| |
| |||||||
Plagegeister aller Art und deren Bekämpfung: Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AHWindows 7 Wenn Du nicht sicher bist, ob Du dir Malware oder Trojaner eingefangen hast, erstelle hier ein Thema. Ein Experte wird sich mit weiteren Anweisungen melden und Dir helfen die Malware zu entfernen oder Unerwünschte Software zu deinstallieren bzw. zu löschen. Bitte schildere dein Problem so genau wie möglich. Sollte es ein Trojaner oder Viren Problem sein wird ein Experte Dir bei der Beseitigug der Infektion helfen. |
 |
15.10.2013, 19:46
| #1 |
 |  Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Nabend ihr, ich habe folgendes Problemchen bzw. Frage. Die oben genannten Viren wurden auf dem System gefunden. Worm: Win32/Ainslot.A Backdoor: PHP/C99shell.AH Diese Programme wurden bereits vom Scanner (Microsoft Security Essentials) entfernt: Weitere Scans ergaben keine Funde mehr. Ebenso wurde hxxp://www.microsoft.com/security/scanner/de-de/ als Scanner drüber laufen gelassen. Auch dieser zeigte keine Funde, nachdem Essentials diese Viren schon entfernt hat. Spybot S&D hatte hingegen keine schwerwiegenden Funde finden können. (Meist nur Cookies oder gewisse Einstellungen usw.) Nun ist die Frage: kann es was damit zu tun haben, dass ich einen Ordner namens C:/Windows/Temp/tmp00003857 nicht löschen kann? Mir wird hierbei gesagt, dass ich die Berechtigung von "Administratoren" benötige. Auf Dateirechte habe ich volle Berechtigungen für mich gesetzt. Trotzalledem lässt sich dieser Ordner nicht löschen. Der Inhalt ist eine Datei namens tmp00000000 , Größe: 0 Byte Wäre eine Neuinstallation des Systems erforderlich/ratsam oder kann man es dabei belassen, dass diese Sachen nun entfernt wurden? mit freundlichen Grüßen, 'Amara |
|
15.10.2013, 20:22
| #2 | |
| /// TB-Ausbilder   | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Hallo,
__________________das sind zu wenige Informationen, um was dazu sagen zu können. Zitat:
Zusätzlich: Wenn du deinen Rechner nach Malware untersuchen lassen willst, dann arbeite bitte diese Anleitung ab und poste die resultierenden Logfiles hier.
__________________ |
|
15.10.2013, 21:16
| #3 |
| | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Zur ersten Datei: wer auch immer diese Datei da drauf geladen hatte, ich habe diese entfernt. Das ist offensichtlich nen crack gewesen laut Essentials. Da das System von mehren benutzt wurde und somit solche Daten darauf kamen. Das ist nun nicht mehr der Fall, dass via Remote Dateien dort hochgeladen werden können.
__________________Schließlich sagte mir der Scanner ja solche Sachen an.. die dort geuploaded waren. da das Teil zumal nur "gepackt" war und auch nicht entpackt war/ist. Namen hatte ich aber zensiert... Code:
ATTFilter Microsoft Security Essentials:
Kategorie: Wurm
Beschreibung: Dieses Programm ist gefährlich. Es verbreitet sich selbst über eine Netzwerkverbindung.
Empfohlene Aktion: Entfernen Sie diese Software unverzüglich.
Elemente:
containerfile:D:\****\stuff\ps.zip
file:D:\****\stuff\ps.zip->Adobe Photoshop CS6 Extended/Adobe Photoshop CS6/PSCS6.exe
Kategorie: Hintertür
Beschreibung: Dieses Programm stellt einen Remotezugriff auf den Computer bereit, auf dem es installiert ist.
Empfohlene Aktion: Entfernen Sie diese Software unverzüglich.
Elemente:
file:C:\$Recycle.Bin\S-1-5-21-739940463-1581114137-497732456-500\$RDO52UH.tmp
Code:
ATTFilter Spybot S&D Log:
Search results from Spybot - Search & Destroy
13.10.2013 19:08:33
Scan took 00:23:59.
64 items found.
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\cdn.flashtalking.com\FT_cookie.sol
Properties.size=43
Properties.md5=5BD98BB813EEDA3C606E3671EE84AA76
Properties.filedate=1375967934
Properties.filedatetext=2013-08-08 15:18:54
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\data.meinbrutalo.de\lbcpl.sol
Properties.size=73
Properties.md5=29D757851D744E2EC168C9C6C9A592A2
Properties.filedate=1381000924
Properties.filedatetext=2013-10-05 21:22:04
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\de-uim.cdn.videoplaza.tv\com.videoplaza.adplayer.sol
Properties.size=132
Properties.md5=BFF5EA0B38549883A809AA7B8FF4C6F5
Properties.filedate=1378369730
Properties.filedatetext=2013-09-05 10:28:49
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\de-uim.cdn.videoplaza.tv\com.videoplaza.bootloader.sol
Properties.size=121
Properties.md5=65ABF52676D102EE0F0FF835C2815005
Properties.filedate=1378454903
Properties.filedatetext=2013-09-06 10:08:23
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\images-na.ssl-images-amazon.com\mercury.sol
Properties.size=69
Properties.md5=F59325BB931B1A0F98E923CCCBF41B31
Properties.filedate=1378454432
Properties.filedatetext=2013-09-06 10:00:32
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\secureinclude.ebaystatic.com\ebayLSO.sol
Properties.size=131
Properties.md5=FE28FD72BD08BF418BC5EEDD07F5291E
Properties.filedate=1376261291
Properties.filedatetext=2013-08-12 00:48:11
Macromedia.FlashPlayer.Cookies: [SBI $6AA61750] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\secureinclude.ebaystatic.com\ebayT.sol
Properties.size=39
Properties.md5=B43F43445AA3414DDC22EC80FBB22871
Properties.filedate=1376261291
Properties.filedatetext=2013-08-12 00:48:11
Macromedia.FlashPlayer.Cookies: [SBI $1EF45977] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\aa.online-metrix.net\fpc.swf\session.sol
Properties.size=76
Properties.md5=506A9CFD5D5D9A5384A30440CF163BC1
Properties.filedate=1377683665
Properties.filedatetext=2013-08-28 11:54:24
Macromedia.FlashPlayer.Cookies: [SBI $1EF45977] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\skype.com\#ui\preferences.sol
Properties.size=233
Properties.md5=4125223351E4007E99F4884F9A630CDC
Properties.filedate=1381492530
Properties.filedatetext=2013-10-11 13:55:30
Macromedia.FlashPlayer.Cookies: [SBI $5555F3D7] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\a.clookie.net\s\cl.swf\clstorage.sol
Properties.size=55
Properties.md5=CBA12781CD103AC57187943DE5E50D9A
Properties.filedate=1376261356
Properties.filedatetext=2013-08-12 00:49:15
Macromedia.FlashPlayer.Cookies: [SBI $5555F3D7] Text file (File, nothing done)
C:\Users\Administrator\AppData\Roaming\Macromedia\Flash Player\#SharedObjects\NDK2EERY\data.meinbrutalo.de\swf\uc.swf\m.sol
Properties.size=63
Properties.md5=CE146C691092ABD3E4E5517CAC7486E2
Properties.filedate=1381000924
Properties.filedatetext=2013-10-05 21:22:03
MediaPlex: [SBI $8E73A7FB] Tracking cookie (Internet Explorer (Benutzer): Administrator) (Browser: Cookie, nothing done)
MediaPlex: [SBI $8E73A7FB] Tracking cookie (Internet Explorer (Benutzer): Administrator) (Browser: Cookie, nothing done)
DoubleClick: [SBI $8E73A7FB] Tracking cookie (Internet Explorer (Benutzer): Administrator) (Browser: Cookie, nothing done)
DoubleClick: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
MediaPlex: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
CasaleMedia: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
CasaleMedia: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
CasaleMedia: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
CasaleMedia: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
CasaleMedia: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
DoubleClick: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
DoubleClick: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
Tradedoubler: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
Tradedoubler: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
Tradedoubler: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
MediaPlex: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
DoubleClick: [SBI $8E73A7FB] Tracking cookie (Firefox: Administrator (default)) (Browser: Cookie, nothing done)
Internet Explorer: [SBI $1E8157BE] Typed URL list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1001\Software\Microsoft\Internet Explorer\TypedURLs
Internet Explorer: [SBI $1E8157BE] Typed URL list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1002\Software\Microsoft\Internet Explorer\TypedURLs
Internet Explorer: [SBI $1E8157BE] Typed URL list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1004\Software\Microsoft\Internet Explorer\TypedURLs
Internet Explorer: [SBI $1E8157BE] Typed URL list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Internet Explorer\TypedURLs
Internet Explorer: [SBI $FF589D0C] Download directory (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Internet Explorer\Download Directory
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-19\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-20\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1001\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1002\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1004\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
Internet Explorer: [SBI $0BC7B918] User agent (Registry Change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings\User Agent
MS Management Console: [SBI $ECD50EAD] Recent command list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-1002\Software\Microsoft\Microsoft Management Console\Recent File List
