| |
| |||||||
Log-Analyse und Auswertung: Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-MahnungWindows 7 Wenn Du Dir einen Trojaner eingefangen hast oder ständig Viren Warnungen bekommst, kannst Du hier die Logs unserer Diagnose Tools zwecks Auswertung durch unsere Experten posten. Um Viren und Trojaner entfernen zu können, muss das infizierte System zuerst untersucht werden: Erste Schritte zur Hilfe. Beachte dass ein infiziertes System nicht vertrauenswürdig ist und bis zur vollständigen Entfernung der Malware nicht verwendet werden sollte.XML. |
 |
13.06.2012, 10:32
| #1 |
| |  Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung Hallo, gestern ists passiert...als ich noch nicht im Büro war, hat mein Mitarbeiter den zip-Anhang einer Email geöffnet, in der der angeblich offene Rechnungsbetrag für einen Toshiba Combo PX angemahnt wird, den wir natürlich weder bestellt noch erhalten haben... Danach erschien wohl das typische Fenster - wie in Eurem Hinweis - mit der Aufforderung einen Ukash zuschicken. Dahinter schwarzer Bildschirm und keinen Zugriff mehr auf den Taskmanager oder sonstige Tastaturbefehle, also hat er den Stecker gezogen. Als ich den Rechner dann wieder hochgefahren habe, wurde Windows normal gestartet, allerdings waren fast alle Dateien auf dem Desktop mit komischen Namen ohne Dateiendung versehen (z.B poAnqEAOJNugvGfsUGfX) und ließen sich nicht mehr öffnen, auch nicht nach Umbenennung in jpg oder pdf. Das Desktop-Symbol in der Schnellstartleiste war verschwunden und der Zugriff auf den Taskmanager war weder über Tastenkürzel noch über das Kontekt-Menü möglich. Auch das Journal von FritzFax ist verschwunden. Eine neu erstellte jpg-Datei konnte nicht geöffnet werden, mit der Meldung, dass kein Programm für jpe-Dateien (wirklich jpE, kein Schreibfehler) vorhanden wäre. Die Thunderbird-Profile sind wohl auch betroffen, da nach Aufruf des Programmes dieses ein neues Konto erstellen will. Hab mit Avira einen scan gemacht, weil sich Malwarebytes erst Mal aufgehängt hatte. Hier das Log-File: Code:
ATTFilter Avira Free Antivirus
Erstellungsdatum der Reportdatei: Dienstag, 12. Juni 2012 12:25
Es wird nach 3818226 Virenstämmen gesucht.
Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.
Lizenznehmer : Avira AntiVir Personal - Free Antivirus
Seriennummer : 0000149996-ADJIE-0000001
Plattform : Microsoft Windows XP
Windowsversion : (Service Pack 3) [5.1.2600]
Boot Modus : Normal gebootet
Benutzername : SYSTEM
Computername : NERO_ASSOLUTO
Versionsinformationen:
BUILD.DAT : 12.0.0.1125 41829 Bytes 02.05.2012 16:34:00
AVSCAN.EXE : 12.3.0.15 466896 Bytes 01.05.2012 22:48:48
AVSCAN.DLL : 12.3.0.15 66256 Bytes 02.05.2012 00:02:50
LUKE.DLL : 12.3.0.15 68304 Bytes 01.05.2012 23:31:47
AVSCPLR.DLL : 12.3.0.14 97032 Bytes 01.05.2012 22:13:36
AVREG.DLL : 12.3.0.17 232200 Bytes 12.06.2012 09:05:31
VBASE000.VDF : 7.10.0.0 19875328 Bytes 06.11.2009 18:18:34
VBASE001.VDF : 7.11.0.0 13342208 Bytes 14.12.2010 23:22:12
VBASE002.VDF : 7.11.19.170 14374912 Bytes 20.12.2011 23:31:36
VBASE003.VDF : 7.11.21.238 4472832 Bytes 01.02.2012 09:58:50
VBASE004.VDF : 7.11.26.44 4329472 Bytes 28.03.2012 10:43:53
VBASE005.VDF : 7.11.29.136 2166272 Bytes 10.05.2012 09:05:12
VBASE006.VDF : 7.11.29.137 2048 Bytes 10.05.2012 09:05:12
VBASE007.VDF : 7.11.29.138 2048 Bytes 10.05.2012 09:05:12
VBASE008.VDF : 7.11.29.139 2048 Bytes 10.05.2012 09:05:12
VBASE009.VDF : 7.11.29.140 2048 Bytes 10.05.2012 09:05:12
VBASE010.VDF : 7.11.29.141 2048 Bytes 10.05.2012 09:05:13
VBASE011.VDF : 7.11.29.142 2048 Bytes 10.05.2012 09:05:13
VBASE012.VDF : 7.11.29.143 2048 Bytes 10.05.2012 09:05:13
VBASE013.VDF : 7.11.29.144 2048 Bytes 10.05.2012 09:05:13
VBASE014.VDF : 7.11.30.3 198144 Bytes 14.05.2012 09:05:13
VBASE015.VDF : 7.11.30.69 186368 Bytes 17.05.2012 09:05:14
VBASE016.VDF : 7.11.30.143 223744 Bytes 21.05.2012 09:05:15
VBASE017.VDF : 7.11.30.207 287744 Bytes 23.05.2012 09:05:16
VBASE018.VDF : 7.11.31.57 188416 Bytes 28.05.2012 09:05:17
VBASE019.VDF : 7.11.31.111 214528 Bytes 30.05.2012 09:05:18
VBASE020.VDF : 7.11.31.151 116736 Bytes 31.05.2012 09:05:18
VBASE021.VDF : 7.11.31.205 134144 Bytes 03.06.2012 09:05:18
VBASE022.VDF : 7.11.32.9 169472 Bytes 05.06.2012 09:05:19
VBASE023.VDF : 7.11.32.85 155648 Bytes 08.06.2012 09:05:19
VBASE024.VDF : 7.11.32.133 127488 Bytes 11.06.2012 09:05:20
VBASE025.VDF : 7.11.32.134 2048 Bytes 11.06.2012 09:05:20
VBASE026.VDF : 7.11.32.135 2048 Bytes 11.06.2012 09:05:20
VBASE027.VDF : 7.11.32.136 2048 Bytes 11.06.2012 09:05:20
VBASE028.VDF : 7.11.32.137 2048 Bytes 11.06.2012 09:05:20
VBASE029.VDF : 7.11.32.138 2048 Bytes 11.06.2012 09:05:20
VBASE030.VDF : 7.11.32.139 2048 Bytes 11.06.2012 09:05:20
VBASE031.VDF : 7.11.32.150 6144 Bytes 12.06.2012 09:05:20
Engineversion : 8.2.10.80
AEVDF.DLL : 8.1.2.8 106867 Bytes 12.06.2012 09:05:30
AESCRIPT.DLL : 8.1.4.24 450939 Bytes 12.06.2012 09:05:30
AESCN.DLL : 8.1.8.2 131444 Bytes 16.02.2012 16:11:36
AESBX.DLL : 8.2.5.10 606580 Bytes 12.06.2012 09:05:31
AERDL.DLL : 8.1.9.15 639348 Bytes 20.01.2012 23:21:32
AEPACK.DLL : 8.2.16.16 807288 Bytes 12.06.2012 09:05:29
AEOFFICE.DLL : 8.1.2.28 201082 Bytes 26.04.2012 16:41:32
AEHEUR.DLL : 8.1.4.36 4874615 Bytes 12.06.2012 09:05:28
AEHELP.DLL : 8.1.21.0 254326 Bytes 12.06.2012 09:05:22
AEGEN.DLL : 8.1.5.28 422260 Bytes 26.04.2012 16:41:31
AEEXP.DLL : 8.1.0.44 82293 Bytes 12.06.2012 09:05:31
AEEMU.DLL : 8.1.3.0 393589 Bytes 20.01.2012 23:21:29
AECORE.DLL : 8.1.25.10 201080 Bytes 12.06.2012 09:05:22
AEBB.DLL : 8.1.1.0 53618 Bytes 20.01.2012 23:21:28
AVWINLL.DLL : 12.3.0.15 27344 Bytes 01.05.2012 22:59:21
AVPREF.DLL : 12.3.0.15 51920 Bytes 01.05.2012 22:44:31
AVREP.DLL : 12.3.0.15 179208 Bytes 01.05.2012 22:13:35
AVARKT.DLL : 12.3.0.15 211408 Bytes 01.05.2012 22:21:32
AVEVTLOG.DLL : 12.3.0.15 169168 Bytes 01.05.2012 22:28:49
SQLITE3.DLL : 3.7.0.1 398288 Bytes 16.04.2012 21:11:02
AVSMTP.DLL : 12.3.0.15 63440 Bytes 01.05.2012 22:51:35
NETNT.DLL : 12.3.0.15 17104 Bytes 01.05.2012 23:33:29
RCIMAGE.DLL : 12.3.0.15 4447952 Bytes 02.05.2012 00:03:51
RCTEXT.DLL : 12.3.0.15 98512 Bytes 02.05.2012 00:03:51
Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:,
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert
Abweichende Gefahrenkategorien........: +APPL,+GAME,+JOKE,+PCK,+PFS,+SPR,
Beginn des Suchlaufs: Dienstag, 12. Juni 2012 12:25
Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
[INFO] Es wurde kein Virus gefunden!
Der Suchlauf nach versteckten Objekten wird begonnen.
Eine Instanz der ARK Library läuft bereits.
Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'avscan.exe' - '65' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '51' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'fbserver.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '62' Modul(e) wurden durchsucht
Durchsuche Prozess 'LxUpdateManager.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvnserver.exe' - '25' Modul(e) wurden durchsucht
Durchsuche Prozess 'SpyProtector.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '94' Modul(e) wurden durchsucht
Durchsuche Prozess 'wdfmgr.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvnserver.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlwriter.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlbrowser.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'HPZipm12.exe' - '18' Modul(e) wurden durchsucht
Durchsuche Prozess 'nwtsrv.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '64' Modul(e) wurden durchsucht
Durchsuche Prozess 'sqlservr.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'msftesql.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'mbamservice.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'LSSrvc.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '96' Modul(e) wurden durchsucht
Durchsuche Prozess 'IGDCTRL.EXE' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'fbguard.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'clipsrv.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'certsrv.exe' - '20' Modul(e) wurden durchsucht
Durchsuche Prozess 'avmike.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'WlanNetService.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '63' Modul(e) wurden durchsucht
Durchsuche Prozess 'netdde.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '78' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '160' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '42' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '54' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '80' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '12' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht
Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
C:\Programme\KaReNa fuer Excel 2009\karena-UDT.exe
[WARNUNG] Der Archivheader ist defekt
Die Registry wurde durchsucht ( '4746' Dateien ).
