Polizeitrojaner, Weißer Bildschirm, Kein Abgesicherter Modus, Windows 7

lophiomys · 30.01.2013, 12:29

Hallo,

Wir haben einen infizierten Rechner Win 7 Pro 64bit
Plötzlich taucht ein Ransom Polizei Trojaner auf - Benutzerkonto blockiert
nach abziehen des Netzwerkkabels nur mehr weißer Bildschrim nach einloggen in Benutzerkonto.
Avira Free Totalversagen
Kein Zugriff auf TaskManager
Kein Zugriff auf Abgesicherten Modus - das System rebooted selbstständig
HitManPro von USB startet auch nicht- das System rebooted selbstständig
OLTPENet von CD crasht mit BlueScreen, wahrscheinlich wegen AHCI im BIOS, wie ich erst später gelesen habe

F-SECURE Rescue CD 3.16 findet folgendes und macht das System wieder zugänglich, mit zusätzlichen Kommentaren was Avira dann im Nachhinein noch gefunden hat:

Code:

ATTFilter

Win7 Pro x64
Infektion: 29.1.2013  17:00

F-Secure Rescue CD 3.16 --- DB 2013.01.29_08

...Program Files (x86)/MOTIONDATA/MD_PGM/Suzuki.dll: Infected: Gen:Trojan.Heur.KS.7 [Aqarius]
...Program Files (x86)/MOTIONDATA/MD_TEMPLALTE/Suzuki.dll: Infected: Gen:Trojan.Heur.KS.7 [Aqarius]
.../AppData/Local/Microsoft/Windows/Temporary Internet Files/Low/Content.IE5/I5AESQ8E/leithaberg-radmarathon_at[1].htm: Infected: Trojan.JS.Agent.GCN [Aqarius] (vor einer WOCHE besucht)
.../AppData/Local/Temp/~!#E6D4.tmp: Infected: Trojan.Generic.KDZ.5632 [Aqarius]
.../AppData/Local/Temp/jar_cache123123123123123123...tmp: Infected: Exploint:Java/Majava.A [FSE] -- AVIRA: JAVA/Treams.IW.3 --
.../AppData/Local/Temp/39503050.exe: Infected: Trojan.Generic.KDZ5630 [Aqarius]
.../AppData/Local/Temp/961560819.bat: Infected: Trojan.BAT.AAGK [Aqarius]
.../AppData/Local/Roaming/skype.dat: Infected: Trojan.Generic.KDZ.5632 [Aqarius]
.../AppData/Local/Roaming/Ucab/ukero.exe: Infected: Trojan.Generic.KDZ5630 [Aqarius]
[sda2/Windows/Installer/71b93.msi] [stream 14] suzuki.dll: Infected: Gen:Trojan.Heur.KS.7 [Aqarius]
 sda2/MOTIONDATA_DAT/MD_DAT/Neu/Suzuki.DLL: Infected: Gen:Trojan:Heur.KS.7 [Aqarius]
[sda2/MOTIONDATA_DAT/MD_SETUP/MOTIONDATA Client.msi] [stream 14] suzuki.dll:  Infected: Gen:Trojan:Heur.KS.7 [Aqarius]


AVIRA:
.../AppData/Local/Temp/58PW5DN3.EXE --> BDS/Agent.abig.2

So jetzt ist das System wieder zugänglich:
Avira finded ein neues File im Temp Ordner -> Verschoben in Quarantäne.

Ich habe die Quarantäne Files und die von FSecure als *.virus markierten Dateien in einer ZIP Datei gesammelt.

Malware Bytes Vollständige Suche:

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.01.30.02

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16439
Firma Mazda :: FIRMAMAZDA-PC [Administrator]

Schutz: Aktiviert

30.01.2013 11:51:00
MBAM-log-2013-01-30 (12-04-52).txt

Art des Suchlaufs: Vollständiger Suchlauf (C:\|E:\|)
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 406211
Laufzeit: 11 Minute(n), 19 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 3
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (PUM.UserWLoad) -> Daten: C:\Users\FIRMAM~1\LOCALS~1\Temp\mseotl.exe -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Windows|Load (Trojan.Agent) -> Daten: C:\Users\FIRMAM~1\LOCALS~1\Temp\mseotl.exe -> Keine Aktion durchgeführt.
HKCU\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Winlogon|shell (Trojan.Agent.RNS) -> Daten: explorer.exe,C:\Users\Firma Mazda\AppData\Roaming\skype.dat -> Keine Aktion durchgeführt.

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 4
C:\Users\Firma Mazda\AppData\Local\Temp\39503050.exe.virus (Trojan.Agent.VBS) -> Keine Aktion durchgeführt.
C:\Users\Firma Mazda\AppData\Local\Temp\hinilovipi.dll (Backdoor.Bot) -> Keine Aktion durchgeführt.
C:\Users\Firma Mazda\AppData\Local\Temp\~!#E6D4.tmp.virus (Trojan.Ransom.NDF) -> Keine Aktion durchgeführt.
C:\Users\Firma Mazda\AppData\Roaming\skype.dat.virus (Trojan.Ransom.NDF) -> Keine Aktion durchgeführt.

(Ende)

Was wäre noch zu machen um das System vollständig zu säubern?
Ist die Desinfizierung mit Malwarebytes ausreichend?

Danke für Eure Hilfe.
lg
LoPhi

Update:
Ich habe nun auf eine Motivation das Entfernen mit Malwarebytes durchgeführt, dann anschließend (noch vor dem geforderten Reboot)
MB Anti-Rootkit, mit welchem nocheinmal zwei Registry Key gesäubert wurden (die selben die zuvor schhon Malwarebytes entdeckt hatte).
Nach Reboot scheint alles OK.
Malwarebytes AntiMalware sowie Anti-Rootkit finden nichts, Avira sowieso nichts. SCNR

Nebenbei: Avira Lab hat einen der gefunden Files als
Die Datei '1d9032be.vir' wurde als 'MALWARE' eingestuft und unter BDS/Agent.abiq.2 mit Version 7.11.59.32 der Virendefinitionsdatei (VDF) hinzugefügt.

Es lebe die F-Secure CD.

LG
LoPhi

PS:
Wenn euch das Schlüsselwort "Firma" in den Logs gestört haben sollte: Es handelt sich um einen 2-Mannbetrieb, bei dem ich als Nachbar Nothilfe geleistet habe...

M-K-D-B · 30.01.2013, 19:54

Mein Name ist Matthias und ich werde dir bei der Bereinigung deines Computers helfen.

Bitte beachte folgende Hinweise:

Eine Bereinigung ist mitunter mit viel Arbeit für dich verbunden. Es können mehrere Analyse- und Bereinigungsschritte erforderlich sein.
Abschließend entfernen wir wieder alle verwendeten Programme und ich gebe dir ein paar Tipps für die Zukunft mit auf den Weg.
Bei Anzeichen von illegaler Software wird der Support ohne Diskussion eingestellt.
Bitte arbeite alle Schritte in der vorgegebenen Reihefolge nacheinander ab.
Lies dir die Anleitungen sorgfältig durch. Solltest du Probleme haben, stoppe mit deiner Bearbeitung und beschreibe mir dein Problem so gut es geht.
Führe nur Scans durch, zu denen du von mir oder einem anderen Helfer aufgefordert wirst.
Bitte kein Crossposting (posten in mehreren Foren).
Installiere oder deinstalliere während der Bereinigung keine Software außer du wirst dazu aufgefordert.
Solltest du mir nicht innerhalb von 3 Tagen antworten, gehe ich davon aus, dass du keine Hilfe mehr benötigst. Dann lösche ich dein Thema aus meinem Abo.
Alle zu verwendenen Programme sind auf dem Desktop abzuspeichern und von dort zu starten!
Ich kann Dir niemals eine Garantie geben, dass auch ich alles finde. Eine Formatierung ist meist der schnellere und immer der sicherste Weg.
Solltest Du Dich für eine Bereinigung entscheiden, arbeite solange mit, bis dir jemand vom Team sagt, dass Du clean bist.

Schritt 1
Downloade dir bitte DDS ( von sUBs ) von einem der folgenden Downloadspiegel und speichere die Datei auf deinem Desktop.

dds.com
dds.exe

Starte bitte dds mit einem Doppelklick.
Der Desktop wird verschwinden, das ist normal.
Setze bitte einen Haken bei
- dds.txt ( Sollte angehakt sein )
- attach.txt
Ändere keine Einstellungen ohne Anweisung
Wenn der Scan beendet ist, wird DDS 2 Logfiles auf deinem Desktop erstellen:
- dds.txt
- attach.txt

Bitte poste beide Logfiles in deiner nächsten Antwort.

Schritt 2
Downloade Dir bitte defogger von jpshortstuff auf Deinem Desktop.

Starte das Tool mit Doppelklick.
Klicke nun auf den Disable Button, um die Treiber gewisser Emulatoren zu deaktivieren.
Defogger wird dich fragen "Defogger will forcefully terminate and disable all CD Emulator related drivers and processes... Continue?" bestätige diese Sicherheitsabfrage mit Ja.
Wenn der Scan beendet wurde (Finished), klicke auf OK.
Defogger fordert gegebenfalls zum Neustart auf. Bestätige dies mit OK.
Defogger erstellt auf dem Desktop eine Logdatei mit dem Namen defogger_disable.txt. Poste deren Inhalt mit deiner nächsten Antwort.

Klicke den Re-enable Button nicht ohne Anweisung!

Schritt 3
Bitte

alle anderen Scanner gegen Viren, Spyware, usw. deaktivieren,
keine bestehende Verbindung zu einem Netzwerk/Internet (WLAN nicht vergessen),
nichts am Rechner arbeiten,
nach jedem Scan der Rechner neu gestarten.

Gmer scannen lassen

Lade Dir Gmer von dieser Seite herunter
(auf den Button Download EXE drücken) und das Programm auf dem Desktop speichern.
Alle anderen Programme sollen geschlossen sein.
Starte gmer.exe (Programm hat einen willkürlichen Programm-Namen).
Vista und Win7 User mit Rechtsklick und als Administrator starten.
Sollte sich ein Fenster mit folgender Warnung öffnen:
WARNING !!!
GMER has found system modification, which might have been caused by ROOTKIT activity.
Do you want to fully scan your system ?
Unbedingt auf "No" klicken.
Entferne rechts den Haken bei:
- IAT/EAT
- Alle Festplatten ausser die Systemplatte (normalerweise ist nur C:\ angehackt)
- Show all (sollte abgehackt sein)
Starte den Scan mit "Scan". Mache nichts am Computer während der Scan läuft.
Wenn der Scan fertig ist klicke auf Save und speichere die Logfile unter Gmer.txt[/B] auf deinem Desktop. Mit "Ok" wird GMER beendet.

Antiviren-Programm und sonstige Scanner wieder einschalten, bevor Du ins Netz gehst!

Bitte poste mit deiner nächsten Antwort

die beiden Logdateien von DDS,
die Logdatei von DeFogger,
die Logdatei GMER.

lophiomys · 31.01.2013, 12:36

Hallo Matthias,

Danke für Deine Unterstützung.

Info:
suzuki.dll im OP scheint ein False Positive von FSecure 3.16 zu sein, bestätigt durch Rücksprache mit dem Support des Herstellers.

