Hallo zusammen,

ich habe folgendes Problem, bereits seit Anfang November. Trotz viermaligem Neuaufsetzen des Rechners [bin schon geblockt bei MS, kann nur noch tel. aktivieren ;-)] entsprechend der hiesigen Anleitung , bekomme ich regelmäßig ein redirect bei Websites (IE und FF), meistens als ´not available´, eine google fake Fehlermeldung oder http-error 404, manchmal allerdings auch auf andere reale Seiten. Zusätzlich wird die Signatur (Engine B) meines GDATA Antivirenkits irreparabel geschädigt. Das ganze tritt auch auf, bevor das System mit irgendwelchen ´alten´ Daten oder Laufwerken in Berührung kommt.

Mein Eindruck ist, daß die Infizierung nach der Installation von eigentlich unkritischen Programmen wie "WinOnCD" (MS Installer ?) aber auch nach dem ersten Start des ´Media Players´ stattfindet, bin aber nicht sicher.

Ich sitze mit zwei Rechnern hinter einer Fritz Box Fon 5012 mit Zonealarm sowie GDATA Antivirenkit 2007 und Spybot.

Neben der Tatsache, daß ich andauernd neu infiziert werde ohne auch nur ansatzweise kritische Dinge zu tun, ist mein Problem, daß ich bisher keinerlei Infektion gefunden habe:

- Gdata Antivirenkit: ohne Befund
- Spybot: ohne Befund
- Adaware: ohne Befund
- F-Secure: ohne Befund
- eScan (mwav) entsprechen hiesiger Anleitung: ohne Befund
- Kapersky Online Scanner: ohne Befund
- Rootkit Revealer: 359 discrepancies found
. - 1x "Data mismatch between Windows API and raw hive data"
. - 4x "Visiblr in Windows API, but not in MFT or directory index"
. - Rest: "Hidden from Windoes API"
- Hijack-Log:

Logfile of HijackThis v1.99.1
Scan saved at 17:54:09, on 04.01.2007
Platform: Windows XP SP2 (WinNT 5.01.2600)
MSIE: Internet Explorer v6.00 SP2 (6.00.2900.2180)

Running processes:
C:\WINDOWS\System32\smss.exe
C:\WINDOWS\system32\winlogon.exe
C:\WINDOWS\system32\services.exe
C:\WINDOWS\system32\lsass.exe
C:\WINDOWS\system32\svchost.exe
C:\WINDOWS\System32\svchost.exe
C:\WINDOWS\system32\ZoneLabs\vsmon.exe
C:\WINDOWS\system32\spoolsv.exe
C:\Programme\G DATA AntiVirenKit\AVK\AVKService.exe
C:\Programme\G DATA AntiVirenKit\AVK\AVKWCtl.exe
C:\WINDOWS\System32\GEARSec.exe
C:\Programme\Symantec\Norton Ghost\Agent\PQV2iSvc.exe
C:\WINDOWS\system32\svchost.exe
C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
C:\WINDOWS\system32\userinit.exe
C:\WINDOWS\Explorer.EXE
C:\WINDOWS\CTHELPER.EXE
C:\Programme\Logitech\G-series Software\LGDCore.exe
C:\Programme\Logitech\G-series Software\LCDMon.exe
C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe
C:\WINDOWS\system32\RUNDLL32.EXE
C:\Programme\G DATA AntiVirenKit\AVKTray\AVKTray.exe
C:\WINDOWS\system32\ctfmon.exe
C:\Programme\Logitech\MouseWare\system\em_exec.exe
C:\Programme\Logitech\G-series Software\Applets\LCDCountdown\LCDCountdown.exe
C:\Programme\Logitech\G-series Software\Applets\LCDPop3\LCDPOP3.exe
C:\Programme\Logitech\G-series Software\Applets\LCDMedia.exe
C:\Programme\Logitech\G-series Software\Applets\LCDClock.exe
C:\Programme\totalcmd\TOTALCMD.EXE
Z:\down\hijack\HijackThis.exe

O2 - BHO: Adobe PDF Reader Link Helper - {06849E9F-C8D7-4D59-B87D-784B7D6BE0B3} - C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll
O2 - BHO: (no name) - {53707962-6F74-2D53-2644-206D7942484F} - C:\PROGRA~1\SPYBOT~1\SDHelper.dll
O4 - HKLM\..\Run: [CTHelper] CTHELPER.EXE
O4 - HKLM\..\Run: [CTxfiHlp] CTXFIHLP.EXE
O4 - HKLM\..\Run: [Logitech Utility] Logi_MwX.Exe
O4 - HKLM\..\Run: [Launch LGDCore] "C:\Programme\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE
O4 - HKLM\..\Run: [Launch LCDMon] "C:\Programme\Logitech\G-series Software\LCDMon.exe"
O4 - HKLM\..\Run: [Zone Labs Client] "C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"
O4 - HKLM\..\Run: [NvCplDaemon] RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup
O4 - HKLM\..\Run: [nwiz] nwiz.exe /install
O4 - HKLM\..\Run: [NvMediaCenter] RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit
O4 - HKLM\..\Run: [AVKTray] "C:\Programme\G DATA AntiVirenKit\AVKTray\AVKTray.exe"
O4 - HKCU\..\Run: [CTFMON.EXE] C:\WINDOWS\system32\ctfmon.exe
O8 - Extra context menu item: Nach Microsoft &Excel exportieren - res://C:\PROGRA~1\MICROS~2\OFFICE11\EXCEL.EXE/3000
O9 - Extra button: Recherchieren - {92780B25-18CC-41C8-B9BE-3C9C571A8263} - C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL
O23 - Service: AVKProxy - G DATA Software AG - C:\Programme\Gemeinsame Dateien\G DATA\AVKProxy\AVKProxy.exe
O23 - Service: AVK Service (AVKService) - G DATA Software AG - C:\Programme\G DATA AntiVirenKit\AVK\AVKService.exe
O23 - Service: AVK Wächter (AVKWCtl) - Unknown owner - C:\Programme\G DATA AntiVirenKit\AVK\AVKWCtl.exe
O23 - Service: GEARSecurity - GEAR Software - C:\WINDOWS\System32\GEARSec.exe
O23 - Service: InstallDriver Table Manager (IDriverT) - Macrovision Corporation - C:\Programme\Gemeinsame Dateien\InstallShield\Driver\1050\Intel 32\IDriverT.exe
O23 - Service: iPod Service - Apple Computer, Inc. - C:\Programme\iPod\bin\iPodService.exe
O23 - Service: Norton Ghost - Symantec Corporation - C:\Programme\Symantec\Norton Ghost\Agent\PQV2iSvc.exe
O23 - Service: NVIDIA Display Driver Service (NVSvc) - NVIDIA Corporation - C:\WINDOWS\system32\nvsvc32.exe
O23 - Service: RoxMediaDB - Sonic Solutions - C:\Programme\Gemeinsame Dateien\Roxio Shared\SharedCOM8\RoxMediaDB.exe
O23 - Service: TrueVector Internet Monitor (vsmon) - Zone Labs, LLC - C:\WINDOWS\system32\ZoneLabs\vsmon.exe

-----------------------------------------------------------------------

Ich bitte um Hilfe, was noch getan werden kann.

Vielen Dank Stefan

Hallo,

wie gehst du vor, wenn du das System neu aufsetzt (wann spielst du z.B. die Updates, insbesondere das SP2 auf etc...)?
Verwendest du Original-Medien?