MS Management Console: [SBI $ECD50EAD] Recent command list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Microsoft Management Console\Recent File List
MS Direct3D: [SBI $7FB7B83F] Most recent application (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Direct3D\MostRecentApplication\Name
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\.DEFAULT\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS Direct3D: [SBI $C2A44980] Most recent application (Registry Change, nothing done)
HKEY_USERS\S-1-5-18\Software\Microsoft\Direct3D\MostRecentApplication\Name
MS DirectDraw: [SBI $EB49D5AF] Most recent application (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\DirectDraw\MostRecentApplication\Name
MS DirectInput: [SBI $9A063C91] Most recent application (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\DirectInput\MostRecentApplication\Name
MS DirectInput: [SBI $7B184199] Most recent application ID (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\DirectInput\MostRecentApplication\Id
MS Paint: [SBI $07867C39] Recent file list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Applets\Paint\Recent File List
Windows: [SBI $1E4E2003] Drivers installation paths (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\Installation Sources
Windows: [SBI $1E4E2003] Drivers installation paths (Registry Change, nothing done)
HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Setup\Installation Sources
Windows Explorer: [SBI $7308A845] Run history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Explorer\RunMRU
Windows Explorer: [SBI $AA0766B5] Stream history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Explorer\StreamMRU
Windows Explorer: [SBI $D20DA0AD] Recent file global history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Explorer\RecentDocs
WinRAR: [SBI $0B56E92B] Recent file list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\WinRAR\ArcHistory
WinRAR: [SBI $A59A1C0A] Recent exe file list (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\WinRAR\DialogEditHistory\ArcName
WinRAR: [SBI $B84F9965] Last used directory (Registry Change, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\WinRAR\General\LastFolder
WinRAR: [SBI $B510882E] Extraction directory history (Registry Key, nothing done)
HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\Software\WinRAR\DialogEditHistory\ExtrPath
Cookie: [SBI $49804B54] Browser: Cookie (43) (Browser: Cookie, nothing done)
Cache: [SBI $49804B54] Browser: Cache (4) (Browser: Cache, nothing done)
Verlauf: [SBI $49804B54] Browser: History (24) (Browser: History, nothing done)
Cookie: [SBI $49804B54] Browser: Cookie (566) (Browser: Cookie, nothing done)
--- Spybot - Search & Destroy version: 2.1.18.131 DLL (build: 20130516) ---
2013-05-16 blindman.exe (2.1.18.151)
2013-05-16 explorer.exe (2.1.18.177)
2013-05-16 SDBootCD.exe (2.1.18.109)
2013-05-16 SDCleaner.exe (2.1.18.110)
2013-05-16 SDDelFile.exe (2.1.18.94)
2013-06-18 SDDisableProxy.exe
2013-05-16 SDFiles.exe (2.1.18.135)
2013-03-20 SDFileScanHelper.exe (2.1.16.1)
2013-05-16 SDFSSvc.exe (2.1.18.208)
2013-05-16 SDHookHelper.exe (2.1.18.2)
2013-05-16 SDHookInst32.exe (2.1.18.2)
2013-05-16 SDHookInst64.exe (2.1.18.2)
2013-05-16 SDImmunize.exe (2.1.18.130)
2013-05-16 SDLogReport.exe (2.1.18.107)
2013-05-16 SDOnAccess.exe (2.1.18.4)
2013-05-16 SDPESetup.exe (2.1.18.3)
2013-05-16 SDPEStart.exe (2.1.18.86)
2013-05-16 SDPhoneScan.exe (2.1.18.28)
2013-05-16 SDPRE.exe (2.1.18.22)
2013-05-16 SDPrepPos.exe (2.1.18.10)
2013-05-16 SDQuarantine.exe (2.1.18.103)
2013-05-16 SDRootAlyzer.exe (2.1.18.116)
2013-05-16 SDSBIEdit.exe (2.1.18.39)
2013-05-16 SDScan.exe (2.1.18.177)
2013-05-16 SDScript.exe (2.1.18.53)
2013-05-16 SDSettings.exe (2.1.18.136)
2013-05-16 SDShell.exe (2.1.18.2)
2013-05-16 SDShred.exe (2.1.18.107)
2013-05-16 SDSysRepair.exe (2.1.18.101)
2013-05-16 SDTools.exe (2.1.18.150)
2013-07-25 SDTray.exe (2.1.21.129)
2013-05-16 SDUpdate.exe (2.1.18.91)
2013-05-16 SDUpdSvc.exe (2.1.18.76)
2013-07-10 SDWelcome.exe (2.1.21.129)
2013-05-15 SDWSCSvc.exe (2.1.18.2)
2013-06-19 spybotsd2-translation-frx.exe
2013-10-13 unins000.exe (51.1052.0.0)
1999-12-02 xcacls.exe
2012-08-23 borlndmm.dll (10.0.2288.42451)
2012-09-05 DelZip190.dll (1.9.0.107)
2012-09-10 libeay32.dll (1.0.0.4)
2012-09-10 libssl32.dll (1.0.0.4)
2013-05-16 SDAdvancedCheckLibrary.dll (2.1.18.98)
2013-05-16 SDAV.dll
2013-05-16 SDECon32.dll (2.1.18.113)
2013-05-16 SDECon64.dll (2.1.18.113)
2013-04-05 SDEvents.dll (2.1.16.2)
2013-05-16 SDFileScanLibrary.dll (2.1.18.12)
2013-05-16 SDHook32.dll (2.1.18.2)
2013-05-16 SDHook64.dll (2.1.18.2)
2013-05-16 SDImmunizeLibrary.dll (2.1.18.2)
2013-05-16 SDLicense.dll (2.1.18.0)
2013-05-16 SDLists.dll (2.1.18.4)
2013-05-16 SDResources.dll (2.1.18.7)
2013-05-16 SDScanLibrary.dll (2.1.18.131)
2013-05-16 SDTasks.dll (2.1.18.15)
2013-05-16 SDWinLogon.dll (2.1.18.0)
2012-08-23 sqlite3.dll
2012-09-10 ssleay32.dll (1.0.0.4)
2013-05-16 Tools.dll (2.1.18.36)
2012-12-18 Includes\Adware.sbi (*)
2013-10-08 Includes\AdwareC.sbi (*)
2010-08-13 Includes\Cookies.sbi (*)
2012-11-14 Includes\Dialer.sbi (*)
2012-11-14 Includes\DialerC.sbi (*)
2012-11-14 Includes\HeavyDuty.sbi (*)
2012-11-14 Includes\Hijackers.sbi (*)
2012-11-14 Includes\HijackersC.sbi (*)
2013-09-10 Includes\iPhone.sbi (*)
2013-06-25 Includes\Keyloggers.sbi (*)
2012-12-18 Includes\KeyloggersC.sbi (*)
2013-05-29 Includes\Malware.sbi (*)
2013-10-01 Includes\MalwareC.sbi (*)
2012-11-14 Includes\PUPS.sbi (*)
2013-10-08 Includes\PUPSC.sbi (*)
2012-11-14 Includes\Security.sbi (*)
2012-11-14 Includes\SecurityC.sbi (*)
2013-05-22 Includes\Spyware.sbi (*)
2013-08-06 Includes\SpywareC.sbi (*)
2011-06-07 Includes\Tracks.sbi (*)
2012-11-19 Includes\Tracks.uti (*)
2013-01-16 Includes\Trojans.sbi (*)
2013-05-13 Includes\TrojansC-02.sbi (*)
2013-10-01 Includes\TrojansC-03.sbi (*)
2013-10-08 Includes\TrojansC-04.sbi (*)
2013-05-08 Includes\TrojansC-05.sbi (*)
2013-08-06 Includes\TrojansC.sbi (*)
Code:
ATTFilter Additional scan result of Farbar Recovery Scan Tool (x64) Version: 02-10-2013
Ran by Administrator at 2013-10-15 22:03:56
Running from C:\Users\Administrator\Desktop
Boot Mode: Normal
==========================================================
==================== Security Center ========================
|
|
15.10.2013, 21:57
| #4 |
| /// TB-Ausbilder | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Wenn FRST nicht will, dann scanne mit OTL: Lade dir bitte OTL (von Oldtimer) herunter und speichere es auf deinen Desktop.
__________________ cheers, Leo |
|
15.10.2013, 22:16
| #5 |
| | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Huhu, Die Public DNS Nameserver und der echte "Computername" sind zensiert, alles andere ist unverändert. Da es sich ja um einen Rechner im Internet handelt, ists da nichts mit privaten IP Adressbereich. Hier die gewünschten Logfiles. Beste Grüße, 'Amara Code:
ATTFilter OTL logfile created on: 15.10.2013 23:00:26 - Run 1 OTL by OldTimer - Version 3.2.69.0 Folder = C:\Users\Administrator\Desktop 64bit- Server Enterprise Edition (full installation) Service Pack 1 (Version = 6.1.7601) - Type = NTServer Internet Explorer (Version = 9.10.9200.16721) Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy 31,87 Gb Total Physical Memory | 24,93 Gb Available Physical Memory | 78,23% Memory free 63,73 Gb Paging File | 58,64 Gb Available in Paging File | 92,01% Paging File free Paging file location(s): ?:\pagefile.sys [binary data] %SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86) Drive C: | 390,53 Gb Total Space | 337,12 Gb Free Space | 86,32% Space Free | Partition Type: NTFS Drive D: | 325,20 Gb Total Space | 261,55 Gb Free Space | 80,43% Space Free | Partition Type: NTFS Drive F: | 1147,19 Gb Total Space | 1121,91 Gb Free Space | 97,80% Space Free | Partition Type: NTFS Drive G: | 488,28 Gb Total Space | 401,74 Gb Free Space | 82,28% Space Free | Partition Type: NTFS Drive H: | 732,42 Gb Total Space | 718,53 Gb Free Space | 98,10% Space Free | Partition Type: NTFS Drive I: | 642,31 Gb Total Space | 618,17 Gb Free Space | 96,24% Space Free | Partition Type: NTFS Computer Name: WIN-E1OT4NELV7J | User Name: Administrator | Logged in as Administrator. Boot Mode: Normal | Scan Mode: All users | Include 64bit Scans Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days ========== Processes (SafeList) ========== PRC - [2013.10.15 22:59:36 | 000,602,112 | ---- | M] (OldTimer Tools) -- C:\Users\Administrator\Desktop\OTL.exe PRC - [2013.09.30 23:02:59 | 000,274,840 | ---- | M] (Mozilla Corporation) -- C:\Program Files (x86)\Mozilla Firefox\firefox.exe PRC - [2013.08.07 21:25:38 | 008,301,568 | ---- | M] (FileZilla Project) -- C:\Users\Administrator\Desktop\FileZilla-3.7.3\filezilla.exe PRC - [2013.07.25 11:19:26 | 005,624,784 | ---- | M] (Safer-Networking Ltd.) -- C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe PRC - [2013.07.10 09:45:22 | 006,175,696 | ---- | M] (Safer-Networking Ltd.) -- C:\Program Files (x86)\Spybot - Search & Destroy 2\SDWelcome.exe PRC - [2013.05.16 10:57:36 | 003,456,464 | ---- | M] (Safer-Networking Ltd.) -- C:\Program Files (x86)\Spybot - Search & Destroy 2\SDLogReport.exe PRC - [2013.05.16 10:56:34 | 001,033,688 | ---- | M] (Safer-Networking Ltd.) -- C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdSvc.exe PRC - [2013.05.16 10:56:30 | 001,817,560 | ---- | M] (Safer-Networking Ltd.) -- C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe PRC - [2013.04.10 22:33:18 | 000,053,760 | ---- | M] (The PHP Group) -- C:\Program Files (x86)\PHP\v5.4\php-cgi.exe PRC - [2013.02.26 02:28:58 | 002,692,176 | ---- | M] (VMware, Inc.) -- C:\Program Files (x86)\VMware\VMware Player\vmplayer.exe PRC - [2013.02.26 02:28:58 | 000,188,496 | ---- | M] (VMware, Inc.) -- C:\Program Files (x86)\VMware\VMware Player\vmware-unity-helper.exe PRC - [2013.02.26 02:28:44 | 000,357,456 | ---- | M] (VMware, Inc.) -- C:\Windows\SysWOW64\vmnetdhcp.exe PRC - [2013.02.26 02:28:26 | 000,436,304 | ---- | M] (VMware, Inc.) -- C:\Windows\SysWOW64\vmnat.exe PRC - [2013.02.26 01:30:42 | 000,087,120 | ---- | M] (VMware, Inc.) -- C:\Program Files (x86)\VMware\VMware Player\vmware-authd.exe ========== Modules (No Company Name) ========== MOD - [2013.09.30 23:02:59 | 003,279,768 | ---- | M] () -- C:\Program Files (x86)\Mozilla Firefox\mozjs.dll MOD - [2013.08.07 21:25:38 | 000,018,207 | ---- | M] () -- C:\Users\Administrator\Desktop\FileZilla-3.7.3\mingwm10.dll MOD - [2013.05.16 10:55:28 | 000,161,112 | ---- | M] () -- C:\Program Files (x86)\Spybot - Search & Destroy 2\snlFileFormats150.bpl MOD - [2013.05.16 10:55:26 | 000,113,496 | ---- | M] () -- C:\Program Files (x86)\Spybot - Search & Destroy 2\snlThirdParty150.bpl MOD - [2013.05.16 10:55:24 | 000,416,600 | ---- | M] () -- C:\Program Files (x86)\Spybot - Search & Destroy 2\DEC150.bpl MOD - [2013.02.26 02:29:00 | 000,069,712 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\zlib1.dll MOD - [2013.02.26 02:28:52 | 001,260,624 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\libxml2.dll MOD - [2013.02.26 02:28:46 | 000,329,808 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\libcurl.dll MOD - [2013.02.26 02:28:26 | 000,146,000 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\liblber.dll MOD - [2013.02.26 02:28:10 | 000,123,984 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\libcds.dll MOD - [2013.02.26 02:28:04 | 000,319,056 | ---- | M] () -- C:\Program Files (x86)\VMware\VMware Player\libldap_r.dll ========== Services (SafeList) ========== SRV:64bit: - [2012.06.01 07:36:12 | 000,350,720 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Windows\SysNative\inetsrv\ftpsvc.dll -- (ftpsvc) SRV:64bit: - [2009.07.14 03:41:53 | 000,014,848 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\sacsvr.dll -- (sacsvr) SRV:64bit: - [2009.07.14 03:40:52 | 000,025,600 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\FCRegSvc.dll -- (FCRegSvc) SRV:64bit: - [2009.07.14 03:40:01 | 000,193,536 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\appmgmts.dll -- (AppMgmt) SRV:64bit: - [2009.07.14 03:39:56 | 000,010,752 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\inetsrv\WMSvc.exe -- (WMSVC) SRV:64bit: - [2009.07.14 03:39:31 | 000,091,648 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\SysNative\rsopprov.exe -- (RSoPProv) SRV - [2013.10.09 22:38:53 | 000,257,416 | ---- | M] (Adobe Systems Incorporated) [On_Demand | Stopped] -- C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe -- (AdobeFlashPlayerUpdateSvc) SRV - [2013.09.30 23:02:59 | 000,118,680 | ---- | M] (Mozilla Foundation) [On_Demand | Stopped] -- C:\Program Files (x86)\Mozilla Maintenance Service\maintenanceservice.exe -- (MozillaMaintenance) SRV - [2013.08.12 14:11:04 | 000,366,600 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Programme\Microsoft Security Client\NisSrv.exe -- (NisSrv) SRV - [2013.08.12 14:11:04 | 000,023,808 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Programme\Microsoft Security Client\MsMpEng.exe -- (MsMpSvc) SRV - [2013.07.25 08:52:52 | 000,162,672 | R--- | M] (Skype Technologies) [Auto | Stopped] -- C:\Program Files (x86)\Skype\Updater\Updater.exe -- (SkypeUpdate) SRV - [2013.03.01 03:48:58 | 000,118,520 | ---- | M] (Riverbed Technology, Inc.) [On_Demand | Stopped] -- C:\Program Files (x86)\WinPcap\rpcapd.exe -- (rpcapd) SRV - [2013.02.26 02:28:44 | 000,357,456 | ---- | M] (VMware, Inc.) [Auto | Running] -- C:\Windows\SysWOW64\vmnetdhcp.exe -- (VMnetDHCP) SRV - [2013.02.26 02:28:26 | 000,436,304 | ---- | M] (VMware, Inc.) [Auto | Running] -- C:\Windows\SysWOW64\vmnat.exe -- (VMware NAT Service) SRV - [2013.02.26 01:30:42 | 000,087,120 | ---- | M] (VMware, Inc.) [Auto | Running] -- C:\Program Files (x86)\VMware\VMware Player\vmware-authd.exe -- (VMAuthdService) SRV - [2012.10.11 16:15:30 | 000,918,680 | ---- | M] (VMware, Inc.) [Auto | Running] -- C:\Program Files (x86)\Common Files\VMware\USB\vmware-usbarbitrator64.exe -- (VMUSBArbService) SRV - [2010.11.21 05:24:58 | 000,397,824 | ---- | M] (Microsoft Corporation) [On_Demand | Running] -- C:\Windows\SysWOW64\inetsrv\iisw3adm.dll -- (WAS) SRV - [2010.11.21 05:24:58 | 000,397,824 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Windows\SysWOW64\inetsrv\iisw3adm.dll -- (W3SVC) SRV - [2010.11.21 05:24:58 | 000,061,440 | ---- | M] (Microsoft Corporation) [Auto | Running] -- C:\Windows\SysWOW64\inetsrv\apphostsvc.dll -- (AppHostSvc) SRV - [2009.06.10 23:23:09 | 000,066,384 | ---- | M] (Microsoft Corporation) [On_Demand | Stopped] -- C:\Windows\Microsoft.NET\Framework\v2.0.50727\mscorsvw.exe -- (clr_optimization_v2.0.50727_32) ========== Driver Services (SafeList) ========== DRV:64bit: - [2013.06.18 21:50:08 | 000,139,616 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\NisDrvWFP.sys -- (NisDrv) DRV:64bit: - [2013.03.01 03:49:12 | 000,036,600 | ---- | M] (Riverbed Technology, Inc.) [Kernel | Auto | Running] -- C:\Windows\SysNative\drivers\npf.sys -- (NPF) DRV:64bit: - [2013.02.26 02:28:48 | 000,067,664 | ---- | M] (VMware, Inc.) [Kernel | Auto | Running] -- C:\Windows\SysNative\drivers\vmx86.sys -- (vmx86) DRV:64bit: - [2013.02.26 02:28:14 | 000,030,800 | ---- | M] (VMware, Inc.) [Kernel | Auto | Running] -- C:\Windows\SysNative\drivers\vmnetuserif.sys -- (VMnetuserif) DRV:64bit: - [2013.02.26 02:27:48 | 000,045,720 | ---- | M] (VMware, Inc.) [Kernel | Auto | Running] -- C:\Windows\SysNative\drivers\vmnetbridge.sys -- (VMnetBridge) DRV:64bit: - [2013.02.26 02:27:48 | 000,020,120 | ---- | M] (VMware, Inc.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\vmnetadapter.sys -- (VMnetAdapter) DRV:64bit: - [2013.02.26 02:27:44 | 000,033,360 | ---- | M] (VMware, Inc.) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\VMkbd.sys -- (vmkbd) DRV:64bit: - [2013.01.11 19:02:34 | 000,064,624 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\HECIx64.sys -- (MEIx64) DRV:64bit: - [2012.12.27 02:26:12 | 000,805,088 | ---- | M] (Realtek ) [Kernel | On_Demand | Running] -- C:\Windows\SysNative\drivers\Rt64win7.sys -- (RTL8167) DRV:64bit: - [2012.10.24 14:17:14 | 000,070,296 | ---- | M] (VMware, Inc.) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\vsock.sys -- (vsock) DRV:64bit: - [2012.10.24 14:17:10 | 000,085,104 | ---- | M] (VMware, Inc.) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\vmci.sys -- (vmci) DRV:64bit: - [2012.10.11 16:15:32 | 000,052,376 | ---- | M] (VMware, Inc.) [Kernel | Auto | Running] -- C:\Windows\SysNative\drivers\hcmon.sys -- (hcmon) DRV:64bit: - [2012.10.11 16:15:06 | 000,037,680 | ---- | M] (VMware, Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\vmusb.sys -- (vmusb) DRV:64bit: - [2012.03.01 08:46:16 | 000,023,408 | ---- | M] (Microsoft Corporation) [Recognizer | Boot | Unknown] -- C:\Windows\SysNative\drivers\fs_rec.sys -- (Fs_Rec) DRV:64bit: - [2011.03.11 08:41:12 | 000,107,904 | ---- | M] (Advanced Micro Devices) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsata.sys -- (amdsata) DRV:64bit: - [2011.03.11 08:41:12 | 000,027,008 | ---- | M] (Advanced Micro Devices) [Kernel | Boot | Running] -- C:\Windows\SysNative\drivers\amdxata.sys -- (amdxata) DRV:64bit: - [2010.11.21 05:24:30 | 000,059,392 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbFlt.sys -- (TsUsbFlt) DRV:64bit: - [2010.11.21 05:24:00 | 000,181,760 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\Vid.sys -- (Vid) DRV:64bit: - [2010.11.21 05:24:00 | 000,120,320 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\storvsp.sys -- (storvsp) DRV:64bit: - [2010.11.21 05:24:00 | 000,078,720 | ---- | M] (Hewlett-Packard Company) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\HpSAMD.sys -- (HpSAMD) DRV:64bit: - [2010.11.21 05:24:00 | 000,071,168 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\dmvsc.sys -- (dmvsc) DRV:64bit: - [2010.11.21 05:24:00 | 000,031,232 | ---- | M] (Microsoft Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\TsUsbGD.sys -- (TsUsbGD) DRV:64bit: - [2009.07.14 03:52:20 | 000,194,128 | ---- | M] (AMD Technologies Inc.) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\amdsbs.sys -- (amdsbs) DRV:64bit: - [2009.07.14 03:48:04 | 000,065,600 | ---- | M] (LSI Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\lsi_sas2.sys -- (LSI_SAS2) DRV:64bit: - [2009.07.14 03:45:55 | 000,024,656 | ---- | M] (Promise Technology) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\stexstor.sys -- (stexstor) DRV:64bit: - [2009.07.14 03:45:45 | 000,096,320 | ---- | M] (Microsoft Corporation) [Kernel | Boot | Stopped] -- C:\Windows\SysNative\drivers\sacdrv.sys -- (sacdrv) DRV:64bit: - [2009.06.10 22:35:30 | 000,035,328 | ---- | M] (Intel Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\qd260x64.sys -- (ioatdma) DRV:64bit: - [2009.06.10 22:34:33 | 003,286,016 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\evbda.sys -- (ebdrv) DRV:64bit: - [2009.06.10 22:34:28 | 000,468,480 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\bxvbda.sys -- (b06bdrv) DRV:64bit: - [2009.06.10 22:34:23 | 000,270,848 | ---- | M] (Broadcom Corporation) [Kernel | On_Demand | Stopped] -- C:\Windows\SysNative\drivers\b57nd60a.sys -- (b57nd60a) DRV - [2013.10.11 21:13:34 | 000,028,656 | ---- | M] (Systems Internals) [Kernel | On_Demand | Stopped] -- C:\Users\Administrator\Desktop\sysinternal\PORTMSYS.SYS -- (PORTMON) DRV - [2009.07.14 03:19:10 | 000,019,008 | ---- | M] (Microsoft Corporation) [File_System | On_Demand | Stopped] -- C:\Windows\SysWOW64\drivers\wimmount.sys -- (WIMMount) ========== Standard Registry (SafeList) ========== ========== Internet Explorer ========== IE:64bit: - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} IE:64bit: - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC IE - HKLM\SOFTWARE\Microsoft\Internet Explorer\Main,Local Page = C:\Windows\SysWOW64\blank.htm IE - HKLM\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} IE - HKLM\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&FORM=IE8SRC IE - HKU\.DEFAULT\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 IE - HKU\S-1-5-18\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Page_URL = res://iesetup.dll/HardAdmin.htm IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\SOFTWARE\Microsoft\Internet Explorer\Main,Default_Secondary_Page_URL = IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\SOFTWARE\Microsoft\Internet Explorer\Main,Secondary Start Pages = IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\SOFTWARE\Microsoft\Internet Explorer\Main,Start Page = res://iesetup.dll/HardAdmin.htm IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\..\SearchScopes,DefaultScope = {0633EE93-D776-472f-A0FF-E1416B8B2E3A} IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\..\SearchScopes\{0633EE93-D776-472f-A0FF-E1416B8B2E3A}: "URL" = hxxp://www.bing.com/search?q={searchTerms}&src=IE-SearchBox&FORM=IE8SRC IE - HKU\S-1-5-21-739940463-1581114137-497732456-500\Software\Microsoft\Windows\CurrentVersion\Internet Settings: "ProxyEnable" = 0 ========== FireFox ========== FF - prefs.js..extensions.enabledAddons: %7B972ce4c6-7e08-4474-a285-3208198ce6fd%7D:24.0 FF - user.js - File not found FF:64bit: - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\system32\Macromed\Flash\NPSWF64_11_9_900_117.dll File not found FF - HKLM\Software\MozillaPlugins\@adobe.com/FlashPlayer: C:\Windows\SysWOW64\Macromed\Flash\NPSWF32_11_9_900_117.dll () FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 24.0\extensions\\Components: C:\Program Files (x86)\Mozilla Firefox\components FF - HKEY_LOCAL_MACHINE\software\mozilla\Mozilla Firefox 24.0\extensions\\Plugins: C:\Program Files (x86)\Mozilla Firefox\plugins [2013.08.06 18:46:36 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Administrator\AppData\Roaming\mozilla\Extensions [2013.10.10 15:55:14 | 000,000,000 | ---D | M] (No name found) -- C:\Users\Administrator\AppData\Roaming\mozilla\Firefox\Profiles\1mypwihd.default\extensions [2013.10.10 15:55:14 | 000,915,554 | ---- | M] () (No name found) -- C:\Users\Administrator\AppData\Roaming\mozilla\firefox\profiles\1mypwihd.default\extensions\{d10d0bf8-f5b5-c8b4-a8b2-2b9879e08c5d}.xpi [2013.09.30 23:02:56 | 000,000,000 | ---D | M] (No name found) -- C:\Program Files (x86)\mozilla firefox\browser\extensions [2013.09.30 23:02:59 | 000,000,000 | ---D | M] (Default) -- C:\Program Files (x86)\mozilla firefox\browser\extensions\{972ce4c6-7e08-4474-a285-3208198ce6fd} O1 HOSTS File: ([2009.06.10 23:00:26 | 000,000,824 | ---- | M]) - C:\Windows\SysNative\drivers\etc\hosts O4:64bit: - HKLM..\Run: [MSC] C:\Program Files\Microsoft Security Client\msseces.exe (Microsoft Corporation) O4 - HKLM..\Run: [SDTray] C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe (Safer-Networking Ltd.) O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktop = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: NoActiveDesktopChanges = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\Explorer: ShowSuperHidden = 1 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorAdmin = 5 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: ConsentPromptBehaviorUser = 3 O6 - HKLM\SOFTWARE\Microsoft\Windows\CurrentVersion\policies\System: disablecad = 0 O10:64bit: - Protocol_Catalog9\Catalog_Entries64\000000000011 - C:\Windows\SysNative\vsocklib.dll (VMware, Inc.) O10:64bit: - Protocol_Catalog9\Catalog_Entries64\000000000012 - C:\Windows\SysNative\vsocklib.dll (VMware, Inc.) O10 - Protocol_Catalog9\Catalog_Entries\000000000011 - C:\Windows\SysWOW64\vsocklib.dll (VMware, Inc.) O10 - Protocol_Catalog9\Catalog_Entries\000000000012 - C:\Windows\SysWOW64\vsocklib.dll (VMware, Inc.) O1364bit: - gopher Prefix: missing O13 - gopher Prefix: missing O17 - HKLM\System\CCS\Services\Tcpip\Parameters\Interfaces\{7EDD4B70-4401-4549-BF5C-AD6B3787D8E6}: NameServer = O18:64bit: - Protocol\Handler\skype4com - No CLSID value found O18 - Protocol\Handler\skype4com {FFC8B962-9B40-4DFF-9458-1830C7DD7F5D} - C:\PROGRA~2\COMMON~1\Skype\SKYPE4~1.DLL (Skype Technologies) O20:64bit: - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\explorer.exe (Microsoft Corporation) O20:64bit: - HKLM Winlogon: UserInit - (C:\Windows\system32\userinit.exe) - C:\Windows\SysNative\userinit.exe (Microsoft Corporation) O20 - HKLM Winlogon: Shell - (explorer.exe) - C:\Windows\SysWow64\explorer.exe (Microsoft Corporation) O20 - HKLM Winlogon: UserInit - (userinit.exe) - C:\Windows\SysWow64\userinit.exe (Microsoft Corporation) O20 - Winlogon\Notify\SDWinLogon: DllName - (SDWinLogon.dll) - File not found O21:64bit: - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found. O21 - SSODL: WebCheck - {E6FB5E20-DE35-11CF-9C87-00AA005127ED} - No CLSID value found. O32 - HKLM CDRom: AutoRun - 1 O34 - HKLM BootExecute: (autocheck autochk *) O35:64bit: - HKLM\..comfile [open] -- "%1" %* O35:64bit: - HKLM\..exefile [open] -- "%1" %* O35 - HKLM\..comfile [open] -- "%1" %* O35 - HKLM\..exefile [open] -- "%1" %* O37:64bit: - HKLM\...com [@ = comfile] -- "%1" %* O37:64bit: - HKLM\...exe [@ = exefile] -- "%1" %* O37 - HKLM\...com [@ = comfile] -- "%1" %* O37 - HKLM\...exe [@ = exefile] -- "%1" %* O38 - SubSystems\\Windows: (ServerDll=winsrv:UserServerDllInitialization,3) O38 - SubSystems\\Windows: (ServerDll=winsrv:ConServerDllInitialization,2) O38 - SubSystems\\Windows: (ServerDll=sxssrv,4) ========== Files/Folders - Created Within 30 Days ========== [2013.10.15 22:59:35 | 000,602,112 | ---- | C] (OldTimer Tools) -- C:\Users\Administrator\Desktop\OTL.exe [2013.10.15 21:56:22 | 000,000,000 | ---D | C] -- C:\FRST [2013.10.15 21:55:33 | 001,954,124 | ---- | C] (Farbar) -- C:\Users\Administrator\Desktop\FRST64.exe [2013.10.15 21:26:03 | 000,000,000 | ---D | C] -- C:\Users\Administrator\Documents\ProcAlyzer Dumps [2013.10.13 21:06:08 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Microsoft Security Client [2013.10.13 21:06:05 | 000,000,000 | ---D | C] -- C:\Program Files\Microsoft Security Client [2013.10.13 21:01:30 | 000,000,000 | ---D | C] -- C:\ProgramData\AVAST Software [2013.10.13 18:36:44 | 000,000,000 | ---D | C] -- C:\ProgramData\Spybot - Search & Destroy [2013.10.13 18:36:32 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot - Search & Destroy 2 [2013.10.13 18:36:26 | 000,017,272 | ---- | C] (Safer Networking Limited) -- C:\Windows\SysNative\sdnclean64.exe [2013.10.13 18:36:17 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Spybot - Search & Destroy 2 [2013.10.13 18:35:01 | 000,000,000 | ---D | C] -- C:\Users\Administrator\AppData\Local\Programs [2013.10.13 15:41:41 | 000,000,000 | ---D | C] -- C:\Users\Administrator\Desktop\TCPView [2013.10.11 21:12:01 | 000,000,000 | ---D | C] -- C:\Users\Administrator\Desktop\sysinternal [2013.10.11 20:48:03 | 000,000,000 | ---D | C] -- C:\Users\Administrator\AppData\Roaming\Wireshark [2013.10.11 20:33:47 | 000,000,000 | ---D | C] -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\WinPcap [2013.10.11 20:33:46 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\WinPcap [2013.10.11 20:32:57 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Wireshark [2013.10.09 19:05:24 | 000,526,336 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ieui.dll [2013.10.09 19:05:24 | 000,391,168 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ieui.dll [2013.10.09 19:05:23 | 