Der Suchlauf über die ausgewählten Dateien wird begonnen:
Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Adobe\Acrobat\10.0\XoasplasVxdtfx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\OpenOffice.org\3\user\config\VOdsfGUseXlaeXnjEyn
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\axXeTDXeTDXejny
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\DpsTlpsTDXojnyEj
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\esDXealpsTDXqoj
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\GVsUGValpealps
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\JNuOJNuOJNuxfsdxfsUG
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\QOJNugJsUxfsdxfsUsTDX
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\xfsDXealpealXyojn
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak\RegClean Pro\Version 6.1\Partial Backups\xfsUGfsUeaDXeaDXean
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\afXsaDXeAnqEjLvrQ
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\AoyLAoqnjEJOurvO
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\dalXealALyoALvN
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\EqnjrJOuNvOuNvsfGd
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\eTDjLyEAnuOvNQOdGftU
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\eXDqOurJOuNdsf
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\EXLyojnqNugvruG
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\ftUxVsealXeToALqoA
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\gAruOvNQtUGftUalXsaDj
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\gJrugUGVtdGealpsaEjLy
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\JoQOJNugdxfsUx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\JrQOJxVtdxfpsTDXe
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\lpsTlXEjLyojOvNu
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\lseTlXsaLqoAnyNu
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\lXejnyEjLJNugvNfsUx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\NQgAnqDsdxfssaDpsT
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\oAnqoAOJrQgJxfs
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\oAnuOvNQgdxVtUxDXeaDp
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\OJrfsUGftealpsaEA
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\QgvrQtdGVtdXeTlXsq
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\QgVsdGfseTlXsaEjLq
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\QOJNVsdGfssTlX
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\ruOvNuxVsUxVXeaD
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\sdGftUalpeaDjLqEjL
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\sdxVpeTlXsjLyo
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\tdxfssTlXsaLqoAn
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\tNJgQrJOQtVxUtVxdsVas
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\vNQgJGftUxVXea
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\XUalpsTDjLqojnQ
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\yEjNQOJNusdxfsdTl
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird\Profiles\1453z49n.default\extensions\{e2fda1a4-762b-4020-b5ad-a41df1933103}\chrome\yojOvNQgvxftUxVTlXsal
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Desktop\KolbUSB\Gitta\TSV Turnen\Sportstudio\gJruOftUGVtsaD
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Altova\XMLSpy2008\Examples\Office2007\JruOJnqEjLyalXeTlx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Altova\XMLSpy2008\Examples\Office2007\OvNGsalpstdxftdQOv
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Downloads\anpsTDXetdxftUOv
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\Admin\Eigene Dateien\Downloads\avira_free_antivirus_de.exe
[WARNUNG] Die Datei ist kennwortgeschützt
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\dveszzdi.exe
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\GDfh3p71.exe.part
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache3000312958243158230.tmp
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache61505541056982633.tmp
[0] Archivtyp: ZIP
--> a13d.class
[FUND] Enthält Erkennungsmuster des Java-Virus JAVA/Dldr.OpenConnection.GS
--> a4c6.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2010-0094.DD
--> ad8d.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/JAVA.Mabowl.Gen
--> af70.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2010-0094.F.34
--> main.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2010-0094.F.16
--> Tuddoaerffb.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2008-5353.39
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache7726484232280843361.tmp
[0] Archivtyp: ZIP
--> JavaUpdater.class
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2009-3867.MB
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache8474246610806010895.tmp
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache8873856390082505566.tmp
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\mi5sK7xX.exe.part
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\mJMdEivP.zip.part
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\T4UE4hdV.odb.part
[WARNUNG] Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\moz_mapi\PW8_Demo_809.EXE
[WARNUNG] Die Datei ist kennwortgeschützt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\daten\Save\esfxdtVguNJOuEq
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\epDadsfxUtuNJO
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\EyLpDasXDGUtVGdrJOQr
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\EynjEaeXDTeGdsVGdOQ
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\fTUsfGdsQNJOurynj
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\GUsQrJguNjoqnAoasXlTd
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\joqLAEaeXDassV
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\plaetVGUsfrvOuNJ
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\qLjEqsXlasXfxdsVx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\tVGUtvOQrJOAEqLAoTeXl
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\urUsfxdgurJgunAE
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\vOQNvnjoqLAeplTep
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elster\pro\vOurvnjEynjlaep
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\elsterA\daten\Save\uNvOuLjoyLADaspDaUsfx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Daten\loge\dakota_update\UGfsdOvNuOvjnyojL
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\download\EjLyouOJrQOdGfsUxeTD
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\download\jLqoAOvrugvGfsUxVXsaD
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\download\TlXoALyEjOJruOJxVtdx
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\save\exDXeaDpLqEjnqrQgv
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\save\ugJrVsUxftDXeT
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\office\Konfiguration\save\uOvtUGfsUalXealAnyo
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware\Portal\eUDpsalXLqEAnyuOJ
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\app.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\app1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\app2.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\app4.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\app5.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\db1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\ext1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\hbkrnl.upz
[WARNUNG] Der Archivheader ist defekt
C:\Dokumente und Einstellungen\All Users\Dokumente\VR-NetWorld\OnlLoad\hlp.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\KaReNa fuer Excel 2009\karena-UDT.exe
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\app.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\app1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\app2.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\app4.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\app5.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\db1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\ext1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\hbkrnl.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\OnlLoad\hlp.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\app.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\app1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\app2.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\app4.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\app5.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\db1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\ext1.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\hbkrnl.upz
[WARNUNG] Der Archivheader ist defekt
C:\Programme\VR-NetWorld\recover\data\OnlLoad\hlp.upz
[WARNUNG] Der Archivheader ist defekt
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc431.EXE
[WARNUNG] Die Datei ist kennwortgeschützt
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IENT_S1.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IENT_S2.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IENT_S3.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IENT_S4.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IENT_S5.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IE_S1.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IE_S2.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IE_S3.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IE_S4.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\IE6\IE_S5.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IENT_S1.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IENT_S2.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IENT_S3.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IENT_S4.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IENT_S5.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IE_S1.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IE_S2.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IE_S3.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IE_S4.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
C:\RECYCLER\S-1-5-21-1390067357-362288127-1801674531-1004\Dc82\FOP_2009 (D)\Data\service_support_pro\IE6\IE_S5.CAB
[WARNUNG] Einige Dateien dieses Archives sind auf mehrere Teilarchive verteilt (multiple volume)
Beginne mit der Desinfektion:
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache7726484232280843361.tmp
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2009-3867.MB
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '52ee935a.qua' verschoben!
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Temp\jar_cache61505541056982633.tmp
[FUND] Enthält Erkennungsmuster des Exploits EXP/CVE-2008-5353.39
[HINWEIS] Die Datei wurde ins Quarantäneverzeichnis unter dem Namen '4a79bcfd.qua' verschoben!
Ende des Suchlaufs: Dienstag, 12. Juni 2012 14:35
Benötigte Zeit: 2:08:11 Stunde(n)
Der Suchlauf wurde vollständig durchgeführt.
19065 Verzeichnisse wurden überprüft
770804 Dateien wurden geprüft
7 Viren bzw. unerwünschte Programme wurden gefunden
0 Dateien wurden als verdächtig eingestuft
0 Dateien wurden gelöscht
0 Viren bzw. unerwünschte Programme wurden repariert
2 Dateien wurden in die Quarantäne verschoben
0 Dateien wurden umbenannt
0 Dateien konnten nicht durchsucht werden
770797 Dateien ohne Befall
10153 Archive wurden durchsucht
127 Warnungen
2 Hinweise
Also hab ich noch eine Quikscan gemacht (weil ich Eure Beschreibung nicht richtig gelesen hatte...) hier das log: Code:
ATTFilter Malwarebytes Anti-Malware (Test) 1.61.0.1400 www.malwarebytes.org Datenbank Version: v2012.06.12.03 Windows XP Service Pack 3 x86 Internet Explorer 8.0.6001.18702 Admin :: NERO_ASSOLUTO [Administrator] Schutz: Aktiviert 12.06.2012 15:30:06 mbam-log-2012-06-12 (15-30-06).txt Art des Suchlaufs: Quick-Scan Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 223151 Laufzeit: 15 Minute(n), 33 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 2 HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Registrierungswerte: 3 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|6417D2F4 (Trojan.Winlock) -> Daten: C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mkpwrlzsrlc\nqojtlux.exe -> Erfolgreich gelöscht und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt. Infizierte Dateiobjekte der Registrierung: 5 HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowMyDocs (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\Advanced|Start_ShowSearch (PUM.Hijack.StartMenu) -> Bösartig: (0) Gut: (1) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools (PUM.Hijack.Regedit) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bösartig: (1) Gut: (0) -> Erfolgreich ersetzt und in Quarantäne gestellt. Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 3 C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mkpwrlzsrlc\nqojtlux.exe (Trojan.Winlock) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\WINDOWS\system32\ALZALZ.BIN (Spyware.Passwords) -> Erfolgreich gelöscht und in Quarantäne gestellt. C:\WINDOWS\system32\ALZZip.BIN (Spyware.Passwords) -> Erfolgreich gelöscht und in Quarantäne gestellt. (Ende) Habe nun die einzelnen Schritte für Hilfesuchende versucht zu befolgen - hoffe, es hat geklappt... Solange der vollständige Scan unter malwarebyte lief, habe ich vom Zweitrechner aus die Virus-Email verschickt (erster Versuch als zip.Datei brachte von GMX die Meldung, dass das Virus "Trojan.Ransomlock.P" im Anhang gefunden wurde :-), als 7z-Datei wurde nix erkannt ) Der vollständige Scan hat nichts gefunden hier die log-Datei: Code:
ATTFilter Malwarebytes Anti-Malware (Test) 1.61.0.1400 www.malwarebytes.org Datenbank Version: v2012.06.12.03 Windows XP Service Pack 3 x86 NTFS Internet Explorer 8.0.6001.18702 Admin :: NERO_ASSOLUTO [Administrator] Schutz: Aktiviert 12.06.2012 16:32:49 mbam-log-2012-06-12 (16-32-49).txt Art des Suchlaufs: Vollständiger Suchlauf Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 395450 Laufzeit: 2 Stunde(n), 25 Minute(n), 5 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) Code:
ATTFilter OTL logfile created on: 12.06.2012 20:18:01 - Run 1 OTL by OldTimer - Version 3.2.48.0 Folder = C:\Dokumente und Einstellungen\Admin\Desktop Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation Internet Explorer (Version = 8.0.6001.18702) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 1,99 Gb Total Physical Memory | 1,31 Gb Available Physical Memory | 65,91% Memory free 3,84 Gb Paging File | 3,18 Gb Available in Paging File | 82,86% Paging File free Paging file location(s): C:\pagefile.sys 2046 4092 [binary data] %SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme Drive C: | 149,04 Gb Total Space | 90,79 Gb Free Space | 60,92% Space Free | Partition Type: NTFS Drive F: | 3,87 Gb Total Space | 3,85 Gb Free Space | 99,40% Space Free | Partition Type: FAT32 Drive Z: | 465,65 Gb Total Space | 443,58 Gb Free Space | 95,26% Space Free | Partition Type: NTFS Computer Name: NERO_ASSOLUTO | User Name: Admin | Logged in as Administrator. Boot Mode: Normal | Scan Mode: Current user | Quick Scan Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2012.06.12 17:11:06 | 000,596,480 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Admin\Desktop\OTL.exe PRC - [2012.05.02 01:42:28 | 000,086,224 | ---- | M] (Avira Operations GmbH & Co. KG) -- C:\Programme\Avira\AntiVir Desktop\sched.exe PRC - [2012.05.02 00:34:34 | 000,110,032 | ---- | M] (Avira Operations GmbH & Co. KG) -- C:\Programme\Avira\AntiVir Desktop\avguard.exe PRC - [2012.05.02 00:31:35 | 000,348,624 | ---- | M] (Avira Operations GmbH & Co. KG) -- C:\Programme\Avira\AntiVir Desktop\avgnt.exe PRC - [2012.04.24 02:11:55 | 000,080,336 | ---- | M] (Avira Operations GmbH & Co. KG) -- C:\Programme\Avira\AntiVir Desktop\avshadow.exe PRC - [2012.04.04 15:56:40 | 000,654,408 | ---- | M] (Malwarebytes Corporation) -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe PRC - [2012.04.04 15:56:38 | 000,462,408 | ---- | M] (Malwarebytes Corporation) -- C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe PRC - [2012.02.02 17:14:32 | 000,255,864 | ---- | M] (AVM Berlin) -- C:\Programme\FRITZ!Fernzugang\avmike.exe PRC - [2011.10.31 17:38:20 | 000,153,464 | ---- | M] (AVM Berlin) -- C:\Programme\FRITZ!Fernzugang\nwtsrv.exe PRC - [2011.10.31 17:38:04 | 000,122,232 | ---- | M] (AVM Berlin) -- C:\Programme\FRITZ!Fernzugang\certsrv.exe PRC - [2011.09.16 10:48:54 | 001,623,920 | ---- | M] (Lexware GmbH & Co. KG) -- C:\Programme\Gemeinsame Dateien\Lexware\LxWebAccess\LxWebAccess.exe PRC - [2011.08.03 15:23:54 | 000,828,944 | ---- | M] (GlavSoft LLC.) -- C:\Programme\TightVNC\tvnserver.exe PRC - [2011.07.31 15:07:18 | 000,189,808 | ---- | M] (Haufe-Lexware GmbH & Co. KG) -- C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe PRC - [2010.12.10 19:29:30 | 029,293,408 | ---- | M] (Microsoft Corporation) -- c:\Programme\MSSQL\MSSQL.1\MSSQL\Binn\sqlservr.exe PRC - [2010.03.26 04:07:42 | 000,091,992 | ---- | M] (Microsoft Corporation) -- c:\Programme\MSSQL\MSSQL.1\MSSQL\Binn\msftesql.exe PRC - [2008.04.14 14:00:00 | 001,036,800 | ---- | M] (Microsoft Corporation) -- C:\WINDOWS\explorer.exe PRC - [2007.12.20 02:04:00 | 000,364,544 | R--- | M] (AVM Berlin) -- C:\Programme\avmwlanstick\WLanNetService.exe PRC - [2007.09.04 11:14:34 | 000,087,344 | ---- | M] (AVM Berlin) -- C:\Programme\FRITZ!DSL\IGDCTRL.EXE PRC - [2007.08.09 09:27:52 | 000,073,728 | ---- | M] (HP) -- C:\WINDOWS\system32\HPZipm12.exe PRC - [2007.05.15 17:20:12 | 000,079,400 | ---- | M] (Hewlett-Packard Company) -- C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe PRC - [2007.03.05 17:39:18 | 000,114,248 | ---- | M] (Neuber Software GmbH - www.neuber.com) -- C:\Programme\Security Task Manager\SpyProtector.exe PRC - [2007.03.02 14:05:56 | 000,081,920 | ---- | M] (FirebirdSQL Project) -- C:\Programme\Firebird\Firebird_2_0\bin\fbguard.exe PRC - [2007.03.02 14:05:50 | 001,994,752 | ---- | M] (FirebirdSQL Project) -- C:\Programme\Firebird\Firebird_2_0\bin\fbserver.exe ========== Modules (No Company Name) ========== MOD - [2012.05.12 14:38:32 | 000,194,048 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\CustomMarshalers\f11d5fea7ded12068e8cdb8b2f1bdbd9\CustomMarshalers.ni.dll MOD - [2012.05.12 13:54:24 | 013,196,800 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\System.Windows.Forms\e3290e9cf0eced36ca662cf67df4a939\System.Windows.Forms.ni.dll MOD - [2012.05.12 13:54:07 | 001,665,536 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\System.Drawing\c821be068070b07a9a339ab7152bc95e\System.Drawing.ni.dll MOD - [2012.05.12 13:53:44 | 005,618,176 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\System.Xml\5ee8bf77e7b3e25cdbff6e1c299574fe\System.Xml.ni.dll MOD - [2012.05.12 13:53:39 | 000,980,480 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\System.Configuration\0c8e950df17a0abec10888e8ad966cbe\System.Configuration.ni.dll MOD - [2012.05.12 13:53:36 | 009,090,560 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\System\6f399163bb35597da7141ccdb7f39d16\System.ni.dll MOD - [2012.05.12 13:53:24 | 014,412,800 | ---- | M] () -- C:\WINDOWS\assembly\NativeImages_v4.0.30319_32\mscorlib\3953b1d8b9b57e4957bff8f58145384e\mscorlib.ni.dll MOD - [2012.04.16 23:11:02 | 000,398,288 | ---- | M] () -- C:\Programme\Avira\AntiVir Desktop\sqlite3.dll MOD - [2012.04.04 07:53:56 | 000,301,056 | ---- | M] () -- C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\PDFShell.DEU ========== Win32 Services (SafeList) ========== SRV - [2012.05.02 13:22:44 | 000,129,976 | ---- | M] (Mozilla Foundation) [On_Demand | Stopped] -- C:\Programme\Mozilla Maintenance Service\maintenanceservice.exe -- (MozillaMaintenance) SRV - [2012.05.02 01:42:28 | 000,086,224 | ---- | M] (Avira Operations GmbH & Co. KG) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\sched.exe -- (AntiVirSchedulerService) SRV - [2012.05.02 00:34:34 | 000,110,032 | ---- | M] (Avira Operations GmbH & Co. KG) [Auto | Running] -- C:\Programme\Avira\AntiVir Desktop\avguard.exe -- (AntiVirService) SRV - [2012.04.10 15:42:24 | 000,253,600 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc) SRV - [2012.04.04 15:56:40 | 000,654,408 | ---- | M] (Malwarebytes Corporation) [Auto | Running] -- C:\Programme\Malwarebytes' Anti-Malware\mbamservice.exe -- (MBAMService) SRV - [2012.02.02 17:14:32 | 000,255,864 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\FRITZ!Fernzugang\avmike.exe -- (avmike) SRV - [2011.10.31 17:38:20 | 000,153,464 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\FRITZ!Fernzugang\nwtsrv.exe -- (nwtsrv) SRV - [2011.10.31 17:38:04 | 000,122,232 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\FRITZ!Fernzugang\certsrv.exe -- (certsrv) SRV - [2011.08.03 15:23:54 | 000,828,944 | ---- | M] (GlavSoft LLC.) [Auto | Running] -- C:\Programme\TightVNC\tvnserver.exe -- (tvnserver) SRV - [2010.12.10 19:29:30 | 029,293,408 | ---- | M] (Microsoft Corporation) [Auto | Running] -- c:\Programme\MSSQL\MSSQL.1\MSSQL\Binn\sqlservr.exe -- (MSSQL$SAGEHW) SQL Server (SAGEHW) SRV - [2010.08.13 09:13:32 | 000,066,112 | ---- | M] (NOS Microsystems Ltd.) [On_Demand | Stopped] -- C:\Programme\NOS\bin\getPlus_Helper_3004.dll -- (nosGetPlusHelper) getPlus(R) SRV - [2010.06.11 13:17:22 | 000,079,360 | ---- | M] (SolidWorks) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\SolidWorks Shared\Service\SolidWorksLicensing.exe -- (SolidWorks Licensing Service) SRV - [2010.03.26 04:07:42 | 000,091,992 | ---- | M] (Microsoft Corporation) [Auto | Running] -- c:\Programme\MSSQL\MSSQL.1\MSSQL\Binn\msftesql.exe -- (msftesql$SAGEHW) SQL Server-Volltextsuche (SAGEHW) SRV - [2007.12.20 02:04:00 | 000,364,544 | R--- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\avmwlanstick\WLanNetService.exe -- (AVM WLAN Connection Service) SRV - [2007.09.04 11:14:34 | 000,087,344 | ---- | M] (AVM Berlin) [Auto | Running] -- C:\Programme\FRITZ!DSL\IGDCTRL.EXE -- (IGDCTRL) SRV - [2007.08.09 09:27:52 | 000,073,728 | ---- | M] (HP) [Auto | Running] -- C:\WINDOWS\system32\HPZipm12.exe -- (Pml Driver HPZ12) SRV - [2007.06.01 10:21:30 | 000,271,920 | ---- | M] (Nero AG) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\Ahead\Lib\NMIndexingService.exe -- (NMIndexingService) SRV - [2007.05.15 17:20:12 | 000,079,400 | ---- | M] (Hewlett-Packard Company) [Auto | Running] -- C:\Programme\Gemeinsame Dateien\LightScribe\LSSrvc.exe -- (LightScribeService) SRV - [2007.03.02 14:05:56 | 000,081,920 | ---- | M] (FirebirdSQL Project) [Auto | Running] -- C:\Programme\Firebird\Firebird_2_0\bin\fbguard.exe -- (FirebirdGuardianDefaultInstance) SRV - [2007.03.02 14:05:50 | 001,994,752 | ---- | M] (FirebirdSQL Project) [On_Demand | Running] -- C:\Programme\Firebird\Firebird_2_0\bin\fbserver.exe -- (FirebirdServerDefaultInstance) SRV - [2004.10.22 02:24:18 | 000,073,728 | ---- | M] (Macrovision Corporation) [On_Demand | Stopped] -- C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe -- (IDriverT) ========== Driver Services (SafeList) ========== DRV - File not found [Kernel | On_Demand | Stopped] -- -- (WDICA) DRV - File not found [Kernel | On_Demand | Stopped] -- system32\DRIVERS\vmnetadapter.sys -- (VMnetAdapter) DRV - File not found [Kernel | On_Demand | Stopped] -- -- (PDRFRAME) DRV - File not found [Kernel | On_Demand | Stopped] -- -- (PDRELI) DRV - File not found [Kernel | On_Demand | Stopped] -- -- (PDFRAME) DRV - File not found [Kernel | On_Demand | Stopped] -- -- (PDCOMP) DRV - File not found [Kernel | System | Stopped] -- -- (PCIDump) DRV - File not found [Kernel | System | Stopped] -- -- (lbrtfdc) DRV - File not found [Kernel | System | Stopped] -- -- (i2omgmt) DRV - File not found [Kernel | System | Stopped] -- -- (Changer) DRV - [2012.04.27 10:20:04 | 000,137,928 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avipbb.sys -- (avipbb) DRV - [2012.04.25 00:32:27 | 000,083,392 | ---- | M] (Avira GmbH) [File_System | Auto | Running] -- C:\WINDOWS\system32\drivers\avgntflt.sys -- (avgntflt) DRV - [2012.04.16 21:17:40 | 000,036,000 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\avkmgr.sys -- (avkmgr) DRV - [2012.04.04 15:56:40 | 000,022,344 | ---- | M] (Malwarebytes Corporation) [File_System | On_Demand | Running] -- C:\WINDOWS\system32\drivers\mbam.sys -- (MBAMProtector) DRV - [2011.07.05 20:42:00 | 000,334,712 | ---- | M] (AVM Berlin) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\avmnwim.sys -- (NWIM) DRV - [2010.06.17 15:14:27 | 000,028,520 | ---- | M] (Avira GmbH) [Kernel | System | Running] -- C:\WINDOWS\system32\drivers\ssmdrv.sys -- (ssmdrv) DRV - [2010.04.09 13:16:50 | 000,016,472 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\pwdrvio.sys -- (pwdrvio) DRV - [2010.04.09 13:16:46 | 000,011,104 | ---- | M] () [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\pwdspio.sys -- (pwdspio) DRV - [2010.03.26 17:16:36 | 000,148,992 | ---- | M] (1&1 Internet AG) [File_System | System | Running] -- C:\WINDOWS\system32\drivers\ui11drdr.SYS -- (ui11drdr) DRV - [2009.05.07 03:01:00 | 000,265,088 | ---- | M] (AVM GmbH) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\fwlanusb.sys -- (FWLANUSB) DRV - [2008.09.05 08:52:04 | 000,075,392 | ---- | M] () [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\snxppalx.sys -- (SNXPPALX) DRV - [2008.09.05 08:52:04 | 000,020,960 | ---- | M] () [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\snxpcard.sys -- (SNXPCARD) DRV - [2008.02.14 11:04:06 | 004,676,096 | R--- | M] (Realtek Semiconductor Corp.