W32/Confick-O Datei rkqunq.z in System32

schrauber · 02.06.2015, 08:50

Zitat:

Nein, es sind alles andere Benutzer.

Und das ist genau das was ich meine. Wenn das Profil auf dem DC für diesen Benutzer die Malware gespeichert hat, kannste bereinigen was Du willst. reboot, Login, profil vom Server holen, und Malware ist wieder da.

peinedaniel · 02.06.2015, 08:52

Ja, das ist richtig, aber jetzt versuchen wir ja den DC zu bereinigen.

cosinus · 02.06.2015, 21:54

@schrauber: noch ne Idee warum das Teil immer wieder in system32 respawned auf dem DC?

@peinedaniel: Ihr habt auch ganz sicher nur diesen DC oder ist da irgendwo noch ein anderer?

schrauber · 03.06.2015, 06:05

Addition.txt

Zitat:

Task: {23A85B93-D5D1-4B85-8B7A-9FAE1695F78F} - System32\Tasks\At6 => Rundll32.exe daewte.wo,tvypf <==== ATTENTION
Task: {4D9E4576-618A-4D71-A83C-219A4A674637} - System32\Tasks\Adobe Flash Player Updater => C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe [2015-04-15] (Adobe Systems Incorporated)
Task: {5555F348-968C-4656-BDD4-1ABDC34E35A3} - System32\Tasks\At5 => Rundll32.exe daewte.wo,yorkfcz <==== ATTENTION
Task: {5D076414-5963-4B13-B580-A4867144AEC0} - System32\Tasks\At1 => Rundll32.exe daewte.wo,rexzmorb <==== ATTENTION
Task: {63EE8552-A444-4BA2-8E1E-C8350D6D412A} - System32\Tasks\Microsoft\Windows\Server Manager\ServerManager => C:\Windows\system32\ServerManagerLauncher.exe [2009-07-14] (Microsoft Corporation)
Task: {69110D7B-41DC-4E9D-BDD3-C826C7DB613B} - System32\Tasks\Microsoft\Windows\Customer Experience Improvement Program\Server\ServerRoleUsageCollector => C:\Windows\system32\ceipdata.exe [2010-11-20] (Microsoft Corporation)
Task: {706AF1AA-E6C8-4BD7-8184-E7E30F37BE8F} - System32\Tasks\At2 => Rundll32.exe daewte.wo,gxdkke <==== ATTENTION
Task: {98A95F59-20CD-4E35-9D21-F20F9141264F} - System32\Tasks\Microsoft\Windows\termsrv\licensing\TlsWarning => C:\Windows\system32\tlsbln.exe [2010-11-20] (Microsoft Corporation)
Task: {AFECE848-8DA2-461B-B5E6-CBEF57A4DF7D} - System32\Tasks\Microsoft\Windows\Customer Experience Improvement Program\Server\ServerRoleCollector => C:\Windows\system32\ceiprole.exe [2010-11-20] (Microsoft Corporation)
Task: {D3F5153E-1883-45F2-A816-9C2A0B198473} - System32\Tasks\DocuWare Update => C:\Program Files (x86)\DocuWare\Update\DocuWare.Update.exe [2013-07-16] (DocuWare AG)
Task: {D49A10DA-0F70-4779-BD96-B2D976A4F2E3} - System32\Tasks\Microsoft\Windows\Customer Experience Improvement Program\Server\ServerCeipAssistant => C:\Windows\system32\ceipdata.exe [2010-11-20] (Microsoft Corporation)
Task: {DB25B1D5-1876-4579-86A8-216A6F99E8EC} - System32\Tasks\At4 => Rundll32.exe daewte.wo,cwrzlnqa <==== ATTENTION
Task: {EE945E96-457F-4B8D-BA9E-997F97F2BA89} - System32\Tasks\At7 => Rundll32.exe daewte.wo,aagnktrt <==== ATTENTION
Task: {F83FE3C0-92BB-4BE8-B0E3-F4D84F657387} - System32\Tasks\At3 => Rundll32.exe daewte.wo,npkxkb <==== ATTENTION
Task: C:\Windows\Tasks\Adobe Flash Player Updater.job => C:\Windows\SysWOW64\Macromed\Flash\FlashPlayerUpdateService.exe
Task: C:\Windows\Tasks\At1.job => rundll32 exe daewte wo rexzmorb SYSTEM Erstellt von NetScheduleJobAdd oC iX j1 PB si

deswegen tippe ich mal. und man kann auf jeden fall nochmal mit procmon schauen wer genau das Teil erstellt.

peinedaniel · 03.06.2015, 08:05

@cosinus: 100% sicher.

bin gelernter Fachinformatiker.