000,136,704 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\iesysprep.dll [2013.10.09 19:05:23 | 000,109,056 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\iesysprep.dll [2013.10.09 19:05:23 | 000,089,600 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\RegisterIEPKEYs.exe [2013.10.09 19:05:23 | 000,071,680 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\RegisterIEPKEYs.exe [2013.10.09 19:05:23 | 000,067,072 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\iesetup.dll [2013.10.09 19:05:23 | 000,061,440 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\iesetup.dll [2013.10.09 19:05:23 | 000,051,712 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ie4uinit.exe [2013.10.09 19:05:23 | 000,039,936 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\iernonce.dll [2013.10.09 19:05:23 | 000,033,280 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\iernonce.dll [2013.10.09 19:05:22 | 000,855,552 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\jscript.dll [2013.10.09 19:05:22 | 000,690,688 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\jscript.dll [2013.10.09 19:05:22 | 000,603,136 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\msfeeds.dll [2013.10.09 19:05:21 | 003,959,296 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\jscript9.dll [2013.10.09 18:58:26 | 005,549,504 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ntoskrnl.exe [2013.10.09 18:58:26 | 003,969,472 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ntkrnlpa.exe [2013.10.09 18:58:26 | 000,878,080 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\advapi32.dll [2013.10.09 18:58:25 | 003,914,176 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ntoskrnl.exe [2013.10.09 18:58:25 | 001,732,032 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\ntdll.dll [2013.10.09 18:58:25 | 000,859,648 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\tdh.dll [2013.10.09 18:58:25 | 000,619,520 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\tdh.dll [2013.10.09 18:58:24 | 000,243,712 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\wow64.dll [2013.10.09 18:58:24 | 000,025,600 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\setup16.exe [2013.10.09 18:58:24 | 000,014,336 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\ntvdm64.dll [2013.10.09 18:58:24 | 000,007,680 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\instnm.exe [2013.10.09 18:58:24 | 000,005,120 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\wow32.dll [2013.10.09 18:58:24 | 000,002,048 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\user.exe [2013.10.09 18:58:18 | 000,076,800 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\drivers\hidclass.sys [2013.10.09 18:58:18 | 000,032,896 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\drivers\hidparse.sys [2013.10.09 18:58:16 | 000,633,856 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\comctl32.dll [2013.10.09 18:58:16 | 000,325,120 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\drivers\usbport.sys [2013.10.09 18:58:16 | 000,007,808 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\drivers\usbd.sys [2013.10.09 18:58:15 | 000,368,128 | ---- | C] (Adobe Systems Incorporated) -- C:\Windows\SysNative\atmfd.dll [2013.10.09 18:58:15 | 000,295,424 | ---- | C] (Adobe Systems Incorporated) -- C:\Windows\SysWow64\atmfd.dll [2013.10.09 18:58:15 | 000,100,864 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\fontsub.dll [2013.10.09 18:58:15 | 000,070,656 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysWow64\fontsub.dll [2013.10.09 18:58:15 | 000,046,080 | ---- | C] (Adobe Systems) -- C:\Windows\SysNative\atmlib.dll [2013.10.09 18:58:15 | 000,041,472 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\lpk.dll [2013.10.09 18:58:15 | 000,034,304 | ---- | C] (Adobe Systems) -- C:\Windows\SysWow64\atmlib.dll [2013.10.09 18:58:15 | 000,014,336 | ---- | C] (Microsoft Corporation) -- C:\Windows\SysNative\dciman32.dll [2013.10.04 00:11:33 | 000,000,000 | ---D | C] -- C:\Users\Administrator\Desktop\srv [2013.09.30 23:02:56 | 000,000,000 | ---D | C] -- C:\Program Files (x86)\Mozilla Firefox ========== Files - Modified Within 30 Days ========== [2013.10.15 22:59:36 | 000,602,112 | ---- | M] (OldTimer Tools) -- C:\Users\Administrator\Desktop\OTL.exe [2013.10.15 22:38:00 | 000,000,884 | ---- | M] () -- C:\Windows\tasks\Adobe Flash Player Updater.job [2013.10.15 22:06:25 | 000,377,856 | ---- | M] () -- C:\Users\Administrator\Desktop\zhc3czvi.exe [2013.10.15 21:55:36 | 001,954,124 | ---- | M] (Farbar) -- C:\Users\Administrator\Desktop\FRST64.exe [2013.10.15 21:44:35 | 000,000,000 | ---- | M] () -- C:\Users\Administrator\defogger_reenable [2013.10.15 21:44:10 | 000,050,477 | ---- | M] () -- C:\Users\Administrator\Desktop\Defogger.exe [2013.10.14 17:59:04 | 000,020,720 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-1.C7483456-A289-439d-8115-601632D005A0 [2013.10.14 17:59:04 | 000,020,720 | -H-- | M] () -- C:\Windows\SysNative\7B296FB0-376B-497e-B012-9C450E1B7327-5P-0.C7483456-A289-439d-8115-601632D005A0 [2013.10.14 17:57:49 | 001,604,236 | ---- | M] () -- C:\Windows\SysNative\PerfStringBackup.INI [2013.10.14 17:57:49 | 000,694,284 | ---- | M] () -- C:\Windows\SysNative\perfh007.dat [2013.10.14 17:57:49 | 000,643,574 | ---- | M] () -- C:\Windows\SysNative\perfh009.dat [2013.10.14 17:57:49 | 000,150,386 | ---- | M] () -- C:\Windows\SysNative\perfc007.dat [2013.10.14 17:57:49 | 000,122,316 | ---- | M] () -- C:\Windows\SysNative\perfc009.dat [2013.10.14 17:55:49 | 000,001,912 | ---- | M] () -- C:\Windows\epplauncher.mif [2013.10.14 17:52:50 | 000,067,584 | --S- | M] () -- C:\Windows\bootstat.dat [2013.10.13 18:36:32 | 000,001,381 | ---- | M] () -- C:\Users\Public\Desktop\Spybot-S&D Start Center.lnk [2013.10.09 22:38:53 | 000,692,616 | ---- | M] (Adobe Systems Incorporated) -- C:\Windows\SysWow64\FlashPlayerApp.exe [2013.10.09 22:38:53 | 000,071,048 | ---- | M] (Adobe Systems Incorporated) -- C:\Windows\SysWow64\FlashPlayerCPLApp.cpl [2013.10.09 22:04:02 | 000,267,384 | ---- | M] () -- C:\Windows\SysNative\FNTCACHE.DAT [2013.10.03 16:09:46 | 000,000,600 | ---- | M] () -- C:\Users\Administrator\AppData\Local\PUTTY.RND [2013.09.24 16:09:22 | 000,067,050 | ---- | M] () -- C:\Users\Administrator\Desktop\php.ini [2013.09.23 01:27:49 | 000,690,688 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\jscript.dll [2013.09.23 01:27:48 | 000,391,168 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\ieui.dll [2013.09.23 01:27:48 | 000,109,056 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\iesysprep.dll [2013.09.23 01:27:48 | 000,061,440 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\iesetup.dll [2013.09.23 01:27:48 | 000,033,280 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\iernonce.dll [2013.09.23 00:55:16 | 000,051,712 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\ie4uinit.exe [2013.09.23 00:54:55 | 000,603,136 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\msfeeds.dll [2013.09.23 00:54:51 | 003,959,296 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\jscript9.dll [2013.09.23 00:54:51 | 000,855,552 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\jscript.dll [2013.09.23 00:54:50 | 000,526,336 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\ieui.dll [2013.09.23 00:54:50 | 000,136,704 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\iesysprep.dll [2013.09.23 00:54:50 | 000,067,072 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\iesetup.dll [2013.09.23 00:54:50 | 000,039,936 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\iernonce.dll [2013.09.21 04:48:36 | 000,089,600 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysNative\RegisterIEPKEYs.exe [2013.09.21 04:39:47 | 000,071,680 | ---- | M] (Microsoft Corporation) -- C:\Windows\SysWow64\RegisterIEPKEYs.exe ========== Files Created - No Company Name ========== [2013.10.15 22:06:25 | 000,377,856 | ---- | C] () -- C:\Users\Administrator\Desktop\zhc3czvi.exe [2013.10.15 21:44:35 | 000,000,000 | ---- | C] () -- C:\Users\Administrator\defogger_reenable [2013.10.15 21:44:12 | 000,050,477 | ---- | C] () -- C:\Users\Administrator\Desktop\Defogger.exe [2013.10.13 21:06:26 | 000,001,912 | ---- | C] () -- C:\Windows\epplauncher.mif [2013.10.13 21:06:14 | 000,002,123 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Microsoft Security Essentials.lnk [2013.10.13 18:36:32 | 000,001,393 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Spybot-S&D Start Center.lnk [2013.10.13 18:36:32 | 000,001,381 | ---- | C] () -- C:\Users\Public\Desktop\Spybot-S&D Start Center.lnk [2013.10.11 20:33:07 | 000,001,750 | ---- | C] () -- C:\ProgramData\Microsoft\Windows\Start Menu\Programs\Wireshark.lnk [2013.10.09 22:05:14 | 000,000,884 | ---- | C] () -- C:\Windows\tasks\Adobe Flash Player Updater.job [2013.09.24 16:08:47 | 000,067,050 | ---- | C] () -- C:\Users\Administrator\Desktop\php.ini [2013.09.04 11:13:57 | 001,589,248 | ---- | C] () -- C:\Windows\SysWow64\libmysql_d.dll [2013.08.10 01:03:16 | 000,000,600 | ---- | C] () -- C:\Users\Administrator\AppData\Local\PUTTY.RND [2013.08.09 18:40:30 | 000,000,000 | ---- | C] () -- C:\Users\Administrator\ping [2013.08.07 09:52:59 | 001,490,960 | ---- | C] () -- C:\Windows\SysWow64\PerfStringBackup.INI [2013.08.06 21:26:04 | 000,007,607 | ---- | C] () -- C:\Users\Administrator\AppData\Local\Resmon.ResmonCfg [2013.03.01 03:47:36 | 000,053,299 | ---- | C] () -- C:\Windows\SysWow64\pthreadVC.dll ========== ZeroAccess Check ========== [2009.07.14 06:58:08 | 000,000,227 | RHS- | M] () -- C:\Windows\assembly\Desktop.ini [HKEY_CURRENT_USER\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64 [HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] [HKEY_CURRENT_USER\Software\Classes\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] /64 [HKEY_CURRENT_USER\Software\Classes\Wow6432node\clsid\{fbeb8a05-beee-4442-804e-409d6c4515e9}\InProcServer32] [HKEY_LOCAL_MACHINE\Software\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] /64 "" = C:\Windows\SysNative\shell32.dll -- [2013.07.26 04:24:57 | 014,172,672 | ---- | M] (Microsoft Corporation) "ThreadingModel" = Apartment [HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{42aedc87-2188-41fd-b9a3-0c966feabec1}\InProcServer32] "" = %SystemRoot%\system32\shell32.dll -- [2013.07.26 03:55:59 | 012,872,704 | ---- | M] (Microsoft Corporation) "ThreadingModel" = Apartment [HKEY_LOCAL_MACHINE\Software\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] /64 "" = C:\Windows\SysNative\wbem\fastprox.dll -- [2009.07.14 03:40:51 | 000,909,312 | ---- | M] (Microsoft Corporation) "ThreadingModel" = Free [HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{5839FCA9-774D-42A1-ACDA-D6A79037F57F}\InProcServer32] "" = %systemroot%\system32\wbem\fastprox.dll -- [2010.11.21 05:24:24 | 000,606,208 | ---- | M] (Microsoft Corporation) "ThreadingModel" = Free [HKEY_LOCAL_MACHINE\Software\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32] /64 "" = C:\Windows\SysNative\wbem\wbemess.dll -- [2009.07.14 03:41:56 | 000,505,856 | ---- | M] (Microsoft Corporation) "ThreadingModel" = Both [HKEY_LOCAL_MACHINE\Software\Wow6432Node\Classes\clsid\{F3130CDB-AA52-4C3A-AB32-85FFC23AF9C1}\InProcServer32] < End of report > Code:
ATTFilter OTL Extras logfile created on: 15.10.2013 23:00:26 - Run 1
OTL by OldTimer - Version 3.2.69.0 Folder = C:\Users\Administrator\Desktop
64bit- Server Enterprise Edition (full installation) Service Pack 1 (Version = 6.1.7601) - Type = NTServer
Internet Explorer (Version = 9.10.9200.16721)
Locale: 00000407 | Country: Deutschland | Language: DEU | Date Format: dd.MM.yyyy
31,87 Gb Total Physical Memory | 24,93 Gb Available Physical Memory | 78,23% Memory free
63,73 Gb Paging File | 58,64 Gb Available in Paging File | 92,01% Paging File free
Paging file location(s): ?:\pagefile.sys [binary data]
%SystemDrive% = C: | %SystemRoot% = C:\Windows | %ProgramFiles% = C:\Program Files (x86)
Drive C: | 390,53 Gb Total Space | 337,12 Gb Free Space | 86,32% Space Free | Partition Type: NTFS
Drive D: | 325,20 Gb Total Space | 261,55 Gb Free Space | 80,43% Space Free | Partition Type: NTFS
Drive F: | 1147,19 Gb Total Space | 1121,91 Gb Free Space | 97,80% Space Free | Partition Type: NTFS
Drive G: | 488,28 Gb Total Space | 401,74 Gb Free Space | 82,28% Space Free | Partition Type: NTFS
Drive H: | 732,42 Gb Total Space | 718,53 Gb Free Space | 98,10% Space Free | Partition Type: NTFS
Drive I: | 642,31 Gb Total Space | 618,17 Gb Free Space | 96,24% Space Free | Partition Type: NTFS
Computer Name: WIN-COMPUTERNAME | User Name: Administrator | Logged in as Administrator.
Boot Mode: Normal | Scan Mode: All users | Include 64bit Scans
Company Name Whitelist: Off | Skip Microsoft Files: Off | No Company Name Whitelist: On | File Age = 30 Days
========== Extra Registry (SafeList) ==========
========== File Associations ==========
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.html[@ = htmlfile] -- C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation)
.url[@ = InternetShortcut] -- C:\Windows\SysNative\rundll32.exe (Microsoft Corporation)
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<extension>]
.cpl [@ = cplfile] -- C:\Windows\SysWow64\control.exe (Microsoft Corporation)
.html [@ = htmlfile] -- C:\Program Files\Internet Explorer\iexplore.exe (Microsoft Corporation)
[HKEY_USERS\S-1-5-21-739940463-1581114137-497732456-500\SOFTWARE\Classes\<extension>]
.html [@ = FirefoxHTML] -- C:\Program Files (x86)\Mozilla Firefox\firefox.exe (Mozilla Corporation)
========== Shell Spawning ==========
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
exefile [open] -- "%1" %*
helpfile [open] -- Reg Error: Key error.
htmlfile [edit] -- Reg Error: Key error.
htmlfile [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
htmlfile [opennew] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "%systemroot%\system32\rundll32.exe" "%systemroot%\system32\mshtml.dll",PrintHTML "%1"
http [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
https [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
inffile [install] -- %SystemRoot%\System32\InfDefaultInstall.exe "%1" (Microsoft Corporation)
InternetShortcut [open] -- "C:\Windows\System32\rundll32.exe" "C:\Windows\System32\ieframe.dll",OpenURL %l (Microsoft Corporation)
InternetShortcut [print] -- "C:\Windows\System32\rundll32.exe" "C:\Windows\System32\mshtml.dll",PrintHTML "%1" (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [cmd] -- cmd.exe /s /k pushd "%V" (Microsoft Corporation)
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [explore] -- Reg Error: Value error.
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Applications\iexplore.exe [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} [OpenHomePage] -- "C:\Program Files\Internet Explorer\iexplore.exe" (Microsoft Corporation)
[HKEY_LOCAL_MACHINE\SOFTWARE\Classes\<key>\shell\[command]\command]
batfile [open] -- "%1" %*
cmdfile [open] -- "%1" %*
comfile [open] -- "%1" %*
cplfile [cplopen] -- %SystemRoot%\System32\control.exe "%1",%* (Microsoft Corporation)
exefile [open] -- "%1" %*
helpfile [open] -- Reg Error: Key error.
htmlfile [edit] -- Reg Error: Key error.
htmlfile [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
htmlfile [opennew] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
htmlfile [print] -- "%systemroot%\system32\rundll32.exe" "%systemroot%\system32\mshtml.dll",PrintHTML "%1"
http [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
https [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
inffile [install] -- %SystemRoot%\System32\InfDefaultInstall.exe "%1" (Microsoft Corporation)
piffile [open] -- "%1" %*
regfile [merge] -- Reg Error: Key error.
scrfile [config] -- "%1"
scrfile [install] -- rundll32.exe desk.cpl,InstallScreenSaver %l
scrfile [open] -- "%1" /S
txtfile [edit] -- Reg Error: Key error.
Unknown [openas] -- %SystemRoot%\system32\rundll32.exe %SystemRoot%\system32\shell32.dll,OpenAs_RunDLL %1
Directory [cmd] -- cmd.exe /s /k pushd "%V" (Microsoft Corporation)
Directory [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [open] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Folder [explore] -- Reg Error: Value error.
Drive [find] -- %SystemRoot%\Explorer.exe (Microsoft Corporation)
Applications\iexplore.exe [open] -- "C:\Program Files\Internet Explorer\iexplore.exe" %1 (Microsoft Corporation)
CLSID\{871C5380-42A0-1069-A2EA-08002B30309D} [OpenHomePage] -- Reg Error: Value error.
========== Security Center Settings ==========
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Security Center]
========== Firewall Settings ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\DomainProfile]
"EnableFirewall" = 1
"DisableNotifications" = 1
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile]
"EnableFirewall" = 1
"DisableNotifications" = 1
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\PublicProfile]
"EnableFirewall" = 1
"DisableNotifications" = 1
========== Authorized Applications List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\StandardProfile\AuthorizedApplications\List]
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe:*:Enabled:Spybot-S&D 2 Tray Icon -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe:*:Enabled:Spybot-S&D 2 Scanner Service -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdate.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdate.exe:*:Enabled:Spybot-S&D 2 Updater -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdSvc.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdSvc.exe:*:Enabled:Spybot-S&D 2 Background update service -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDTray.exe:*:Enabled:Spybot-S&D 2 Tray Icon -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe:*:Enabled:Spybot-S&D 2 Scanner Service -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdate.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdate.exe:*:Enabled:Spybot-S&D 2 Updater -- (Safer-Networking Ltd.)
"C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdSvc.exe" = C:\Program Files (x86)\Spybot - Search & Destroy 2\SDUpdSvc.exe:*:Enabled:Spybot-S&D 2 Background update service -- (Safer-Networking Ltd.)