Die erbetenen Logs sind unten:

lg
LoPhi

DDS.txt / Attach.txt im Anhang
DDS Logfile:

Code:

ATTFilter

DDS (Ver_2012-11-20.01) - NTFS_AMD64 
Internet Explorer: 10.0.9200.16438  BrowserJavaVersion: 10.11.2
Run by Firma Mazda at 12:06:28 on 2013-01-31
Microsoft Windows 7 Professional   6.1.7601.1.1252.43.1031.18.4078.1898 [GMT 1:00]
.
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
============== Running Processes ===============
.
C:\Windows\system32\lsm.exe
C:\Windows\system32\svchost.exe -k DcomLaunch
C:\Windows\system32\nvvsvc.exe
C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe
C:\Windows\system32\svchost.exe -k RPCSS
C:\Windows\System32\svchost.exe -k LocalServiceNetworkRestricted
C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted
C:\Windows\system32\svchost.exe -k LocalService
C:\Windows\system32\svchost.exe -k netsvcs
C:\Program Files\NVIDIA Corporation\Display\nvxdsync.exe
C:\Windows\system32\nvvsvc.exe
C:\Windows\system32\svchost.exe -k NetworkService
C:\Windows\System32\spoolsv.exe
C:\Windows\system32\svchost.exe -k LocalServiceAndNoImpersonation
C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe
C:\Windows\system32\svchost.exe -k LocalServiceNoNetwork
C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\armsvc.exe
C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe
C:\Program Files (x86)\EaseUS\Todo Backup\bin\Agent.exe
C:\Program Files (x86)\EaseUS\Todo Backup\bin\GuardAgent.exe
C:\Program Files\Microsoft SQL Server\100\DTS\Binn\MsDtsSrvr.exe
C:\Program Files\Microsoft SQL Server\MSAS10_50.MOTIONDATA\OLAP\bin\msmdsrv.exe
C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\sqlservr.exe
C:\Program Files (x86)\Avira\AntiVir Desktop\avshadow.exe
C:\Program Files\Microsoft SQL Server\MSRS10_50.MOTIONDATA\Reporting Services\ReportServer\bin\ReportingServicesService.exe
C:\Windows\system32\taskhost.exe
C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe
C:\Program Files\Microsoft SQL Server\90\Shared\sqlwriter.exe
C:\Windows\system32\svchost.exe -k imgsvc
C:\Program Files (x86)\TeamViewer\Version7\TeamViewer_Service.exe
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSVC.EXE
C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\SQLAGENT.EXE
C:\Program Files\Common Files\Microsoft Shared\Windows Live\WLIDSvcM.exe
C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\fdlauncher.exe
C:\Windows\System32\vds.exe
C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\fdhost.exe
C:\Windows\system32\Dwm.exe
C:\Windows\Explorer.EXE
C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe
C:\Program Files\Logitech\Gaming Software\LWEMon.exe
C:\Program Files (x86)\EaseUS\Todo Backup\bin\EuWatch.exe
C:\Program Files (x86)\EaseUS\Todo Backup\bin\TrayNotify.exe
C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe
C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe
C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe
C:\Games\Game Alarm\Updater.exe
C:\Program Files\NVIDIA Corporation\Display\nvtray.exe
C:\Games\Game Alarm\gamealarm.exe
C:\Program Files\Windows Media Player\wmpnetwk.exe
C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\LMS\LMS.exe
C:\Windows\System32\svchost.exe -k secsvcs
C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe
C:\Windows\system32\wuauclt.exe
C:\Program Files (x86)\Internet Explorer\IELowutil.exe
C:\Program Files\Common Files\Microsoft Shared\OfficeSoftwareProtectionPlatform\OSPPSVC.EXE
C:\Windows\explorer.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Windows\system32\taskeng.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Program Files (x86)\Google\Chrome\Application\chrome.exe
C:\Windows\system32\wbem\wmiprvse.exe
C:\Windows\System32\cscript.exe
.
============== Pseudo HJT Report ===============
.
uStart Page = hxxp://www.google.at/
BHO: Adobe PDF Link Helper: {18DF081C-E8AD-4283-A596-FA578C2EBDC3} - C:\Program Files (x86)\Common Files\Adobe\Acrobat\ActiveX\AcroIEHelperShim.dll
BHO: Java(tm) Plug-In SSV Helper: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - C:\Program Files (x86)\Java\jre7\bin\ssv.dll
BHO: Windows Live ID Sign-in Helper: {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files (x86)\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
BHO: Office Document Cache Handler: {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Program Files (x86)\Microsoft Office\Office14\URLREDIR.DLL
BHO: Java(tm) Plug-In 2 SSV Helper: {DBC80044-A445-435b-BC74-9C25C1C588A9} - C:\Program Files (x86)\Java\jre7\bin\jp2ssv.dll
BHO: SweetPacks Browser Helper: {EEE6C35C-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
TB: SweetPacks Toolbar for Internet Explorer: {EEE6C35B-6118-11DC-9C72-001320C79847} - C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarIE.dll
mRun: [Adobe ARM] "C:\Program Files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe"
mRun: [EaseUs Watch] "C:\Program Files (x86)\EaseUS\Todo Backup\bin\EuWatch.exe"
mRun: [EaseUs Tray] "C:\Program Files (x86)\EaseUS\Todo Backup\bin\TrayNotify.exe"
mRun: [avgnt] "C:\Program Files (x86)\Avira\AntiVir Desktop\avgnt.exe" /min
mRun: [SweetIM] C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe
mRun: [SunJavaUpdateSched] "C:\Program Files (x86)\Common Files\Java\Java Update\jusched.exe"
StartupFolder: C:\Users\FIRMAM~1\AppData\Roaming\MICROS~1\Windows\STARTM~1\Programs\Startup\GAMEAL~1.LNK - C:\Games\Game Alarm\gamealarm.exe
StartupFolder: C:\Users\FIRMAM~1\AppData\Roaming\MICROS~1\Windows\STARTM~1\Programs\Startup\SAMSUN~1.LNK - C:\Program Files (x86)\Samsung SSD Magician\Samsung SSD Magician.exe
mPolicies-Explorer: NoActiveDesktop = dword:1
mPolicies-Explorer: NoActiveDesktopChanges = dword:1
mPolicies-System: ConsentPromptBehaviorAdmin = dword:5
mPolicies-System: ConsentPromptBehaviorUser = dword:3
mPolicies-System: EnableUIADesktopToggle = dword:0
IE: An OneNote s&enden - C:\PROGRA~1\MICROS~4\Office14\ONBttnIE.dll/105
IE: Nach Microsoft E&xcel exportieren - C:\PROGRA~1\MICROS~4\Office14\EXCEL.EXE/3000
IE: {07BA1DA9-F501-4796-8728-74D1B91A6CD5} - C:\Program Files (x86)\PokerStars.EU\PokerStarsUpdate.exe
IE: {2670000A-7350-4f3c-8081-5663EE0C6C49} - {48E73304-E1D6-4330-914C-F5F514E3486C} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIE.dll
IE: {3AD14F0C-ED16-4e43-B6D8-661B03F6A1EF} - C:\Program Files (x86)\PokerStars\PokerStarsUpdate.exe
IE: {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - {FFFDC614-B694-4AE6-AB38-5D6374584B52} - C:\Program Files (x86)\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
DPF: {02BF25D5-8C17-4B23-BC80-D3488ABDDC6B} - hxxp://appldnld.apple.com.edgesuite.net/content.info.apple.com/QuickTime/qtactivex/qtplugin.cab
DPF: {4871A87A-BFDD-4106-8153-FFDE2BAC2967} - hxxp://dlm.tools.akamai.com/dlmanager/versions/activex/dlm-activex-2.2.6.0.cab
TCP: NameServer = 192.168.0.254
TCP: Interfaces\{4E7F05AF-39FC-4368-B385-5E3001DE2AC2} : DHCPNameServer = 192.168.0.254
Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files (x86)\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
SSODL: WebCheck - <orphaned>
mASetup: {8A69D345-D564-463c-AFF1-A69D9E530F96} - "C:\Program Files (x86)\Google\Chrome\Application\24.0.1312.56\Installer\chrmstp.exe" --configure-user-settings --verbose-logging --system-level --multi-install --chrome
x64-BHO: {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - <orphaned>
x64-BHO: Windows Live ID Sign-in Helper: {9030D464-4C02-4ABF-8ECC-5164760863C6} - C:\Program Files\Common Files\Microsoft Shared\Windows Live\WindowsLiveLogin.dll
x64-BHO: Office Document Cache Handler: {B4F3A835-0E21-4959-BA22-42B3008E02FF} - C:\Program Files\Microsoft Office\Office14\URLREDIR.DLL
x64-BHO: {DBC80044-A445-435b-BC74-9C25C1C588A9} - <orphaned>
x64-Run: [RtHDVCpl] C:\Program Files\Realtek\Audio\HDA\RAVCpl64.exe -s
x64-Run: [Start WingMan Profiler] C:\Program Files\Logitech\Gaming Software\LWEMon.exe /noui
x64-IE: {2670000A-7350-4f3c-8081-5663EE0C6C49} - {48E73304-E1D6-4330-914C-F5F514E3486C} - C:\Program Files\Microsoft Office\Office14\ONBttnIE.dll
x64-IE: {789FE86F-6FC4-46A1-9849-EDE0DB0C95CA} - {FFFDC614-B694-4AE6-AB38-5D6374584B52} - C:\Program Files\Microsoft Office\Office14\ONBttnIELinkedNotes.dll
x64-Filter: text/xml - {807573E5-5146-11D5-A672-00B0D022E945} - C:\Program Files\Common Files\Microsoft Shared\OFFICE14\MSOXMLMF.DLL
x64-SSODL: WebCheck - <orphaned>
.
================= FIREFOX ===================
.
FF - ProfilePath - C:\Users\Firma Mazda\AppData\Roaming\Mozilla\Firefox\Profiles\o7u5224k.default\
FF - prefs.js: browser.startup.homepage - hxxp://www.startfenster.com
FF - plugin: C:\PROGRA~2\MICROS~4\Office14\NPAUTHZ.DLL
FF - plugin: C:\PROGRA~2\MICROS~4\Office14\NPSPWRAP.DLL
FF - plugin: C:\Program Files (x86)\Adobe\Reader 10.0\Reader\AIR\nppdf32.dll
FF - plugin: C:\Program Files (x86)\Google\Google Earth\plugin\npgeplugin.dll
FF - plugin: C:\Program Files (x86)\Google\Update\1.3.21.123\npGoogleUpdate3.dll
FF - plugin: C:\Program Files (x86)\Java\jre7\bin\plugin2\npjp2.dll
FF - plugin: C:\Program Files (x86)\Microsoft Silverlight\4.1.10329.0\npctrlui.dll
FF - plugin: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dv.dll
FF - plugin: C:\Program Files (x86)\NVIDIA Corporation\3D Vision\npnv3dvstreaming.dll
