Bundestrojaner/Bundespolizei Virus mit verschlüsselten Dateien

Battlepad · 08.09.2012, 12:03

Hallo,

Ich habe gerade den PC von meiner Nachbarin hier.
Sie hat sich einen Bundestrojaner Virus eingefangen und fast all ihre Daten sind komplett verschlüsselt. Weiterhin kann ich z.B. nicht im abgesicherten Modus starten, beim Vorgang kriege ich dann einen Bluescreen zu sehen. Auf dem Computer läuft übrigens Windows XP 32 Bit.
Ich habe den PC nicht hier ans Netzwerk gehängt, da ich nicht sicher bin ob sich da irgend etwas verbreiten kann. Ich kann aber sagen, dass ich offline keine Anzeige reinkriege ("Zahlen Sie 50€ über ukash" etc.) und bis auf die Verschlüsselung relativ normal arbeiten kann.

Ich habe bereits einen Quick Scan mit Malwarebytes durchgeführt und führe gerade einen vollständigen Scan durch.

Am wichtigsten scheint ihr die Rettung der Daten eines bestimmten Programms ("MF Dach") zu sein. Durch die Verschlüsselung kann man aber nicht darauf zugreifen.

Hier schon mal das Logfile des Quick Scans:

Code:

ATTFilter

Malwarebytes Anti-Malware 1.62.0.1300
www.malwarebytes.org
 
Datenbank Version: v2012.07.03.05
 
Windows XP Service Pack 2 x86 NTFS
Internet Explorer 7.0.5730.11
Heinz :: WOLLENSACK_BÜRO [Administrator]
 
08.09.2012 11:42:36
mbam-log-2012-09-08 (11-42-36).txt
 
Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 243940
Laufzeit: 7 Minute(n), 51 Sekunde(n)
 
Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Registrierungsschlüssel: 2
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\msconfig.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Image File Execution Options\regedit.exe (Security.Hijack) -> Erfolgreich gelöscht und in Quarantäne gestellt.
 
Infizierte Registrierungswerte: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.
HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Daten: 1 -> Erfolgreich gelöscht und in Quarantäne gestellt.
 
Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)
 
Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)
 
(Ende)

4 Dateien wurden erkannt, die Verschlüsselung besteht aber weiterhin

Über eure Hilfe würde ich mich freuen!

Danke im Voraus!
Gruß Battlepad

Edit:
Der vollständige Scan hat nichts neues mehr gefunden.
Ich habe derweil noch einen Scan über OTL gemacht. Hier die beiden Logs:

OTL.txt
OTL Logfile:

Code:

ATTFilter

OTL logfile created on: 08.09.2012 13:12:15 - Run 1
OTL by OldTimer - Version 3.2.61.2     Folder = E:\
Windows XP Media Center Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 7.0.5730.11)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1022,42 Mb Total Physical Memory | 619,34 Mb Available Physical Memory | 60,58% Memory free
2,40 Gb Paging File | 2,12 Gb Available in Paging File | 88,39% Paging File free
Paging file location(s): C:\pagefile.sys 0 0 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 149,04 Gb Total Space | 134,47 Gb Free Space | 90,23% Space Free | Partition Type: NTFS
Drive E: | 14,92 Gb Total Space | 14,92 Gb Free Space | 100,00% Space Free | Partition Type: FAT32
 
Computer Name: WOLLENSACK_BÜRO | User Name: Heinz | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - E:\OTL.exe (OldTimer Tools)
PRC - C:\Programme\Gemeinsame Dateien\Acronis\CDP\afcdpsrv.exe (Acronis)
PRC - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe (Acronis)
PRC - C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe (Acronis)
PRC - C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe (Acronis)
PRC - C:\Programme\Acronis\OnlineBackupStandalone\TrueImageMonitor.exe (Acronis)
PRC - C:\Programme\Lexmark 1200 Series\lxczbmon.exe (Lexmark International, Inc.)
PRC - C:\Programme\Lexmark 1200 Series\lxczbmgr.exe (Lexmark International, Inc.)
PRC - C:\Programme\Picasa2\PicasaMediaDetector.exe (Google Inc.)
PRC - C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe ()
PRC - C:\Programme\Java\jre1.5.0_04\bin\jusched.exe (Sun Microsystems, Inc.)
PRC - C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe (Ulead Systems, Inc.)
PRC - C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe (America Online, Inc.)
PRC - C:\WINDOWS\explorer.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
MOD - C:\WINDOWS\system32\sbe.dll ()
MOD - C:\WINDOWS\system32\nvapi.dll ()
MOD - C:\WINDOWS\system32\spool\prtprocs\w32x86\LXCZPP5C.DLL ()
MOD - C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe ()
MOD - C:\WINDOWS\system32\msdmo.dll ()
 
 
========== Services (SafeList) ==========
 
SRV - (AdobeFlashPlayerUpdateSvc) -- C:\WINDOWS\system32\Macromed\Flash\FlashPlayerUpdateService.exe (Adobe Systems Incorporated)
SRV - (afcdpsrv) -- C:\Programme\Gemeinsame Dateien\Acronis\CDP\afcdpsrv.exe (Acronis)
SRV - (AcrSch2Svc) -- C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedul2.exe (Acronis)
SRV - (USBDeviceService) -- C:\Programme\Sonic\DigitalMedia LE v7\MyDVD LE\USBDeviceService.exe ()
SRV - (UleadBurningHelper) -- C:\Programme\Gemeinsame Dateien\Ulead Systems\DVD\ULCDRSvr.exe (Ulead Systems, Inc.)
SRV - (AOL ACS) -- C:\Programme\Gemeinsame Dateien\aol\ACS\AOLacsd.exe (America Online, Inc.)
SRV - (ose) -- C:\Programme\Gemeinsame Dateien\Microsoft Shared\Source Engine\OSE.EXE (Microsoft Corporation)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (WDICA) --  File not found
DRV - (PDRFRAME) --  File not found
DRV - (PDRELI) --  File not found
DRV - (PDFRAME) --  File not found
DRV - (PDCOMP) --  File not found
DRV - (PCIDump) --  File not found
DRV - (lbrtfdc) --  File not found
DRV - (Changer) --  File not found
DRV - (afcdp) -- C:\WINDOWS\system32\drivers\afcdp.sys (Acronis)
DRV - (tdrpman258) -- C:\WINDOWS\system32\drivers\tdrpm258.sys (Acronis)
DRV - (timounter) -- C:\WINDOWS\system32\drivers\timntr.sys (Acronis)
DRV - (snapman) -- C:\WINDOWS\system32\drivers\snapman.sys (Acronis)
DRV - (ASCTRM) -- C:\WINDOWS\System32\drivers\asctrm.sys (Windows (R) 2000 DDK provider)
DRV - (ViaIde) -- C:\WINDOWS\system32\drivers\viaidexp.sys (VIA Technologies, Inc.)
DRV - (IntcAzAudAddService) -- C:\WINDOWS\system32\drivers\RtkHDAud.Sys (Realtek Semiconductor Corp.)
DRV - (wanatw) -- C:\WINDOWS\system32\drivers\wanatw4.sys (America Online, Inc.)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = %SystemRoot%\system32\blank.htm
IE - HKLM\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7
 