- Rootkit Revealer: 359 discrepancies found
. - 1x "Data mismatch between Windows API and raw hive data"
. - 4x "Visiblr in Windows API, but not in MFT or directory index"
. - Rest: "Hidden from Windoes API"

Das Log könntest du noch posten (in [code]-Tags)


Das HjT-Log sieht unauffällig aus.

- Alles Originalsoftware, 100 %
- Habe mir schon vorher, lange vor der Infizierung eine XP-Installations-CD incl. SP2 gebastelt
- XP-Installation ist immer offline (ohne Netzwerkkabel. bin schon paranoid)
- Zonealarm
- Virenscanner
- Das letzte Winfuture Update-pack, sicher runtergeladen vom Bürorechner
- Dann geht es online und als erstes ins Update Center von MS

Rootkit-Log (Teil1):

HKLM\SOFTWARE\Microsoft\Windows NT\CurrentVersion\Prefetcher\TracesProcessed 04.01.2007 19:58 4 bytes Data mismatch between Windows API and raw hive data.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@ivwbox[1].txt 04.01.2007 20:03 83 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@kaspersky[1].txt 04.01.2007 20:03 342 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@msn[2].txt 04.01.2007 20:03 334 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@msnportal.112.2o7[1].txt 04.01.2007 20:03 119 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@rad.msn[2].txt 04.01.2007 20:03 690 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Cookies\admin@www.kaspersky[1].txt 04.01.2007 20:03 95 bytes Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\28D6ACA5d01 04.01.2007 20:02 20.00 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\546FB97Ed01 04.01.2007 20:02 52.63 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\6A06D548d01 04.01.2007 20:02 19.72 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\7417FB31d01 04.01.2007 20:02 17.21 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\8E4B9CF4d01 04.01.2007 20:05 46.07 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\C2546F98d01 04.01.2007 20:02 24.55 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\D8556E3Cd01 04.01.2007 20:04 69.09 KB Hidden from Windows API.
C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Mozilla\Firefox\Profiles\rxfeu996.default\Cache\DBC2D2F4d01 04.01.2007 20:02 23.71 KB Hidden from Windows API.
C:\Programme\eScan\download.lck 04.01.2007 19:58 0 bytes Visible in Windows API, but not in MFT or directory index.
C:\Programme\eScan\FTPTEMP\base079.avc 04.01.2007 19:59 48.35 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base080.avc 04.01.2007 19:59 47.77 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base081.avc 04.01.2007 19:59 49.32 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base082.avc 04.01.2007 19:59 48.53 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base083.avc 04.01.2007 19:59 48.58 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base084.avc 04.01.2007 19:59 48.48 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base085.avc 04.01.2007 19:59 47.85 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base086.avc 04.01.2007 19:59 48.09 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base087.avc 04.01.2007 19:59 48.30 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base088.avc 04.01.2007 19:59 47.92 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base089.avc 04.01.2007 19:59 48.40 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base090.avc 04.01.2007 19:59 47.19 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base091.avc 04.01.2007 19:59 47.53 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base092.avc 04.01.2007 20:00 40.22 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base093.avc 04.01.2007 20:00 47.83 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base094.avc 04.01.2007 20:00 48.67 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base097.avc 04.01.2007 20:00 48.41 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base098.avc 04.01.2007 20:00 49.32 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base099.avc 04.01.2007 20:00 48.05 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base100.avc 04.01.2007 20:00 48.66 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base101.avc 04.01.2007 20:00 47.91 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base102.avc 04.01.2007 20:00 48.71 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base103.avc 04.01.2007 20:00 48.15 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base104.avc 04.01.2007 20:00 48.71 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base105.avc 04.01.2007 20:00 48.29 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base106.avc 04.01.2007 20:00 48.26 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base107.avc 04.01.2007 20:00 48.75 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base108.avc 04.01.2007 20:00 48.64 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base109.avc 04.01.2007 20:00 49.28 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base110.avc 04.01.2007 20:00 48.44 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base111.avc 04.01.2007 20:00 48.57 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base112.avc 04.01.2007 20:00 48.65 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base113.avc 04.01.2007 20:00 48.73 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base114.avc 04.01.2007 20:00 48.53 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base115.avc 04.01.2007 20:00 48.39 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base116.avc 04.01.2007 20:00 48.86 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base117.avc 04.01.2007 20:00 48.52 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base118.avc 04.01.2007 20:00 48.64 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base119.avc 04.01.2007 20:00 49.22 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base120.avc 04.01.2007 20:00 49.05 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base121.avc 04.01.2007 20:00 48.81 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base122.avc 04.01.2007 20:00 48.72 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base123.avc 04.01.2007 20:00 48.79 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base124.avc 04.01.2007 20:00 48.80 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\base125.avc 04.01.2007 20:00 35.31 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ca.avc 04.01.2007 20:00 73.17 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\daily-ex.avx 04.01.2007 20:00 2.10 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\daily.avc 04.01.2007 20:00 39.35 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\eicar.avc 04.01.2007 20:00 1.55 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext001.avc 04.01.2007 20:00 47.60 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext002.avx 04.01.2007 20:00 46.70 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext003.avx 04.01.2007 20:00 46.63 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext004.avx 04.01.2007 20:00 46.50 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext005.avx 04.01.2007 20:00 48.50 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext006.avc 04.01.2007 20:00 0 bytes Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext007.avc 04.01.2007 20:00 48.92 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext008.avc 04.01.2007 20:00 2.32 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ext999.avc 04.01.2007 20:00 13.29 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\fa.avc 04.01.2007 20:00 28.00 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ftpsites.txt 04.01.2007 20:00 113 bytes Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\gen001.avc 04.01.2007 20:00 29.15 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\gen002.avc 04.01.2007 20:01 37.43 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\gen004.avc 04.01.2007 20:01 39.97 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\gen005.avc 04.01.2007 20:01 17.63 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\gen999.avc 04.01.2007 20:01 31.27 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\httpsite.txt 04.01.2007 20:01 193 bytes Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\krn003.avc 04.01.2007 20:01 8.11 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\krn004.avc 04.01.2007 20:01 12.56 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\krnexe32.avc 04.01.2007 20:01 77.17 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\krnunp.avc 04.01.2007 20:01 112.18 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\mail.avx 04.01.2007 20:01 13.04 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\ocr.avc 04.01.2007 20:01 11.17 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\remove.ini 04.01.2007 20:01 751 bytes Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\smart.avc 04.01.2007 20:01 6.42 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\spydb.avs 04.01.2007 20:01 192.78 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp000.avc 04.01.2007 20:01 16.54 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp001.avc 04.01.2007 20:01 45.73 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp002.avc 04.01.2007 20:01 68.26 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp003.avc 04.01.2007 20:01 51.52 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp004.avc 04.01.2007 20:01 25.39 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp005.avc 04.01.2007 20:01 52.14 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp006.avc 04.01.2007 20:01 54.07 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp007.avc 04.01.2007 20:01 73.95 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp008.avc 04.01.2007 20:01 51.86 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp009.avc 04.01.2007 20:01 47.73 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp010.avc 04.01.2007 20:01 64.21 