Vermutete SpyEyeoder Zeus Infektion...

OTee · 24.08.2012, 09:49

Hallo t'john,

ich bin überrascht! Ne 03:00 Reply ? Ist dasDein Ernst? Schlaft Ihr nicht ???? ;-)
Ich hatte ja mit etwas Wartezeit gerechnet schließlich ist das alles hier ja 'voluntarily'.

Schonmal Daaaaanke für den Einsatz !

Skript ist grad gelaufen, hier das Ergebnis (08242012_102956.log):

Code:

ATTFilter

All processes killed
========== OTL ==========
Service WDICA stopped successfully!
Service WDICA deleted successfully!
File  File not found not found.
Service PDRFRAME stopped successfully!
Service PDRFRAME deleted successfully!
File  File not found not found.
Service PDRELI stopped successfully!
Service PDRELI deleted successfully!
File  File not found not found.
Service PDFRAME stopped successfully!
Service PDFRAME deleted successfully!
File  File not found not found.
Service PDCOMP stopped successfully!
Service PDCOMP deleted successfully!
File  File not found not found.
Service PCIDump stopped successfully!
Service PCIDump deleted successfully!
File  File not found not found.
Service lbrtfdc stopped successfully!
Service lbrtfdc deleted successfully!
File  File not found not found.
Service i2omgmt stopped successfully!
Service i2omgmt deleted successfully!
File  File not found not found.
Service Changer stopped successfully!
Service Changer deleted successfully!
File  File not found not found.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
HKU\S-1-5-21-776561741-1035525444-725345543-1003\SOFTWARE\Microsoft\Internet Explorer\Main\\Start Page| /E : value set successfully!
Registry value HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\URLSearchHooks\\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\ deleted successfully.
C:\Programme\softonic-de3\prxtbsof2.dll moved successfully.
HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ not found.
Registry key HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\SearchScopes\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{afdbddaa-5d3f-42ee-b79c-185a7020515b}\ not found.
HKU\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Internet Settings\\ProxyEnable|dword:0 /E : value set successfully!
Prefs.js: "Google" removed from browser.search.defaultenginename
Prefs.js: "softonic-de3 Customized Web Search" removed from browser.search.defaultthis.engineName
Prefs.js: "hxxp://search.conduit.com/ResultsExt.aspx?ctid=CT2431245&SearchSource=3&q={searchTerms}" removed from browser.search.defaulturl
Prefs.js: true removed from browser.search.useDBForOrder
Prefs.js: "www.google.de" removed from browser.startup.homepage
Prefs.js: jqs@sun.com:1.0 removed from extensions.enabledItems
Prefs.js: {8f8fe09b-0bd3-4470-bc1b-8cad42b8203a}:0.16 removed from extensions.enabledItems
Prefs.js: bkmrksync@nokia.com:1.0.0.736 removed from extensions.enabledItems
Prefs.js: {AB2CE124-6272-4b12-94A9-7303C7397BD1}:5.0.0.6906 removed from extensions.enabledItems
Prefs.js: {bee6eb20-01e0-ebd1-da83-080329fb9a3a}:0.1 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0022-ABCDEFFEDCBA}:6.0.22 removed from extensions.enabledItems
Prefs.js: {CAFEEFAC-0016-0000-0024-ABCDEFFEDCBA}:6.0.24 removed from extensions.enabledItems
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\ not found.
File C:\Programme\softonic-de3\prxtbsof2.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Internet Explorer\Toolbar\\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{cc05a3e3-64c3-4af2-bfc1-af0d66b69065}\ not found.
File de3\prxtbsof2.dll not found.
Registry value HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser\\{CC05A3E3-64C3-4AF2-BFC1-AF0D66B69065} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CC05A3E3-64C3-4AF2-BFC1-AF0D66B69065}\ not found.
File de3\prxtbsof2.dll not found.
Registry value HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Run\\ deleted successfully.
Registry value HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\Software\Microsoft\Windows\CurrentVersion\Run\\{6A56C644-8405-AD7D-E7F5-EED9C51FCDCB} deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A56C644-8405-AD7D-E7F5-EED9C51FCDCB}\ not found.
C:\Dokumente und Einstellungen\Nadin\Anwendungsdaten\Latau\edaq.exe moved successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\HonorAutoRunSetting deleted successfully.
Registry value HKEY_USERS\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun not found.
Registry value HKEY_USERS\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Registry value HKEY_USERS\S-1-5-21-776561741-1035525444-725345543-1003\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer\\NoDriveTypeAutoRun deleted successfully.
Starting removal of ActiveX control {8AD9C840-044E-11D1-B3E9-00805F499D93}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{8AD9C840-044E-11D1-B3E9-00805F499D93}\ not found.
Starting removal of ActiveX control {CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-0016-0000-0031-ABCDEFFEDCBA}\ not found.
Starting removal of ActiveX control {CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{CAFEEFAC-FFFF-FFFF-FFFF-ABCDEFFEDCBA}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon\Notify\ATFUS\ deleted successfully.
C:\WINDOWS\system32\FpWinlogonNp.dll moved successfully.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\AUTOEXEC.BAT moved successfully.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc86-15b3-11df-a126-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{2029cc89-15b3-11df-a126-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{38ec4030-8a09-11df-a268-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac6-1d8b-11df-a133-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6d17dac7-1d8b-11df-a133-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{751d063a-8b57-11df-a26a-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ not found.
Registry key HKEY_CURRENT_USER\SOFTWARE\Microsoft\Windows\CurrentVersion\Explorer\MountPoints2\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{dd8921e4-1fe7-11df-a136-001dd9ede8a6}\ not found.
File E:\AutoRun.exe not found.
C:\WINDOWS\System32\CONFIG.TMP deleted successfully.
C:\WINDOWS\System32\SET54.tmp deleted successfully.
C:\WINDOWS\System32\SET58.tmp deleted successfully.
C:\WINDOWS\System32\SET60.tmp deleted successfully.
C:\Dokumente und Einstellungen\Nadin\Desktop\j41do9qw.exe moved successfully.
C:\Dokumente und Einstellungen\Nadin\Desktop\jd-gui.exe moved successfully.
C:\Dokumente und Einstellungen\Nadin\Anwendungsdaten\Mozilla\Firefox\Profiles\kpg2gled.default\searchplugins\conduit.xml moved successfully.
C:\Dokumente und Einstellungen\Nadin\Anwendungsdaten\Mozilla\Firefox\Profiles\kpg2gled.default\searchplugins\youtube-videosuche.xml moved successfully.
========== FILES ==========
< ipconfig /flushdns /c >
Windows-IP-Konfiguration
Der DNS-Auflösungscache wurde geleert.
C:\Dokumente und Einstellungen\Nadin\Desktop\cmd.bat deleted successfully.
C:\Dokumente und Einstellungen\Nadin\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: All Users
 