 
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
IE - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = hxxp://www.google.com/
IE - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\..\SearchScopes,DefaultScope = {10EE7799-833E-4075-BBC3-6AD9496D0E02}
IE - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://search.live.com/results.aspx?q={searchTerms}&src={referrer:source?}
IE - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\..\SearchScopes\{10EE7799-833E-4075-BBC3-6AD9496D0E02}: "URL" = hxxp://www.google.de/search?q={searchTerms}&rlz=1I7ADRA_deDE459
IE - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
========== FireFox ==========
 
FF - prefs.js..browser.startup.homepage: "www.google.de"
FF - user.js - File not found
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\WINDOWS\system32\Macromed\Flash\NPSWF32_11_4_402_265.dll ()
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Programme\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WPF,version=3.5: c:\WINDOWS\Microsoft.NET\Framework\v3.5\Windows Presentation Foundation\NPWPF.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Programme\Google\Update\1.3.21.115\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Programme\Google\Update\1.3.21.115\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@viewpoint.com/VMP: C:\Programme\Viewpoint\Viewpoint Experience Technology\npViewpoint.dll ()
 
FF - HKEY_LOCAL_MACHINE\software\mozilla\Firefox\Extensions\\smartwebprinting@hp.com: C:\Programme\HP\Digital Imaging\Smart Web Printing\MozillaAddOn2 [2010.04.15 09:22:55 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 8.0\extensions\\Components: C:\Programme\Mozilla Firefox\components [2012.04.24 16:43:09 | 000,000,000 | ---D | M]
FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 8.0\extensions\\Plugins: C:\Programme\Mozilla Firefox\plugins [2007.02.06 21:11:55 | 000,000,000 | ---D | M]
FF - HKEY_CURRENT_USER\software\mozilla\Firefox\Extensions\\smartwebprinting@hp.com: C:\Programme\HP\Digital Imaging\Smart Web Printing\MozillaAddOn2 [2010.04.15 09:22:55 | 000,000,000 | ---D | M]
 
[2012.04.24 16:43:16 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Mozilla\Extensions
[2012.09.06 11:05:48 | 000,000,000 | ---D | M] (No name found) -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Mozilla\Firefox\Profiles\gl106b30.default\extensions
[2012.04.24 16:43:08 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\extensions
[2007.01.02 17:55:09 | 000,000,000 | ---D | M] (Google Toolbar for Firefox) -- C:\Programme\Mozilla Firefox\extensions\{3112ca9c-de6d-4884-a869-9855de68056c}
[2012.04.24 16:43:08 | 000,000,000 | ---D | M] (No name found) -- C:\Programme\Mozilla Firefox\distribution\extensions
[2012.04.24 16:43:08 | 000,000,000 | ---D | M] (Yahoo! Toolbar) -- C:\Programme\Mozilla Firefox\distribution\extensions\{635abd67-4fe9-1b23-4f01-e679fa7484c1}
[2011.11.05 09:10:35 | 000,134,104 | ---- | M] (Mozilla Foundation) -- C:\Programme\mozilla firefox\components\browsercomps.dll
[2011.11.05 05:38:54 | 000,001,392 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\amazondotcom-de.xml
[2011.11.05 05:32:18 | 000,002,252 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\bing.xml
[2011.11.05 05:38:54 | 000,001,153 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\eBay-de.xml
[2011.11.05 05:38:54 | 000,006,805 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\leo_ende_de.xml
[2011.11.05 05:38:54 | 000,001,178 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\wikipedia-de.xml
[2011.11.05 05:38:54 | 000,001,105 | ---- | M] () -- C:\Programme\mozilla firefox\searchplugins\yahoo-de.xml
 