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp012.avc 04.01.2007 20:01 32.93 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp013.avc 04.01.2007 20:01 47.83 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp014.avc 04.01.2007 20:01 53.91 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp015.avc 04.01.2007 20:01 56.89 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp017.avc 04.01.2007 20:01 30.73 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp018.avc 04.01.2007 20:01 41.41 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp019.avc 04.01.2007 20:01 57.18 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp020.avc 04.01.2007 20:01 32.84 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp021.avc 04.01.2007 20:01 23.18 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp022.avc 04.01.2007 20:01 43.83 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp023.avc 04.01.2007 20:01 64.82 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp024.avc 04.01.2007 20:01 30.44 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp025.avc 04.01.2007 20:01 35.68 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp026.avc 04.01.2007 20:01 37.93 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp027.avc 04.01.2007 20:01 46.36 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp028.avc 04.01.2007 20:01 39.22 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp029.avc 04.01.2007 20:01 17.43 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp030.avc 04.01.2007 20:01 50.44 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp031.avc 04.01.2007 20:01 36.48 KB Hidden from Windows API.
C:\Programme\eScan\FTPTEMP\unp032.avc 04.01.2007 20:04 42.70 KB Hidden from Windows API.
C:\Programme\Mozilla Firefox\active-update.xml 04.01.2007 20:01 968 bytes Hidden from Windows API.
C:\Programme\Mozilla Firefox\updates.xml 04.01.2007 20:01 968 bytes Hidden from Windows API.
C:\Programme\Mozilla Firefox\updates\0\update.mar 04.01.2007 20:01 292.97 KB Hidden from Windows API.
C:\Programme\Mozilla Firefox\updates\0\update.status 04.01.2007 20:01 12 bytes Hidden from Windows API.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.dll 20.11.2006 19:26 252.00 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll 20.11.2006 19:26 111.50 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\Downloaded Program Files\kavwebscan.inf 08.08.2006 11:45 576 bytes Hidden from Windows API.
C:\WINDOWS\LastGood 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF\oem13.inf 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF\oem13.PNF 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\002E08D9.key 08.08.2006 11:42 3.14 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\backup 04.01.2007 20:07 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\backup\VCUy6SiAsDER 04.01.2007 20:07 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\backup\VCUy6SiAsDER\updcfg.xml 28.03.2006 10:51 9.95 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases 04.01.2007 20:07 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avcmhk4.dll 04.01.2007 20:07 21.06 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avp.klb 04.01.2007 20:07 18.54 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avp.set 04.01.2007 20:07 2.39 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avp.vnd 04.01.2007 20:07 11.67 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avp_ext.set 04.01.2007 20:07 2.51 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\avp_x.set 04.01.2007 20:07 2.51 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base001.avc 04.01.2007 20:04 48.48 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base002.avc 04.01.2007 20:04 46.84 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base003.avc 04.01.2007 20:04 46.59 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base004.avc 04.01.2007 20:04 48.00 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base005.avc 04.01.2007 20:04 48.45 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base006.avc 04.01.2007 20:04 47.63 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base007.avc 04.01.2007 20:04 47.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base008.avc 04.01.2007 20:04 47.86 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base009.avc 04.01.2007 20:04 47.39 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base010.avc 04.01.2007 20:04 47.45 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base011.avc 04.01.2007 20:04 47.86 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base012.avc 04.01.2007 20:04 47.51 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base013.avc 04.01.2007 20:04 47.61 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base014.avc 04.01.2007 20:04 47.07 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base015.avc 04.01.2007 20:04 47.08 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base016.avc 04.01.2007 20:04 47.21 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base017.avc 04.01.2007 20:04 47.38 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base018.avc 04.01.2007 20:04 47.67 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base019.avc 04.01.2007 20:04 47.97 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base020.avc 04.01.2007 20:04 48.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base021.avc 04.01.2007 20:04 47.88 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base022.avc 04.01.2007 20:04 48.19 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base023.avc 04.01.2007 20:04 48.65 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base024.avc 04.01.2007 20:04 48.47 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base025.avc 04.01.2007 20:04 48.22 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base026.avc 04.01.2007 20:04 48.36 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base027.avc 04.01.2007 20:04 48.90 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base028.avc 04.01.2007 20:04 48.47 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base029.avc 04.01.2007 20:04 48.08 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base030.avc 04.01.2007 20:04 48.27 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base031.avc 04.01.2007 20:04 48.29 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base032.avc 04.01.2007 20:04 48.46 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base033.avc 04.01.2007 20:04 48.28 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base034.avc 04.01.2007 20:04 49.08 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base035.avc 04.01.2007 20:04 45.79 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base036.avc 04.01.2007 20:04 8.09 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base037.avc 04.01.2007 20:04 48.09 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base038.avc 04.01.2007 20:04 46.71 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base039.avc 04.01.2007 20:04 48.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base040.avc 04.01.2007 20:04 48.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base041.avc 04.01.2007 20:04 48.62 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base042.avc 04.01.2007 20:04 48.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base043.avc 04.01.2007 20:04 48.50 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base044.avc 04.01.2007 20:04 48.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base045.avc 04.01.2007 20:04 48.45 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base046.avc 04.01.2007 20:04 48.25 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base047.avc 04.01.2007 20:04 48.74 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base048.avc 04.01.2007 20:04 48.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base049.avc 04.01.2007 20:04 48.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base050.avc 04.01.2007 20:04 48.28 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base051.avc 04.01.2007 20:04 49.57 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base052.avc 04.01.2007 20:05 48.68 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base053.avc 04.01.2007 20:05 48.49 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base054.avc 04.01.2007 20:05 48.68 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base055.avc 04.01.2007 20:05 48.24 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base056.avc 04.01.2007 20:05 48.58 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base057.avc 04.01.2007 20:05 48.07 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base058.avc 04.01.2007 20:05 48.40 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base059.avc 04.01.2007 20:05 48.01 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base060.avc 04.01.2007 20:05 48.33 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base061.avc 04.01.2007 20:05 48.59 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base062.avc 04.01.2007 20:05 48.40 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base063.avc 04.01.2007 20:05 48.40 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base064.avc 04.01.2007 20:05 48.71 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base065.avc 04.01.2007 20:05 48.87 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base066.avc 04.01.2007 20:05 48.85 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base067.avc 04.01.2007 20:05 48.44 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base068.avc 04.01.2007 20:05 48.51 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base069.avc 04.01.2007 20:05 48.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base070.avc 04.01.2007 20:05 48.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base071.avc 04.01.2007 20:05 48.85 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base072.avc 04.01.2007 20:05 48.76 KB Hidden from Windows API.

