll.dll
[2011.05.07 09:57:55 | 000,000,438 | RHS- | C] () -- C:\ProgramData\ntuser.pol
[2011.05.07 09:57:31 | 000,000,206 | ---- | C] () -- C:\Windows\hbcikrnl.ini
[2011.05.07 09:54:09 | 000,008,192 | ---- | C] () -- C:\Windows\System32\drivers\IntelMEFWVer.dll
[2011.05.07 09:54:00 | 000,032,256 | ---- | C] () -- C:\Windows\System32\instsrv.exe
[2011.05.07 09:54:00 | 000,008,192 | ---- | C] () -- C:\Windows\System32\srvany.exe
[2011.05.07 09:51:37 | 000,006,656 | ---- | C] () -- C:\Windows\System32\bcmwlrc.dll
[2010.10.01 22:56:28 | 000,087,040 | ---- | C] () -- C:\Windows\System32\Internationalization_th.dll
[2010.10.01 22:56:28 | 000,074,752 | ---- | C] () -- C:\Windows\System32\Internationalization_zh-HK.dll
[2010.10.01 22:56:26 | 000,089,088 | ---- | C] () -- C:\Windows\System32\Internationalization_sl.dll
[2010.10.01 22:56:24 | 000,089,088 | ---- | C] () -- C:\Windows\System32\Internationalization_sk.dll
[2010.10.01 22:56:22 | 000,090,112 | ---- | C] () -- C:\Windows\System32\Internationalization_hr.dll
[2010.10.01 22:56:20 | 000,088,064 | ---- | C] () -- C:\Windows\System32\Internationalization_tr.dll
[2010.10.01 22:56:18 | 000,091,648 | ---- | C] () -- C:\Windows\System32\Internationalization_ro.dll
[2010.10.01 22:56:18 | 000,091,648 | ---- | C] () -- C:\Windows\System32\Internationalization_pt-BR.dll
[2010.10.01 22:56:16 | 000,091,136 | ---- | C] () -- C:\Windows\System32\Internationalization_hu.dll
[2010.10.01 22:56:14 | 000,084,480 | ---- | C] () -- C:\Windows\System32\Internationalization_he.dll
[2010.10.01 22:56:12 | 000,089,088 | ---- | C] () -- C:\Windows\System32\Internationalization_fi.dll
[2010.10.01 22:56:10 | 000,095,744 | ---- | C] () -- C:\Windows\System32\Internationalization_el.dll
[2010.10.01 22:56:10 | 000,090,112 | ---- | C] () -- C:\Windows\System32\Internationalization_cs.dll
[2010.10.01 22:56:08 | 000,086,016 | ---- | C] () -- C:\Windows\System32\Internationalization_ar.dll
[2010.10.01 22:56:06 | 000,074,752 | ---- | C] () -- C:\Windows\System32\Internationalization_zh-CHT.dll
[2010.10.01 22:56:06 | 000,074,240 | ---- | C] () -- C:\Windows\System32\Internationalization_zh-CHS.dll
[2010.10.01 22:56:04 | 000,090,624 | ---- | C] () -- C:\Windows\System32\Internationalization_sv.dll
[2010.10.01 22:56:02 | 000,090,112 | ---- | C] () -- C:\Windows\System32\Internationalization_ru.dll
[2010.10.01 22:56:00 | 000,093,184 | ---- | C] () -- C:\Windows\System32\Internationalization_pt.dll
[2010.10.01 22:56:00 | 000,092,160 | ---- | C] () -- C:\Windows\System32\Internationalization_pl.dll
[2010.10.01 22:55:58 | 000,088,576 | ---- | C] () -- C:\Windows\System32\Internationalization_no.dll
[2010.10.01 22:55:56 | 000,096,256 | ---- | C] () -- C:\Windows\System32\Internationalization_nl.dll
[2010.10.01 22:55:56 | 000,078,848 | ---- | C] () -- C:\Windows\System32\Internationalization_ko.dll
[2010.10.01 22:55:54 | 000,080,384 | ---- | C] () -- C:\Windows\System32\Internationalization_ja.dll
[2010.10.01 22:55:52 | 000,093,696 | ---- | C] () -- C:\Windows\System32\Internationalization_it.dll
[2010.10.01 22:55:50 | 000,093,696 | ---- | C] () -- C:\Windows\System32\Internationalization_fr.dll
[2010.10.01 22:55:50 | 000,093,184 | ---- | C] () -- C:\Windows\System32\Internationalization_es.dll
[2010.10.01 22:55:46 | 000,094,720 | ---- | C] () -- C:\Windows\System32\Internationalization_de.dll
[2010.10.01 22:55:44 | 000,091,648 | ---- | C] () -- C:\Windows\System32\Internationalization_da.dll
[2010.09.30 15:49:10 | 000,012,800 | ---- | C] () -- C:\Windows\System32\Wavx_ESC_Logging.dll
[2010.08.20 00:18:20 | 001,008,640 | ---- | C] () -- C:\Windows\System32\DemoLicense.dll
 
========== LOP Check ==========
 
[2011.10.09 17:21:27 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Canon
[2011.12.28 23:34:45 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\CD-LabelPrint
[2012.05.01 17:13:38 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\ICAClient
[2012.05.17 23:20:18 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\ImgBurn
[2011.10.21 09:26:59 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\NewSoft
[2011.10.09 16:34:09 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\ScanSoft
[2011.08.02 22:41:24 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Subversion
[2011.10.09 22:30:45 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\SwissLife
[2011.08.08 14:29:18 | 000,000,000 | ---D | M] -- C:\Users\***\AppData\Roaming\Volkswohl Bund
[2012.05.07 08:27:00 | 000,032,632 | ---- | M] () -- C:\Windows\Tasks\SCHEDLGU.TXT
 
========== Purity Check ==========
 
 < End of report >

--- --- ---

Extras.Txt

OTL Logfile:

Code:

ATTFilter

OTL Extras logfile created on: 18.05.2012 05:05:50 - Run 1
OTL by OldTimer - Version 3.2.43.0     Folder = C:\Users\***\Downloads
 Professional Service Pack 1 (Version = 6.1.7601) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
3,16 Gb Total Physical Memory | 1,62 Gb Available Physical Memory | 51,12% Memory free
6,33 Gb Paging File | 4,62 Gb Available in Paging File | 72,97% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 284,46 Gb Total Space | 196,34 Gb Free Space | 69,02% Space Free | Partition Type: NTFS
 
Computer Name: ***-PC | User Name: *** | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- C:\Windows\System32\control.exe (Microsoft Corporation)
.hlp [@ = hlpfile] -- C:\Windows\winhlp32.exe (Microsoft Corporation)
 
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Program Files\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- %SystemRoot%\System32\control.exe "%1",%* (Microsoft Corporation)
exefile [open] -- "%1" %*
helpfile [open] -- Reg Error: Key error.
hlpfile [open] -- %SystemRoot%\winhlp32.exe %1 (Microsoft Corporation)
inffile [install] -- %SystemRoot%\System32\InfDefaultInstall.exe "%1" (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [cmd] -- cmd.exe /s /k pushd "%V" (Microsoft Corporation)
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Directory [OneNote.Open] -- C:\PROGRA~1\MICROS~1\Office12\ONENOTE.EXE "%L" (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [explore] -- Reg Error: Value error.
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"cval" = 1
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc]
"VistaSp1" = Reg Error: Unknown registry data type -- File not found
"AntiVirusOverride" = 0
"AntiSpywareOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc\Vol]
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
========== Authorized Applications List ==========
 
 
========== Vista Active Open Ports Exception List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{2076A028-8A7C-4C81-9A12-B6BBC0844097}" = lport=61117 | protocol=17 | dir=in | name=trend micro client/server security agent - broadcast | 
"{223FD8C2-93D4-41B8-B0D1-93D942E6B1CE}" = lport=rpc | protocol=6 | dir=in | svc=spooler | app=%systemroot%\system32\spoolsv.exe | 
"{2EE79158-EA69-4525-A1C1-DB25A71A86AC}" = rport=139 | protocol=6 | dir=out | app=system | 
"{53D5C870-9D2B-4DDB-BBB6-A661DF203A47}" = lport=808 | protocol=6 | dir=in | svc=nettcpactivator | app=c:\windows\microsoft.net\framework\v4.0.30319\smsvchost.exe | 
"{5B7BEB56-704B-484F-9B19-52919BD8D457}" = lport=138 | protocol=17 | dir=in | app=system | 
"{68D51D7D-CBCF-46BD-B1E5-BA6FC1AB1ACA}" = lport=2177 | protocol=6 | dir=in | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{69F81904-66CB-4F24-8EAF-FE42B7383862}" = lport=2869 | protocol=6 | dir=in | app=system | 
"{6FE70EF9-3DD7-448C-969A-EB28D196985F}" = lport=1900 | protocol=17 | dir=in | svc=ssdpsrv | app=%systemroot%\system32\svchost.exe | 
"{7935150F-3EF0-4BE7-8B65-E0DBA86290DD}" = lport=rpc-epmap | protocol=6 | dir=in | svc=rpcss | name=@firewallapi.dll,-28539 | 
"{7C928A95-AB5E-488F-B638-F99EFA93E08F}" = rport=5355 | protocol=17 | dir=out | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{845593BE-E713-415E-9BD1-6A46E1BB56A3}" = lport=10243 | protocol=6 | dir=in | app=system | 
"{86097F3C-C3A2-4B2C-A497-464FCE7ABE73}" = rport=2177 | protocol=17 | dir=out | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{8A1BE9C9-9123-4A47-B05F-7BA89120016D}" = lport=2177 | protocol=17 | dir=in | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{9B33FB07-3A85-4CCA-811B-3E4E0E7F46D7}" = rport=5355 | protocol=17 | dir=out | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{A6A52AED-B91C-4099-91CB-8B8515795BF6}" = rport=1900 | protocol=17 | dir=out | svc=ssdpsrv | app=%systemroot%\system32\svchost.exe | 
"{B9F6A166-AA4B-4F1D-B65F-453193C9B0B6}" = lport=5355 | protocol=17 | dir=in | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{CDBD7FAC-3DE2-44A8-AC06-CCA10B26D795}" = lport=6004 | protocol=17 | dir=in | app=c:\program files\microsoft office\office14\outlook.exe | 
"{D24A9EB2-2C5C-44AE-8A56-E9294EDE1384}" = lport=139 | protocol=6 | dir=in | app=system | 
"{D8CFEC6E-48C8-4B18-A6DD-E3F372C36CE6}" = lport=445 | protocol=6 | dir=in | app=system | 
"{DF3A2DB3-7DF0-4FED-945A-266C664D3245}" = lport=5355 | protocol=17 | dir=in | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{E1A7E111-7C31-4F0C-BCD7-64164FE3EEDB}" = lport=137 | protocol=17 | dir=in | app=system | 
"{E20C7936-DBE0-48FA-9475-3478FBB93CA5}" = lport=21112 | protocol=6 | dir=in | name=trend micro client/server security agent listener | 
"{E6F55E43-5AF4-4883-9D1A-174F43AFEC28}" = rport=445 | protocol=6 | dir=out | app=system | 
"{E7F0676F-8C6A-4714-B4BE-5F450C42FE73}" = rport=2177 | protocol=6 | dir=out | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{E9D3853D-5EA8-40E4-B9FA-E84A42792D57}" = rport=138 | protocol=17 | dir=out | app=system | 
"{EECB0A9E-B2C4-4C0B-8A6B-4E653DB246C0}" = rport=137 | protocol=17 | dir=out | app=system | 
"{F0F74B68-E9FC-44A1-90A6-B0A36B04255A}" = rport=10243 | protocol=6 | dir=out | app=system | 
"{F23B62EA-417E-43E4-843A-9DA72938591F}" = lport=61116 | protocol=6 | dir=in | name=trend micro client/server security agent - update | 
 