FF - plugin: C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_11_5_502_146.dll
FF - plugin: C:\Windows\SysWOW64\npDeployJava1.dll
FF - plugin: C:\Windows\SysWOW64\npmproxy.dll
.
============= SERVICES / DRIVERS ===============
.
R0 EUBAKUP;EUBAKUP;C:\Windows\System32\drivers\eubakup.sys [2012-1-26 57480]
R0 EUBKMON;EUBKMON;C:\Windows\System32\drivers\EUBKMON.sys [2012-1-26 51336]
R1 avkmgr;avkmgr;C:\Windows\System32\drivers\avkmgr.sys [2012-1-30 27760]
R1 EUDSKACS;EUDSKACS;C:\Windows\System32\drivers\eudskacs.sys [2012-1-26 19592]
R1 EUFDDISK;EUFDDISK;C:\Windows\System32\drivers\EuFdDisk.sys [2012-1-26 189576]
R2 AntiVirSchedulerService;Avira Planer;C:\Program Files (x86)\Avira\AntiVir Desktop\sched.exe [2012-1-30 86224]
R2 AntiVirService;Avira Echtzeit Scanner;C:\Program Files (x86)\Avira\AntiVir Desktop\avguard.exe [2012-1-30 110032]
R2 avgntflt;avgntflt;C:\Windows\System32\drivers\avgntflt.sys [2012-1-30 98848]
R2 EaseUS Agent;EaseUS Agent;C:\Program Files (x86)\EaseUS\Todo Backup\bin\Agent.exe [2012-1-26 61064]
R2 Guard Agent;Guard Agent;C:\Program Files (x86)\EaseUS\Todo Backup\bin\GuardAgent.exe [2012-1-26 23176]
R2 MsDtsServer100;SQL Server Integration Services 10.0;C:\Program Files\Microsoft SQL Server\100\DTS\Binn\MsDtsSrvr.exe [2011-6-17 210784]
R2 MSOLAP$MOTIONDATA;SQL Server Analysis Services (MOTIONDATA);C:\Program Files\Microsoft SQL Server\MSAS10_50.MOTIONDATA\OLAP\bin\msmdsrv.exe [2011-6-17 54791520]
R2 MSSQL$MOTIONDATA;SQL Server (MOTIONDATA);C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\sqlservr.exe [2011-4-24 61916000]
R2 ReportServer$MOTIONDATA;SQL Server Reporting Services (MOTIONDATA);C:\Program Files\Microsoft SQL Server\MSRS10_50.MOTIONDATA\Reporting Services\ReportServer\bin\ReportingServicesService.exe [2011-6-17 2180960]
R2 SQLAgent$MOTIONDATA;SQL Server Agent (MOTIONDATA);C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\SQLAGENT.EXE [2011-4-24 428384]
R2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;C:\Program Files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2012-10-2 382824]
R2 TeamViewer7;TeamViewer 7;C:\Program Files (x86)\TeamViewer\Version7\TeamViewer_Service.exe [2012-7-17 2673064]
R2 UNS;Intel(R) Management and Security Application User Notification Service;C:\Program Files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2011-12-16 2656280]
R3 MSSQLFDLauncher$MOTIONDATA;SQL Full-text Filter Daemon Launcher (MOTIONDATA);C:\Program Files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\fdlauncher.exe [2010-4-3 32096]
R3 RTL8167;Realtek 8167 NT Driver;C:\Windows\System32\drivers\Rt64win7.sys [2011-6-10 539240]
R3 S3XXx64;SCR3xx USB SmartCardReader64;C:\Windows\System32\drivers\S3XXx64.sys [2011-9-7 70016]
S2 clr_optimization_v4.0.30319_32;Microsoft .NET Framework NGEN v4.0.30319_X86;C:\Windows\Microsoft.NET\Framework\v4.0.30319\mscorsvw.exe [2010-3-18 130384]
S2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;C:\Windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-3-18 138576]
S2 MBAMScheduler;MBAMScheduler;C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe [2013-1-30 398184]
S2 MBAMService;MBAMService;C:\Program Files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe [2013-1-30 682344]
S2 MSSQLServerADHelper100;SQL Active Directory Helper Service;C:\Program Files\Microsoft SQL Server\100\Shared\sqladhlp.exe [2010-4-3 59744]
S3 dmvsc;dmvsc;C:\Windows\System32\drivers\dmvsc.sys [2011-4-12 71168]
S3 MBAMProtector;MBAMProtector;C:\Windows\System32\drivers\mbam.sys [2013-1-30 24176]
S3 ose64;Office 64 Source Engine;C:\Program Files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2010-1-9 174440]
S3 StorSvc;Speicherdienst;C:\Windows\System32\svchost.exe -k LocalSystemNetworkRestricted [2009-7-14 27136]
S3 TsUsbFlt;TsUsbFlt;C:\Windows\System32\drivers\TsUsbFlt.sys [2010-11-21 59392]
S3 TsUsbGD;Remote Desktop Generic USB Device;C:\Windows\System32\drivers\TsUsbGD.sys [2010-11-21 31232]
S3 WatAdminSvc;Windows-Aktivierungstechnologieservice;C:\Windows\System32\Wat\WatAdminSvc.exe [2011-12-16 1255736]
S4 RsFx0150;RsFx0150 Driver;C:\Windows\System32\drivers\RsFx0150.sys [2010-4-3 313696]
.
=============== Created Last 30 ================
.
2013-01-30 10:48:03	--------	d-----w-	C:\Users\Firma Mazda\AppData\Roaming\Malwarebytes
2013-01-30 10:47:49	--------	d-----w-	C:\ProgramData\Malwarebytes
2013-01-30 10:47:48	24176	----a-w-	C:\Windows\System32\drivers\mbam.sys
2013-01-30 10:47:48	--------	d-----w-	C:\Program Files (x86)\Malwarebytes' Anti-Malware
2013-01-30 10:47:35	--------	d-----w-	C:\Users\Firma Mazda\AppData\Local\Programs
2013-01-30 10:07:41	--------	d-----w-	C:\Program Files\CCleaner
2013-01-30 09:43:00	859552	----a-w-	C:\Windows\SysWow64\npDeployJava1.dll
2013-01-30 09:42:57	95648	----a-w-	C:\Windows\SysWow64\WindowsAccessBridge-32.dll
2013-01-30 07:02:25	9161176	----a-w-	C:\ProgramData\Microsoft\Windows Defender\Definition Updates\{08691575-139C-4CF0-90CB-6DF51953EFFC}\mpengine.dll
2013-01-29 20:40:26	--------	d-----w-	C:\ProgramData\HitmanPro
2013-01-29 15:28:42	--------	d-----w-	C:\Users\Firma Mazda\AppData\Roaming\Ucab
2013-01-29 15:28:42	--------	d-----w-	C:\Users\Firma Mazda\AppData\Roaming\Oqxa
2013-01-29 15:28:28	--------	d-----w-	C:\Users\Firma Mazda\AppData\Roaming\{F5E75F7B-A8FF-4B19-AAEE-6FBB9324B7B9}
2013-01-29 15:28:15	--------	d-----w-	C:\Users\Firma Mazda\AppData\Roaming\{57DF86E7-F3BA-457F-956E-0ABA61994E13}
.
==================== Find3M  ====================
.
2013-01-30 15:00:21	482304	--sha-w-	C:\EUMONBMP.SYS
2013-01-30 09:42:53	780192	----a-w-	C:\Windows\SysWow64\deployJava1.dll
2013-01-08 21:01:13	74248	----a-w-	C:\Windows\SysWow64\FlashPlayerCPLApp.cpl
2013-01-08 21:01:13	697864	----a-w-	C:\Windows\SysWow64\FlashPlayerApp.exe
2012-12-16 17:11:22	46080	----a-w-	C:\Windows\System32\atmlib.dll
2012-12-16 14:45:03	367616	----a-w-	C:\Windows\System32\atmfd.dll
2012-12-16 14:13:28	295424	----a-w-	C:\Windows\SysWow64\atmfd.dll
2012-12-16 14:13:20	34304	----a-w-	C:\Windows\SysWow64\atmlib.dll
2012-12-07 13:20:16	441856	----a-w-	C:\Windows\System32\Wpc.dll
2012-12-07 13:15:31	2746368	----a-w-	C:\Windows\System32\gameux.dll
2012-12-07 12:26:17	308736	----a-w-	C:\Windows\SysWow64\Wpc.dll
2012-12-07 12:20:43	2576384	----a-w-	C:\Windows\SysWow64\gameux.dll
2012-12-07 11:20:04	30720	----a-w-	C:\Windows\System32\usk.rs
2012-12-07 11:20:03	43520	----a-w-	C:\Windows\System32\csrr.rs
2012-12-07 11:20:03	23552	----a-w-	C:\Windows\System32\oflc.rs
2012-12-07 11:20:01	45568	----a-w-	C:\Windows\System32\oflc-nz.rs
2012-12-07 11:20:01	44544	----a-w-	C:\Windows\System32\pegibbfc.rs
2012-12-07 11:20:01	20480	----a-w-	C:\Windows\System32\pegi-fi.rs
2012-12-07 11:20:00	20480	----a-w-	C:\Windows\System32\pegi-pt.rs
2012-12-07 11:19:59	20480	----a-w-	C:\Windows\System32\pegi.rs
2012-12-07 11:19:58	46592	----a-w-	C:\Windows\System32\fpb.rs
2012-12-07 11:19:57	40960	----a-w-	C:\Windows\System32\cob-au.rs
2012-12-07 11:19:57	21504	----a-w-	C:\Windows\System32\grb.rs
2012-12-07 11:19:57	15360	----a-w-	C:\Windows\System32\djctq.rs
2012-12-07 11:19:56	55296	----a-w-	C:\Windows\System32\cero.rs
2012-12-07 11:19:55	51712	----a-w-	C:\Windows\System32\esrb.rs
2012-11-30 05:45:35	362496	----a-w-	C:\Windows\System32\wow64win.dll
2012-11-30 05:45:35	243200	----a-w-	C:\Windows\System32\wow64.dll
2012-11-30 05:45:35	13312	----a-w-	C:\Windows\System32\wow64cpu.dll
2012-11-30 05:45:14	215040	----a-w-	C:\Windows\System32\winsrv.dll
2012-11-30 05:43:12	16384	----a-w-	C:\Windows\System32\ntvdm64.dll
2012-11-30 05:41:07	424448	----a-w-	C:\Windows\System32\KernelBase.dll
2012-11-30 04:54:00	5120	----a-w-	C:\Windows\SysWow64\wow32.dll
2012-11-30 04:53:59	274944	----a-w-	C:\Windows\SysWow64\KernelBase.dll
2012-11-30 03:23:48	338432	----a-w-	C:\Windows\System32\conhost.exe
2012-11-30 02:44:06	25600	----a-w-	C:\Windows\SysWow64\setup16.exe
2012-11-30 02:44:04	7680	----a-w-	C:\Windows\SysWow64\instnm.exe
2012-11-30 02:44:04	14336	----a-w-	C:\Windows\SysWow64\ntvdm64.dll
2012-11-30 02:44:03	2048	----a-w-	C:\Windows\SysWow64\user.exe
2012-11-30 02:38:59	6144	---ha-w-	C:\Windows\SysWow64\api-ms-win-security-base-l1-1-0.dll
2012-11-30 02:38:59	4608	---ha-w-	C:\Windows\SysWow64\api-ms-win-core-threadpool-l1-1-0.dll
2012-11-30 02:38:59	3584	---ha-w-	C:\Windows\SysWow64\api-ms-win-core-xstate-l1-1-0.dll
2012-11-30 02:38:59	3072	---ha-w-	C:\Windows\SysWow64\api-ms-win-core-util-l1-1-0.dll
2012-11-23 03:26:31	3149824	----a-w-	C:\Windows\System32\win32k.sys
2012-11-23 03:13:57	68608	----a-w-	C:\Windows\System32\taskhost.exe
2012-11-22 05:44:23	800768	----a-w-	C:\Windows\System32\usp10.dll
2012-11-22 04:45:03	626688	----a-w-	C:\Windows\SysWow64\usp10.dll
2012-11-20 05:48:49	307200	----a-w-	C:\Windows\System32\ncrypt.dll
2012-11-20 04:51:09	220160	----a-w-	C:\Windows\SysWow64\ncrypt.dll
2012-11-14 03:25:29	2706432	----a-w-	C:\Windows\System32\mshtml.tlb
2012-11-14 01:14:35	2706432	----a-w-	C:\Windows\SysWow64\mshtml.tlb
2012-11-09 05:45:32	750592	----a-w-	C:\Windows\System32\win32spl.dll
2012-11-09 05:45:09	2048	----a-w-	C:\Windows\System32\tzres.dll
2012-11-09 04:43:04	492032	----a-w-	C:\Windows\SysWow64\win32spl.dll
2012-11-09 04:42:49	2048	----a-w-	C:\Windows\SysWow64\tzres.dll
.
============= FINISH: 12:06:36,46 ===============