User: backup_philips
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 33170 bytes
->Flash cache emptied: 56507 bytes
 
User: LocalService
->Temp folder emptied: 66016 bytes
->Temporary Internet Files folder emptied: 33170 bytes
 
User: Nadin
->Temp folder emptied: 227374276 bytes
->Temporary Internet Files folder emptied: 78496634 bytes
->Java cache emptied: 13437385 bytes
->FireFox cache emptied: 714993591 bytes
->Google Chrome cache emptied: 6360859 bytes
->Flash cache emptied: 351834 bytes
 
User: NetworkService
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 131834236 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 2167231 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\dllcache .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 91252327 bytes
RecycleBin emptied: 148821050 bytes
 
Total Files Cleaned = 1.350,00 mb
 
 
OTL by OldTimer - Version 3.2.58.1 log created on 08242012_102956

Files\Folders moved on Reboot...
File\Folder C:\WINDOWS\temp\logishrd\LVPrcInj04.dll not found!

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

Ich hab mir erlaubt mal nach demOTL Reboot Antivir und Malwarebytes laufenzu lassen (Habe aber nichts in Quarantäne verschoben oder fixen lassen).

BEIDE weisen mich noch auf vorhandene Infektionen hin!
Malwarebytes:

Code:

ATTFilter

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org

Datenbank Version: v2012.08.23.04

Windows XP Service Pack 3 x86 NTFS
Internet Explorer 8.0.6001.18702
Nadin :: NADIN-NOTEBOOK [Administrator]

24.08.2012 13:23:07
mbam-log-2012-08-24 (13-36-49).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 187283
Laufzeit: 9 Minute(n), 40 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Run|{6A56C644-8405-AD7D-E7F5-EED9C51FCDCB} (Trojan.ZbotR.Gen) -> Daten: "C:\Dokumente und Einstellungen\Nadin\Anwendungsdaten\Latau\edaq.exe" -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

Antivir:

Code:

ATTFilter

Avira Free Antivirus
Erstellungsdatum der Reportdatei: Freitag, 24. August 2012  10:42

Es wird nach 4159952 Virenstämmen gesucht.

Das Programm läuft als uneingeschränkte Vollversion.
Online-Dienste stehen zur Verfügung.

Lizenznehmer   : Avira AntiVir Personal - Free Antivirus
Seriennummer   : 0000149996-ADJIE-0000001
Plattform      : Microsoft Windows XP
Windowsversion : (Service Pack 3)  [5.1.2600]
Boot Modus     : Normal gebootet
Benutzername   : SYSTEM
Computername   : NADIN-NOTEBOOK