========== Vista Active Application Exception List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{392209CF-2EF5-4EC2-8F3C-BB0AFE2E6AA2}" = protocol=6 | dir=out | app=system | 
"{3DC054DF-1FA5-4E3A-8EBB-F3B53C06BA63}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{3ED1FFD8-47A4-4218-91F6-9902E7F8878F}" = dir=in | app=c:\program files\cyberlink\powerdvd9\powerdvd9.exe | 
"{40083FB0-41EE-4181-9B99-44A2586C4C5F}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmplayer.exe | 
"{48621EE2-71A7-4D36-8ADB-D203921D5D0F}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{4D3FEFD5-A815-43F4-A0B2-A806AEE23A5D}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{50AEECDE-016D-42A1-B2A0-7BA3824B21C9}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{54302F7F-08A9-41F7-8D93-6AC853D7617A}" = protocol=6 | dir=out | svc=upnphost | app=%systemroot%\system32\svchost.exe | 
"{54D5C06D-3511-47EB-BD79-9AAB2A1AC1F4}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{668E3B07-7755-4297-92A7-012F671EBE32}" = protocol=6 | dir=in | app=c:\program files\teamviewer\version6\teamviewer.exe | 
"{6DFBAF9E-D91D-46BB-AF12-4FB8A4E62FAC}" = dir=in | app=c:\program files\cyberlink\powerdvd9\powerdvd cinema\powerdvdcinema.exe | 
"{719B6A00-6D22-4F4F-A269-CAD256016F1F}" = protocol=58 | dir=in | name=@firewallapi.dll,-28545 | 
"{94055CDC-E127-436D-94EF-68E8AD1D35B0}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{97E65392-E4EB-4A0F-8FB8-CBCD8C901FB6}" = protocol=17 | dir=in | app=c:\program files\teamviewer\version6\teamviewer_service.exe | 
"{985DA749-B930-4018-AC80-F0C49B9A40DD}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{9F8AD25F-BC53-4E6C-BE17-75481C8391D3}" = protocol=58 | dir=out | name=@firewallapi.dll,-28546 | 
"{A0855112-77A8-4DC0-9FAE-F3CF95DBF7D4}" = protocol=1 | dir=out | name=@firewallapi.dll,-28544 | 
"{A3CC8680-6AF3-4F99-B017-887AC1CEB561}" = protocol=17 | dir=in | app=c:\program files\microsoft office\office12\onenote.exe | 
"{B5199AD5-2776-4C72-8B53-3F5B4A54CE2E}" = protocol=17 | dir=in | app=c:\program files\teamviewer\version6\teamviewer.exe | 
"{D68C7514-9865-4B5D-9476-9793E1975730}" = protocol=6 | dir=in | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{E22060DB-7307-4550-A310-05571AC98E19}" = protocol=6 | dir=in | app=c:\program files\microsoft office\office12\onenote.exe | 
"{E8DF906E-7EE2-4A8B-AB6A-2EB6076F8880}" = protocol=1 | dir=in | name=@firewallapi.dll,-28543 | 
"{EBFDDD5D-8530-40B5-B000-22FC535CCB9F}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmplayer.exe | 
"{EFE1A9B8-0F17-48AA-BD14-E8D32CD888B8}" = protocol=6 | dir=in | app=c:\program files\teamviewer\version6\teamviewer_service.exe | 
"TCP Query User{473A9091-AFB3-4EA1-9AFE-B26D1CF7AD13}C:\levelnine\program\levelninepkv.exe" = protocol=6 | dir=in | app=c:\levelnine\program\levelninepkv.exe | 
"TCP Query User{F93D3B1E-DE88-415D-9AFD-6C07024BA7B8}C:\levelnine\program\levelninepkv.exe" = protocol=6 | dir=in | app=c:\levelnine\program\levelninepkv.exe | 
"UDP Query User{3DAD185C-BDCA-465F-BD97-8C0BEDC79D5C}C:\levelnine\program\levelninepkv.exe" = protocol=17 | dir=in | app=c:\levelnine\program\levelninepkv.exe | 
"UDP Query User{BC55E224-BB76-40FA-BE7C-DC7FB46067DF}C:\levelnine\program\levelninepkv.exe" = protocol=17 | dir=in | app=c:\levelnine\program\levelninepkv.exe | 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{0125D081-30D0-4A97-82A8-C28D444B6256}" = Microsoft SQL Server Compact 3.5 SP2 DEU
"{015B4EA0-692D-44E6-AD08-1408ABE66E4D}" = NETTO2012
"{07D618CD-B016-438A-ADC9-A75BD23F85CE}" = Wave Support Software Installer
"{0A0CADCF-78DA-33C4-A350-CD51849B9702}" = Microsoft .NET Framework 4 Extended
"{0B0A2153-58A6-4244-B458-25EDF5FCD809}" = Private Information Manager
"{0C3736A1-D934-4CC0-9E6F-6FD77432A3DC}" = InterRisk WinRisk Smart-Client 4.9.0
"{0CB3B7EE-52C7-4136-AF40-605567D90318}" = O2Micro Flash Memory Card Windows Driver
"{0CCAF47C-E428-48C2-82B2-5F25CE1D67DA}" = Gemalto
"{1199FAD5-9546-44f3-81CF-FFDB8040B7BF}_Canon_MX850_series" = Canon MX850 series
"{18455581-E099-4BA8-BC6B-F34B2F06600C}" = Google Toolbar for Internet Explorer
"{2318C2B1-4965-11d4-9B18-009027A5CD4F}" = Google Toolbar for Internet Explorer
"{26A24AE4-039D-4CA4-87B4-2F83216032FF}" = Java(TM) 6 Update 32
"{294EAADF-E50F-4DD8-AD8D-19587EA10512}" = Modem Diagnostic Tool
"{2C43790E-8470-1027-82D3-DF319F3C410F}" = Intel(R) Identity Protection Technology 1.0.71.0
"{2E5E31A8-5469-4D96-962D-C294D2F7DA45}" = Broker Pool Environment
"{2EECD5EF-5095-467C-B80C-4AB3096EFD60}" = SPBA 5.9
"{3138EAD3-700B-4A10-B617-B3F8096EE30D}" = Dell Edoc Viewer
"{3250260C-7A95-4632-893B-89657EB5545B}" = PhotoShowExpress
"{3A6BE9F4-5FC8-44BB-BE7B-32A29607FEF6}" = Preboot Manager
"{3C3901C5-3455-3E0A-A214-0B093A5070A6}" = Microsoft .NET Framework 4 Client Profile
"{3F92ABBB-6BBF-11D5-B229-002078017FBF}" = Netwaiting
"{436E0B79-2CFB-4E5F-9380-E17C1B25D0C5}" = WIDCOMM Bluetooth Software
"{43CFE88C-A97B-4875-9BCC-E93EC0EEEEA4}" = Dell System Manager
"{4688EB75-28E2-4731-9BCB-55E624F7CD45}" = Dell Backup and Recovery Manager
"{47FA2C44-D148-4DBC-AF60-B91934AA4842}" = Adobe AIR
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4E4E65EE-C456-45AC-B5AD-C62C3A325BD0}" = Dell Data Protection | Access | Drivers
"{4E60E212-3177-4B16-BCB3-616CCC52357D}" = Upek Touchchip Fingerprint Reader
"{50ACF4F1-D38A-4DCE-8147-0F574CDEF45B}" = Citrix Online Plug-in (USB)