--- --- ---
DEFOGGER

Code:

ATTFilter

defogger_disable by jpshortstuff (23.02.10.1)
Log created at 12:10 on 31/01/2013 (Firma Mazda)

Checking for autostart values...
HKCU\~\Run values retrieved.
HKLM\~\Run values retrieved.

Checking for services/drivers...
-=E.O.F=-

---------------------------------------------------------------------------------------------------------------------------------------------------

GMER ... während des Scans 2x Space taste gedrückt um den Bildschirmschoner wegzuschalten.

Code:

ATTFilter

GMER 2.0.18454 - hxxp://www.gmer.net
Rootkit scan 2013-01-31 12:23:02
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 SAMSUNG_SSD_830_Series rev.CXM03B1Q 59,63GB
Running: qgsi8vod.exe; Driver: C:\Users\FIRMAM~1\AppData\Local\Temp\ugloqkod.sys


---- User code sections - GMER 2.0 ----

.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleFileNameExW + 17      0000000075a71401 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!EnumProcessModules + 17        0000000075a71419 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 17      0000000075a71431 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 42      0000000075a7144a 2 bytes [A7, 75]
.text   ...                                                                                                                                     * 9
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!EnumDeviceDrivers + 17         0000000075a714dd 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetDeviceDriverBaseNameA + 17  0000000075a714f5 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!QueryWorkingSetEx + 17         0000000075a7150d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetDeviceDriverBaseNameW + 17  0000000075a71525 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleBaseNameW + 17        0000000075a7153d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!EnumProcesses + 17             0000000075a71555 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetProcessMemoryInfo + 17      0000000075a7156d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetPerformanceInfo + 17        0000000075a71585 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!QueryWorkingSet + 17           0000000075a7159d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleBaseNameA + 17        0000000075a715b5 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetModuleFileNameExA + 17      0000000075a715cd 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetProcessImageFileNameW + 20  0000000075a716b2 2 bytes [A7, 75]
.text   C:\Program Files (x86)\Microsoft SQL Server\90\Shared\sqlbrowser.exe[2188] C:\Windows\syswow64\psapi.dll!GetProcessImageFileNameW + 31  0000000075a716bd 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleFileNameExW + 17                      0000000075a71401 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!EnumProcessModules + 17                        0000000075a71419 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 17                      0000000075a71431 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 42                      0000000075a7144a 2 bytes [A7, 75]
.text   ...                                                                                                                                     * 9
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!EnumDeviceDrivers + 17                         0000000075a714dd 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetDeviceDriverBaseNameA + 17                  0000000075a714f5 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!QueryWorkingSetEx + 17                         0000000075a7150d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetDeviceDriverBaseNameW + 17                  0000000075a71525 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleBaseNameW + 17                        0000000075a7153d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!EnumProcesses + 17                             0000000075a71555 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetProcessMemoryInfo + 17                      0000000075a7156d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetPerformanceInfo + 17                        0000000075a71585 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!QueryWorkingSet + 17                           0000000075a7159d 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleBaseNameA + 17                        0000000075a715b5 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetModuleFileNameExA + 17                      0000000075a715cd 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetProcessImageFileNameW + 20                  0000000075a716b2 2 bytes [A7, 75]
.text   C:\Program Files (x86)\SweetIM\Messenger\SweetIM.exe[4164] C:\Windows\syswow64\PSAPI.DLL!GetProcessImageFileNameW + 31                  0000000075a716bd 2 bytes [A7, 75]

---- Threads - GMER 2.0 ----

Thread  C:\Windows\System32\svchost.exe [2420:4296]                                                                                             000007feedff9688

---- EOF - GMER 2.0 ----

M-K-D-B · 31.01.2013, 16:06

Servus,

auf deinem Rechner befindet sich noch Malware.

Gut, dass du ein neues Thema aufgemacht hast.

Schritt 1
Ich sehe, dass du sog. Registry Cleaner auf dem System hast.
In deinem Fall CCleaner.

Wir empfehlen auf keinen Fall jegliche Art von Registry Cleaner.

Der Grund ist ganz einfach:

Die Registry ist das Hirn des Systems. Funktioniert das Hirn nicht, funktioniert der Rest nicht mehr wirklich.
Wir lesen oft genug von Hilfesuchenden, dass deren System nach der Nutzung von Registry Cleanern nicht mehr booted.

Wie soll der Cleaner zu 100% wissen ob der Eintrag benötigt wird oder nicht ?
Es ist vollkommen egal ob ein paar verwaiste Registry Einträge am System sind oder nicht.
Auch die dauernd angepriesene Beschleunigung des Systems ist nur bedingt wahr. Du würdest es nicht merken.

Ein sogenanntes False Positive von einem Cleaner kann auch dein System unbootbar machen.
Zerstörst Du die Registry, zerstörst Du Windows.

Ich empfehle dir hiermit die oben genannte Software zu deinstallieren und in Zukunft auf solche Art von Software zu verzichten.
Am Ende empfehle ich dir ein anderes Tool, mit dem du deine temporären Dateien entfernen kannst.

Schritt 2
Downloade Dir bitte

AdwCleaner auf deinen Desktop.

Schließe alle offenen Programme und Browser. Bebilderte Anleitung zu AdwCleaner.
Starte die AdwCleaner.exe mit einem Doppelklick.
Stimme den Nutzungsbedingungen zu.
Klicke auf Optionen und vergewissere dich, dass die folgenden Punkte ausgewählt sind:
- "Tracing" Schlüssel löschen
- Winsock Einstellungen zurücksetzen
- Proxy Einstellungen zurücksetzen
- Internet Explorer Richtlinien zurücksetzen
- Chrome Richtlinien zurücksetzen
- Stelle sicher, dass alle 5 Optionen wie hier dargestellt, ausgewählt sind
Klicke auf Suchlauf und warte bis dieser abgeschlossen ist.
Klicke nun auf Löschen und bestätige auftretende Hinweise mit Ok.
Dein Rechner wird automatisch neu gestartet. Nach dem Neustart öffnet sich eine Textdatei. Poste mir deren Inhalt mit deiner nächsten Antwort.
Die Logdatei findest du auch unter C:\AdwCleaner\AdwCleaner[Cx].txt. (x = fortlaufende Nummer).

Schritt 3
Beende bitte Deine Schutzsoftware um eventuelle Konflikte zu vermeiden.

Bitte lade Junkware Removal Tool auf Deinen Desktop.

Starte das Tool mit Doppelklick. Vista und 7 Nutzer bitte mit Rechtsklick "als Administrator ausführen" starten.
Das Tool wird sich öffnen und mit dem Scan beginnen.
Je nach System kann der Scan eine Weile dauern.
Wenn das Tool fertig ist wird das Logfile (JRT.txt) auf dem Desktop gespeichert und automatisch geöffnet.
Bitte poste den Inhalt der JRT.txt in Deiner nächsten Antwort.

Schritt 4
Scan mit Combofix

WARNUNG an die MITLESER:
Combofix sollte ausschließlich ausgeführt werden, wenn dies von einem Teammitglied angewiesen wurde!

Downloade dir bitte Combofix vom folgenden Downloadspiegel: Link

WICHTIG: Speichere Combofix auf deinem Desktop.

Deaktiviere bitte alle deine Antivirensoftware sowie Malware/Spyware Scanner. Diese können Combofix bei der Arbeit stören. Combofix meckert auch manchmal trotzdem noch, das kannst du dann ignorieren, mir aber bitte mitteilen.

Starte die Combofix.exe und folge den Anweisungen auf dem Bildschirm.

Während Combofix läuft bitte nicht am Computer arbeiten, die Maus bewegen oder ins Combofixfenster klicken!

Wenn Combofix fertig ist, wird es ein Logfile erstellen.

Bitte poste die C:\Combofix.txt in deiner nächsten Antwort (möglichst in CODE-Tags).

Hinweis: Solltest du nach dem Neustart folgende Fehlermeldung erhalten
Es wurde versucht, einen Registrierungsschlüssel einem ungültigen Vorgang zu unterziehen, der zum Löschen markiert wurde.
starte den Rechner einfach neu. Dies sollte das Problem beheben.

Bitte poste mit deiner nächsten Antwort

die Logdatei von AdwCleaner,
die Logdatei von JRT,
die Logdatei von ComboFix.

lophiomys · 01.02.2013, 09:43

Hallo Matthias,

Welche Schadsoftware war denn noch auf dem PC? (rein aus Neugier)

AdwC
AdwCleaner Logfile:

Code:

ATTFilter

# AdwCleaner v2.109 - Datei am 01/02/2013 um 09:08:34 erstellt
# Aktualisiert am 26/01/2013 von Xplode
# Betriebssystem : Windows 7 Professional Service Pack 1 (64 bits)
# Benutzer : Firma Mazda - FIRMAMAZDA-PC
# Bootmodus : Normal
# Ausgeführt unter : C:\Users\Firma Mazda\Downloads\adwcleaner.exe
# Option [Löschen]


**** [Dienste] ****


***** [Dateien / Ordner] *****

Datei Gelöscht : C:\Users\Firma Mazda\AppData\Roaming\Microsoft\Windows\Start Menu\Startfenster.lnk
Datei Gelöscht : C:\Users\Firma Mazda\Desktop\Startfenster.lnk
Ordner Gelöscht : C:\Program Files (x86)\SweetIM
Ordner Gelöscht : C:\ProgramData\boost_interprocess
Ordner Gelöscht : C:\ProgramData\SweetIM

***** [Registrierungsdatenbank] *****

Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35B-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Settings\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35B-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKCU\Software\Microsoft\Windows\CurrentVersion\Ext\Stats\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\MediaPlayer.GraphicsUtils
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\MediaPlayer.GraphicsUtils.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\MgMediaPlayer.GifAnimator
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\MgMediaPlayer.GifAnimator.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\sim-packages
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\SWEETIE.IEToolbar
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\SWEETIE.IEToolbar.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\sweetim_urlsearchhook.toolbarurlsearchhook
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\sweetim_urlsearchhook.toolbarurlsearchhook.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Toolbar3.sweetie
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Toolbar3.sweetie.1
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{4D3B167E-5FD8-4276-8FD7-9DF19C1E4D19}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{EEE6C35E-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\TypeLib\{EEE6C35F-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\apntoolbarinstaller_RASAPI32
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\apntoolbarinstaller_RASMANCS
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SweetIM_RASAPI32
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Tracing\SweetIM_RASMANCS
Schlüssel Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\App Paths\SweetIM.exe
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{82AC53B4-164C-4B07-A016-437A8388B81A}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{A4A0CB15-8465-4F58-A7E5-73084EA2A064}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EEE6C35B-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\CLSID\{EEE6C35D-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{A439801C-961D-452C-AB42-7848E9CBD289}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{EEE6C358-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{EEE6C359-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{EEE6C35A-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Classes\Interface\{F4EBB1E2-21F3-4786-8CF4-16EC5925867F}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Low Rights\ElevationPolicy\{EEE6C367-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{EEE6C35C-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{2F603A45-D956-496B-81B5-50D782424976}
Schlüssel Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Uninstall\{B85C4CB2-B352-4BD8-818C-BCE353599107}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{EEE6C358-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{EEE6C359-6118-11DC-9C72-001320C79847}
Schlüssel Gelöscht : HKLM\SOFTWARE\Classes\Interface\{EEE6C35A-6118-11DC-9C72-001320C79847}
Wert Gelöscht : HKCU\Software\Microsoft\Internet Explorer\Toolbar\WebBrowser [{D4027C7F-154A-4066-A1AD-4243D8127440}]
Wert Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\Run [SweetIM]
Wert Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs [C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgHelperApp.exe]
Wert Gelöscht : HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\SharedDLLs [C:\Program Files (x86)\SweetIM\Toolbars\Internet Explorer\mgToolbarProxy.dll]
Wert Gelöscht : HKLM\SOFTWARE\Wow6432Node\Microsoft\Internet Explorer\Toolbar [{EEE6C35B-6118-11DC-9C72-001320C79847}]

***** [Internet Browser] *****

-\\ Internet Explorer v10.0.9200.16438

[OK] Die Registrierungsdatenbank ist sauber.

-\\ Mozilla Firefox v18.0.1 (de)

Datei : C:\Users\Firma Mazda\AppData\Roaming\Mozilla\Firefox\Profiles\o7u5224k.default\prefs.js

Gelöscht : user_pref("browser.startup.homepage", "hxxp://www.startfenster.com");

-\\ Google Chrome v24.0.1312.56

Datei : C:\Users\Firma Mazda\AppData\Local\Google\Chrome\User Data\Default\Preferences

Gelöscht [l.14] : homepage = "hxxp://www.startfenster.com",
Gelöscht [l.1523] : homepage = "hxxp://www.startfenster.com",

*************************

AdwCleaner[R1].txt - [5895 octets] - [01/02/2013 09:07:37]
AdwCleaner[S1].txt - [5834 octets] - [01/02/2013 09:08:34]

########## EOF - C:\AdwCleaner[S1].txt - [5894 octets] ##########

--- --- ---

------------------------------------------------------
JRT

Code:

ATTFilter

~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Junkware Removal Tool (JRT) by Thisisu
Version: 4.5.8 (01.31.2013:1)
OS: Windows 7 Professional x64
Ran by Firma Mazda on 01.02.2013 at  9:16:22,60
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~




~~~ Services



~~~ Registry Values



~~~ Registry Keys

Successfully deleted: [Registry Key] hkey_current_user\software\sweetim
Successfully deleted: [Registry Key] hkey_local_machine\software\sweetim