Versionsinformationen:
BUILD.DAT      : 12.0.0.1167    40870 Bytes  18.07.2012 19:07:00
AVSCAN.EXE     : 12.3.0.33     468472 Bytes  18.07.2012 16:04:24
AVSCAN.DLL     : 12.3.0.15      66256 Bytes  18.07.2012 16:04:38
LUKE.DLL       : 12.3.0.15      68304 Bytes  18.07.2012 16:04:31
AVSCPLR.DLL    : 12.3.0.27      97064 Bytes  18.07.2012 16:04:24
AVREG.DLL      : 12.3.0.33     232232 Bytes  18.07.2012 16:04:23
VBASE000.VDF   : 7.10.0.0    19875328 Bytes  06.11.2009 18:18:34
VBASE001.VDF   : 7.11.0.0    13342208 Bytes  14.12.2010 23:22:12
VBASE002.VDF   : 7.11.19.170 14374912 Bytes  20.12.2011 23:31:36
VBASE003.VDF   : 7.11.21.238  4472832 Bytes  01.02.2012 09:58:50
VBASE004.VDF   : 7.11.26.44   4329472 Bytes  28.03.2012 22:37:35
VBASE005.VDF   : 7.11.34.116  4034048 Bytes  29.06.2012 16:04:37
VBASE006.VDF   : 7.11.34.117     2048 Bytes  29.06.2012 16:04:37
VBASE007.VDF   : 7.11.34.118     2048 Bytes  29.06.2012 16:04:37
VBASE008.VDF   : 7.11.34.119     2048 Bytes  29.06.2012 16:04:37
VBASE009.VDF   : 7.11.34.120     2048 Bytes  29.06.2012 16:04:37
VBASE010.VDF   : 7.11.34.121     2048 Bytes  29.06.2012 16:04:37
VBASE011.VDF   : 7.11.34.122     2048 Bytes  29.06.2012 16:04:37
VBASE012.VDF   : 7.11.34.123     2048 Bytes  29.06.2012 16:04:37
VBASE013.VDF   : 7.11.34.124     2048 Bytes  29.06.2012 16:04:37
VBASE014.VDF   : 7.11.38.18   2554880 Bytes  30.07.2012 18:16:07
VBASE015.VDF   : 7.11.38.70    556032 Bytes  31.07.2012 18:16:09
VBASE016.VDF   : 7.11.38.143   171008 Bytes  02.08.2012 18:16:09
VBASE017.VDF   : 7.11.38.221   178176 Bytes  06.08.2012 18:16:10
VBASE018.VDF   : 7.11.39.37    168448 Bytes  08.08.2012 18:16:10
VBASE019.VDF   : 7.11.39.89    131072 Bytes  09.08.2012 18:16:11
VBASE020.VDF   : 7.11.39.145   142336 Bytes  11.08.2012 18:16:11
VBASE021.VDF   : 7.11.39.207   165888 Bytes  14.08.2012 18:16:11
VBASE022.VDF   : 7.11.40.9     156160 Bytes  16.08.2012 18:16:12
VBASE023.VDF   : 7.11.40.49    133120 Bytes  17.08.2012 18:16:12
VBASE024.VDF   : 7.11.40.95    156160 Bytes  20.08.2012 18:16:13
VBASE025.VDF   : 7.11.40.155   181760 Bytes  22.08.2012 18:16:13
VBASE026.VDF   : 7.11.40.156     2048 Bytes  22.08.2012 18:16:13
VBASE027.VDF   : 7.11.40.157     2048 Bytes  22.08.2012 18:16:13
VBASE028.VDF   : 7.11.40.158     2048 Bytes  22.08.2012 18:16:14
VBASE029.VDF   : 7.11.40.159     2048 Bytes  22.08.2012 18:16:14
VBASE030.VDF   : 7.11.40.160     2048 Bytes  22.08.2012 18:16:14
VBASE031.VDF   : 7.11.40.200   201216 Bytes  23.08.2012 18:16:14
Engineversion  : 8.2.10.132
AEVDF.DLL      : 8.1.2.10      102772 Bytes  23.08.2012 18:16:25
AESCRIPT.DLL   : 8.1.4.42      459129 Bytes  23.08.2012 18:16:25
