Zurück   Trojaner-Board > Malware entfernen > Plagegeister aller Art und deren Bekämpfung
Bundesamt für Sicherheit in der Informationstechnik Virus

Bundesamt für Sicherheit in der Informationstechnik Virus


Plagegeister aller Art und deren Bekämpfung: Bundesamt für Sicherheit in der Informationstechnik Virus

Windows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen.

Antwort
Alt 28.09.2012, 10:55   #1
bobbl76
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Hallo zusammen,

ich habe schon einige andere Threads hier zu diesem Virus gefunden und deswegen schon OTL.exe heruntergeladen. Ich bin mir jetzt wegen der weiteren Vorgehensweise unsicher und bitte daher um Hilfe.

Das Problem betrifft ein Notebook mit Windows 7.

Vielen Dank im Vorraus!!

Alt 28.09.2012, 10:57   #2
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus




Eine Bereinigung ist mitunter mit viel Arbeit für Dich verbunden.
  • Bitte arbeite alle Schritte der Reihe nach ab.
  • Lese die Anleitungen sorgfältig. Sollte es Probleme geben, bitte stoppen und hier so gut es geht beschreiben.
  • Nur Scanns durchführen zu denen Du von einem Helfer aufgefordert wirst.
  • Bitte kein Crossposting ( posten in mehreren Foren).
  • Installiere oder Deinstalliere während der Bereinigung keine Software ausser Du wurdest dazu aufgefordert.
  • Lese Dir die Anleitung zuerst vollständig durch. Sollte etwas unklar sein, frage bevor Du beginnst.
  • Poste die Logfiles direkt in deinen Thread. Nicht anhängen ausser ich fordere Dich dazu auf. Erschwert mir nämlich das auswerten.


Hinweis: Ich kann Dir niemals eine Garantie geben, dass ich auch alles finde. Eine Formatierung ist meist der Schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Vista und Win7 User
Alle Tools mit Rechtsklick "als Administrator ausführen" starten.

1. Schritt

Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktualisiere die Datenbank!
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke (ausser CD/DVD) aus und starte den Scan.
- Funde bitte löschen lassen oder in Quarantäne.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".

2. Schritt
Systemscan mit OTL (bebilderte Anleitung)

Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop ( falls noch nicht vorhanden)- Doppelklick auf die OTL.exe

  • Vista und Win7 User: Rechtsklick auf die OTL.exe und "als Administrator ausführen" wählen
  • Wähle Scanne Alle Benuzer
  • Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Minimale Ausgabe
  • Unter Extra Registrierung, wähle bitte Benutze SafeList
  • Klicke nun auf Scan links oben
  • Wenn der Scan beendet wurde werden 2 Logfiles erstellt
  • Poste die Logfiles hier in den Thread.
__________________

__________________
Alt 30.09.2012, 16:51   #3
bobbl76
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Hallo t'john, vielen Dank erstmal für deine Hilfe. Nachfolgend die Logdateien:

mbam-log-2012-09-28 (14-07-35).txt

Zitat:
Malwarebytes Anti-Malware 1.65.0.1400
www.malwarebytes.org

Datenbank Version: v2012.09.28.04

Windows 7 x86 NTFS (Abgesichertenmodus/Netzwerkfähig)
Internet Explorer 9.0.8112.16421
lotta :: LOTTA-PC [Administrator]

28.09.2012 14:07:35
mbam-log-2012-09-28 (14-07-35).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|D:\|F:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 499155
Laufzeit: 1 Stunde(n), 4 Minute(n), 30 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 2
C:\Users\lotta\AppData\Roaming\Byxephsl\vfrnouzs.exe (Trojan.Ransom) -> Erfolgreich gelöscht und in Quarantäne gestellt.
C:\Users\lotta\AppData\Roaming\Nbpwpl\pdtwmsbxet.exe (Trojan.Inject) -> Erfolgreich gelöscht und in Quarantäne gestellt.

(Ende)
OTL.txt

OTL Logfile:
Code:
ATTFilter
OTL logfile created on: 30.09.2012 17:39:14 - Run 1
OTL by OldTimer - Version 3.2.69.0     Folder = C:\Windows\system32\config\systemprofile\Desktop
 Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,91 Gb Total Physical Memory | 2,34 Gb Available Physical Memory | 80,38% Memory free
5,81 Gb Paging File | 5,28 Gb Available in Paging File | 90,96% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 285,21 Gb Total Space | 222,18 Gb Free Space | 77,90% Space Free | Partition Type: NTFS
Drive D: | 12,68 Gb Total Space | 2,12 Gb Free Space | 16,70% Space Free | Partition Type: NTFS
Drive F: | 199,00 Mb Total Space | 166,84 Mb Free Space | 83,84% Space Free | Partition Type: NTFS
Drive G: | 232,88 Gb Total Space | 8,49 Gb Free Space | 3,65% Space Free | Partition Type: NTFS
 
Computer Name: LOTTA-PC | User Name: lotta | Logged in as Administrator.
Boot Mode: SafeMode with Networking | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Processes (SafeList) ==========
 
PRC - C:\Windows\System32\config\systemprofile\Desktop\OTL.exe (OldTimer Tools)
PRC - C:\Windows\explorer.exe (Microsoft Corporation)
 
 
========== Modules (No Company Name) ==========
 
 
========== Services (SafeList) ==========
 
SRV - (BBUpdate) -- C:\Programme\Microsoft\BingBar\7.1.391.0\SeaPort.EXE (Microsoft Corporation.)
SRV - (BBSvc) -- C:\Programme\Microsoft\BingBar\7.1.391.0\BBSvc.EXE (Microsoft Corporation.)
SRV - (WatAdminSvc) -- C:\Windows\System32\Wat\WatAdminSvc.exe (Microsoft Corporation)
SRV - (fsssvc) -- C:\Programme\Windows Live\Family Safety\fsssvc.exe (Microsoft Corporation)
SRV - (SensrSvc) -- C:\Windows\System32\sensrsvc.dll (Microsoft Corporation)
SRV - (WinDefend) -- C:\Programme\Windows Defender\MpSvc.dll (Microsoft Corporation)
SRV - (WMPNetworkSvc) -- C:\Programme\Windows Media Player\wmpnetwk.exe (Microsoft Corporation)
SRV - (AVM WLAN Connection Service) -- C:\Programme\avmwlanstick\WLanNetService.exe (AVM Berlin)
 
 
========== Driver Services (SafeList) ==========
 
DRV - (athr) -- C:\Windows\System32\drivers\athr.sys (Atheros Communications, Inc.)
DRV - (FWLANUSB) -- C:\Windows\System32\drivers\fwlanusb.sys (AVM GmbH)
DRV - (avmeject) -- C:\Windows\System32\drivers\avmeject.sys (AVM Berlin)
 
 
========== Standard Registry (SafeList) ==========
 
 
========== Internet Explorer ==========
 
IE - HKLM\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC
IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = hxxp://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7
 
 
IE - HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\Main,Default Download Directory = C:\Windows\system32\config\systemprofile\Desktop
IE - HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?rd=1&ucc=DE&dcc=DE&opt=0&ocid=iehp
IE - HKU\.DEFAULT\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = F0 74 A2 8D 7B 9D CD 01  [binary data]
IE - HKU\.DEFAULT\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
IE - HKU\S-1-5-18\SOFTWARE\Microsoft\Internet Explorer\Main,Default Download Directory = C:\Windows\system32\config\systemprofile\Desktop
IE - HKU\S-1-5-18\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache = hxxp://de.msn.com/?rd=1&ucc=DE&dcc=DE&opt=0&ocid=iehp
IE - HKU\S-1-5-18\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page Redirect Cache_TIMESTAMP = F0 74 A2 8D 7B 9D CD 01  [binary data]
IE - HKU\S-1-5-18\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990}
IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0
 
 
 
 
========== FireFox ==========
 
FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF32.dll ()
FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found
FF - HKLM\Software\MozillaPlugins\@Microsoft.com/NpCtrl,version=1.0: c:\Program Files\Microsoft Silverlight\4.1.10329.0\npctrl.dll ( Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@microsoft.com/WLPG,version=14.0.8117.0416: C:\Program Files\Windows Live\Photo Gallery\NPWLPG.dll (Microsoft Corporation)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=3: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
FF - HKLM\Software\MozillaPlugins\@tools.google.com/Google Update;version=9: C:\Program Files\Google\Update\1.3.21.123\npGoogleUpdate3.dll (Google Inc.)
 