O1 HOSTS File: ([2004.08.10 15:00:00 | 000,000,820 | ---- | M]) - C:\WINDOWS\system32\drivers\etc\hosts
O1 - Hosts: 127.0.0.1       localhost
O2 - BHO: (AcroIEHlprObj Class) - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll (Adobe Systems Incorporated)
O2 - BHO: (Google Toolbar Notifier BHO) - {AF69DE43-7D58-4638-B6FA-CE66B5AD205D} - C:\Programme\Google\GoogleToolbarNotifier\5.7.7529.1424\swg.dll (Google Inc.)
O4 - HKLM..\Run: [Acronis Scheduler2 Service] C:\Programme\Gemeinsame Dateien\Acronis\Schedule2\schedhlp.exe (Acronis)
O4 - HKLM..\Run: [Alcmtr] C:\WINDOWS\Alcmtr.exe (Realtek Semiconductor Corp.)
O4 - HKLM..\Run: [Lexmark 1200 Series] C:\Programme\Lexmark 1200 Series\lxczbmgr.exe (Lexmark International, Inc.)
O4 - HKLM..\Run: [NvCplDaemon] C:\WINDOWS\System32\NvCpl.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [NvMediaCenter] C:\WINDOWS\System32\NvMcTray.dll (NVIDIA Corporation)
O4 - HKLM..\Run: [nwiz] C:\WINDOWS\System32\nwiz.exe ()
O4 - HKLM..\Run: [Picasa Media Detector] C:\Programme\Picasa2\PicasaMediaDetector.exe (Google Inc.)
O4 - HKLM..\Run: [SAOB Monitor] C:\Programme\Acronis\OnlineBackupStandalone\TrueImageMonitor.exe (Acronis)
O4 - HKLM..\Run: [SunJavaUpdateSched] C:\Programme\Java\jre1.5.0_04\bin\jusched.exe (Sun Microsystems, Inc.)
O4 - HKLM..\Run: [TrueImageMonitor.exe] C:\Programme\Acronis\TrueImageHome\TrueImageMonitor.exe (Acronis)
O4 - HKLM..\RunOnce: [ Malwarebytes Anti-Malware ] C:\Programme\Malwarebytes' Anti-Malware\mbamgui.exe (Malwarebytes Corporation)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: HonorAutoRunSetting = 1
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoCDBurning = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: InstallVisualStyle = C:\WINDOWS\Resources\Themes\Royale\Royale.msstyles (Microsoft)
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: InstallTheme = C:\WINDOWS\Resources\Themes\Royale.theme ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLinkedConnections = 1
O7 - HKU\.DEFAULT\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-18\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-19\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-20\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoDriveTypeAutoRun = 145
O7 - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoInternetIcon = 1
O9 - Extra 'Tools' menuitem : Sun Java Konsole - {08B0E5C0-4FCB-11CF-AAA5-00401C608501} - C:\Programme\Java\jre1.5.0_04\bin\NPJPI150_04.dll (Sun Microsystems, Inc.)
O15 - HKU\S-1-5-21-3749421630-4200535682-2757880879-1006\..Trusted Domains: aol.com ([objects] * is out of zone range -  5)
O16 - DPF: {17492023-C23A-453E-A040-C7C580BBF700} hxxp://download.microsoft.com/download/E/5/6/E5611B10-0D6D-4117-8430-A67417AA88CD/LegitCheckControl.cab (Windows Genuine Advantage Validation Tool)
O16 - DPF: {6E32070A-766D-4EE6-879C-DC1FA91D2FC3} hxxp://update.microsoft.com/microsoftupdate/v6/V5Controls/en/x86/client/muweb_site.cab?1308848057953 (MUWebControl Class)
O16 - DPF: {8AD9C840-044E-11D1-B3E9-00805F499D93} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_04-windows-i586.cab (Java Plug-in 1.5.0_04)
O16 - DPF: {CAFEEFAC-0015-0000-0004-ABCDEFFEDCBA} hxxp://java.sun.com/update/1.5.0/jinstall-1_5_0_04-windows-i586.cab (Java Plug-in 1.5.0_04)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 192.168.2.1
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{68232086-E2D0-4ECB-A1C6-2F6985B67032}: DhcpNameServer = 192.168.2.1
O18 - Protocol\Handler\ipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\0x00000001 {E1D2BF42-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\msdaipp\oledb {E1D2BF40-A96B-11d1-9C6B-0000F875AC61} - C:\Programme\Gemeinsame Dateien\System\Ole DB\MSDAIPP.DLL (Microsoft Corporation)
O18 - Protocol\Handler\mso-offdap11 {32505114-5902-49B2-880A-1F7738E5A384} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\Web Components\11\OWC11.DLL (Microsoft Corporation)
O18 - Protocol\Filter\text/xml {807553E5-5146-11D5-A672-00B0D022E945} - C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (Explorer.exe) - C:\WINDOWS\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\WINDOWS\system32\userinit.exe) - C:\WINDOWS\system32\userinit.exe (Microsoft Corporation)
O24 - Desktop Components:0 (Die derzeitige Homepage) - About:Home
O24 - Desktop WallPaper: C:\Dokumente und Einstellungen\Heinz\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O24 - Desktop BackupWallPaper: C:\Dokumente und Einstellungen\Heinz\Lokale Einstellungen\Anwendungsdaten\Microsoft\Wallpaper1.bmp
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2010.02.16 11:03:31 | 000,000,062 | ---- | M] () - C:\autorun.inf -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.09.08 12:10:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Startmenü\Programme\Malwarebytes' Anti-Malware
[2012.09.08 12:10:10 | 000,022,344 | ---- | C] (Malwarebytes Corporation) -- C:\WINDOWS\System32\drivers\mbam.sys
[2012.09.08 12:03:41 | 000,000,000 | ---D | C] -- C:\Programme\Malwarebytes' Anti-Malware
[2012.09.08 11:41:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Malwarebytes
[2012.09.08 11:40:11 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Malwarebytes
[2012.09.07 14:26:05 | 004,742,651 | ---- | C] (Swearware) -- C:\Dokumente und Einstellungen\Heinz\Desktop\ComboFix.exe
[2012.09.07 14:25:50 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Heinz\Desktop\DecryptHelper-0.5.3
[2012.09.07 13:33:48 | 000,000,000 | ---D | C] -- C:\WINDOWS\pss
[2012.09.07 00:41:01 | 000,000,000 | -HSD | C] -- C:\$RECYCLE.BIN
[2012.09.06 11:31:35 | 000,696,520 | ---- | C] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerApp.exe
[2012.09.06 09:06:38 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Ohohufxl
[2012.09.06 08:55:46 | 000,000,000 | ---D | C] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Ihvytsl
[1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
 
========== Files - Modified Within 30 Days ==========
 
[2012.09.08 13:07:01 | 000,000,884 | ---- | M] () -- C:\WINDOWS\tasks\Adobe Flash Player Updater.job
[2012.09.08 12:54:00 | 000,001,088 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineUA.job
[2012.09.08 12:10:11 | 000,000,759 | ---- | M] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk
[2012.09.08 12:02:42 | 000,088,565 | ---- | M] () -- C:\WINDOWS\System32\nvapps.xml
[2012.09.08 12:02:39 | 000,001,084 | ---- | M] () -- C:\WINDOWS\tasks\GoogleUpdateTaskMachineCore.job
[2012.09.08 12:02:32 | 000,002,048 | --S- | M] () -- C:\WINDOWS\bootstat.dat
[2012.09.08 12:02:30 | 1072,156,672 | -HS- | M] () -- C:\hiberfil.sys
[2012.09.08 11:15:36 | 000,002,509 | ---- | M] () -- C:\Dokumente und Einstellungen\Heinz\Desktop\Microsoft Office Word 2003.lnk
[2012.09.07 13:38:35 | 000,000,318 | -HS- | M] () -- C:\BOOT.INI
[2012.09.06 11:31:35 | 000,696,520 | ---- | M] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerApp.exe
[2012.09.06 11:31:35 | 000,073,416 | ---- | M] (Adobe Systems Incorporated) -- C:\WINDOWS\System32\FlashPlayerCPLApp.cpl
[2012.09.06 10:57:14 | 000,000,664 | ---- | M] () -- C:\WINDOWS\System32\d3d9caps.dat
[2012.09.06 10:55:21 | 000,000,547 | ---- | M] () -- C:\Dokumente und Einstellungen\Heinz\Desktop\SchnellstartLeiste.lnk
[2012.09.03 07:31:50 | 000,001,158 | ---- | M] () -- C:\WINDOWS\System32\wpa.dbl
[2012.09.01 17:54:24 | 004,742,651 | ---- | M] (Swearware) -- C:\Dokumente und Einstellungen\Heinz\Desktop\ComboFix.exe
[1 C:\WINDOWS\*.tmp files -> C:\WINDOWS\*.tmp -> ]
 