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\RtkHDAud.sys -- (IntcAzAudAddService) Service for Realtek HD Audio (WDM) DRV - [2008.01.03 16:10:16 | 000,105,856 | R--- | M] (Realtek Semiconductor Corporation ) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\Rtenicxp.sys -- (RTLE8023xp) DRV - [2008.01.01 00:04:40 | 000,016,608 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\gdrv.sys -- (gdrv) DRV - [2007.12.20 02:04:00 | 000,401,920 | R--- | M] (AVM GmbH) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\fwlanusbn.sys -- (fwlanusbn) DRV - [2007.12.20 02:04:00 | 000,004,352 | R--- | M] (AVM Berlin) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\avmeject.sys -- (avmeject) DRV - [2007.10.11 11:10:52 | 000,030,008 | ---- | M] (Windows (R) 2000 DDK provider) [Kernel | On_Demand | Stopped] -- C:\WINDOWS\system32\drivers\ET5Drv.sys -- (ET5Drv) DRV - [2006.11.22 10:01:48 | 000,693,760 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | Auto | Running] -- C:\WINDOWS\system32\drivers\hardlock.sys -- (Hardlock) DRV - [2006.11.22 10:01:48 | 000,100,096 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\aksusb.sys -- (aksusb) DRV - [2006.11.22 10:01:46 | 000,327,168 | ---- | M] (Aladdin Knowledge Systems Ltd.) [Kernel | On_Demand | Running] -- C:\WINDOWS\system32\drivers\akshasp.sys -- (akshasp) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?} IE - HKCU\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = about:blank IE - HKCU\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} IE - HKCU\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src=IE-SearchBox&Form=IE8SRC IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 IE - HKCU\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyOverride" = 192.168.178.254;169.254.1.1;fritz.box;192.168.178.1 ========== FireFox ========== FF - user.js - File not found FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_2_202_228.dll () FF - HKLM\Software\MozillaPlugins\@adobe.com/ShockwavePlayer: C:\WINDOWS\system32\Adobe\Director\np32dsw.dll (Adobe Systems, Inc.) FF - HKLM\Software\MozillaPlugins\@java.com/JavaPlugin: C:\Programme\Java\jre6\bin\plugin2\npjp2.dll (Sun Microsystems, Inc.) FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Programme\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation) FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation) FF - HKLM\Software\MozillaPlugins\@nosltd.com/getPlus+(R),version=1.6.2.90: C:\Programme\NOS\bin\np_gp.dll (NOS Microsystems Ltd.) FF - HKLM\Software\MozillaPlugins\@sun.com/npsopluginmi;version=1.0: C:\Programme\OpenOffice.org 3\program [2010.07.20 14:23:31 | 000,000,000 | ---D | M] FF - HKLM\Software\MozillaPlugins\Adobe Reader: C:\Programme\AdobeReader 10.0\Reader\AIR\nppdf32.dll (Adobe Systems Inc.) FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Components: C:\Programme\Firefox\components [2012.05.02 13:22:44 | 000,000,000 | ---D | M] FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 12.0\extensions\\Plugins: C:\Programme\Firefox\plugins [2012.04.24 19:05:12 | 000,000,000 | ---D | M] FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 12.0.1\extensions\\Components: C:\Programme\Thunderbird\components [2012.04.24 19:05:12 | 000,000,000 | ---D | M] FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Thunderbird 12.0.1\extensions\\Plugins: C:\Programme\Thunderbird\plugins [2012.04.24 19:05:12 | 000,000,000 | ---D | M] [2011.11.18 17:03:53 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Extensions [2010.08.04 10:57:17 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Extensions\{3550f703-e582-4d05-9a08-453d09bdfdc6} [2011.11.18 17:03:53 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Extensions\ideskbrowser@haufe.de [2012.06.12 10:53:40 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\kjqwtzm2.default\extensions [2010.10.15 17:56:20 | 000,000,000 | ---D | M] (20-20 3D Viewer) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\kjqwtzm2.default\extensions\2020Player@2020Technologies.com [2011.05.06 09:58:39 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\kjqwtzm2.default\extensions\nostmp [2009.01.12 16:18:19 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Sunbird\Profiles\r9eumi7p.default\extensions O1 HOSTS File: ([2008.04.14 14:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts O1 - Hosts: 127.0.0.1 localhost O2 - BHO: (Adobe PDF Reader) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated) O2 - BHO: (Adobe PDF Link Helper) - {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Programme\Gemeinsame Dateien\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll (Adobe Systems Incorporated) O2 - BHO: (Java(tm) Plug-In SSV Helper) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Programme\Java\jre6\bin\ssv.dll (Sun Microsystems, Inc.) O4 - HKLM..\Run: [Adobe ARM] C:\Programme\Gemeinsame Dateien\Adobe\ARM\1.0\AdobeARM.exe (Adobe Systems Incorporated) O4 - HKLM..\Run: [APSDaemon] C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\APSDaemon.exe (Apple Inc.) O4 - HKLM..\Run: [avgnt] C:\Programme\Avira\AntiVir Desktop\avgnt.exe (Avira Operations GmbH & Co. KG) O4 - HKLM..\Run: [DMS-Kalenderchen] C:\Programme\Kalenderchen\Kalenderchen.exe (Daniel Manger Software) O4 - HKLM..\Run: [Firebird] C:\Programme\Firebird\Firebird_2_0\bin\fbguard.exe (FirebirdSQL Project) O4 - HKLM..\Run: [FriFax32] C:\Programme\FRITZ!fax\FriFax32.exe (AVM Berlin) O4 - HKLM..\Run: [LexwareInfoService] C:\Programme\Gemeinsame Dateien\Lexware\Update Manager\LxUpdateManager.exe (Haufe-Lexware GmbH & Co. KG) O4 - HKLM..\Run: [Malwarebytes' Anti-Malware] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation) O4 - HKLM..\Run: [NBAgent] C:\Programme\Nero\Nero BackItUp & Burn\Nero BackItUp\NBAgent.exe (Nero AG) O4 - HKLM..\Run: [Spy Protector] C:\Programme\Security Task Manager\SpyProtector.exe (Neuber Software GmbH - www.neuber.com) O4 - HKLM..\Run: [tvncontrol] C:\Programme\TightVNC\tvnserver.exe (GlavSoft LLC.) O4 - Startup: C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Autostart\VR-NetWorld Auftragsprüfung.lnk = C:\Programme\VR-NetWorld\VRToolCheckOrder.exe (VR-NetWorld Software) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 255 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLinkedConnections = 1 O7 - HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145 O10 - NameSpace_Catalog5\Catalog_Entries\000000000004 [] - C:\Programme\FRITZ!DSL\\sarah.dll () O10 - Protocol_Catalog9\Catalog_Entries\000000000001 - C:\Programme\FRITZ!DSL\sarah.dll (AVM Berlin) O10 - Protocol_Catalog9\Catalog_Entries\000000000002 - C:\Programme\FRITZ!DSL\sarah.dll (AVM Berlin) O10 - Protocol_Catalog9\Catalog_Entries\000000000003 - C:\Programme\FRITZ!DSL\sarah.dll (AVM Berlin) O10 - Protocol_Catalog9\Catalog_Entries\000000000009 - C:\Programme\FRITZ!DSL\sarah.dll (AVM Berlin) O15 - HKCU\..Trusted Domains: fritz.box ([]* in Lokales Intranet) O15 - HKCU\..Trusted Domains: fritz.repeater ([]* in Lokales Intranet) O15 - HKCU\..Trusted Ranges: Range1 ([*] in Lokales Intranet) O15 - HKCU\..Trusted Ranges: Range2 ([*] in Lokales Intranet) O15 - HKCU\..Trusted Ranges: Range3 ([*] in Lokales Intranet) O15 - HKCU\..Trusted Ranges: Range4 ([*] in Lokales Intranet) O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31) O16 - DPF: {CAFEEFAC-0016-0000-0002-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_02-windows-i586.cab (Java Plug-in 1.6.0_02) O16 - DPF: {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31) O16 - DPF: {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.6.0/jinstall-1_6_0_31-windows-i586.cab (Java Plug-in 1.6.0_31) O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.178.1 O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{68EA9C08-D530-4CDA-8BA3-05BB3A3193B2}: NameServer = 192.168.178.1 O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{A3A2F263-C29E-43CF-B31E-36E7444CCC8D}: DhcpNameServer = 192.168.178.1 O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{E39C9B7C-089F-4BF8-9700-F05005708DB2}: DhcpNameServer = 192.168.178.1 O18 - Protocol\Handler\haufereader - No CLSID value found O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation) O27 - HKLM IFEO\taskmgr.exe: Debugger - P9KDMF.EXE File not found O32 - HKLM CDRom: AutoRun - 1 O32 - AutoRun File - [2008.09.02 21:05:50 | 000,000,000 | ---- | M] () - C:\AUTOEXEC.BAT -- [ NTFS ] O33 - MountPoints2\{c1b43780-db7a-11de-9ea1-807ed43e2768}\Shell - "" = AutoRun O33 - MountPoints2\{c1b43780-db7a-11de-9ea1-807ed43e2768}\Shell\AutoRun - "" = Auto&Play O33 - MountPoints2\{c1b43780-db7a-11de-9ea1-807ed43e2768}\Shell\AutoRun\command - "" = E:\pushinst.exe O34 - HKLM BootExecute: (autocheck autochk *) O34 - HKLM BootExecute: (MACHINE BootExecut) O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3) O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2) ========== Files/Folders - Created Within 30 Days ========== [2012.06.12 17:11:04 | 000,596,480 | ---- | C] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Admin\Desktop\OTL.exe [2012.06.12 16:55:07 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\7-Zip [2012.06.12 16:55:05 | 000,000,000 | ---D | C] -- C:\Programme\7-Zip [2012.06.12 11:49:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Malwarebytes [2012.06.12 11:49:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware [2012.06.12 11:49:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes [2012.06.12 11:49:10 | 000,022,344 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys [2012.06.12 11:49:10 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware [2012.06.12 11:19:00 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Google [2012.06.12 11:15:03 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Google [2012.06.12 11:14:49 | 000,000,000 | ---D | C] -- C:\Programme\Google [2012.06.12 11:14:49 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Google [2012.06.12 11:09:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Avira [2012.06.12 11:04:14 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Avira [2012.06.12 11:03:58 | 000,028,520 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\ssmdrv.sys [2012.06.12 11:03:56 | 000,137,928 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avipbb.sys [2012.06.12 11:03:56 | 000,083,392 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avgntflt.sys [2012.06.12 11:03:56 | 000,036,000 | ---- | C] (Avira GmbH) -- C:\WINDOWS\System32\drivers\avkmgr.sys [2012.06.12 11:03:48 | 000,000,000 | ---D | C] -- C:\Programme\Avira [2012.06.12 11:03:48 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Avira [2012.06.12 08:13:15 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mkpwrlzsrlc [2012.06.06 09:52:27 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\PDFCreator [2012.06.06 09:52:23 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\pdfforge [2012.06.06 09:52:17 | 000,079,360 | ---- | C] (pdfforge GbR) -- C:\WINDOWS\System32\pdfcmon.dll [2012.06.06 09:52:12 | 000,000,000 | ---D | C] -- C:\Programme\PDFCreator [2012.06.05 13:45:21 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\AVM [2012.06.05 13:44:38 | 000,000,000 | ---D | C] -- C:\Programme\FRITZ!Fernzugang einrichten [2012.06.05 13:44:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\FRITZ!Fernzugang [2012.06.05 13:27:26 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Startmenü\Programme\FRITZ!Fernzugang [2012.06.05 13:27:25 | 000,000,000 | ---D | C] -- C:\Programme\FRITZ!Fernzugang [2012.06.05 13:27:25 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AVM [2012.05.25 11:12:44 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\XnView [2012.05.24 11:09:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Admin\Desktop\claron_340_s_f_s [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files - Modified Within 30 Days ========== [2012.06.12 19:56:00 | 000,000,884 | ---- | M] () -- C:\WINDOWS\tasks\Adobe Flash Player Updater.job [2012.06.12 19:01:02 | 000,000,276 | ---- | M] () -- C:\WINDOWS\tasks\AppleSoftwareUpdate.job [2012.06.12 17:12:43 | 000,012,598 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl [2012.06.12 17:11:06 | 000,596,480 | ---- | M] (OldTimer Tools) -- C:\Dokumente und Einstellungen\Admin\Desktop\OTL.exe [2012.06.12 17:10:08 | 000,000,000 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\defogger_reenable [2012.06.12 16:32:48 | 000,000,248 | ---- | M] () -- C:\WINDOWS\tasks\RegClean Pro.job [2012.06.12 16:10:11 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat [2012.06.12 16:06:00 | 000,000,817 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\.recently-used.xbel [2012.06.12 15:01:36 | 000,000,256 | ---- | M] () -- C:\WINDOWS\tasks\RegClean Pro_DEFAULT.job [2012.06.12 13:22:24 | 000,711,240 | ---- | M] () -- C:\WINDOWS\is-5D87P.exe [2012.06.12 13:22:24 | 000,012,782 | ---- | M] () -- C:\WINDOWS\is-5D87P.msg [2012.06.12 13:22:24 | 000,000,756 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk [2012.06.12 13:22:24 | 000,000,389 | ---- | M] () -- C:\WINDOWS\is-5D87P.lst [2012.06.12 11:54:24 | 000,000,066 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\mbam.context.scan [2012.06.12 11:24:31 | 000,000,638 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Mozilla Firefox.lnk [2012.06.11 14:04:21 | 000,003,989 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\AftUDpeTlXLyoALyQ [2012.06.11 10:06:21 | 000,002,419 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Lexware financial office.lnk [2012.06.08 11:51:00 | 000,000,306 | ---- | M] () -- C:\WINDOWS\tasks\Kalenderchen4Backup.bat.job [2012.06.06 16:08:13 | 000,000,264 | ---- | M] () -- C:\WINDOWS\tasks\RegClean Pro_UPDATES.job [2012.06.06 12:20:20 | 000,005,373 | ---- | M] () -- C:\WINDOWS\bronzedesigner.ini [2012.06.06 10:09:02 | 000,000,033 | ---- | M] () -- C:\WINDOWS\iltwain.ini [2012.06.05 18:06:10 | 000,000,218 | ---- | M] () -- C:\WINDOWS\PDF2DXF.INI [2012.06.05 18:04:54 | 000,080,896 | ---- | M] () -- C:\WINDOWS\cadkasdeinst01.exe [2012.06.04 10:54:25 | 000,000,116 | ---- | M] () -- C:\WINDOWS\DTABegleit.INI [2012.05.31 16:55:19 | 000,010,300 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\Desktop\sxlXsaDXoALqEjgvr [2012.05.24 15:39:57 | 014,354,207 | ---- | M] () -- C:\Dokumente und Einstellungen\Admin\Desktop\oXLAoynjOQrJgu [2012.05.24 14:01:31 | 000,002,163 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\A-Plan 2009.lnk [2012.05.21 17:47:24 | 000,001,052 | ---- | M] () -- C:\WINDOWS\Bronzedesigner Druckereinstellungen [2012.05.21 14:26:46 | 000,000,357 | ---- | M] () -- C:\WINDOWS\ERPX.ini [2012.05.14 09:17:18 | 000,079,360 | ---- | M] (pdfforge GbR) -- C:\WINDOWS\System32\pdfcmon.dll [4 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ] [1 C:\WINDOWS\System32\*.tmp files -> C:\WINDOWS\System32\*.tmp -> ] ========== Files Created - No Company Name ========== [2012.06.12 17:10:08 | 000,000,000 | ---- | C] () -- C:\Dokumente und Einstellungen\Admin\defogger_reenable [2012.06.12 16:06:00 | 000,000,817 | ---- | C] () -- C:\Dokumente und Einstellungen\Admin\.recently-used.xbel [2012.06.12 13:22:24 | 000,711,240 | ---- | C] () -- C:\WINDOWS\is-5D87P.exe [2012.06.12 13:22:24 | 000,012,782 | ---- | C] () -- C:\WINDOWS\is-5D87P.msg [2012.06.12 13:22:24 | 000,000,389 | ---- | C] () -- C:\WINDOWS\is-5D87P.lst [2012.06.12 11:54:24 | 000,000,066 | ---- | C] () -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\mbam.context.scan [2012.06.12 11:49:12 | 000,000,756 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk [2012.06.12 11:24:31 | 000,000,638 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Mozilla Firefox.lnk [2012.05.23 10:48:47 | 000,002,419 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\Lexware financial office.lnk [2012.04.17 15:58:12 | 000,207,728 | ---- | C] () -- C:\WINDOWS\System32\LXPrnUtil10.dll [2012.04.17 15:58:12 | 000,138,608 | ---- | C] () -- C:\WINDOWS\System32\LxDNTvmc100.dll [2012.04.17 15:58:10 | 000,074,608 | ---- | C] () -- C:\WINDOWS\System32\LxDNTvm100.dll [2012.04.17 15:58:08 | 000,309,616 | ---- | C] () -- C:\WINDOWS\System32\LxDNT100.dll [2012.03.27 10:23:56 | 000,021,353 | ---- | C] () -- C:\WINDOWS\Comcut.ini [2012.03.27 10:22:32 | 000,005,373 | ---- | C] () -- C:\WINDOWS\bronzedesigner.ini [2012.02.15 11:41:24 | 000,003,072 | ---- | C] () -- C:\WINDOWS\System32\iacenc.dll [2011.09.09 09:15:31 | 000,002,494 | ---- | C] () -- C:\WINDOWS\System32\ASOROSet.bin [2011.05.26 10:01:25 | 000,116,224 | ---- | C] () -- C:\WINDOWS\System32\pdfcmnnt.dll [2011.05.13 10:03:16 | 000,303,104 | ---- | C] () -- C:\WINDOWS\System32\dnt27VC8.dll [2011.05.13 10:01:22 | 000,143,360 | ---- | C] () -- C:\WINDOWS\System32\dntvmc27VC8.dll [2011.05.13 10:01:00 | 000,086,016 | ---- | C] () -- C:\WINDOWS\System32\dntvm27VC8.dll [2011.05.11 15:07:58 | 000,354,816 | ---- | C] () -- C:\WINDOWS\System32\psisdecd.dll [2011.05.11 15:07:34 | 000,450,560 | ---- | C] () -- C:\WINDOWS\System32\PEGRC32B.dll [2011.05.11 15:07:34 | 000,188,416 | ---- | C] () -- C:\WINDOWS\System32\PEGRC32A.dll [2011.05.11 15:07:10 | 001,283,072 | ---- | C] () -- C:\WINDOWS\System32\MhCglobal10.dll [2010.12.22 14:25:15 | 000,000,298 | ---- | C] () -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\slignore.dat [2010.10.04 11:02:34 | 000,000,218 | ---- | C] () -- C:\WINDOWS\PDF2DXF.INI [2010.10.04 10:42:31 | 000,080,896 | ---- | C] () -- C:\WINDOWS\cadkasdeinst01.exe [2010.09.30 16:27:31 | 000,000,167 | ---- | C] () -- C:\WINDOWS\EnvironmentsDlg.ini [2010.09.14 15:14:00 | 000,028,672 | ---- | C] () -- C:\WINDOWS\System32\hlduinst.exe [2010.07.16 16:38:13 | 000,535,624 | ---- | C] () -- C:\WINDOWS\System32\pwNative.exe [2010.07.16 16:38:11 | 000,016,472 | ---- | C] () -- C:\WINDOWS\System32\pwdrvio.sys [2010.07.16 16:38:11 | 000,011,104 | ---- | C] () -- C:\WINDOWS\System32\pwdspio.sys [2010.07.06 10:58:16 | 000,000,357 | ---- | C] () -- C:\WINDOWS\ERPX.ini [2010.06.17 19:24:40 | 000,000,197 | ---- | C] () -- C:\WINDOWS\MaterialsDlg.ini ========== LOP Check ========== [2010.10.22 16:50:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\1&1 [2012.06.12 08:31:06 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\4D [2012.02.03 11:45:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\atriga [2012.06.05 13:45:21 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\AVM [2009.03.31 14:49:27 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\biu software [2009.04.30 17:27:55 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\DassaultSystemes [2008.11.18 17:04:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\DataDesign [2011.06.08 11:46:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\EasyPCGate [2010.06.11 13:39:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\EDrawings [2009.10.28 15:47:03 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\EurekaLog [2012.06.12 08:31:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\FRITZ! [2008.10.29 14:15:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\FRITZ!fax für FRITZ!Box [2012.04.03 10:05:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\GetRightToGo [2012.06.12 16:06:00 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\gtk-2.0 [2010.02.08 12:55:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Haufe [2011.11.18 17:03:51 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Haufe Mediengruppe [2012.06.12 08:31:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Image Zone Express [2011.06.08 11:46:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\ImagesWords [2009.04.27 15:34:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\IMSI [2012.03.29 17:53:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\IMSIDesign [2009.01.12 17:19:37 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\InterTrust [2011.06.20 11:29:08 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\julitec [2008.09.05 13:22:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\K-Meleon [2009.10.13 11:23:25 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Keseling [2008.11.04 09:47:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Lexware [2011.05.11 15:21:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\mh-software [2012.06.12 16:07:43 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mkpwrlzsrlc [2012.06.12 08:31:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Neoplan [2008.10.29 16:30:30 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\OpenOffice.org [2012.06.06 09:54:35 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\pdfforge [2010.01.12 14:19:15 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\PsOffice [2010.12.22 10:22:41 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\SerialLetterAndFax [2012.06.12 08:31:18 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\SMSout [2011.02.01 10:59:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Soft Gold [2012.06.12 08:31:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\SuperMailer [2011.07.18 16:08:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Systweak [2012.06.12 08:31:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\TeamViewer [2009.01.30 15:28:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thinstall [2010.08.04 10:57:12 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Thunderbird [2012.06.12 11:12:58 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\TightVNC [2010.01.21 13:35:31 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Uniblue [2012.06.12 08:31:26 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\XnView [2009.04.17 16:08:41 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Zeiterfassung.6E382B54F302B7E9C6B2FE0F7306F12B647405FB.1 [2010.10.22 16:48:02 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\1&1 [2008.12.30 17:44:53 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Altova [2012.02.03 12:03:36 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\atriga [2012.06.05 13:27:25 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\AVM [2012.06.12 08:31:46 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BTrieve [2009.04.30 17:27:55 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\DassaultSystemes [2011.07.07 13:35:25 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\EasternGraphics [2011.11.18 16:49:57 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Haufe [2012.03.29 17:53:22 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\IMSIDesign [2008.10.29 14:15:50 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\ISDNWatch [2011.06.20 11:28:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\julitec [2012.06.12 08:32:19 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Lexware [2008.10.29 16:07:44 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\LightScribe [2010.03.04 16:09:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\node PDF-XChange [2010.12.22 10:22:41 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\RFMPDF [2009.04.04 16:26:04 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Rillsoft Project 2007 [2011.06.08 13:18:55 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Rillsoft Project 5.3 [2009.09.22 13:22:17 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Sage [2008.10.29 17:52:33 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Sage Handwerk [2010.01.21 11:49:48 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SecTaskMan [2012.06.05 13:50:54 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP [2008.11.07 10:29:14 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Thunderbird [2012.06.08 11:51:00 | 000,000,306 | ---- | M] () -- C:\WINDOWS\Tasks\Kalenderchen4Backup.bat.job [2012.06.12 16:32:48 | 000,000,248 | ---- | M] () -- C:\WINDOWS\Tasks\RegClean Pro.job [2012.06.12 15:01:36 | 000,000,256 | ---- | M] () -- C:\WINDOWS\Tasks\RegClean Pro_DEFAULT.job [2012.06.06 16:08:13 | 000,000,264 | ---- | M] () -- C:\WINDOWS\Tasks\RegClean Pro_UPDATES.job [2012.01.16 20:52:26 | 000,000,580 | ---- | M] () -- C:\WINDOWS\Tasks\Sicherung.job ========== Purity Check ========== ========== Alternate Data Streams ========== @Alternate Data Stream - 149 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:C3A7B5ED @Alternate Data Stream - 146 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:054B9966 @Alternate Data Stream - 140 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:19F783D8 @Alternate Data Stream - 110 bytes -> C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\TEMP:7973AE83 < End of report > Code:
ATTFilter OTL Extras logfile created on: 12.06.2012 20:18:01 - Run 1
OTL by OldTimer - Version 3.2.48.0 Folder = C:\Dokumente und Einstellungen\Admin\Desktop
Windows XP Home Edition Service Pack 3 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 8.0.6001.18702)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
1,99 Gb Total Physical Memory | 1,31 Gb Available Physical Memory | 65,91% Memory free
3,84 Gb Paging File | 3,18 Gb Available in Paging File | 82,86% Paging File free
Paging file location(s): C:\pagefile.sys 2046 4092 [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 149,04 Gb Total Space | 90,79 Gb Free Space | 60,92% Space Free | Partition Type: NTFS
Drive F: | 3,87 Gb Total Space | 3,85 Gb Free Space | 99,40% Space Free | Partition Type: FAT32
Drive Z: | 465,65 Gb Total Space | 443,58 Gb Free Space | 95,26% Space Free | Partition Type: NTFS
Computer Name: NERO_ASSOLUTO | User Name: Admin | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: Current user | Quick Scan
Company Name Whitelist: On | Skip Microsoft Files: On | No Company Name Whitelist: On | File Age = 30 Days
========== Extra Registry (SafeList) ==========
========== File Associations ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.html [@ = FirefoxHTML] -- C:\Programme\Firefox\firefox.exe (Mozilla Corporation)
[HKEY_CURRENT_USER\SOFTWARE\Classes\<extension>]
.html [@ = ChromeHTML] -- Reg Error: Key error. File not found
========== Shell Spawning ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
htmlfile [edit] -- Reg Error: Key error.