"{51C7AD07-C3F6-4635-8E8A-231306D810FE}" = Cisco LEAP Module
"{560DCF39-61D1-43B0-86DA-5EFF8F7A5144}" = AuthenTec Fingerprint Software
"{5A06423A-210C-49FB-950E-CB0EB8C5CEC7}" = Roxio BackOnTrack
"{60B2315F-680F-4EB3-B8DD-CCDC86A7CCAB}" = Roxio File Backup
"{619387A7-F174-457C-9A4F-AB68D928D1A2}" = funkwerk Eumex 401 WIN-Tools V2.00
"{64973F6A-8754-43D1-BDD0-FC6F0546347B}" = Broadcom NetXtreme-I Netlink Driver and Management Installer
"{64BF0187-F3D2-498B-99EA-163AF9AE6EC9}" = Cisco EAP-FAST Module
"{65153EA5-8B6E-43B6-857B-C6E4FC25798A}" = Intel(R) Management Engine Components
"{6675CA7F-E51B-4F6A-99D4-F8F0124C6EAA}" = Roxio Express Labeler 3
"{66B4C110-8BEB-49B5-824E-C70AEEB20ECD}" = ScanSoft OmniPage SE 4
"{6AC87FB3-ACFC-4416-890C-8976D5A9B371}" = Trusted Drive Manager
"{6F0BBEFE-BE1C-419B-BA1F-D36C9E7915BC}" = Roxio Creator Starter
"{710f4c1c-cc18-4c49-8cbf-51240c89a1a2}" = Microsoft Visual C++ 2005 Redistributable
"{7206B668-FEE0-455B-BB1F-9B5A2E0EC94A}" = Custom
"{735DEB9C-61BD-4D31-994B-92395BBB4E45}" = Microsoft XML Parser
"{75E0B85A-085F-4BA3-B2BF-1995AFD8024D}" = NTRU TCG Software Stack
"{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
"{7746BFAA-2B5D-4FFD-A0E8-4558F4668105}" = Roxio Burn
"{77FDE44F-3564-4E90-B054-68D1A00FEB6D}" = O2Micro OZ776 SCR Driver
"{83802dac-c2ed-4c4f-83ae-e814371c6165}_is1" = Der Broker Pool
"{841CBDD5-4BB5-403E-AEE3-2FADC3890BE8}" = Dell Data Protection | Access | Middleware
"{87434D51-51DB-4109-B68F-A829ECDCF380}" = AccelerometerP11
"{8B871377-E4B0-4C39-BB98-EEBE84471911}" = Crystal Reports Basic Runtime German Language Pack for Visual Studio 2008
"{90120000-0016-0407-0000-0000000FF1CE}" = Microsoft Office Excel MUI (German) 2007
"{90120000-0016-0407-0000-0000000FF1CE}_HOMESTUDENTR_{DB2ACBD1-65B1-4FC5-881E-4E75C668E7E2}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{90120000-0018-0407-0000-0000000FF1CE}" = Microsoft Office PowerPoint MUI (German) 2007
"{90120000-0018-0407-0000-0000000FF1CE}_HOMESTUDENTR_{DB2ACBD1-65B1-4FC5-881E-4E75C668E7E2}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{90120000-001B-0407-0000-0000000FF1CE}" = Microsoft Office Word MUI (German) 2007
"{90120000-001B-0407-0000-0000000FF1CE}_HOMESTUDENTR_{DB2ACBD1-65B1-4FC5-881E-4E75C668E7E2}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{90120000-001F-0407-0000-0000000FF1CE}" = Microsoft Office Proof (German) 2007
"{90120000-001F-0407-0000-0000000FF1CE}_HOMESTUDENTR_{928D7B99-2BEA-49F9-83B8-20FA57860643}" = Microsoft Office Proofing Tools 2007 Service Pack 3 (SP3)
"{90120000-001F-0409-0000-0000000FF1CE}" = Microsoft Office Proof (English) 2007
"{90120000-001F-0409-0000-0000000FF1CE}_HOMESTUDENTR_{1FF96026-A04A-4C3E-B50A-BB7022654D0F}" = Microsoft Office Proofing Tools 2007 Service Pack 3 (SP3)
"{90120000-001F-040C-0000-0000000FF1CE}" = Microsoft Office Proof (French) 2007
"{90120000-001F-040C-0000-0000000FF1CE}_HOMESTUDENTR_{71F055E8-E2C6-4214-BB3D-BFE03561B89E}" = Microsoft Office Proofing Tools 2007 Service Pack 3 (SP3)
"{90120000-001F-0410-0000-0000000FF1CE}" = Microsoft Office Proof (Italian) 2007
"{90120000-001F-0410-0000-0000000FF1CE}_HOMESTUDENTR_{A23BFC95-4A73-410F-9248-4C2B48E38C49}" = Microsoft Office Proofing Tools 2007 Service Pack 3 (SP3)
"{90120000-002C-0407-0000-0000000FF1CE}" = Microsoft Office Proofing (German) 2007
"{90120000-006E-0407-0000-0000000FF1CE}" = Microsoft Office Shared MUI (German) 2007
"{90120000-006E-0407-0000-0000000FF1CE}_HOMESTUDENTR_{A6353E8F-5B8D-47CC-8737-DFF032ED3973}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{90120000-00A1-0407-0000-0000000FF1CE}" = Microsoft Office OneNote MUI (German) 2007
"{90120000-00A1-0407-0000-0000000FF1CE}_HOMESTUDENTR_{DB2ACBD1-65B1-4FC5-881E-4E75C668E7E2}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{90140000-001A-0000-0000-0000000FF1CE}" = Microsoft Office Outlook 2010
"{90140000-001A-0000-0000-0000000FF1CE}_Office14.OUTLOOK_{047B0968-E622-4FAA-9B4B-121FA109EDDE}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-001A-0000-0000-0000000FF1CE}_Office14.OUTLOOK_{C7A1C288-1E35-4272-84AA-77AC63C088A1}" = 
"{90140000-001A-0407-0000-0000000FF1CE}" = Microsoft Office Outlook MUI (German) 2010
"{90140000-001A-0407-0000-0000000FF1CE}_Office14.OUTLOOK_{69E54534-4569-4639-89E9-305B60A11601}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-001F-0407-0000-0000000FF1CE}" = Microsoft Office Proof (German) 2010
"{90140000-001F-0407-0000-0000000FF1CE}_Office14.OUTLOOK_{65A2328E-FDFB-4CA3-8582-357EA6825FEA}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-001F-0409-0000-0000000FF1CE}" = Microsoft Office Proof (English) 2010
"{90140000-001F-0409-0000-0000000FF1CE}_Office14.OUTLOOK_{99ACCA38-6DD3-48A8-96AE-A283C9759279}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-001F-040C-0000-0000000FF1CE}" = Microsoft Office Proof (French) 2010
"{90140000-001F-040C-0000-0000000FF1CE}_Office14.OUTLOOK_{46298F6A-1E7E-4D4A-B5F5-106A4F0E48C6}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-001F-0410-0000-0000000FF1CE}" = Microsoft Office Proof (Italian) 2010
"{90140000-001F-0410-0000-0000000FF1CE}_Office14.OUTLOOK_{C0743197-FFEE-4C19-BAEB-8F7437DC4C8A}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-002C-0407-0000-0000000FF1CE}" = Microsoft Office Proofing (German) 2010
"{90140000-002C-0407-0000-0000000FF1CE}_Office14.OUTLOOK_{4275FB46-ABDF-4456-876C-17CF64294D9A}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-006E-0407-0000-0000000FF1CE}" = Microsoft Office Shared MUI (German) 2010