cosinus · 03.06.2015, 10:41

Ok, wollte nur, dass wir uns da totsuchen weil wir glaubten, da ist nur ein DC

Greifen wir mal schraubers Idee mit ProcMon auf => https://technet.microsoft.com/de-de/.../bb896645.aspx

Lad dir das mal runter und starte es auf dem DC. Vllt wirst du ja schon selbst fündig wenn du nach at1.job oder daewte.wo filterst. Ansonsten gib Bescheid, dann kannste auch das gesamte Log also alles was procmon aufgezeichnet hat uns Verfügung stellen, aber als FISI solltest du das denke ich mal selbst hinbekommen

peinedaniel · 03.06.2015, 13:43

Wie bekomme ich denn aus ProcMon ein logfile heraus? Konnte bis jetzt nur eine logfile.pml erstellen. Soll ich diese hochladen?

cosinus · 03.06.2015, 13:45

Ja, das meinte ich mit Log. Mit procmon machst du ja einen Mitschnitt, der Ereignisse protokolliert, diese kann man imho nur als PML speichern.

peinedaniel · 03.06.2015, 14:45

anbei das logfile, einfach daew und at1 gefiltert.

cosinus · 03.06.2015, 14:55

Mach das bitte nochmal so, aber vorher Sophos ausschalten.

peinedaniel · 04.06.2015, 09:49

soooo

cosinus · 04.06.2015, 10:17

Hm, bringt mir so leider nichts, da seh ich nur, dass rundll32 was machen will.

Mal schauen was uns eine Suche nach daewte und *.job bringt:

Lade dir die passende Version von SystemLook vom folgenden Spiegel herunter und speichere das Tool auf dem Desktop:
SystemLook (32 bit) | SystemLook (64 bit)

Doppelklicke auf die SystemLook.exe, um das Tool zu starten.
Kopiere den Inhalt der folgenden Codebox in das Textfeld des Tools:
Code:
ATTFilter
```
:filefind
*daewte*
*.job

:regfind
daewte
         
```
Klicke nun auf den Button Look, um den Scan zu starten.
Der Suchlauf kann einige Zeit dauern.
Wenn der Suchlauf beendet ist, wird sich dein Editor mit den Ergebnissen öffnen, poste diese in deinen Thread.
Die Ergebnisse werden auch auf dem Desktop als SystemLook.txt gespeichert.

peinedaniel · 04.06.2015, 10:27

Code:

ATTFilter

SystemLook 30.07.11 by jpshortstuff
Log created at 11:19 on 04/06/2015 by administrator
Administrator - Elevation successful

========== filefind ==========

Searching for "*daewte*"
C:\FRST\Quarantine\C\Windows\System32\daewte.wo.xBAD	--a---- 167765 bytes	[17:09 21/03/2009]	[17:09 21/03/2009] 0C059B0D1D5A03F69A21185987C17D5C
C:\Windows\System32\daewte.wo	--ahs-- 167765 bytes	[17:09 21/03/2009]	[17:09 21/03/2009] 0C059B0D1D5A03F69A21185987C17D5C