AESCN.DLL      : 8.1.8.2       131444 Bytes  16.02.2012 16:11:36
AESBX.DLL      : 8.2.5.12      606578 Bytes  18.07.2012 16:04:20
AERDL.DLL      : 8.1.9.15      639348 Bytes  20.01.2012 23:21:32
AEPACK.DLL     : 8.3.0.24      811381 Bytes  23.08.2012 18:16:24
AEOFFICE.DLL   : 8.1.2.42      201083 Bytes  23.08.2012 18:16:23
AEHEUR.DLL     : 8.1.4.86     5165429 Bytes  23.08.2012 18:16:22
AEHELP.DLL     : 8.1.23.2      258422 Bytes  18.07.2012 16:04:17
AEGEN.DLL      : 8.1.5.34      434548 Bytes  23.08.2012 18:16:16
AEEXP.DLL      : 8.1.0.74       86387 Bytes  23.08.2012 18:16:25
AEEMU.DLL      : 8.1.3.2       393587 Bytes  23.08.2012 18:16:16
AECORE.DLL     : 8.1.27.4      201078 Bytes  23.08.2012 18:16:15
AEBB.DLL       : 8.1.1.0        53618 Bytes  20.01.2012 23:21:28
AVWINLL.DLL    : 12.3.0.15      27344 Bytes  18.07.2012 16:04:25
AVPREF.DLL     : 12.3.0.15      51920 Bytes  18.07.2012 16:04:23
AVREP.DLL      : 12.3.0.15     179208 Bytes  18.07.2012 16:04:23
AVARKT.DLL     : 12.3.0.15     211408 Bytes  18.07.2012 16:04:21
AVEVTLOG.DLL   : 12.3.0.15     169168 Bytes  18.07.2012 16:04:22
SQLITE3.DLL    : 3.7.0.1       398288 Bytes  18.07.2012 16:04:34
AVSMTP.DLL     : 12.3.0.32      63480 Bytes  18.07.2012 16:04:24
NETNT.DLL      : 12.3.0.15      17104 Bytes  18.07.2012 16:04:31
RCIMAGE.DLL    : 12.3.0.31    4444408 Bytes  18.07.2012 16:04:41
RCTEXT.DLL     : 12.3.0.31     100088 Bytes  18.07.2012 16:04:41

Konfiguration für den aktuellen Suchlauf:
Job Name..............................: Vollständige Systemprüfung
Konfigurationsdatei...................: c:\programme\avira\antivir desktop\sysscan.avp
Protokollierung.......................: standard
Primäre Aktion........................: interaktiv
Sekundäre Aktion......................: ignorieren
Durchsuche Masterbootsektoren.........: ein
Durchsuche Bootsektoren...............: ein
Bootsektoren..........................: C:, 
Durchsuche aktive Programme...........: ein
Laufende Programme erweitert..........: ein
Durchsuche Registrierung..............: ein
Suche nach Rootkits...................: ein
Integritätsprüfung von Systemdateien..: aus
Datei Suchmodus.......................: Alle Dateien
Durchsuche Archive....................: ein
Rekursionstiefe einschränken..........: 20
Archiv Smart Extensions...............: ein
Makrovirenheuristik...................: ein
Dateiheuristik........................: erweitert

Beginn des Suchlaufs: Freitag, 24. August 2012  10:42

Der Suchlauf über die Masterbootsektoren wird begonnen:
Masterbootsektor HD0
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf über die Bootsektoren wird begonnen:
Bootsektor 'C:\'
    [INFO]      Es wurde kein Virus gefunden!