========== Vista Active Open Ports Exception List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
========== Vista Active Application Exception List ==========
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Services\SharedAccess\Parameters\FirewallPolicy\FirewallRules]
"{1AC5C32E-3B4A-4EE8-A6E2-9A557BE8C8E8}" = dir=in | app=c:\program files (x86)\vmware\vmware player\vmware-authd.exe |
"{28D1ADC8-5886-4100-A3EF-9CB6D844A33F}" = dir=in | app=c:\program files (x86)\skype\phone\skype.exe |
"{9DD1CC26-E501-4C90-AF20-C7E688279388}" = dir=in | app=c:\program files (x86)\vmware\vmware player\vmware-authd.exe |
========== HKEY_LOCAL_MACHINE Uninstall List ==========
64bit: [HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{16C7D2AD-20CA-491E-80BC-8607A9AACED9}" = Microsoft Web Platform Installer 4.6
"{49D665A2-4C2A-476E-9AB8-FCC425F526FC}" = Microsoft SQL Server 2012 Native Client
"{4B6C7001-C7D6-3710-913E-5BC23FCE91E6}" = Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.4148
"{5FCE6D76-F5DC-37AB-B2B8-22AB8CEDB1D4}" = Microsoft Visual C++ 2008 Redistributable - x64 9.0.30729.6161
"{8D26D58C-3464-4C03-BB61-5695F984EFEF}" = Microsoft Security Client
"{E452E727-86B8-4233-8CC3-41FD817AFAFF}" = VMware Player
"{E851486F-1FE2-44F0-85ED-F969088A68EE}" = PHP Manager 1.2 for IIS 7
"{EB675D0A-2C95-405B-BEE8-B42A65D23E11}" = IIS-URL-Rewrite-Modul 2
"Microsoft Security Client" = Microsoft Security Essentials
"WinRAR archiver" = WinRAR 4.20 (64-Bit)
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\Uninstall]
"{003BFBBD-6C67-419E-A24D-0DCAFC3A5249}" = tools-freebsd
"{197597A7-AD33-4898-9D8E-73066818B464}" = tools-netware
"{1F1C2DFC-2D24-3E06-BCB8-725134ADF989}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.4148
"{4E76FF7E-AEBA-4C87-B788-CD47E5425B9D}" = Skype™ 6.7
"{8833FFB6-5B0C-4764-81AA-06DFEED9A476}" = Realtek Ethernet Controller Driver
"{9BE518E6-ECC6-35A9-88E4-87755C07200F}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.30729.6161
"{AB1C87CB-1807-4CF0-B4C2-CEE14C18CDB4}" = tools-solaris
"{AE0F62A7-A1A2-407F-9F4C-48939BD9AD8D}" = tools-winPre2k
"{B4092C6D-E886-4CB2-BA68-FE5A99D31DE7}_is1" = Spybot - Search & Destroy
"{D102611A-6466-4101-A51D-51069303AC65}" = tools-linux
"{F0C3E5D1-1ADE-321E-8167-68EF0DE699A5}" = Microsoft Visual C++ 2010 x86 Redistributable - 10.0.40219
"{FF66E9F6-83E7-3A3E-AF14-8DE9A809A6A4}" = Microsoft Visual C++ 2008 Redistributable - x86 9.0.21022
"{FFD9383C-01D5-4897-A954-43AF599AED30}" = tools-windows
"Adobe Flash Player Plugin" = Adobe Flash Player 11 Plugin
"Mozilla Firefox 24.0 (x86 de)" = Mozilla Firefox 24.0 (x86 de)
"MozillaMaintenanceService" = Mozilla Maintenance Service
"Notepad++" = Notepad++
"PremiumSoft Navicat Premium_is1" = PremiumSoft Navicat Premium 9.0
"VMware_Player" = VMware Player
"WinPcapInst" = WinPcap 4.1.3
"Wireshark" = Wireshark 1.10.2 (32-bit)
========== Last 20 Event Log Errors ==========
[ Application Events ]
Error - 28.08.2013 07:56:00 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: w3wp.exe, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7afa2 Name des fehlerhaften Moduls: iisfcgi.dll, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7c6cb Ausnahmecode: 0xc0000005 Fehleroffset: 0x00000000000079f2
ID
des fehlerhaften Prozesses: 0x9010 Startzeit der fehlerhaften Anwendung: 0x01cea3b0add4733b
Pfad
der fehlerhaften Anwendung: c:\windows\system32\inetsrv\w3wp.exe Pfad des fehlerhaften
Moduls: C:\Windows\System32\inetsrv\iisfcgi.dll Berichtskennung: cdba4181-0fd8-11e3-8727-005056c00008
Error - 28.08.2013 07:56:00 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: w3wp.exe, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7afa2 Name des fehlerhaften Moduls: iisfcgi.dll, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7c6cb Ausnahmecode: 0xc0000005 Fehleroffset: 0x00000000000079f2
ID
des fehlerhaften Prozesses: 0x92fc Startzeit der fehlerhaften Anwendung: 0x01cea3c4e5c831e0
Pfad
der fehlerhaften Anwendung: c:\windows\system32\inetsrv\w3wp.exe Pfad des fehlerhaften
Moduls: C:\Windows\System32\inetsrv\iisfcgi.dll Berichtskennung: cdba1a71-0fd8-11e3-8727-005056c00008
Error - 31.08.2013 17:55:16 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: w3wp.exe, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7afa2 Name des fehlerhaften Moduls: iisfcgi.dll, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7c6cb Ausnahmecode: 0xc0000005 Fehleroffset: 0x00000000000079f2
ID
des fehlerhaften Prozesses: 0x6c2c Startzeit der fehlerhaften Anwendung: 0x01cea5ff01ba2336
Pfad
der fehlerhaften Anwendung: c:\windows\system32\inetsrv\w3wp.exe Pfad des fehlerhaften
Moduls: C:\Windows\System32\inetsrv\iisfcgi.dll Berichtskennung: 04f96485-1288-11e3-8727-005056c00008
Error - 31.08.2013 17:55:16 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: w3wp.exe, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7afa2 Name des fehlerhaften Moduls: iisfcgi.dll, Version: 7.5.7601.17514,
Zeitstempel: 0x4ce7c6cb Ausnahmecode: 0xc0000005 Fehleroffset: 0x00000000000079f2
ID
des fehlerhaften Prozesses: 0x4d24 Startzeit der fehlerhaften Anwendung: 0x01cea63e4810cc8e
Pfad
der fehlerhaften Anwendung: c:\windows\system32\inetsrv\w3wp.exe Pfad des fehlerhaften
Moduls: C:\Windows\System32\inetsrv\iisfcgi.dll Berichtskennung: 04f98b95-1288-11e3-8727-005056c00008
Error - 07.09.2013 14:47:11 | Computer Name = WIN-COMPUTERNAME | Source = Winlogon | ID = 4005
Description = Der Windows-Anmeldeprozess wurde unerwartet beendet.
Error - 12.09.2013 02:17:03 | Computer Name = WIN-COMPUTERNAME | Source = WinMgmt | ID = 10
Description =
Error - 09.10.2013 16:05:35 | Computer Name = WIN-COMPUTERNAME | Source = WinMgmt | ID = 10
Description =
Error - 11.10.2013 14:46:47 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: Wireshark.exe, Version: 1.10.2.51934,
Zeitstempel: 0x522f538a Name des fehlerhaften Moduls: libglib-2.0-0.dll, Version:
2.34.1.0, Zeitstempel: 0x508d9c4f Ausnahmecode: 0x40000015 Fehleroffset: 0x00052a65
ID
des fehlerhaften Prozesses: 0x2fcc Startzeit der fehlerhaften Anwendung: 0x01cec6b0776c3b53
Pfad
der fehlerhaften Anwendung: C:\Program Files (x86)\Wireshark\Wireshark.exe Pfad
des fehlerhaften Moduls: C:\Program Files (x86)\Wireshark\libglib-2.0-0.dll Berichtskennung:
7af0a4a6-32a5-11e3-b599-005056c00008
Error - 12.10.2013 12:16:33 | Computer Name = WIN-COMPUTERNAME | Source = Application Error | ID = 1000
Description = Name der fehlerhaften Anwendung: Wireshark.exe, Version: 1.10.2.51934,
Zeitstempel: 0x522f538a Name des fehlerhaften Moduls: libglib-2.0-0.dll, Version:
2.34.1.0, Zeitstempel: 0x508d9c4f Ausnahmecode: 0x40000015 Fehleroffset: 0x00052a65
ID
des fehlerhaften Prozesses: 0x10cc Startzeit der fehlerhaften Anwendung: 0x01cec7647743450d
Pfad
der fehlerhaften Anwendung: C:\Program Files (x86)\Wireshark\Wireshark.exe Pfad
des fehlerhaften Moduls: C:\Program Files (x86)\Wireshark\libglib-2.0-0.dll Berichtskennung:
a887220d-3359-11e3-b599-005056c00008
Error - 14.10.2013 11:54:41 | Computer Name = WIN-COMPUTERNAME | Source = WinMgmt | ID = 10
Description =
[ System Events ]
Error - 13.10.2013 16:28:57 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker Canon iP2700 series erforderliche Treiber Canon
iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den Treiber
zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 16:28:58 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker !!MANU-I7!Canon iP2700 series erforderliche Treiber
Canon iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den
Treiber zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 16:50:25 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker Canon iP2700 series erforderliche Treiber Canon
iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den Treiber
zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 16:50:25 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker !!MANU-I7!Canon iP2700 series erforderliche Treiber
Canon iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den
Treiber zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 16:54:51 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker !!MANU-I7!Canon iP2700 series erforderliche Treiber
Canon iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den
Treiber zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 16:54:51 | Computer Name = WIN-COMPUTERNAME | Source = UmrdpService | ID = 1111
Description = Der für den Drucker Canon iP2700 series erforderliche Treiber Canon
iP2700 series ist unbekannt. Wenden Sie sich an den Administrator, um den Treiber
zu installieren, bevor Sie sich erneut anmelden.
Error - 13.10.2013 19:34:28 | Computer Name = WIN-COMPUTERNAME | Source = TermDD | ID = 655410
Description =
Error - 13.10.2013 19:43:52 | Computer Name = WIN-COMPUTERNAME | Source = Schannel | ID = 36888
Description = Es wurde eine schwerwiegende Warnung generiert: 10. Der interne Fehlerstatus
lautet: 1203.
Error - 13.10.2013 19:44:00 | Computer Name = WIN-COMPUTERNAME | Source = Schannel | ID = 36888
Description = Es wurde eine schwerwiegende Warnung generiert: 10. Der interne Fehlerstatus
lautet: 1203.
Error - 13.10.2013 20:54:42 | Computer Name = WIN-COMPUTERNAME | Source = TermDD | ID = 655410
Description =
< End of report >
|
|
17.10.2013, 16:37
| #6 | |
| /// TB-Ausbilder | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Sorry für die Verzögerung. Zitat:
Unsere Tools sind nicht wirklich auf Server ausgerichtet..