========== Files Created - No Company Name ==========
 
[2012.09.08 12:10:11 | 000,000,759 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Desktop\ Malwarebytes Anti-Malware .lnk
[2012.09.06 11:31:35 | 000,000,884 | ---- | C] () -- C:\WINDOWS\tasks\Adobe Flash Player Updater.job
[2012.09.06 10:57:14 | 000,000,664 | ---- | C] () -- C:\WINDOWS\System32\d3d9caps.dat
[2009.12.16 17:46:23 | 000,008,192 | ---- | C] () -- C:\Dokumente und Einstellungen\Heinz\Lokale Einstellungen\Anwendungsdaten\DCBC2A71-70D8-4DAN-EHR8-E0D61DEA3FDF.ini
[2007.02.06 22:31:14 | 000,000,138 | ---- | C] () -- C:\Dokumente und Einstellungen\Heinz\Lokale Einstellungen\Anwendungsdaten\fusioncache.dat
[1601.02.13 10:28:18 | 000,002,744 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\yEgJfsalnquNQUxXso
[1601.02.13 10:28:18 | 000,000,305 | ---- | C] () -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\rlUqXOoqGOsVja
 
========== LOP Check ==========
 
[2010.09.24 08:12:29 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Acronis
[2010.04.14 10:27:52 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\BVRP Software
[2007.01.02 17:53:21 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\SmartSound Software Inc
[2007.01.02 17:53:31 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Ulead Systems
[2007.01.02 17:41:34 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Viewpoint
[2010.09.24 08:16:07 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Acronis
[2012.09.06 22:55:31 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Ihvytsl
[2007.02.17 19:04:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Leadertech
[2012.09.06 09:06:38 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Ohohufxl
[2007.07.17 09:33:28 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Heinz\Anwendungsdaten\Ulead Systems
[2011.06.17 20:50:55 | 000,000,000 | -HSD | M] -- C:\Dokumente und Einstellungen\Katrin\Anwendungsdaten\.#
[2011.06.17 20:42:16 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Katrin\Anwendungsdaten\T-Online
[2007.02.17 18:49:09 | 000,000,000 | ---D | M] -- C:\Dokumente und Einstellungen\Katrin\Anwendungsdaten\Ulead Systems
 
========== Purity Check ==========
 
 
 
< End of report >

--- --- ---

Extras.txt
OTL Logfile:

Code:

ATTFilter

OTL Extras logfile created on: 08.09.2012 13:12:15 - Run 1
OTL by OldTimer - Version 3.2.61.2     Folder = E:\
Windows XP Media Center Edition Service Pack 2 (Version = 5.1.2600) - Type = NTWorkstation
Internet Explorer (Version = 7.0.5730.11)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
1022,42 Mb Total Physical Memory | 619,34 Mb Available Physical Memory | 60,58% Memory free
2,40 Gb Paging File | 2,12 Gb Available in Paging File | 88,39% Paging File free
Paging file location(s): C:\pagefile.sys 0 0 [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\WINDOWS | %ProgramFiles% = C:\Programme
Drive C: | 149,04 Gb Total Space | 134,47 Gb Free Space | 90,23% Space Free | Partition Type: NTFS
Drive E: | 14,92 Gb Total Space | 14,92 Gb Free Space | 100,00% Space Free | Partition Type: FAT32
 
Computer Name: WOLLENSACK_BÜRO | User Name: Heinz | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
.url [@ = InternetShortcut] -- rundll32.exe ieframe.dll,OpenURL %l
 
[HKEY_USERS\S-1-5-21-3749421630-4200535682-2757880879-1006\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Programme\Mozilla Firefox\firefox.exe (Mozilla Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- rundll32.exe shell32.dll,Control_RunDLL "%1",%*
exefile [open] -- "%1" %*
InternetShortcut [open] -- rundll32.exe ieframe.dll,OpenURL %l
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe /idlist,%I,%L (Microsoft Corporation)
Folder [explore] -- %SystemRoot%\Explorer.exe /e,/idlist,%I,%L (Microsoft Corporation)
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"FirstRunDisabled" = 1
"AntiVirusDisableNotify" = 0
"FirewallDisableNotify" = 0
"UpdatesDisableNotify" = 0
"AntiVirusOverride" = 0
"FirewallOverride" = 0
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\AhnlabAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ComputerAssociatesAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\KasperskyAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\McAfeeFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\PandaFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SophosAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\SymantecFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TinyFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendAntiVirus]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\TrendFirewall]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring\ZoneLabsFirewall]
 
========== System Restore Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\SystemRestore]
"DisableSR" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Sr]
"Start" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SrService]
"Start" = 2
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\GloballyOpenPorts\List]
"139:TCP" = 139:TCP:*:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:*:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:*:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:*:Enabled:@xpsp2res.dll,-22002
"427:TCP" = 427:TCP:LocalSubNet:Enabled:SLP_Port(427)_TCP
"427:UDP" = 427:UDP:LocalSubNet:Enabled:SLP_Port(427)_UDP
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DoNotAllowExceptions" = 0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\GloballyOpenPorts\List]
"1900:UDP" = 1900:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22007
"139:TCP" = 139:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22004
"445:TCP" = 445:TCP:LocalSubNet:Enabled:@xpsp2res.dll,-22005
"137:UDP" = 137:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22001
"138:UDP" = 138:UDP:LocalSubNet:Enabled:@xpsp2res.dll,-22002
"427:TCP" = 427:TCP:LocalSubNet:Enabled:SLP_Port(427)_TCP
"427:UDP" = 427:UDP:LocalSubNet:Enabled:SLP_Port(427)_UDP
 