"{90140000-006E-0407-0000-0000000FF1CE}_Office14.OUTLOOK_{98EDFD9F-EA76-40CC-BCE9-92C69413F65B}" = Microsoft Office 2010 Service Pack 1 (SP1)
"{90140000-2005-0000-0000-0000000FF1CE}" = Microsoft Office File Validation Add-In
"{91120000-002F-0000-0000-0000000FF1CE}" = Microsoft Office Home and Student 2007
"{91120000-002F-0000-0000-0000000FF1CE}_HOMESTUDENTR_{6E107EB7-8B55-48BF-ACCB-199F86A2CD93}" = Microsoft Office 2007 Service Pack 3 (SP3)
"{942E5031-2BD6-4C1B-918C-C8A1CBAE7B8C}" = Microsoft IntelliPoint 8.2
"{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting
"{99CBA603-937D-4058-806F-7A9AF711A1AA}" = Eumex RNDIS Driver V1.00
"{9A00EC4E-27E1-42C4-98DD-662F32AC8870}" = Sonic CinePlayer Decoder Pack
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{9DAED4FC-2B0E-4F3F-8141-F2ABF02CCFCB}" = BioAPI Framework
"{9F72EF8B-AEC9-4CA5-B483-143980AFD6FD}" = Dell Touchpad
"{A121EEDE-C68F-461D-91AA-D48BA226AF1C}" = Roxio Activation Module
"{A32F592F-AA0E-49AF-8E85-A0A25AF83314}" = Wave Infrastructure Installer
"{A73FEB3E-22A7-4507-D8EC-119EE98824B9}" = DAF Desk
"{A7D91856-258D-4C87-8041-B170851CE432}" = Dell Data Protection | Access
"{A8516AC9-AAF1-47F9-9766-03E2D4CDBCF8}" = CyberLink PowerDVD 9.5
"{ABBA2EA4-740E-4052-902B-9CA70B081E3F}" = Dell Data Protection | Access
"{AC76BA86-7AD7-1031-7B44-AA1000000001}" = Adobe Reader X (10.1.3) - Deutsch
"{AF9E97C1-7431-426D-A8D5-ABE40995C0B1}" = DirectX 9 Runtime
"{B124E6D3-91B4-4E3C-AD03-BA959B223537}" = Citrix Online Plug-in (Web)
"{BD3068DE-D53B-4CE8-B2BC-32E1323441CD}" = PC-CCID
"{C20B2271-69D4-11D4-A951-08005AD260A8}" = VOLKSWOHL BUND - Angebotsprogramm Komfort
"{CE26F10F-C80F-4377-908B-1B7882AE2CE3}" = Crystal Reports Basic Runtime for Visual Studio 2008
"{D08A30AC-A663-4EA8-8D81-B98E17F19F1C}_is1" = ISO to USB version 1.0
"{D2D6B9EB-C6DC-4DAA-B4DE-BB7D9735E7DA}" = Presto! PageManager 7.15.20
"{D899C197-F8C1-4773-9EC4-6C1FBADB9B29}" = Citrix Online Plug-in (HDX)
"{D8D4ED7E-954C-449D-B21D-6F97036DF0E9}" = Citrix Online Plug-in (DV)
"{E0333A93-11A6-4F87-B497-D3C5AABDDA6A}" = funkwerk Eumex 401 CAPI V1.00
"{E646DCF0-5A68-11D5-B229-002078017FBF}" = Digital Line Detect
"{ED5776D5-59B4-46B7-AF81-5F2D94D7C640}" = Cisco PEAP Module
"{EEAFE1E5-076B-430A-96D9-B567792AFA88}" = EMBASSY Security Center
"{EF56258E-0326-48C5-A86C-3BAC26FC15DF}" = Roxio Creator Starter
"{F06B5C4C-8D2E-4B24-9D43-7A45EEC6C878}" = Roxio Creator Starter
"{F0E3AD40-2BBD-4360-9C76-B9AC9A5886EA}" = Intel(R) Processor Graphics
"{F40BBEC7-C2A4-4A00-9B24-7A055A2C5262}" = Microsoft Office Live Add-in 1.5
"{F839C6BD-E92E-48FA-9CE6-7BFAF94F7096}" = DellAccess
"{FF66E9F6-83E7-3A3E-AF14-8DE9A809A6A4}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
"0729-7432-3431-3138" = Levelnine 1.0.0
"7-Zip" = 7-Zip 9.20
"9512AA21B791B05A54E27065C45BBC417AB282DF" = Windows-Treiberpaket - Dell Inc. PBADRV System  (09/11/2009 1.0.1.6)
"Adobe AIR" = Adobe AIR
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"Avira AntiVir Desktop" = Avira AntiVir Personal - Free Antivirus
"BootDisk2BootStick" = BootDisk2BootStick 0.12
"Canon MX850 series Benutzerregistrierung" = Canon MX850 series Benutzerregistrierung
"Canon_IJ_Network_Scan_UTILITY" = Canon IJ Network Scan Utility
"Canon_IJ_Network_UTILITY" = Canon IJ Network Tool
"CANONIJPLM100" = PIXMA Extended Survey Program
"CanonMyPrinter" = Canon My Printer
"CanonSolutionMenu" = Canon Utilities Solution Menu
"CitrixOnlinePluginPackWeb" = Citrix Online Plug-in - Web
"CONDOR Angebotssystem" = CONDOR Angebotssystem
"D3F88C3864C8C031A7C5D5E63A76571EC1B047DF" = Windows-Treiberpaket - AuthenTec Inc. (ATSwpWDF) Biometric  (05/13/2009 8.4.2.0)
"de.anleger-fernsehen.dafdesk.C1051E74B3FAE4202E494B14ADD69FC8A349CD49.1" = DAF Desk
"Dell Webcam Central" = Dell Webcam Central
"DW WLAN Card Utility" = DW WLAN Card Utility
"Easy-PhotoPrint EX" = Canon Utilities Easy-PhotoPrint EX
"ESET Online Scanner" = ESET Online Scanner v3
"F5 Networks Client Components" = BIG-IP Edge Client Components (All Users)
"HOMESTUDENTR" = Microsoft Office Home and Student 2007
"I.W.M - FinanzOffice" = I.W.M - FinanzOffice
"ImgBurn" = ImgBurn
"InstallShield_{0CB3B7EE-52C7-4136-AF40-605567D90318}" = O2Micro Flash Memory Card Windows Driver
"InstallShield_{619387A7-F174-457C-9A4F-AB68D928D1A2}" = funkwerk Eumex 401 WIN-Tools V2.00
"InstallShield_{77FDE44F-3564-4E90-B054-68D1A00FEB6D}" = O2Micro OZ776 SCR Driver
"InstallShield_{A8516AC9-AAF1-47F9-9766-03E2D4CDBCF8}" = CyberLink PowerDVD 9.5
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware Version 1.61.0.1400
"McAfee Security Scan" = McAfee Security Scan Plus
"MediaNavigation.CDLabelPrint" = CD-LabelPrint
"Microsoft .NET Framework 4 Client Profile" = Microsoft .NET Framework 4 Client Profile
"Microsoft .NET Framework 4 Extended" = Microsoft .NET Framework 4 Extended
"Microsoft IntelliPoint 8.2" = Microsoft IntelliPoint 8.2
"Mozilla Firefox 11.0 (x86 de)" = Mozilla Firefox 11.0 (x86 de)
"MP Navigator EX 1.1" = Canon MP Navigator EX 1.1
"Office14.OUTLOOK" = Microsoft Outlook 2010
"pdfFactory Pro" = pdfFactory Pro
"Picasa 3" = Picasa 3
"Softonic" = Softonic toolbar  on IE and Chrome
"Swiss Life EVA" = Swiss Life EVA
"TeamViewer 6" = TeamViewer 6
"XPS-Rentenplaner" = XPS-Rentenplaner
"XPS-Verwaltungssystem" = XPS-Verwaltungssystem
 