 
 
O1 HOSTS File: ([2009.06.10 23:39:37 | 000,000,824 | ---- | M]) - C:\Windows\System32\drivers\etc\hosts
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found.
O2 - BHO: (Windows Live Anmelde-Hilfsprogramm) - {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Programme\Common Files\microsoft shared\Windows Live\WindowsLiveLogin.dll (Microsoft Corporation)
O2 - BHO: (Easy Photo Print) - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programme\Epson Software\Easy Photo Print\EPTBL.dll (SEIKO EPSON CORPORATION / CyCom Technology Corp.)
O2 - BHO: (Bing Bar Helper) - {d2ce3e00-f94a-4740-988e-03dc2f38c34f} - C:\Programme\Microsoft\BingBar\7.1.391.0\BingExt.dll (Microsoft Corporation.)
O3 - HKLM\..\Toolbar: (Bing Bar) - {8dcb7100-df86-4384-8842-8fa844297b3f} - C:\Program Files\Microsoft\BingBar\7.1.391.0\BingExt.dll (Microsoft Corporation.)
O3 - HKLM\..\Toolbar: (Easy Photo Print) - {9421DD08-935F-4701-A9CA-22DF90AC4EA6} - C:\Programme\Epson Software\Easy Photo Print\EPTBL.dll (SEIKO EPSON CORPORATION / CyCom Technology Corp.)
O4 - HKLM..\Run: [AVMWlanClient] C:\Programme\avmwlanstick\WLanGUI.exe (AVM Berlin)
O4 - HKLM..\Run: [FUFAXSTM] C:\Program Files\Epson Software\FAX Utility\FUFAXSTM.exe (SEIKO EPSON CORPORATION)
O4 - HKU\S-1-5-19..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - HKU\S-1-5-20..\RunOnce: [mctadmin] C:\Windows\System32\mctadmin.exe (Microsoft Corporation)
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT ()
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT.LOG1 ()
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT.LOG2 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SAM ()
O4 - Startup: C:\Windows\System32\config\RegBack\SAM.LOG1 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SAM.LOG2 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY ()
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY.LOG1 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY.LOG2 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE ()
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE.LOG1 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE.LOG2 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM ()
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM.LOG1 ()
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM.LOG2 ()
O4 - Startup: C:\Windows\System32\config\systemprofile\AppData [2009.07.14 06:36:39 | 000,000,000 | --SD | M]
O4 - Startup: C:\Windows\System32\config\systemprofile\Desktop [2012.09.28 15:13:25 | 000,000,000 | R--D | M]
O4 - Startup: C:\Windows\System32\config\systemprofile\Favorites [2012.09.28 11:44:21 | 000,000,000 | R--D | M]
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG1 ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG2 ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TM.blf ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.0.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.1.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.2.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.blf ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TM.blf ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000001.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000002.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.0.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.1.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.2.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.blf ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TM.blf ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms ()
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms ()
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0
O9 - Extra Button: In Blog veröffentlichen - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programme\Windows Live\Writer\WriterBrowserExtension.dll (Microsoft Corporation)
O9 - Extra 'Tools' menuitem : In Windows Live Writer in Blog veröffentliche&n - {219C3416-8CB2-491a-A3C7-D9FCDDC9D600} - C:\Programme\Windows Live\Writer\WriterBrowserExtension.dll (Microsoft Corporation)
O13 - gopher Prefix: missing
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} hxxp://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.)
O17 - HKLM\System\CCS\Services\Tcpip\Parameters: DhcpNameServer = 194.25.0.60 194.25.0.68
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{24C3202D-B8C1-4651-ABE2-F1E1B8D74057}: DhcpNameServer = 194.25.0.60 194.25.0.68
O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{E74B1DAE-0245-441E-82B1-1D703DE7CE61}: DhcpNameServer = 194.25.0.60 194.25.0.68
O18 - Protocol\Handler\livecall {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8117.0416.dll (Microsoft Corporation)
O18 - Protocol\Handler\msnim {828030A1-22C1-4009-854F-8E305202313F} - C:\Programme\Windows Live\Messenger\msgrapp.14.0.8117.0416.dll (Microsoft Corporation)
O18 - Protocol\Handler\wlmailhtml {03C514A3-1EFB-4856-9F99-10D7BE1653C0} - C:\Programme\Windows Live\Mail\mailcomm.dll (Microsoft Corporation)
O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation)
O20 - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\System32\userinit.exe (Microsoft Corporation)
O20 - HKLM Winlogon: VMApplet - (SystemPropertiesPerformance.exe) - C:\Windows\System32\SystemPropertiesPerformance.exe (Microsoft Corporation)
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found.
O32 - HKLM CDRom: AutoRun - 1
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ]
O34 - HKLM BootExecute: (autocheck autochk *)
O35 - HKLM\..comfile [open] -- "%1" %*
O35 - HKLM\..exefile [open] -- "%1" %*
O37 - HKLM\...com [@ = comfile] -- "%1" %*
O37 - HKLM\...exe [@ = exefile] -- "%1" %*
O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3)
O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2)
O38 - SubSystems\\Windows: (ServerDll=sxssrv,4)
 
========== Files/Folders - Created Within 30 Days ==========
 
[2012.09.28 13:02:47 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Malwarebytes' Anti-Malware
[2012.09.28 13:02:46 | 000,022,856 | ---- | C] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
[2012.09.28 13:02:46 | 000,000,000 | ---D | C] -- C:\Program Files\Malwarebytes' Anti-Malware
[2012.09.28 13:02:46 | 000,000,000 | ---D | C] -- C:\ProgramData\Malwarebytes
[2012.09.28 11:44:07 | 000,000,000 | R--D | C] -- C:\Windows\system32\config\systemprofile\Favorites
[2012.09.28 11:42:33 | 000,000,000 | R--D | C] -- C:\Windows\system32\config\systemprofile\Desktop
[2012.09.22 13:19:27 | 002,382,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\mshtml.tlb
[2012.09.22 13:19:26 | 000,065,024 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jsproxy.dll
[2012.09.22 13:19:25 | 000,607,744 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\msfeeds.dll
[2012.09.22 13:19:25 | 000,176,640 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieui.dll
[2012.09.22 13:19:25 | 000,142,848 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\ieUnatt.exe
[2012.09.22 13:19:24 | 001,800,704 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\jscript9.dll
[2012.09.22 13:19:24 | 000,231,936 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\url.dll
[2012.09.22 13:19:22 | 001,427,968 | ---- | C] (Microsoft Corporation) -- C:\Windows\System32\inetcpl.cpl
 
========== Files - Modified Within 30 Days ==========
 
[2012.09.30 17:36:53 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat
[2012.09.30 17:36:46 | 2339,573,760 | -HS- | M] () -- C:\hiberfil.sys
[2012.09.30 16:51:51 | 000,664,618 | ---- | M] () -- C:\Windows\System32\perfh007.dat
[2012.09.30 16:51:51 | 000,624,800 | ---- | M] () -- C:\Windows\System32\perfh009.dat
[2012.09.30 16:51:51 | 000,134,786 | ---- | M] () -- C:\Windows\System32\perfc007.dat
[2012.09.30 16:51:51 | 000,110,438 | ---- | M] () -- C:\Windows\System32\perfc009.dat
[2012.09.28 15:14:30 | 000,001,094 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineCore.job
[2012.09.28 14:04:52 | 000,003,304 | ---- | M] () -- C:\bootsqm.dat
[2012.09.28 13:02:47 | 000,001,071 | ---- | M] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
[2012.09.28 11:15:40 | 000,015,280 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0
[2012.09.28 11:15:40 | 000,015,280 | -H-- | M] () -- C:\Windows\System32\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0
[2012.09.27 18:57:00 | 000,001,098 | ---- | M] () -- C:\Windows\tasks\GoogleUpdateTaskMachineUA.job
[2012.09.07 17:04:46 | 000,022,856 | ---- | M] (Malwarebytes Corporation) -- C:\Windows\System32\drivers\mbam.sys
 