========== Authorized Applications List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile\AuthorizedApplications\List]
"C:\DATEV\PROGRAMM\Install\ExecDll\ExecDllExe.exe" = C:\DATEV\PROGRAMM\Install\ExecDll\ExecDllExe.exe:*:Enabled:ExecDllExe.exe -- (DATEV eG)
"C:\DATEV\PROGRAMM\Install\Uninstal.exe" = C:\DATEV\PROGRAMM\Install\Uninstal.exe:*:Enabled:Uninstal.exe -- (DATEV eG)
"C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe" = C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposfx08.exe" = C:\Programme\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposid01.exe" = C:\Programme\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe" = C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\{FA0F0A01-4631-4161-A6C2-948BF694382E}\setup\hpznui01.exe" = C:\Programme\HP\Digital Imaging\{FA0F0A01-4631-4161-A6C2-948BF694382E}\setup\hpznui01.exe:*:Enabled:hpznui01.exe -- (Hewlett-Packard)
"C:\APPS\AOL 9.0\waol.exe" = C:\APPS\AOL 9.0\waol.exe:*:Enabled:AOL 9.0
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"%ProgramFiles%\AOL 9.0\aol.exe" = %ProgramFiles%\AOL 9.0\aol.exe:*:Enabled:AOL
"%ProgramFiles%\Ahead\SIPPS\SIPPS.exe" = %ProgramFiles%\Ahead\SIPPS\SIPPS.exe:*:Enabled:SIPPS
"%ProgramFiles%\sipgate X-Lite\sipgateXLite.exe" = %ProgramFiles%\sipgate X-Lite\sipgateXLite.exe:*:Enabled:sipgateXLite
"C:\APPS\Powercinema\PowerCinema.exe" = C:\APPS\Powercinema\PowerCinema.exe:*:Enabled:CyberLink PowerCinema Main Program
"C:\APPS\Powercinema\PCMService.exe" = C:\APPS\Powercinema\PCMService.exe:*:Enabled:CyberLink PowerCinema Resident Program
"C:\APPS\Powercinema\Kernel\DMS\CLMSService.exe" = C:\APPS\Powercinema\Kernel\DMS\CLMSService.exe:*:Enabled:CyberLink Media Server
"C:\APPS\Powercinema\Kernel\DMS\CLMSServer.exe" = C:\APPS\Powercinema\Kernel\DMS\CLMSServer.exe:*:Enabled:CyberLink Media Server
"C:\APPS\Powercinema\Kernel\DMSTV\CLMSServer.exe" = C:\APPS\Powercinema\Kernel\DMSTV\CLMSServer.exe:*:Enabled:CyberLink TV Server
"C:\DATEV\PROGRAMM\Install\ExecDll\ExecDllExe.exe" = C:\DATEV\PROGRAMM\Install\ExecDll\ExecDllExe.exe:*:Enabled:ExecDllExe.exe -- (DATEV eG)
"C:\DATEV\PROGRAMM\Install\Uninstal.exe" = C:\DATEV\PROGRAMM\Install\Uninstal.exe:*:Enabled:Uninstal.exe -- (DATEV eG)
"C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe" = C:\Programme\HP\Digital Imaging\bin\hpofxm08.exe:*:Enabled:hpofxm08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposfx08.exe" = C:\Programme\HP\Digital Imaging\bin\hposfx08.exe:*:Enabled:hposfx08.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hposid01.exe" = C:\Programme\HP\Digital Imaging\bin\hposid01.exe:*:Enabled:hposid01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe" = C:\Programme\HP\Digital Imaging\bin\hpzwiz01.exe:*:Enabled:hpzwiz01.exe -- (Hewlett-Packard Co.)
"C:\Programme\HP\Digital Imaging\{FA0F0A01-4631-4161-A6C2-948BF694382E}\setup\hpznui01.exe" = C:\Programme\HP\Digital Imaging\{FA0F0A01-4631-4161-A6C2-948BF694382E}\setup\hpznui01.exe:*:Enabled:hpznui01.exe -- (Hewlett-Packard)
"C:\APPS\AOL 9.0\waol.exe" = C:\APPS\AOL 9.0\waol.exe:*:Enabled:AOL 9.0
 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{03A7C57A-B2C8-409b-92E5-524A0DFD0DD3}" = Status
"{075473F5-846A-448B-BCB3-104AA1760205}" = Sonic RecordNow Data
"{087A66B8-1F0F-4a8d-A649-0CFE276AA7C0}" = WebReg
"{18455581-E099-4BA8-BC6B-F34B2F06600C}" = Google Toolbar for Internet Explorer
"{21657574-BD54-48A2-9450-EB03B2C7FC29}" = Sonic MyDVD LE
"{2318C2B1-4965-11d4-9B18-009027A5CD4F}" = Google Toolbar for Internet Explorer
"{257D8E32-4971-4199-BE23-093A00A6DE91}" = Acronis*True*Image*Home 2011
"{2A329FB6-389D-4396-A974-29656D6864AE}" = MarketResearch
"{2EEA7AA4-C203-4b90-A34F-19FB7EF1C81C}" = BufferChm
"{31E1050B-F69F-4A16-8F5A-E44D31901250}" = Ulead DVD DiskRecorder 2.1.1
"{3248F0A8-6813-11D6-A77B-00B0D0150040}" = J2SE Runtime Environment 5.0 Update 4
"{350C97B3-3D7C-4EE8-BAA9-00BCB3D54227}" = WebFldrs XP
"{38DAE5F5-EC70-4aa5-801B-D11CA0A33B41}" = BPDSoftware
"{47ECCB1F-2811-49C0-B6A7-26778639ABA0}" = 32 Bit HP CIO Components Installer
"{4A7FDA4D-F4D7-4A49-934A-066D59A43C7E}" = SmartSound Quicktracks Plugin
"{4D304678-738E-42a0-931A-2B022F49DEB8}" = TrayApp
"{4E7C28C7-D5DA-4E9F-A1CA-60490B54AE35}" = UnloadSupport
"{57F60D52-630B-43C5-BD20-176F5CD4EED6}" = bpd_scan
"{5A065EA0-0EEC-4E94-A2A0-40812576C122}" = Ulead PhotoImpact 10 SE
"{5E8A1B08-0FBD-4543-9646-F2C2D0D05750}" = Macromedia Flash Player 8
"{6675CA7F-E51B-4F6A-99D4-F8F0124C6EAA}" = Sonic Express Labeler
"{676981B7-A2D9-49D0-9F4C-03018F131DA9}" = DocProc
"{6811CAA0-BF12-11D4-9EA1-0050BAE317E1}" = PowerDVD
"{6A1ACC15-7632-45ba-A3AB-0250EBD4B7DD}" = 6500_E709a
"{6CC080F1-2E00-41D5-BE47-A3BC784E9DFB}" = BPDSoftware_Ini