Searching for "*.job"
C:\Windows\Tasks\Adobe Flash Player Updater.job	--a---- 884 bytes	[13:18 03/12/2012]	[08:37 04/06/2015] 2918240D6A1F7D6322BA56560B9E42BA
C:\Windows\Tasks\At1.job	--a---- 348 bytes	[14:15 01/06/2015]	[15:00 03/06/2015] 0E4825A1BE8A582AC1C1FB8827D9FF4E
C:\Windows\Tasks\At10.job	--a---- 350 bytes	[18:56 01/06/2015]	[16:37 03/06/2015] 3A86A042A74C6E86531917FC2D22D18A
C:\Windows\Tasks\At100.job	--a---- 346 bytes	[06:54 03/06/2015]	[07:00 04/06/2015] 29DB9FD42A739C4082D75595801DE5B0
C:\Windows\Tasks\At101.job	--a---- 348 bytes	[07:09 03/06/2015]	[08:00 04/06/2015] 590C680A58AD9636CFB62A75301C1547
C:\Windows\Tasks\At102.job	--a---- 348 bytes	[07:37 03/06/2015]	[08:00 04/06/2015] 3554C0464F0AC4AD51BC8647E421C178
C:\Windows\Tasks\At103.job	--a---- 348 bytes	[08:07 03/06/2015]	[09:00 04/06/2015] 0AACB436CC5E2F11339E91FE462A4F8C
C:\Windows\Tasks\At104.job	--a---- 348 bytes	[08:19 03/06/2015]	[09:00 04/06/2015] C91D47862BE2538021C28DD728F60192
C:\Windows\Tasks\At105.job	--a---- 352 bytes	[09:01 03/06/2015]	[10:00 03/06/2015] 9DBD07B4D0B7AE1BFA9A0E072233DA8D
C:\Windows\Tasks\At106.job	--a---- 348 bytes	[09:05 03/06/2015]	[10:00 03/06/2015] 04C6B87224498F8B4E8A822859BD939E
C:\Windows\Tasks\At107.job	--a---- 352 bytes	[09:43 03/06/2015]	[10:00 03/06/2015] 15AB6C8F0C8445013B7BD52CEACE172F
C:\Windows\Tasks\At108.job	--a---- 348 bytes	[10:03 03/06/2015]	[11:00 03/06/2015] 6878962D99DCEFA673A4A84046BB6E50
C:\Windows\Tasks\At109.job	--a---- 346 bytes	[10:25 03/06/2015]	[11:00 03/06/2015] DC1B56C84803598A7F31D1A503CCD1A8
C:\Windows\Tasks\At11.job	--a---- 348 bytes	[19:29 01/06/2015]	[20:00 03/06/2015] CB5BAC0AF1D545160B35A13ED1DC335A
C:\Windows\Tasks\At110.job	--a---- 348 bytes	[11:06 03/06/2015]	[12:00 03/06/2015] FE726FA36133BDDC60B19BA4ECBFCDF1
C:\Windows\Tasks\At111.job	--a---- 348 bytes	[11:11 03/06/2015]	[12:00 03/06/2015] D7323D23BC88B076DE4C6D2E288D2439
C:\Windows\Tasks\At112.job	--a---- 346 bytes	[12:06 03/06/2015]	[13:00 03/06/2015] 492EA3117DC7DC3E409553012677FCBF
C:\Windows\Tasks\At113.job	--a---- 348 bytes	[12:11 03/06/2015]	[13:00 03/06/2015] DA499ACDB125AB46EEA91B3769FBB2E6
C:\Windows\Tasks\At114.job	--a---- 352 bytes	[12:48 03/06/2015]	[13:00 03/06/2015] 1DAC1F9F288C6375192F2DC540F5443C
C:\Windows\Tasks\At115.job	--a---- 350 bytes	[13:08 03/06/2015]	[14:00 03/06/2015] 96AFA5E1C0A54A4A23D6CB42D8BC7EEB
C:\Windows\Tasks\At116.job	--a---- 346 bytes	[13:42 03/06/2015]	[14:00 03/06/2015] FB3993943444BBDD6824751BF74FFC19
C:\Windows\Tasks\At117.job	--a---- 346 bytes	[14:12 03/06/2015]	[15:00 03/06/2015] FC28949FB284450E424A941894DF1927
C:\Windows\Tasks\At118.job	--a---- 350 bytes	[14:56 03/06/2015]	[15:00 03/06/2015] A6941F3F35319426DBB9ABA6B7F4E852