========== Files Created - No Company Name ==========
 
[2012.09.28 14:04:52 | 000,003,304 | ---- | C] () -- C:\bootsqm.dat
[2012.09.28 14:04:52 | 000,003,304 | ---- | C] () -- \bootsqm.dat
[2012.09.28 13:02:47 | 000,001,071 | ---- | C] () -- C:\Users\Public\Desktop\ Malwarebytes Anti-Malware .lnk
[2011.02.25 14:18:05 | 000,098,304 | ---- | C] () -- C:\Windows\FunambolAddin.dll
[2010.06.08 10:42:51 | 000,000,000 | RHS- | C] () -- \MSDOS.SYS
[2010.06.08 10:42:51 | 000,000,000 | RHS- | C] () -- \IO.SYS
[2010.06.04 21:28:22 | 2339,573,760 | -HS- | C] () -- \hiberfil.sys
[2009.09.07 03:57:12 | 000,383,562 | RHS- | C] () -- \bootmgr
[2009.07.14 04:04:04 | 000,000,024 | ---- | C] () -- \autoexec.bat
[2009.07.14 04:04:04 | 000,000,010 | ---- | C] () -- \config.sys
[1601.02.13 10:28:18 | 000,040,283 | ---- | C] () -- \QuejArtXegtTLnQdE
 
========== ZeroAccess Check ==========
 
[2009.07.14 06:42:31 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini
 
[HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]
 
[HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32]
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32]
"" = %SystemRoot%\system32\shell32.dll -- [2012.06.09 06:46:56 | 012,868,608 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Apartment
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32]
"" = %systemroot%\system32\wbem\fastprox.dll -- [2009.07.14 03:15:20 | 000,605,696 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Free
 
[HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32]
"" = %systemroot%\system32\wbem\wbemess.dll -- [2009.07.14 03:16:17 | 000,342,528 | ---- | M] (Microsoft Corporation)
"ThreadingModel" = Both

< End of report >
--- --- ---


Extras.txt

OTL Logfile:
Code:
ATTFilter
OTL Extras logfile created on: 30.09.2012 17:39:14 - Run 1
OTL by OldTimer - Version 3.2.69.0     Folder = C:\Windows\system32\config\systemprofile\Desktop
 Home Premium Edition  (Version = 6.1.7600) - Type = NTWorkstation
Internet Explorer (Version = 9.0.8112.16421)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
 
2,91 Gb Total Physical Memory | 2,34 Gb Available Physical Memory | 80,38% Memory free
5,81 Gb Paging File | 5,28 Gb Available in Paging File | 90,96% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
 
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files
Drive C: | 285,21 Gb Total Space | 222,18 Gb Free Space | 77,90% Space Free | Partition Type: NTFS
Drive D: | 12,68 Gb Total Space | 2,12 Gb Free Space | 16,70% Space Free | Partition Type: NTFS
Drive F: | 199,00 Mb Total Space | 166,84 Mb Free Space | 83,84% Space Free | Partition Type: NTFS
Drive G: | 232,88 Gb Total Space | 8,49 Gb Free Space | 3,65% Space Free | Partition Type: NTFS
 
Computer Name: LOTTA-PC | User Name: lotta | Logged in as Administrator.
Boot Mode: SafeMode with Networking | Scan Mode: All users
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
 
========== Extra Registry (SafeList) ==========
 
 
========== File Associations ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- C:\Windows\System32\control.exe (Microsoft Corporation)
.hlp [@ = hlpfile] -- C:\Windows\winhlp32.exe (Microsoft Corporation)
 
========== Shell Spawning ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- %SystemRoot%\System32\control.exe "%1",%* (Microsoft Corporation)
exefile [open] -- "%1" %*
helpfile [open] -- Reg Error: Key error.
hlpfile [open] -- %SystemRoot%\winhlp32.exe %1 (Microsoft Corporation)
htmlfile [edit] -- Reg Error: Key error.
htmlfile [print] -- rundll32.exe %windir%\system32\mshtml.dll,PrintHTML "%1"
inffile [install] -- %SystemRoot%\System32\InfDefaultInstall.exe "%1" (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [cmd] -- cmd.exe /s /k pushd "%V" (Microsoft Corporation)
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [explore] -- Reg Error: Value error.
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
 
========== Security Center Settings ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
"cval" = 1
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Monitoring]
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center\Svc]
"VistaSp1" = Reg Error: Unknown registry data type -- File not found
"AntiVirusOverride" = 0
"AntiSpywareOverride" = 0
"FirewallOverride" = 0
 
========== Firewall Settings ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile]
"DisableNotifications" = 0
"EnableFirewall" = 1
 
========== Authorized Applications List ==========
 
 
========== Vista Active Open Ports Exception List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{035A70A9-3D92-4ABC-8B33-7A5928DE8718}" = lport=rpc-epmap | protocol=6 | dir=in | svc=rpcss | name=@firewallapi.dll,-28539 | 
"{085F6C19-4827-4155-BF38-042D509506C0}" = lport=2869 | protocol=6 | dir=in | app=system | 
"{0F459800-C86D-4D11-84F9-29DD39944802}" = lport=10243 | protocol=6 | dir=in | app=system | 
"{1B171135-931D-4618-911F-ADED8FB16726}" = lport=rpc | protocol=6 | dir=in | svc=spooler | app=%systemroot%\system32\spoolsv.exe | 
"{2A777804-5DE3-4844-AD73-93349FC1935D}" = lport=1900 | protocol=17 | dir=in | svc=ssdpsrv | app=%systemroot%\system32\svchost.exe | 
"{35DFB252-E615-4A08-A233-A10ABB7591A0}" = rport=5355 | protocol=17 | dir=out | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{36B0FE3E-EED7-47F3-8481-D31F55B1702E}" = lport=138 | protocol=17 | dir=in | app=system | 
"{43B930F9-B206-4042-A4A4-DB2AB7177B4C}" = lport=445 | protocol=6 | dir=in | app=system | 
"{536D29C1-D5FE-4641-BC2E-F3E41188C6B9}" = rport=2177 | protocol=17 | dir=out | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{54918179-80F1-4929-8F35-C99FACA1819A}" = lport=2869 | protocol=6 | dir=in | app=system | 
"{6FDD2EAA-76DF-49B5-9E2F-9817BA5E636F}" = lport=5355 | protocol=17 | dir=in | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{709F0555-B57C-48CB-BE7B-FA26F4C4F105}" = lport=139 | protocol=6 | dir=in | app=system | 
"{76265C86-0FEB-43B0-8389-14D16524E489}" = rport=2177 | protocol=6 | dir=out | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{781A9307-1060-4344-9B23-E32B7BE5938B}" = rport=139 | protocol=6 | dir=out | app=system | 
"{79FA9D43-A157-460D-8567-BD9486AC55F3}" = lport=2177 | protocol=17 | dir=in | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{7A6A74D7-29FD-44FF-B23E-DFC025A51CEE}" = rport=10243 | protocol=6 | dir=out | app=system | 
"{81462BC8-128D-4064-AC57-2040B6263D4B}" = rport=137 | protocol=17 | dir=out | app=system | 
"{8A88D318-36C8-45DA-BB0C-F473B82D9E83}" = lport=5355 | protocol=17 | dir=in | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{95AB5E8E-55DD-4264-8A58-27CD4486563A}" = lport=2177 | protocol=6 | dir=in | svc=qwave | app=%systemroot%\system32\svchost.exe | 
"{96CDD47A-5CD1-4DE9-95FA-7C40B6E1FB6E}" = rport=1900 | protocol=17 | dir=out | svc=ssdpsrv | app=%systemroot%\system32\svchost.exe | 
"{C8CC3530-F7C1-44E9-819D-8984095FC3E1}" = rport=138 | protocol=17 | dir=out | app=system | 
"{CAFCBD34-9054-4F1C-8F28-57D6EE2619EA}" = lport=1900 | protocol=17 | dir=in | svc=ssdpsrv | app=svchost.exe | 
"{EB15B3C8-5C49-4574-B2E5-96507A9CABC0}" = rport=445 | protocol=6 | dir=out | app=system | 
"{F2468698-4FC3-47BD-AABC-68B59FC97124}" = rport=5355 | protocol=17 | dir=out | svc=dnscache | app=%systemroot%\system32\svchost.exe | 
"{FD62CA38-0DF1-44A5-8E80-24C82FB2D030}" = lport=137 | protocol=17 | dir=in | app=system | 
 