"{6EED4269-588D-45b8-A80C-26A9CA62EE4E}" = HPSSupply
"{7059BDA7-E1DB-442C-B7A1-6144596720A4}" = HP Update
"{7D1D6A24-65D4-454C-8815-4F08A5FFF12C}" = Macromedia Shockwave Player
"{800E784D-53E3-4948-B491-9E7FA5EACBDC}" = SmartWebPrinting
"{87A9A9A9-FAB7-4224-9328-0FA2058C0FD5}" = Network
"{8937FCB2-2FC6-4FC3-9FB5-DE2C92DB9C38}" = Microsoft .NET Framework 2.0 Language Pack - DEU
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8EAB2384-C794-40ED-A9DD-3270A0D2BB76}" = Ulead VideoStudio 9.0 SE DVD
"{90110407-6000-11D3-8CFE-0150048383C9}" = Microsoft Office Professional Edition 2003
"{90120000-0020-0409-0000-0000000FF1CE}" = Compatibility Pack for the 2007 Office system
"{90140000-2005-0000-0000-0000000FF1CE}" = Microsoft Office File Validation Add-In
"{9129B46A-51F0-431b-9838-DF7272F3204E}" = ProductContext
"{95120000-003F-0409-0000-0000000FF1CE}" = Microsoft Office Excel Viewer
"{9603DE6D-4567-4b78-B941-849322373DE2}" = SolutionCenter
"{9941F0AA-B903-4AF4-A055-83A9815CC011}" = Sonic Encoders
"{9CCCFD9C-248F-47FE-9496-1680E3E5C163}" = Scan
"{9D1B99B7-DAD8-440d-B4FB-1915332FBCC2}" = HPProductAssistant
"{A3051CD0-2F64-3813-A88D-B8DCCDE8F8C7}" = Microsoft .NET Framework 3.0 Service Pack 2
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AB708C9B-97C8-4AC9-899B-DBF226AC9382}" = Sonic RecordNow Audio
"{AC13BA3A-336B-45a4-B3FE-2D3058A7B533}" = Toolbox
"{AC76BA86-7AD7-1031-7B44-A70000000000}" = Adobe Reader 7.0 - Deutsch
"{B12665F4-4E93-4AB4-B7FC-37053B524629}" = Sonic RecordNow Copy
"{C09FB3CD-3D0C-3F2D-899A-6A1D67F2073F}" = Microsoft .NET Framework 2.0 Service Pack 2
"{C29C1940-CB85-4F3B-906C-33FEE0E67103}" = DocMgr
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{CE2CDD62-0124-36CA-84D3-9F4DCF5C5BD9}" = Microsoft .NET Framework 3.5 SP1
"{D1696920-9794-4BBC-8A30-7A88763DE5A2}" = ABBYY FineReader 5.0 Sprint
"{DE13432E-F0C1-4842-A5BA-CC997DA72A70}" = 6500_E709_eDocs
"{E38C00D0-A68B-4318-A8A6-F7D4B5B1DF0E}" = Windows Media Encoder 9-Reihe
"{E78BFA60-5393-4C38-82AB-E8019E464EB4}" = Microsoft .NET Framework 1.1 German Language Pack
"{EEEB604C-C1A7-4f8c-B03F-56F9C1C9C45F}" = Fax
"{EF9E56EE-0243-4BAD-88F4-5E7508AA7D96}" = Destination Component
"{F132AF7F-7BCA-4EDE-8A7C-958108FE7DBC}" = Realtek High Definition Audio Driver
"{F185B35D-38E5-4D88-B275-15C8C7FC4357}" = 6500_E709_Help
"{F45298E5-0083-426F-A668-1A2C5F04B8A0}" = FaxTools
"{F648FD09-7CEA-4257-BC68-A8389189FD51}" = GPBaseService2
"{F769B78E-FF0E-4db5-95E2-9F4C8D6352FE}" = DeviceDiscovery
"{FA0F0A01-4631-4161-A6C2-948BF694382E}" = HP Officejet 6500 E709 Series
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"DATEVB00000482.0" = DATEV Installation V.2.6
"HP Document Manager" = HP Document Manager 2.0
"HP Imaging Device Functions" = HP Imaging Device Functions 12.0
"HP Smart Web Printing" = HP Smart Web Printing
"HP Solution Center & Imaging Support Tools" = HP Solution Center 12.0
"HPExtendedCapabilities" = HP Customer Participation Program 12.0
"HPOCR" = OCR Software by I.R.I.S. 12.0
"IDNMitigationAPIs" = Microsoft Internationalized Domain Names Mitigation APIs
"ie7" = Windows Internet Explorer 7
"InstallShield_{4A7FDA4D-F4D7-4A49-934A-066D59A43C7E}" = SmartSound Quicktracks Plugin
"Lattmass" = Lattmass
"Lexmark 1200 Series" = Lexmark 1200 Series
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware Version 1.62.0.1300
"MF Backup" = MF Backup
"MF Bauphysik" = MF Bauphysik
"MF CadViewer" = MF CadViewer
"MF DACH plus" = MF DACH plus
"MF Mobilkonverter" = MF Mobilkonverter
"MF PhotoLV" = MF PhotoLV
"MF Planer" = MF Planer
"MF Rechtschreibung" = Rechtschreibung
"MF Report" = MF Report
"Microsoft .NET Framework 1.1  (1033)" = Microsoft .NET Framework 1.1
"Microsoft .NET Framework 2.0 Language Pack - DEU" = Microsoft .NET Framework 2.0 Language Pack - DEU
"Microsoft .NET Framework 3.5 SP1" = Microsoft .NET Framework 3.5 SP1
"Mozilla Firefox 8.0 (x86 de)" = Mozilla Firefox 8.0 (x86 de)
"MSCompPackV1" = Microsoft Compression Client Pack 1.0 for Windows XP
"NLSDownlevelMapping" = Microsoft National Language Support Downlevel APIs
"NVIDIA Drivers" = NVIDIA Drivers
"Picasa2" = Picasa 2
"QuickTime" = QuickTime
"Shop for HP Supplies" = Shop for HP Supplies
"VN_VUIns_Rhine_VIA" = VIA Rhine-Family Fast Ethernet Adapter
"WIC" = Windows Imaging Component
"Wincmd" = Windows Commander (Remove or Repair)
"Windows Media Encoder 9" = Windows Media Encoder 9-Reihe
"Windows Media Format Runtime" = Windows Media Format 11 runtime
"Windows Media Player" = Windows Media Player 11
"WMFDist11" = Windows Media Format 11 runtime
"wmp11" = Windows Media Player 11
"Wudf01000" = Microsoft User-Mode Driver Framework Feature Pack 1.0
 