Gruß Stefan

Log (Teil2):

C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base073.avc 04.01.2007 20:05 48.40 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base074.avc 04.01.2007 20:05 48.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base075.avc 04.01.2007 20:05 48.80 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base076.avc 04.01.2007 20:05 48.13 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base077.avc 04.01.2007 20:05 48.30 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base078.avc 04.01.2007 20:05 49.01 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base079.avc 04.01.2007 20:05 48.35 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base080.avc 04.01.2007 20:05 47.77 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base081.avc 04.01.2007 20:05 49.32 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base082.avc 04.01.2007 20:05 48.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base083.avc 04.01.2007 20:05 48.58 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base084.avc 04.01.2007 20:05 48.48 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base085.avc 04.01.2007 20:05 47.85 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base086.avc 04.01.2007 20:05 48.09 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base087.avc 04.01.2007 20:05 48.30 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base088.avc 04.01.2007 20:05 47.92 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base089.avc 04.01.2007 20:05 48.40 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base090.avc 04.01.2007 20:05 47.19 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base091.avc 04.01.2007 20:05 47.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base092.avc 04.01.2007 20:05 40.22 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base093.avc 04.01.2007 20:05 47.83 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base094.avc 04.01.2007 20:05 48.67 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base095.avc 04.01.2007 20:05 47.16 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base096.avc 04.01.2007 20:05 48.67 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base097.avc 04.01.2007 20:06 48.41 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base098.avc 04.01.2007 20:06 49.32 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base099.avc 04.01.2007 20:06 48.05 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base100.avc 04.01.2007 20:06 48.66 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base101.avc 04.01.2007 20:06 47.91 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base102.avc 04.01.2007 20:06 48.71 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base103.avc 04.01.2007 20:06 48.15 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base104.avc 04.01.2007 20:06 48.71 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base105.avc 04.01.2007 20:06 48.29 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base106.avc 04.01.2007 20:06 48.26 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base107.avc 04.01.2007 20:06 48.75 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base108.avc 04.01.2007 20:06 48.64 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base109.avc 04.01.2007 20:06 49.28 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base110.avc 04.01.2007 20:06 48.44 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base111.avc 04.01.2007 20:06 48.57 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base112.avc 04.01.2007 20:06 48.65 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base113.avc 04.01.2007 20:06 48.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base114.avc 04.01.2007 20:06 48.53 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base115.avc 04.01.2007 20:06 48.39 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base116.avc 04.01.2007 20:06 48.86 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base117.avc 04.01.2007 20:06 48.52 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base118.avc 04.01.2007 20:06 48.64 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base119.avc 04.01.2007 20:06 49.22 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base120.avc 04.01.2007 20:06 49.05 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base121.avc 04.01.2007 20:06 48.81 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base122.avc 04.01.2007 20:06 48.72 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base123.avc 04.01.2007 20:06 48.79 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base124.avc 04.01.2007 20:06 48.80 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base125.avc 04.01.2007 20:06 35.31 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\base999.avc 04.01.2007 20:06 5.08 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\black.lst 04.01.2007 20:07 165.29 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ca.avc 04.01.2007 20:07 73.17 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\daily-ex.avc 04.01.2007 20:07 2.16 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\daily.avc 04.01.2007 20:07 40.21 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\eicar.avc 04.01.2007 20:07 1.55 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\engine.cfg 04.01.2007 20:07 11.74 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\engine.dt 04.01.2007 20:07 11.74 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext001.avc 04.01.2007 20:07 47.60 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext002.avc 04.01.2007 20:07 46.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext003.avc 04.01.2007 20:07 46.63 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext004.avc 04.01.2007 20:07 46.50 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext005.avc 04.01.2007 20:07 48.50 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext006.avc 04.01.2007 20:07 48.31 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext007.avc 04.01.2007 20:07 48.92 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext008.avc 04.01.2007 20:07 2.32 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ext999.avc 04.01.2007 20:07 13.29 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\fa.avc 04.01.2007 20:07 28.00 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen001.avc 04.01.2007 20:07 29.15 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen002.avc 04.01.2007 20:07 37.43 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen003.avc 04.01.2007 20:07 30.87 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen004.avc 04.01.2007 20:07 39.97 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen005.avc 04.01.2007 20:07 17.63 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\gen999.avc 04.01.2007 20:07 31.27 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\kavset.xml 04.01.2007 20:03 61.06 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\kernel.avc 04.01.2007 20:03 12.07 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krn001.avc 04.01.2007 20:03 64.52 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krn002.avc 04.01.2007 20:04 37.58 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krn003.avc 04.01.2007 20:04 8.11 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krn004.avc 04.01.2007 20:04 12.56 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krndos.avc 04.01.2007 20:03 4.91 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnengn.avc 04.01.2007 20:04 28.56 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnexe.avc 04.01.2007 20:03 31.18 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnexe32.avc 04.01.2007 20:04 77.17 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnjava.avc 04.01.2007 20:03 35.87 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnmacro.avc 04.01.2007 20:03 87.85 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\krnunp.avc 04.01.2007 20:03 112.18 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\mail.avc 04.01.2007 20:07 13.04 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\ocr.avc 04.01.2007 20:04 11.17 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\smart.avc 04.01.2007 20:04 6.42 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp000.avc 04.01.2007 20:06 16.54 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp001.avc 04.01.2007 20:06 45.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp002.avc 04.01.2007 20:06 68.26 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp003.avc 04.01.2007 20:06 51.52 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp004.avc 04.01.2007 20:06 25.39 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp005.avc 04.01.2007 20:06 52.14 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp006.avc 04.01.2007 20:06 54.07 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp007.avc 04.01.2007 20:06 73.95 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp008.avc 04.01.2007 20:06 51.86 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp009.avc 04.01.2007 20:06 47.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp010.avc 04.01.2007 20:06 64.21 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp011.avc 04.01.2007 20:06 51.69 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp012.avc 04.01.2007 20:06 32.93 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp013.avc 04.01.2007 20:06 47.83 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp014.avc 04.01.2007 20:06 53.91 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp015.avc 04.01.2007 20:06 56.89 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp016.avc 04.01.2007 20:06 59.06 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp017.avc 04.01.2007 20:06 30.73 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp018.avc 04.01.2007 20:07 41.41 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp019.avc 04.01.2007 20:07 57.18 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp020.avc 04.01.2007 20:07 32.84 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp021.avc 04.01.2007 20:07 23.18 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp022.avc 04.01.2007 20:07 43.83 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp023.avc 04.01.2007 20:07 64.82 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp024.avc 04.01.2007 20:07 30.44 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp025.avc 04.01.2007 20:07 35.68 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp026.avc 04.01.2007 20:07 37.93 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp027.avc 04.01.2007 20:07 46.36 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp028.avc 04.01.2007 20:07 39.22 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp029.avc 04.01.2007 20:07 17.43 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp030.avc 04.01.2007 20:07 50.44 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp031.avc 04.01.2007 20:07 36.48 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp032.avc 04.01.2007 20:07 42.70 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp033.avc 04.01.2007 20:07 45.05 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp034.avc 04.01.2007 20:07 46.90 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp035.avc 04.01.2007 20:07 49.66 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\unp036.avc 04.01.2007 20:07 23.81 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\bases\verdicts.ini 04.01.2007 20:07 2.48 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data 04.01.2007 20:07 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data\master.xml 04.01.2007 20:03 1.48 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data\Patches 04.01.2007 20:07 0 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data\Patches\soft.ver 04.01.2007 20:07 65 bytes Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data\Patches\soft.xml 04.01.2007 20:03 6.81 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\data\updcfg.xml 04.01.2007 20:03 10.29 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\kaveula.txt 07.02.2006 17:30 2.10 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\kavss.dll 16.05.2005 19:34 208.05 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\kavuninstall.exe 20.03.2006 13:17 64.00 KB Hidden from Windows API.
C:\WINDOWS\system32\Kaspersky Lab\Kaspersky Online Scanner\kavwebscan.dll 20.03.2006 13:17 780.00 KB Hidden from Windows API.

C:\WINDOWS\LastGood 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF\oem13.inf 04.01.2007 20:03 0 bytes Hidden from Windows API.
C:\WINDOWS\LastGood\INF\oem13.PNF 04.01.2007 20:03 0 bytes Hidden from Windows API.

Das dürfte auf jeden Fall Malware sein -> Symantec Security Response - Adware.BetterInternet
Woher das kommt, kann ich dir nicht sagen. Welche Software ist installiert (-> wechsle in die "Misc Tools section" von HijackThis-> Open Uninstall Manager-> Save List-> Speichern & posten.)?