========== HKEY_CURRENT_USER Uninstall List ==========
 
[HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"6a834eaf993ff155" = BCA.BrokerPool.Presentation.SmartClient
"Google Chrome" = Google Chrome
 
========== Last 10 Event Log Errors ==========
 
[ Application Events ]
Error - 14.05.2012 02:52:04 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 14.05.2012 02:52:04 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 14.05.2012 03:25:26 | Computer Name = ***-PC | Source = Customer Experience Improvement Program | ID = 1008
Description = 
 
Error - 14.05.2012 10:11:17 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 14.05.2012 10:11:17 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 14.05.2012 14:36:32 | Computer Name = ***-PC | Source = Customer Experience Improvement Program | ID = 1008
Description = 
 
Error - 14.05.2012 15:16:39 | Computer Name = ***-PC | Source = Customer Experience Improvement Program | ID = 1008
Description = 
 
Error - 15.05.2012 03:03:58 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 15.05.2012 03:03:58 | Computer Name = ***-PC | Source = Microsoft-Windows-CAPI2 | ID = 4107
Description = Fehler beim Extrahieren der Drittanbieterstammliste aus der automatischen
 Aktualisierungs-CAB-Datei bei <hxxp://www.download.windowsupdate.com/msdownload/update/v3/static/trustedr/en/authrootstl.cab>.
 Fehler: Ein erforderliches Zertifikat befindet sich nicht im Gültigkeitszeitraum
 gemessen an der aktuellen Systemzeit oder dem Zeitstempel in der signierten Datei.
.
 