========== Vista Active Application Exception List ==========
 
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{01000AD4-1DBA-409A-9FCA-4BDC4B5B57BE}" = protocol=1 | dir=out | name=@firewallapi.dll,-28544 | 
"{11CF4E4E-48CA-4011-92B4-37A8F6698BC2}" = protocol=17 | dir=in | app=c:\windows\system32\spool\drivers\w32x86\3\hp1006mc.exe | 
"{20F59217-2FC4-4F29-A196-AC1D57191519}" = protocol=1 | dir=in | name=@firewallapi.dll,-28543 | 
"{21147FA3-BA97-4673-96B1-0CCB0EF1E04F}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmplayer.exe | 
"{2DD99357-DF18-469B-8D2F-71F2CDC7CDBB}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{335954C8-6171-4AFF-9AF9-888166258472}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{371CB057-1B0A-4186-9615-90997B7777CA}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{3F8D271C-5446-4437-B100-F4A14587DA03}" = protocol=6 | dir=out | app=system | 
"{45A6AB81-213D-4A59-84D3-F5EB0BE558DD}" = protocol=6 | dir=in | app=c:\program files\epsonnet\epsonnet setup\tool10\eneasyapp.exe | 
"{4A777164-55AA-4F94-AE0E-FC4C2F35E9F4}" = dir=in | app=c:\program files\windows live\sync\windowslivesync.exe | 
"{5E86DAA6-087A-447D-AED0-E59CDA042F40}" = protocol=17 | dir=in | app=%programfiles%\windows media player\wmplayer.exe | 
"{6D60FC76-2F28-4B92-82C9-083BC20A474B}" = protocol=6 | dir=out | svc=upnphost | app=%systemroot%\system32\svchost.exe | 
"{84571F3F-5A7C-44AB-BCA0-7ADB73C78175}" = protocol=58 | dir=out | name=@firewallapi.dll,-28546 | 
"{8A73B60D-AE8E-4E39-8032-E2BB5D59FF09}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{8FE039C7-57F9-475C-9681-E208D5B10C66}" = dir=in | app=c:\program files\windows live\messenger\msnmsgr.exe | 
"{AD6725E7-8D0B-49CF-9CB8-D8FBB1F6C00F}" = protocol=6 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{B466583B-BBE9-44FC-A95C-BBBF5EC42701}" = protocol=6 | dir=in | app=%programfiles%\windows media player\wmpnetwk.exe | 
"{BFF18C42-AAB2-441C-BBC9-F6F95C1B6782}" = protocol=58 | dir=in | name=@firewallapi.dll,-28545 | 
"{C5F7E657-FB1B-41AA-AF04-D5F82F2805A5}" = dir=in | app=c:\program files\windows live\messenger\wlcsdk.exe | 
"{CE0C01E2-2246-4924-B39C-3BCCA4747242}" = protocol=6 | dir=in | app=c:\windows\system32\spool\drivers\w32x86\3\hp1006mc.exe | 
"{DCC9B7B7-2A83-4F39-A087-2FB42AAEB6E6}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
"{E55577AD-DF59-4F0E-AB9C-5E6CC4E5FC04}" = protocol=17 | dir=in | app=c:\program files\epsonnet\epsonnet setup\tool10\eneasyapp.exe | 
"{EC965501-632B-4C90-A6D9-867AF4BEB430}" = protocol=17 | dir=out | app=%programfiles%\windows media player\wmplayer.exe | 
 
========== HKEY_LOCAL_MACHINE Uninstall List ==========
 
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{002D9D5E-29BA-3E6D-9BC4-3D7D6DBC735C}" = Microsoft Visual C++ 2008 ATL Update kb973924 - x86 9.0.30729.4148
"{0CBE6C93-CB2E-4378-91EE-12BE6D4E2E4A}" = Epson FAX Utility
"{18455581-E099-4BA8-BC6B-F34B2F06600C}" = Google Toolbar for Internet Explorer
"{1AE46C09-2AB8-4EE5-88FB-08CD0FF7F2DF}" = Bing Bar
"{205C6BDD-7B73-42DE-8505-9A093F35A238}" = Windows Live-Uploadtool
"{22B775E7-6C42-4FC5-8E10-9A5E3257BD94}" = MSVCRT
"{2318C2B1-4965-11d4-9B18-009027A5CD4F}" = Google Toolbar for Internet Explorer
"{3175E049-F9A9-4A3D-8F19-AC9FB04514D1}" = Windows Live Communications Platform
"{39F58DDB-B2B8-4B86-AF20-4706A80EB30D}" = Epson Easy Photo Print 2
"{3C3901C5-3455-3E0A-A214-0B093A5070A6}" = Microsoft .NET Framework 4 Client Profile
"{3E31400D-274E-4647-916C-2CACC3741799}" = EpsonNet Print
"{52B97218-98CB-4B8B-9283-D213C85E1AA4}" = Windows Live Anmelde-Assistent
"{586509F0-350D-48B5-B763-9CC2F8D96C4C}" = Windows Live Sync
"{6AFCA4E1-9B78-3640-8F72-A7BF33448200}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729
"{710f4c1c-cc18-4c49-8cbf-51240c89a1a2}" = Microsoft Visual C++ 2005 Redistributable
"{770657D0-A123-3C07-8E44-1C83EC895118}" = Microsoft Visual C++ 2005 ATL Update kb973923 - x86 8.0.50727.4053
"{850C7BD3-9F3F-46AD-9396-E7985B38C55E}" = Windows Live Fotogalerie
"{86CE85E6-DBAC-3FFD-B977-E4B79F83C909}" = Microsoft Visual C++ 2008 Redistributable - KB2467174 - x86 9.0.30729.5570
"{89F4137D-6C26-4A84-BDB8-2E5A4BB71E00}" = Microsoft Silverlight
"{8A74E887-8F0F-4017-AF53-CBA42211AAA5}" = Microsoft Sync Framework Runtime Native v1.0 (x86)
"{8E5233E1-7495-44FB-8DEB-4BE906D59619}" = Junk Mail filter update
"{95120000-00B9-0409-0000-0000000FF1CE}" = Microsoft Application Error Reporting
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{A7496F46-78AE-4DB2-BCF5-95F210FA6F96}" = Windows Live Movie Maker
"{A92DAB39-4E2C-4304-9AB6-BC44E68B55E2}" = Google Update Helper
"{AC76BA86-7AD7-1031-7B44-A93000000001}" = Adobe Reader 9.3 - Deutsch
"{AED2DD42-9853-407E-A6BC-8A1D6B715909}" = Windows Live Messenger
"{B2D55EB8-32C5-4B43-9006-9E97DECBA178}" = Epson Easy Photo Print Plug-in for PMB(Picture Motion Browser)
"{BD64AF4A-8C80-4152-AD77-FCDDF05208AB}" = Microsoft Sync Framework Services Native v1.0 (x86)
"{C4D738F7-996A-4C81-B8FA-C4E26D767E41}" = Windows Live Mail
"{C9D8A041-2963-4B31-8FFC-1500F3DB9293}" = EpsonNet Setup 3.3
"{CAFA57E8-8927-4912-AFCF-B0AA3837E989}" = Windows Live Essentials
"{CB2F7EDD-9D1F-43C1-90FC-4F52EAE172A1}" = Microsoft .NET Framework 1.1
"{D2041A37-5FEC-49F0-AE5C-3F2FFDFAA4F4}" = Windows Live Call
"{E0A4805D-280A-4DD7-9E74-3A5F85E302A1}" = Windows Live Writer
"{EFCEF949-9821-4759-A573-3EB8C857DF46}" = Windows Live Family Safety
"{F0B430D1-B6AA-473D-9B06-AA3DD01FD0B8}" = Microsoft SQL Server 2005 Compact Edition [ENU]
"{F0E12BBA-AD66-4022-A453-A1C8A0C4D570}" = Microsoft Choice Guard
"Adobe Flash Player ActiveX" = Adobe Flash Player 10 ActiveX
"Adobe Flash Player Plugin" = Adobe Flash Player 10 Plugin
"AVMWLANCLI" = AVM FRITZ!WLAN
"ElsterFormular 11.5.0.4546" = ElsterFormular
"ElsterFormular 13.0.0.8086u" = ElsterFormular
"ElsterFormular für Unternehmer 12.1.1.6214u" = ElsterFormular für Unternehmer
"EPSON BX305 Series" = EPSON BX305 Series Printer Uninstall
"EPSON BX305 Series Manual" = EPSON BX305 Series Handbuch
"EPSON BX305 Series Network Guide" = EPSON BX305 Series Netzwerk-Handbuch
"EPSON PC-FAX Driver 2" = Epson PC-FAX Driver
"EPSON Scanner" = EPSON Scan
"Malwarebytes' Anti-Malware_is1" = Malwarebytes Anti-Malware Version 1.65.0.1400
"Microcash EuroCis" = Microcash EuroCis
"Microsoft .NET Framework 4 Client Profile" = Microsoft .NET Framework 4 Client Profile
"WinLiveSuite_Wave3" = Windows Live Essentials
"WinRAR archiver" = WinRAR
 