C:\Windows\Tasks\At12.job	--a---- 346 bytes	[19:46 01/06/2015]	[20:00 03/06/2015] 1965293B81CC9A33F80818E552988484
C:\Windows\Tasks\At13.job	--a---- 346 bytes	[20:10 01/06/2015]	[21:00 03/06/2015] 8D57D79AA2F925F58EDEDFBADA8AF1F1
C:\Windows\Tasks\At14.job	--a---- 352 bytes	[20:36 01/06/2015]	[21:00 03/06/2015] 1E6DA3E0FA380DFF3847264176EC668F
C:\Windows\Tasks\At15.job	--a---- 350 bytes	[20:51 01/06/2015]	[21:00 03/06/2015] C937B72EF490BB0B6C5E2B212AAD0ABF
C:\Windows\Tasks\At16.job	--a---- 350 bytes	[21:25 01/06/2015]	[16:37 03/06/2015] D814374D35DC4EEA2FABFF308E0BCD7B
C:\Windows\Tasks\At17.job	--a---- 346 bytes	[21:33 01/06/2015]	[22:00 02/06/2015] 33FBC3EB366F3FA89E4440525B47EC62
C:\Windows\Tasks\At18.job	--a---- 350 bytes	[22:14 01/06/2015]	[23:00 02/06/2015] 34FAF30551DA83A172603C59F26B58A5
C:\Windows\Tasks\At19.job	--a---- 352 bytes	[22:15 01/06/2015]	[23:00 02/06/2015] E36D96146D6A495826A9355E8789F5EB
C:\Windows\Tasks\At2.job	--a---- 346 bytes	[15:26 01/06/2015]	[16:00 03/06/2015] 54AA502DCF230347003C0ECD4D3D1CED
C:\Windows\Tasks\At20.job	--a---- 350 bytes	[22:55 01/06/2015]	[23:00 02/06/2015] 5F0762130D33378835DE58E6F476953D
C:\Windows\Tasks\At21.job	--a---- 348 bytes	[23:05 01/06/2015]	[00:00 04/06/2015] 82843AEAFC38A16E2D317DFB6DFE2D58
C:\Windows\Tasks\At22.job	--a---- 346 bytes	[23:36 01/06/2015]	[00:00 03/06/2015] 5B48DFAFD0003D0CD64F2E64A25C0A7C
C:\Windows\Tasks\At23.job	--a---- 352 bytes	[23:55 01/06/2015]	[00:00 03/06/2015] E0AE1175A34D224F560DF79F2CBF6BFE
C:\Windows\Tasks\At24.job	--a---- 350 bytes	[00:18 02/06/2015]	[01:00 03/06/2015] 706CC5D272570EEAC822265133DD892C
C:\Windows\Tasks\At25.job	--a---- 348 bytes	[00:45 02/06/2015]	[01:00 03/06/2015] CFBF158290F5284748B94E42EE3FD896
C:\Windows\Tasks\At26.job	--a---- 348 bytes	[00:59 02/06/2015]	[01:00 03/06/2015] 5E7134980F105DB5BA697E54BA5FC82D
C:\Windows\Tasks\At27.job	--a---- 350 bytes	[01:35 02/06/2015]	[02:00 03/06/2015] 6C6C9F338B66B191196848589EAD044E
C:\Windows\Tasks\At28.job	--a---- 346 bytes	[01:40 02/06/2015]	[16:37 03/06/2015] 2C1CD171CDA58FF7E3A35204D4FF7E41
C:\Windows\Tasks\At29.job	--a---- 346 bytes	[02:22 02/06/2015]	[03:00 03/06/2015] A1DF461AADCD439D5B7C4B2D47B5AF51
C:\Windows\Tasks\At3.job	--a---- 348 bytes	[15:57 01/06/2015]	[16:00 03/06/2015] BD7190648BA02EC9E76BFE3D6A2C74A4
C:\Windows\Tasks\At30.job	--a---- 346 bytes	[02:24 02/06/2015]	[03:00 03/06/2015] EF1C914821612DAF4FF25AEBA20562EE
C:\Windows\Tasks\At31.job	--a---- 350 bytes	[03:03 02/06/2015]	[04:00 03/06/2015] 71B9B0ACAA0EC42F665B98721BD6C12C
C:\Windows\Tasks\At32.job	--a---- 352 bytes	[03:14 02/06/2015]	[04:00 03/06/2015] 8368F4C733675AD29F2BCAE80D778B87
C:\Windows\Tasks\At33.job	--a---- 350 bytes	[03:44 02/06/2015]	[04:00 03/06/2015] 1264B1A5C5BBAF57FD5A00F6C2B69C59