~~~ Files



~~~ Folders



~~~ FireFox

Emptied folder: C:\Users\Firma Mazda\AppData\Roaming\mozilla\firefox\profiles\o7u5224k.default\minidumps [1 files]



~~~ Event Viewer Logs were cleared





~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~
Scan was completed on 01.02.2013 at  9:21:49,36
End of JRT log
~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~~

--------------------------------------------------------

ComboFix
[CODE]
Combofix Logfile:

Code:

ATTFilter

ComboFix 13-01-31.03 - Firma Mazda 01.02.2013   9:32.1.2 - x64
Microsoft Windows 7 Professional   6.1.7601.1.1252.43.1031.18.4078.2466 [GMT 1:00]
ausgeführt von:: c:\users\Firma Mazda\Desktop\ComboFix.exe
AV: Avira Desktop *Disabled/Updated* {F67B4DE5-C0B4-6C3F-0EFF-6C83BD5D0C2C}
SP: Avira Desktop *Disabled/Updated* {4D1AAC01-E68E-63B1-344F-57F1C6DA4691}
SP: Windows Defender *Enabled/Updated* {D68DDC3A-831F-4fae-9E44-DA132C1ACF46}
.
.
((((((((((((((((((((((((((((((((((((   Weitere Löschungen   ))))))))))))))))))))))))))))))))))))))))))))))))
.
.
c:\users\Firma Mazda\AppData\Roaming\Oqxa
c:\users\Firma Mazda\AppData\Roaming\Oqxa\nidoe.tmp
c:\users\Firma Mazda\AppData\Roaming\skype.ini
.
.
(((((((((((((((((((((((   Dateien erstellt von 2013-01-01 bis 2013-02-01  ))))))))))))))))))))))))))))))
.
.
2013-02-01 08:35 . 2013-02-01 08:35	--------	d-----w-	c:\users\UpdatusUser\AppData\Local\temp
2013-02-01 08:35 . 2013-02-01 08:35	--------	d-----w-	c:\users\Default\AppData\Local\temp
2013-02-01 08:16 . 2013-02-01 08:16	--------	d-----w-	c:\windows\ERUNT
2013-02-01 08:15 . 2013-02-01 08:15	--------	d-----w-	C:\JRT
2013-02-01 07:05 . 2013-01-08 05:32	9161176	----a-w-	c:\programdata\Microsoft\Windows Defender\Definition Updates\{B18D848A-1628-4E7C-B830-4E8CDE34D1D9}\mpengine.dll
2013-01-30 12:17 . 2013-01-30 12:17	--------	d-----w-	c:\program files\7-Zip
2013-01-30 10:48 . 2013-01-30 10:48	--------	d-----w-	c:\users\Firma Mazda\AppData\Roaming\Malwarebytes
2013-01-30 10:47 . 2013-01-30 10:47	--------	d-----w-	c:\programdata\Malwarebytes
2013-01-30 10:47 . 2013-01-30 10:47	--------	d-----w-	c:\program files (x86)\Malwarebytes' Anti-Malware
2013-01-30 10:47 . 2012-12-14 15:49	24176	----a-w-	c:\windows\system32\drivers\mbam.sys
2013-01-30 10:47 . 2013-01-30 10:47	--------	d-----w-	c:\users\Firma Mazda\AppData\Local\Programs
2013-01-30 09:43 . 2013-01-30 09:43	--------	d-----w-	c:\program files (x86)\Common Files\Java
2013-01-30 09:43 . 2013-01-30 09:42	859552	----a-w-	c:\windows\SysWow64\npDeployJava1.dll
2013-01-30 09:42 . 2013-01-30 09:42	95648	----a-w-	c:\windows\SysWow64\WindowsAccessBridge-32.dll
2013-01-30 09:42 . 2013-01-30 09:42	--------	d-----w-	c:\program files (x86)\Java
2013-01-29 20:40 . 2013-01-29 20:40	--------	d-----w-	c:\programdata\HitmanPro
2013-01-29 15:28 . 2013-01-30 10:09	--------	d-----w-	c:\users\Firma Mazda\AppData\Roaming\Ucab
2013-01-29 15:28 . 2013-01-29 15:28	--------	d-----w-	c:\users\Firma Mazda\AppData\Roaming\{F5E75F7B-A8FF-4B19-AAEE-6FBB9324B7B9}
2013-01-29 15:28 . 2013-01-29 15:28	--------	d-----w-	c:\users\Firma Mazda\AppData\Roaming\{57DF86E7-F3BA-457F-956E-0ABA61994E13}
.
.
.
((((((((((((((((((((((((((((((((((((   Find3M Bericht   ))))))))))))))))))))))))))))))))))))))))))))))))))))))
.
2013-01-30 09:42 . 2012-01-17 08:09	780192	----a-w-	c:\windows\SysWow64\deployJava1.dll
2013-01-17 00:28 . 2010-11-21 03:27	273840	------w-	c:\windows\system32\MpSigStub.exe
2013-01-09 15:01 . 2012-01-26 09:47	67599240	----a-w-	c:\windows\system32\MRT.exe
2013-01-08 21:01 . 2012-09-12 06:15	697864	----a-w-	c:\windows\SysWow64\FlashPlayerApp.exe
2013-01-08 21:01 . 2011-12-16 14:25	74248	----a-w-	c:\windows\SysWow64\FlashPlayerCPLApp.cpl
2012-12-16 17:11 . 2012-12-21 02:00	46080	----a-w-	c:\windows\system32\atmlib.dll
2012-12-16 14:45 . 2012-12-21 02:00	367616	----a-w-	c:\windows\system32\atmfd.dll
2012-12-16 14:13 . 2012-12-21 02:00	295424	----a-w-	c:\windows\SysWow64\atmfd.dll
2012-12-16 14:13 . 2012-12-21 02:00	34304	----a-w-	c:\windows\SysWow64\atmlib.dll
2012-12-11 09:54 . 2012-12-11 09:54	97280	----a-w-	c:\windows\system32\mshtmled.dll
2012-12-11 09:54 . 2012-12-11 09:54	92160	----a-w-	c:\windows\system32\SetIEInstalledDate.exe
2012-12-11 09:54 . 2012-12-11 09:54	905216	----a-w-	c:\windows\system32\mshtmlmedia.dll
2012-12-11 09:54 . 2012-12-11 09:54	89600	----a-w-	c:\windows\system32\RegisterIEPKEYs.exe
2012-12-11 09:54 . 2012-12-11 09:54	854528	----a-w-	c:\windows\system32\jscript.dll
2012-12-11 09:54 . 2012-12-11 09:54	81408	----a-w-	c:\windows\system32\icardie.dll
2012-12-11 09:54 . 2012-12-11 09:54	762368	----a-w-	c:\windows\system32\ieapfltr.dll
2012-12-11 09:54 . 2012-12-11 09:54	73728	----a-w-	c:\windows\SysWow64\SetIEInstalledDate.exe
2012-12-11 09:54 . 2012-12-11 09:54	718336	----a-w-	c:\windows\SysWow64\mshtmlmedia.dll
2012-12-11 09:54 . 2012-12-11 09:54	71680	----a-w-	c:\windows\SysWow64\RegisterIEPKEYs.exe
2012-12-11 09:54 . 2012-12-11 09:54	67072	----a-w-	c:\windows\system32\iesetup.dll
2012-12-11 09:54 . 2012-12-11 09:54	62976	----a-w-	c:\windows\system32\pngfilt.dll
2012-12-11 09:54 . 2012-12-11 09:54	61952	----a-w-	c:\windows\SysWow64\tdc.ocx
2012-12-11 09:54 . 2012-12-11 09:54	61440	----a-w-	c:\windows\SysWow64\iesetup.dll
2012-12-11 09:54 . 2012-12-11 09:54	603136	----a-w-	c:\windows\system32\msfeeds.dll
2012-12-11 09:54 . 2012-12-11 09:54	593408	----a-w-	c:\windows\system32\vbscript.dll
2012-12-11 09:54 . 2012-12-11 09:54	53760	----a-w-	c:\windows\system32\jsproxy.dll
2012-12-11 09:54 . 2012-12-11 09:54	531456	----a-w-	c:\windows\system32\ieui.dll
2012-12-11 09:54 . 2012-12-11 09:54	525312	----a-w-	c:\windows\SysWow64\vbscript.dll
2012-12-11 09:54 . 2012-12-11 09:54	52224	----a-w-	c:\windows\system32\msfeedsbs.dll
2012-12-11 09:54 . 2012-12-11 09:54	51200	----a-w-	c:\windows\system32\imgutil.dll
2012-12-11 09:54 . 2012-12-11 09:54	50688	----a-w-	c:\windows\system32\ie4uinit.exe
2012-12-11 09:54 . 2012-12-11 09:54	48640	----a-w-	c:\windows\SysWow64\mshtmler.dll
2012-12-11 09:54 . 2012-12-11 09:54	48640	----a-w-	c:\windows\system32\mshtmler.dll
2012-12-11 09:54 . 2012-12-11 09:54	453120	----a-w-	c:\windows\system32\dxtmsft.dll
2012-12-11 09:54 . 2012-12-11 09:54	441856	----a-w-	c:\windows\system32\html.iec
2012-12-11 09:54 . 2012-12-11 09:54	39936	----a-w-	c:\windows\system32\iernonce.dll
2012-12-11 09:54 . 2012-12-11 09:54	3966976	----a-w-	c:\windows\system32\jscript9.dll
2012-12-11 09:54 . 2012-12-11 09:54	38400	----a-w-	c:\windows\SysWow64\imgutil.dll
2012-12-11 09:54 . 2012-12-11 09:54	361984	----a-w-	c:\windows\SysWow64\html.iec
2012-12-11 09:54 . 2012-12-11 09:54	2882048	----a-w-	c:\windows\SysWow64\jscript9.dll
2012-12-11 09:54 . 2012-12-11 09:54	281600	----a-w-	c:\windows\system32\dxtrans.dll
2012-12-11 09:54 . 2012-12-11 09:54	27648	----a-w-	c:\windows\system32\licmgr10.dll
2012-12-11 09:54 . 2012-12-11 09:54	270848	----a-w-	c:\windows\system32\iedkcs32.dll
2012-12-11 09:54 . 2012-12-11 09:54	2670080	----a-w-	c:\windows\system32\iertutil.dll
2012-12-11 09:54 . 2012-12-11 09:54	247296	----a-w-	c:\windows\system32\webcheck.dll
2012-12-11 09:54 . 2012-12-11 09:54	235008	----a-w-	c:\windows\system32\url.dll
2012-12-11 09:54 . 2012-12-11 09:54	23040	----a-w-	c:\windows\SysWow64\licmgr10.dll
2012-12-11 09:54 . 2012-12-11 09:54	226304	----a-w-	c:\windows\system32\elshyph.dll
2012-12-11 09:54 . 2012-12-11 09:54	2245120	----a-w-	c:\windows\system32\wininet.dll
2012-12-11 09:54 . 2012-12-11 09:54	216576	----a-w-	c:\windows\system32\msls31.dll
2012-12-11 09:54 . 2012-12-11 09:54	197120	----a-w-	c:\windows\system32\msrating.dll
2012-12-11 09:54 . 2012-12-11 09:54	185344	----a-w-	c:\windows\SysWow64\elshyph.dll
2012-12-11 09:54 . 2012-12-11 09:54	1772032	----a-w-	c:\windows\SysWow64\wininet.dll
2012-12-11 09:54 . 2012-12-11 09:54	173568	----a-w-	c:\windows\system32\ieUnatt.exe
2012-12-11 09:54 . 2012-12-11 09:54	167424	----a-w-	c:\windows\system32\iexpress.exe
2012-12-11 09:54 . 2012-12-11 09:54	158720	----a-w-	c:\windows\SysWow64\msls31.dll
2012-12-11 09:54 . 2012-12-11 09:54	1509376	----a-w-	c:\windows\system32\inetcpl.cpl
2012-12-11 09:54 . 2012-12-11 09:54	150528	----a-w-	c:\windows\SysWow64\iexpress.exe
2012-12-11 09:54 . 2012-12-11 09:54	149504	----a-w-	c:\windows\system32\occache.dll
2012-12-11 09:54 . 2012-12-11 09:54	1441280	----a-w-	c:\windows\SysWow64\inetcpl.cpl
2012-12-11 09:54 . 2012-12-11 09:54	142848	----a-w-	c:\windows\system32\wextract.exe
2012-12-11 09:54 . 2012-12-11 09:54	1400416	----a-w-	c:\windows\system32\ieapfltr.dat
2012-12-11 09:54 . 2012-12-11 09:54	13824	----a-w-	c:\windows\system32\mshta.exe
2012-12-11 09:54 . 2012-12-11 09:54	137216	----a-w-	c:\windows\SysWow64\ieUnatt.exe
2012-12-11 09:54 . 2012-12-11 09:54	136704	----a-w-	c:\windows\system32\iesysprep.dll
2012-12-11 09:54 . 2012-12-11 09:54	136192	----a-w-	c:\windows\system32\iepeers.dll
2012-12-11 09:54 . 2012-12-11 09:54	136192	----a-w-	c:\windows\system32\IEAdvpack.dll
2012-12-11 09:54 . 2012-12-11 09:54	135680	----a-w-	c:\windows\SysWow64\wextract.exe
2012-12-11 09:54 . 2012-12-11 09:54	1352192	----a-w-	c:\windows\system32\urlmon.dll
2012-12-11 09:54 . 2012-12-11 09:54	12800	----a-w-	c:\windows\SysWow64\mshta.exe
2012-12-11 09:54 . 2012-12-11 09:54	12800	----a-w-	c:\windows\system32\msfeedssync.exe
2012-12-11 09:54 . 2012-12-11 09:54	111104	----a-w-	c:\windows\SysWow64\IEAdvpack.dll
2012-12-11 09:54 . 2012-12-11 09:54	109056	----a-w-	c:\windows\SysWow64\iesysprep.dll
2012-12-11 09:54 . 2012-12-11 09:54	1054720	----a-w-	c:\windows\system32\MsSpellCheckingFacility.exe
2012-12-11 09:54 . 2012-12-11 09:54	102912	----a-w-	c:\windows\system32\inseng.dll
2012-12-11 09:54 . 2012-12-11 09:54	77312	----a-w-	c:\windows\system32\tdc.ocx
2012-12-11 09:54 . 2012-12-11 09:54	15418368	----a-w-	c:\windows\system32\ieframe.dll
2012-12-11 09:54 . 2012-12-11 09:54	9728	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-shlwapi-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	9728	---ha-w-	c:\windows\system32\api-ms-win-downlevel-shlwapi-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	648192	----a-w-	c:\windows\system32\d3d10level9.dll
2012-12-11 09:54 . 2012-12-11 09:54	604160	----a-w-	c:\windows\SysWow64\d3d10level9.dll
2012-12-11 09:54 . 2012-12-11 09:54	5632	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-shlwapi-l2-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	5632	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-ole32-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	5632	---ha-w-	c:\windows\system32\api-ms-win-downlevel-shlwapi-l2-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	5632	---ha-w-	c:\windows\system32\api-ms-win-downlevel-ole32-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	522752	----a-w-	c:\windows\system32\XpsGdiConverter.dll
2012-12-11 09:54 . 2012-12-11 09:54	465920	----a-w-	c:\windows\system32\WMPhoto.dll