Beim Rest würde ich sagen, dass es unbedenklich ist, wobei ich es komisch finde, dass der Kaspersky-Online-Scanner so viele Dateien im System32-Ordner ablegt.

Symantec BetterInternet Removal Tool:
"Adware.Better Internet has not been found on this Computer"
---------------
Ich finde die Dateien aus dem Log auch im Explorer nicht ?!
Habe nochmals Rootkit Revealer laufen lassen, nun mit folgendem Ergebnis (vorher lief kapersky parallel):

C:\System Volume Information\_restore{6D630848-F63F-4DF4-BFD6-DFEB5F529292}\RP1\A0000051.RDB 04.01.2007 22:07 1.20 MB Hidden from Windows API.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.dll 20.11.2006 19:26 252.00 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\assembly\GAC_32\System.EnterpriseServices\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServices.Wrapper.dll 20.11.2006 19:26 111.50 KB Visible in Windows API, but not in MFT or directory index.
C:\WINDOWS\Prefetch\CMD.EXE-087B4001.pf 04.01.2007 22:11 42.61 KB Hidden from Windows API.


Was ist "System.EnterpriseServices" ?
--------------------------------------------


Folgende Programmliste:

ACDSee 9 Foto-Manager
Adobe Download Manager 2.0 (Nur entfernen)
Adobe Reader 7.0.8 - Deutsch
Apple Software Update
Canon MP Drivers 6.0
Canon MP Navigator 1.0
Canon ScanGear Starter
Creative-Audiokonsole
eScan Internet Security for Windows
FireTune
G DATA AntiVirenKit
GEAR 32bit Driver Installer
HijackThis 1.99.1
Hotfix für Windows XP (KB893357)
Hotfix für Windows XP (KB897338)
Hotfix für Windows XP (KB898900)
Hotfix für Windows XP (KB899271)
Hotfix für Windows XP (KB903234)
Hotfix für Windows XP (KB904412)
Hotfix für Windows XP (KB906569)
Hotfix für Windows XP (KB907865)
Hotfix für Windows XP (KB909095)
Hotfix für Windows XP (KB912817)
Hotfix für Windows XP (KB913296)
Hotfix für Windows XP (KB913538)
Hotfix für Windows XP (KB914841)
Hotfix für Windows XP (KB917730)
Hotfix für Windows XP (KB918005)
Hotfix für Windows XP (KB918093)
Hotfix für Windows XP (KB923996)
Hotfix für Windows XP (KB924941)
IrfanView (remove only)
iTunes
Kaspersky Online Scanner
LiveUpdate 2.0 (Symantec Corporation)
Logitech G-series Keyboard Software
Logitech MouseWare 9.80
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1
Microsoft .NET Framework 1.1 Hotfix (KB886903)
Microsoft .NET Framework 2.0
Microsoft .NET Framework 3.0
Microsoft .NET Framework 3.0
Microsoft Office Standard Edition 2003
Microsoft-Basissmartcard-Kryptografiedienstanbieterpaket
Mozilla Firefox (2.0.0.1)
Mozilla Thunderbird (1.5)
MSXML 6.0 Parser (KB927977)
Norton Ghost 9.0
NVIDIA Drivers
QuickTime
Roxio WinOnCD 8
Security Update for Microsoft .NET Framework 2.0 (KB922770)
Security Update für Microsoft .NET Framework 2.0 (KB917283)
Sicherheitsupdate für Step by Step Interactive Training (KB898458)
Sicherheitsupdate für Windows Media Player (KB911564)
Sicherheitsupdate für Windows Media Player 6.4 (KB925398)
Sicherheitsupdate für Windows Media Player 9 (KB917734)
Sicherheitsupdate für Windows XP (KB890046)
Sicherheitsupdate für Windows XP (KB893756)
Sicherheitsupdate für Windows XP (KB896358)
Sicherheitsupdate für Windows XP (KB896423)
Sicherheitsupdate für Windows XP (KB896424)
Sicherheitsupdate für Windows XP (KB896428)
Sicherheitsupdate für Windows XP (KB899587)
Sicherheitsupdate für Windows XP (KB899589)
Sicherheitsupdate für Windows XP (KB899591)
Sicherheitsupdate für Windows XP (KB900725)
Sicherheitsupdate für Windows XP (KB901017)
Sicherheitsupdate für Windows XP (KB901190)
Sicherheitsupdate für Windows XP (KB901214)
Sicherheitsupdate für Windows XP (KB904706)
Sicherheitsupdate für Windows XP (KB905414)
Sicherheitsupdate für Windows XP (KB905749)
Sicherheitsupdate für Windows XP (KB908519)
Sicherheitsupdate für Windows XP (KB911562)
Sicherheitsupdate für Windows XP (KB911567)
Sicherheitsupdate für Windows XP (KB911927)
Sicherheitsupdate für Windows XP (KB912919)
Sicherheitsupdate für Windows XP (KB913580)
Sicherheitsupdate für Windows XP (KB914388)
Sicherheitsupdate für Windows XP (KB914389)
Sicherheitsupdate für Windows XP (KB917422)
Sicherheitsupdate für Windows XP (KB917537)
Sicherheitsupdate für Windows XP (KB917953)
Sicherheitsupdate für Windows XP (KB918439)
Sicherheitsupdate für Windows XP (KB918899)
Sicherheitsupdate für Windows XP (KB919007)
Sicherheitsupdate für Windows XP (KB920213)
Sicherheitsupdate für Windows XP (KB920214)
Sicherheitsupdate für Windows XP (KB920670)
Sicherheitsupdate für Windows XP (KB920683)
Sicherheitsupdate für Windows XP (KB920685)
Sicherheitsupdate für Windows XP (KB921398)
Sicherheitsupdate für Windows XP (KB921883)
Sicherheitsupdate für Windows XP (KB922616)
Sicherheitsupdate für Windows XP (KB922760)
Sicherheitsupdate für Windows XP (KB922819)
Sicherheitsupdate für Windows XP (KB923191)
Sicherheitsupdate für Windows XP (KB923414)
Sicherheitsupdate für Windows XP (KB923689)
Sicherheitsupdate für Windows XP (KB923694)
Sicherheitsupdate für Windows XP (KB923789)
Sicherheitsupdate für Windows XP (KB923980)
Sicherheitsupdate für Windows XP (KB924191)
Sicherheitsupdate für Windows XP (KB924270)
Sicherheitsupdate für Windows XP (KB924496)
Sicherheitsupdate für Windows XP (KB925454)
Sicherheitsupdate für Windows XP (KB925486)
Sicherheitsupdate für Windows XP (KB926255)
SpeedFan (remove only)
Spybot - Search & Destroy 1.4
Total Commander (Remove or Repair)
Tweak-XP Pro 4
Update für Windows XP (KB897663)
Update für Windows XP (KB898461)
Update für Windows XP (KB900485)
Update für Windows XP (KB904942)
Update für Windows XP (KB907265)
Update für Windows XP (KB908521)
Update für Windows XP (KB908531)
Update für Windows XP (KB910437)
Update für Windows XP (KB911280)
Update für Windows XP (KB916595)
Update für Windows XP (KB916846)
Update für Windows XP (KB920872)
Update für Windows XP (KB922582)
Winamp (remove only)
Windows Communication Foundation
Windows Imaging Component
Windows Installer 3.1 (KB893803)
Windows Media Format Runtime
Windows Presentation Foundation
Windows Workflow Foundation
Windows XP-Hotfix - KB319740
Windows XP-Hotfix - KB873339
Windows XP-Hotfix - KB884883
Windows XP-Hotfix - KB885222
Windows XP-Hotfix - KB885626
Windows XP-Hotfix - KB885835
Windows XP-Hotfix - KB885836
Windows XP-Hotfix - KB885894
Windows XP-Hotfix - KB886677
Windows XP-Hotfix - KB886716
Windows XP-Hotfix - KB887472
Windows XP-Hotfix - KB888302
Windows XP-Hotfix - KB889016
Windows XP-Hotfix - KB889673
Windows XP-Hotfix - KB890831
Windows XP-Hotfix - KB890859
Windows XP-Hotfix - KB891781
Windows XP-Hotfix - KB896626
xp-AntiSpy 3.96-4
ZoneAlarm

Danke Stefan

Die installierten Programme erscheinen mir auch alle legitim.