C:\Windows\Tasks\At34.job	--a---- 350 bytes	[04:04 02/06/2015]	[05:00 04/06/2015] 7141608584683F5F3962A64408295580
C:\Windows\Tasks\At35.job	--a---- 352 bytes	[04:26 02/06/2015]	[05:00 04/06/2015] E439ECE649D331695F974ADFE881ECBB
C:\Windows\Tasks\At36.job	--a---- 346 bytes	[04:55 02/06/2015]	[05:00 04/06/2015] FF6B31F9F0220B039B5B4D2CC7DCB2A7
C:\Windows\Tasks\At37.job	--a---- 348 bytes	[05:07 02/06/2015]	[06:00 03/06/2015] 61AF67E14049180725EC4946741E2809
C:\Windows\Tasks\At38.job	--a---- 348 bytes	[05:46 02/06/2015]	[06:00 03/06/2015] 6CE1C34E05E4B4A8D1AA9CBC5FD3EDD7
C:\Windows\Tasks\At39.job	--a---- 346 bytes	[05:48 02/06/2015]	[06:00 04/06/2015] A69728ACFD766C02B2524118B3FF4990
C:\Windows\Tasks\At4.job	--a---- 350 bytes	[16:26 01/06/2015]	[12:00 03/06/2015] A65EDD39EA40CF960E513DF5C79BC537
C:\Windows\Tasks\At40.job	--a---- 348 bytes	[06:30 02/06/2015]	[07:00 04/06/2015] 68B685D919469EDF3C66C475CD17AAAE
C:\Windows\Tasks\At41.job	--a---- 346 bytes	[06:42 02/06/2015]	[07:00 04/06/2015] 91171AEA49ACA038389978937B04A6F7
C:\Windows\Tasks\At42.job	--a---- 348 bytes	[07:12 02/06/2015]	[08:00 04/06/2015] 451BEC2A08648CE7073AA808F8D158F0
C:\Windows\Tasks\At43.job	--a---- 348 bytes	[07:40 02/06/2015]	[08:00 04/06/2015] 1D5623004BC65677974162970B90FBAF
C:\Windows\Tasks\At44.job	--a---- 346 bytes	[07:55 02/06/2015]	[08:00 04/06/2015] E99636A359B082C44EF958E05D8777C3
C:\Windows\Tasks\At45.job	--a---- 352 bytes	[08:40 02/06/2015]	[09:00 04/06/2015] 828C94E2063A6F50ADAD92392C4EBA05
C:\Windows\Tasks\At46.job	--a---- 346 bytes	[08:41 02/06/2015]	[09:00 04/06/2015] D08D2722EB8A92E095546B9005421A84
C:\Windows\Tasks\At47.job	--a---- 346 bytes	[09:23 02/06/2015]	[16:37 03/06/2015] 0CC4DDEF91D6867ED63941DA14506B11
C:\Windows\Tasks\At48.job	--a---- 350 bytes	[09:37 02/06/2015]	[10:00 03/06/2015] CF30ABED894B870BDC1A273BC63D1F1E
C:\Windows\Tasks\At49.job	--a---- 346 bytes	[10:09 02/06/2015]	[11:00 03/06/2015] 709E8A57156658A071129D187AB69A6A
C:\Windows\Tasks\At5.job	--a---- 350 bytes	[16:43 01/06/2015]	[12:00 03/06/2015] E2D43FB58E6DA56A04BCCC6CAD7C626C
C:\Windows\Tasks\At50.job	--a---- 348 bytes	[10:34 02/06/2015]	[11:00 03/06/2015] 064BCCBD8906B743AE0F7CA947CF7B70
C:\Windows\Tasks\At51.job	--a---- 346 bytes	[10:55 02/06/2015]	[16:37 03/06/2015] 675F47D6B467D01BAC66F0202CFE69D6
C:\Windows\Tasks\At52.job	--a---- 352 bytes	[11:33 02/06/2015]	[12:00 03/06/2015] 0CA47DAE3A9844B7370E24BDC4D7C5EB
C:\Windows\Tasks\At53.job	--a---- 350 bytes	[11:45 02/06/2015]	[12:00 03/06/2015] 25868795B527E43F6EDCFDE2529C44AE
C:\Windows\Tasks\At54.job	--a---- 348 bytes	[12:31 02/06/2015]	[13:00 03/06/2015] AD1C0494F4A6466309DA1B5480E84939
C:\Windows\Tasks\At55.job	--a---- 346 bytes	[12:33 02/06/2015]	[13:00 03/06/2015] B979CEA06557D65FF96123EE0294CF0B