http [open] -- "C:\Programme\Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
https [open] -- "C:\Programme\Firefox\firefox.exe" -requestPending -osint -url "%1" (Mozilla Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [Betrachten mit XnView] -- Reg Error: Key error.
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
========== Security Center Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 1
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
========== System Restore Settings ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
========== Firewall Settings ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
"DisableNotifications" = 0
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"2869:TCP" = 2869:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22008
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
"2799:UDP" = 2799:UDP:*:Enabled:Altova License Metering Port (UDP)
"2799:TCP" = 2799:TCP:*:Enabled:Altova License Metering Port (TCP)
"3050:UDP" = 3050:UDP:*:Enabled:Firebird Server
"53050:UDP" = 53050:UDP:*:Enabled:ERP-Expert Serverdienst
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Programme\FRITZ!DSL\IGDCTRL.EXE" = C:\Programme\FRITZ!DSL\IGDCTRL.EXE:*:Enabled:AVM FRITZ!DSL - igdctrl.exe -- (AVM Berlin)
"C:\Programme\FRITZ!DSL\FBOXUPD.EXE" = C:\Programme\FRITZ!DSL\FBOXUPD.EXE:*:Enabled:AVM FRITZ!DSL - fboxupd.exe -- (AVM Berlin)
"C:\Programme\FRITZ!DSL\WebwaIgd.exe" = C:\Programme\FRITZ!DSL\WebwaIgd.exe:*:Enabled:AVM FRITZ!DSL - webwaigd.exe -- (AVM Berlin)
"C:\Programme\FRITZ!fax\FriFax32.exe" = C:\Programme\FRITZ!fax\FriFax32.exe:*:Enabled:FRITZ!fax -- (AVM Berlin)
"C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe" = C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposfx08.exe" = C:\Programme\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposid01.exe" = C:\Programme\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hpqCopy.exe" = C:\Programme\HP\Digital Imaging\bin\hpqCopy.exe:*:Enabled:hpqcopy.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hpfccopy.exe" = C:\Programme\HP\Digital Imaging\bin\hpfccopy.exe:*:Enabled:hpfccopy.exe -- (Hewlett-Packard)
"C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe" = C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\Unload\HpqPhUnl.exe" = C:\Programme\HP\Digital Imaging\Unload\HpqPhUnl.exe:*:Enabled:hpqphunl.exe -- ()
"C:\Programme\HP\Digital Imaging\bin\hpoews01.exe" = C:\Programme\HP\Digital Imaging\bin\hpoews01.exe:*:Enabled:hpoews01.exe -- (Hewlett-Packard Co.)
"C:\Programme\Firefox\firefox.exe" = C:\Programme\Firefox\firefox.exe:*:Enabled:Firefox -- (Mozilla Corporation)
"C:\Programme\TightVNC\tvnserver.exe" = C:\Programme\TightVNC\tvnserver.exe:*:Enabled:TightVNC Server -- (GlavSoft LLC.)
"C:\Programme\TightVNC\vncviewer.exe" = C:\Programme\TightVNC\vncviewer.exe:*:Enabled:TightVNC Viewer -- (TightVNC Group)
"C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe" = C:\Programme\Gemeinsame Dateien\Apple\Apple Application Support\WebKit2WebProcess.exe:*:Enabled:WebKit -- (Apple Inc.)
========== HKEY_LOCAL_MACHINE Uninstall List ==========
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{00000407-78E1-11D2-B60F-006097C998E7}" = Microsoft Office 2000 Premium
"{0001B4FD-9EA3-4D90-A79E-FD14BA3AB01D}" = PDFCreator
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{0420F95C-11FF-4E02-B967-6CC22B188F9F}" = Nero BackItUp
"{0611BD4E-4FE4-4a62-B0C0-18A4CC463428}" = CP_Package_Variety1
"{07629207-FAA0-4F1A-8092-BF5085BE511F}" = Unterstützungsdateien für das Microsoft SQL Server-Setup (Englisch)
"{09984AEC-6B9F-4ca7-B78D-CB44D4771DA3}" = Destinations
"{0B33B738-AD79-4E32-90C5-E67BFB10BBFF}" = AiO_Scan
"{0E0DF90C-D0BA-4C89-9262-AD78D1A3DE51}" = HP USB Disk Storage Format Tool
"{0F32914F-A633-4516-B531-7084C8F19F93}" = Haufe iDesk-Browser
"{0F72FEF7-6E87-49C5-AB0E-FBAFD0E00EF2}" = XMLServiceToolV2
"{1C139D7D-9FEA-468d-A9C8-2A6E3BDE564A}" = CP_Package_Variety3
"{1DED92A7-05FA-4736-8AEA-1BE2363F1031}" = Nero 7 Essentials
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{2457326B-C110-40C3-89B0-889CC913871A}" = AVM FRITZ!DSL
"{2466E904-7E48-4597-9321-722CF02930EB}" = 5600
"{26A24AE4-039D-4CA4-87B4-2F83216031FF}" = Java(TM) 6 Update 31
"{27F10580-E040-11DF-8C28-005056B12123}" = Haufe iDesk-Service
"{2AFFFDD7-ED85-4A90-8C52-5DA9EBDC9B8F}" = Microsoft SQL Server 2005 Express Edition (MAMUT)
"{2CADCEAB-D5DA-44D6-B5FC-7DEE87AB3C0C}" = Unload
"{307F2F3E-5978-4FCF-ADE6-D8808B12C447}" = TurboCAD Professional 17
"{30C19FF2-7FBA-4d09-B9DE-1659977F64F6}" = TrayApp
"{3248F0A8-6813-11D6-A77B-00B0D0160020}" = Java(TM) 6 Update 2
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{3526C5B8-60EE-4199-BEFD-6BCC86F051B9}" = TAXMAN 2011
"{3563500D-85F7-48AE-A91D-811E92BA49BB}" = TAXMAN Bibliothek 2011
"{36FDBE6E-6684-462B-AE98-9A39A1B200CC}" = HP Product Assistant
"{394D3D87-12FE-4765-836F-F6F727005C9C}" = AVM FRITZ!Fernzugang
"{397516AE-7DFE-4F90-84E0-BD616D559434}" = Nero BurnRights
"{3C3901C5-3455-3E0A-A214-0B093A5070A6}" = Microsoft .NET Framework 4 Client Profile
"{406A89D6-09E6-4550-B370-8D376DDB56BE}" = Adobe Flash Player 10 ActiveX
"{4A03706F-666A-4037-7777-5F2748764D10}" = Java Auto Updater
"{4F81E7BD-439E-4E3A-9CA5-7546DD858993}" = Microsoft SQL Server 2005-Abwärtskompatibilität
"{51E2F9B3-A972-4F58-B4EF-4D9676D9F5D1}" = Nero RescueAgent
"{53F5C3EE-05ED-4830-994B-50B2F0D50FCE}" = Microsoft SQL Server Setup Support Files (English)
"{54E3707F-808E-4fd4-95C9-15D1AB077E5D}" = NewCopy
"{56C049BE-79E9-4502-BEA7-9754A3E60F9B}" = neroxml
"{56F8AFC3-FA98-4ff1-9673-8A026CBF85BE}" = WebReg
"{5B79CFD1-6845-4158-9D7D-6BE89DF2C135}" = HP PSC & OfficeJet 5.3.B
"{5C5B0836-9648-4057-8044-2DF181E073E2}" = TAXMAN 2010
"{612C34C7-5E90-47D8-9B5C-0F717DD82726}" = swMSM
"{66E6CE0C-5A1E-430C-B40A-0C90FF1804A8}" = eSupportQFolder
"{6AFCA4E1-9B78-3640-8F72-A7BF33448200}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729
"{6B54B1AE-EBCA-48BE-92AF-61D02118F093}" = Lexware online banking
"{6BB6627C-694F-4FDC-A3E5-C7F4BED4C724}" = DocProc
"{6C3CF7AC-5AB0-42D9-93C0-68166A57AFB6}" = Nero Express
"{6E44D4E5-09CE-4265-A465-6CB08B1AFDA9}" = DDBAC
"{707CAB93-7064-42F9-9210-A6A8FED9B2A2}" = SolidWorks eDrawings 2009
"{710f4c1c-cc18-4c49-8cbf-51240c89a1a2}" = Microsoft Visual C++ 2005 Redistributable
"{7299052b-02a4-4627-81f2-1818da5d550d}" = Microsoft Visual C++ 2005 Redistributable
"{7670D32F-DAE6-4E49-8C8B-B3F08B5B1686}" = Microsoft SQL Server Native Client
"{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
"{7850A6D2-CBEA-4728-9877-F1BEDEA9F619}" = AiOSoftware
"{789A5B64-9DD9-4BA5-915A-F0FC0A1B7BFE}" = Apple Software Update
"{7BE15435-2D3E-4B58-867F-9C75BED0208C}" = QuickTime
"{7C9B95B7-B598-4398-B30F-7F6827192E6C}" = ProductContext
"{818ABC3C-635C-4651-8183-D0E9640B7DD1}" = HP Update
"{837b34e3-7c30-493c-8f6a-2b0f04e2912c}" = Microsoft Visual C++ 2005 Redistributable
"{843DECF5-2CCA-49EA-AFB9-612388EB1A80}" = mh-tools
"{86CE85E6-DBAC-3FFD-B977-E4B79F83C909}" = Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570
"{8815F011-43AF-4F50-BBD8-D78ED3D6F5B9}" = VR-NetWorld
"{883D3FAE-9B56-4506-90B0-369CF60BE9A1}" = KaReNa fuer Excel 2009
"{8937FCB2-2FC6-4FC3-9FB5-DE2C92DB9C38}" = Microsoft .NET Framework 2.0 Language Pack - DEU
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8D1E61D1-1395-4E97-997F-D002DB3A5074}" = OpenOffice.org 3.2
"{8E00A1E0-921D-11D4-9F9F-A5A5A5A5A5A5}" = T-Concept X321 XI321
"{923A7F5A-1E8C-4FBE-8DF6-85940A60A79F}" = Readme
"{9A25302D-30C0-39D9-BD6F-21E6EC160475}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.17
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{A195B13E-A5E3-4BAF-A995-7F70F445CD06}" = ScannerCopy