Der Suchlauf nach versteckten Objekten wird begonnen.

Der Suchlauf über gestartete Prozesse wird begonnen:
Durchsuche Prozess 'rsmsink.exe' - '29' Modul(e) wurden durchsucht
Durchsuche Prozess 'plugin-container.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'msdtc.exe' - '40' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'dllhost.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'vssvc.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'avscan.exe' - '70' Modul(e) wurden durchsucht
Durchsuche Prozess 'avcenter.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'firefox.exe' - '89' Modul(e) wurden durchsucht
Durchsuche Prozess 'avgnt.exe' - '67' Modul(e) wurden durchsucht
Durchsuche Prozess 'sched.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'avshadow.exe' - '27' Modul(e) wurden durchsucht
Durchsuche Prozess 'avguard.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclBCBTSrv.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclRSSrv.exe' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'NclUSBSrv.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'ServiceLayer.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'WPFFontCache_v0400.exe' - '19' Modul(e) wurden durchsucht
Durchsuche Prozess 'BTSTAC~1.EXE' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'ONENOTEM.EXE' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'BTTray.exe' - '52' Modul(e) wurden durchsucht
Durchsuche Prozess 'Skype.exe' - '108' Modul(e) wurden durchsucht
Durchsuche Prozess 'KiesPDLR.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'msmsgs.exe' - '44' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '34' Modul(e) wurden durchsucht
Durchsuche Prozess 'ctfmon.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'COCIManager.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'htcUPCTLoader.exe' - '102' Modul(e) wurden durchsucht
Durchsuche Prozess 'jusched.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'KiesTrayAgent.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'AdobeARM.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'scheduler_proxy.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'fpassist.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'Quickcam.exe' - '55' Modul(e) wurden durchsucht
Durchsuche Prozess 'Communications_Helper.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'KMProcess.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'RTHDCPL.EXE' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'KMConfig.exe' - '31' Modul(e) wurden durchsucht
Durchsuche Prozess 'StartAutorun.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'notepad.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'LVComSer.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'alg.exe' - '33' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiapsrv.exe' - '45' Modul(e) wurden durchsucht
Durchsuche Prozess 'wmiprvse.exe' - '47' Modul(e) wurden durchsucht
Durchsuche Prozess 'CNAB4RPK.EXE' - '15' Modul(e) wurden durchsucht
Durchsuche Prozess 'SUService.exe' - '57' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvtsched.exe' - '37' Modul(e) wurden durchsucht
Durchsuche Prozess 'tvt_reg_monitor_svc.exe' - '21' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '39' Modul(e) wurden durchsucht
Durchsuche Prozess 'rpcnet.exe' - '26' Modul(e) wurden durchsucht
Durchsuche Prozess 'RegSrvc.exe' - '24' Modul(e) wurden durchsucht
Durchsuche Prozess 'PassThruSvr.exe' - '60' Modul(e) wurden durchsucht
Durchsuche Prozess 'nvsvc32.exe' - '46' Modul(e) wurden durchsucht
Durchsuche Prozess 'NMSAccessU.exe' - '14' Modul(e) wurden durchsucht
Durchsuche Prozess 'LVPrcSrv.exe' - '17' Modul(e) wurden durchsucht
Durchsuche Prozess 'LVComSer.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'jqs.exe' - '83' Modul(e) wurden durchsucht
Durchsuche Prozess 'FpLogonServ.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'agrsmsvc.exe' - '11' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '35' Modul(e) wurden durchsucht
Durchsuche Prozess 'spoolsv.exe' - '72' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '49' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '32' Modul(e) wurden durchsucht
Durchsuche Prozess 'S24EvMon.exe' - '66' Modul(e) wurden durchsucht
Durchsuche Prozess 'Explorer.EXE' - '106' Modul(e) wurden durchsucht
Durchsuche Prozess 'EvtEng.exe' - '69' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '30' Modul(e) wurden durchsucht
Durchsuche Prozess 'btwdins.exe' - '22' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '171' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '38' Modul(e) wurden durchsucht
Durchsuche Prozess 'svchost.exe' - '48' Modul(e) wurden durchsucht
Durchsuche Prozess 'lsass.exe' - '58' Modul(e) wurden durchsucht
Durchsuche Prozess 'services.exe' - '36' Modul(e) wurden durchsucht
Durchsuche Prozess 'winlogon.exe' - '71' Modul(e) wurden durchsucht
Durchsuche Prozess 'csrss.exe' - '14' Modul(e) wurden durchsucht
Durchsuche Prozess 'smss.exe' - '2' Modul(e) wurden durchsucht