Zitat von Hornel

Ich finde die Dateien aus dem Log auch im Explorer nicht ?!

Klar, darum zeigt RKR sie ja auch an -> Hidden from Windows API
Mach mal einen Scan mit Blacklight (auf klicken und die "graphical user interface version" runterladen.). Poste das Ergebnis. Zusätzlich noch ein Silentrunners-Logfile. Evtl. bringt das noch Licht ins Dunkel...

Silent Runners:

"Silent Runners.vbs", revision 49, Silent Runners - Adware? Disinfect, don't reformat!
Operating System: Windows XP SP2
Output limited to non-default values, except where indicated by "{++}"


Startup items buried in registry:
---------------------------------

HKCU\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTFMON.EXE" = "C:\WINDOWS\system32\ctfmon.exe" [MS]

HKLM\Software\Microsoft\Windows\CurrentVersion\Run\ {++}
"CTHelper" = "CTHELPER.EXE" ["Creative Technology Ltd"]
"CTxfiHlp" = "CTXFIHLP.EXE" ["Creative Technology Ltd"]
"Logitech Utility" = "Logi_MwX.Exe" ["Logitech Inc."]
"Launch LGDCore" = ""C:\Programme\Logitech\G-series Software\LGDCore.exe" /SHOWHIDE" ["Logitech Inc."]
"Launch LCDMon" = ""C:\Programme\Logitech\G-series Software\LCDMon.exe"" ["Logitech Inc."]
"Zone Labs Client" = ""C:\Programme\Zone Labs\ZoneAlarm\zlclient.exe"" ["Zone Labs, LLC"]
"NvCplDaemon" = "RUNDLL32.EXE C:\WINDOWS\system32\NvCpl.dll,NvStartup" [MS]
"nwiz" = "nwiz.exe /install" ["NVIDIA Corporation"]
"NvMediaCenter" = "RUNDLL32.EXE C:\WINDOWS\system32\NvMcTray.dll,NvTaskbarInit" [MS]
"MailScan Dispatcher" = ""C:\Programme\eScan\LAUNCH.EXE"" ["MicroWorld Technologies Inc."]

HKLM\Software\Microsoft\Windows\CurrentVersion\Explorer\Browser Helper Objects\
{06849E9F-C8D7-4D59-B87D-784B7D6BE0B3}\(Default) = (no title provided)
-> {HKLM...CLSID} = "Adobe PDF Reader Link Helper"
\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 7.0\ActiveX\AcroIEHelper.dll" ["Adobe Systems Incorporated"]
{53707962-6F74-2D53-2644-206D7942484F}\(Default) = (no title provided)
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\PROGRA~1\SPYBOT~1\SDHelper.dll" ["Safer Networking Limited"]

HKLM\Software\Microsoft\Windows\CurrentVersion\Shell Extensions\Approved\
"{42071714-76d4-11d1-8b24-00a0c9068ff3}" = "CPL-Erweiterung für Anzeigeverschiebung"
-> {HKLM...CLSID} = "CPL-Erweiterung für Anzeigeverschiebung"
\InProcServer32\(Default) = "deskpan.dll" [file not found]
"{88895560-9AA2-1069-930E-00AA0030EBC8}" = "Erweiterung für HyperTerminal-Icons"
-> {HKLM...CLSID} = "HyperTerminal Icon Ext"
\InProcServer32\(Default) = "C:\WINDOWS\system32\hticons.dll" ["Hilgraeve, Inc."]
"{42042206-2D85-11D3-8CFF-005004838597}" = "Microsoft Office HTML Icon Handler"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Microsoft Office\OFFICE11\msohev.dll" [MS]
"{B9E1D2CB-CCFF-4AA6-9579-D7A4754030EF}" = "iTunes"
-> {HKLM...CLSID} = "iTunes"
\InProcServer32\(Default) = "C:\Programme\iTunes\iTunesMiniPlayer.dll" ["Apple Computer, Inc."]
"{A70C977A-BF00-412C-90B7-034C51DA2439}" = "NvCpl DesktopContext Class"
-> {HKLM...CLSID} = "DesktopContext Class"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{FFB699E0-306A-11d3-8BD1-00104B6F7516}" = "Play on my TV helper"
-> {HKLM...CLSID} = "NVIDIA CPL Extension"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvcpl.dll" ["NVIDIA Corporation"]
"{1CDB2949-8F65-4355-8456-263E7C208A5D}" = "Desktop Explorer"
-> {HKLM...CLSID} = "Desktop Explorer"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A47}" = "Desktop Explorer Menu"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{1E9B04FB-F9E5-4718-997B-B8DA88302A48}" = "nView Desktop Context Menu"
-> {HKLM...CLSID} = "nView Desktop Context Menu"
\InProcServer32\(Default) = "C:\WINDOWS\system32\nvshell.dll" ["NVIDIA Corporation"]
"{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C}" = "RXDCExtShlExt extension"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Roxio\WinOnCD 8\Virtual Drive\DC_ShellExt.dll" [null data]

HKLM\Software\Classes\PROTOCOLS\Filter\
<<!>> text/xml\CLSID = "{807553E5-5146-11D5-A672-00B0D022E945}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Gemeinsame Dateien\Microsoft Shared\OFFICE11\MSOXMLMF.DLL" [MS]

HKLM\Software\Classes\Folder\shellex\ColumnHandlers\
{F9DB5320-233E-11D1-9F84-707F02C10627}\(Default) = "PDF Column Info"
-> {HKLM...CLSID} = "PDF Shell Extension"
\InProcServer32\(Default) = "C:\Programme\Adobe\Acrobat 7.0\ActiveX\PDFShell.dll" ["Adobe Systems, Inc."]

HKLM\Software\Classes\*\shellex\ContextMenuHandlers\
RXDCExtSvr\(Default) = "{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Roxio\WinOnCD 8\Virtual Drive\DC_ShellExt.dll" [null data]

HKLM\Software\Classes\Folder\shellex\ContextMenuHandlers\
RXDCExtSvr\(Default) = "{0FB82570-BB2D-23D3-8D3B-AC2F34F1FA3C}"
-> {HKLM...CLSID} = (no title provided)
\InProcServer32\(Default) = "C:\Programme\Roxio\WinOnCD 8\Virtual Drive\DC_ShellExt.dll" [null data]


Group Policies {policy setting}:
--------------------------------

Note: detected settings may not have any effect.