========== Last 20 Event Log Errors ==========
 
[ Application Events ]
Error - 07.09.2012 07:45:35 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: GPBaseService2 -- Error 1706. An installation package for
 the product GPBaseService2 cannot be found. Try the installation again using a 
valid copy of the installation package 'GPBaseService2.msi'.
 
Error - 07.09.2012 07:45:37 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: GPBaseService2 -- Error 1706. An installation package for
 the product GPBaseService2 cannot be found. Try the installation again using a 
valid copy of the installation package 'GPBaseService2.msi'.
 
Error - 07.09.2012 07:45:42 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: GPBaseService2 -- Error 1706. An installation package for
 the product GPBaseService2 cannot be found. Try the installation again using a 
valid copy of the installation package 'GPBaseService2.msi'.
 
Error - 08.09.2012 05:40:47 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 05:40:57 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 05:41:02 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 06:01:10 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 06:01:16 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 06:01:20 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
Error - 08.09.2012 06:10:21 | Computer Name = WOLLENSACK_BÜRO | Source = MsiInstaller | ID = 11706
Description = Product: Destination Component -- Error 1706. An installation package
 for the product Destination Component cannot be found. Try the installation again
 using a valid copy of the installation package 'Destinations.msi'.
 
[ System Events ]
Error - 06.09.2012 04:54:45 | Computer Name = WOLLENSACK_BÜRO | Source = MRxSmb | ID = 8003
Description = Der Hauptsuchdienst erhielt eine Serverankündigung vom Computer "SPEEDPORT.IP",
der
 der Hauptsuchdienst der Domäne für den NetBT_Tcpip_{68232086-E2D0-4-Transport zu
 sein scheint.  Der Hauptsuchdienst wurde beendet oder es wird eine Auswahl erzwungen.
 
Error - 06.09.2012 04:57:46 | Computer Name = WOLLENSACK_BÜRO | Source = MRxSmb | ID = 8003
Description = Der Hauptsuchdienst erhielt eine Serverankündigung vom Computer "SPEEDPORT.IP",
der
 der Hauptsuchdienst der Domäne für den NetBT_Tcpip_{68232086-E2D0-4-Transport zu
 sein scheint.  Der Hauptsuchdienst wurde beendet oder es wird eine Auswahl erzwungen.
 
Error - 06.09.2012 05:37:34 | Computer Name = WOLLENSACK_BÜRO | Source = DCOM | ID = 10010
Description = Der Server "{657C7A59-4FEC-4C06-A354-607B1EB184FB}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
Error - 06.09.2012 05:39:53 | Computer Name = WOLLENSACK_BÜRO | Source = MRxSmb | ID = 8003
Description = Der Hauptsuchdienst erhielt eine Serverankündigung vom Computer "SPEEDPORT.IP",
der
 der Hauptsuchdienst der Domäne für den NetBT_Tcpip_{68232086-E2D0-4-Transport zu
 sein scheint.  Der Hauptsuchdienst wurde beendet oder es wird eine Auswahl erzwungen.
 
Error - 06.09.2012 05:42:54 | Computer Name = WOLLENSACK_BÜRO | Source = MRxSmb | ID = 8003
Description = Der Hauptsuchdienst erhielt eine Serverankündigung vom Computer "SPEEDPORT.IP",
der
 der Hauptsuchdienst der Domäne für den NetBT_Tcpip_{68232086-E2D0-4-Transport zu
 sein scheint.  Der Hauptsuchdienst wurde beendet oder es wird eine Auswahl erzwungen.
 
Error - 06.09.2012 05:47:45 | Computer Name = WOLLENSACK_BÜRO | Source = DCOM | ID = 10010
Description = Der Server "{66C99B38-BC12-4134-90A2-C5D6ABFC5FFE}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
Error - 07.09.2012 07:29:11 | Computer Name = WOLLENSACK_BÜRO | Source = DCOM | ID = 10010
Description = Der Server "{4EB61BAC-A3B6-4760-9581-655041EF4D69}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
Error - 07.09.2012 07:29:26 | Computer Name = WOLLENSACK_BÜRO | Source = Windows Update Agent | ID = 16
Description = Verbindung nicht möglich: Es konnte keine Verbindung mit dem Dienst
 "Automatische Updates" hergestellt werden, daher können Updates nicht nach dem 
angegebenen Zeitplan heruntergeladen und installiert werden. Es wird weiterhin versucht,
 eine Verbindung herzustellen.
 
Error - 08.09.2012 05:28:12 | Computer Name = WOLLENSACK_BÜRO | Source = DCOM | ID = 10010
Description = Der Server "{4EB61BAC-A3B6-4760-9581-655041EF4D69}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
Error - 08.09.2012 06:03:18 | Computer Name = WOLLENSACK_BÜRO | Source = DCOM | ID = 10010
Description = Der Server "{4EB61BAC-A3B6-4760-9581-655041EF4D69}" konnte innerhalb
 des angegebenen Zeitabschnitts mit DCOM nicht registriert werden.
 
 
< End of report >

--- --- ---

Edit:
Nach meiner Recherche handelt es sich wohl um den Bundespolizei / BKA Virus in der Version 1.14, also wohl eine neuere.

cosinus · 11.09.2012, 10:34

Der Rechner muss ins Netz, sonst ist es schwierig/umständlich oder garnicht richtig möglich an die Tools zu kommen die wir benötigen und Malwarebytes braucht auch aktuelle Signaturen

Funktioniert noch der abgesicherte Modus mit Netzwerktreibern? Mit Internetverbindung?