Error - 15.05.2012 03:30:47 | Computer Name = ***-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: ctfmon.exe, Version: 6.1.7600.16385,
 Zeitstempel: 0x4a5bc292  Name des fehlerhaften Moduls: ntdll.dll, Version: 6.1.7601.17725,
 Zeitstempel: 0x4ec49b60  Ausnahmecode: 0xc00000fd  Fehleroffset: 0x0005cda1  ID des fehlerhaften
 Prozesses: 0x1504  Startzeit der fehlerhaften Anwendung: 0x01cd326a624c1b9a  Pfad der
 fehlerhaften Anwendung: C:\Windows\system32\ctfmon.exe  Pfad des fehlerhaften Moduls:
 C:\Windows\SYSTEM32\ntdll.dll  Berichtskennung: e32c406d-9e5f-11e1-8027-90004eefa67b
 
[ Broadcom Wireless LAN Events ]
Error - 16.05.2012 02:34:27 | Computer Name = ***-PC | Source = WLAN-Tray | ID = 0
Description = 08:34:26, Wed, May 16, 12 Error - (WLTRAY.EXE-3076)  Unable to start
 peernet session, mainframe not available after 200 iterations 
 
Error - 16.05.2012 02:34:27 | Computer Name = ***-PC | Source = WLAN-Tray | ID = 0
Description = 08:34:27, Wed, May 16, 12 Error - Unable to initialize peernet library
 
 
[ System Events ]
Error - 16.05.2012 13:18:41 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 07:18:31 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 07:19:42 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7009
Description = Das Zeitlimit (30000 ms) wurde beim Verbindungsversuch mit dem Dienst
 SSDP-Suche erreicht.
 
Error - 17.05.2012 07:19:42 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7000
Description = Der Dienst "SSDP-Suche" wurde aufgrund folgenden Fehlers nicht gestartet:
   %%1053
 
Error - 17.05.2012 15:26:02 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 16:28:07 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 17:12:30 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 17:25:24 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 19:43:29 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
Error - 17.05.2012 20:14:26 | Computer Name = ***-PC | Source = Service Control Manager | ID = 7001
Description = Der Dienst "NTRU TSS v1.2.1.34 TCS" ist vom Dienst "TPM-Basisdienste"
 abhängig, der aufgrund folgenden Fehlers nicht gestartet wurde:   %%0
 
 
< End of report >

--- --- ---

2. Malwarebyes

mbam...

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org
 
Datenbank Version: v2012.05.15.04
 
Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
*** :: ***-PC [Administrator]
 
Schutz: Aktiviert
 
15.05.2012 18:00:34
mbam-log-2012-05-15 (18-00-34).txt
 
Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 197192
Laufzeit: 8 Minute(n), 54 Sekunde(n)
 
Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Dateien: 2
C:\Users\***\AppData\Local\Temp\rwprppfbam.pre (Trojan.Agent.H) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\***\AppData\Local\Temp\rfprifmyxl.pre (Trojan.Agent.H) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 
(Ende)

3. Avira

Code:

ATTFilter

The file 'C:\Users\***\Downloads\Rechnung2012.zip'
contained a virus or unwanted program 'TR/Crypt.Gypikon.D.1' [trojan]
 
The file 'C:\_Alte Festplatte\Users\***\AppData\Local\Temp\jar_cache8392787193921432905.tmp'
contained a virus or unwanted program 'EXP/Java.O' [exploit]

4. ESET Online Scanner

Keine Funde!

Mein Problem sind nach wie vor die Dateien, ich kann sie nicht mehr öffnen, der Trojaner muss sie irgendwie verändert haben. Ich hänge mal ein Beispiel an, zwei Fotos, ein Original (funktioniert) und das vom Trojaner veränderte (funktioniert nicht). Jemand eine Idee, wie ich dieses Bild (und hunderte andere) wieder reparieren kann?

https://www.dropbox.com/s/nuw06zblim6rvi6/Bilder.zip

Danke!

Anhang entfernt //cosinus

cosinus · 19.05.2012, 12:36

Zitat:

Angehängte Dateien
Dateityp: zip Rechnung2012.zip (34,8 KB, 4x aufgerufen)

Du kannst doch hier nicht einfach Schädlinge öffentlich in den Anhang packen! Willst du, dass sich jmd damit auch sein System infiziert!

Hab das mal entfernt

Bitte routinemäßig einen Vollscan mit Malwarebytes machen und Log posten. =>ALLE lokalen Datenträger (außer CD/DVD) überprüfen lassen!
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss! Außerdem müssen alle Funde entfernt werden.

Falls Logs aus älteren Scans mit Malwarebytes vorhanden sind, bitte auch davon alle posten!

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

chapuisat · 19.05.2012, 12:55

Hallo cosinus,

danke für Dein Feedback. Die Datei habe ich angehängt, weil ich dachte, damit könne man schneller den Verursacher identifizieren. Sorry, kommt nicht wieder vor.

Ich möchte nicht unhöflich klingen, aber den Vollscan mit Malwarebytes und ESET habe ich bereits durchgeführt. Teilweise auch mehrfach. Die Logs habe ich auch oben angehängt, auch als Code. Zudem habe ich Scans mit Avira und OTL gemacht. Alles ist sauber aufgelistet. Die Funde sind bekannt und gelistet.

Ich habe in der Zwischenzeit das System neu aufgesetzt. Ich habe alle wichtigen Daten vorher gesichert, damit ich sie langsam wieder entschlüsseln kann. Das ist aber aktuell mein Problem, ich habe noch keine Methode gefunden, diese Daten zu entschlüsseln. Habe in der Zwischenzeit alle 7 Tools hier ausprobiert und leider kein Erfolg. Zwei Beispieldateien habe ich oben auf meinem Dropboxaccount geladen.