"{A2BCA9F1-566C-4805-97D1-7FDC93386723}" = Adobe AIR
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A43BF6A5-D5F0-4AAA-BF41-65995063EC44}" = MSXML 6.0 Parser
"{A83279FD-CA4B-4206-9535-90974DE76654}" = Apple Application Support
"{A8D93648-9F7F-407D-915C-62044644C3DA}" = MSI to redistribute MS VS2005 CRT libraries
"{AB5D51AE-EBC3-438D-872C-705C7C2084B0}" = DeviceManagementQFolder
"{AC0BAA05-28E6-4911-B3F3-0AE2EB0F54A1}" = AKVIS Sketch
"{AC76BA86-7AD7-1031-7B44-AA1000000001}" = Adobe Reader X (10.1.3) - Deutsch
"{AC76BA86-7AD7-5464-3428-900000000004}" = Spelling Dictionaries Support For Adobe Reader 9
"{B23C5D58-003C-4B93-8F42-2EC328A15E70}" = A-Plan 2009
"{B3276CB1-20B6-4AF9-AAEC-E72C83816495}" = IKEA Home Planner
"{B6ADA0E4-9451-43EB-B86E-878AD9E68D4F}" = LightScribe 1.6.45.1
"{B824B5C9-849F-4b9e-9EA7-6FD8CD8116DA}" = CP_Package_Variety2
"{B996AE66-10DB-4ac5-B151-E8B4BFBC42FC}" = BufferChm
"{BF3D1BEE-2A48-4883-91D1-9BEABE58CCC3}" = XMLServiceToolV2
"{BFD5AC8A-5884-4da8-9873-3DF8E3DCCE18}" = 5600Trb
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C506A18C-1469-4678-B094-F4EC9DAE6DB7}" = Scan
"{C9BED750-1211-4480-B1A5-718A3BE15525}" = REALTEK GbE & FE Ethernet PCI-E NIC Driver
"{CC7984C5-020D-4944-85A0-58D09D4A8BFB}" = 5600_Help
"{CE24344F-DFD8-40C8-8FD8-C9740B5F25AC}" = Fax
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{CF78AB2B-1CA0-42D2-A2F1-FDEBC7876EF0}" = Microsoft SQL Server 2005 (SAGEHW)
"{D24DB8B9-BB6C-4334-9619-BA1C650E13D3}" = Microsoft Primary Interoperability Assemblies 2005
"{D38FCA52-0295-424D-A2B2-12220170BB44}" = Offerte_L
"{D5E208C2-B25E-4A4C-BA20-E5FC2B99DDA9}_is1" = Große Enzyklopädie der Steine 2013
"{E08CC458-41FB-4BB5-9B08-2C83DB55A5B9}" = Nero BackItUp and Burn
"{E124C546-B382-4255-B4F3-4E2A1BA4699B}" = XMLServiceToolV2
"{E2883E8F-472F-4fb0-9522-AC9BF37916A7}" = Adobe Download Manager
"{E3E71D07-CD27-46CB-8448-16D4FB29AA13}" = Microsoft WSE 3.0 Runtime
"{E3F90083-80D4-4b5a-87C7-E97E12F5516D}" = HPProductAssistant
"{E7084B89-69E0-46B3-A118-8F99D06988CD}" = Microsoft SQL Server VSS Writer
"{EA08048C-3823-4DC8-B169-1D5D11FFC19F}_is1" = PDF-XChange 4
"{EA103B64-C0E4-4C0E-A506-751590E1653D}" = SolutionCenter
"{EB7E68E5-B387-418E-A6B8-5B40D21D4EA9}" = Lexware Elster
"{EC36B80D-3A0B-44D2-A066-9F346FE05D54}" = TurboFLOORPLAN Garten- & Landschaftsarchitekt
"{EFADD989-D9F2-49F6-A280-675951CC78D3}" = FRITZ!Box-Fernzugang einrichten
"{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}" = Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F3C2ECAA-1B4D-4B75-9105-106B0D03EF02}" = Lexware Info Service
"{F4C2E5F5-2970-45f4-ABD3-C180C4D961C4}" = Status
"{FB369C20-81C1-4D86-B82F-C9B0815D1B9E}" = Lexware financial office 2012
"{FD9A07D2-1432-440D-9AB4-247676683380}" = XBRL Tool für Office 2000 und Office XP
"{FE64AE29-0883-4C70-8388-DC026019C900}" = HP Image Zone Express
"{FF748561-FFFE-11D3-A06B-00E02939A7B1}" = dakota.ag
"1&1 Office-Drive Manager" = 1&1 Office-Drive Manager
"7-Zip" = 7-Zip 9.20
"AbAlarm_is1" = AbAlarm
"ActiveNC" = ActiveNC
"Adobe Acrobat 5.0" = Adobe Acrobat 5.0
"Adobe AIR" = Adobe AIR
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Adobe Shockwave Player" = Adobe Shockwave Player 11.6
"ALUpdate_is1" = ALTools Update
"ALZip_is1" = ALZip
"atriga ShortCuts_is1" = atriga ShortCuts 1.0.0.5
"Avira AntiVir Desktop" = Avira Free Antivirus
"AVMWLANCLI" = AVM FRITZ!WLAN
"B991B020-2968-11D8-AF23-444553540000_is1" = FreeMind
"BIG+ 4.1_is1" = BIG+ 4.1
"Bronze-Designer_is1" = Bronze-Designer 5
"CCleaner" = CCleaner
"ERP Expert_is1" = ERP Expert Version 2.1
"Etiketten selbst gedruckt" = Etiketten selbst gedruckt
"FBDBServer_2_0_is1" = Firebird 2.0.1
"FRITZ!fax" = AVM FRITZ!fax
"Hardlock Gerätetreiber" = Hardlock Gerätetreiber
"HASP HL Device Driver" = HASP HL Device Driver
"HDMI" = Intel(R) Graphics Media Accelerator Driver
"hp deskjet 930c series_Driver" = hp deskjet 930c series
"HP Imaging Device Functions" = HP Imaging Device Functions 5.3
"HP Solution Center & Imaging Support Tools" = HP Solution Center & Imaging Support Tools 5.3
"HTML Help Workshop" = HTML Help Workshop
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie8" = Windows Internet Explorer 8
"InstallShield_{EC36B80D-3A0B-44D2-A066-9F346FE05D54}" = TurboFLOORPLAN Garten- & Landschaftsarchitekt
"IrfanView" = IrfanView (remove only)
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware Version 1.61.0.1400
"Microsoft .NET Framework 2.0 Language Pack - DEU" = Microsoft .NET Framework 2.0 Language Pack - DEU
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Microsoft .NET Framework 4 Client Profile" = Microsoft .NET Framework 4 Client Profile
"Microsoft SQL Server 2005" = Microsoft SQL Server 2005
"Mozilla Firefox 12.0 (x86 de)" = Mozilla Firefox 12.0 (x86 de)
"Mozilla Thunderbird 12.0.1 (x86 de)" = Mozilla Thunderbird 12.0.1 (x86 de)
"MozillaMaintenanceService" = Mozilla Maintenance Service
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"PDF 2 DXF 2" = PDF 2 DXF 2
"RegClean Pro_is1" = RegClean Pro
"Revo Uninstaller" = Revo Uninstaller 1.89
"Schrift 2 DXF und G-Code 3" = Schrift 2 DXF und G-Code 3
"Security Task Manager" = Security Task Manager 1.7g
"SerialLetterAndFax" = SerialLetterAndFax 1.81
"SevesCAD" = SevesCAD (remove only)
"STI3_is1" = STI Version 3
"SuperMailer_is1" = SuperMailer 5.40
"TightVNC" = TightVNC 2.0.4
"Tilgungsrechner_is1" = Datamatec Tilgungsrechner 4.31
"Windows Media Format Runtime" = Windows Media Format Runtime
"WinGimp-2.0_is1" = GIMP 2.6.8
"Zubehör für DXF-Schnittstelle ActiveNC" = Zubehör für DXF-Schnittstelle ActiveNC
========== Last 20 Event Log Errors ==========
[ Application Events ]
Error - 30.05.2012 00:30:59 | Computer Name = NERO_ASSOLUTO | Source = ESENT | ID = 490
Description = svchost (1172) Versuch, Datei "C:\WINDOWS\system32\CatRoot2\{127D0A1D-4EF2-11D1-8608-00C04FC295EE}\catdb"
für den Lese-/Schreibzugriff zu öffnen, ist mit Systemfehler 32 (0x00000020): "Der
Prozess kann nicht auf die Datei zugreifen, da sie von einem anderen Prozess verwendet
wird. " fehlgeschlagen. Fehler -1032 (0xfffffbf8) beim Öffnen von Dateien.
Error - 05.06.2012 12:00:18 | Computer Name = NERO_ASSOLUTO | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung VPNAdmin.exe, Version 1.0.3.0, fehlgeschlagenes
Modul VPNAdmin.exe, Version 1.0.3.0, Fehleradresse 0x0000dda4.
Error - 05.06.2012 12:00:37 | Computer Name = NERO_ASSOLUTO | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung VPNAdmin.exe, Version 1.0.3.0, fehlgeschlagenes
Modul VPNAdmin.exe, Version 1.0.3.0, Fehleradresse 0x0000dda4.
Error - 12.06.2012 02:25:57 | Computer Name = NERO_ASSOLUTO | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung frifax32.exe, Version 3.6.44.0, fehlgeschlagenes
Modul msvcr80.dll, Version 8.0.50727.6195, Fehleradresse 0x00014a5d.
Error - 12.06.2012 05:51:31 | Computer Name = NERO_ASSOLUTO | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung mbam.exe, Version 1.60.0.80, fehlgeschlagenes
Modul block.dll, Version 3.9.7.2001, Fehleradresse 0x00002534.
Error - 12.06.2012 06:07:50 | Computer Name = NERO_ASSOLUTO | Source = Application Error | ID = 1000
Description = Fehlgeschlagene Anwendung mbam.exe, Version 1.60.0.80, fehlgeschlagenes
Modul block.dll, Version 3.9.7.2001, Fehleradresse 0x00002540.
Error - 12.06.2012 06:17:14 | Computer Name = NERO_ASSOLUTO | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung mbam.exe, Version 1.60.0.80, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
Error - 12.06.2012 06:17:21 | Computer Name = NERO_ASSOLUTO | Source = Application Hang | ID = 1002
Description = Stillstehende Anwendung mbam.exe, Version 1.60.0.80, Stillstandmodul
hungapp, Version 0.0.0.0, Stillstandadresse 0x00000000.