HKCU\Software\Microsoft\Windows\CurrentVersion\Policies\Explorer\

"ClearRecentDocsOnExit" = (REG_DWORD) hex:0x00000001
{unrecognized setting}

HKLM\Software\Microsoft\Windows\CurrentVersion\Policies\System\

"shutdownwithoutlogon" = (REG_DWORD) hex:0x00000001
{Shutdown: Allow system to be shut down without having to log on}

"undockwithoutlogon" = (REG_DWORD) hex:0x00000001
{Devices: Allow undock without having to log on}

"SynchronousMachineGroupPolicy" = (REG_DWORD) hex:0x00000000
{unrecognized setting}

"SynchronousUserGroupPolicy" = (REG_DWORD) hex:0x00000000
{unrecognized setting}


Active Desktop and Wallpaper:
-----------------------------

Active Desktop may be disabled at this entry:
HKCU\Software\Microsoft\Windows\CurrentVersion\Explorer\ShellState


Enabled Screen Saver:
---------------------

HKCU\Control Panel\Desktop\
"SCRNSAVE.EXE" = "C:\WINDOWS\System32\logon.scr" [MS]


Enabled Scheduled Tasks:
------------------------

"AppleSoftwareUpdate" -> launches: "C:\Programme\Apple Software Update\SoftwareUpdate.exe -Task" ["Apple Computer, Inc."]


Winsock2 Service Provider DLLs:
-------------------------------

Namespace Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\NameSpace_Catalog5\Catalog_Entries\ {++}
000000000001\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]
000000000002\LibraryPath = "%SystemRoot%\System32\winrnr.dll" [MS]
000000000003\LibraryPath = "%SystemRoot%\System32\mswsock.dll" [MS]

Transport Service Providers

HKLM\System\CurrentControlSet\Services\Winsock2\Parameters\Protocol_Catalog9\Catalog_Entries\ {++}
0000000000##\PackedCatalogItem (contains) DLL [Company Name], (at) ## range:
%SystemRoot%\system32\mswsock.dll [MS], 01 - 03, 06 - 17
%SystemRoot%\system32\rsvpsp.dll [MS], 04 - 05


Toolbars, Explorer Bars, Extensions:
------------------------------------

Explorer Bars

HKLM\Software\Microsoft\Internet Explorer\Explorer Bars\

HKLM\Software\Classes\CLSID\{FF059E31-CC5A-4E2E-BF3B-96E929D65503}\(Default) = "&Recherchieren"
Implemented Categories\{00021493-0000-0000-C000-000000000046}\ [vertical bar]
InProcServer32\(Default) = "C:\PROGRA~1\MICROS~2\OFFICE11\REFIEBAR.DLL" [MS]

Extensions (Tools menu items, main toolbar menu buttons)

HKLM\Software\Microsoft\Internet Explorer\Extensions\
{92780B25-18CC-41C8-B9BE-3C9C571A8263}\
"ButtonText" = "Recherchieren"


Running Services (Display Name, Service Name, Path {Service DLL}):
------------------------------------------------------------------

GEARSecurity, GEARSecurity, "C:\WINDOWS\System32\GEARSec.exe" ["GEAR Software"]
HTTP-SSL, HTTPFilter, "C:\WINDOWS\System32\svchost.exe -k HTTPFilter" {"C:\WINDOWS\System32\w3ssl.dll" [MS]}
Norton Ghost, Norton Ghost, "C:\Programme\Symantec\Norton Ghost\Agent\PQV2iSvc.exe" ["Symantec Corporation"]
TrueVector Internet Monitor, vsmon, "C:\WINDOWS\system32\ZoneLabs\vsmon.exe -service" ["Zone Labs, LLC"]
Windows User Mode Driver Framework, UMWdf, "C:\WINDOWS\system32\wdfmgr.exe" [MS]


Print Monitors:
---------------

HKLM\System\CurrentControlSet\Control\Print\Monitors\
Canon BJ Language Monitor MP780\Driver = "CNMLM6y.DLL" ["CANON INC."]
Canon MP FAX Language Monitor MP780\Driver = "CNCF2L60.DLL" ["Canon Inc."]
Microsoft Document Imaging Writer Monitor\Driver = "mdimon.dll" [MS]


----------
<<!>>: Suspicious data at a malware launch point.

+ This report excludes default entries except where indicated.
+ To see *everywhere* the script checks and *everything* it finds,
launch it from a command prompt or a shortcut with the -all parameter.
+ The search for DESKTOP.INI DLL launch points on all local fixed drives
took 5 seconds.
---------- (total run time: 26 seconds)

------------------------------------------------------------------------------------

BlackLight:

No hidden items found
Hidden Items found: 0
Items queued for renaming: 0


------------------------------------------------------------------------------------


Was ist denn

C:\WINDOWS\assembly\GAC_32\System.EnterpriseServic es\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServ ices.dll 20.11.2006 19:26 252.00 KB Visible in Windows API, but not in MFT or directory index.

aus Rootkitrevealer ?

Ich kann nichts schlechtes entdecken...
Ich habe ehrlich gesagt keine Ahnung, woher deine Probleme stammen. Die LastGood-Einträge dürften übrigens ebenfalls in Ordnung sein (-> Computerhilfen.de: Hilfe: Ordner LastGood und LastGood.tmp ?) und nicht wie zunächst vermutet zu "BetterInternet" gehören.
Kurzum, ich weiß nicht, was bei dir auf dem PC vor nicht geht. :-\

Was ist denn

C:\WINDOWS\assembly\GAC_32\System.EnterpriseServic es\2.0.0.0__b03f5f7f11d50a3a\System.EnterpriseServ ices.dll 20.11.2006 19:26 252.00 KB Visible in Windows API, but not in MFT or directory index.

aus Rootkitrevealer ?

Ungefährlich, siehe z.B. Sysinternals Forums: RKReveal Log .Net FW2

Na trotzdem vielen Dank für die Hilfe und die Zeit !!!!

Kann vielleicht die Fritz Box die ursache sein ?

Hallo,

ich bin zwar nach wie vor nicht weitergekommen, gebe aber noch nicht auf !
Ich habe nochmals komplett neu aufgesetzt und bin erst nach dem letzten
Offline Updatepack von XP (s.o.) online gegangen und nach zwei Minuten online
waren die beschriebenen Symptome sofort wieder da.

Hab zus. zu den obenen beschrieben Programmen noch folgende Scans gemacht:

- AVG Antirootkit Beta: kein Befund

++++++++++++++++++++++++++++++++++++++++++++++

- GMER:

GMER 1.0.12.12011 - http://www.gmer.net
Rootkit scan 2007-01-13 14:11:03
Windows 5.1.2600 Service Pack 2