========== Last 20 Event Log Errors ==========
 
[ Application Events ]
Error - 30.06.2012 03:08:06 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Name des fehlerhaften Moduls: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Ausnahmecode: 0xc0000005  Fehleroffset: 0x001fa7ec  ID des fehlerhaften Prozesses:
 0xec0  Startzeit der fehlerhaften Anwendung: 0x01cd56847f1a3b22  Pfad der fehlerhaften
 Anwendung: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Pfad des fehlerhaften 
Moduls: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Berichtskennung: 56b928b9-c282-11e1-813e-00269ec534e6
 
Error - 22.08.2012 03:08:46 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Name des fehlerhaften Moduls: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Ausnahmecode: 0xc0000005  Fehleroffset: 0x001fa7ec  ID des fehlerhaften Prozesses:
 0xc10  Startzeit der fehlerhaften Anwendung: 0x01cd802f0ede4e44  Pfad der fehlerhaften
 Anwendung: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Pfad des fehlerhaften 
Moduls: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Berichtskennung: 3678a723-ec28-11e1-8f6d-00269ec534e6
 
Error - 22.08.2012 11:57:46 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Name des fehlerhaften Moduls: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Ausnahmecode: 0xc0000005  Fehleroffset: 0x001fa7ec  ID des fehlerhaften Prozesses:
 0x948  Startzeit der fehlerhaften Anwendung: 0x01cd80350cbd2931  Pfad der fehlerhaften
 Anwendung: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Pfad des fehlerhaften 
Moduls: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Berichtskennung: 1d18069d-ec72-11e1-8f6d-00269ec534e6
 
Error - 06.09.2012 04:55:57 | Computer Name = lotta-PC | Source = Software Protection Platform Service | ID = 8200
Description = Lizenzerwerb-Fehlerdetails.   hr=0xC004C532
 
Error - 06.09.2012 04:55:57 | Computer Name = lotta-PC | Source = Software Protection Platform Service | ID = 8208
Description = Fehler bei der Erfassung des authentischen Tickets (hr=0xC004C532)
 für die Vorlagen-ID 66c92734-d682-4d71-983e-d6ec3f16059f.
 
Error - 07.09.2012 10:38:59 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Name des fehlerhaften Moduls: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Ausnahmecode: 0xc0000005  Fehleroffset: 0x001fa7ec  ID des fehlerhaften Prozesses:
 0xdb4  Startzeit der fehlerhaften Anwendung: 0x01cd8cc56109d744  Pfad der fehlerhaften
 Anwendung: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Pfad des fehlerhaften 
Moduls: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Berichtskennung: c222ca33-f8f9-11e1-8f31-00269ec534e6
 
Error - 19.09.2012 03:45:21 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Name des fehlerhaften Moduls: EuroCIS.exe, Version: 0.0.0.0, Zeitstempel:
 0x4b90dfb1  Ausnahmecode: 0xc0000005  Fehleroffset: 0x001fa7ec  ID des fehlerhaften Prozesses:
 0x860  Startzeit der fehlerhaften Anwendung: 0x01cd962ec42fee10  Pfad der fehlerhaften
 Anwendung: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Pfad des fehlerhaften 
Moduls: C:\Program Files\Microcash\EuroCis\EuroCIS.exe  Berichtskennung: f6627681-022d-11e2-8e28-00269ec534e6
 
Error - 27.09.2012 02:26:58 | Computer Name = lotta-PC | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: hlpqd.exe, Version: 1.8.3.24, Zeitstempel:
 0x505710e6  Name des fehlerhaften Moduls: hlpqd.exe, Version: 1.8.3.24, Zeitstempel:
 0x505710e6  Ausnahmecode: 0xc0000096  Fehleroffset: 0x00005417  ID des fehlerhaften Prozesses:
 0xb18  Startzeit der fehlerhaften Anwendung: 0x01cd9c7916dfe00e  Pfad der fehlerhaften
 Anwendung: C:\Users\lotta\AppData\Local\Temp\hlpqd.exe  Pfad des fehlerhaften Moduls:
 C:\Users\lotta\AppData\Local\Temp\hlpqd.exe  Berichtskennung: 56850ea9-086c-11e2-8e94-00269ec534e6
 
Error - 27.09.2012 02:26:58 | Computer Name = lotta-PC | Source = Application Error | ID = 1005
Description = Aus einem der folgenden Gründe kann nicht auf die Datei "" zugegriffen
 werden:  Es besteht ein Problem mit der Netzwerkverbindung, dem Datenträger mit der
 gespeicherten Datei bzw. den auf dem Computer installierten  Speichertreibern, oder
 der Datenträger fehlt.  Das Programm Form Under wurde wegen dieses Fehlers geschlossen.

Programm:
 Form Under  Datei:     Der Fehlerwert ist im Abschnitt "Zusätzliche Dateien" aufgelistet.
Benutzeraktion
1.
 Öffnen Sie die Datei erneut.  Diese Situation ist eventuell ein temporäres Problem,
 das selbstständig behoben wird, wenn das Programm erneut ausgeführt wird.  2.  Wenn
 Sie weiterhin nicht auf die Datei zugreifen können und   - diese sich im Netzwerk 
befindet,   dann sollte der Netzwerkadministrator überprüfen, dass kein Netzwerkproblem
 besteht und dass eine Verbindung mit dem Server hergestellt werden kann.   - diese
 sich auf einem Wechseldatenträger, wie z. B. einer Diskette oder einer CD, befindet,
 überprüfen Sie, ob der Datenträger richtig in den Computer eingelegt ist.  3. Überprüfen
 und reparieren Sie das Dateisystem, indem Sie CHKDSK ausführen. Klicken Sie dazu
 im Menü "Start" auf "Ausführen", geben Sie CMD ein, und klicken Sie auf "OK". Geben
 Sie an der Eingabeaufforderung CHKDSK /F ein, und drücken Sie die EINGABETASTE.
4.
 Stellen Sie die Datei von einer Sicherungskopie wieder her, wenn das Problem weiterhin
 besteht.  5. Überprüfen Sie, ob andere Dateien auf demselben Datenträger geöffnet
 werden können. Falls dies nicht möglich ist, ist der Datenträger eventuell beschädigt.
   Wenden Sie sich an den Administrator oder den Hersteller der Computerhardware, 
um weitere Unterstützung zu erhalten, wenn es sich um eine Festplatte handelt.    Zusätzliche
 Daten  Fehlerwert: 00000000  Datenträgertyp: 0
 
Error - 27.09.2012 11:01:02 | Computer Name = lotta-PC | Source = VSS | ID = 8194
Description = 
 
[ System Events ]
Error - 30.09.2012 08:19:48 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 08:19:55 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 08:20:02 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 08:20:03 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 11:36:54 | Computer Name = lotta-PC | Source = EventLog | ID = 6008
Description = Das System wurde zuvor am ?30.?09.?2012 um 17:31:42 unerwartet heruntergefahren.
 
Error - 30.09.2012 11:37:01 | Computer Name = lotta-PC | Source = Service Control Manager | ID = 7026
Description = Das Laden folgender Boot- oder Systemstarttreiber ist fehlgeschlagen:
   discache  spldr  Wanarpv6
 
Error - 30.09.2012 11:37:03 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 11:37:10 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 11:37:17 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
Error - 30.09.2012 11:37:17 | Computer Name = lotta-PC | Source = DCOM | ID = 10005
Description = 
 
 
< End of report >
--- --- ---
__________________
Geändert von bobbl76 (30.09.2012 um 17:38 Uhr)

Alt 30.09.2012, 18:58   #4
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Die Bereinigung besteht aus mehreren Schritten, die ausgefuehrt werden muessen.
Diese Nacheinander abarbeiten und die 4 Logs, die dabei erstellt werden bitte in deine naechste Antwort einfuegen.