2012-12-11 09:54 . 2012-12-11 09:54	417792	----a-w-	c:\windows\SysWow64\WMPhoto.dll
2012-12-11 09:54 . 2012-12-11 09:54	4096	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-user32-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	4096	---ha-w-	c:\windows\system32\api-ms-win-downlevel-user32-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	3928064	----a-w-	c:\windows\system32\d2d1.dll
2012-12-11 09:54 . 2012-12-11 09:54	364544	----a-w-	c:\windows\SysWow64\XpsGdiConverter.dll
2012-12-11 09:54 . 2012-12-11 09:54	363008	----a-w-	c:\windows\system32\dxgi.dll
2012-12-11 09:54 . 2012-12-11 09:54	3584	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-advapi32-l2-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	3584	---ha-w-	c:\windows\system32\api-ms-win-downlevel-advapi32-l2-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	3419136	----a-w-	c:\windows\SysWow64\d2d1.dll
2012-12-11 09:54 . 2012-12-11 09:54	333312	----a-w-	c:\windows\system32\d3d10_1core.dll
2012-12-11 09:54 . 2012-12-11 09:54	3072	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-version-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	3072	---ha-w-	c:\windows\SysWow64\api-ms-win-downlevel-shell32-l1-1-0.dll
2012-12-11 09:54 . 2012-12-11 09:54	3072	---ha-w-	c:\windows\system32\api-ms-win-downlevel-version-l1-1-0.dll
.
.
((((((((((((((((((((((((((((   Autostartpunkte der Registrierung   ))))))))))))))))))))))))))))))))))))))))
.
.
*Hinweis* leere Einträge & legitime Standardeinträge werden nicht angezeigt. 
REGEDIT4
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\Run]
"Adobe ARM"="c:\program files (x86)\Common Files\Adobe\ARM\1.0\AdobeARM.exe" [2012-12-03 946352]
"EaseUs Watch"="c:\program files (x86)\EaseUS\Todo Backup\bin\EuWatch.exe" [2011-12-22 70792]
"EaseUs Tray"="c:\program files (x86)\EaseUS\Todo Backup\bin\TrayNotify.exe" [2011-12-26 743560]
"avgnt"="c:\program files (x86)\Avira\AntiVir Desktop\avgnt.exe" [2012-08-08 348664]
"SunJavaUpdateSched"="c:\program files (x86)\Common Files\Java\Java Update\jusched.exe" [2012-07-03 252848]
.
c:\users\Firma Mazda\AppData\Roaming\Microsoft\Windows\Start Menu\Programs\Startup\
Game Alarm.lnk - c:\games\Game Alarm\gamealarm.exe [2012-3-1 19721728]
Samsung SSD Magician.lnk - c:\program files (x86)\Samsung SSD Magician\Samsung SSD Magician.exe [2012-1-30 2056192]
.
[HKEY_LOCAL_MACHINE\software\microsoft\windows\currentversion\policies\system]
"ConsentPromptBehaviorAdmin"= 5 (0x5)
"ConsentPromptBehaviorUser"= 3 (0x3)
"EnableUIADesktopToggle"= 0 (0x0)
.
R2 clr_optimization_v4.0.30319_64;Microsoft .NET Framework NGEN v4.0.30319_X64;c:\windows\Microsoft.NET\Framework64\v4.0.30319\mscorsvw.exe [2010-03-18 138576]
R2 MBAMScheduler;MBAMScheduler;c:\program files (x86)\Malwarebytes' Anti-Malware\mbamscheduler.exe [2012-12-14 398184]
R2 MBAMService;MBAMService;c:\program files (x86)\Malwarebytes' Anti-Malware\mbamservice.exe [2012-12-14 682344]
R2 MSSQLServerADHelper100;SQL Active Directory Helper Service;c:\program files\Microsoft SQL Server\100\Shared\SQLADHLP.EXE [2010-04-03 59744]
R3 dmvsc;dmvsc;c:\windows\system32\drivers\dmvsc.sys [2010-11-21 71168]
R3 MBAMProtector;MBAMProtector;c:\windows\system32\drivers\mbam.sys [2012-12-14 24176]
R3 ose64;Office 64 Source Engine;c:\program files\Common Files\Microsoft Shared\Source Engine\OSE.EXE [2010-01-09 174440]
R3 TsUsbFlt;TsUsbFlt;c:\windows\system32\drivers\tsusbflt.sys [2010-11-21 59392]
R3 TsUsbGD;Remote Desktop Generic USB Device;c:\windows\system32\drivers\TsUsbGD.sys [2010-11-21 31232]
R3 WatAdminSvc;Windows-Aktivierungstechnologieservice;c:\windows\system32\Wat\WatAdminSvc.exe [2011-12-16 1255736]
R4 RsFx0150;RsFx0150 Driver;c:\windows\system32\DRIVERS\RsFx0150.sys [2010-04-03 313696]
S0 EUBAKUP;EUBAKUP;c:\windows\system32\drivers\eubakup.sys [2011-12-22 57480]
S0 EUBKMON;EUBKMON;c:\windows\system32\drivers\EUBKMON.sys [2011-12-22 51336]
S1 avkmgr;avkmgr;c:\windows\system32\DRIVERS\avkmgr.sys [2011-12-15 27760]
S1 EUDSKACS;EUDSKACS;c:\windows\system32\drivers\eudskacs.sys [2011-12-22 19592]
S1 EUFDDISK;EUFDDISK;c:\windows\system32\drivers\EuFdDisk.sys [2011-12-22 189576]
S2 AntiVirSchedulerService;Avira Planer;c:\program files (x86)\Avira\AntiVir Desktop\sched.exe [2012-05-08 86224]
S2 EaseUS Agent;EaseUS Agent;c:\program files (x86)\EaseUS\Todo Backup\bin\Agent.exe [2011-12-22 61064]
S2 Guard Agent;Guard Agent;c:\program files (x86)\EaseUS\Todo Backup\bin\GuardAgent.exe [2011-12-22 23176]
S2 MsDtsServer100;SQL Server Integration Services 10.0;c:\program files\Microsoft SQL Server\100\DTS\Binn\MsDtsSrvr.exe [2011-06-17 210784]
S2 MSOLAP$MOTIONDATA;SQL Server Analysis Services (MOTIONDATA);c:\program files\Microsoft SQL Server\MSAS10_50.MOTIONDATA\OLAP\bin\msmdsrv.exe [2011-06-17 54791520]
S2 MSSQL$MOTIONDATA;SQL Server (MOTIONDATA);c:\program files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\sqlservr.exe [2011-04-23 61916000]
S2 ReportServer$MOTIONDATA;SQL Server Reporting Services (MOTIONDATA);c:\program files\Microsoft SQL Server\MSRS10_50.MOTIONDATA\Reporting Services\ReportServer\bin\ReportingServicesService.exe [2011-06-17 2180960]
S2 SQLAgent$MOTIONDATA;SQL Server Agent (MOTIONDATA);c:\program files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\SQLAGENT.EXE [2011-04-23 428384]
S2 Stereo Service;NVIDIA Stereoscopic 3D Driver Service;c:\program files (x86)\NVIDIA Corporation\3D Vision\nvSCPAPISvr.exe [2012-10-02 382824]
S2 TeamViewer7;TeamViewer 7;c:\program files (x86)\TeamViewer\Version7\TeamViewer_Service.exe [2012-07-16 2673064]
S2 UNS;Intel(R) Management and Security Application User Notification Service;c:\program files (x86)\Intel\Intel(R) Management Engine Components\UNS\UNS.exe [2010-12-20 2656280]
S3 MSSQLFDLauncher$MOTIONDATA;SQL Full-text Filter Daemon Launcher (MOTIONDATA);c:\program files\Microsoft SQL Server\MSSQL10_50.MOTIONDATA\MSSQL\Binn\fdlauncher.exe [2010-04-03 32096]
S3 RTL8167;Realtek 8167 NT Driver;c:\windows\system32\DRIVERS\Rt64win7.sys [2011-06-10 539240]
S3 S3XXx64;SCR3xx USB SmartCardReader64;c:\windows\system32\DRIVERS\S3XXx64.sys [2011-09-07 70016]
.
.
[HKEY_LOCAL_MACHINE\software\wow6432node\microsoft\active setup\installed components\{8A69D345-D564-463c-AFF1-A69D9E530F96}]
2013-01-23 20:02	1607120	----a-w-	c:\program files (x86)\Google\Chrome\Application\24.0.1312.56\Installer\chrmstp.exe
.
Inhalt des "geplante Tasks" Ordners
.
2013-02-01 c:\windows\Tasks\Adobe Flash Player Updater.job
- c:\windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe [2012-09-12 21:01]
.
2013-02-01 c:\windows\Tasks\GoogleUpdateTaskMachineCore.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-12-16 13:21]
.
2013-02-01 c:\windows\Tasks\GoogleUpdateTaskMachineUA.job
- c:\program files (x86)\Google\Update\GoogleUpdate.exe [2011-12-16 13:21]
.
.
--------- X64 Entries -----------
.
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Run]
"RtHDVCpl"="c:\program files\Realtek\Audio\HDA\RAVCpl64.exe" [2010-11-19 11613288]
"Start WingMan Profiler"="c:\program files\Logitech\Gaming Software\LWEMon.exe" [2010-06-14 190536]
.
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Svchost  - LocalService
FontCache
.
------- Zusätzlicher Suchlauf -------
.
uLocal Page = c:\windows\system32\blank.htm
uStart Page = hxxp://www.google.at/
mLocal Page = c:\windows\SysWOW64\blank.htm
IE: An OneNote s&enden - c:\progra~1\MICROS~4\Office14\ONBttnIE.dll/105
IE: Nach Microsoft E&xcel exportieren - c:\progra~1\MICROS~4\Office14\EXCEL.EXE/3000
IE: {{07BA1DA9-F501-4796-8728-74D1B91A6CD5} - c:\program files (x86)\PokerStars.EU\PokerStarsUpdate.exe
TCP: DhcpNameServer = 192.168.0.254
FF - ProfilePath - c:\users\Firma Mazda\AppData\Roaming\Mozilla\Firefox\Profiles\o7u5224k.default\
.
- - - - Entfernte verwaiste Registrierungseinträge - - - -
.
HKLM_Wow6432Node-ActiveSetup-{2D46B6DC-2207-486B-B523-A557E6D54B47} - start
AddRemove-Shockwave - c:\windows\System32\Macromed\SHOCKW~1\UNWISE.EXE
.
.
.
--------------------- Gesperrte Registrierungsschluessel ---------------------
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_5_502_146_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\system32\\Macromed\\Flash\\FlashUtil64_11_5_502_146_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="FlashBroker"
"LocalizedString"="@c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_5_502_146_ActiveX.exe,-101"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\Elevation]
"Enabled"=dword:00000001
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\LocalServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\FlashUtil32_11_5_502_146_ActiveX.exe"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{73C9DFA0-750D-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Shockwave Flash Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\MiscStatus]
@="0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ProgID]
@="ShockwaveFlash.ShockwaveFlash.11"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB6E-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="ShockwaveFlash.ShockwaveFlash"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}]
@Denied: (A 2) (Everyone)
@="Macromedia Flash Factory Object"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\InprocServer32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx"
"ThreadingModel"="Apartment"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ProgID]
@="FlashFactory.FlashFactory.1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\ToolboxBitmap32]
@="c:\\Windows\\SysWOW64\\Macromed\\Flash\\Flash32_11_5_502_146.ocx, 1"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\TypeLib]
@="{D27CDB6B-AE6D-11cf-96B8-444553540000}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\Version]
@="1.0"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\CLSID\{D27CDB70-AE6D-11cf-96B8-444553540000}\VersionIndependentProgID]
@="FlashFactory.FlashFactory"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}]
@Denied: (A 2) (Everyone)
@="IFlashBroker5"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\ProxyStubClsid32]
@="{00020424-0000-0000-C000-000000000046}"
.
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Wow6432Node\Interface\{6AE38AE0-750C-11E1-B0C4-0800200C9A66}\TypeLib]
@="{FAB3E735-69C7-453B-A446-B6823C6DF1C9}"
"Version"="1.0"
.
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Control\PCW\Security]
@Denied: (Full) (Everyone)
.
Zeit der Fertigstellung: 2013-02-01  09:36:36
ComboFix-quarantined-files.txt  2013-02-01 08:36
.
Vor Suchlauf: 5.854.457.856 Bytes frei
Nach Suchlauf: 6.361.370.624 Bytes frei
.
- - End Of File - - EBC7848E1D5473074011663E1098D9C9

--- --- ---

-----------------------------------------------------------------

M-K-D-B · 01.02.2013, 17:54

Servus,

Zitat:

Zitat von lophiomys

Welche Schadsoftware war denn noch auf dem PC? (rein aus Neugier)

Adware (SweetIM) und ein Trojaner (Zbot).