C:\Windows\Tasks\At56.job	--a---- 348 bytes	[13:17 02/06/2015]	[14:00 03/06/2015] 095EF377610B657260DF905D2724B785
C:\Windows\Tasks\At57.job	--a---- 352 bytes	[13:32 02/06/2015]	[16:37 03/06/2015] 6272BDE359F0067812A031F073E2F860
C:\Windows\Tasks\At58.job	--a---- 352 bytes	[13:59 02/06/2015]	[16:37 03/06/2015] 9AF10403619DE74025E86783F9AAE6A6
C:\Windows\Tasks\At59.job	--a---- 346 bytes	[14:37 02/06/2015]	[15:00 03/06/2015] 4FD1D9ED8B2F126F22B1E68E04359E51
C:\Windows\Tasks\At6.job	--a---- 348 bytes	[17:16 01/06/2015]	[12:00 03/06/2015] A5C4872E57B5752CC8870E83B57C0038
C:\Windows\Tasks\At60.job	--a---- 350 bytes	[15:23 02/06/2015]	[16:00 03/06/2015] CD6D09C8A31714B9D5C1A36FE0516E33
C:\Windows\Tasks\At61.job	--a---- 350 bytes	[15:58 02/06/2015]	[16:00 03/06/2015] 358C772A16E4AF7B1D2C5A2CDFD30A4B
C:\Windows\Tasks\At62.job	--a---- 346 bytes	[16:26 02/06/2015]	[17:00 02/06/2015] 50FCF34FB83B51E6D8A5029F60316D0F
C:\Windows\Tasks\At63.job	--a---- 352 bytes	[16:51 02/06/2015]	[17:00 03/06/2015] 608FE106818BE1ED23054F843D9BD484
C:\Windows\Tasks\At64.job	--a---- 352 bytes	[17:07 02/06/2015]	[18:00 02/06/2015] B88129C446983A8021162120EAFEE779
C:\Windows\Tasks\At65.job	--a---- 350 bytes	[17:41 02/06/2015]	[18:00 02/06/2015] 1AD7009D2E6DB95455BD3C90074F0B3C
C:\Windows\Tasks\At66.job	--a---- 350 bytes	[17:48 02/06/2015]	[16:37 03/06/2015] DB040EE1CB5A7CA1A3DAF95F6025ED48
C:\Windows\Tasks\At67.job	--a---- 352 bytes	[18:30 02/06/2015]	[19:00 03/06/2015] 4D904EF72CD81D9DDCF8A972B475B04B
C:\Windows\Tasks\At68.job	--a---- 352 bytes	[18:31 02/06/2015]	[19:00 03/06/2015] A156D0B66D895EAE6F751EC51D66FA03
C:\Windows\Tasks\At69.job	--a---- 350 bytes	[19:11 02/06/2015]	[20:00 03/06/2015] 814112FF8F721D2947790D2E2E33C191
C:\Windows\Tasks\At7.job	--a---- 346 bytes	[17:25 01/06/2015]	[13:00 03/06/2015] ABE5089B648FEC3C06016D3D2DF9E968
C:\Windows\Tasks\At70.job	--a---- 346 bytes	[19:20 02/06/2015]	[20:00 03/06/2015] 9A9BF4F33A6BDB877F3B2392CBCAC866
C:\Windows\Tasks\At71.job	--a---- 348 bytes	[19:52 02/06/2015]	[20:00 03/06/2015] 45E24086FBF5B7EA55C43E264068372E
C:\Windows\Tasks\At72.job	--a---- 346 bytes	[20:10 02/06/2015]	[21:00 02/06/2015] 6CCD62F4EF99A7C08F999E9D4299C721
C:\Windows\Tasks\At73.job	--a---- 352 bytes	[20:34 02/06/2015]	[21:00 03/06/2015] 8CDF85A9A0823FF9A873A279653D5281
C:\Windows\Tasks\At74.job	--a---- 348 bytes	[21:00 02/06/2015]	[22:00 03/06/2015] 36D22640582A290E918241D3F07E3971
C:\Windows\Tasks\At75.job	--a---- 350 bytes	[21:15 02/06/2015]	[22:00 03/06/2015] 2D19DCBE4A2A096BF3AD27E832E4B716
C:\Windows\Tasks\At76.job	--a---- 346 bytes	[21:50 02/06/2015]	[22:00 03/06/2015] 8DA415B35251988805C5863AA6BCABCE
C:\Windows\Tasks\At77.job	--a---- 352 bytes	[21:56 02/06/2015]	[22:00 03/06/2015] 7D26F2E38DA84AB7E78A97A8F9339C41