[ System Events ]
Error - 11.06.2012 00:45:26 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 00:43:27 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 04:52:12 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 05:02:41 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 05:58:12 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 06:03:45 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 06:05:23 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 09:27:35 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
Error - 12.06.2012 10:10:22 | Computer Name = NERO_ASSOLUTO | Source = sr | ID = 1
Description = Beim Verarbeiten der Datei "" auf Volume "HarddiskVolume1" ist im
Wiederherstellungsfilter der unerwartete Fehler "0xC0000001" aufgetreten. Die Volumeüberwachung
wurde angehalten.
Error - 12.06.2012 10:10:38 | Computer Name = NERO_ASSOLUTO | Source = Service Control Manager | ID = 7023
Description = Der Dienst "IPSEC-Dienste" wurde mit folgendem Fehler beendet: %%10048
< End of report >
Code:
ATTFilter GMER 1.0.15.15641 - hxxp://www.gmer.net
Rootkit scan 2012-06-13 11:01:26
Windows 5.1.2600 Service Pack 3 Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T1L0-c ST3160815AS rev.4.AAB
Running: z5iyphcs.exe; Driver: C:\DOKUME~1\Admin\LOKALE~1\Temp\uwlyquod.sys
---- System - GMER 1.0.15 ----
SSDT BA6B5F1C ZwClose
SSDT BA6B5ED6 ZwCreateKey
SSDT BA6B5F26 ZwCreateSection
SSDT BA6B5ECC ZwCreateThread
SSDT BA6B5EDB ZwDeleteKey
SSDT BA6B5EE5 ZwDeleteValueKey
SSDT BA6B5F17 ZwDuplicateObject
SSDT BA6B5EEA ZwLoadKey
SSDT BA6B5EB8 ZwOpenProcess
SSDT BA6B5EBD ZwOpenThread
SSDT BA6B5F3F ZwQueryValueKey
SSDT BA6B5EF4 ZwReplaceKey
SSDT BA6B5F30 ZwRequestWaitReplyPort
SSDT BA6B5EEF ZwRestoreKey
SSDT BA6B5F2B ZwSetContextThread
SSDT BA6B5F35 ZwSetSecurityObject
SSDT BA6B5EE0 ZwSetValueKey
SSDT BA6B5F3A ZwSystemDebugControl
SSDT BA6B5EC7 ZwTerminateProcess
---- Kernel code sections - GMER 1.0.15 ----
.text ntkrnlpa.exe!ZwCallbackReturn + 2D64 8050461C 4 Bytes [EA, 5E, 6B, BA]
? hcvidqv.sys Das System kann die angegebene Datei nicht finden. !
.text C:\WINDOWS\system32\drivers\hardlock.sys section is writeable [0xA7B8F400, 0x87EE2, 0xE8000020]
.protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0xA7C33620] C:\WINDOWS\system32\drivers\hardlock.sys entry point in ".protectÿÿÿÿhardlockentry point in ".protectÿÿÿÿhardlockentry point in ".p" section [0xA7C33620]
.protectÿÿÿÿhardlockunknown last code section [0xA7C33400, 0x5126, 0xE0000020] C:\WINDOWS\system32\drivers\hardlock.sys unknown last code section [0xA7C33400, 0x5126, 0xE0000020]
---- Devices - GMER 1.0.15 ----
Device \Driver\aksusb \Device\00000077 AKSCLASS.SYS (Aladdin Class Driver/Aladdin Knowledge Systems Ltd.)
AttachedDevice \FileSystem\Fastfat \Fat fltMgr.sys (Microsoft Filesystem Filter Manager/Microsoft Corporation)
---- Registry - GMER 1.0.15 ----
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System
Reg HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\System@OODEFRAG12.00.00.01PROFESSIONAL 9F2A952F0E727EC05A71A377114898FED07306BEEE8A3E3BB9680E2E5E1BC6F685A050F3074E444BE8F8CB507623577B2EDC62A9D28F4F92D6DB22B2715997109746DD1FAC81F9A79462146F90BEB1127CB3A942DD8848666743F03DCCB1C50D908D0381318E35BBD5EBE636FEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CFEBC9E127BECC74CA6A0AC4980AC7933C038D530D6EB34528EDD5E5BE2F6E6679DB7CE019D40AA5C9E6026232B93AB3BCF98F59342793AE7F60D1336C88F9C7EF349426C7DEA8703ED5D534F8A377C58EA879D2D872BF3543DEB50984B845749C4DF978815A0453575488605FD1B2EF135015A683E85BB020CD30EA8C1A287E29C8A37BA0EBDA6F2710336FE738A7FEC1BDE3941151E72689BBA8C43B866D5F2A17536E0F1C6B83897146F3A923501B47D24DB756DEB4F8299B89F876EB23C27ED74BF9BFDA8DB7F0DA6CFF9B3AC193930F27388DE4CDDCF258BB1DB564B8CAE10FC915120AFC5CCED8A0B44E46902EA7993CAC2B4807CD455934065995B69BF88A8FDAA7F107DA4C7B069E0E7C648C017713E2DEBAADD993355DC1212EE4A124E35EA93735F61101F314461B105CF36B81DBB19375488A8BA7BAA12CFF77C634C05D2BE0997A11EEA460D16ECC5CBCA824AC9987E6BD6925DD066D8954B9E725F1DC4208018426015D0451
Reg HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Print\Printers\Mimaki CG-61(T8)\PrinterDriverData@(u\31}{v2\x201c 2
---- EOF - GMER 1.0.15 ----
Wäre suuuuuuuper, wenn sich der Virus ohne Festplatte-Plattmachen entfernen lassen würde und vielleicht sogar die ein oder andere umgeschriebene Datei retten lassen würde. Werde jetzt auch immer brav meine Backups machen, versprochen :-) Falls ich doch etwas nicht oder nicht richtig gemacht habe, bitte ich um Nachsicht...irgendwann hatte ich gestern einfach einen Knoten im Gehirn :-) Auf jeden Fall schon ein herzliches Dankeschön an alle, die sich überhaupt meine Problemschilderung durchgelesen haben ! Viele Grüße, Gitta |
|
14.06.2012, 07:14
| #2 |
| /// Helfer-Team    | Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung Hallo und Herzlich Willkommen!
__________________ für Xp als Betriebsystem sieht schlecht aus... ► Welche Art und Weise wurden die Daten (Eigene Dateien wie Bilder, Dokumente, Musik etc) bereits verschlüsselt? Kannst Du ein Beispiel nennen? Dateiändung wurden zugefügt (z.B "locked- .wxyz"), oder nach einem Zufallsprinzip besteht ein Dateiname aus Groß und Kleinbuchstaben (wie z.B QsEEUTODXNVqyssQ) andere? Nämlich manche Varianten lassen sich entschlüsseln, andere wieder leider nicht.. ich vermute wird es bei euch "QsEEUTODXNVqyssQ" sein wenn ja, dann:-> zur Info: Es tut mir leid. Kein Happy End! Diese Art der Verschlüsselung ist momentan nicht reparierbar! Die einzige Möglichkeit deine Daten zu retten ist (wenn schon dann irgendwann), aber niemand soll sich falsche Hoffnungen machen: Festplatte ausbauen (also aufheben in den aktuellen Zustand) nicht mehr etwas löschen, ändern! eine neue Festplatte kaufen und einbauen, Windows drauf installieren damit Du am PC arbeiten kannst! Die befallene Platte auf Seite legen und warten solange, bis es eine Lösung gibt zur Info: Vorgehen beim Verschlüsselungs-Trojaner :-> http://www.trojaner-board.de/114783-...ubersicht.html damit das nochmal nicht passiert, wie vermeide ich Datenverlust: ► Da sieht man wieder einmal wie wichtig ist, um die regelmäßige Sicherung (wichtigen Daten) zu kümmern Denk daran: dein Hauptsystem ist doch kein Lagerhalle! Wichtige Daten Regelmäßig sichern, am besten 2x an verschiedenen Orten! - Externe Geräte (Festplatte USB-Stick etc) nicht ständig am PC anschließen, sondern nur kurzfristig während Du etwas sichern möchtest E-Mail-Anhang - Öffne keine E-Mail-Anhänge (Attachments), wenn du den Absender nicht kennst! -> Mails besonders mit Anhang, nicht anklicken, sondern als Text oder in Druckversion anzeigen lassen. Mailprogramm grundsätzlich so einstellen gruß kira
__________________ |
|
14.06.2012, 10:19
| #3 |
| | Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung Hallo, Kira,
__________________Danke für Deine Antwort ! Ja, die Dateinamen wurden komplett mit irgendwelchen sinnfreien Buchstabenkombinationen ohne Dateiendung überschrieben. Kann daher auch nicht mehr nachvollziehen, was für ein Datentyp die Ursprungsdatei war... Dann mach ich mir wohl mal lieber keine Hoffnung und schau nach ner neuen Platte.... Ja, ja - aus Fehlern lernt man - hoffe ich zumindest ;-) Viele Grüße Gitta |
|
14.06.2012, 14:07
| #4 | ||
| /// Helfer-Team | Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung einen kleinen Hoffnungsschimmer noch:-> http://www.trojaner-board.de/116851-...strojaner.html Ich würde Dir vorsichtshalber raten, dein Passwort zu ändern (man sollte alle 3-4 Monate machen) z.B. Login-, Mail- oder Website-Passwörter Tipps: Die sichere Passwort-Wahl - (sollte man eigentlich regelmäßigen Abständen ca. alle 3-5 Monate ändern) auch noch hier unter: Sicheres Kennwort (Password) Lesestoff Nr.1: Gib Kriminellen Handlungen keine Chance! Zitat:
** Der gesunde Menschenverstand, Windows und Internet-Software sicher konfigurieren ist der beste Weg zur Sicherheit im Webverkehr ist !! Zitat:
► Kann sich auf Dauer eine Menge Datenmüll ansammeln, sich Fehlermeldungen häufen, der PC ist wahrscheinlich nicht mehr so schnell, wie früher:
Wenn Du uns unterstützen möchtest→ Spendekonto gruß kira
__________________ Warnung!: Vorsicht beim Rechnungen per Email mit ZIP-Datei als Anhang! Kann mit einen Verschlüsselungs-Trojaner infiziert sein! Anhang nicht öffnen, in unserem Forum erst nachfragen! Sichere regelmäßig deine Daten, auf CD/DVD, USB-Sticks oder externe Festplatten, am besten 2x an verschiedenen Orten! Bitte diese Warnung weitergeben, wo Du nur kannst! |
|
14.06.2012, 14:44
| #5 |
| | Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung Danke für Deinen Hoffnungsschimmer, Kira ! Dann weiß ich jetzt wohl, was ich am Wochenende tun werde - nämlich Daten versuchen zu retten ! Viele Grüße Gitta |
|
| Themen zu Verschlüsselungs-Trojaner Trojan.Ransomlock.P durch Anhang einer Email-Mahnung |
| 0xc0000001, alternate, avira, bho, bildschirm, claro, dateisystem, desktop, device driver, dllhost.exe, email, entfernen, error, excel, firefox, flash player, gerätetreiber, helper, heuristiks/extra, heuristiks/shuriken, home, intranet, lexware, log-datei, logfile, mozilla, msvcr80.dll, nicht mehr öffnen, nt.dll, officejet, plug-in, programm, realtek, recover, regclean, regclean pro, registry, revo uninstaller, scan, schreibfehler, schwarzer bildschirm, searchscopes, software, stick, svchost.exe, systweak, taskmanager, version=1.0, verweise, warnung, windows, windows internet, zip-anhang |
) Eine weitere höchst unsichere Quelle ist das File-Sharing der sog. (Musik-)Tauschbörsen. 
Linear-Darstellung