Ein paar Reste seh ich da noch. Wir schauen uns das nochmal genauer an und löschen es anschließend:

Schritt 1
Lade SystemLook von jpshortstuff von einem der folgenden Spiegel herunter und speichere das Tool auf dem Desktop.

Download Mirror # 1

Doppelklicke auf die SystemLook.exe, um das Tool zu starten.

Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:

Code:

ATTFilter

:dir
c:\users\Firma Mazda\AppData\Roaming\Ucab /S
c:\users\Firma Mazda\AppData\Roaming\{F5E75F7B-A8FF-4B19-AAEE-6FBB9324B7B9} /S
c:\users\Firma Mazda\AppData\Roaming\{57DF86E7-F3BA-457F-956E-0ABA61994E13} /S

:folderfind
*SweetIM*

:regfind
SweetIM

Klicke nun auf den Button Look, um den Scan zu starten.
Der Suchlauf wird einige Zeit dauern.
Wenn der Suchlauf beendet ist, wird sich Dein Editor mit den Ergebnissen öffnen, poste diese in deinen Thread.
Die Ergebnisse werden auf dem Desktop als SystemLook.txt gespeichert.

Schritt 2
Lade Dir bitte OTL von Oldtimer herunter und speichere es auf Deinem Desktop (falls noch nicht vorhanden).

Starte bitte die OTL.exe.
Oben findest Du ein Kästchen mit Ausgabe. Wähle bitte Standard Ausgabe.
Setze einen Haken bei Scanne alle Benutzer.
Unter Extra Registry, wähle bitte Use SafeList.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

ATTFilter

activex
netsvcs
msconfig
drivers32
safebootminimal
safebootnetwork
hklm\software\clients\startmenuinternet|command /rs
hklm\software\clients\startmenuinternet|command /64 /rs
CREATERESTOREPOINT

Schließe bitte nun alle Programme. (Wichtig)
Klicke nun bitte auf den Scan Button.
Am Ende des Suchlaufs werden 2 Logdateien erstellt.
Kopiere nun den Inhalt aus OTL.txt und Extra.txt hier in Deinen Thread

Bitte poste mit deiner nächsten Antwort

die Logdatei von SystemLook,
die beiden Logdateien von OTL.

lophiomys · 02.02.2013, 14:03

Update 2012-02-02 14:01

VLC Update Download schlägt fehl, weil laut VLC die kryptografische Signartur nicht übereinstimmt und deshalb wird das heruntergelandene UpdateFile für v2.0.5 gelöscht.

M-K-D-B · 02.02.2013, 17:42

Servus,

Schritt 1

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

ATTFilter

:OTL
O2:64bit: - BHO: (no name) - {761497BB-D6F0-462C-B6EB-D4DAF1D92D43} - No CLSID value found.
O2:64bit: - BHO: (no name) - {DBC80044-A445-435b-BC74-9C25C1C588A9} - No CLSID value found.
[2013.01.29 16:28:42 | 000,000,000 | ---D | C] -- C:\Users\Firma Mazda\AppData\Roaming\Ucab
[2013.01.29 16:28:28 | 000,000,000 | ---D | C] -- C:\Users\Firma Mazda\AppData\Roaming\{F5E75F7B-A8FF-4B19-AAEE-6FBB9324B7B9}
[2013.01.29 16:28:15 | 000,000,000 | ---D | C] -- C:\Users\Firma Mazda\AppData\Roaming\{57DF86E7-F3BA-457F-956E-0ABA61994E13}

:reg
[-HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\InternetRegistry\REGISTRY\USER\S-1-5-21-2921723482-3330315381-3648421745-1000\Software\SweetIM]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\2BC4C58B253B8DB418C8CB3E35951970]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\SweetImSetup_RASAPI32]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\SweetImSetup_RASMANCS]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\2BC4C58B253B8DB418C8CB3E35951970]
[-HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\54A306F2659DB694185B057D28249467]

:commands
[Emptytemp]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Schritt 2

Starte Malwarebytes' Anti-Malware, klicke auf Aktualisierung --> Suche nach Aktualisierung
Wenn das Update beendet wurde, aktiviere Quick-Scan durchführen und drücke auf Scannen.
Wenn der Scan beendet ist, klicke auf Ergebnisse anzeigen.
Versichere Dich, dass alle Funde markiert sind und drücke Entferne Auswahl.
Poste das Logfile, welches sich in Notepad öffnet, hier in den Thread.
Nachträglich kannst du den Bericht unter "Log Dateien" finden.

Schritt 3

ESET Online Scanner

Hier findest du eine bebilderte Anleitung zu ESET Online Scanner
Lade und starte Eset Online Scanner
Setze einen Haken bei Ja, ich bin mit den Nutzungsbedingungen einverstanden und klicke auf Starten.
Aktiviere die "Erkennung von eventuell unerwünschten Anwendungen" und wähle folgende Einstellungen.
Klicke auf Starten.
Die Signaturen werden heruntergeladen, der Scan beginnt automatisch.
Klicke am Ende des Suchlaufs auf Fertig stellen.
Schließe das Fenster von ESET.
Explorer öffnen.
C:\Programme\Eset\EsetOnlineScanner\log.txt (bei 64 Bit auch C:\Programme (x86)\Eset\EsetOnlineScanner\log.txt) suchen und mit Deinem Editor öffnen (bebildert).
Logfile hier posten.
Deinstallation: Systemsteuerung => Software / Programme deinstallieren => Eset Online Scanner V3 entfernen.
Manuell folgenden Ordner löschen und Papierkorb leeren => C:\Programme\Eset

Schritt 4
Downloade Dir bitte

SecurityCheck und:

Speichere es auf dem Desktop.
Starte SecurityCheck.exe und folge den Anweisungen in der DOS-Box.
Wenn der Scan beendet wurde sollte sich ein Textdokument (checkup.txt) öffnen.

Poste den Inhalt bitte hier.

Bitte poste mit deiner nächsten Antwort

die Logdatei von OTL,
die Logdatei von MBAM,
die Logdatei von ESET,
die Logdatei von SecurityCheck.

lophiomys · 03.02.2013, 17:47

Hallo Matthias,

Ein bedenklicher Fund im Temp-Verzeichnis mit ESET, der 2. Fund ist mein 7Z-Archiv am Desktop, in dem ich die infizierten Dateien sammle.

Systemcheck erwähnt im Log IE9, installiert ist aber IE10 (funkt nicht richtig, wie oben beschrieben).

Auf diesem PC läuft, wie ich gerade überrascht festgestellt habe, auch Windows Defender, neben Avira Free. (beide wurden bei allen Tests deaktiviert)

lg
LoPhi

OTL

Code:

ATTFilter

All processes killed
========== OTL ==========
64bit-Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\ deleted successfully.
64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{761497BB-D6F0-462C-B6EB-D4DAF1D92D43}\ not found.
64bit-Registry key HKEY_LOCAL_MACHINE\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ deleted successfully.
64bit-Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\CLSID\{DBC80044-A445-435b-BC74-9C25C1C588A9}\ not found.
C:\Users\Firma Mazda\AppData\Roaming\Ucab folder moved successfully.
C:\Users\Firma Mazda\AppData\Roaming\{F5E75F7B-A8FF-4B19-AAEE-6FBB9324B7B9} folder moved successfully.
C:\Users\Firma Mazda\AppData\Roaming\{57DF86E7-F3BA-457F-956E-0ABA61994E13} folder moved successfully.
========== REGISTRY ==========
Registry key HKEY_CURRENT_USER\Software\Microsoft\Internet Explorer\InternetRegistry\REGISTRY\USER\S-1-5-21-2921723482-3330315381-3648421745-1000\Software\SweetIM\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Classes\Installer\Products\2BC4C58B253B8DB418C8CB3E35951970\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\SweetImSetup_RASAPI32\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Tracing\SweetImSetup_RASMANCS\ deleted successfully.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\2BC4C58B253B8DB418C8CB3E35951970\ not found.
Registry key HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Installer\UserData\S-1-5-18\Products\54A306F2659DB694185B057D28249467\ not found.
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Firma Mazda
->Temp folder emptied: 22512655 bytes
->Temporary Internet Files folder emptied: 59615947 bytes
->Java cache emptied: 38708502 bytes
->FireFox cache emptied: 64383558 bytes
->Google Chrome cache emptied: 55137698 bytes
->Flash cache emptied: 1785 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 67 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 91927 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 67893 bytes
%systemroot%\sysnative\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 757 bytes
RecycleBin emptied: 297640 bytes
 
Total Files Cleaned = 230,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 02032013_151259

Files\Folders moved on Reboot...
C:\Users\Firma Mazda\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Firma Mazda\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

------------------------------------------------------

ESET Online

Code:

ATTFilter

ESETSmartInstaller@High as downloader log:
all ok
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6889
# api_version=3.0.2
# EOSSerial=30a177af8273124fb9e1931cf16552f0
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=false
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2013-02-03 04:29:27
# local_time=2013-02-03 05:29:27 (+0100, Mitteleuropäische Zeit)
# country="Austria"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=1799 16775165 100 99 11921 225332257 4708 0
# compatibility_mode=5893 16776573 100 94 97814 111538817 0 0
# scanned=224214
# found=2
# cleaned=0
# scan_time=7189
C:\Users\Firma Mazda\Desktop\INFECTED-PolizeiTrojaner1-AviraQuarantäne.7z	a variant of Win32/Injector.ACDC trojan	5ED7F5F6B867DDA3AD0638F7B6F45FC2D5752648	I
C:\Users\Firma Mazda\Local Settings\Temp\mseotl.exe	NSIS/TrojanDropper.Agent.AU trojan	5F6C9A11FB49413FA732F01228A2C50899CAB29F	I

--------------------------------------------------------
MBAM

Code:

ATTFilter

 Malwarebytes Anti-Malware  (Test) 1.70.0.1100
www.malwarebytes.org

Datenbank Version: v2013.02.03.04

Windows 7 Service Pack 1 x64 NTFS
Internet Explorer 10.0.9200.16439
Firma Mazda :: FIRMAMAZDA-PC [Administrator]

Schutz: Deaktiviert

03.02.2013 15:19:42
mbam-log-2013-02-03 (15-19-42).txt

Art des Suchlaufs: Quick-Scan
Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM
Deaktivierte Suchlaufeinstellungen: P2P
Durchsuchte Objekte: 257072
Laufzeit: 47 Sekunde(n)

Infizierte Speicherprozesse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Speichermodule: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungsschlüssel: 0
(Keine bösartigen Objekte gefunden)

Infizierte Registrierungswerte: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateiobjekte der Registrierung: 0
(Keine bösartigen Objekte gefunden)

Infizierte Verzeichnisse: 0
(Keine bösartigen Objekte gefunden)

Infizierte Dateien: 0
(Keine bösartigen Objekte gefunden)

(Ende)

---------------------------------------------------------
Security Check

Code:

ATTFilter

 Results of screen317's Security Check version 0.99.57  
 Windows 7 Service Pack 1 x64 (UAC is enabled)  
 Internet Explorer 9  
``````````````Antivirus/Firewall Check:`````````````` 
Avira Desktop   
 Antivirus out of date!  
`````````Anti-malware/Other Utilities Check:````````` 
 Malwarebytes Anti-Malware Version 1.70.0.1100  
 Java 7 Update 13  
 Java version out of Date! 
 Adobe Flash Player 11.5.502.146  
 Adobe Reader 10.1.5 Adobe Reader out of Date!  
 Mozilla Firefox (18.0.1) 
 Google Chrome 24.0.1312.56  
 Google Chrome 24.0.1312.57  
````````Process Check: objlist.exe by Laurent````````  
 Avira Antivir avgnt.exe 
 Avira Antivir avguard.exe 
 Malwarebytes' Anti-Malware mbamscheduler.exe   
`````````````````System Health check````````````````` 
 Total Fragmentation on Drive C:  
````````````````````End of Log``````````````````````