---- System - GMER 1.0.12 ----

SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwClose
SSDT \SystemRoot\System32\vsdatant.sys ZwConnectPort
SSDT \SystemRoot\System32\vsdatant.sys ZwCreateFile
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwCreateKey
SSDT \SystemRoot\System32\vsdatant.sys ZwCreatePort
SSDT \SystemRoot\System32\vsdatant.sys ZwCreateProcess
SSDT \SystemRoot\System32\vsdatant.sys ZwCreateProcessEx
SSDT \SystemRoot\System32\vsdatant.sys ZwCreateSection
SSDT \SystemRoot\System32\vsdatant.sys ZwCreateWaitablePort
SSDT \SystemRoot\System32\vsdatant.sys ZwDeleteFile
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwDeleteKey
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwDeleteValueKey
SSDT \SystemRoot\System32\vsdatant.sys ZwDuplicateObject
SSDT \SystemRoot\System32\vsdatant.sys ZwLoadKey
SSDT \SystemRoot\System32\vsdatant.sys ZwOpenFile
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwOpenKey
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwOpenProcess
SSDT \SystemRoot\System32\vsdatant.sys ZwOpenThread
SSDT \SystemRoot\System32\vsdatant.sys ZwReplaceKey
SSDT \SystemRoot\System32\vsdatant.sys ZwRequestWaitReplyPort
SSDT \SystemRoot\System32\vsdatant.sys ZwRestoreKey
SSDT \SystemRoot\System32\vsdatant.sys ZwSecureConnectPort
SSDT \SystemRoot\System32\vsdatant.sys ZwSetInformationFile
SSDT \??\C:\WINDOWS\system32\drivers\HookCentre.sys ZwSetValueKey
SSDT \SystemRoot\System32\vsdatant.sys ZwTerminateProcess

---- Kernel code sections - GMER 1.0.12 ----

.text ntkrnlpa.exe!ZwCallbackReturn + 2C44 80503928 12 Bytes [ 60, 7C, 56, B6, E0, DE, 56, ... ]
.text ntkrnlpa.exe!ZwCallbackReturn + 2C84 80503968 8 Bytes [ 50, 49, 56, B6, 50, A1, C9, ... ]

---- Devices - GMER 1.0.12 ----

Device \Driver\Tcpip \Device\Ip IRP_MJ_CREATE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Ip IRP_MJ_CLOSE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Ip IRP_MJ_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Ip IRP_MJ_INTERNAL_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Ip IRP_MJ_CLEANUP [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_CREATE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_CLOSE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_INTERNAL_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Tcp IRP_MJ_CLEANUP [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_CREATE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_CLOSE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_INTERNAL_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\Udp IRP_MJ_CLEANUP [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_CREATE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_CLOSE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_INTERNAL_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\RawIp IRP_MJ_CLEANUP [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_CREATE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_CLOSE [B65792A0] vsdatant.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_INTERNAL_DEVICE_CONTROL [BAC68AA4] GDTdiIcpt.sys
Device \Driver\Tcpip \Device\IPMULTICAST IRP_MJ_CLEANUP [B65792A0] vsdatant.sys

---- Files - GMER 1.0.12 ----

ADS C:\Dokumente und Einstellungen\All Users\Anwendungsdaten\Symantec\hpc:1780292171

---- EOF - GMER 1.0.12 ----

++++++++++++++++++++++++++++++++++++++++++++++

Rootkit Unhooker:

>SSDT State
!!!!!!!!!!!Hooked service: NtClose
Actual Address 0xBABA1D10
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtConnectPort
Actual Address 0xB65078D0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateFile
Actual Address 0xB65042D0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateKey
Actual Address 0xBABA0D70
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtCreatePort
Actual Address 0xB6507C60
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateProcess
Actual Address 0xB650DEE0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateProcessEx
Actual Address 0xB650E110
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateSection
Actual Address 0xB65116D0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtCreateWaitablePort
Actual Address 0xB6507D40
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtDeleteFile
Actual Address 0xB6504950
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtDeleteKey
Actual Address 0xBABA2150
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtDeleteValueKey
Actual Address 0xBABA2380
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtDuplicateObject
Actual Address 0xB650DC50
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtLoadKey
Actual Address 0xB65103E0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtOpenFile
Actual Address 0xB65047A0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtOpenKey
Actual Address 0xBABA1DD0
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtOpenProcess
Actual Address 0xBABA26F0
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtOpenThread
Actual Address 0xB650D7C0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtReplaceKey
Actual Address 0xB65106D0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtRequestWaitReplyPort
Actual Address 0xB6507570
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtRestoreKey
Actual Address 0xB6510980
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtSecureConnectPort
Actual Address 0xB6507A80
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtSetInformationFile
Actual Address 0xB6504AC0
Hooked by: C:\WINDOWS\System32\vsdatant.sys

!!!!!!!!!!!Hooked service: NtSetValueKey
Actual Address 0xBABA1E30
Hooked by: C:\WINDOWS\system32\drivers\HookCentre.sys

!!!!!!!!!!!Hooked service: NtTerminateProcess
Actual Address 0xB650E340
Hooked by: C:\WINDOWS\System32\vsdatant.sys

>Processes
>Drivers
>Files
Suspect File: C:\Dokumente und Einstellungen\Admin\Anwendungsdaten\Mozilla\Firefox\Profiles\i04ox1a9.default\parent.lock::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\Admin\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\Admin\ntuser.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\Admin\NTUSER.DAT::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\LocalService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\LocalService\ntuser.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\LocalService\NTUSER.DAT::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\NetworkService\Lokale Einstellungen\Anwendungsdaten\Microsoft\Windows\UsrClass.dat::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\NetworkService\ntuser.dat.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\Dokumente und Einstellungen\NetworkService\NTUSER.DAT::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\pagefile.sys::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\SoftwareDistribution\DataStore\DataStore.edb::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\SoftwareDistribution\DataStore\Logs\edb.log::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\SoftwareDistribution\DataStore\Logs\edbtmp.log::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\SoftwareDistribution\DataStore\Logs\tmp.edb::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\SoftwareDistribution\EventCache\{63029B7D-0E19-4EE5-8166-3A974CD14C6D}.bin::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\default.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\default::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\SAM.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\SAM::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\SECURITY.LOG::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\SECURITY::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\software::$DATA Status: Opened for exclusive access by other app or by System
Suspect File: C:\WINDOWS\system32\config\system::$DATA Status: Opened for exclusive access by other app or by System
>Hooks
!!POSSIBLE ROOTKIT ACTIVITY DETECTED!! =)

++++++++++++++++++++++++++++++++++++++++++++++

Wer kann hier bitte noch einmal gucken, s. insbesondere die letzte meldung von RKU.

Vielen Dank. Stefan

Teil 2:

Helios 1.1a zeigt:

Hidden processes: keine

Hooked system calls:

[25] NtClose (HookCentre.sys)
[31] NtConnectPort (vsdatant.sys)
[37] NtCreateFile (vsdatant.sys)
[41] NtCreateKey (HookCentre.sys)
[46] NtCreatePort (vsdatant.sys)
[47] NtCreateProcess (vsdatant.sys)
[48] NtCreateProcessEx (vsdatant.sys)
[50] NtCreateSection (vsdatant.sys)
[56] NtCreateWaitablePort (vsdatant.sys)
[62] NtDeleteFile (vsdatant.sys)
[63] NtDeleteKey (HookCentre.sys)
[65] NtDeleteValueKey (HookCentre.sys)
[68] NtDuplicateObject (vsdatant.sys)
[98] NtLoadKey (vsdatant.sys)
[116] NtOpenFile (vsdatant.sys)
[119] NtOpenKey (HookCentre.sys)
[122] NtOpenProcess (HookCentre.sys)
[128] NtOpenThread (vsdatant.sys)
[193] NtReplaceKey (vsdatant.sys)
[200] NtRequestWaitReplyPort (vsdatant.sys)
[204] NtRestoreKey (vsdatant.sys)
[210] NtSecureConnectPort (vsdatant.sys)
[224] NtSetInformationFile (vsdatant.sys)
[247] NtSetValueKey (HookCentre.sys)
[257] NtTerminateProcess (vsdatant.sys)

Gruß