C:\Windows\Tasks\At78.job	--a---- 346 bytes	[22:38 02/06/2015]	[23:00 02/06/2015] AF4C5CD3A5DECCFFBFC364DB26970BD7
C:\Windows\Tasks\At79.job	--a---- 348 bytes	[22:40 02/06/2015]	[23:00 02/06/2015] 37E94FFA4EEF3E5DF87BBE2C9E7DF2E4
C:\Windows\Tasks\At8.job	--a---- 350 bytes	[18:06 01/06/2015]	[19:00 03/06/2015] 4ED58879B1E828D8F5908FE2460A1701
C:\Windows\Tasks\At80.job	--a---- 346 bytes	[23:19 02/06/2015]	[00:00 03/06/2015] 50DD4CE64E4C61315B839668A2A001D1
C:\Windows\Tasks\At81.job	--a---- 346 bytes	[23:30 02/06/2015]	[16:37 03/06/2015] B783454A4BF5DBBA25B2A59BFEC5FFD0
C:\Windows\Tasks\At82.job	--a---- 348 bytes	[00:00 03/06/2015]	[16:37 03/06/2015] 5CEC86B744708286F23395E8580355FF
C:\Windows\Tasks\At83.job	--a---- 352 bytes	[00:20 03/06/2015]	[01:00 03/06/2015] 6C413F2489C2CE4C53739AE8A26684D5
C:\Windows\Tasks\At84.job	--a---- 350 bytes	[00:41 03/06/2015]	[01:00 03/06/2015] B1166EE4A5A42956C1F06ACC37E4CB6E
C:\Windows\Tasks\At85.job	--a---- 346 bytes	[01:09 03/06/2015]	[02:00 04/06/2015] AF768A98D919CC776D2D2F1BABB854F7
C:\Windows\Tasks\At86.job	--a---- 350 bytes	[01:23 03/06/2015]	[02:00 04/06/2015] 6C071755D22C6881A75F01833B418380
C:\Windows\Tasks\At87.job	--a---- 346 bytes	[01:59 03/06/2015]	[02:00 03/06/2015] 7C3B349F753752B8374D4AB979DB9A10
C:\Windows\Tasks\At88.job	--a---- 350 bytes	[02:04 03/06/2015]	[03:00 03/06/2015] BAE9F04F4158C957E941D1557C585662
C:\Windows\Tasks\At89.job	--a---- 350 bytes	[02:45 03/06/2015]	[03:00 03/06/2015] EBC7172034ED496FEB90F295B84D1735
C:\Windows\Tasks\At9.job	--a---- 350 bytes	[18:47 01/06/2015]	[19:00 02/06/2015] 8FC01F1E12F604F161957C73AF272D77
C:\Windows\Tasks\At90.job	--a---- 352 bytes	[02:49 03/06/2015]	[16:37 03/06/2015] BA68E56079D875D1E6102BA2184B3B98
C:\Windows\Tasks\At91.job	--a---- 352 bytes	[03:27 03/06/2015]	[04:00 03/06/2015] AC97C41B19180DD6548725623B9DBC41
C:\Windows\Tasks\At92.job	--a---- 350 bytes	[03:39 03/06/2015]	[04:00 03/06/2015] 1C4B12FDC66225DAA41A5F229520391D
C:\Windows\Tasks\At93.job	--a---- 346 bytes	[04:08 03/06/2015]	[05:00 04/06/2015] 331E3E9F443117A6CC6EC279915B0755
C:\Windows\Tasks\At94.job	--a---- 350 bytes	[04:29 03/06/2015]	[05:00 03/06/2015] 278A53A7B42FC80398E27803AE8413A2
C:\Windows\Tasks\At95.job	--a---- 346 bytes	[04:49 03/06/2015]	[05:00 04/06/2015] 90D6AB76E15A2B619C75ACDF3224581E
C:\Windows\Tasks\At96.job	--a---- 350 bytes	[05:19 03/06/2015]	[06:00 04/06/2015] 40163B388289D0EB1E4F859F8CB91819
C:\Windows\Tasks\At97.job	--a---- 350 bytes	[05:31 03/06/2015]	[06:00 04/06/2015] D3E86EBA8A5C9DCC11F4A6C6E1C4AC29
C:\Windows\Tasks\At98.job	--a---- 352 bytes	[06:12 03/06/2015]	[07:00 04/06/2015] 8F1E5C204212A0C7EC35FA1039BD5589
C:\Windows\Tasks\At99.job	--a---- 352 bytes	[06:13 03/06/2015]	[07:00 04/06/2015] 4E7CFCE9C44C8207602E29351C98E1E4