M-K-D-B · 04.02.2013, 09:20

Servus,

Wegen dem einen ESET-Fund:

Fixen mit OTL

Starte bitte die OTL.exe.
Kopiere nun den Inhalt aus der Codebox in die Textbox.

Code:

ATTFilter

:Commands
[emptytemp]

Solltest du deinen Benutzernamen z. B. durch "*****" unkenntlich gemacht haben, so füge an entsprechender Stelle deinen richtigen Benutzernamen ein. Andernfalls wird der Fix nicht funktionieren.
Schließe bitte nun alle Programme.
Klicke nun bitte auf den Fix Button.
OTL kann gegebenfalls einen Neustart verlangen. Bitte dies zulassen.
Nach dem Neustart findest Du ein Textdokument auf deinem Desktop.
( Auch zu finden unter C:\_OTL\MovedFiles\<Uhrzeit_Datum>.txt)
Kopiere nun den Inhalt hier in Deinen Thread

Evtl. solltest du den IE10 neu installieren. Spontan weiß ich leider auch nicht, wie man das anders schnell wieder in den Griff bekommen könnte.

Wenn du keine Probleme mehr hast, dann sind wir hier fertig. Deine Logdateien sind sauber.

Zum Schluss müssen wir noch ein paar abschließende Schritte unternehmen, um deinen Pc aufzuräumen und abzusichern.

Schritt 1
Deinstalliere bitte deine aktuelle Version von Adobe Reader
Start--> Systemsteuerung--> Software / Programme deinstallieren--> Adobe Reader
und lade dir die neue Version von Hier herunter-
Entferne den Hacken für den McAfee SecurityScan bzw. Google Chrome.

Schritt 2
Starte DeFogger und klicke auf Re-enable.
Gegebenenfalls muss dein Rechner neu gestartet werden.

Schritt 3
Bitte vor der folgenden Aktion wieder temporär Antivirus-Programm, evtl. vorhandenes Skript-Blocking und Anti-Malware Programme deaktivieren.

Windows-Taste + R drücke. Kopiere nun folgende Zeile in die Kommandozeile und klicke OK.

Code:

ATTFilter

Combofix /Uninstall

Damit wird Combofix komplett entfernt und der Cache der Systemwiederherstellung geleert, damit auch aus dieser die Schädlinge verschwinden.

Nun die eben deaktivierten Programme wieder aktivieren.

Schritt 4
Downloade dir bitte delfix auf deinen Desktop.

Schließe alle offenen Programme.
Starte die delfix.exe mit einem Doppelklick.
Setze vor jede Funktion ein Häkchen.
Klicke auf Start.
DelFix entfernt u. a. alle verwendeten Programme und löscht sich abschließend selbst.
Sollten noch Programme, die wir verwendet haben, vorhanden sein, so lösche diese bitte per Hand.

Schritt 5
Hier noch ein paar Tipps zur Absicherung deines Systems.

Ich kann garnicht zu oft erwähnen, wie wichtig es ist, dass dein System Up to Date ist.

Bitte überprüfe ob dein System Windows Updates automatisch herunter lädt
Windows Updates
- Windows XP: Start --> Systemsteuerung --> Doppelklick auf Automatische Updates
- Windows Vista / 7: Start --> Systemsteuerung --> System und Sicherheit --> Automatische Updates aktivieren oder deaktivieren
Gehe sicher das die automatischen Updates aktiviert sind.
Software Updates
Installierte Software kann ebenfalls Sicherheitslücken haben, welche Malware nutzen kann, um dein System zu infizieren.
Um deine Installierte Software up to date zu halten, empfehle ich dir Secunia Online Software.

Anti- Viren Software

Gehe sicher immer eine Anti Viren Software installiert zu haben und das diese auch up to date ist. Es ist nämlich nutzlos wenn diese out of date sind.

Zusätzlicher Schutz

MalwareBytes Anti Malware
Dies ist eines der besten Anti-Malware Tools auf dem Markt. Es ist ein On- Demond Scan Tool welches viele aktuelle Malware erkennt und auch entfernt.
Update das Tool und lass es einmal in der Woche laufen. Die Kaufversion biete zudem noch einen Hintergrundwächter.
Ein Tutorial zur Verwendung findest Du hier.
WinPatrol
Diese Software macht einen Snapshot deines Systems und warnt dich vor eventuellen Änderungen. Downloade dir die Freeware Version von hier.

Sicheres Browsen

SpywareBlaster
Eine kurze Einführung findest du Hier
MVPs hosts file
Ein Tutorial findest Du hier. Leider habe ich bis jetzt kein deutschsprachiges gefunden.
WOT (Web of trust)
Dieses AddOn warnt Dich bevor Du eine als schädlich gemeldete Seite besuchst.

Alternative Browser

Andere Browser tendieren zu etwas mehr Sicherheit als der IE, da diese keine Active X Elemente verwenden. Diese können von Spyware zur Infektion deines Systems missbraucht werden.

Opera
Mozilla Firefox.
- Hinweis: Für diesen Browser habe ich hier ein paar nützliche Add Ons
- NoScript
  Dieses AddOn blockt JavaScript, Java and Flash und andere Plugins. Sie werden nur dann ausgeführt wenn Du es bestätigst.
- AdblockPlus
  Dieses AddOn blockt die meisten Werbung von selbst. Ein Rechtsklick auf den Banner um diesen zu AdBlockPlus hinzu zu fügen reicht und dieser wird nicht mehr geladen.
  Es spart ausserdem Downloadkapazität.

Performance
Bereinige regelmäßig deine Temp Files. Ich empfehle hierzu TFC
Halte dich fern von jedlichen Registry Cleanern.
Diese Schaden deinem System mehr als sie helfen. Hier ein paar ( englishe ) Links
Miekemoes Blogspot ( MVP )
Bill Castner ( MVP )

Don'ts

Klicke nicht auf alles, nur weil es Dich dazu auffordert und schön bunt ist.
Verwende keine peer to peer oder Filesharing Software (Emule, uTorrent,..)
Lass die Finger von Cracks, Keygens, Serials oder anderer illegaler Software.
Öffne keine Anhänge von Dir nicht bekannten Emails. Achte vor allem auf die Dateiendung wie zb deinFoto.jpg.exe.

Nun bleibt mir nur noch dir viel Spass beim sicheren Surfen zu wünschen.

Hinweis: Bitte gib mir eine kurze Rückmeldung wenn alles erledigt ist und keine Fragen mehr vorhanden sind, so dass ich dieses Thema aus meinen Abos löschen kann.

lophiomys · 04.02.2013, 12:12

Hallo Matthias,

Alles durchgeführt und MBAM Vollständiger Scan findet nichts.
IE10 und IE9 bleiben ein Problem, siehe unten.
Scheint alles erledigt.

Großes Danke und das SpendenLink haben ich auch entdeckt ...

lg
LoPhi

----------------------------
+ Adobe Reader 11 installiert
- Secunia beschwert sich über Macromedia Flash Player v4 .ocx -> Shockwave deinstalliert - Secunia ist zufrieden.
- Defender Echtzeit Scan deaktiviert
- IE10 deinstalliert via Programme Funktionen , Windows-Funktionen, via abhacken (IE9 scheint dort nicht auf)
- - IE10 lässt sich dort NICHT reinstallieren durch Anhaken und auch nicht via neu runtergelandenes Setup
- - Fehlermeldung: es ist eine neuere Version von IE10 installiert, Setup wird beendet
- IE9 64bit Win7 lässt sich nicht neu installieren, weil es angeblich schon installiert ist

- alte externe Sicherungen gelöscht und neue erstellt

OTL

Code:

ATTFilter

All processes killed
========== COMMANDS ==========
 
[EMPTYTEMP]
 
User: Administrator
->Temp folder emptied: 0 bytes
 
User: All Users
 
User: Default
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Default User
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
User: Firma Mazda
->Temp folder emptied: 11004555 bytes
->Temporary Internet Files folder emptied: 6667630 bytes
->Java cache emptied: 0 bytes
->FireFox cache emptied: 956948 bytes
->Google Chrome cache emptied: 30282069 bytes
->Flash cache emptied: 0 bytes
 
User: Public
->Temp folder emptied: 0 bytes
 
User: UpdatusUser
->Temp folder emptied: 0 bytes
->Temporary Internet Files folder emptied: 0 bytes
 
%systemdrive% .tmp files removed: 0 bytes
%systemroot% .tmp files removed: 0 bytes
%systemroot%\System32 .tmp files removed: 0 bytes
%systemroot%\System32 (64bit) .tmp files removed: 0 bytes
%systemroot%\System32\drivers .tmp files removed: 0 bytes
Windows Temp folder emptied: 90576 bytes
%systemroot%\sysnative\config\systemprofile\AppData\Local\Microsoft\Windows\Temporary Internet Files folder emptied: 0 bytes
%systemroot%\sysnative\config\systemprofile\AppData\LocalLow\Sun\Java\Deployment folder emptied: 0 bytes
RecycleBin emptied: 17203 bytes
 
Total Files Cleaned = 47,00 mb
 
 
OTL by OldTimer - Version 3.2.69.0 log created on 02042013_105336

Files\Folders moved on Reboot...
C:\Users\Firma Mazda\AppData\Local\Temp\FXSAPIDebugLogFile.txt moved successfully.
C:\Users\Firma Mazda\AppData\Local\Microsoft\Windows\Temporary Internet Files\counters.dat moved successfully.

PendingFileRenameOperations files...

Registry entries deleted on Reboot...

lophiomys · 04.02.2013, 12:39

Danke soweit funkt alles auch bei mir.

NACHTRAG OffTopic zum IE10:

Google hat mir geholfen und mir eine Microsoft Seite gezeigt.
"Wie installiere/deinstalliere ich Internet Explorer".

Man muss in Software bzw "Programme und Funktionen" "Installierte Updates anzeigen" um dann das IE10 Update zu deinstallieren. IE9 taucht dann von selbst wieder voll funktionsfähig auf.

HTH
LoPhi

Polizeitrojaner, Weißer Bildschirm, Kein Abgesicherter Modus, Windows 7

Plagegeister aller Art und deren Bekämpfung: Polizeitrojaner, Weißer Bildschirm, Kein Abgesicherter Modus, Windows 7