__________________ --> Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH |
|
17.10.2013, 16:45
| #7 |
| | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Huhu, nein, hier handelt es sich nicht um gewerbliche Nutzung. Da wär die Sache noch heikler, verständlich. Es ist ein rein privates System, was privat genutzt wird. Einen Gmer.log kann ich auch noch nachreichen, falls noch gefordert, da dies ja ohne "Netzwerkverbindung und aktive Scanner" gewünscht war. Grüße 'Amara Code:
ATTFilter GMER 2.1.19163 - hxxp://www.gmer.net
Rootkit scan 2013-10-16 16:16:18
Windows 6.1.7601 Service Pack 1 x64 \Device\Harddisk0\DR0 -> \Device\Ide\IdeDeviceP0T0L0-0 ST2000NM0033-9ZM175 rev.SN03 1863,02GB
Running: cg5qo4qg.exe; Driver: C:\Users\ADMINI~1\AppData\Local\Temp\2\fxgorpod.sys
---- User code sections - GMER 2.1 ----
.text C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe[1360] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 69 00000000761e1465 2 bytes [1E, 76]
.text C:\Program Files (x86)\Spybot - Search & Destroy 2\SDFSSvc.exe[1360] C:\Windows\syswow64\psapi.dll!GetModuleInformation + 155 00000000761e14bb 2 bytes [1E, 76]
.text ... * 2
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathW + 26 0000000074d913c6 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathW + 74 0000000074d913f6 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathW + 257 0000000074d914ad 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathW + 303 0000000074d914db 2 bytes [D9, 74]
.text ... * 2
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathA + 79 0000000074d91577 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathA + 175 0000000074d915d7 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathA + 620 0000000074d91794 2 bytes [D9, 74]
.text C:\Windows\SysWOW64\vmnat.exe[1644] C:\Windows\SysWOW64\SHFOLDER.dll!SHGetFolderPathA + 921 0000000074d918c1 2 bytes [D9, 74]
.text C:\Program Files (x86)\VMware\VMware Player\vmware-authd.exe[1880] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 69 00000000761e1465 2 bytes [1E, 76]
.text C:\Program Files (x86)\VMware\VMware Player\vmware-authd.exe[1880] C:\Windows\syswow64\PSAPI.DLL!GetModuleInformation + 155 00000000761e14bb 2 bytes [1E, 76]
.text ... * 2
---- EOF - GMER 2.1 ----
|
|
17.10.2013, 16:56
| #8 |
| /// TB-Ausbilder | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Ich wusste gar nicht, dass man Enterprise-Lizenzen erhält für den Privatgebrauch.. Schritt 1 Downloade Dir bitte  Malwarebytes Anti-Malware
Schritt 2 ESET Online Scanner
__________________ cheers, Leo |
|
17.10.2013, 18:51
| #9 |
| | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Huhu, keine Funde von den beiden Scannern entdeckt. Grüße, 'Amara Code:
ATTFilter Malwarebytes Anti-Malware (Test) 1.75.0.1300 www.malwarebytes.org Datenbank Version: v2013.10.17.06 Windows Server 2008 R2 Service Pack 1 x64 NTFS Internet Explorer 10.0.9200.16721 Administrator :: WIN-E1OT4NELV7J [Administrator] Schutz: Aktiviert 17.10.2013 18:11:01 mbam-log-2013-10-17 (18-11-01).txt Art des Suchlaufs: Quick-Scan Aktivierte Suchlaufeinstellungen: Speicher | Autostart | Registrierung | Dateisystem | Heuristiks/Extra | HeuristiKs/Shuriken | PUP | PUM Deaktivierte Suchlaufeinstellungen: P2P Durchsuchte Objekte: 243349 Laufzeit: 2 Minute(n), 10 Sekunde(n) Infizierte Speicherprozesse: 0 (Keine bösartigen Objekte gefunden) Infizierte Speichermodule: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungsschlüssel: 0 (Keine bösartigen Objekte gefunden) Infizierte Registrierungswerte: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateiobjekte der Registrierung: 0 (Keine bösartigen Objekte gefunden) Infizierte Verzeichnisse: 0 (Keine bösartigen Objekte gefunden) Infizierte Dateien: 0 (Keine bösartigen Objekte gefunden) (Ende) Code:
ATTFilter ESETSmartInstaller@High as downloader log:
all ok
# version=8
# OnlineScannerApp.exe=1.0.0.1
# OnlineScanner.ocx=1.0.0.6920
# api_version=3.0.2
# EOSSerial=90ca98f17f4bc743af901b0fc107fc06
# engine=15524
# end=finished
# remove_checked=false
# archives_checked=true
# unwanted_checked=false
# unsafe_checked=false
# antistealth_checked=true
# utc_time=2013-10-17 05:42:15
# local_time=2013-10-17 07:42:15 (+0100, Mitteleuropäische Sommerzeit)
# country="Germany"
# lang=1033
# osver=6.1.7601 NT Service Pack 1
# compatibility_mode=5892 16777213 88 94 265598 10446727 0 0
# scanned=108878
# found=0
# cleaned=0
# scan_time=5160
|
|
17.10.2013, 20:07
| #10 |
| /// TB-Ausbilder | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Ok. Cleanup Zum Schluss werden wir jetzt noch unsere Tools (inklusive der Quarantäne-Ordner) wegräumen, die verseuchten Systemwiederherstellungspunkte löschen und alle Einstellungen wieder herrichten. Auch diese Schritte sind noch wichtig und sollten in der angegebenen Reihenfolge ausgeführt werden.
>> OK << Wir sind durch, deine Logs sehen für mich im Moment sauber aus.  Ich habe dir nachfolgend ein paar Hinweise und Tipps zusammengestellt, die dazu beitragen sollen, dass du in Zukunft unsere Hilfe nicht mehr brauchen wirst. Bitte gib mir danach noch eine kurze Rückmeldung, wenn auch von deiner Seite keine Probleme oder Fragen mehr offen sind, damit ich dieses Thema als erledigt betrachten kann. Epilog: Tipps, Dos & Don'ts  Aktualität von System und SoftwareDas Betriebsystem Windows muss zwingend immer auf dem neusten Stand sein. Stelle sicher, dass die automatischen Updates aktiviert sind:
Auch die installierte Software sollte immer in der aktuellsten Version vorliegen. Speziell gilt das für den Browser, Java, Flash-Player und PDF-Reader, denn bekannte Sicherheitslücken in deren alten Versionen werden dazu ausgenutzt, um beim blossen Besuch einer präparierten Website per Drive-by Download Malware zu installieren. Das kann sogar auf normalerweise legitimen Websites geschehen, wenn es einem Angreifer gelungen ist, seinen Code in die Seite einzuschleusen, und ist deshalb relativ unberechenbar.
Sicherheits-SoftwareEine Bemerkung vorneweg: Jede Softwarelösung hat ihre Schwächen. Die gesamte Verantwortung für die Sicherheit auf Software zu übertragen und einen Rundum-Schutz zu erwarten, wäre eine gefährliche Illusion. Bei unbedachtem oder bewusst risikoreichem Verhalten wird auch das beste Programm früher oder später seinen Dienst versagen (z.B. ein Virenscanner, der eine verseuchte Datei nicht erkennt). Trotzdem ist entsprechende Software natürlich wichtig und hilft dir in Kombination mit einem gut gewarteten (up-to-date) System und durchdachtem Verhalten, deinen Rechner sauber zu halten.
Es liegt in der Natur der Sache, dass die am weitesten verbreitete Anwendungs-Software auch am häufigsten von Malware-Autoren attackiert wird. Es kann daher bereits einen kleinen Sicherheitsgewinn darstellen, wenn man alternative Software (z.B. einen alternativen PDF Reader) benutzt. Anstelle des Internet Explorers kann man beispielsweise den Mozilla Firefox einsetzen, für welchen es zwei nützliche Addons zur Empfehlung gibt:
(Un-)Sicheres Verhalten im InternetNebst unbemerkten Drive-by Installationen wird Malware aber auch oft mehr oder weniger aktiv vom Benutzer selbst installiert. Der Besuch zwielichtiger Websites kann bereits Risiken bergen. Und Downloads aus dubiosen Quellen sind immer russisches Roulette. Auch wenn der Virenscanner im Moment darin keine Bedrohung erkennt, muss das nichts bedeuten.
Oft wird auch versucht, den Benutzer mit mehr oder weniger trickreichen Methoden dazu zu bringen, eine für ihn verhängnisvolle Handlung selbst auszuführen (Überbegriff Social Engineering).
Nervige Adware (Werbung) und unnötige Toolbars werden auch meist durch den Benutzer selbst mitinstalliert.
Allgemeine HinweiseAbschliessend noch ein paar grundsätzliche Bemerkungen:
Wenn du möchtest, kannst du das Forum mit einer kleinen Spende unterstützen. Es bleibt mir nur noch, dir unbeschwertes und sicheres Surfen zu wünschen und dass wir uns hier so bald nicht wiedersehen. 
__________________ cheers, Leo |
|
17.10.2013, 20:47
| #11 |
| | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Ich bedanke mich recht herzlich bei aharonov für die Zeit und erweiterte Untersuchung beim System! Dieses Forum ist jedenfalls für Anfänger als auch fortgeschrittene zu empfehlen, auch alleine um mal eine Zweitmeinung zum Stand des Systems zu bekommen, falls eine Infektion vorhanden war und man nochmal tiefer nachgucken möchte! Auch wenn der andere Scanner bereits alles vernichtet hat, man kann ja nie sicher sein, ob sich woanders noch was eingenistet hat :> Ihr habt so wie ich sehe eine recht gute Routine in der Prüfschematik drin, was euch auch zum ausgezeichneten Forum macht! Macht weiter so! Grüße, 'Amara |
|
17.10.2013, 21:02
| #12 |
| /// TB-Ausbilder | Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH Danke für die Rückmeldung! Freut mich, dass wir helfen konnten.  Falls du dem Forum noch Verbesserungsvorschläge, Kritik oder ein Lob mitgeben möchtest, kannst du das hier tun. Dieses Thema scheint erledigt und wird aus meinen Abos gelöscht. Ich bekomme somit keine Benachrichtigung mehr über neue Antworten. Solltest du das Thema erneut brauchen, schicke mir bitte eine PM und wir machen hier weiter. Jeder andere bitte diese Anleitung lesen und einen eigenen Thread erstellen.
__________________ cheers, Leo |
|
| Themen zu Worm: Win32/Ainslot.A / Backdoor:PHP/C99shell.AH |
| backdoor, backdoor:php/c99shell.ah, cookies, cs6/pscs6.exe, einstellungen, entfernt, folge, folgendes, löschen, microsoft, neuinstallation, nicht löschen, php/c99shell.ah, problemchen, programme, sachen, scan, scanner, security, system, tmp00000000, viren, win, win32/ainslot.a, worm, worm: win32/ainslot.a |
Linear-Darstellung