Der Suchlauf auf Verweise zu ausführbaren Dateien (Registry) wird begonnen:
Die Registry wurde durchsucht ( '2202' Dateien ).


Der Suchlauf über die ausgewählten Dateien wird begonnen:

Beginne mit der Suche in 'C:\'
C:\Dokumente und Einstellungen\Nadin\Desktop\avira_free_antivirus_de.exe
  [WARNUNG]   Die Datei ist kennwortgeschützt
C:\Dokumente und Einstellungen\Nadin\Lokale Einstellungen\Anwendungsdaten\Google\GoogleEarth\webdata\f_000072
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Nadin\Lokale Einstellungen\Anwendungsdaten\Google\GoogleEarth\webdata\f_0000b8
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Nadin\Lokale Einstellungen\Anwendungsdaten\Google\GoogleEarth\webdata\f_000496
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Dokumente und Einstellungen\Nadin\Lokale Einstellungen\Anwendungsdaten\Google\GoogleEarth\webdata\f_000586
  [WARNUNG]   Unerwartetes Dateiende erreicht
C:\Programme\WinRAR\rarnew.dat
  [WARNUNG]   Das Archiv ist unbekannt oder defekt
C:\System Volume Information\_restore{A6E56879-E669-462F-B124-6B2355AA57AA}\RP681\A0065332.exe
  [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
C:\_OTL\MovedFiles\08242012_102956\C_Dokumente und Einstellungen\Nadin\Anwendungsdaten\Latau\edaq.exe
  [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen

Beginne mit der Desinfektion:
C:\_OTL\MovedFiles\08242012_102956\C_Dokumente und Einstellungen\Nadin\Anwendungsdaten\Latau\edaq.exe
  [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
  [WARNUNG]   Die Datei wurde ignoriert.
C:\System Volume Information\_restore{A6E56879-E669-462F-B124-6B2355AA57AA}\RP681\A0065332.exe
  [FUND]      Ist das Trojanische Pferd TR/Crypt.XPACK.Gen
  [WARNUNG]   Die Datei wurde ignoriert.


Ende des Suchlaufs: Freitag, 24. August 2012  13:22
Benötigte Zeit:  2:19:05 Stunde(n)

Der Suchlauf wurde vollständig durchgeführt.

  11140 Verzeichnisse wurden überprüft
 1386027 Dateien wurden geprüft
      2 Viren bzw. unerwünschte Programme wurden gefunden
      0 Dateien wurden als verdächtig eingestuft
      0 Dateien wurden gelöscht
      0 Viren bzw. unerwünschte Programme wurden repariert
      0 Dateien wurden in die Quarantäne verschoben
      0 Dateien wurden umbenannt
      0 Dateien konnten nicht durchsucht werden
 1386025 Dateien ohne Befall
   7236 Archive wurden durchsucht
      8 Warnungen
      0 Hinweise
 421429 Objekte wurden beim Rootkitscan durchsucht
      0 Versteckte Objekte wurden gefunden

Vermutete SpyEyeoder Zeus Infektion...

Log-Analyse und Auswertung: Vermutete SpyEyeoder Zeus Infektion...

Vermutete SpyEyeoder Zeus Infektion...

Ähnliche Themen: Vermutete SpyEyeoder Zeus Infektion...