Abgesicherter Modus zur Bereinigung

Windows mit F8-Taste beim Start in den abgesicherten Modus bringen.
Starte den Rechner in den abgesicherten Modus mit Netzwerktreibern:

Battlepad · 11.09.2012, 16:06

Also abgesicherter Modus funktioniert nicht, da erscheint dann ein Bluescreen und anschließend startet der Rechner neu. Ich weiß nicht ob das am Virus liegt oder schon so war, ist wie gesagt nicht mein Computer.
Die Malwarebytes Version war zu dem Zeitpunkt des Scans auf jeden Fall aktuell, habe die Version direkt geladen (so wie es hier auf der Seite angegeben ist, wenn man nur offline arbeitet).
Ansonsten werde ich in Zukunft für weitere Anweisungen online gehen und alle anderen Computer im Netzwerk abschließen.

cosinus · 11.09.2012, 21:43

Sagmal ist das rein zufällig ein Firmen- oder Bürorechner?

Battlepad · 12.09.2012, 14:42

Es ist der Privatrechner von meinen Nachbarn den sie hauptsächlich für ihr eigenes Geschäft verwenden.
Ich hoffe ihr habt da nichts dagegen, habe zumindest in den FAQ nichts darüber gefunden.

cosinus · 12.09.2012, 15:21

Firmenrechner werden hier eigentlich nicht bereinigt

Siehe => http://www.trojaner-board.de/108422-...-anfragen.html

Zitat:

3. Grundsätzlich bereinigen wir keine gewerblich genutzten Rechner. Dafür ist die IT Abteilung eurer Firma zuständig.

Bei Kleinunternehmen, welche keinen IT Support haben, machen wir da eine Ausnahme und helfen gerne ( kleine Spende hilft auch uns ).
Voraussetzung: Ihr teilt uns dies in eurer ersten Antwort mit.
Bedenkt jedoch, dass Logfiles viele heikle Informationen enthalten können ( Kundendaten, Bankdaten, etc ) sowie das Malware die Möglichkeit besitzt, diese auszuspähen und zu missbrauchen. Hier legen wir euch ein Formatieren und Neuaufsetzen nahe.

Battlepad · 12.09.2012, 15:50

In diesem Fall handelt es sich um ein Kleinunternehmen, einen IT Support haben sie leider keinen

Habe den Punkt den du zitierst hast leider nicht gesehen als ich den Thread eröffnet habe, wenn nicht hätte ich schon im ersten Post Bescheid gegeben.
In erster Linie geht es um die Entschlüsselung der Daten (was aber meines Wissens momentan nicht möglich ist, da es eine sehr fortgeschrittene Version des Virus ist).
Ich hoffe ich kann trotzdem auf deine Hilfe zählen.

cosinus · 12.09.2012, 19:12

Da kann man eine Ausnahme machen aber ohne Backup werden die Daten wohl verloren sein, sofern auch Schattenkopien keine Option sind. Und leider ja, bei XP ist es Essig mit
Schattenkopien
Mit viel Glück helfen einige Recovery-Tools die eigentlich kaputte Dateien reparieren sollen. Kommt aber sehr stark auf das Dateiformat an. Einfach mal die Hinweise oben lesen

Warum macht ein Kleinunternehmer von überlebenswichtigen Firmendaten keine Sicherheitskopien?

Battlepad · 12.09.2012, 21:01

Ja, ist alles ein bisschen blöd gelaufen, es gibt wohl ein Backup, das ist aber leider auf der gleichen Platte ^^
Bei den wichtigen Daten handelt es sich um ein Programm, mit dem u.a. die Rechnungen erstellt wurden. Daher sind es leider sehr viele verschiedene Formate.

Kann man denn in naher Zukunft mit einer Methode oder einem Programm rechnen, mit dem es möglich ist diese Verschlüsselung zu umgehen?

cosinus · 13.09.2012, 15:13

Zitat:

Ja, ist alles ein bisschen blöd gelaufen,

Wenn ein Unternehmer sich nicht um Backups seiner Unternehmenswichtigen Daten kümmert ist das "blöd gelaufen" gelinde gesagt stark untertrieben und eigentlich auch nicht richtig denn: es ist schon grob fahrlässig wenn man das Thema Backup in einem Unternehmen so behandelt. Eine große Mitschuld an diesem Datenverlust trägt das Unternehmen da schon selber. Dass durch Schädlinge Daten zerstört/gelöscht werden aber auch Festplatten kaputtgehen ist doch nicht erst seit gestern bekannt

Zitat:

es gibt wohl ein Backup, das ist aber leider auf der gleichen Platte ^^

Das ist eigentlich kein Backup
Mit der Methode macht man viel mal eben "Quick and Dirty" eine Sicherheitskopie einer Datei wenn man sie vorher editieren will aber echte Datensicherungen wandern immer auf ein anderes Laufwerk => externe Platte, Bandlaufwerk oder Sicherung per Netzwerk auf einem Server (zB via FTP oder NFS oder SMB)

Zitat:

mit dem es möglich ist diese Verschlüsselung zu umgehen?

Man kann eine Verschlüsselung nicht umgehen - und AFAIK in Anbetracht der Aussichtslosigkeit auf Erfolg haben die meisten auch aufgehört einen Entschlüsseler versuchen zu basteln. Es ist einfach zu aussichtslos. Wer weiß aber was die Zukunft noch bringt, ich weiß nicht wie der letzte Stand ist, meinte mal gehört zu haben, dass die Entschlüsselung vllt noch was wird, wenn irgendwann mal vllt die Server der Betrüger beschlagnahmt werden

Battlepad · 22.09.2012, 14:03

Habe den PC bis auf weiteres nicht mehr. Daher kann ich momentan auch nichts daran machen.
Wollte nur Bescheid geben, dass es besser ist den Thread bis auf weiteres auf Eis zu legen...

11.09.2012, 21:43	#4
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	Bundestrojaner/Bundespolizei Virus mit verschlüsselten Dateien Sagmal ist das rein zufällig ein Firmen- oder Bürorechner? __________________ Logfiles bitte immer in CODE-Tags posten

Bundestrojaner/Bundespolizei Virus mit verschlüsselten Dateien

Plagegeister aller Art und deren Bekämpfung: Bundestrojaner/Bundespolizei Virus mit verschlüsselten Dateien