Wie gesagt, das System ist frisch und sauber, es geht mir nur noch um die wichtigen Daten. Die brauche ich wieder! *heul*

Danke
chapuisat

cosinus · 19.05.2012, 13:29

Ok ESET hab ich übersehen, dass es keine Funde hatte, aber mit Malwarebytes hast du nur einen Quickscan gemacht - jedenfalls sehe ich nur ein Log davon

chapuisat · 19.05.2012, 14:22

OK, bei Malwarebytes hatte ich einige Scans durchgeführt: Hier der Vollscan am nächsten Tag:

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.61.0.1400
www.malwarebytes.org

Datenbank Version: v2012.05.16.05

Windows 7 Service Pack 1 x86 NTFS
Internet Explorer 9.0.8112.16421
*** :: ***-PC [Administrator]

Schutz: Aktiviert

16.05.2012 19:53:58
mbam-log-2012-05-16 (19-53-58).txt

Art des Suchlaufs: Vollständiger Suchlauf
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 446127
Laufzeit: 2 Stunde(n), 28 Minute(n), 33 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 1
C:\_Alte Festplatte\Program Files\AMEXGTNAFI\nafidk.exe (Trojan.Downloader) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)

Wie gesagt, das System ist jetzt sauber, es geht mir mehr, wie ich meine verschlüsselten Daten wieder herbekomme :-(

cosinus · 20.05.2012, 19:41

Zitat:

Wie gesagt, das System ist jetzt sauber,

Nein, es ist falsch anzunehmen, nur nach Malwarebytes und/oder nach dem Durchgang mit anderen Virenscanner sei das System sauber
Hast du auf Rootkits geprüft? Auch den MBR gecheckt? Nein? Dann kannst du auch nicht halbwegs sich sagen, das System sei sauber

Hast du noch weitere Logs von Malwarebytes mit Funden? Wenn ja einfach alles posten

chapuisat · 21.05.2012, 21:15

Nein, weitere Funde gibt es nicht, das ist wirklich alles. Das neues System läuft bisher sauber, vermute keine weiteren Schädlinge.

Ich konnte inzwischen ein paar einzelne Dateien wiederherstellen. Allerdings immer nur die, für die ich auch das passende Original gefunden habe. Mit dem generierten Schlüssel konnte ich das verschlüsselte Bild auch wieder entschlüsseln. Dieser Schlüssel passt aber nie für andere Dateien, da tappe ich nach wie vor im Dunkeln. Ich will ja eben die Dateien entschlüsseln, für die ich kein Original mehr finden kann.
Kann es sein, dass jede Datei mit einem anderen Schlüssel verschlüsselt wird? Hat es das schon gegeben?

Gruß
chapuisat

cosinus · 22.05.2012, 10:48

Zitat:

Nein, weitere Funde gibt es nicht, das ist wirklich alles. Das neues System läuft bisher sauber, vermute keine weiteren Schädlinge.

Vermuten ist gut, Kontrolle durch Logs besser (aber auch nicht perfekt)

Bevor man entschlüsselt, sollte man wirklich besser kontrollieren, ob der Schädling auch weg ist

Hätte da mal zwei Fragen bevor es weiter geht

1.) Geht der normale Modus uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

chapuisat · 23.05.2012, 21:09

Zitat:

Zitat von cosinus

1.) Geht der normale Modus uneingeschränkt?
2.) Vermisst du irgendwas im Startmenü? Sind da leere Ordner unter alle Programme oder ist alles vorhanden?

ad 1.) Ja.
ad 2.) Nein. Allerdings ist das System sowieso neu. Aber ich habe vorher auch nichts vermisst, bis auf meine Daten, die zum großen Teil verschlüsselt sind

Leider habe ich wohl die Variante des Trojaners, der jede Datei mit einem anderen Schlüssel verschlüsselt hatte. Einzelne Dateien lassen sich entschlüsseln, aber der generierte Schlüssel passt zu keiner anderen Datei. Leider.

cosinus · 23.05.2012, 21:33

Mach bitte ein neues OTL-Log. Bitte alles nach Möglichkeit hier in CODE-Tags posten.

Wird so gemacht:

[code] hier steht das Log [/code]

Und das ganze sieht dann so aus:

Code:

ATTFilter

 hier steht das Log

CustomScan mit OTL

Falls noch nicht vorhanden, lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop

Starte bitte die OTL.exe.
Vista und Win7 User mit Rechtsklick "als Administrator starten"
Setze oben mittig den Haken bei Scanne alle Benutzer
Kopiere nun den kompletten Inhalt aus der untenstehenden Codebox in die Textbox von OTL - wenn OTL auf deutsch ist wird sie mit beschriftet

Code:

ATTFilter

netsvcs
msconfig
safebootminimal
safebootnetwork
activex
drivers32
%ALLUSERSPROFILE%\Application Data\*.
%ALLUSERSPROFILE%\Application Data\*.exe /s
%APPDATA%\*.
%APPDATA%\*.exe /s
%SYSTEMDRIVE%\*.exe
/md5start
wininit.exe
userinit.exe
eventlog.dll
scecli.dll
netlogon.dll
cngaudit.dll
ws2ifsl.sys
sceclt.dll
ntelogon.dll
winlogon.exe
logevent.dll
user32.DLL
iaStor.sys
nvstor.sys
atapi.sys
IdeChnDr.sys
viasraid.sys
AGP440.sys
vaxscsi.sys
nvatabus.sys
viamraid.sys
nvata.sys
nvgts.sys
iastorv.sys
ViPrt.sys
eNetHook.dll
ahcix86.sys
KR10N.sys
nvstor32.sys
ahcix86s.sys
/md5stop
%systemroot%\system32\drivers\*.sys /lockedfiles
%systemroot%\System32\config\*.sav
%systemroot%\*. /mp /s
%systemroot%\system32\*.dll /lockedfiles
CREATERESTOREPOINT

Schliesse bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Quick Scan Button.
Klick auf .
Kopiere nun den Inhalt aus OTL.txt hier in Deinen Thread

19.05.2012, 13:29	#4
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	TR/Crypt.Gypikon.D.1 und Trojan.Agent.H nach Verschlüsselungstrojaner durch E-Mail Ok ESET hab ich übersehen, dass es keine Funde hatte, aber mit Malwarebytes hast du nur einen Quickscan gemacht - jedenfalls sehe ich nur ein Log davon __________________ Logfiles bitte immer in CODE-Tags posten

TR/Crypt.Gypikon.D.1 und Trojan.Agent.H nach Verschlüsselungstrojaner durch E-Mail

Log-Analyse und Auswertung: TR/Crypt.Gypikon.D.1 und Trojan.Agent.H nach Verschlüsselungstrojaner durch E-Mail