Sollte der OTL-FIX nicht richig durchgelaufen sein. Fahre nicht fort, sondern mede dies bitte.

1. Schritt

Fixen mit OTL

Lade (falls noch nicht vorhanden) OTL von Oldtimer herunter und speichere es auf Deinem Desktop (nicht woanders hin).

  • Deaktiviere etwaige Virenscanner wie Avira, Kaspersky etc.
  • Starte die OTL.exe.
    Vista- und Windows 7-User starten mit Rechtsklick auf das Programm-Icon und wählen "Als Administrator ausführen".
  • Kopiere folgendes Skript in das Textfeld unterhalb von Benuterdefinierte Scans/Fixes:
  • Der Fix fängt mit :OTL an. Vergewissere dich, dass du ihn richtig kopiert hast.


Code:
ATTFilter
:OTL
IE - HKLM\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990} 
IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = http://www.bing.com/search?q={searchTerms}&FORM=IE8SRC 
IE - HKLM\..\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}: "URL" = http://www.google.com/search?q={searchTerms}&rls=com.microsoft:{language}:{referrer:source?}&ie={inputEncoding}&oe={outputEncoding}&sourceid=ie7 
IE - HKU\.DEFAULT\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990} 
IE - HKU\S-1-5-18\..\SearchScopes,DefaultScope = {6A1806CD-94D4-4689-BA73-E35EA1EA9990} 
FF - HKLM\Software\MozillaPlugins\@microsoft.com/GENUINE: disabled File not found 
O2 - BHO: (no name) - {5C255C8A-E604-49b4-9D64-90988571CECB} - No CLSID value found. 
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT () 
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT.LOG1 () 
O4 - Startup: C:\Windows\System32\config\RegBack\DEFAULT.LOG2 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SAM () 
O4 - Startup: C:\Windows\System32\config\RegBack\SAM.LOG1 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SAM.LOG2 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY () 
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY.LOG1 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SECURITY.LOG2 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE () 
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE.LOG1 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SOFTWARE.LOG2 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM () 
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM.LOG1 () 
O4 - Startup: C:\Windows\System32\config\RegBack\SYSTEM.LOG2 () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG1 () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat.LOG2 () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TM.blf () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.0.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.1.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.2.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.blf () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TM.blf () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000001.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000002.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.0.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.1.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.2.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.blf () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TM.blf () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms () 
O4 - Startup: C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms () 
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 0 
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3 
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: EnableLUA = 0 
O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: PromptOnSecureDesktop = 0 
O16 - DPF: {E2883E8F-472F-4FB0-9522-AC9BF37916A7} http://platformdl.adobe.com/NOS/getPlusPlus/1.6/gp.cab (Reg Error: Key error.) 
O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found. 
O32 - HKLM CDRom: AutoRun - 1 
O32 - AutoRun File - [2009.06.10 23:42:20 | 000,000,024 | ---- | M] () - C:\autoexec.bat -- [ NTFS ] 

[1601.02.13 10:28:18 | 000,040,283 | ---- | C] () -- \QuejArtXegtTLnQdE 
:Files
C:\ProgramData\*.exe
C:\ProgramData\TEMP
C:\Users\lotta\*.tmp
C:\Users\lotta\AppData\Local\{*}
C:\Users\lotta\AppData\Local\Temp\*.exe
C:\Users\lotta\AppData\LocalLow\Sun\Java\Deployment\cache
%APPDATA%\Microsoft\Windows\Start Menu\Programs\Startup\ctfmon.lnk
ipconfig /flushdns /c
:Commands
[emptytemp]
  • Schließe alle Programme.
  • Klicke auf den Fix Button.
  • Wenn OTL einen Neustart verlangt, bitte zulassen.
  • Kopiere den Inhalt des Logfiles hier in Code-Tags in Deinen Thread.
    Nachträglich kannst Du das Logfile hier einsehen => C:\_OTL\MovedFiles\<datum_nummer.log>

Hinweis für Mitleser: Obiges OTL-Script ist ausschließlich für diesen User in dieser Situtation erstellt worden.
Auf keinen Fall auf anderen Rechnern anwenden, das kann andere Systeme nachhaltig schädigen!



2. Schritt
Bitte einen Vollscan mit Malwarebytes Anti-Malware machen und Log posten.
Denk daran, dass Malwarebytes vor jedem Scan manuell aktualisiert werden muss!

Malwarebytes Anti-Malware
- Anwendbar auf Windows 2000, XP, Vista und 7.
- Installiere das Programm in den vorgegebenen Pfad.
- Aktualisiere die Datenbank!
- Aktiviere "Komplett Scan durchführen" => Scan.
- Wähle alle verfügbaren Laufwerke (ausser CD/DVD) aus und starte den Scan.
- Funde bitte löschen lassen oder in Quarantäne.
- Wenn der Scan beendet ist, klicke auf "Zeige Resultate".
danach:

3. Schritt

Downloade Dir bitte AdwCleaner auf deinen Desktop.

  • Starte die adwcleaner.exe mit einem Doppelklick.
  • Klicke auf Search.
  • Nach Ende des Suchlaufs öffnet sich eine Textdatei.
  • Poste mir den Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner[R1].txt.



4. Schritt
  • Schließe alle offenen Programme und Browser.
  • Starte die adwcleaner.exe mit einem Doppelklick.
  • Klicke auf Delete.
  • Bestätige jeweils mit Ok.
  • Dein Rechner wird neu gestartet. Nach dem Neustart öffnet sich eine Textdatei.
  • Poste mir den Inhalt mit deiner nächsten Antwort.
  • Die Logdatei findest du auch unter C:\AdwCleaner[S1].txt.
__________________
Mfg, t'john
Das TB unterstützen

Alt 30.09.2012, 20:43   #5
bobbl76
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Schritt 1:

Zitat:
All processes killed
========== OTL ==========
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Internet Explorer\SearchScopes\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{6A1806CD-94D4-4689-BA73-E35EA1EA9990}\ not found.
HKEY_USERS\.DEFAULT\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
HKEY_USERS\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes\\DefaultScope| /E : value set successfully!
Registry key HKEY_LOCAL_MACHINE\Software\MozillaPlugins\@microsoft.com/GENUINE\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{5C255C8A-E604-49b4-9D64-90988571CECB}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{5C255C8A-E604-49b4-9D64-90988571CECB}\ not found.
File move failed. C:\Windows\System32\config\RegBack\DEFAULT scheduled to be moved on reboot.
C:\Windows\System32\config\RegBack\DEFAULT.LOG1 moved successfully.
C:\Windows\System32\config\RegBack\DEFAULT.LOG2 moved successfully.
File move failed. C:\Windows\System32\config\RegBack\SAM scheduled to be moved on reboot.
C:\Windows\System32\config\RegBack\SAM.LOG1 moved successfully.
C:\Windows\System32\config\RegBack\SAM.LOG2 moved successfully.
File move failed. C:\Windows\System32\config\RegBack\SECURITY scheduled to be moved on reboot.
C:\Windows\System32\config\RegBack\SECURITY.LOG1 moved successfully.
C:\Windows\System32\config\RegBack\SECURITY.LOG2 moved successfully.
File move failed. C:\Windows\System32\config\RegBack\SOFTWARE scheduled to be moved on reboot.
C:\Windows\System32\config\RegBack\SOFTWARE.LOG1 moved successfully.
C:\Windows\System32\config\RegBack\SOFTWARE.LOG2 moved successfully.
File move failed. C:\Windows\System32\config\RegBack\SYSTEM scheduled to be moved on reboot.
C:\Windows\System32\config\RegBack\SYSTEM.LOG1 moved successfully.
C:\Windows\System32\config\RegBack\SYSTEM.LOG2 moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat.LOG moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat.LOG1 moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat.LOG2 moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TM.blf moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms moved successfully.
C:\Windows\System32\config\systemprofile\ntuser.dat{4fac3b7b-700f-11df-91bb-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.0.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.1.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.2.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{6cced300-6e01-11de-8bed-001e0bcd1824}.TxR.blf moved successfully.
C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TM.blf moved successfully.
C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000001.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{6cced301-6e01-11de-8bed-001e0bcd1824}.TMContainer00000000000000000002.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.0.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.1.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.2.regtrans-ms moved successfully.
C:\Windows\System32\config\TxR\{774fe252-3d8a-11e0-acd1-806e6f6e6963}.TxR.blf moved successfully.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TM.blf scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms scheduled to be moved on reboot.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorAdmin deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\ConsentPromptBehaviorUser deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\EnableLUA deleted successfully.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System\\PromptOnSecureDesktop deleted successfully.
Starting removal of ActiveX control {E2883E8F-472F-4FB0-9522-AC9BF37916A7}
C:\Windows\Downloaded Program Files\gp.inf not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Code Store Database\Distribution Units\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Active Setup\Installed Components\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E2883E8F-472F-4FB0-9522-AC9BF37916A7}\ not found.
Registry value HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\ShellServiceObjectDelayLoad\\WebCheck deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{E6FB5E20-DE35-11CF-9C87-00AA005127ED}\ not found.
HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\Cdrom\\AutoRun|DWORD:1 /E : value set successfully!
C:\autoexec.bat moved successfully.
File move failed. \QuejArtXegtTLnQdE scheduled to be moved on reboot.
========== FILES ==========
File\Folder C:\ProgramData\*.exe not found.
File\Folder C:\ProgramData\TEMP not found.
File\Folder C:\Users\lotta\*.tmp not found.
File\Folder C:\Users\lotta\AppData\Local\{*} not found.
C:\Users\lotta\AppData\Local\Temp\hlpqd.exe moved successfully.
C:\Users\lotta\AppData\Local\Temp\_is3B7D.exe moved successfully.
C:\Users\lotta\AppData\Local\Temp\_is404D.exe moved successfully.
C:\Users\lotta\AppData\Local\Temp\_is4E51.exe moved successfully.
C:\Users\lotta\AppData\Local\Temp\_is9E74.exe moved successfully.
File\Folder C:\Users\lotta\AppData\LocalLow\Sun\Java\Deployment\cache not found.
Invalid Environment Variable: APPDATA
< ipconfig /flushdns /c >
Windows-IP-Konfiguration
Der DNS-Aufl”sungscache wurde geleert.
C:\Windows\system32\config\systemprofile\Desktop\cmd.bat deleted successfully.
C:\Windows\system32\config\systemprofile\Desktop\cmd.txt deleted successfully.
========== COMMANDS ==========

[EMPTYTEMP]

User: Journal
-> No Temporary Internet Files cache folder defined!

User: RegBack
-> No Temporary Internet Files cache folder defined!

User: systemprofile
-> No Temporary Internet Files cache folder defined!

User: TxR
-> No Temporary Internet Files cache folder defined!

%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 105947285 bytes
RecycleBin emptied: 5604 bytes

Total Files Cleaned = 101,00 mb


OTL by OldTimer - Version 3.2.69.0 log created on 09302012_200127

Files\Folders moved on Reboot...
File move failed. C:\Windows\System32\config\RegBack\DEFAULT scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\RegBack\SAM scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\RegBack\SECURITY scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\RegBack\SOFTWARE scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\RegBack\SYSTEM scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TM.blf scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000001.regtrans-ms scheduled to be moved on reboot.
File move failed. C:\Windows\System32\config\TxR\{774fe253-3d8a-11e0-acd1-806e6f6e6963}.TMContainer00000000000000000002.regtrans-ms scheduled to be moved on reboot.
File move failed. \QuejArtXegtTLnQdE scheduled to be moved on reboot.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...
Schritt 2:

Zitat:
Malwarebytes Anti-Malware 1.65.0.1400
www.malwarebytes.org

Database version: v2012.09.30.04

Windows 7 x86 NTFS
Internet Explorer 9.0.8112.16421
lotta :: LOTTA-PC [administrator]

30.09.2012 20:05:08
mbam-log-2012-09-30 (20-05-08).txt

Scan type: Full scan (C:\|D:\|F:\|)
Scan options enabled: Memory | Startup | Registry | File System | Heuristics/Extra | Heuristics/Shuriken | PUP | PUM
Scan options disabled: P2P
Objects scanned: 423300
Time elapsed: 1 hour(s), 15 minute(s), 43 second(s)

Memory Processes Detected: 0
(No malicious items detected)

Memory Modules Detected: 0
(No malicious items detected)

Registry Keys Detected: 0
(No malicious items detected)

Registry Values Detected: 1
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegedit (Hijack.Regedit) -> Data: 1 -> Quarantined and deleted successfully.

Registry Data Items Detected: 2
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableRegistryTools (PUM.Hijack.Regedit) -> Bad: (1) Good: (0) -> Quarantined and repaired successfully.
HKCU\SOFTWARE\Microsoft\Windows\CurrentVersion\Policies\System|DisableTaskMgr (PUM.Hijack.TaskManager) -> Bad: (1) Good: (0) -> Quarantined and repaired successfully.

Folders Detected: 0
(No malicious items detected)

Files Detected: 0
(No malicious items detected)

(end)
Schritt 3:

Zitat:
# AdwCleaner v2.003 - Datei am 09/30/2012 um 21:34:48 erstellt
# Aktualisiert am 23/09/2012 von Xplode
# Betriebssystem : Windows 7 Home Premium (32 bits)
# Benutzer : lotta - LOTTA-PC
# Bootmodus : Normal
# Ausgeführt unter : C:\Users\lotta\Downloads\adwcleaner.exe
# Option [Suche]


**** [Dienste] ****


***** [Dateien / Ordner] *****


***** [Registrierungsdatenbank] *****


***** [Internet Browser] *****

-\\ Internet Explorer v9.0.8112.16421

[OK] Die Registrierungsdatenbank ist sauber.

*************************

AdwCleaner[R1].txt - [552 octets] - [30/09/2012 21:34:48]

########## EOF - C:\AdwCleaner[R1].txt - [611 octets] ##########
Schritt 4:

Zitat:
# AdwCleaner v2.003 - Datei am 09/30/2012 um 21:35:38 erstellt
# Aktualisiert am 23/09/2012 von Xplode
# Betriebssystem : Windows 7 Home Premium (32 bits)
# Benutzer : lotta - LOTTA-PC
# Bootmodus : Normal
# Ausgeführt unter : C:\Users\lotta\Downloads\adwcleaner.exe
# Option [Löschen]


**** [Dienste] ****


***** [Dateien / Ordner] *****


***** [Registrierungsdatenbank] *****


***** [Internet Browser] *****

-\\ Internet Explorer v9.0.8112.16421

Wiederhergestellt : [HKLM\SOFTWARE\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-18\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-19\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]
Wiederhergestellt : [HKU\S-1-5-20\Software\Microsoft\Internet Explorer\SearchScopes - DefaultScope]

*************************

AdwCleaner[R1].txt - [679 octets] - [30/09/2012 21:34:48]
AdwCleaner[S1].txt - [963 octets] - [30/09/2012 21:35:38]

########## EOF - C:\AdwCleaner[S1].txt - [1022 octets] ##########


Alt 30.09.2012, 20:55   #6
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Sehr gut!

Wie laeuft der Rechner?


Malware-Scan mit Emsisoft Anti-Malware

Lade die Gratisversion von => Emsisoft Anti-Malware herunter und installiere das Programm.
Lade über Jetzt Updaten die aktuellen Signaturen herunter.
Wähle den Freeware-Modus aus.

Wähle Detail Scan und starte über den Button Scan die Überprüfung des Computers.
Am Ende des Scans nichts loeschen lassen!. Mit Klick auf Bericht speichern das Logfile auf dem Desktop speichern und hier in den Thread posten.

Anleitung: http://www.trojaner-board.de/103809-...i-malware.html
__________________
--> Bundesamt für Sicherheit in der Informationstechnik Virus

Alt 30.09.2012, 21:10   #7
bobbl76
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Läuft sehr gut .. die Meldung poppt auch nicht mehr auf. Allerdings sind viele der Dateien z.B. auf dem Desktop noch mit krpytischen Dateinamen .. bleibt das so auch wenn alles entfernt wurde?

Bezüglich Emsisoft Anti-Malware müsste ich erst SP1 installieren, damit ich es ausführen kann. Soll ich das machen?

Alt 01.10.2012, 10:44   #8
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Alles Windows Updates einspielen, inkl. Service Pack!