========== regfind ==========

Searching for "daewte"
No data found.

Searching for "         "
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\0]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\1]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\10]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\11]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\12]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\13]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\14]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\15]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\2]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\3]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\4]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\5]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\6]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\7]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\8]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\HARDWARE\DESCRIPTION\System\CentralProcessor\9]
"ProcessorNameString"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.PowerShell]
"ConfigXML"="             <PlugInConfiguration xmlns="hxxp://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration" Name="microsoft.powershell" Filename="%windir%\system32\pwrshplugin.dll" SDKVersion="1" XmlRenderingType="text" >                 <InitializationParameters>                     <Param Name="PSVersion" Value="2.0"/>                 </InitializationParameters>                 <Resources>                     <Resource ResourceUri="hxxp://schemas.microsoft.com/powershell/microsoft.powershell" SupportsOptions="true" ExactMatch="true">                         <Security xmlns="hxxp://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration" Uri="hxxp://schemas.microsoft.com/powershell/microsoft.powershell" ExactMatch="true" Sddl="O:NSG:BAD:P(A;;GA;;;BA)S:P(AU;FA;GA;;;WD)(AU;SA;GXGW;;;WD)"/>                         <Capability Type="Shell"/>                     </Resource>                 </Res
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.ServerManager]
"ConfigXML"="               <PlugInConfiguration xmlns="hxxp://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration" Name="microsoft.ServerManager" Filename="%windir%\system32\pwrshplugin.dll" SDKVersion="1" XmlRenderingType="text" >                   <InitializationParameters>                       <Param Name="PSVersion" Value="2.0"/>                       <Param Name="AssemblyName" Value="Microsoft.Windows.ServerManager.PowerShell, Version=6.1.0.0, Culture=neutral, PublicKeyToken=31bf3856ad364e35, processorArchitecture=MSIL" />                       <Param Name="PSSessionConfigurationTypeName" Value="Microsoft.Windows.ServerManager.Commands.PowerShellCustomShell" />                   </InitializationParameters>                   <Resources>                       <Resource ResourceUri="hxxp://schemas.microsoft.com/powershell/microsoft.ServerManager" SupportsOptions="true" ExactMatch="true">         
[HKEY_LOCAL_MACHINE\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Virtualization]
"BiosLockString"="Hewlett-Packard                 "
[HKEY_LOCAL_MACHINE\SOFTWARE\Wow6432Node\Microsoft\Windows\CurrentVersion\WSMAN\Plugin\Microsoft.PowerShell32]
"ConfigXML"="<PlugInConfiguration xmlns="hxxp://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration" Name="microsoft.powershell32" Filename="%windir%\system32\pwrshplugin.dll" SDKVersion="1" XmlRenderingType="text" Architecture="32" >                         <InitializationParameters>                             <Param Name="PSVersion" Value="2.0"/>                         </InitializationParameters>                         <Resources>                             <Resource ResourceUri="hxxp://schemas.microsoft.com/powershell/microsoft.powershell32" SupportsOptions="true" ExactMatch="true">                                 <Security xmlns="hxxp://schemas.microsoft.com/wbem/wsman/1/config/PluginConfiguration" Uri="hxxp://schemas.microsoft.com/powershell/microsoft.powershell32" ExactMatch="true" Sddl="O:NSG:BAD:P(A;;GA;;;BA)S:P(AU;FA;GA;;;WD)(AU;SA;GXGW;;;WD)"/>                                
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\10]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\11]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\12]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\13]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\16]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\17]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\18]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\19]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\26]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\27]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\28]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\29]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_0]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_1]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_2]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet001\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_3]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\10]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\11]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\12]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\13]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\16]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\17]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\18]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\19]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\26]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\27]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\28]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\29]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_0]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_1]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_2]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\ControlSet002\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_3]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\10]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\11]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\12]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\13]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\16]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\17]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\18]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\19]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\26]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\27]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\28]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\29]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_0]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_1]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_2]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"
[HKEY_LOCAL_MACHINE\SYSTEM\CurrentControlSet\Enum\ACPI\GenuineIntel_-_Intel64_Family_6_Model_44_-_Intel(R)_Xeon(R)_CPU___________E5640__@_2.67GHz\_3]
"FriendlyName"="Intel(R) Xeon(R) CPU           E5640  @ 2.67GHz"

-= EOF =-

cosinus · 04.06.2015, 11:00

Da sieht man auch nur diese daewte.to in system32 und die bekannten at-jobs....

@schrauber: noch nie Idee, wie man rausfindet, welcher Prozess den Müll immer wieder neu erstellt?

schrauber · 04.06.2015, 11:23

irgendwie will das procmon log bei mir nicht öffnen.....

02.06.2015, 21:54	#93
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	W32/Confick-O Datei rkqunq.z in System32 @schrauber: noch ne Idee warum das Teil immer wieder in system32 respawned auf dem DC? @peinedaniel: Ihr habt auch ganz sicher nur diesen DC oder ist da irgendwo noch ein anderer? __________________ __________________

03.06.2015, 13:45	#98
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	W32/Confick-O Datei rkqunq.z in System32 Ja, das meinte ich mit Log. Mit procmon machst du ja einen Mitschnitt, der Ereignisse protokolliert, diese kann man imho nur als PML speichern. __________________ Logfiles bitte immer in CODE-Tags posten

03.06.2015, 14:55	#100
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	W32/Confick-O Datei rkqunq.z in System32 Mach das bitte nochmal so, aber vorher Sophos ausschalten. __________________ Logfiles bitte immer in CODE-Tags posten

04.06.2015, 11:00	#104
cosinus /// Winkelfunktion /// TB-Süch-Tiger™	W32/Confick-O Datei rkqunq.z in System32 Da sieht man auch nur diese daewte.to in system32 und die bekannten at-jobs.... @schrauber: noch nie Idee, wie man rausfindet, welcher Prozess den Müll immer wieder neu erstellt? __________________ Logfiles bitte immer in CODE-Tags posten

04.06.2015, 11:23	#105
schrauber /// the machine /// TB-Ausbilder	W32/Confick-O Datei rkqunq.z in System32 irgendwie will das procmon log bei mir nicht öffnen..... __________________ gruß, schrauber *Proud Member of UNITE and ASAP since 2009* Spenden Anleitungen und Hilfestellungen Trojaner-Board Facebook-Seite Keine Hilfestellung via PM!

W32/Confick-O Datei rkqunq.z in System32

Antiviren-, Firewall- und andere Schutzprogramme: W32/Confick-O Datei rkqunq.z in System32