Zitat:
bleibt das so auch wenn alles entfernt wurde?
Leider ja, die Dateien wurden verschluesselt. http://www.trojaner-board.de/116851-...strojaner.html
__________________
Mfg, t'john
Das TB unterstützen

Alt 01.10.2012, 14:26   #9
bobbl76
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


OK, hier das Log:

Zitat:
Emsisoft Anti-Malware - Version 7.0
Letztes Update: 01.10.2012 13:09:12

Scan Einstellungen:

Scan Methode: Detail Scan
Objekte: Rootkits, Speicher, Traces, C:\, D:\, F:\

Riskware-Erkennung: Aus
Archiv Scan: An
ADS Scan: An
Dateitypen-Filter: Aus
Erweitertes Caching: An
Direkter Festplattenzugriff: Aus

Scan Beginn: 01.10.2012 13:16:07

C:\Users\lotta\AppData\Local\Temp\Nfej\rkanfbxet.exe gefunden: Trojan.Win32.Inject (A)

Gescannt 544155
Gefunden 1

Scan Ende: 01.10.2012 14:13:31
Scan Zeit: 0:57:24

C:\Users\lotta\AppData\Local\Temp\Nfej\rkanfbxet.exe Quarantäne Trojan.Win32.Inject (A)

Quarantäne 1

Alt 01.10.2012, 17:40   #10
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Sehr gut!


Deinstalliere:
Emsisoft Anti-Malware


ESET Online Scanner

Vorbereitung

  • Schließe evtl. vorhandene externe Festplatten und/oder sonstigen Wechselmedien (z. B. evtl. vorhandene USB-Sticks) an den Rechner an.
  • Bitte während des Online-Scans Anti-Virus-Programm und Firewall deaktivieren.
  • Vista/Win7-User: Bitte den Browser unbedingt als Administrator starten.
Los geht's

  • Lade und starte Eset Smartinstaller
  • Haken setzen bei YES, I accept the Terms of Use.
  • Klick auf Start.
  • Haken setzen bei Remove found threads und Scan archives.
  • Klick auf Start.
  • Signaturen werden heruntergeladen, der Scan beginnt automatisch.
  • Finish drücken.
  • Browser schließen.
  • Explorer öffnen.
  • C:\Programme\Eset\EsetOnlineScanner\log.txt (manchmal auch C:\Programme\Eset\log.txt) suchen und mit Deinem Editor öffnen.
  • Logfile hier posten.
  • Deinstallation: Systemsteuerung => Software => Eset Online Scanner V3 entfernen.
  • Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset
__________________
Mfg, t'john
Das TB unterstützen

Alt 21.11.2012, 05:12   #11
t'john
/// Helfer-Team
 
Bundesamt für Sicherheit in der Informationstechnik Virus - Standard

Bundesamt für Sicherheit in der Informationstechnik Virus


Fehlende Rückmeldung

Gibt es Probleme beim Abarbeiten obiger Anleitung?

Um Kapazitäten für andere Hilfesuchende freizumachen, lösche ich dieses Thema aus meinen Benachrichtigungen.

Solltest Du weitermachen wollen, schreibe mir eine PN oder eröffne ein neues Thema.
http://www.trojaner-board.de/69886-a...-beachten.html


Hinweis: Das Verschwinden der Symptome bedeutet nicht, dass Dein Rechner sauber ist.
__________________
Mfg, t'john
Das TB unterstützen

Antwort

Themen zu Bundesamt für Sicherheit in der Informationstechnik Virus
andere, betrifft, bundesamt, bundesamt für sicherheit, bundesamt für sicherheit in der informationstechnik, ebook, gefunde, hallo zusammen, notebook, otl.exe, problem, sicherheit, threads, unsicher, virus, virus gefunden, vorgehensweise, weiteren, windows, zusammen


« computer gesperrt bundespolizei | GVU Trojaner mit Webcam »


Ähnliche Themen: Bundesamt für Sicherheit in der Informationstechnik Virus


  1. GVU Virus - Bundesamt für Sicherheit und Informationstechnik - kein abgesicherter Modus möglich FRST.txt vorhanden
    Log-Analyse und Auswertung - 02.04.2015 (25)
  2. Bundesamt für Sicherheit in der Informationstechnik/GVU-Virus
    Plagegeister aller Art und deren Bekämpfung - 02.02.2014 (1)
  3. Bundesamt für Sicherheit und Informationstechnik.
    Log-Analyse und Auswertung - 13.10.2013 (8)
  4. Erpressungstrojaner Bundesamt für Sicherheit in der informationstechnik
    Plagegeister aller Art und deren Bekämpfung - 18.09.2013 (3)
  5. GVU Bundesamt für Sicherheit in der Informationstechnik TROJANER
    Log-Analyse und Auswertung - 15.09.2013 (4)
  6. Virus: Interpol Bundesamt für Sicherheit und Informationstechnik. 100 Euro-Forderung.
    Plagegeister aller Art und deren Bekämpfung - 01.09.2013 (9)
  7. GVU Trojaner / Bundesamt für Sicherheit in der Informationstechnik // XP
    Plagegeister aller Art und deren Bekämpfung - 13.07.2013 (1)
  8. Trojaner auf dem PC (angebl. Bundesamt für Sicherheit in der Informationstechnik)
    Log-Analyse und Auswertung - 24.05.2013 (14)
  9. trojaner gvu bundesamt für sicherheit in der informationstechnik
    Plagegeister aller Art und deren Bekämpfung - 17.03.2013 (7)
  10. GVU Bundesamt für Sicherheit in der Informationstechnik TROJANER
    Log-Analyse und Auswertung - 08.03.2013 (1)
  11. GVU Bundesamt für Sicherheit in der Informationstechnik Trojaner
    Plagegeister aller Art und deren Bekämpfung - 09.02.2013 (14)
  12. Bundesamt für Sicherheit in der Informationstechnik
    Log-Analyse und Auswertung - 29.01.2013 (9)
  13. Bundesamt für Sicherheit in der Informationstechnik - Computer gesperrt
    Plagegeister aller Art und deren Bekämpfung - 11.01.2013 (7)
  14. Trojaner : Bundesamt für Sicherheit in der Informationstechnik
    Plagegeister aller Art und deren Bekämpfung - 19.12.2012 (4)
  15. Bundesamt für Sicherheit in der Informationstechnik - GVU - Virus: Sperrung des Rechners
    Plagegeister aller Art und deren Bekämpfung - 17.09.2012 (23)
  16. Bundesamt für SIcherheit in der Informationstechnik - VIRUS
    Plagegeister aller Art und deren Bekämpfung - 19.08.2012 (2)
  17. Bundesamt für Sicherheit und Informationstechnik
    Plagegeister aller Art und deren Bekämpfung - 08.08.2012 (21)
Anleitungen und Tipps

- Für alle Hilfesuchenden! Was beachten?

- Anleitung: MyStartSearch.com entfernen

- Anleitung: WebSearches löschen

- Hilfe: iStartSurf entfernen – so gehts!

- Anleitung: Omiga Plus richtig entfernen

- Browser Viren entfernen


Zum Thema Bundesamt für Sicherheit in der Informationstechnik Virus - Hallo zusammen, ich habe schon einige andere Threads hier zu diesem Virus gefunden und deswegen schon OTL.exe heruntergeladen. Ich bin mir jetzt wegen der weiteren Vorgehensweise unsicher und bitte daher - Bundesamt für Sicherheit in der Informationstechnik Virus...
Archiv
Du betrachtest: Bundesamt für Sicherheit in der Informationstechnik Virus auf Trojaner-Board

Search Engine Optimization by vBSEO ©2011, Crawlability, Inc.

1 2 3 4 5 6 7 8 9 10 11 12 13 14 15 16 17 18 19 20 21 22 23 24 25 26 27 28 29 30 31 32 33 34 35 36 37 38 39 40 41 42 43 44 45 46 47 48 49 50 51 52 53 54 55 56 57 58 59 60 61 62 63 64 65 66 67 68 69 70 71 72 73 74 75 76 77 78 79 80 81 82 83 84 85 86 87 88 89 90 91 92 93 94 95 96 97 98 99 100 101 102 103 104 105 106 107 108 109 110 111 112 113 114 115 116 117 118 119 120 121 122 123 124 125 126 127 128 129 130